Terveydenhuollon tietoturvalaiminlyöntien takana on yleensä puutteellinen suunnittelu tai inhimillinen virhe. Tietoturvavaltuutettu Reijo Aarnion mukaan inhimillisiä erehdyksiä tapahtuu aina, kun ihmisiä on pelissä.
"Usein syynä on se, ettei henkilöä ole osattu etukäteen ohjata siitä, miten hänen tulee menetellä asiakirjojen kanssa. Tietoturva-asiat pitäisi kuitenkin suunnitella ja henkilökunta ohjeistaa kunnolla."
Alkuvuodesta otsikoihin nousi potilaiden tietoturvan laiminlyönti Malmin terveyskeskuksessa Helsingissä. Potilas löysi henkilökunnan vessasta pahvilaatikoissa arkistoitavaksi menossa olevia entisten potilaiden tietoja. Paperit olivat peräisin hiljattain Malmille muuttaneelta Pukinmäen terveysasemalta.
Aarnio sanoo, että terveydenhuollon yksiköiden lopettaminen ja yhdisteleminen altistaa tietoturvariskeille.
"Jos hommaa ei tehdä hyvin ja huolellisesti, tämmöisiä mällejä pääsee tapahtumaan."
Tietoturvan laiminlyönnit melko harvinaisia
Tietoturvavirheitä tapahtuu silloin tällöin. Hallitussihteeri Päivi Salo sosiaali- ja terveysministeriöstä arvioi, että niiden määrä on kuitenkin pieni verrattuna siihen, kuinka paljon tietoa järjestelmässä liikkuu. Myös Aarnio arvioi, etteivät vuodot ole kovin yleisiä.
"Jokainen tapaus on kuitenkin liikaa", hän huomauttaa.
Suomessa ollaan parhaillaan siirtymässä potilasasiakirjojen sähköiseen järjestelmään. Laki sosiaali- ja terveydenhuollon asiakkaiden asiakirjojen sähköisestä käsittelystä tuli voimaan heinäkuussa.
Valtakunnalliseen, keskitettyyn järjestelmään siirtyminen siirtää vastuun potilastietojen arkistoinnista Kelalle. Sairaaloilla ja terveyskeskuksilla säilyy rekisterinpitäjän vastuu.
Sähköinen järjestelmä on Salon mukaan käytössä jo lähes kaikissa sairaaloissa ja terveyskeskuksissa. Runsaan kolmen vuoden päästä sen on tarkoitus toimia täydellä teholla.
Uusi laki tuo tietoturvavaltuutetut kaikkiin yksiköihin
Aarnio pitää uutta järjestelmää pääasiassa hyvänä. Laki esimerkiksi antaa potilaalle oikeuden tietää, kuka häntä koskevia asiakirjoja on käsitellyt. Samoin se määrää, että jokaiseen terveydenhuollon yksikköön on asetettava tietosuojavastaava. Vastaavan tehtävien määritteleminen on vielä kesken. Tietosuojavaltuutetun toimisto julkaissee täsmennykset helmikuussa.
Alkusyksystä Tietosuojavaltuutetun toimisto kysyi sadalta terveydenhuollon yksiköltä, joko niissä on nimitetty tietosuojavaltuutettu. Tuolloin valtuutettu toimi puolessa yksiköistä. Kevään aikana toimisto aikoo selvittää asiaa uudelleen. Samalla selvitetään terveydenhuollon tietoturvan tilaa laajemminkin.