Tietojärjestelmät tallentavat tietojen käsittely- ja tapahtumahistoriaa eli keräävät lokia erilaisista tapahtumista. Lokeja on eri tyyppisiä, kuten käyttöloki, virheloki, muutosloki ja luovutusloki.
Lokirekisteri on henkilö-/asiakas-/potilastietoja sisältävä henkilörekisteri, josta on laadittava tietosuojaseloste (tai muuten huolehdittava rekisteröityjen informoinnista). Jokaiselle henkilörekisterille, kuten myös lokirekisterille, on määriteltävä rekisterinpitäjä. Rekisterinpitäjän ja sen vastuuhenkilöiden asiana on huolehtia siitä, että rekisteritoiminnot ja niitä toteuttavat tietojärjestelmät vastaavat lainsäädäntöä ja että toimintaa toteuttaville työntekijöille on annettu asianmukaiset määräykset, ohjeet ja koulutusta asiasta.
Tiedonhallintalaki (906/2019) edellyttää käyttö- ja luovutuslokirekisterin ylläpitoa ja tietojen käsittelyn lainmukaisuuden valvontaa. Tätä tukee myös EU:n tietosuoja-asetuksen 32 artiklan 4 kohta, jonka mukaan rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaadita.
Jos tietojärjestelmät eivät tallenna lokeja - miten rekisterinpitäjä voisivat täyttää velvollisuutensa ? Tämän vuoksi jokaisessa organisaatiossa on syytä selvittää tarkasti henkilötietojen käsittelyssä käytettävät tietojärjestelmät ja niiden lokiominaisuudet. Lisäksi on määriteltävä se, miten varmistetaan lokien pysyminen muuttumattomina ja eheinä. Lokitietojen hallinta ja käytönvalvonnan prosessi tulee olla kuvattuna ja sitä pitää noudattaa. Lokitietoihin (lokirekisteriin) pitää antaa käyttöoikeudet vain niille henkilöille esimerkiksi henkilötietojen käsittelyn valvojille, joiden työtehtävien kannalta se on välttämätöntä. Parhaimmissa ratkaisuissa myös lokitietojen käsittelystä jää lokia, joten myös valvojaa voidaan valvoa. Lisäksi oikeusturvasyistä valvojan mm. tietosuojavastaavan suorittama asiakasrekisterin käytönvalvonta tulee perustua ennalta sovittuun suunnitelmaan (esimerkiksi johdon hyväksymä käytönvalvonnan vuosisuunnitelma).
Lokitietojen ylläpitoon liittyviä säädöstasoisia määräyksiä sisältyy muuhunkin lainsäädäntöön yleisinä määräyksinä. Myös muuta lokiohjeistusta on jonkin verran, ja sitä ovat antaneet esimerkiksi tietosuojavaltuutetun toimisto ja kansallista potilasarkistoa kehittävät Kanta-palvelut. Omat ohjeensa lokien hallintaa löytyy myös puhelinoperaattoritoiminnasta ja pankki- sekä vakuutusmaailmasta.
Traficomin kyberturvallisuuskeskuksen nettisivut käsittelee erilaisia lokiasioita Näin keräät ja käytät lokitietoja | Kyberturvallisuuskeskus. Ohjeistuksien tavoitteena on parantaa ja tehostaa suunnitelmallista ja tietoturvallista lokien hallintaa ja käsittelyä. Ohjeeseen kannattaa tutustua, jotta paremmin ymmärtää asian laajuuden ja sen, että lokeja on erityyppisiä – ei ainoastaan käyttöön tai luovutukseen liittyviä.
Omat erityispiirteensä liittyy arkaluonteisten henkilötietojen käsittelyyn. Esimerkiksi sosiaalihuollon asiakastietojen ja terveydenhuollon potilastietojen käytön valvominen on yksiselitteisesti lakisääteistä. Lokitietojen ylläpitoon, sisältöön ja käytön valvontaan velvoittavia säädöksiä ja määräyksiä sisältyy sosiaali- ja terveydenhuollossa mm. seuraavaan lakiin
- Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä (703/2023)
Yksittäiset työntekijät vastaavat omasta toiminnastaan kuten asiakastietojen urkinnasta ja muusta väärinkäytöstä viime kädessä työ- ja rikosoikeudellisten sanktioiden uhalla. Lisäksi vahingonkorvausoikeudelliset korvaukset voivat langeta maksettavaksi ja olla huomattavia rikoksentekijän osalta esimerkiksi ns. massaurkintatapauksissa, joissa on katseltu lain vastaisesti lukuisia asiakkaita. Mahdolliset väärinkäytösepäilyt selvitetään ennalta määriteltyjä menettelytapoja noudattaen.
Seurannan ja valvonnan pitää olla suunniteltua ja säännöllistä - luvattomaan käyttöön ja muuhun käsittelyyn tulee puuttua!
- Tietoja
- Kirjoittanut OpiTietosuojaa.fi
