Työssä haetaan tasapainoa tiedonkulun ja potilaan yksityisyyden välille
Tutkimusprofessori Pekka Ruotsalainen Stakesista vetää potilasasiakirjahankkeen työryhmää, jonka tehtävänä on selvittää miten tietoturva saadaan varmistettua sähköisessä ympäristössä siten, että potilastietojen käsittely on nykyisten lakien mukaista.
- Haemme tasapainoa tilanteessa, jossa vastakkain ovat terveydenhuollon ammattilaisen tiedon tarve ja potilaan yksityisyys.
Tällä hetkellä tietoturvan taso vaihtelee sähköisissä potilastietojärjestelmissä.
- Tietojärjestelmät ovat vielä pääosin paikallisia ja tietotekniikan näkökulmasta melko pieniä. Esimerkiksi yhden terveyskeskuksen tietoverkossa oleva potilastieto ei ole - voimassa olevia määräyksiä noudattaen - kuin kyseisen rekisterinpitäjän valtuuttamien henkilöiden käytössä. Mitä suurempia alueellisia tai valtakunnallisia verkostoja luodaan, sitä tärkeämpää on varmistaa arkaluontoisten tietojen lainmukainen käsittely, tietoturva ja yksityisyyden suoja, toteaa Pekka Ruotsalainen.
- Emme voi ottaa käyttöön kansallista järjestelmää, jossa tietoa siirretään yli organisaatiorajojen ilman kansallista tietoturvastandardia.
Potilastietoja voidaan käyttää ja luovuttaa silloin, kun käyttäjällä on joko lääketieteen etiikan mukainen tiedon tarve eli ns. hyväksyttävä syy tai hoitosuhde. Luovutuksen ehtoihin kuuluu myös potilaan antama suostumus ja se, että työntekijä käyttää tietoja vain työnantajan määrittämän ammattiroolin asettamissa rajoissa.
Parhaillaan Pekka Ruotsalaisen työryhmä selvittää, mikä on sähköisen suostumuksen hyvä käytäntö, milloin potilaan suostumus tarvitaan, miten se hankintaan ja arkistoidaan.
-Sähköisessä palvelussa potilas ja lääkäri eivät välttämättä kohtaa kasvokkain. Siksi on tärkeää luoda järjestelmä, jossa potilaan oikeus sallia tai jopa kieltää tietojen käyttäminen toteutuu hänen tahtomallaan tavalla samalla, kun mahdollistetaan hoitoa antavalle ammattihenkilölle tarpeelliset tiedot.
Seuraavaksi työryhmä selvittää tiedon luovutuksen periaatteita ja lokitietojen käyttöä. Lokitietoihin kirjautuu tiedot potilasasiakirjojen luovutuksesta ja käytöstä. Niiden perusteella voidaan arvioida onko potilastietojen käyttö ollut perusteltua. Pekka Ruotsalaisen mukaan suurimmissa sairaaloissa tarvitaan tietoturvapäällikkö, jonka vastuulla on taata sekä potilaiden tietoturva että työntekijän oikeudet tiedon käyttäjinä. Tietoturvapäällikkö voi olla myös seutukunnallinen tai alueellinen.
Stakes julkaisee vielä tänä syksynä International Medical Informatics Associationin ohjeisiin perustuvan Terveydenhuollon tietohallinnon työntekijöiden eettiset ohjeet, joka on tarkoitettu kaikille terveydenhuollossa työskenteleville, olivat he sitten hoitohenkilökuntaa tai tietotekniikan ammattilaisia.
STM tukee kehittämisrahalla korostetusti sellaisia hankkeita, joissa otetaan käyttöön valmisteilla olevia tietoturvamäärityksiä. Uudet suositukset tulee ottaa huomioon sekä tietojärjestelmiä kehitettäessä että nykyisiä ohjelmia päivitettäessä.
- Vuoden 2007 jälkeen tietojärjestelmiltä edellytetään tietoturvasertifikaattia, toteaa Pekka Ruotsalainen.
