Mietittäessä terveydenhuollon laiterekisterin käyttöönottoa, on syytä käyttää hetki aikaa sen miettimiseen, mitä henkilötietoja järjestelmä tulee sisältämään. Mitään estettä henkilötietojen tallentamiselle ei ole, mutta tietyt asiat henkilötietojen käsittelyn suhteen on syytä ymmärtää. Yritämme tässä tuoda lyhyesti, selkeästi ja ytimekkäästi esille asian ydinkohdat.
Mistä GDPR:ssä on kyse?
Jos GDPR ei ole sinulle vielä tuttu, kannattaa konsulttitoimistojen sijaan käydä tietosuoja.fi sivulla lukemassa, mistä asiassa on kyse. Yleinen tietosuoja-asetus (eli GDPR) on aiheuttanut monessa organisaatiossa turhaa panikointia ja paraatiliikkeitä, jotka eivät tosiassa ole olleet tarpeellisia. On esitetty ajatuksia, että tietosuoja-asetuksen voimaantulon jälkeen henkilötietoja ei ylipäätään enää pystyttäisi käsittelemään koska siitä tulee lain vastaista. Asia ei tietenkään ole näin.
Rekisterinpitäjällä (tässä tapauksessa yritys tai yhteisö) on oikeus tallentaa henkilötietoja, kun yksikin näistä perusteista täyttyy:
Mitä ovat henkilötiedot?
"Henkilötietoja ovat sellaiset tiedot, joiden perusteella henkilö voidaan tunnistaa suoraan tai välillisesti esimerkiksi yhdistämällä yksittäinen tieto johonkin toiseen tietoon, joka mahdollistaa tunnistamisen. Henkilö voidaan tunnistaa esimerkiksi nimen, henkilötunnuksen tai jonkin hänelle tunnusomaisen tekijän perusteella."
Esimerkkejä henkilötiedoista:Miksi riskienarviointi käsiteltävien henkilötietojen osalta on tehtävä?
Nyt ollaan asian ytimessä. Kaikki henkilötiedot eivät ole tasa-arvoisia keskenään, kun niiden riskejä ja vaikutuksia arvioidaan! Kun suunnitellaan sitä, mitä tietoja terveydenhuollon laiterekisteriin tallennetaan tehdään riskianalyysi siitä, mitä:
Tässä vaiheessa moni organisaatio on mennyt vikaan, koska edellä mainittua riskianalyysia ei ole tehty. Usein syynä on "oikaisu" asiassa, eli tehdään asia itselle helpoksi puhumalla vain "henkilötiedoista" tekemättä sitä taustatyötä, jossa mietitään onko esim. henkilön IP-osoite, GPS-sijainti, terveystiedot, aviostatus ja ajoneuvon rekisterinumero keskenään kaikki samanarvoisia.
Henkilötietojen käsittelystä mahdollisesti aiheutuva vahinko tarkoittaa riskiä esimerkiksi
Riskienarviointia ei pidä sekoittaa vaikutustenarviointiin, joka on lain mukaan tehtävä tietyissä tapauksissa. Tässä ohjeessa on kuvattu tarkemmin vaikutustenarviointia.
Kun terveydenhuollon laiterekisteriin tallennettavien tieotojen osalta on tehty riskienarvointi, suunnitellaan ne tarpeelliset organisatoriset ja tietotekniset suojaustoimet, joilla tietoja suojataan. Lue tästä ajatuksia siitä, mikä olisi Hyvä ja halpa laiterekisteri lääkinnällisille laitteille?
Lopuksi
Voit tutustua Spotilla- laiterekisteriratkaisuun täällä. Spotilla täyttää kaikki terveydenhuollon laiterekisterille asetetut vaatimukset ja sitä voidaan käyttää kaikessa terveydenhuollossa laiterekisterinä ja seurantajärjestelmänä.
Täällä lisää tietoa terveydenhuollon laiterekisteristä.