Terveysalan ajanvaraus ja tietosuoja: mitä varauslomakkeella saa kysyä

Yksityisen vastaanoton ajanvaraus kysyy oletuksena liikaa. Käymme läpi kenttä kerrallaan, mikä on turvallista, mikä paljastaa terveystiedon huomaamatta ja mikä ei kuulu varauslomakkeelle lainkaan — ja miten säilytysaika asetetaan niin, että varaustieto, laskutus ja potilasasiakirja pysyvät erillään.

Varauslomakkeelle kysytään nimi, puhelin ja sähköposti — ja siinä se. Ei henkilötunnusta, ei diagnoosia, ei esitietoja, ei vapaata "käynnin syy" -kenttää. Tärkein oivallus on kuitenkin se, ettei ongelma ole lomake vaan koko ketju: kun asiakas valitsee palvelun "psykoterapia 45 min", terveystieto on jo syntynyt, ja se kulkee sen jälkeen kalenteriin, tekstiviestimuistutukseen, sähköposti-ilmoitukseen, maksutapahtuman selitteeseen ja varmuuskopioon. Terveystieto kuuluu erityisiin henkilötietoryhmiin, joten sen käsittelyyn tarvitaan sekä yleinen oikeusperuste että erillinen käsittelyperuste, ja suojatoimet ovat tiukemmat kuin tavallisella asiakasrekisterillä. Tarkista aina ajantasaiset vaatimukset tietosuojavaltuutetun toimiston ohjeista — tämä sivu on käytännön opas, ei oikeudellista neuvontaa.

Fysioterapeutti, hieroja, psykoterapeutti, jalkahoitaja, yksityislääkäri, hammaslääkäri. Yhden tai kahden ihmisen vastaanotto, jossa ajanvaraus on tähän asti hoidettu puhelimella ja kalenterilla, ja nyt halutaan verkkovaraus, koska puhelin soi kesken hoidon.

Siinä kohtaa törmätään kysymykseen, jota kampaamon tai autokorjaamon ei tarvitse miettiä lainkaan: mitä varauslomakkeella saa kysyä, kun toimiala on terveydenhuolto. Tavallinen varausjärjestelmä kysyy oletuksena liikaa, ja moni ottaa lomakkeen käyttöön sellaisenaan.

Miksi terveysalan ajanvaraus on eri asia kuin muu ajanvaraus?

Terveyttä koskevat tiedot kuuluvat tietosuoja-asetuksessa erityisiin henkilötietoryhmiin. Käytännön ero tavalliseen henkilötietoon on kaksiosainen. Ensinnäkin käsittelylle tarvitaan yleisen oikeusperusteen — esimerkiksi sopimus tai lakisääteinen velvoite — lisäksi erillinen peruste juuri erityisen tietoryhmän käsittelylle. Terveydenhuollossa tällainen peruste tyypillisesti löytyy, koska hoidon antaminen on nimenomaan sitä toimintaa, jota varten poikkeus on kirjoitettu. Toiseksi suojatoimien taso on korkeampi: pääsynhallinta, lokitus, salaus ja säilytysajat pitää olla mietittynä, ei vain käytössä sattumalta.

Emme kirjoita tähän artiklanumeroita. Sääntö on tärkeämpi kuin numero, ja numeron muistaminen väärin on huonompi kuin sen jättäminen pois. Kun tarvitset tarkan viittauksen viranomaiselle tai sopimukseen, ota se tietosuojavaltuutetun toimiston ohjeista, älä blogista.

Toinen ero on valvonta. Yksityinen terveydenhuollon palveluntuottaja on tietosuojasääntelyn lisäksi terveydenhuollon oman sääntelyn ja valvovan viranomaisen piirissä. Se tuo mukanaan velvoitteita, joita tietosuoja-asetus ei tunne lainkaan — potilasasiakirjoja, niiden sisältöä ja niiden säilyttämistä koskevat omat säännöksensä. Tähän palataan alempana, koska juuri tästä syntyy pahin sekaannus.

Varauslomakkeen kenttätesti

Käy oma varauslomakkeesi läpi kenttä kerrallaan ja anna jokaiselle yksi kolmesta arvosanasta. Turvallinen tarkoittaa tavallista henkilötietoa, jonka varaus vaatii toimiakseen: nimi, puhelinnumero ja sähköposti kuuluvat tähän. Paljastaa terveystiedon tarkoittaa kenttää, joka ei näytä terveystiedolta mutta on sitä — tärkein niistä on valitun palvelun nimi, joka kertoo terveydentilasta ilman että sitä kysyttiin keneltäkään. Ei kuulu lomakkeelle tarkoittaa kenttää, joka pitää poistaa tänään: henkilötunnus, vapaa käynnin syy, diagnoosi, esitiedot sekä allergiat ja lääkitys. Alla oleva taulukko käy tavallisimmat kentät läpi arvosanoineen ja perusteluineen.

Rivi, jota kukaan ei kirjoita auki, on palvelun nimi. Kun varauskalenterissa on kolme palvelua ja yksi niistä on "traumaterapia", jokainen varaus siihen palveluun on terveystieto. Sitä ei voi poistaa lomakkeelta, koska ilman palvelun valintaa ei ole varausta. Sen kanssa siis eletään — mutta silloin pitää tietää, minne se tieto kulkee.

Koko ketju, ei vain lomake

Varauslomake on vain ketjun ensimmäinen kohta, ja suurin osa terveysalan varaustietojen vuodoista tapahtuu sen jälkeen. Piirrä yksi rivi paperille ja merkitse siihen jokainen paikka, johon varaustieto päätyy. Tyypillisellä yhden hengen vastaanotolla niitä on seitsemän: varausjärjestelmän tietokanta, tekstiviestimuistutus, sähköpostivahvistus ja oma ilmoitussähköposti, synkronoitu kalenteri, maksutapahtuman selite, varmuuskopiot ja analytiikka. Näistä kolme viimeistä unohtuvat lähes aina, ja analytiikka on yksittäisenä yleisin vuoto: jos kiitossivun osoitteessa lukee palvelun nimi, se päätyy analytiikkaan ja mainostyökaluihin. Alla lista auki perusteluineen.

• Varausjärjestelmän tietokanta. Se paikka, jota kaikki muistavat.
• Tekstiviestimuistutus. Jos viestissä lukee palvelun nimi, terveystieto lähtee operaattorin kautta lukitsemattomalle lukitusnäytölle. "Muistutus ajastasi huomenna klo 14" riittää.
• Sähköpostivahvistus ja oma ilmoitussähköposti. Postilaatikko on käytännössä toinen rekisteri, ja se on usein huonommin suojattu kuin itse järjestelmä.
• Kalenteri. Jos varaukset synkronoidaan Google- tai Microsoft-kalenteriin, mieti mitä tapahtumaan kirjoitetaan ja kenellä on pääsy siihen kalenteriin.
• Maksutapahtuma. Tiliotteen tai maksulinkin selite näkyy asiakkaan verkkopankissa ja teidän kirjanpidossanne. "Vastaanottokäynti" on parempi selite kuin palvelun tarkka nimi.
• Varmuuskopiot. Poisto, joka ei ulotu varmuuskopioihin, ei ole poisto. Riittää, että tiedät kopioiden kiertoajan ja pystyt kertomaan sen.
• Analytiikka. Jos varauksen kiitossivun osoitteessa lukee palvelun nimi, se päätyy analytiikkaan ja mainostyökaluihin. Tämä on yleisin yksittäinen vuoto terveysalan varaussivuilla.

Säilytysajan asettaminen: kolme eri kelloa

Tässä on se sekaannus, joka maksaa eniten. Varaustiedolla, laskutustiedolla ja potilasasiakirjalla on jokaisella oma säilytysaikansa, ja ne tulevat eri säännöksistä. Potilasasiakirjojen säilytysajat tulevat terveydenhuollon omasta sääntelystä, eivät tietosuoja-asetuksesta, ja ne ovat pitkiä. Varaustiedon säilytysaika taas on lähtökohtaisesti teidän itsenne perusteltavissa, ja se on yleensä lyhyt. Älä siis jatka varaustiedon säilytystä sillä perusteella, että potilasasiakirjoja pitää säilyttää kauan — ne ovat eri asia.

1. Erottele kolme tietolajia kirjallisesti Varaustieto: kuka, milloin, mikä palvelu, tuliko paikalle. Laskutustieto: kirjanpidon tosite ja sen liitteet. Potilasasiakirja: hoidon sisältö, esitiedot, kirjaukset. Kirjoita nämä kolme riviä ylös ennen kuin kosket asetuksiin, koska muuten kaikki menee samaan pinoon.
2. Anna varaustiedolle lyhyt ja perusteltu aika Peruste on käytännöllinen: peruutusten selvittely, no-show-seuranta, kausivaihtelun katsominen. Valitse aika, jonka pystyt perustelemaan yhdellä lauseella, ja kirjoita se tietosuojaselosteeseen. Jos et osaa perustella pituutta, se on liian pitkä.
3. Jätä laskutustieto kirjanpidon omaan kelloonsa Kirjanpitoaineiston säilyttämiseen on oma lakisääteinen velvoitteensa, eikä asiakas voi vaatia tositteiden poistoa kesken sen. Tämä tarkoittaa, että laskutus kannattaa pitää eri järjestelmässä kuin varaus — muuten kirjanpidon säilytysvelvollisuus jää pitämään kiinni myös varaustiedosta.
4. Pidä potilasasiakirjat siellä, minne ne kuuluvat Potilasasiakirjat kuuluvat potilastietojärjestelmään, eivät varausjärjestelmään. Tarkista niitä koskevat ajantasaiset vaatimukset viranomaiselta, älä blogista tai järjestelmätoimittajan myyntisivulta.
5. Ajasta poisto, älä luota muistiin Käytännössä tämä on yksi ajastettu tehtävä, joka poistaa tai anonymisoi varausrivit, kun aika täyttyy. Anonymisointi riittää usein: säilytä "maanantaina klo 9 oli varaus, asiakas tuli paikalle" ilman nimeä, niin saat tilastosi ilman henkilötietoa.
6. Ulota poisto ketjun muihin päihin Sähköposti-ilmoitukset, tekstiviestiloki, kalenteritapahtumat ja vientitiedostot. Kirjoita jokaisen viereen, kuinka kauan se elää. Tämä lista on koko työn arvokkain osa.
7. Kirjaa kerran vuodessa, että tarkistit Yksi rivi päivämäärällä. Se on ero järjestelmän välillä, joka on kunnossa, ja järjestelmän välillä, jonka uskotaan olevan kunnossa.

Kuka näkee mitäkin: pääsynhallinta pienessä vastaanotossa

Yhden ihmisen vastaanotossa pääsynhallinta tuntuu turhalta. Se muuttuu heti, kun mukaan tulee sijainen, vuokratuolilla työskentelevä kollega, kirjanpitäjä tai verkkosivujen tekijä. Kolme asiaa riittää alkuun. Jokaisella on oma tunnus, ei jaettua kirjautumista, koska jaetusta tunnuksesta ei näe kuka katsoi mitä. Kaksivaiheinen tunnistus on päällä siellä, missä varaukset ja sähköposti ovat. Ja kun joku lähtee, tunnus poistetaan samana päivänä eikä seuraavalla viikolla. Nämä eivät ole terveysalan erityisvaatimuksia vaan tavallista tietoturvaa, mutta terveystiedon kanssa niiden laiminlyönti maksaa enemmän.

Kolme asiaa riittää alkuun. Jokaisella on oma tunnus, ei jaettua kirjautumista. Kaksivaiheinen tunnistus on päällä siellä, missä varaukset ja sähköposti ovat. Ja kun joku lähtee, tunnus poistetaan samana päivänä. Nämä eivät ole terveysalan erityisvaatimuksia vaan tavallista tietoturvaa, mutta terveystiedon kanssa niiden laiminlyönti maksaa enemmän. Aiheesta on erikseen yrityksen tietoturvan perussivumme.

Jos ulkopuolinen palvelu käsittelee varaustietoja teidän lukuunne, siitä tarvitaan kirjallinen käsittelysopimus. Se on lähes aina valmiina toimittajan ehdoissa, joten työ on sen pyytämistä ja tallentamista. Tästä ja muusta pienyrityksen tietosuojan peruskamasta kirjoitimme oman artikkelinsa: GDPR pienyritykselle.

"GDPR-yhteensopiva järjestelmä" ei ole olemassa

"GDPR-yhteensopiva järjestelmä" on myyntilause, joka kannattaa lukea tarkasti. Mikään ohjelmisto ei ole tietosuojasäännösten mukainen ominaisuutena, koska säännöstenmukaisuus syntyy käytöstä: siitä mitä kysyt, mitä säilytät, kuinka kauan, kenellä on pääsy ja mitä kerrot asiakkaalle. Sama järjestelmä voi olla kunnossa yhdellä vastaanotolla ja täysin retuperällä toisella, eikä toimittaja voi vaikuttaa siihen kummin päin. Merkin sijaan toimittajalta kannattaa kysyä kolme konkreettista asiaa: missä tietoa säilytetään ja siirretäänkö sitä EU:n ulkopuolelle, saako säilytysajan asettaa itse ja poistuuko tieto oikeasti, ja onko käsittelysopimus saatavilla ilman erillistä vääntöä. Jos näihin ei tule suoraa vastausta, merkillä ei ole väliä.

Toimittajalta kannattaa kysyä kolme konkreettista asiaa merkin sijaan. Missä tietoa säilytetään ja siirretäänkö sitä EU:n ulkopuolelle. Saako säilytysajan asettaa itse ja poistuuko tieto oikeasti. Onko käsittelysopimus saatavilla ilman, että sitä pitää pyytää kolme kertaa. Jos näihin ei tule suoraa vastausta, merkillä ei ole väliä.

Milloin oma varausjärjestelmä EI kannata

Neljässä tilanteessa emme suosittele terveysalan vastaanotolle erillistä ajanvarausjärjestelmää. Ensimmäinen on se, että käsittelet potilasasiakirjoja ja tarvitset oikeasti potilastietojärjestelmän — erillinen varaus ei korvaa sitä. Toinen on se, että olet jo kiinni potilastietojärjestelmän omassa ajanvarauksessa, jolloin toinen kalenteri rinnalle tuottaa tuplakirjauksia ja päällekkäisvarauksia. Kolmas on se, että varauksia tulee muutama viikossa ja puhelin toimii, jolloin ratkaistavaa ongelmaa ei ole. Neljäs on se, että alalla on vakiintunut varausalusta, jonka kautta asiakkaat oikeasti etsivät — silloin näkyvyys voi olla arvokkaampaa, kunhan lasket provision auki.

Käsittelet potilasasiakirjoja ja tarvitset oikeasti potilastietojärjestelmän. Jos kirjaat hoidon sisältöä, tarvitset järjestelmän, joka on tehty siihen tarkoitukseen. Erillinen ajanvaraus ei korvaa sitä, eikä varausjärjestelmään pidä alkaa kirjata hoitotietoja siksi, että se on jo auki. Silloin oikea järjestys on hankkia potilastietojärjestelmä ensin ja katsoa vasta sitten, tarvitaanko sen päälle erillistä verkkovarausta.

Olet jo kiinni potilastietojärjestelmän omassa ajanvarauksessa. Jos käyttämässäsi järjestelmässä on varaus mukana, toinen kalenteri rinnalle on tuplakirjaus ja tuplakirjaus tuottaa päällekkäisvarauksia. Käytä sitä mikä on, vaikka se olisi ruma.

Varauksia tulee muutama viikossa ja puhelin toimii. Verkkovaraus maksaa itsensä takaisin siinä, ettei puhelin soi kesken hoidon ja että vapaat ajat täyttyvät iltaisin. Jos kalenteri on täynnä kuukausiksi eteenpäin ja asiakkaat ovat vakioita, mitään ongelmaa ei ole ratkaistavana.

Alalla on vakiintunut varausalusta, jonka kautta asiakkaat oikeasti etsivät. Silloin näkyvyys voi olla arvokkaampaa kuin oma järjestelmä. Muista kuitenkin laskea provisio auki: markkinapaikan komissio nousee ajan myötä ja asiakassuhde on alustan, ei sinun. Kirjoitimme siitä laskelman erikseen varausjärjestelmän provisiosta.

Jos taas kaksi asiaa on totta — varauksia tulee viikossa niin monta, että puhelin häiritsee työtä, ja haluat säilytysajan ja tietojen paikan omissa käsissäsi — oma ajanvarausjärjestelmä on perusteltu. Mitä se maksaa, lukee hinnastossa. Emme myy sitä puhelimessa.

Kymmenen minuutin tarkistus tälle päivälle

Terveysalan varaussivun pahimmat vuodot korjataan kymmenessä minuutissa kuudella toimenpiteellä. Avaa oma varaussivusi asiakkaan silmin ja tee ne järjestyksessä. Poista käynnin syy -kenttä tai kirjoita sen viereen, mitä siihen ei saa kirjoittaa. Poista henkilötunnus, jos se on lomakkeella. Lue oma tekstiviestimuistutuksesi ja poista palvelun nimi siitä. Katso kiitossivun osoite ja tarkista, näkyykö siinä palvelun nimi analytiikalle. Tarkista, kuka muu näkee kalenterisi. Kirjoita lopuksi tietosuojaselosteeseen varaustiedon säilytysaika — se, jota oikeasti noudatat. Nämä kuusi kattavat suurimman osan siitä, mistä pienen vastaanoton varaustiedot vuotavat.

• Poista "käynnin syy" -kenttä tai kirjoita sen viereen, mitä siihen ei saa kirjoittaa.
• Poista henkilötunnus, jos se on lomakkeella.
• Lue oma tekstiviestimuistutuksesi ja poista palvelun nimi siitä.
• Katso kiitossivun osoite: näkyykö siinä palvelun nimi analytiikalle.
• Tarkista, kuka muu näkee kalenterisi.
• Kirjoita tietosuojaselosteeseen varaustiedon säilytysaika — se, jota oikeasti noudatat.

Nämä kuusi kohtaa kattavat suurimman osan siitä, mistä pienen vastaanoton varaustiedot vuotavat. Loput on säilytysajan ajastamista ja sen kirjaamista, että tarkistit.

Usein kysyttyä

Lue seuraavaksi

• Asiakasrekisteri ja tietosuoja: mitä Excel ei osaa ratkaista
• Autokorjaamon ajanvarausjärjestelmä: miksi kalenteri ei riitä työjonoksi
• Tekoäly ja tietosuoja yrityksessä: mitä työkaluun saa syöttää ja mitä ei
• Tietosuoja ja tietoturva: mikä niiden ero on pienyrityksessä
• Yrityssovelluksen kehittämisen hinta

Lue myös: Verkkokaupan perustaminen: hinta, vaihtoehdot ja todellinen kululista · Tietosuojaseloste-malli pienyritykselle · Liiketoimintasuunnitelman pohja ja laskelmat · IT-konsultointi pienyritykselle · Tekoälykonsultointi pienyritykselle · Digitalisaatio pienyritykselle · Liikkeenjohdon konsultointi pienelle yritykselle · Google-yritysprofiili: tee itse ilmaiseksi tai anna meidän hoitaa se