Tietojärjestelmien valvonta. 3.10.2019. Antti Härkönen, Valvira

1. Valvira valvoo valtakunnallisesti jokaisen oikeutta hyvinvointiin, laadukkaisiin palveluihin ja turvallisiin
elinoloihin.
Valvira.fi, @ValviraViestii
Tietojärjestelmien
valvonta
THL Olennaiset vaatimukset ja
sertifiointi -koulutus
3.10.2019
Antti Härkönen, yli-insinööri
@AnttiHarkonen

2. Esityksen sisältö
Valvonta perustuu lakiin
Tietojärjestelmien rekisteri
Vaaratilanne ja poikkeama
2.10.2019 2

3. Valvonta perustuu lainsäädäntöön
• Terveysteknologiaryhmä valvoo laitteita, tarvikkeita
sekä tietojärjestelmiä seuraaviin lakeihin perustuen:
• Laki terveydenhuollon laitteista ja tarvikkeista 629/2010
• Uusi lääkinnällisiä laitteita koskeva EU-asetus (MDR)
 sovelletaan viimeistään 26.5.2020 alkaen
• Laki sosiaali- ja terveydenhuollon asiakastietojen
sähköisestä käsittelystä 159/2007 ns. asiakastietolaki
• Verkko- ja tietoturvadirektiivi (NIS)
• Lääkinnällisten laitteiden valvonta siirtyy Fimeaan
vuoden 2020 alussa – asiakastietolakiin perustuvat
tehtävät säilyvät Valvirassa.
2.10.2019 3

4. Ohjelmisto terveydenhuollon laitteena
• Ohjelmisto on lähtökohtaisesti terveydenhuollon laite silloin,
kun sitä käytetään terveydentilan, sairauksien tai
synnynnäisten epämuodostumien havaitsemiseksi,
diagnosoimiseksi, valvomiseksi tai hoitamiseksi.
• Lääkinnällisten laitteiden valmistajan kiinnittämä CE-
merkintä takaa laitteelle vapaan liikkuvuuden Euroopassa,
laitteilta ei edellytetä viranomaishyväksyntää.
• Vaatimuksia sovelletaan myös terveydenhuollon laitteita
ohjaaviin tai niiden toimintaan vaikuttaviin erillisiin
ohjelmistoihin.
• Myös matkapuhelinsovellukset voivat olla terveydenhuollon
laitteita, samoin kuin potilastietojärjestelmät tai
potilastietojärjestelmän osat.
• Ohjelmiston luokittelussa terveydenhuollon laitteeksi voi
hyödyntää MEDDEV 2.1.6 -viranomaisohjetta.
2.10.2019 4

5. MDR-asetuksen tuomia muutoksia
• Tulossa yhteinen EUDAMED-tietokanta, josta tuotteen
tiedot voi tarkistaa.
• Tuotteiden jäljitettävyyden parantamiseksi jatkossa
yksilöivä UDI-tunniste (Unique Device Identifier).
• Useiden nykyisin luokassa I olevien ohjelmistojen luokka
nousee vähintään luokkaan IIa.  tarvitaan ilmoitettu
laitos.
• Kaikilla valmistajilla on oltava laadunhallintajärjestelmä,
jota ei ole vaadittu aikaisemmin luokan I valmistajilta.
• Ilmoitettu laitos arvioi laadunhallintajärjestelmän
korkeamman riskiluokan tuotteilta.
2.10.2019 5

6. Asiakastietolaki
• Laki 159/2007 sosiaali- ja terveydenhuollon
asiakastietojen sähköisestä käsittelystä
• Laki määrittelee yleiset vaatimukset tietojärjestelmille ja
niiden valmistajille sekä sosiaali- ja terveydenhuollon
palvelujen antajille.
• Tietojärjestelmällä tarkoitetaan sosiaali- ja
terveydenhuollon asiakastietojen sähköistä käsittelyä
varten tarkoitettua ohjelmistoa tai järjestelmää, jonka
avulla tallennetaan ja ylläpidetään asiakas- tai
potilasasiakirjoja ja niissä olevia tietoja.
• Tietojärjestelmä voi samalla olla myös edellä kuvattu
terveydenhuollon laite, mutta se ei välttämättä ole.
2.10.2019 6

7. Omavalvonta-/tietoturvasuunnitelma
• Sosiaalihuollon ja terveydenhuollon palvelujen antajan
on laadittava suunnitelma.
• Suunnitelmasta selvittävä, miten on varmistettu
esimerkiksi:
• Käyttäjien koulutus
• Käyttöohjeiden saatavuus
• Järjestelmien ylläpito ja päivitys
• Käyttöympäristön soveltuvuus asianmukaiseen käyttöön
• Tietojärjestelmiä ylläpitävän henkilöstön ammattitaito ja
asiantuntemus
• Palvelujen antajan, välityspalvelun tuottajan ja
Kansaneläkelaitoksen on seurattava
omavalvontasuunnitelman toteutumista.
• Tietoturvasuunnitelman ei tarvitse (eikä pidäkään) olla
julkisesti saatavilla.
2.10.2019 7

8. Valviran tehtävät
• Valviran keskeisin asiakastietolakiin liittyvä tehtävä on
ylläpitää rekisteriä vaatimustenmukaisista
tietojärjestelmistä.
• Lisäksi Valvira ottaa vastaan ja käsittelee palvelun
antajien ilmoituksia merkittävistä tietoturvaa, tietosuojaa
tai potilasturvallisuutta vaarantavista poikkeamista.
• Valvira käsittelee lisäksi tietojärjestelmien valmistajien
ilmoituksia tietojärjestelmien olennaisten vaatimusten
merkittävistä poikkeamista.
• Valviralla on oikeus tehdä valvonnan edellyttämiä
tarkastuksia
2.10.2019 8

9. Tietojärjestelmän rekisteröinti
• Valviraan ilmoitetaan tietojärjestelmän käyttöönotosta,
merkittävistä muutoksista sekä tuotantokäytön
päättymisestä.
• Ilmoitusohjeet ja tietojärjestelmien rekisteri:
• http://www.valvira.fi/terveydenhuolto/terveysteknologia/tuotteen_
markkinoille_saattaminen/tietojarjestelmat
• Kanta-palveluun liitetyltä järjestelmältä tarvitaan
ilmoituslomakkeeseen tiedot
• Kelan yhteistestauksen lausunnosta
• Tietoturvallisuuden arviointilaitoksen todistuksesta
• Myös tietojen muutokset ilmoitetaan samoilla lomakkeilla
2.10.2019 9

10. Vaaratilanne ja poikkeama
• Terveydenhuollon laitteilla vaaratilanneilmoitusmenettely
• Asiakastietolaissa kuvattu poikkeamat ja niistä
ilmoittaminen
• Tietoturvaan ja tietosuojaan liittyvät tapahtumat
• Ilmoitusmenettely molemmissa tapauksissa sama
• Ilmoitetaan laitteen/ohjelmiston valmistajalle sekä
Valviralle
• Epäselvissä tapauksissa voi kysyä ohjeita
2.10.2019 10

11. Poikkeamista ilmoittaminen
• Jos sosiaali- tai terveydenhuollon palvelujen antaja
havaitsee, että tietojärjestelmän olennaisten vaatimusten
täyttymisessä on merkittäviä poikkeamia, on palvelujen
antajan ilmoitettava siitä tietojärjestelmän valmistajalle.
• Jos poikkeama voi aiheuttaa merkittävän riskin
potilasturvallisuudelle, tietoturvalle tai tietosuojalle, on siitä
ilmoitettava myös Sosiaali- ja terveysalan lupa- ja
valvontavirastolle.
• Luokkaan A kuuluvien tietojärjestelmien merkittävistä
poikkeamista on ilmoitettava tietoturvallisuuden
arviointilaitokselle ja Sosiaali- ja terveysalan lupa- ja
valvontavirastolle. (L159/2007 5 a luvun 19 g §)
• Ilmoitus tapahtuu Valviran sivuilta löytyvällä
vaaratilanneilmoituslomakkeella.
2.10.2019 11

12. Mediasta poimittua
2.10.2019 12

13. Lisätietoja
• Tietojärjestelmiin liittyvä ohjeistus
• http://www.valvira.fi/terveydenhuolto/terveysteknologia/tuotteen_
markkinoille_saattaminen/tietojarjestelmat
• Ilmoitus vaaratilanteesta (tai tietojärjestelmän
poikkeamasta)
• http://www.valvira.fi/terveydenhuolto/terveysteknologia/valviralle-
tehtavat-ilmoitukset/ilmoitus-vaaratilanteesta
• NIS-direktiivi
• https://www.valvira.fi/terveydenhuolto/terveysteknologia/tietojarje
stelmat/verkko-ja-tietoturvadirektiivin-nis-valvonta
• Antti Härkönen, etunimi.sukunimi@valvira.fi, p. 0295 209
530, @AnttiHarkonen
2.10.2019 13