Tietojärjestelmät tallentavat tietojen käsittely- ja tapahtumahistoriaa eli keräävät lokia erilaisista tapahtumista. Lokeja on eri tyyppisiä, kuten käyttöloki, virheloki, muutosloki ja luovutusloki.

Lokirekisteri on henkilö-/asiakas-/potilastietoja sisältävä henkilörekisteri, josta on laadittava rekisteriseloste. Jokaiselle henkilörekisterille, kuten myös lokirekisterille, on määriteltävä rekisterinpitäjä. Rekisterinpitäjän ja sen vastuuhenkilöiden asiana on huolehtia siitä, että rekisteritoiminnot ja niitä toteuttavat tietojärjestelmät vastaavat lainsäädäntöä ja että toimintaa toteuttaville työntekijöille on annettu asianmukaiset määräykset, ohjeet ja koulutusta asiasta.

Henkilötietolain yhtenä tarkoituksena on ollut ehkäistä tietotekniikan ja teknologian käyttöön liittyviä tietosuojariskejä. Henkilötietolain tarkoittamat rekisterinpitäjät vastaavat hyvän henkilötietojen käsittelytavan ja erityislakien edellyttämän riittävän korkean tietoturvan ja tietosuojan tason toteuttamisesta. Myös keväällä hyväksytyssä EU:n yleisessä tietosuoja-asetuksessa (2016/679, aletaan soveltamaan 5/2018) on omaksuttu riskiperusteinen lähestymistapa. EU:n tietosuoja-asetuksen mukaan tietoturvan tulee olla jo oletusarvoinen ja sisäänrakennettu henkilötietojen käsittelyprosesseissa (24 artikla, Data Protection by Desing, ja 25 artikla, Data Protection by Default). Lisäksi tarkempia säännöksiä henkilötietojen käsittelyn turvallisuuden vaatimuksista on mm. EU:n tietosuoja-asetuksen 32 artiklassa.

Henkilötietolain (523/1999) 32 §:n mukaisen tietojen suojaamisvelvoitteen voidaan perustellusti katsoa edellyttävän organisaatiokohtaista käyttö- ja luovutuslokirekisterin ylläpitoa ja henkilötietojen käsittelyn lainmukaisuuden valvontaa. Tätä tukee myös EU:n tietosuoja-asetuksen 32 artiklan 4 kohta, jonka mukaan rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaadita.

Jos tietojärjestelmät eivät tallenna lokeja - miten rekisterinpitäjä voisivat täyttää velvollisuutensa ? Tämän vuoksi jokaisessa organisaatiossa on syytä selvittää tarkasti henkilötietojen käsittelyssä käytettävät tietojärjestelmät ja niiden lokiominaisuudet. Lisäksi on määriteltävä se, miten varmistetaan lokien pysyminen muuttumattomina ja eheinä. Lokitietojen hallinta ja käytönvalvonnan prosessi tulee olla kuvattuna ja sitä pitää noudattaa. Lokitietoihin (lokirekisteriin) pitää antaa käyttöoikeudet vain niille henkilöille esimerkiksi henkilötietojen käsittelyn valvojille, joiden työtehtävien kannalta se on välttämätöntä. Parhaimmissa ratkaisuissa myös lokitietojen käsittelystä jää lokia, joten myös valvojaa voidaan valvoa. Lisäksi oikeusturvasyistä valvojan mm. tietosuojavastaavan suorittama asiakasrekisterin käytönvalvonta tulee perustua ennalta sovittuun suunnitelmaan (esimerkiksi johdon hyväksymä käytönvalvonnan vuosisuunnitelma).

Lokitietojen ylläpitoon liittyviä säädöstasoisia määräyksiä sisältyy muuhunkin lainsäädäntöön yleisinä määräyksinä. Myös muuta lokiohjeistusta on jonkin verran, ja sitä ovat antaneet esimerkiksi tietosuojavaltuutetun toimisto ja kansallista potilasarkistoa kehittävät Kanta-palvelut. Omat ohjeensa lokien hallintaa löytyy myös puhelinoperaattoritoiminnasta ja pankki- sekä vakuutusmaailmasta.

Valtiovarainministeriön VAHTI 3/2009 (Lokiohje) käsittelee laajasti erilaisia lokiasioita. Ohjeen tavoitteena on parantaa ja tehostaa suunnitelmallista ja tietoturvallista lokien hallintaa ja käsittelyä. Ohjeeseen kannattaa tutustua, jotta paremmin ymmärtää asian laajuuden ja sen, että lokeja on erityyppisiä – ei ainoastaan käyttöön tai luovutukseen liittyviä.

Omat erityispiirteensä liittyy arkaluonteisten henkilötietojen käsittelyyn. Esimerkiksi sosiaalihuollon asiakastietojen ja terveydenhuollon potilastietojen käytön valvominen on yksiselitteisesti lakisääteistä. Lokitietojen ylläpitoon, sisältöön ja käytön valvontaan velvoittavia säädöksiä ja määräyksiä sisältyy sosiaali- ja terveydenhuollossa mm. seuraaviin määräyksiin:
- Laki sähköisestä lääkemääräyksestä (61/2007)
- Laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007)

Lisäksi sosiaali- ja terveysministeriön asetus potilasasiakirjoista (298/2009) määrittelee terveydenhuollon potilastietojen käyttö- ja luovutuslokitietojen säilytysajaksi 12 vuotta.

Yksittäiset työntekijät vastaavat omasta toiminnastaan kuten asiakastietojen urkinnasta ja muusta väärinkäytöstä viime kädessä työ- ja rikosoikeudellisten sanktioiden uhalla. Lisäksi vahingonkorvausoikeudelliset korvaukset voivat langeta maksettavaksi ja olla huomattavia rikoksentekijän osalta esimerkiksi ns. massaurkintatapauksissa, joissa on katseltu lain vastaisesti lukuisia asiakkaita. Mahdolliset väärinkäytösepäilyt selvitetään ennalta määriteltyjä menettelytapoja noudattaen.

Seurannan ja valvonnan pitää olla suunniteltua ja säännöllistä - luvattomaan käyttöön ja muuhun käsittelyyn tulee puuttua!

Tietoja

Kirjoittanut OpiTietosuojaa.fi

Julkaistu: 02.06.2015

Viimeksi päivitetty: 09.12.2016