Terveystietojen suojaaminen ja GDPR-vaatimustenmukaisuus ammattilaisille

Terveystiedoilla on erityinen asema Euroopan sääntelyympäristössä. GDPR:n (artiklassa 9) määritellyt erityisen herkkien henkilötietojen luokka, niihin sovelletaan vahvistettua suojausta kaikille ammattilaisille, jotka niitä käsittelevät: sairaanhoitolaitokset, keskinäiset vakuutusyhtiöt, terveyssovellusten ohjelmistokehittäjät, laboratoriot, kotipalvelut, e-terveys- ja etälääketieteen toimijat. Vuonna 2026 sääntelyympäristö on tiivistynyt entisestään — Euroopan terveystietoavaruuden (EEDS) asteittaisen voimaantulon, CNIL:n päivitettyjen suositusten ja EU:ssa määrättyjen ennätyssuurten sakkojen myötä vaatimustenmukaisuus ei ole enää valinnainen. Tämä artikkeli kuvaa yksityiskohtaisesti soveltuvat velvoitteet ja parhaat käytännöt käsittelyiden turvaamiseksi.

Mikä on terveystieto GDPR:n merkityksessä?

GDPR (asetus nro 2016/679, artiklassa 4 §15) määrittelee terveystiedot seuraavasti: « fyysisen henkilön terveyttä koskevia henkilötietoja, jotka liittyvät hänen fyysiseen tai psyykkiseen terveydentilaansa, myös terveydenhuoltopalveluiden toimittamiseen ja joista ilmenee tietoja hänen terveydentilastaan ».

Laajempi soveltamisala kuin näyttää

Tämä määritelmä kattaa paljon enemmän kuin perinteisiä potilastietueita. Niihin kuuluvat:

• Sairaushistoria, diagnoosit, reseptit ja tutkimustulokset;
• Kytkettävien laitteiden keräämät tiedot (kellot, glukoosisensorit, kuukautisseurantasovellukset);
• Hallintotiedot, joista voidaan päätellä terveydentila (korvauksien osuudet, konsultaatioiden tiheys);
• Sosiaaliturvanumerot (NIR), kun ne yhdistetään lääketieteellisiin tietoihin.

Ranskassa CNIL on täsmentänyt, erityisesti terveystietojen varastoja (EDS) koskevassa referenssipäätöksessään, että käsitettä on tulkittava laajasti. Näin ollen esimerkiksi näkyvän vamman paljastava valokuva tai biometrinen tieto (silmän verkkokalvon tunniste) kuuluu soveltamisalaan.

Miksi vahvistettua suojausta?

Terveystietojen erityinen herkkyys johtuu niiden syrjintäpotentiaalista. Terveydentilan paljastaminen voi vaikuttaa henkilön pääsyyn työllisyyteen, vakuutukseen, luottoon tai altistaa hänen yksityisyyteensä. CNIL arvioi, että terveystietoja koskevat loukkaukset muodostivat vuonna 2024 yli 36 % ilmoituksista, joita se vastaanotti — eli ensimmäinen rikkoutuneiden tietojen luokka.

Terveystietojen käsittelyä koskevat erityiset laillisuusperusteet

GDPR:n artiklassa 9 §1 määrätään herkkien henkilötietojen käsittelykielto, johon sovelletaan rajatettuja poikkeuksia. Terveysalan ammattilaisille soveltuvat laillisuusperusteet ovat pääasiassa:

Nimenomainen suostumus (art. 9 §2 a)

Suostumuksen on oltava vapaaehtoinen, erityinen, tietoinen ja yksiselitteinen, ilmaistu selkeällä myöntävällä toimella. Terveysalalla tämä perusta sopii usein huonosti tavanomaisten hoitojen osalta (epätasapaino lääkärin ja potilaan välillä), mutta on välttämätön tutkimus-, markkinointi- tai yleisissä terveyssovellusten tarkoituksissa.

Hyvä käytäntö 2026: käyttää elektronista allekirjoitusta terveydenhoidossa potilailta saatavan suostumuksen keräämiseksi jäljitettävällä ja aikaleimatuilla tavoilla, mikä helpottaa todisteen esittämistä valvonnan yhteydessä.

Hoito ja ennaltaehkäisevä lääketiede (art. 9 §2 h)

Tämä on pääasiallinen laillisuusperusta terveysalan ammattilaisille, jotka käsittelevät tietoja hoitosuhteen yhteydessä. Se pätee edellyttäen, että käsittely suoritetaan ammattilaisella, joka on sidottu lääkärin salaisuudelle, tai hänen vastuullaan.

Julkinen etu ja tutkimus (art. 9 §2 i ja j)

Kansanterveystarkoituksiin (epidemiologinen valvonta, lääkehaittatutkinta) tai tieteellisen tutkimuksen tarkoituksiin suunnatut käsittelyt voidaan perustaa näihin poikkeuksiin. Ranskassa tietosuojalaki (art. 65-68) ja kansallista terveystietojärjestelmää (SNDS) sääntelevä asetus määrittävät pääsyn ehdot.

Käsittelyiden vastuualliisten konkreettiset velvoitteet

Riippumatta siitä, onko kyse lääkärin vastaanotosta vai digitaalisen terveysratkaisun kehittäjästä, velvoitteet rakentuvat viiden pilarin ympärille.

1. Käsittelyrekisteri (art. 30)

Jokaisen käsittelyiden vastuuhenkilön tai alihankkijan on pidettävä rekisteriä, joka dokumentoi jokaisen käsittelyn: tarkoitus, laillisuusperusta, tietojen luokat, säilytysajat, vastaanottajat, turvatoimet. CNIL vaatii, että tämä rekisteri on aina ajan tasalla ja esitettävissä ilman viivytystä valvonnan yhteydessä.

2. Tietosuojaan liittyvä vaikutustenarviointi (DPIA; art. 35)

Suurimuotoiset terveystietojen käsittelyt tai profilointitarkoituksessa suoritetut käsittelyt vaativat pakollisesti DPIA:n. CNIL on julkaissut luettelon käsittelyistä, jotka on pakollisesti tehtävä DPIA:lle, mukaan lukien terveystietojen varastot, terveydentilan seurantaa koskevat mobiilisovellukset ja kytkettävät lääkinnälliset laitteet.

Sähköisten asiakirjojen oikeudellisen arvon osalta tässä yhteydessä palveluntarjoajien on varmistettava, että niiden keräysmekanismit täyttävät todistusvaa­timukset.

3. Tietosuojavaltuutetun (DPO) nimeäminen

DPO:n nimeäminen on pakollista:

• Terveysalan ammattilaisille, jotka muodostavat ryhmittymän (sairaalat, vanhainkodyt, yli 50 henkilön hoitopalvelut);
• Keskinäisille vakuutusyhtiöille ja sairausvakuuttajille;
• Terveyssovellusten kehittäjille, jotka käsittelevät tietoja laajassa mittakaavassa.

Vuodesta 2024 lähtien CNIL on vahvistanut valvontaa DPO:n roolin tehokkuudesta, varmistaen erityisesti hänen todellisen riippumattomuuden ja resurssit.

4. Tietojärjestelmien turvallisuus (art. 32)

Tekniset ja organisatoriset toimenpiteet on mitoitettava riskin suhteessa. CNIL suosittelee erityisesti:

• Päästä päähän salaus säilytetyille ja siirretyille tiedoille;
• Pseudonymisaatio aina kun tarkoitus sen sallii;
• Tiukkojen pääsynvalvonnan käytäntöjen toteuttaminen (monivaiheinen tunnistaminen);
• Säännölliset varmuuskopiot, jotka on testattu ja irrotettu pääverkosta;
• Jatkuvuussuunnitelma (PCA) terveystietoihin kohdistuville tietoille.

Sitten direktiivin NIS 2 (joka muutettiin Ranskan oikeudeksi lailla 26. maaliskuuta 2025) voimaantulo, oleelliset yksiköt terveyssektorilla — joihin kuuluvat sairaalat, lääkinnällisten laitteiden valmistajat ja jotkut laboratoriot — ovat alttiina entistäkin tiukemmille kyberturvallisuusvaatimuksille, joissa suurista tapauksista on ilmoitettava ANSSI:lle 24 tunnin kuluessa.

5. Tietomurron ilmoittaminen (art. 33 ja 34)

Jokainen terveystietojen murto on ilmoitettava CNIL:lle 72 tunnin kuluessa sen löytämisestä. Jos murto voi aiheuttaa korkean riskin henkilöiden oikeuksille ja vapauksille, asianomaisten potilaiden on myös saatava tieto siitä viivytyksettä.

Vuonna 2024 CNIL määräsi sakkoja ilmoituksista, mikä muistutti, että reagointikyky on sinänsä vaatimustenmukaisuusvelvoite.

Terveystietojen säilyttäminen: erityisesti ranskalainen velvoite

Ranskassa laki 26. tammikuuta 2016 (terveydenhuoltolain artiklassa L. 1111-8) määrää, että henkilökohtaiset terveystiedot on säilytettävä HDS-sertifioidulla palveluntarjoajalla (Hébergeur de Données de Santé). Tämä COFRAC-akkreditoiduilla organisaatioilla myönnetty sertifikaatti, joka perustuu ISO 27001 -standardiin ja HDS-viitejärjestelmään, kattaa kuusi erillistä toimintaa.

Kenen on noudatettava HDS-sertifiointia?

Siihen kuuluvat kaikki toimijat, jotka säilyttävät, hallinnoivat tai hyödyntävät tietojen teknisiä järjestelmiä, joissa on terveystietoja kolmansien osapuolten puolesta: pilvipalvelujen tarjoajat, DMP:n (shared medical record) kehittäjät, etälääketieteen alustat, ja — vuodesta 2023 lähtien — terveyssovellusten kehittäjät, kunhan he säilyttävät tunnistettavia tietoja.

HDS-sertifioidun palveluntarjoajan käyttäminen ei vapauta vastuuhenkilöä omista velvoitteistaan: hänen on ehdottomasti muodostettava GDPR:n artiklan 28 mukainen alihankinnan sopimus, jossa määritellään palveluntarjoajalle annetut ohjeet, turvatakuut ja tarkastuskäytännöt.

Euroopan terveystietoavaruus (EEDS): mitä vaikutuksia vuonna 2026?

EEDS-asetus (hyväksytty vuoden 2025 lopussa ja jonka ensimmäiset säännökset tulevat voimaan asteittain vuoteen 2027 asti) asettaa puitteet terveystietojen rajat ylittävälle pääsylle tutkimukseen, innovaatioihin ja kansanterveyteen. Ranskalaisille ammattilaisille kaksi välitöntä vaikutusta:

1. Vahvistettavan siirrettävyysoikeuden noudattamisen velvoite (jäsennelty, koneella luettava muoto) potilastiedoissa;
2. Kielto käsitellä ensisijaisia terveystietoja mainonnan kohdistamista varten, vaikka suostumuksella olisi — tiukempi rajoitus kuin pelkkä GDPR.

Nämä kehitykset tekevät välttämättömäksi yksityisyyskäytäntöjen ja alihankintosopimusten päivittämisen ennen vuoden 2026 loppua. Ammattilaisille, jotka käyttävät eIDAS-vaatimusten mukaisia elektronisen allekirjoituksen työkaluja, suostumuksista ja valtuuksista saatava jäljitettävyys on huomattava etu vaatimustenmukaisuuden osoittamisessa tarkastuksen yhteydessä.

Potilaiden oikeudet ja GDPR-oikeuksien käyttö

Potilailla on kaikki GDPR-oikeudet (pääsy, oikaisu, poisto, rajoitus, siirrettävyys, vastustaminen), joihin liittyy joitakin sektorikohtaisia muutoksia.

Oikeus päästä terveystietoihin

Potilas voi pyytää pääsyä koko potilastietueeseensa (terveydenhuoltolaki art. L. 1111-7). Ammattilaisen käytössä on 8 päivän aika (48 tuntia äskettäisille tiedoille, äskeisille sairaalahoitojaksille) ja 2 kuukautta vanhemmille tiedoille. CNIL ja oikeuksien puolustaja ovat molemmat tuominneet laitokset, jotka kieltävät tai viivyttävät näitä hakemuksia.

Poiston oikeus ja sen rajoitukset

"Oikeus unohtamiseen" rajoitetaan laissa määrättyihin säilytysaikoihin: 20 vuotta aikuisten potilastiedoille, 28 vuotta, jos toimi tehtiin ennen täysi-ikäisyyttä. Nämä lailliset säilytysajat ohittavat mitä tahansa ennenaikaista poistopyyntöä — vastuuhenkilön on selitettävä tämä selvästi potilaalle.

Oikeuksien käyttö sähköisen väylän kautta

Laitoksille, jotka ovat demarteriaalisoineet prosessejaan, oikeuksien käyttöpyynnöt voidaan lähettää ja käsitellä suojattujen lomakkeiden kautta. Pätevä sähköinen aikaleima pyynnöistä ja vastauksista on hyvä käytäntö, joka mahdollistaa sääntelyaikojen noudattamisen todistamisen CNIL-tarkastuksen yhteydessä.

Terveystietojen suojaa koskeva soveltuvalainsäädäntö

Terveysalan ammattilaisten ja heidän teknisen kumppaniensa vaatimustenmukaisuus perustuu eurooppalaisiin ja kansallisiin säädöksiin, jotka on hallittava.

GDPR — Asetus (EU) n:o 2016/679, 27. huhtikuuta 2016 : kokoonpanon kulmakivi, se määrittelee terveystiedot herkiksi henkilötiedoiksi (art. 4 §15), kieltää niiden käsittelyn paitsi rajattujen poikkeuksien kohdalla (art. 9 §2), vaatii DPIA:n (art. 35), DPO:n nimeämisen (art. 37), tietomurtojen ilmoittamisen (art. 33-34) ja oikeasuhteisia turvatoimia (art. 32). Sovelletavat rangaistukset voivat olla 20 miljoonaa euroa tai 4 % vuotuisesta maailmanlaajuisesta liikevaihdosta — korkeampi määrä otetaan.

Tietosuojalaki (laki nro 78-17 6. tammikuuta 1978 muutettuna) : GDPR:n soveltava laki Ranskassa valtuuttaa CNIL:n ottamaan käyttöön terveysalaan kohtaisia sektorikohtaisia viitejärjestelmiä ja määrittää pääsyn ehdot SNDS:ään.

Terveydenhuoltolaki — art. L. 1111-7 ja L. 1111-8 : vahvistavat potilaan oikeuden päästä potilastietueeseensa ja velvoittavat säilyttää tiedot sertifioidulla HDS:llä.

HDS-viitejärjestelmä (Hébergeur de Données de Santé) : ANS:n (Agence du Numérique en Santé) julkaisema, se määrittelee kuusi sertifikaattitoimintoa, jotka kattavat fyysisen infrastruktuurin, alustan ja sovellusohjelmistot.

Direktiivi NIS 2 — Direktiivi (EU) 2022/2555, Ranskassa lailla 26. maaliskuuta 2025 muutettuna: asettaa oleelliset yksiköt terveyssektorilla (yli 30 000 potilasta/vuosi hoitavat sairaalat, lääkinnällisten laitteiden valmistajat luokka IIb ja III, viitelaboratoriot) tiukemman kyberturvallisuusvaatimuksille, erityisesti ilmoitukselle ANSSI:lle 24 tunnin kuluessa merkittävistä tapauksista, ja vuosittain testattujen hätäresponsssuunnitelmien toteuttamiseen.

eIDAS-asetus n:o 910/2014 ja eIDAS 2.0 (Asetus (EU) 2024/1183) : säätelevät elektronisten allekirjoitusten oikeudellista arvoa, joita käytetään suostumuksissa, demarteriaalisoiduissa lääketieteellisissä toimissa ja sopimuksissa palveluntarjoajien kanssa. Kehittynyt tai pätevä elektroninen allekirjoitus on suositeltava kaikille toimille, joiden todistusarvo voidaan kiistää.

EEDS-asetus (Euroopan terveystietoavaruutta koskeva eurooppalainen asetus, 2025) : vahvistaa potilaiden oikeuksia heidän ensisijaisten terveystietojensa suhteen ja säätelee toissijaiselta käytöltä tutkimukseen, luoden jokaiseen jäsenvaltioon terveystietojen pääsynorganisaatiot.

Konkreettiset oikeudelliset riskit : hallinnollisten CNIL-sakkojen lisäksi käsittelyiden vastuualliset kohtaavat siviilioikeudellisista kanteista (art. 82 GDPR), rikosoikeudellisista syytteistä (ranska­laisen rikoslain art. 226-17, enimmäisrangaistus 5 vuotta vankeutta ja 300 000 € sakkoa oikeushenkilöille) ja mainettavahingosta, jonka taloudellinen vaikutus usein ylittää sakkon määrän.

Käytössä olevia skenaarioita: GDPR-vaatimustenmukaisuus ja terveystiedot käytännössä

Skenario 1 — Yksityisten klinikoiden ryhmittymä, jolla noin 1 200 vuodetta

Noin 1 200 vuodetta (jaettu kolmelle paikalle) käsittelevän yksityisten klinikoiden ryhmittymän potilaan suostumukset olivat paperilomakkeilla, jotka säilytettiin huonosti suojatuissa kaapeissa. Sisäisen tarkastuksen yhteydessä CNIL-valvontaa varten useat puutteet tunnistettiin: mahdottomuus löytää nopeasti yli kaksi vuotta vanhaa suostumusta, suostumuksista saatavan jäljitettävyyden puute videovalvontaa ja tietojen siirto­ja kolmansille osapuolille (vakuuttajat, lääkärit) koskien.

Johto otti käyttöön pätevän elektronisen allekirjoitusratkaisun, joka integroitiin sairaalan tietojärjestelmään. Kuuden kuukauden kuluttua mitattavat tulokset: potilastietueen käyttöoikeuspyyntöjen käsittelyaika pieneni 14 päivästä 4 arkipäivään (71 % vähennys), suostumuksen hakuaika putosi alle 2 minuuttiin 45 minuutin keskiarvosta, ja ryhmittymä sai HDS-sertifioinnin sovelluskerrokselle.

Skenario 2 — Etälääketieteen ratkaisun kehittäjä erikoislääkäreille

Noin 4 000 aktiivisen käyttäjän (lääkärit) etäkonsultaatioalustaa kehittävä yritys oli alttiina suurelle riskille: sen palvelimet sijaitsivat amerikkalaisella pilvipalvelun tarjoajalla, ilman GDPR:n artiklan 28 mukaista sopimusklausullia ja ilman HDS-sertifiointia. Alusta kuitenkin keräsi konsultaatiokertomusten, ohjeiden ja kliinikkavalokuvien tietoja.

Kollegansa DPO:n kanssa tehdyn vaikutustenarvioinnin jälkeen yritys siirsi palvelut Ranskassa sijaitsevalle HDS-sertifioidulle isännöitsijälle, tarkisti kaikki alihankintosopimusehdot ja integroitu nimenomaisen suostumuksen mekanismin, joka on aikaleimattu ennen jokaista konsultaatiota. Se perusti myös sisäisen häiriötapahtumien ilmoitusmenettelyt, jotka saavuttavat alle 12 tunnin, mikä mahdollistaa CNIL:lle asetetun 72 tunnin säännöllisen määräajan noudattamisen. Vaatimustenmukaisuus investointien arvioidaan olleen 180 000 euroa — verrattuna 400 000 euroon sakkoon, jonka CNIL määräsi samankaltaiselle alan toimijalle samana vuonna.

Skenario 3 — Itsenäisten apteekkien verkosto

Noin neljäkymmentä itsenäistä apteekista koostuva ryhmittymä käytti keskitettyä hallintaohjelmistoa, joka käsitteli reseptien historiaa ja kanta-asiakastietoja (liittyen implisiittisiin terveysprofiileihin). Ilman nimettyä DPO:ta ja ajan tasalla olevaa käsittelyrekisteriä, ryhmittymä ei pystynyt vastaamaan potilaan oikeuksien käyttöpyyntöihin 30 päivässä.

Kahdeksaan kuukauteen jakautunut vaatimustenmukaisuusprojekti mahdollisti yhteisen DPO:n nimeämisen (yleinen ja laillinen ratkaisu pk-yritysten ryhmittymille), 23 erillisen käsittelyn dokumentoinnin rekisteriin, säilytysaikojen politiikan tarkistamisen (asiakastiedot säilytettiin 10 vuotta ilman perusteluja) ja koko apteekkahenkilökunnan kouluttamisen oikeiden käytäntöjen osalta potilaan tai valvontaviranomaisen pyynnön yhteydessä. Ennalta arvioitu sakkoriskki ylitti 150 000 euroa.

Usein kysytyt kysymykset

Ovatko mobiilisovelluksella kerätyt terveystiedot GDPR:n alaisia?

Kyllä, kunhan sovellus kerää tietoja, joista voidaan päätellä henkilön terveydentila (sydämen lyönnit, kuukautiset, verensokeri, ruokavalio), nämä tiedot muodostavat terveystiedot GDPR:n artiklan 4 §15 merkityksessä. Kehittäjä on käsittelyiden vastuuhenkilö ja hänen on hankittava nimenomainen suostumus, säilytettävä tiedot HDS-sertifioidun palveluntarjoajan luona ja tehtävä DPIA, jos käsittely on suurimuotoista.

Onko yksittäin työskentelevän lääkärin pakko nimetä DPO?

Ei, DPO:n nimeäminen ei ole pakollista yksittäin työskentelevälle lääkärille tai muutaman lääkärin vastaanotolla, ellei käsittelyt koske terveystietoja laajassa mittakaavassa. Hänelle jää kuitenkin vastuuhenkilö ja hänen on pidettävä käsittelyrekisteriä, sovellettava tietojen minimointi­periaatetta ja pystyttävä vastaamaan potilaidensa oikeuuksien käyttöpyyntöihin säädettävissä ajoissa.

Mitä sakkoja CNIL voi määrätä terveystietomurron yhteydessä?

CNIL:llä on hallinnollinen sakkoutusuusi, joka voi maksimissaan olla 20 miljoonaa euroa tai 4 % vuotuisesta maailmanlaajuisesta liikevaihdosta, suurempi määrä otetaan. Sakon lisäksi se voi määrätä vaatimustenmukaisuusvelvoitteita astreinta uhalla tai tehdä päätöksen julkiseksi. Rikoslain kannalta ranskalaisella rikoslain artiklan 226-17 määrätään enintään 5 vuotta vankeutta ja 300 000 euroa sakkoa oikeushenkilöille.

Onko alihankkija (ohjelmisto, pilvipalvelu) vastuussa terveystietomurron yhteydessä?

Kyllä. GDPR (art. 28 ja 82) vahvistaa käsittelyiden vastuuhenkilön ja alihankkijan yhteisen vastuun asianomaisia henkilöitä vastaan. Alihankkija on suoraan vastuussa, jos se on toiminut vastuuhenkilön ohjeiden ulkopuolella tai ei ole noudattanut omia GDPR-velvoitteitaan. Sen vuoksi on välttämätöntä muodostaa tarkkä alihankinnan sopimus ja varmistaa, että isännöitsijä on HDS-sertifioitu terveystietojen osalta.

Onko HDS-sertifikaatti pakollinen kaikille digitaalisen terveydenhuollon toimijoille?

HDS-sertifikaatti on pakollinen kaikille palveluntarjoajille, jotka säilyttävät, hallinnoivat tai hyödyntävät tietojen teknisiä järjestelmiä, joissa on henkilökohtaisia terveystietoja kolmannen osapuolen puolesta. Se koskee siis pilvipalvelun tarjoajia, lääketieteellisen SaaS-ratkaisun kehittäjiä ja etälääketieteen alustoja. Toisaalta terveysalan ammattilainen, joka säilyttää omia tietojaan (ilman kolmansille osapuolille siirtämistä), ei ole suoraan tähän velvoitteeseen sidottu, mutta on edelleen sidottu GDPR:n artiklan 32 turvatoimiin.

Johtopäätös

Terveystietojen suojaus muodostaa vuonna 2026 yhden digitaalisen sektorin monimutkaisimmista ja eniten val