Rootsi andmekaitse järelevalveasutus Datainspektionen auditeeris äsja 8 tervishoiuteenuse pakkujat, et selgitada välja, kuidas on määratud juurdepääsuõigused patsientide digitaalsetele terviseandmetele. Seitsmel juhul kaheksast määrati ka haldustrahvid, kokku 30 miljonit rootsi krooni.
Järelevalveasutuse audit keskendus küsimusele – kas tervishoiuteenuste pakkujad on koostanud juurdepääsuvajaduste ja riskide analüüsi ning teinud terviseandmetele juurdepääsuõiguste andmise otsused sellele analüüsile tuginedes.
Tervishoiuteenuste pakkujad on kohustatud analüüsima ja hindama oma personali teadmisvajadust ja isikuandmetele juurdepääsuga kaasnevaid riske. Auditite koordinaatori hinnangul ei saa tervishoiuteenuste pakkuja ilma sellise analüüsita määrata õiget juurdepääsuõiguste taset, mis omakorda ei võimalda piisavalt tagada patsientide õigust eraelu kaitstusele.
Kaheksast auditeeritust seitsmel oli selline riskianalüüs üldse tegemata ning seetõttu polnud neil alust väita, et töötajale antud juurdepääsuõigus on seotud selle töötaja tööülesannete täitmisest tuleneva teadmisvajadusega. Auditi hinnangul oli patsiendi isikuandmete piisav turvalisus seega tagamata.
Rootsi järelevalveasutus on koostanud juhendmaterjali, mis tuginev auditi käigus selgunud puudujääkidele ning selgitab võimalusi selliste vigade vältimiseks. Esmajärjekorras on oluline viia läbi riskianalüüs veel enne kui hakatakse töötajatele juurdepääsuõigusi jagama. Rootsi keeles on juhendmaterjal kättesaadav siin https://www.datainspektionen.se/globalassets/dokument/behovs–och-riskanalys-inom-halso–och-sjukvarden—en-vagledning-di-2020-11495.pdf
Juhendmaterjal pakub välja kuus põhilist riskianalüüsi koostamise etappi:
- tervishoiuteenuse pakkuja vajaduste analüüs;
- isiku privaatsusele tekkivate riskide identifitseerimine ja analüüs;
- riskide maandamiseks asjakohaste tehniliste ja organisatsiooniliste meetmete määratlemine;
- analüüsidele tugineva pädevuse ülesehitamine, mis toetab vajadusi ning minimeerib riske;
- oma tegevuse kõigi etappide dokumenteerimine;
- juurdepääsude andmise ning riskide vähendamise süsteemi pidev jälgimine.
Juhendmaterjal selgitab muuhulgas termini asjakohane (appropriate) sisu: asjakohasus on eri tingimustes erinev ning seostub nii identifitseeritud riskidega kui ka isikuandmete töötlemise laadi, ulatuse, konteksti ja eesmärgiga. Samuti rõhutab järelevalveasutus, et andmeid tuleb kaitsta nii välise juurdepääsu eest kui ka tervishoiuteenuse pakkuja personali volituseta ja/või põhjendamatu juurdepääsu eest. Iga töötaja isiklikud juurdepääsuõigused peavad piirduma tööülesannete täitmiseks vajalikuga ning juurdepääsuõigused tuleb regulaarselt üle vaadata ning neid vajaduse korral muuta.
