Asiakastietolain mukaiset sosiaali- ja terveydenhuollon tietojärjestelmät

Toiminnalliset vaatimukset tarkoittavat tietojärjestelmään toteutettuja toimintoja ja tietosisältöjä. Toiminnalliset vaatimukset pohjautuvat sosiaali- ja terveydenhuoltoa säätelevään substanssilainsäädäntöön kuten esimerkiksi lääkelakiin tai lakiin potilaan asemasta ja oikeuksista. Tarkemmin tietojärjestelmältä vaaditut toiminnot ja tietosisällöt kuvataan Terveyden ja hyvinvoinnin laitoksen Olennaisten vaatimusten luokitus -dokumentissa (excel, thl.fi). Tietojärjestelmän käyttötarkoitus määrittää sen, mitä toimintoja ja tietosisältöjä tietojärjestelmään on toteutettava.

Tietojärjestelmäpalvelun tuottaja kuvaa järjestelmälomakkeessa tietojärjestelmään toteutetut, järjestelmän käyttötarkoituksen mukaiset toiminnallisuudet ja tietosisällöt. Jos järjestelmä kuuluu luokkaan A, tietojärjestelmäpalvelun tuottaja toimittaa järjestelmälomakkeen

• Kelaan ilmoittautuessaan yhteistestaukseen (luokat  A2 ja A3)
• tietoturvallisuuden arviointilaitokselle ilmoittautuessaan tietoturvallisuuden arviointiin (luokat A1, A2 ja A3)
• Valviralle ilmoittaessaan tietojärjestelmän Valviran tietojärjestelmärekisteriin

Jos järjestelmä kuuluu luokkaan B, tietojärjestelmäpalvelun tuottaja toimittaa järjestelmälomakkeen Valviralle ilmoittaessaan tietojärjestelmän Valviran tietojärjestelmärekisteriin. Luokkaan B kuuluvan tietojärjestelmän toiminnalliset vähimmäisvaatimukset on kuvattu Terveyden ja hyvinvoinnin laitoksen Asiakas- tai potilastietojen käsittelyyn tarkoitetun järjestelmän vähimmäisvaatimukset -profiilissa (excel, thl.fi).

Järjestelmälomakkeella annettujen tietojen tulee olla ajantasaisia, oikein ja niiden tulee vastata tietojärjestelmään toteutettuja toiminnallisuuksia ja tietosisältöjä.

Katso myös

• THL:n määräys 4/2021 sosiaali- ja terveydenhuollon tietojärjestelmien luokittelusta ja sertifioinnista (pdf, thl.fi)
• THL:n määräys 5/2021 sosiaali- ja terveydenhuollon tietojärjestelmien olennaisista toiminnallisista ja tietoturvavaatimuksista (pdf, thl.fi)
• THL:n määräyksen 5/2021 liite 4 Järjestelmälomake (excel, thl.fi)​​​​​​

Yhteentoimivuudella tarkoitetaan, että Kanta-palveluihin liitettävät tietojärjestelmät tallentavat asiakas- tai potilastietoa Kanta-palveluihin siten, että tieto voidaan hakea ja näyttää myös toisella tietojärjestelmällä. Asiakas- ja potilastietojen välittäminen eri sosiaali- ja terveydenhuollon palvelunantajien välillä Kanta-palvelujen kautta on mahdollista vain, jos tietoja välittävät tietojärjestelmät ovat keskenään yhteentoimivia. Yhteentoimivuuden edellytyksenä on, että Kanta-palveluihin liitettävät tietojärjestelmät toteutetaan kansallisten määrittelyjen mukaisesti.

Olennaisista vaatimuksista yhteentoimivuus todennetaan Kelan järjestämässä yhteistestauksessa, joka on suoritettava luokan A2 ja A3 tietojärjestelmille. Poikkeuksena tästä luokkaan A3 kuuluvat Kanta-palvelut, joita ei erikseen yhteistestata. Tietojärjestelmien luokista ja luokittelusta löydät lisää tietoa Tietojärjestelmien luokittelu -sivulta.

Kela antaa hyväksytysti suoritetusta yhteistestauksesta tietojärjestelmäpalvelun tuottajalle yhteistestauslausunnon ja -raportin. Kelan suorittama yhteistestaus on maksuton palvelu.

Yhteistestausta koskevat kysymykset tulee osoittaa Kelan Yhteistestaukselle osoitteeseen yhteistestaus@kanta.fi.

Katso myös

• Kanta-palvelujen Määrittelyt-sivusto (kanta.fi)
• Kanta-palvelujen Testaus-sivusto (kanta.fi)

Tietoturva tarkoittaa sitä, että sosiaalihuollon asiakastietoja ja terveydenhuollon potilastietoja käsittelevät tietojärjestelmät täyttävät käyttötarkoituksensa mukaiset tietoturvavaatimukset, jotta asiakas- ja potilastietojen käsittelyn luottamuksellisuus, eheys ja saatavuus voidaan varmistaa. Tarkemmin tietojärjestelmiltä ja käyttöympäristöiltä vaaditut tietoturvavaatimukset kuvataan Terveyden ja hyvinvoinnin laitoksen Olennaisten vaatimusten luokitus -dokumentissa (excel, thl.fi).

Luottamuksellisuus tarkoittaa sitä, että asiakas- ja potilastiedot ovat vain niiden henkilöiden saatavilla, joilla on oikeus niitä nähdä. Käytännössä luottamuksellisuus tarkoittaa potilastietojärjestelmässä esimerkiksi sitä, että järjestelmässä varmistetaan hoitosuhteen olemassaolo ennen kuin potilastietoja voi katsella.

Eheys tarkoittaa, että asiakas- ja potilastietoja voi muuttaa vain siihen oikeutetut henkilöt, mikä varmistetaan esimerkiksi ammattihenkilön allekirjoituksella. Eheys tarkoittaa myös sitä, että asiakas- ja potilastieto on ajantasaista ja ristiriidatonta, jolloin esimerkiksi potilastietojärjestelmään tallennettujen tietojen ja Kanta-palveluihin tallennettujen tietojen välillä ei ole eroavaisuuksia.

Käytettävyys tarkoittaa, että asiakas- ja potilastiedot ovat sosiaali- ja terveydenhuollon käytettävissä silloin, kun niitä tarvitaan. Esimerkiksi Kanta-palveluihin tallennettujen potilastietojen on oltava aina sosiaali- ja terveydenhuollon palvelunantajien haettavissa.

Luokkaan A kuuluville tietojärjestelmille on suoritettava tietoturvallisuuden arviointi, jossa todennetaan tietoturvavaatimuksien täyttyminen. Arvioinnin suorittaa Liikenne ja viestintävirasto Traficomin hyväksymä tietoturvallisuuden arviointilaitos, joka antaa suoritetusta tietoturvallisuuden arvioinnista tietojärjestelmäpalvelun tuottajalle tietoturvallisuustodistuksen ja siihen liittyvän raportin. Tietoturvallisuustodistus on voimassa enintään kolme vuotta ja sen voimassaoloa voi jatkaa enintään kolmeksi vuodeksi kerrallaan.

Tietojärjestelmäpalvelun tuottaja valitsee, mitä Traficomin hyväksymää arviointilaitosta se käyttää tietoturvallisuuden arvioinnin suorittamiseen. Tietoturvallisuuden arviointilaitoksen suorittama tietoturvallisuuden arviointi on maksullinen palvelu.

Luokkaan B kuuluvilta tietojärjestelmiltä ei vaadita tietoturvallisuuden arviointilaitoksen suorittamaa tietoturvallisuuden arviointia, vaan tietojärjestelmäpalvelun tuottaja vastaa siitä, että tietojärjestelmä täyttää käyttötarkoituksensa mukaiset olennaiset vaatimukset. Tietojärjestelmäpalvelun tuottaja voi halutessaan tilata arviointilaitoksen suorittaman tietoturvallisuuden arvioinnin myös luokan B tietojärjestelmälle. Luokan B tietojärjestelmän rekisteröinnin yhteydessä tietojärjestelmäpalvelun tuottaja vakuuttaa, että tietojärjestelmä täyttää sille käyttötarkoituksensa mukaan asetetut tietoturvaa- ja tietosuojaa koskevien säädösten mukaiset olennaiset vaatimukset. Luokkaan B kuuluvan tietojärjestelmän tietoturvavaatimuksista kerrotaan Terveyden ja hyvinvoinnin laitoksen Asiakas- tai potilastietojen käsittelyyn tarkoitetun järjestelmän vähimmäisvaatimukset -profiilissa (excel, thl.fi).

Katso myös

• Traficomin hyväksymät tietoturvallisuuden arviointilaitokset (traficom.fi)
• THL:n määräyksen 5/2021 liite 4 Järjestelmälomake (excel, thl.fi)