Sähköinen lääketieteellinen tiedosto: 2026 Security Standards

Sähköinen potilasasiakirja yhdistää kaksi järjestelmää, jotka eivät ole päällekkäisiä: henkilötietojen suojan järjestelmän, joka käsittelee terveystietoja erityisenä tietoluokkana, johon sovelletaan periaatteellista kieltoa, sekä kansanterveyslain järjestelmän, joka asettaa omat säilytysaikansa ja omat käyttöoikeutensa. Ensimmäisen vaatimustenmukaisuus ei tarkoita jälkimmäisen vaatimustenmukaisuutta, ja suurin osa havaituista rikkomuksista johtuu juuri tästä sekaannuksesta.

Hosting-palvelu: pakollinen sertifiointi

Jokaisen, joka isännöi kolmannen osapuolen puolesta henkilökohtaisia terveystietoja ennaltaehkäisy-, diagnoosi- tai hoitotoiminnan yhteydessä, on oltava sertifioitu tähän tarkoitukseen.

Tämä velvoite on rakenteellinen ja usein havaitaan liian myöhään. Se ei riipu tietomäärästä eikä organisaation koosta: jos toimisto ulkoistaa toimialaohjelmistonsa verkkopalveluntarjoajalle, sen on varmistettava, että tietojen hosting-palvelua tarjoaa sertifioitu toimija. Tämän tarkistuksen vastuu kuuluu rekisterinpitäjälle eli ammattilaiselle tai laitokselle, ei palveluntarjoajalle.

Tästä seuraa kaksi käytännön seikkaa: alihankintasopimuksessa on mainittava nimenomaisesti tämä sertifiointi ja sen soveltamisala, ja palveluntarjoajan tai infrastruktuurin vaihtaminen edellyttää tämän kattavuuden uudelleentarkistamista.

Terveystietojen järjestelmä

Terveyttä koskevat tiedot kuuluvat erityiseen tietoluokkaan, jonka käsittely on periaatteessa kiellettyä. Käsittely on laillista vain, jos se kuuluu johonkin rajoitetusti säädetyistä poikkeuksista — erityisesti terveydenhuoltoon, ennaltaehkäisevään lääketieteeseen tai henkilön nimenomaiseen suostumukseen.

Tällä käänteisellä rakenteella on suora seuraus: jokaisen käsittelyn osalta on pystyttävä osoittamaan sen perustana oleva poikkeus. Tietojen toissijainen käyttö — sisäiset tilastot, työkalun kehittäminen, tutkimus — ei seuraa automaattisesti hoitokäsittelyn laillisuudesta; se vaatii oman perustansa.

Näihin lisätään yleiset velvoitteet: käsittelyrekisteri, henkilöiden informointi, määritellyt säilytysajat, vaikutustenarviointi silloin kun käsittely aiheuttaa korkean riskin — mikä on usein tilanne sähköisen potilasasiakirjan kohdalla.

Säilytysajat

Ne kuuluvat kansanterveyslain, eivätkä pelkän säilytyksen rajoittamisen periaatteen, alaisuuteen.

Terveydenhuollon laitoksessa laadittu potilasasiakirja säilytetään kaksikymmentä vuotta viimeisestä hoitojaksosta tai avohoitokäynnistä lukien. Tähän liittyy kaksi erityissääntöä:

• Jos potilas oli alaikäinen hoidon ajankohtana, säilytysaika jatkuu hänen kahdeksankymmentä— siis kahdenkymmenenkahdeksannen — syntymäpäiväänsä asti, mikäli tämä ajankohta on myöhäisempi.
• Jos potilas kuolee alle kymmenen vuoden kuluttua viimeisestä käynnistä, asiakirja säilytetään vähintään kymmenen vuotta kuolinpäivästä lukien.

Nämä määräajat keskeytyvät, jos vireille pannaan hallinnollinen tai oikeudellinen menettely, jolla pyritään saattamaan laitoksen tai ammattilaisten vastuu kyseeseen.

Yhteys vastuuvaatimusten vanhentumisaikoihin on suora: kanne vanhenee kymmenessä vuodessa vahingon vakiintumisesta lukien, ja ennenaikaisesti tuhottu asiakirja riistää ammattilaiselta hänen tärkeimmän puolustuskeinonsa — asiaa käsitellään tarkemmin artikkelissamme ammatillisesta siviilivastuusta.

Käyttöoikeuksien jäljitettävyys

Tämä on operatiivisesti vaativin vaatimus, ja sen puuttumista on vaikeinta korjata jälkikäteen.

Jokainen asiakirjaan tehty käynti on kirjattava lokiin: kuka on tutustunut, mihin tietoon, minä päivänä. Tällä lokituksella on kaksi erillistä ja toisiaan täydentävää tehtävää.

Se ehkäisee ja havaitsee asiattomat käyntitietoihin pääsyt, jotka ovat yksi yleisimmistä rikkomuksista laitoksissa — kollegan, läheisen tai tutun henkilön asiakirjan katsominen.

Se suojaa ammattilaista, koska sen avulla voidaan osoittaa, ettei väitettyä käyntiä ole tapahtunut tai että riitautettu käynti liittyi tosiasiassa hoitoon. Ilman lokia epäilyä ei voida vahvistaa eikä kumota.

Käyttöoikeuksien tulee lisäksi olla eriytettyjä tehtävien mukaan: hoitotiimiin kuuluminen ei avaa pääsyä koko asiakirjaan, vaan ainoastaan tarpeellisiin tietoihin, kuten selitetään artikkelissamme lääkärin salassapitovelvollisuudesta.

Potilaan käyttöoikeus

Potilas saa suoraan pääsyn kaikkiin terveyttään koskeviin tietoihin ilman, että hänen tarvitsee perustella pyyntöään.

Tiedot toimitetaan aikaisintaan harkinta-ajan jälkeen ja viimeistään määräajassa, joka pitenee, kun tiedot ovat yli viisi vuotta vanhoja. Mahdolliset kulut rajoittuvat kopiointi- ja lähetyskustannuksiin.

Tätä oikeutta rajoittaa kaksi seikkaa: kolmansilta osapuolilta, jotka eivät osallistu hoitoon, kerätyt tiedot on suljettu pois, samoin kuin näitä kolmansia osapuolia koskevat tiedot. Kuoleman jälkeen omaisten pääsy noudattaa erillistä järjestelmää, joka rajoittuu esitettyyn perusteeseen tarpeellisiin tietoihin.

Käyttöskenaarioita

Toimialaohjelmiston vaihto. On tarkistettava uuden palveluntarjoajan hosting-sertifiointi, tietojen siirrettävyys ja vientimuoto. Ilman palautussuunnitelmaa toteutettu siirtymä altistaa asiakirjojen menetykselle, vaikka niiden säilytysajat ovat edelleen voimassa.

Ryhmäklinikka. Käyttöoikeudet on eriytettävä käytännön harjoittajan ja potilaan mukaan sen sijaan, että koko asiakirja avattaisiin kaikille. Tämä on yleisin tarkastuskohde, ja se liittyy yhtä lailla organisointiin kuin tekniikkaan — aihetta käsitellään artikkelissamme lääkäriaseman hallinnollisesta vaatimustenmukaisuudesta.

Potilaan pyyntö saada pääsy asiakirjaan. On tarkistettava henkilöllisyys, eristettävä poissuljetut tiedot ja noudatettava sovellettavaa määräaikaa tietojen iän mukaan. Pyyntö ja vastaus on dokumentoitava: määräajan noudattaminen on todistettava.

Usein kysytyt kysymykset

Tarvitaanko sertifioitu hosting-palveluntarjoaja? Kyllä, heti kun terveystietoja isännöidään kolmannen osapuolen puolesta ennaltaehkäisy-, diagnoosi- tai hoitokontekstissa. Tarkistus kuuluu rekisterinpitäjälle, ei palveluntarjoajalle.

Kuinka kauan potilasasiakirjaa on säilytettävä? Kaksikymmentä vuotta viimeisestä laitoskäynnistä lukien, ja säilytysaika jatkuu potilaan kahdenkymmenenkahdeksannen syntymäpäivään asti, jos hän oli alaikäinen, sekä vähintään kymmenen vuotta kymmenen vuoden sisällä tapahtuneesta kuolemasta lukien.

Voiko potilas tutustua asiakirjaansa? Kyllä, suoraan ja ilman perustelua, säädetyissä määräajoissa, jotka pitenevät yli viisi vuotta vanhojen tietojen osalta. Vain kopiointi- ja lähetyskuluja voidaan periä.

Onko käyttölokitus pakollista? Kyllä, ja se suojaa yhtä lailla ammattilaista kuin potilastakin: ilman lokia riitautettua käyntiä ei voida vahvistaa eikä kumota.

Voiko ammattilainen tutustua kaikkiin organisaation asiakirjoihin? Ei. Pääsy rajoittuu tietoihin, jotka ovat tarpeen hänen tehtävänsä hoitamiseksi kyseisen potilaan hoidossa. Käyttöoikeudet on eriytettävä tämän mukaisesti.

Voidaanko tietoja käyttää tilastollisiin tarkoituksiin? Ei hoitokäsittelyn perusteella. Jokainen toissijainen käyttö vaatii oman laillisuusperustansa ja tarvittaessa erillisen tiedottamisen henkilöille.

Muistettavaa

Kaksi järjestelmää ovat päällekkäisiä ja niitä on käsiteltävä erikseen. Tietosuoja edellyttää, että jokaisen käsittelyn osalta osoitetaan sen laillistava poikkeus — hoidon tarkoitus ei kata toissijaisia käyttötarkoituksia. Kansanterveyslaki asettaa omat säilytysaikansa, jotka lasketaan vuosikymmenissä ja jotka keskeytyvät oikeudellisen menettelyn ajaksi.

Näiden kahden välissä yksi järjestely palvelee molempia: käyttöoikeuksien lokitus yhdistettynä eriytettyihin käyttöoikeuksiin. Tämä mahdollistaa sen osoittamisen, että ”tehtävän kannalta tarpeellisen” rajaa on noudatettu, ja se myös suojaa ammattilaista silloin kun häntä syytetään väärinkäytöksestä. Sama päättely pätee suostumuksen keräämiseen: mitä ei ole jäljitetty, ei voida todistaa eikä kumota.