Kanta-palvelujen liittymisen ja käytön tietoturvakäytännöt

Jos omavalvonnan kohde on liittynyt Kanta-palvelujen käyttäjäksi, on tietoturvasuunnitelmassa selvitettävä, miten valtakunnallisten tietojärjestelmäpalveluiden tietoturvallisen käytön edellyttämät vaatimukset varmistetaan. Vaatimusten toteuttamistapa on kuvattava tietoturvasuunnitelmassa ja se on oltava todennettavissa valvontaviranomaisen järjestämissä valvontatilanteissa.

Palvelunantajan on huolehdittava siitä, että henkilöstö hallitsee Kanta-palvelujen käyttöön liittyvät toimintamallit ja periaatteet sekä tietää väärinkäytösten seuraamukset. Tietoturvasuunnitelmassa on selvitettävä, miten asiakkaiden informointi Kanta-palveluista ja tietojen käytöstä tapahtuu ja on palvelunantajan todennettavissa.

Tietoturvasuunnitelmaan on kuvattava, miten Kanta-palvelujen käyttäminen on otettu huomioon henkilöstön koulutusmateriaaleissa, koulutuksissa ja ohjeistuksissa.

Omavalvonnan kohteella on oltava kuvaus toimintamallista, jonka mukaisesti se seuraa aktiivisesti Kanta- palvelujen käyttöä. Osana toimintamallia on muun muassa kuvattava, miten seurataan asiakirjojen arkistointia asianmukaisesti ja Kanta-palvelujen lähettämiä virheilmoituksia.

Omavalvonnan kohteen on lisäksi varmistettava, että Kanta-palveluihin arkistoidaan ainoastaan sosiaali- ja terveydenhuollon rekistereihin kuuluvia potilas- ja asiakasasiakirjoja.

Ohjeistuksessa tulee muun muassa huolehtia siitä, kuinka varmistetaan asiakirjojen valmiiksi merkitseminen ja viivytyksetön arkistointi Kanta-palveluihin. Asiakirjojen arkistoimattomuus Kanta-palveluihin tai merkittävät viiveet aiheuttavat riskejä tiedon eheyden, asiakkaan lakisääteisten oikeuksien sekä sosiaali- ja terveydenhuollon ammattilaisten oikeusturvan näkökulmasta.

Häiriötilanteiden varalta omavalvonnan kohteella tulee olla selkeät menettelytavat ja vastuut Kanta-palvelujen ja niihin liittyvien järjestelmien virhetilanteiden tilanteiden havainnointiin, tiedottamiseen, korjaamiseen ja jälkihoitoon. Palvelunantajan ja tietojärjestelmäpalvelun tuottajan välisissä sopimuksissa tulee kuvata vastuut esimerkiksi kiireellisissä häiriötilanteissa tai tietoturvaloukkaustilanteissa (kuten esimerkiksi asiakas- ja viranomaisviestintä ja tarvittavien tapahtumalokitietojen käsittely).

Vastuutahot häiriötilanteiden ilmoittamisesta Kanta-palvelujen tekniseen tukeen on oltava todennettavissa. Palvelunantajan on ilmoitettava Kelalle sen antamien ohjeiden mukaisesti muutoksista palvelunantajan käyttämissä tietojärjestelmissä (sisältäen versiotiedot tai muut tietojärjestelmän statusta kuvaavat tiedot).

Omavalvonnan kohteen on kuvattava, kuinka Kanta-palveluista haettujen asiakastietojen käyttöä seurataan. Tämä koskee erityisesti niin sanotun hätähaun käytön seurannan järjestämistä, erityissuojattavien tietojen hakua ja käyttöä sekä ilman teknistä hoitosuhteen varmistusta (ns. erityinen syy) tehtyjä hakuja. Henkilöstön on oltava tietoisia seurannasta ja väärinkäytön seuraamuksista.

Palvelunantajan on varmistettava, että sen toimintaa varten hankittava tai päivitettävä tietojärjestelmä täyttää tietojärjestelmän käyttötarkoitusta vastaavat olennaiset vaatimukset THL:n määräyksen 5/2021 mukaisesti. Palvelunantajan on säännöllisesti seurattava, että THL:n määräyksen 4/2021 mukaisesti luokkaan A1, A2 tai A3 kuuluvilla tietojärjestelmillä ja välityspalveluilla on voimassa oleva todistus tietoturvallisuuden arvioinnista. Kanta- palveluihin liittyvien (erityisesti luokkaan A2 tai A3 kuuluvien) tietojärjestelmien osalta on varmistettava, että järjestelmissä on hyväksytysti yhteistestattu ne ominaisuudet, jotka vastaavat järjestelmän käyttötarkoitusta. Nämä tiedot ovat julkisesti saatavilla Valviran tietojärjestelmärekisteristä. Lisäksi palvelunantajan tulee osaltaan varmistaa, että myös muut kuin Kanta-palveluihin liittyvät sosiaalihuollon asiakastietojen ja potilastietojen käsittelyyn tarkoitetut tietojärjestelmät on ilmoitettu Valviralle ja että tiedot ovat ajan tasalla Valviran tietojärjestelmärekisterissä.

Palvelunantajan on myös määriteltävä menettelytavat käytännön toiminta- ja vastuukysymyksissä niihin tilanteisiin, että tietojärjestelmän tai välityspalvelun todistus tietoturvallisuuden arvioinnista peruutetaan määräajaksi tai kokonaan tai tietojärjestelmän käyttö kielletään tai sen käyttöä rajoitetaan. Tällaiset seikat tulee ottaa ennalta huomioon palvelunantajan, välittäjän ja tietojärjestelmäpalvelun tuottajan välisissä sopimuksissa (vrt. THL:n määräys 5/2021).

Tässä luvussa kuvatut seikat tulee olla tarvittaessa todennettavissa valvontaviranomaisen järjestämissä valvontatilanteissa.