Klassifisering
Tilsynet plasserer et system i klasse A3, A2, A1 eller B, ut fra formålet, tilkoblingen til Kanta, arten av klientopplysningene og risikoen. Ingenting annet kan begynne før dette gjør det, og vi er ikke klassifisert.
Suomi · GDPR · asiakastietolaki 703/2023 · valvontalaki 741/2023 · potilaslaki · Kanta
I Finland handler den første ærlige setningen om hva vi ikke er. Den andre handler om hva ingen andre gjør.
Vi er ikke sertifisert som finsk journalsystem, vi har ikke vært gjennom fellestesting med Kela, og vi står ikke i det nasjonale systemregisteret. En klinikk som tok oss i bruk som journalsystem ville bryte sin egen plikt, ikke bare vår. Den setningen hører til i de første fem minuttene av et møte, ikke i den fjerde måneden.
Det som er verdt resten av møtet, er sikkerhetsplanen hver finsk tilbyder må ha enten den berører Kanta eller ikke — og rollene tilsynsloven pålegger hver tilbyder å utpeke. Det er poster snarere enn et dokument noen skriver én gang, og poster er det denne plattformen er laget av.
Yksityiset ammatinharjoittajat
Palveluyksikön vastuuhenkilö
Tietosuojavastaava
Psykoterapeutit
4leverandørporter vi ikke har
§ 11pasientens rett til loggen
2 årså langt tilbake rekker den
2 mndtil å svare på en anmodning
12 / 120oppbevaringsårene
01 — Veggen
Fire porter, ikke én, og vi har ingen av dem
Folk omtaler dette som «A-klassesertifisering», som om det var ett trinn. En finsk kjøper vet at det er fire, i rekkefølge, og at den siste av dem må holdes gyldig framfor å skaffes én gang.
Sertifisering
Vurdering mot de vesentlige kravene for den klassen. Ikke innehatt.
Fellestesting
Testing av funksjonene som går gjennom Kanta; for de høyeste klassene utsteder Kela erklæringen om samvirke. Ikke innehatt.
Et gyldig informasjonssikkerhetssertifikat
Utstedt av et akkreditert vurderingsorgan, og det må være i kraft — en løpende kostnad snarere enn noe engangs. Ikke innehatt.
Og plikten gjelder kunden, ikke bare oss
En finsk tilbyder må sikre at A-klassesystemene den bruker er sertifiserte, at funksjonene den kjører gjennom Kanta har bestått fellestesting, og at sikkerhetssertifikatet er gyldig. Dette er derfor ikke et tungt salg vi bør presse gjennom — det er et segment som er stengt til portene er på plass. Har du pasientjournaler i Kanta, er vi ikke journalsystemet ditt.
02 — Døren
Sikkerhetsplanen er klinikkens egen plikt, og den er laget av poster
Etter § 77 i asiakastietolaki må hver tilbyder ha en tietoturvasuunnitelma, utfylt av en bindende forskrift. Den gjelder enten tilbyderen berører Kanta eller ikke, og den er ny nok til at de fleste klinikker har bygget dokumentet på nytt nylig.
Det forskriften krever er ikke prosa. Det er tilgangsrettigheter dokumentert og hver endring i dem, loggene, risikoarbeidet, behandlingsprotokollen, databehandleravtalene, opplæringen, de fysiske tiltakene, hendelser — og en navngitt person som svarer for planen. Det er registrene denne plattformen allerede fører, og derfor er dette samtalen som er verdt å ta.
Lukket som standard, gjennomgått, og avvik rapportert
Tilgang følger av en rolle pluss en gjeldende behandlingsrelasjon. Fullmakter registreres med grunnlaget sitt og gjennomgås årlig, og gjennomgangen rapporterer avvik mot de faktiske rettighetene framfor å stole på listen.
Hvert oppslag, ikke bare hver endring
En logg som bare kan skrives til, lenket med hashverdier, som ingen kan endre eller slette, kontrollert etter en tidsplan slik at manipulering blir oppdaget framfor bare å være synlig i ettertid.
Behandling, databehandlere og hendelser
Protokollen over behandlingsaktiviteter, databehandlerregisteret med garantiene og kjeden av underleverandører, og et hendelses- og avviksregister ingenting kan slettes fra.
Den erstattet ikke omavalvontasuunnitelma
Sikkerhetsplanen erstattet den eldre planen for informasjonssystemer. Tjenesteenhetens omavalvontasuunnitelma etter tilsynsloven finnes fortsatt, er offentlig, og gjennomgås hvert år. Tilsynet sier at de to ikke skal slås sammen — og programvaren nekter å merke ett dokument som begge.
03 — Hvem som kan behandle
To nivåer, og det meste av privat terapi ligger på det andre
Finland deler helsepersonell i to, og forskjellen avgjør hva en profil kan si. Begge nivåene ligger i det nasjonale registeret, som hvem som helst kan søke i.
Autorisert — retten til å utøve yrket
Psykolog, lege, fysioterapeut, sykepleier, ergoterapeut, logoped. Autorisasjonen er retten til å gjøre arbeidet.
Beskyttet tittel — retten til navnet
Psykoterapeutti hører hit, sammen med helsefagarbeider, utdannet massør, kiropraktor, naprapat og osteopat. Hvem som helst kan gi samtaler; bare en registrert person kan bruke tittelen. Det meste av privat terapi i Finland selges under dette ordet.
Nivå, registreringsnummer og arbeidsgiverens kontroll
En arbeidsgiver må kontrollere retten til å praktisere før ansettelse og følge med på endringer etterpå. Posten holder nummeret, datoen for kontrollen, hvem som gjorde den og om det var et registeroppslag eller vedtaksdokumentet. Et innskrevet nummer er en påstand, og teller som oppgitt.
Publisering nektes
I et finsk selskap kan en profil som bruker en beskyttet tittel uten tilsvarende kontrollert registrering ikke publiseres — både når posten opprettes og når den endres, så synkroniseringen kommer ikke utenom. Nivåene er ikke utbyttbare: en psykoterapeut registrert som «autorisert» er fortsatt uregistrert for tittelen.
Kela, og den ene tingen vi ikke teller
Bare en utøver med psykoterapeut-tittelen og en tilbyderregistrering kan være Kela-tilbyder av rehabiliterende psykoterapi, og den statusen registreres her. Kelas grenser for antall timer telles ikke — opptil 80 i året og 200 over tre år. Det står på listen over hva vi ikke har bygget, i avsnitt 08.
04 — Tjenesteenheten
En tilbyder registrerer seg én gang; hvert sted den arbeider registreres også
Siden 2024 behandler tilsynsloven en enkeltpersonforetaker — en psykoterapeut med et toiminimi — som en tjenestetilbyder på linje med enhver klinikk. Hvert sted der behandling faktisk gis er et palveluyksikkö, og hver enhet har en navngitt person som svarer for den.
Adresse, tjenester, registrering
En klinikk med flere steder er ett selskap med flere enheter, som er slik det nasjonale registeret ser det, og som plattformen ikke kunne uttrykke før.
Navngitt per enhet, med utdanning og erfaring
Holdt som en utpeking med en start og en slutt, så regelen om sammenhengende dekning gjelder: funnet er de fjorten dagene uten noen som svarer for en enhet, noe et felt for «nåværende innehaver» ikke engang kan uttrykke. En daglig jobb rapporterer det.
Offentlig, og gjennomgått minst én gang i året
Knyttet til enheten som en versjonert policy, med hvor den er publisert, og den årlige gjennomgangen etterspurt framfor husket.
En klage på behandlingen går til den personen
Registrert mot enheten, rutet til den ansvarlige personen, og lukket bare med et skriftlig svar — ikke med en statusendring. Det finnes et felt for hva som ble endret som følge av den, og det kan stå tomt; et register der ingenting noen gang endres, er selve funnet.
Pasientombudet er ikke lenger ditt å ansette
Siden 2024 sitter potilasasiavastaava hos velferdsområdet, også for private pasienter, og tjenesten er gratis. Klinikken må fortsatt fortelle pasientene hvor de finner sitt, så kontakten registreres på selskapet og vises til pasienten i portalen.
05 — Retten til loggen
Hvem som brukte opplysningene mine, hvem som fikk dem, og hvorfor
§ 11 i asiakastietolaki gir en pasient rett til å vite hvem som har behandlet opplysningene deres, hvem de er utlevert til og på hvilket grunnlag. Det er gratis, det rekker to år tilbake, og det besvares innen to måneder etter en skriftlig anmodning.
To år, med mottakeren og grunnlaget
I portalen på /my/records/log: når, hva som skjedde, hvem som gjorde det, hvem det ble gitt til og hvorfor. Journaler pasienten ikke kan åpne vises etter type, aldri etter tittel.
En skriftlig anmodning, med en grunn
Lenger tilbake gis for en særlig grunn — en mistanke om at noen har sett uten grunn, for eksempel. Anmodningen registrerer perioden og grunnen, og programvaren nekter å registrere den ene uten den andre.
To måneder, og noe å bli for sen med
Fristen regnes fra dagen den skriftlige anmodningen kom inn, ikke fra da noen tok tak i den, og en daglig jobb navngir anmodningene som har gått over tiden.
En beslutning med en grunn, aldri en kortere liste
Loven tillater tilbakehold der et svar ville sette pasientens helse eller behandling, eller andres rettigheter, i alvorlig fare. Det registreres som et avslag med sin grunn. En stille forkortet liste er ikke et svar på et bredere spørsmål.
06 — Mindreårige
Finland setter ingen alder, så programvaren registrerer en vurdering
Dette er den skarpeste forskjellen fra Norge, som teller 12, 16 og 18. Finsk rett ber en helsefaglig person avgjøre om denne unge er moden nok til å avgjøre denne saken, og krever at journalen viser om de tillater at vergen får vite.
Hvem som vurderte, når, om hva, og hvorfor
Modenhet vurderes for saken det gjelder, så «hele journalen» er ikke et svar. Begrunnelsen er påkrevd, for det er den noen spør om senere.
Avvist — og avslaget sier hvilket av de to det er
Uten en registrert vurdering avvises en utlevering til en mindreårigs verge, og meldingen sier at vurderingen mangler framfor at svaret er nei. Det er «noen må avgjøre dette først», som er nettopp hva loven ber om.
Respektert, og registrert
Der vurderingen sier at de er modne nok og de ikke tillot det, avvises utleveringen. En ung som er vurdert ikke moden nok kan ikke holde tilbake, og posten nekter å uttrykke den kombinasjonen.
Fare for liv eller helse
Opplysninger en verge trenger for å avverge fare for barnets liv eller helse når dem, og en verge kan ikke blokkere behandling som trengs av samme grunn.
07 — Oppbevaring og nedlegging
Tolv år, eller hundre og tjue
Tolv år fra død, ellers 120 fra fødsel
Lagt inn som en oppbevaringsregel framfor skrevet i en policy ingen anvender. Der dødsfallet ikke er kjent, gjelder 120-årsleddet; der ingen av datoene er kjent, bevares journalen, som er den trygge retningen.
Nøkkelen, ikke raden
Som over alt ellers: to godkjenninger, og å ødelegge krypteringsnøkkelen lar revisjonssporet stå urørt.
Journaler som ikke ligger i Kanta går til Kelas arkiv
De faller så under felles behandlingsansvar med velferdsområdene, og kundeforholdet til Kanta avsluttes særskilt. Vi har ikke bygget denne overføringen — avsnitt 08.
Det vi ødelegger, er vår kopi
Vi markedsfører sletting ved å ødelegge nøkkelen, og i en installasjon koblet til Kanta er kopien i det nasjonale arkivet underlagt lovbestemt oppbevaring som går foran et krav om sletting. Den påstanden må aldri framsettes løselig i Finland.
08 — Grensen
Hva vi ikke har bygget for Finland
Kanta og de fire portene
Avsnitt 01. Alt annet på denne listen er lite ved siden av det.
Overføringen til Kelas arkiv
Eksportmaskineriet finnes og brukes for de norske arkivene; den finske mottakeren er ikke koblet på ennå.
Kontrollen av registreringen gjøres manuelt
Vi kunne ikke bekrefte et åpent grensesnitt til det nasjonale registeret, så et menneske slår opp nummeret og registrerer at det er gjort. Å skrape et offentlig register er ikke svaret.
Timetelling, og finsk tekst
Kelas grenser på 80 i året og 200 over tre år telles ikke. Modulen leveres med engelske tekster med de finske begrepene ved siden av; portalen er ikke oversatt til finsk, selv om veiledningene på dette nettstedet er det.
09 — Arbeidsdelingen
Hva som blir hos deg
Vurderingene
Om en ung er moden nok, om et personvernombud er påkrevd, hva svaret på en klage sier. Vi registrerer hvem som bestemte og hvorfor.
Kontinuitet, sikkerhetskopi og beskyttelse mot skadevare
Sikkerhetsplanen krever alle tre. To av dem er driftsavtalen din og én er en kontroll i driftsmiljøet. Egen drift betyr at de er dine, og vi kommer ikke til å påstå at de er våre.
Registrene planen krever
Tilgangsrettigheter og endringene i dem, loggen på oppslagsnivå, behandlingsprotokollen, garantiene fra databehandlere, opplæringspostene, de fysiske tiltakene, hendelsesregisteret.
Å si den første setningen tidlig
Vi er ikke et sertifisert journalsystem. En leverandør som begynner med det, er lettere å stole på i alt som følger etter.
Ikke juridisk rådgivning
Denne siden er skrevet ut fra publiserte sammendrag av finsk rett og kontrollert mot koden, ikke avklart med finsk advokat. De nasjonale nettstedene var ikke tilgjengelige fra miljøet den ble skrevet i, så behandle hver paragrafhenvisning som et utgangspunkt for den samtalen heller enn som konklusjonen.