Potilastiedot sijaitsevat kahden lakisääteisen velvoitteen risteyskohdassa. Yleinen tietosuoja-asetus (GDPR) antaa potilaille merkittäviä oikeuksia heidän henkilötietoihinsa, mukaan lukien oikeuden saada virheelliset tiedot korjattua ja tietyissä olosuhteissa poistetuksi. Samaan aikaan ammatilliset ja sääntelykehykset edellyttävät kliinikkojen ylläpitävän täydellisiä, tarkkoja ja muuttamattomia kliinisiä dokumentaatioita hoidosta. Kliinisille hallintohenkilöille, jotka vastaavat näiden pyyntöjen käsittelystä päivittäin, on välttämätöntä ymmärtää tarkalleen, missä nämä velvoitteet alkavat, päättyvät ja menevät päällekkäin.

Kaksi GDPR-oikeutta, joilla on merkitystä: oikaisu ja poisto

Kaksi GDPR:n artiklaa ovat suoraan merkityksellisiä, kun potilas kyseenalaistaa potilaskertomuksensa sisällön.

16 artikla, oikeus oikaisuun, antaa yksilöille oikeuden saada virheelliset henkilötiedot korjattua ilman aiheetonta viivytystä ja saada puutteelliset henkilötiedot täydennettyä. Kuten Irlannin tietosuojavaltuutettu vahvistaa, tämä oikeus koskee tosiasiallisia henkilötietoja, kuten väärää syntymäaikaa, virheellistä osoitetta tai väärin kirjoitettua nimeä, suhteellisen suoraviivaisesti. Siitä tulee huomattavasti monimutkaisempaa, kun kyseessä olevat tiedot ovat kliininen lausunto, diagnoosi tai hoitomerkintä.

17 artikla, oikeus poistoon (kutsutaan myös oikeudeksi tulla unohdetuksi), antaa yksilöille oikeuden pyytää henkilötietojensa poistamista tietyissä olosuhteissa: kun tietoja ei enää tarvita siihen tarkoitukseen, jota varten ne kerättiin, kun suostumus on peruutettu tai kun tietoja on käsitelty lainvastaisesti. Kuten Information Commissioner's Officen (ICO) ohjeistus oikeudesta poistoon tekee selväksi, tämä oikeus ei ole ehdoton.

Molempia oikeuksia voi käyttää mikä tahansa tunnistettu rekisteröity, tässä yhteydessä potilas, jonka potilaskertomus on tallennettu. Molemmissa on yhden kalenterikuukauden vastausaika. Kumpikaan ei toimi ilman merkittäviä rajoituksia terveydenhuollon ympäristössä.

Kun potilas pyytää korjausta: mitä GDPR todella velvoittaa sinua tekemään

Kun potilas jättää oikaisupyynnön, 16 artikla edellyttää rekisterinpitäjän, tyypillisesti terveydenhuolto-organisaation, arvioivan, ovatko kyseiset tiedot todella virheellisiä tai puutteellisia, ja toimivan sen mukaisesti kuukauden kuluessa.

Suoraviivaisten tosiasiallisten virheiden, kuten väärän NHS-numeron tai virheellisen syntymäajan, osalta tämä on suhteellisen yksinkertaista. Merkintä korjataan, muutos kirjataan ja potilaalle ilmoitetaan. Monimutkaisuus syntyy kliinisten merkintöjen, mukaan lukien diagnoosit, havainnot, riskiarviot ja lääkepäätökset, kohdalla, joissa virheellisyyden käsite ei ole itsestään selvä.

ICO käsittelee tämän suoraan. Sen ohjeistus oikaisusta toteaa, että jos potilas saa diagnoosin, jonka myöhemmin osoitetaan olevan virheellinen, hänen potilaskertomuksessaan tulisi kirjata sekä alkuperäinen diagnoosi että lopulliset löydökset. Alkuperäistä merkintää ei poisteta. Se kontekstualisoidaan. Tämä heijastaa kliinisen dokumentaation perusperiaatetta: potilaskertomus on olemassa osoittamaan, mitä tiedettiin ja päätettiin tietyllä ajanhetkellä, ei vain sitä, mitä tällä hetkellä ymmärretään todeksi.

Korjaus potilaskertomuksen yhteydessä tarkoittaa lähes aina lisäystä tai huomautusta, ei ylikirjoittamista. GDPR-Hubin kommentaari 16 artiklasta vahvistaa, että oikaisu voidaan toteuttaa muuttamalla tietoja, osittaisella tai täydellisellä poistamisella tai täydentämällä. Käytännössä potilaskertomusten osalta täydentäminen lisäyslausunnon kautta on yleisin ja oikeudellisesti puolustettavin lähestymistapa.

Kun potilas pyytää poistoa: 17 artiklan rajat terveydenhuollossa

Oikeus poistoon on pyyntö, jonka kliiniset hallintohenkilöt todennäköisimmin käsittelevät väärin, joko käsittelemällä sitä automaattisesti pätevänä tai kieltämällä sen ilman asianmukaista arviointia. Kumpikaan lähestymistapa ei ole vaatimustenmukainen.

17 artiklan (3) kohdan täysi teksti määrittelee useita poikkeuksia, jotka ovat suoraan merkityksellisiä potilaskertomusten kannalta. Poistoa ei sovelleta, kun säilyttäminen on tarpeen:

• Unionin tai jäsenvaltion lainsäädännön mukaisen lakisääteisen velvoitteen noudattamiseksi

• Kansanterveyteen liittyvistä yleisen edun mukaisista syistä 9 artiklan 2 kohdan h ja i alakohdan mukaisesti

• Yleisen edun mukaisia arkistointitarkoituksia tai tieteellisiä tai historiallisia tutkimustarkoituksia varten

• Oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi

Käytännössä useimmat potilaskertomukset kuuluvat ainakin yhden näistä poikkeuksista piiriin. Euroopan unionin jäsenvaltioiden ja Yhdistyneen kuningaskunnan kansallinen lainsäädäntö asettaa lakisääteiset vähimmäissäilytysajat potilaskertomusten osalta, tyypillisesti kahdeksasta kolmeenkymmeneen vuoteen riippuen potilaskertomuksen tyypistä ja lainkäyttöalueesta, mikä muodostaa lakisääteisen velvoitteen 17 artiklan 3 kohdan a alakohdan mukaisesti. Secure Privacyn tietosuojavastaavan ohjeistus terveydenhuollolle vahvistaa, että kun lakisääteinen säilytysvelvoite on voimassa, poistopyynnöt voidaan laillisesti hylätä.

Euroopan tietosuojaneuvoston (EDPB) vuoden 2025 koordinoidussa täytäntöönpanotoimessa analysoitiin 764 rekisterinpitäjän vastauksia ympäri Eurooppaa. Todettiin, että rekisterinpitäjät sovelsivat usein väärin 17 artiklan 3 kohdan poikkeuksia käsittelemällä niitä automaattisesti sovellettavina ilman tapauskohtaista arviointia. Yhdeksän tietosuojaviranomaista käynnisti tämän seurauksena muodolliset täytäntöönpanotutkimukset. Opetus kliinisille hallintohenkilöille on selvä: poistopyynnön hylkääminen vaatii dokumentoidun perustelun, ei yleistä käytäntöä.

Vaikka poistopyyntö hylätään laillisesti, organisaation on silti vastattava potilaalle kuukauden kuluessa, selitettävä hylkäämisen perusteet ja ilmoitettava heille oikeudesta valittaa asianomaiselle valvontaviranomaiselle.

Tarkastusketjuvaatimus: mitä on kirjattava, kun potilaskertomusta muutetaan

Aina kun potilaskertomuksen merkintää korjataan, siihen lisätään huomautus tai se merkitään kiistanalaiseksi, organisaation on ylläpidettävä täydellinen tarkastusketju. Tämä on sekä GDPR:n vastuullisuusvaatimus että lääketieteellinen-oikeudellinen välttämättömyys.

Vaatimustenmukaisen tarkastusketjun potilaskertomuksen muutoksesta on sisällettävä:

• Muutoksen tehneen henkilön henkilöllisyys

• Muutoksen päivämäärä ja aika

• Muutoksen syy

• Alkuperäisen merkinnän sisältö, säilytettynä kokonaisuudessaan

• Muutoksen luonne (lisäys, korjaus tai kiistamerkintä)

NHS:n ohjeistuksen mukainen yleislääkärin vastaanoton potilaskertomusten käyttöoikeuskäytäntö toteaa nimenomaisesti: "Tiedot voidaan poistaa näkyvistä, mutta tarkastusketju pitää potilaskertomuksen aina täydellisenä. Potilaskertomuksiin voidaan tehdä muutoksia edellyttäen, että muutokset tehdään tavalla, joka osoittaa, miksi muutos tehtiin."

Alkuperäisten merkintöjen ylikirjoittaminen tai poistaminen jälkiä jättämättä on yksi vakavimmista vaatimustenmukaisuuden laiminlyönneistä, jonka kliininen hallintohenkilö voi tehdä. Se luo samanaikaisen GDPR-riskin (vastuullisuuden laiminlyönti 5 artiklan 2 kohdan mukaisesti) ja lääketieteellisen-oikeudellisen riskin (mahdollinen todiste potilaskertomusten peukaloinnista kliinisessä laiminlyönti- tai sääntelytutkimuksessa). Tarkastusketjujen on oltava peukaloinnilta suojattuja, ja niiden tulisi tallentaa yksityiskohtaiset tiedot jokaisesta vuorovaikutuksesta, mukaan lukien käyttäjän henkilöllisyys, aikaleima, IP-osoite, laitetunniste, tietojen luokittelu ja suoritettu toiminto.

Miten ammatilliset standardit ja sääntelyelimet ovat vuorovaikutuksessa GDPR-velvoitteiden kanssa

GDPR asettaa lattian, ei kattoa. Kansalliset lääketieteelliset neuvostot, ammatilliset sääntelyviranomaiset ja terveysjärjestelmän elimet lisäävät ylimääräisiä velvoitteita päälle. Useimmissa tapauksissa nämä vahvistavat pikemminkin kuin ovat ristiriidassa GDPR:n lähestymistavan kanssa potilaskertomusten eheyteen.

Yhdistyneessä kuningaskunnassa sekä General Medical Council (GMC) että Nursing and Midwifery Council (NMC) edellyttävät kliinikkojen pitävän selkeitä, tarkkoja ja samanaikaisia potilaskertomuksia. NHS:n ohjeistus potilaskertomusten hallinnasta määrittelee säilytysaikataulut, jotka määrittävät vähimmäisajan, jonka eri potilaskertomustyyppejä on säilytettävä. Nämä velvoitteet ovat suorassa vuorovaikutuksessa 17 artiklan 3 kohdan a alakohdan kanssa: kun lakisääteinen tai sääntelyyn perustuva säilytysvaatimus on olemassa, se tarjoaa oikeusperustan poistopyynnön hylkäämiselle.

EU:n jäsenvaltioissa tilanne on samanlainen mutta vaihteleva. Ruotsin, Yhdistyneen kuningaskunnan ja Saksan kansalliset lainsäädäntökehykset heijastavat suurelta osin GDPR:ää tarjoten samalla erilaisia lisämekanismeja potilastietojärjestelmien virheiden hallintaan. Tulevan Euroopan terveystietoavaruuden (EHDS) odotetaan sijoittavan oikaisuprosessin digitaalisten terveyspalvelujen sisään, mahdollisesti mahdollistaen järjestelmänsisäisen potilaan panoksen.

Kliinisten hallintohenkilöiden, jotka toimivat rajojen yli tai organisaatioissa, joihin sovelletaan sekä Yhdistyneen kuningaskunnan GDPR:ää että EU:n GDPR:ää, tulisi olla tietoisia siitä, että jäsenvaltioiden säännöt voivat olla tiukempia kuin GDPR:n perusvaatimukset. Heidän tulisi hakea lainkäyttöaluekohtaista oikeudellista neuvontaa, kun sovellettava kehys on epäselvä.

Oikea prosessi oikaisupyynnön käsittelyyn vaihe vaiheelta

Seuraava työnkulku heijastaa 16 ja 19 artiklan GDPR-vaatimuksia, yhden kuukauden vastausaikaa ja parhaita käytäntöjä potilaskertomusten hallinnassa.

Vaihe 1: Vastaanota ja kirjaa pyyntö. Kirjaa vastaanottopäivämäärä. Yhden kuukauden kello alkaa välittömästi riippumatta siitä, miten pyyntö jätettiin (kirje, sähköposti, verkkolomake tai suullinen pyyntö, jota seuraa kirjallinen vahvistus).

Vaihe 2: Varmista potilaan henkilöllisyys. Älä käsittele pyyntöä ennen kuin henkilöllisyys on vahvistettu. Tämä suojaa luvattomilta muutoksilta kolmannen osapuolen potilaskertomuksiin.

Vaihe 3: Tunnista kyseiset tiedot. Pyydä potilasta täsmentämään tarkasti, mitä merkintää tai merkintöjä he pitävät virheellisinä tai puutteellisina ja mitä korjausta he hakevat.

Vaihe 4: Kuule vastuullista kliinikko. NHS:n mukainen potilaskertomuskäytäntö on selvä: "Jos kiista koskee lääketieteellistä merkintää, merkinnän tehnyttä kliinikkoa tulee kuulla ja harkita, onko sen muuttaminen asianmukaista." Tämä vaihe ei ole valinnainen.

Vaihe 5: Määritä asianmukainen toimenpide. Klinikon arvion ja tietojen luonteen perusteella:

• Jos merkintä sisältää selvän tosiasiallisen virheen (väärä päivämäärä, väärä nimi): korjaa se ja säilytä alkuperäinen tarkastusketjussa

• Jos merkintä on kliininen lausunto, jonka takana kliinikko seisoo: lisää täydentävä huomautus, joka kirjaa potilaan kiistan muuttamatta alkuperäistä

• Jos merkintä on aidosti puutteellinen: lisää täydennyslausunto

Vaihe 6: Päivitä potilaskertomus vaatimustenmukaisesti. Säilytä alkuperäinen merkintä, päivitä ja liitä muutos selkeästi ja dokumentoi muutoksen syy.

Vaihe 7: Ilmoita potilaalle lopputuloksesta. Vastaa yhden kalenterikuukauden kuluessa alkuperäisestä pyynnöstä. Jos pyyntö hylätään kokonaan tai osittain, selitä perusteet ja ilmoita potilaalle oikeudesta valittaa valvontaviranomaiselle.

Vaihe 8: Dokumentoi päätöksentekoprosessi. Kirjaa, mitä harkittiin, ketä kuultiin, mikä päätös tehtiin ja miksi. Tämä dokumentaatio on organisaation todiste vaatimustenmukaisuudesta, jos päätöstä myöhemmin kyseenalaistetaan.

Mitä tehdä, kun olet eri mieltä potilaan versiosta tapahtumista

Potilas voi väittää, että kliininen merkintä on virheellinen, kun merkinnän tehnyt kliinikko seisoo sen tarkkuuden takana. Tämä on yksi yleisimmistä ja väärinymmärretyimmistä skenaarioista potilaskertomusten hallinnassa.

GDPR ei edellytä terveydenhuollon tarjoajien hyväksyvän potilaan suosimaa versiota tapahtumista tosiasiaksi. Irlannin tietosuojavaltuutetun ohjeistus on selkeä siitä, että oikeus oikaisuun tai oikeus poistoon ei sovellu helposti lääketieteellisiin lausuntoihin, diagnooseihin ja kliinisiin hoitomerkintöihin, juuri siksi, että nämä edustavat ammatillisia arvioita pikemminkin kuin objektiivisia tosiasioita.

GDPR:n mukainen vastaus kiistanalaisessa kliinisessä merkintätilanteessa on lisätä potilaskertomukseen huomautus, joka osoittaa, että potilas kiistää merkinnän, jättäen samalla klinikon alkuperäisen dokumentaation koskemattomaksi. Tämä lähestymistapa:

• Säilyttää alkuperäisen potilaskertomuksen eheyden

• Tunnustaa potilaan oikeuden saada hänen näkemyksensä kirjatuksi

• Luo läpinäkyvän tarkastusketjun, joka osoittaa kiistan käsitellyn

• Ei vaadi organisaatiota ratkaisemaan kilpailevia kertomuksia

Yhden kuukauden vastausaika on edelleen voimassa. Potilaalle on ilmoitettava lopputuloksesta, mukaan lukien se tosiasia, että alkuperäinen merkintä on säilytetty, ja heidän oikeudestaan eskaloida asia valvontaviranomaiselle, jos he ovat edelleen tyytymättömiä.

Kolmannen osapuolen ilmoitukset: onko sinun kerrottava kenellekään muulle muutoksesta

GDPR:n 19 artikla edellyttää rekisterinpitäjiä ilmoittamaan kaikille kolmansille osapuolille, joille tiedot on luovutettu, oikaisusta tai poistosta, ellei se ole mahdotonta tai vaadi kohtuutonta vaivaa. Jos kolmannen osapuolen ilmoitus on tehty, rekisterinpitäjän on myös ilmoitettava rekisteröidylle näistä vastaanottajista, jos pyydetään.

Kliinisessä yhteydessä tällä velvoitteella on suoria operatiivisia vaikutuksia. Jos potilaan potilaskertomusta on muutettu ja kyseinen potilaskertomus on aiemmin jaettu erikoissairaanhoidon tarjoajan kanssa lähetteen jälkeen, erikoislääkärin, joka vastaanotti lähetekirjeen, vakuuttajan tai työnantajan kanssa (kun potilas on suostunut luovutukseen) tai sosiaalihuollon tiimin kanssa, niin jokaista näistä vastaanottajista tulisi periaatteessa ilmoittaa muutoksesta. Käytännössä tämä edellyttää kliinisten hallintohenkilöiden ylläpitävän selkeitä kirjauksia siitä, kuka vastaanotti mitä tietoja ja milloin.

Kohtuuttoman vaivan poikkeus tarjoaa jonkin verran helpotusta, kun ilmoittaminen on aidosti epäkäytännöllistä, esimerkiksi kun tietoja on jaettu monta vuotta sitten useiden osapuolten kanssa eikä yhteystietoja ole enää saatavilla. Tämä poikkeus vaatii kuitenkin dokumentoidun perustelun. Sitä ei voida käyttää oletuksena.

Yleisiä virheitä, joita kliiniset hallintohenkilöt tekevät näitä pyyntöjä käsitellessään

Vuoden 2025 EDPB:n täytäntöönpanohavainnot tunnistivat systemaattisia puutteita rekisterinpitäjien keskuudessa siinä, miten poisto-oikeuksia käsitellään. Potilaskertomusten yhteydessä yleisimmät vaatimustenmukaisuuden laiminlyönnit sisältävät:

• Yhden kuukauden määräajan ylittäminen. Kello alkaa vastaanottopäivästä, ei päivästä, jolloin pyyntö on virallisesti kirjattu tai osoitettu. Viiveet sisäisessä reitityksessä eivät ole pätevä syy myöhäiselle vastaukselle.

• Alkuperäisten merkintöjen ylikirjoittaminen. Alkuperäisen merkinnän korvaaminen säilyttämättä sitä tarkastusketjussa on sekä GDPR:n vastuullisuuden laiminlyönti että mahdollinen lääketieteellinen-oikeudellinen vastuu.

• Päätöksentekoprosessin dokumentoinnin laiminlyönti. Päätös olla muuttamatta potilaskertomusta tai päätös lisätä lisäys korjauksen sijaan vaatii dokumentoidun perustelun. Dokumentoimaton päätös on puolustamaton päätös.

• Kaikkien poistopyyntöjen käsitteleminen automaattisesti päteviksi. Poistopyyntöjen hyväksyminen arvioimatta, sovelletaanko poikkeusta, erityisesti lakisääteistä säilytyspoikkeusta, altistaa organisaation riskille tuhota potilaskertomuksia, joita sen on lain mukaan säilytettävä.

• Kaikkien poistopyyntöjen käsitteleminen automaattisesti pätemättömiksi. EDPB tunnisti refleksiivisen kaikkien poistopyyntöjen hylkäämisen ilman tapauskohtaista arviointia yleiseksi ja sanktioitavaksi laiminlyönniksi.

• Eskaloinnin laiminlyönti tietosuojavastaavalle (DPO). Monimutkaiset pyynnöt, arkaluonteisia tietoja koskevat kiistat tai tapaukset, joissa säilyttämisen oikeusperusta on aidosti epäselvä, tulisi viedä tietosuojavastaavalle pikemminkin kuin ratkaista hallinnon tasolla.

Milloin eskaloida: tietosuojavastaavasi, lakitiimisi ja sääntelyviranomaisesi

Jokaista oikaisu- tai poistopyyntöä ei voi eikä pidä ratkaista kliinisen hallinnon tasolla. Seuraavat skenaariot edellyttävät eskalointia tietosuojavastaavalle, lakitiimille tai joissakin tapauksissa valvontaviranomaiselle:

• Alaikäisiä koskevat pyynnöt. Vanhempien oikeuksien, Gillick-pätevyyden (Yhdistyneen kuningaskunnan lainkäyttöalueilla) ja lapsen omien tietooikeuksien välinen vuorovaikutus vaatii oikeudellista panosta.

• Kansallisten rajojen yli jaetut potilaskertomukset. Jos tietoja on siirretty käsittelijöille tai vastaanottajille muilla lainkäyttöalueilla, sovellettavat säilytys- ja poistosäännöt voivat poiketa.

• Aito epävarmuus säilyttämisen oikeusperustasta. Jos ei ole selvää, sovelletaanko lakisääteistä säilytysvelvoitetta tai onko yleisen edun mukainen poikkeus käytössä, tämä on oikeudellinen kysymys, ei hallinnollinen.

• Pyynnöt, jotka näyttävät liittyvän mahdolliseen oikeudelliseen vaatimukseen. Jos on mitään viitteitä siitä, että potilas harkitsee tai on aloittanut oikeudenkäynnin, potilaskertomuksella on mahdollinen todistusarvo ja mikä tahansa muutos vaatii oikeudellista neuvontaa.

• Toistuvat tai eskaloituvat kiistat. Jos potilas on jo valittanut valvontaviranomaiselle tai on ilmoittanut aikovansa tehdä niin, tietosuojavastaava on otettava mukaan.

GDPR:n 37 artiklan mukaan useimpien EU:n terveydenhuolto-organisaatioiden, jotka käsittelevät terveystietoja laajassa mittakaavassa, on nimettävä tietosuojavastaava. Secure Privacyn terveydenhuollon ohjeistus vahvistaa, että prosessien on oltava paikallaan, jotta potilaat voivat käyttää kaikkia rekisteröidyn oikeuksia, ja että tietosuojavastaavan rooli sisältää neuvonnan pyynnöistä, jotka ovat ristiriidassa lakisääteisten velvoitteiden kanssa. Kliinisten hallintohenkilöiden tulisi tietää, kuka heidän tietosuojavastaavansa on, miten heihin otetaan yhteyttä ja mikä kynnys laukaisee lähettämisen, ennen kuin monimutkainen pyyntö saapuu, ei sen jälkeen.

Usein kysytyt kysymykset

Onko potilailla oikeus korjata potilaskertomuksensa GDPR:n mukaisesti

Kyllä, mutta tärkeillä rajoituksilla. Yleisen tietosuoja-asetuksen 16 artikla antaa potilaille oikeuden saada virheelliset henkilötiedot korjattua. Suoraviivaisten tosiasiallisten virheiden, kuten väärän syntymäajan tai väärin kirjoitetun nimen, osalta korjaus on suhteellisen yksinkertaista. Kliinisten merkintöjen, kuten diagnoosien, riskiarviointien tai hoitomerkintöjen osalta virheellisyyden käsite on monimutkaisempi. Klinikon ammatillinen arvio ei ole sama asia kuin objektiivinen tosiasia. Irlannin tietosuojavaltuutettu vahvistaa, että oikeus oikaisuun ei sovellu helposti lääketieteellisiin lausuntoihin ja kliinisiin hoitomerkintöihin.

Voiko potilas pyytää potilaskertomustensa poistamista GDPR:n mukaisesti

Potilaat voivat jättää poistopyynnön GDPR:n 17 artiklan mukaisesti, mutta tämä oikeus ei ole ehdoton terveydenhuollon ympäristössä. Useimmat potilaskertomukset kuuluvat ainakin yhden 17 artiklan 3 kohdan poikkeuksen piiriin, mukaan lukien lakisääteisen velvoitteen noudattaminen, yleinen etu kansanterveydessä tai oikeusvaateen laatiminen tai puolustaminen. EU:n jäsenvaltioiden ja Yhdistyneen kuningaskunnan kansallinen lainsäädäntö asettaa lakisääteiset vähimmäissäilytysajat potilaskertomusten osalta, tyypillisesti kahdeksasta kolmeenkymmeneen vuoteen, mikä muodostaa lakisääteisen velvoitteen, joka sallii organisaatioiden laillisesti hylätä poistopyynnöt. Hylkääminen vaatii kuitenkin dokumentoidun tapauskohtaisen perustelun, ei yleistä käytäntöä.

Mikä on oikea tapa muuttaa potilaskertomusta, kun potilas kiistää merkinnän

Oikea lähestymistapa on lisätä potilaskertomukseen lisäys tai huomautus, ei ylikirjoittaa tai poistaa alkuperäistä merkintää. Jos potilas kiistää kliinisen lausunnon, jonka takana vastuullinen kliinikko seisoo, tulisi lisätä täydentävä huomautus, joka kirjaa potilaan kiistan, jättäen samalla alkuperäisen dokumentaation koskemattomaksi. Jos merkintä sisältää aidon tosiasiallisen virheen, se tulisi korjata alkuperäinen säilyttäen tarkastusketjussa. Information Commissioner's Office vahvistaa, että kun diagnoosin myöhemmin todetaan olevan virheellinen, potilaskertomuksen tulisi näyttää sekä alkuperäinen diagnoosi että lopulliset löydökset.

Mitä tarkastusketjun on sisällettävä, kun potilaskertomusta muutetaan

Vaatimustenmukaisen tarkastusketjun on tallennettava muutoksen tehneen henkilön henkilöllisyys, muutoksen päivämäärä ja aika, muutoksen syy, alkuperäisen merkinnän täysi sisältö ja muutoksen luonne. NHS:n ohjeistus on selkeä siitä, että tiedot voidaan poistaa näkyvistä, mutta tarkastusketjun on aina pidettävä potilaskertomus täydellisenä. Alkuperäisten merkintöjen ylikirjoittaminen jälkiä jättämättä luo sekä GDPR:n vastuullisuuden laiminlyönnin 5 artiklan 2 kohdan mukaisesti että lääketieteellisen-oikeudellisen riskin, mukaan lukien mahdollinen todiste potilaskertomusten peukaloinnista kliinisessä laiminlyöntitutkimuksessa.

Kuinka kauan terveydenhuolto-organisaatiolla on aikaa vastata oikaisu- tai poistopyyntöön

Sekä 16 artiklan mukainen oikeus oikaisuun että 17 artiklan mukainen oikeus poistoon sisältävät yhden kalenterikuukauden vastausajan. Kello alkaa pyynnön vastaanottopäivästä, ei päivästä, jolloin se on virallisesti kirjattu tai osoitettu sisäisesti. Jos pyyntö hylätään kokonaan tai osittain, organisaation on silti vastattava kuukauden kuluessa, selitettävä hylkäämisen perusteet ja ilmoitettava potilaalle oikeudesta valittaa asianomaiselle valvontaviranomaiselle.

Edellyttääkö GDPR terveydenhuollon tarjoajien hyväksyvän potilaan version tapahtumista tosiasiaksi

Ei. GDPR ei edellytä terveydenhuollon tarjoajien hyväksyvän potilaan suosimaa versiota tapahtumista tosiasiaksi. Irlannin tietosuojavaltuutettu on selkeä siitä, että oikeus oikaisuun ei sovellu helposti lääketieteellisiin lausuntoihin, diagnooseihin ja kliinisiin hoitomerkintöihin, koska nämä edustavat ammatillisia arvioita pikemminkin kuin objektiivisia tosiasioita. Kun kliinikko seisoo alkuperäisen merkintänsä takana, GDPR:n mukainen vastaus on lisätä huomautus, joka kirjaa, että potilas kiistää merkinnän, jättäen samalla alkuperäisen dokumentaation koskemattomaksi. Potilaalle on sitten ilmoitettava lopputuloksesta ja heidän oikeudestaan eskaloida asia valvontaviranomaiselle.

Aiheuttaako potilaskertomuksen muuttaminen velvollisuuden ilmoittaa kolmansille osapuolille

Kyllä. GDPR:n 19 artikla edellyttää rekisterinpitäjiä ilmoittamaan kaikille kolmansille osapuolille, joille tiedot on luovutettu, oikaisusta tai poistosta, ellei se ole mahdotonta tai vaadi kohtuutonta vaivaa. Kliinisessä yhteydessä tämä voi sisältää erikoissairaanhoidon tarjoajat, jotka saivat lähetteen, erikoislääkärit, jotka saivat lähetekirjeen, tai sosiaalihuollon tiimit. Kliinisten hallintohenkilöiden on ylläpidettävä selkeitä kirjauksia siitä, kuka vastaanotti mitä tietoja ja milloin. Kohtuuttoman vaivan poikkeusta voidaan soveltaa, kun ilmoittaminen on aidosti epäkäytännöllistä, mutta se vaatii dokumentoidun perustelun eikä sitä voida käyttää oletuksena.

Mitkä ovat yleisimmät virheet potilaan oikaisu- ja poistopyyntöjen käsittelyssä

Euroopan tietosuojaneuvoston vuoden 2025 koordinoidut täytäntöönpanohavainnot tunnistivat useita toistuvia puutteita. Näitä ovat yhden kuukauden vastausajan ylittäminen, alkuperäisten merkintöjen ylikirjoittaminen säilyttämättä niitä tarkastusketjussa, päätösten taustalla olevan perustelun dokumentoinnin laiminlyönti, kaikkien poistopyyntöjen käsitteleminen automaattisesti päteviksi ja kaikkien poistopyyntöjen käsitteleminen automaattisesti pätemättömiksi ilman tapauskohtaista arviointia. EDPB havaitsi, että yhdeksän tietosuojaviranomaista käynnisti muodolliset täytäntöönpanotutkimukset sen seurauksena, että rekisterinpitäjät sovelsivat väärin 17 artiklan 3 kohdan poikkeuksia ilman asianmukaista yksilöllistä arviointia.

Milloin kliinisen hallintohenkilön tulisi eskaloida oikaisu- tai poistopyyntö tietosuojavastaavalle

Useat skenaariot edellyttävät eskalointia pikemminkin kuin ratkaisua hallinnon tasolla. Näitä ovat alaikäisiä koskevat pyynnöt, joissa vanhempien oikeudet ja lapsen omat tietooikeudet risteävät. Kansallisten rajojen yli jaetut potilaskertomukset, joissa eri säilytyssäännöt voivat olla voimassa. Tapaukset, joissa on aitoa epävarmuutta säilyttämisen oikeusperustasta. Pyynnöt, jotka voivat liittyä mahdolliseen oikeudelliseen vaatimukseen, jossa potilaskertomuksella on todistusarvo. Ja tilanteet, joissa potilas on jo valittanut valvontaviranomaiselle tai ilmoittanut aikovansa tehdä niin. GDPR:n 37 artiklan mukaan useimpien EU:n terveydenhuolto-organisaatioiden, jotka käsittelevät terveystietoja laajassa mittakaavassa, on nimettävä tietosuojavastaaja. Kliinisten hallintohenkilöiden tulisi tietää, kuka heidän omansa on, ennen kuin monimutkainen pyyntö saapuu.