Sihtasutus Tartu Ülikooli Kliinikum Kliinikumi Leht

Sügisest alates on kliinikumi haiglainfosüsteemi eHL sisenemise lehel kolm meelespead kasutajale: saladuse hoidmise, kasutajatunnuse ja tegevuste logimise kohta.

Esimese meelespea „Infosüsteemi kasutajana olete kohustatud hoidma saladuses Teile tööülesannete täitmisel teatavaks saanud patsiendi isikuandmeid, sealhulgas delikaatseid isikuandmeid" kohustuslikkus tuleneb Eesti õiguskorrast, täpsemalt tervishoiuteenuse osutamise lepingu õiguslikust regulatsioonist. Võlaõigusseaduse § 768 lg 1 ja 2 sätestavad saladuse hoidmise kohustuse tervishoiuteenuse osutamisel järgnevalt: (1) Tervishoiuteenuse osutaja ja tervishoiuteenuse osutamisel osalevad isikud peavad hoidma saladuses neile tervishoiuteenuse osutamisel või tööülesannete täitmisel teatavaks saanud andmeid patsiendi isiku ja tema tervise seisundi kohta, samuti hoolitsema selle eest, et käesoleva seaduse §-s 769 nimetatud dokumentides sisalduvad andmed ei saaks teatavaks kõrvalistele isikutele, kui seaduses või kokkuleppel patsiendiga ei ole ette nähtud teisiti. (2) Käesoleva paragrahvi lõikes 1 sätestatud kohustuse täitmisest võib mõistlikus ulatuses kõrvale kalduda, kui andmete avaldamata jätmise korral võib patsient oluliselt kahjustada ennast või teisi isikuid.

Kliinikumi infosüsteemi kasutamise korra PKL-126 punkt 1 sätestab privaatsuse ja andmekaitse põhimõtetest lähtumise järgnevalt: kliinikumi infosüsteemi kasutamisel tuleb juhinduda seadustest, muudest õigusaktidest, kliinikumi põhikirjast, käesolevast korrast, kliinikumi juhtimissüsteemi dokumentidest ja üldpõhimõtetest: 1.1. kaaskasutajatele ei tohi tekitada asjatut tüli; 1.2. tuleb austada privaatsust; 1.3. tuleb tagada delikaatsete isikuandmete kaitse.

Täiendavalt on iga kliinikumi töötaja sõlminud kliinikumiga konfidentsiaalsuslepingu, mis eelnevale lisaks kohustab hoidma saladuses tööülesannete täitmisel teatavaks saanud isikuandmeid ka pärast töötamisega seotud tööülesannete täitmist või töösuhte lõppemist. Seega on saladuse hoidmise kohustus tähtajatu.

Teise meelespea „Teil on õigus infosüsteemi kasutada ainult oma kasutajatunnusega ja oma tööülesannete täitmiseks" kohustuslikkuse allikad on sarnased esimesele ehk siis seadus ja sisekord. Isikuandmete kaitse seaduse § 25 lg 2 p 4 sätestab isikuandmete töötleja kohustuse isikuandmete töötlemisel tagada, et igal andmetöötlussüsteemi kasutajal oleks juurdepääs ainult temale töötlemiseks lubatud isikuandmetele ja temale lubatud andmetöötluseks.

Kliinikumi infosüsteemi kasutamise korra PKL-126 punkt 21 kohustab infosüsteemi kasutajat: 21.1. hoidma saladuses kasutusõigusi tagavaid paroole; 21.2. mitte lubama teistel isikutel kasutada oma kasutajatunnust, sh lastel, tuttavatel, kolleegidel; 21.3. tagama, et kõrvalistel isikutel poleks võimalik kirjutada tema kataloogidesse ja failidesse; 21.4. viivitamatult informeerima arvutiabi turvaintsidentidest. Kliinikumi kasutajatunnuse andmise kord PKL-109 punkt 6 sätestab üheselt, et kasutajatunnus on personaalne ja seda pole lubatud ühelt isikult teisele edasi anda.

Isikuandmete kaitse seaduse § 25 lg 2 p 4 nõudeid andmetöötlussüsteemide osas on võimalik kliinikumi poolt täita vaid juhul, kui (1) kasutajatunnuse väljastamisel tuvastatakse isik isikuttõendava dokumendi alusel ning kontrollitakse isiku õiguspärast alust kasutajatunnuse saamiseks ehk siis isiku lepingulist suhet kliinikumiga; (2) infosüsteemi sisenemisel tuvastatakse kasutaja kasutajanime ja parooliga või kasutajanime ning ID-kaardi ja PIN1 koodiga; (3) kasutajale määratud infosüsteemi õigused on vastavuses tema tööülesannetega. Töötaja panuseks jääb lähtuda temale infosüsteemide kasutamiseks antud volituste ulatusest ehk siis täitma tööülesandeid oma kasutajatunnusega ning mitte tegema kättesaadavaks oma kasutajatunnust või oma õigustes infosüsteemi teistele isikutele.

Kolmanda meelespea „Kõik Teie tegevused infosüsteemis logitakse" kohustuslikkus kliinikumile on seotud nõuetega patsientide terviseandmeid töötlevatele haiglainfosüsteemidele. Isikuandmete kaitse seaduse § 25 lg 2 p 3 sätestab isikuandmete töötleja kohustuse hoida ära isikuandmete töötlemisel nende omavolilist salvestamist, muutmist ja kustutamist ning tagama, et tagantjärele oleks võimalik kindlaks teha, millal, kelle poolt ja milliseid isikuandmeid salvestati, muudeti või kustutati või millal, kelle poolt ja millistele isikuandmetele andmetöötlussüsteemis juurdepääs saadi.

Isikuandmete töötlemisega hõlmatud tegevuste tagantjärele kindlakstegemine saavutatakse infosüsteemide puhul tegevuste logimisega ehk infotehnilise kasutusjälje loomisega. Infosüsteemi kasutajale on meelespea teavitamiseks, et tema tegevustest jääb jälg, mida kasutatakse seadusest tulenevate isikuandmete töötlemise nõuete täitmise kindlakstegemiseks.

Kokkuvõtteks - õigusega töödelda patsientide terviseandmeid kaasnevad kohustused, millest infosüsteemide kasutaja seisukohast kõige olulisemad on kirja pandud meelespeadesse.

Priit Koovit

informaatikateenistuse arendusosakonna projektijuht

Kommentaar

Priit Kooviti artikkel on seadusi edastav ja faktitäpne, aga võib mõnedes inimestes siiski küsimuse tekitada, et milleks meile seda andmekaitset ikkagi vaja on? Meditsiinitöötajatena me võib olla ei adugi täpselt, kui palju tundlikku informatsiooni meie käest iga päev läbi käib. Kindlustus- ja kinnisvarafirmad ning tööandjad maksaksid palju, kui saaksid tutvuda inimeste terviseandmetega. Ja mitte ainult firmad, vaid ka eraisikud võivad teinekord kõrgendatud huvi üles näidata. Miks nad seda teeksid? See küsimus jääb lugejatele koduseks ülesandeks.

Abimaterjaliks annan paar kujuteldavat juhtumit:

Juhtum nr. 1. Meie haiglas töötav naisterahvas Sirje elas koos ühe mehega. Ühel päeval leidis mees endale uue kallima – Ülle. C'est la vie, juhtub ka paremates peredes! Ja siis lasi Sirje käiku kõik naiselikud võitlusvõtted, et meest endale tagasi saada. Esmalt tuli loomulikult leida sobivat komprat. Suurepärane allikas selleks oli eHL, kus esines viide Ülle varasemale läbipõetud suguhaigusele. Helistaski Sirje Üllele ja ähvardas veneroloogilise anamneesi mehele teatavaks teha. Mis jäi Üllel muud üle, kui politseisse pöörduda.

Juhtum nr. 2. Krista töötas lasteaias. Ühel päeval sai üks laps mängides tõsise trauma ja viidi traumapunkti. Lapse ema süüdistas juhtunus Kristat, nõudis rahalist kompensatsiooni ja kui seda ei saa, lubas asja anda kohtusse. Krista pöördus viimases hädas informatsiooni saamiseks oma isa poole, kes töötas haiglas. See tegi haigusloost väljatrüki, mida tütar kasutas lastevanemate koosolekul enesekaitseks. Seejärel pöörasid hagejad ründeteraviku haigla vastu, kes isikuandmeid lekitas.

Kui ülaltoodud kaasused olid teoreetilist laadi, siis nende lahendused oleksid vägagi reaalsed ja eksijale rängad s.o. distsiplinaarkaristused kuni töövahekorra lõpetamiseni.

Ja nüüd tuleb õpetussõna meedikutele s.o. arstidele, õdedele ja kõigile teistele, kes „isikuandmeid käitlevad": „Hoidke patsientide saladused vaid enda teada!". Kui raske see saladuse hoidmine tegelikkuses on, sellest räägib ju linnalegendki, et bussiga Annelinnast Maarjamõisa sõites võib ühe hommikuga prominentsete patsientide kohta rohkem kõmu kuulda kui terve nädala jooksul Werneri kohvikus.

Margus Ulst

kliinikumi ülemarst