Euroopassa toimivilla terveydenhuolto-organisaatioilla on lakisääteinen velvollisuus mahdollistaa potilastietojen siirrettävyys. Kyse ei ole pelkästään teknisestä tavoitteesta. Vähemmän tunnettu tosiasia on, että velvollisuus ei koske kaikkia toimijoita samalla tavalla. Amsterdamilainen yksityisklinikka, Madridin julkinen sairaala ja Berliinissä toimiva sekamallin palveluntarjoaja voivat kaikki käsitellä samantyyppisiä potilastietoja, mutta niiden lakisääteiset vaatimukset eroavat merkittävästi, kun potilas pyytää siirtämään tietonsa muualle.

Syy tähän löytyy EU-lainsäädännön rakenteesta: tietosuojasäännöt asetetaan ylikansallisella tasolla, mutta terveydenhuollon järjestäminen kuuluu edelleen kansalliseen toimivaltaan. Se laillinen peruste, jolla palveluntarjoaja käsittelee potilastietoja, määrittää, mitkä siirrettävyysoikeudet tosiasiallisesti pätevät. Terveydenhuollon päättäjille, jotka vastaavat vaatimustenmukaisuudesta, IT-infrastruktuurista tai kliinisistä toiminnoista, tämän eron ymmärtäminen on olennaista pohjatyötä ennen kuin Euroopan terveystietoavaruuden toimeenpanoaikataulut alkavat vaikuttaa. Tietoturva- ja tietosuojavelvoitteiden ymmärtäminen on edellytys tälle analyysille.

Oikeudellinen kehys: mitä EU-lainsäädäntö tosiasiallisesti vaatii

Kolme erillistä sääntelykerrosta ohjaa potilastietojen siirrettävyyttä Euroopassa. Ne vaikuttavat eri tavoin palveluntarjoajatyypistä riippuen.

Ensimmäinen on yleinen tietosuoja-asetus (GDPR), joka asettaa perusoikeuden tietojen siirrettävyyteen 20 artiklan mukaisesti, mutta sisältää olennaisen rajoituksen, joka kaventaa merkittävästi sen soveltamista julkisessa terveydenhuollossa. Toinen on Euroopan terveystietoavaruuden (EHDS) asetus, asetus (EU) 2025/327, joka tuli voimaan 26. maaliskuuta 2025 ja edustaa merkittävintä rakenteellista muutosta terveystietojen hallintaan EU:n historiassa. Kolmas kerros on kansallinen täytäntöönpanolainsäädäntö, joka säätelee sitä, miten julkiset terveysjärjestelmät hallinnoivat potilastietojen saatavuutta ja siirtoa, usein alakohtaisen terveyslainsäädännön eikä tietosuojalainsäädännön kautta.

Nämä kerrokset eivät toimi itsenäisesti. GDPR pysyy ensisijaisena tietosuojakehyksenä. EHDS tuo mukanaan alakohtaisia velvoitteita, jotka täydentävät sitä. Kuten Taylor Wessingin analyysi EHDS-GDPR-suhteesta toteaa, EHDS ei korvaa GDPR:ää, vaan rakentaa alakohtaisen kehyksen sen päälle vaiheittaisella toimeenpanolla, joka alkaa maaliskuussa 2027 yleisten säännösten osalta ja maaliskuussa 2029 ensisijaisen ja toissijaisen käytön sääntöjen osalta. Päättäjien on ymmärrettävä kaikki kolme kerrosta arvioidakseen velvoitteensa tarkasti.

GDPR:n 20 artikla: missä julkisen ja yksityisen välinen ero ilmenee ensimmäisen kerran

GDPR:n 20 artikla antaa yksilöille oikeuden saada henkilötietonsa jäsennellyssä, yleisesti käytetyssä ja koneluettavassa muodossa sekä siirtää ne toiselle rekisterinpitäjälle. Tämä oikeus ei kuitenkaan ole yleispätevä.

Se koskee vain tilanteita, joissa käsittely perustuu suostumukseen (6 artiklan 1 kohdan a alakohta tai 9 artiklan 2 kohdan a alakohta) tai sopimukseen (6 artiklan 1 kohdan b alakohta). Jos käsittely perustuu lakisääteiseen velvoitteeseen tai yleisen edun mukaiseen tehtävään (6 artiklan 1 kohdan c ja e alakohdat), 20 artiklaa ei sovelleta.

Tässä kohtaa julkisen ja yksityisen välinen ero tulee ensimmäisen kerran toiminnallisesti merkittäväksi. Useimmat julkiset terveydenhuollon palveluntarjoajat käsittelevät potilastietoja lakisääteisen toimeksiannon perusteella. Kansallinen terveyspalvelu, joka hoitaa potilasta, ei tee sitä potilaan kanssa tehdyn sopimuksen perusteella eikä tyypillisesti suostumuksen perusteella, vaan täyttää lain määrittelemää julkista tehtävää. Tämä tarkoittaa, että GDPR:n siirrettävyysoikeus ei koske suoraan suurinta osaa julkisen terveysjärjestelmän tietojenkäsittelystä EU:ssa.

Käytännössä tämä tarkoittaa, että potilaat, jotka haluavat siirtää potilastietonsa julkisesta sairaalasta yksityiselle erikoislääkärille tai yhdestä kansallisesta terveysjärjestelmästä toiseen, eivät voi vedota GDPR:n 20 artiklaan pakottaakseen kyseisen siirron. Heidän on sen sijaan tukeuduttava kansallisen terveyslainsäädännön säännöksiin, jotka vaihtelevat huomattavasti jäsenvaltioittain.

Miten julkisia terveydenhuollon palveluntarjoajia kohdellaan EU:n ja kansallisen lainsäädännön mukaan

Julkiset terveydenhuollon palveluntarjoajat kaikkialla EU:ssa toteuttavat potilastietojen saatavuus- ja siirto-oikeudet alakohtaisen lainsäädännön, eivät GDPR:n siirrettävyyssäännösten, kautta. Velvoitteet ovat olemassa, mutta ne perustuvat terveyslainsäädännön kehyksiin, jotka eroavat merkittävästi lainkäyttöalueittain.

Keskeisillä Euroopan markkinoilla tilanne on pirstaleinen:

• Pohjoismaiset mallit (Tanska, Suomi, Ruotsi) hyödyntävät suhteellisen kypsää kansallista potilastietojärjestelmäinfrastruktuuria ja potilasportaaleja, joissa lakisääteiset oikeudet potilastietojen saatavuuteen on sisällytetty terveyslainsäädäntöön. Esimerkiksi Suomen Kanta-järjestelmä tarjoaa potilaille keskitetyn digitaalisen pääsypisteen julkisten palveluntarjoajien hallussa oleviin potilastietoihin.

• Saksa on ottanut käyttöön lakisääteisen oikeuden potilaille saada kopiot potilastiedoistaan potilaan oikeuksien lain (Patientenrechtegesetz) mukaisesti. Palveluntarjoajien on vastattava ilman aiheetonta viivytystä. Maa on myös kehittänyt Telematikinfrastruktur (TI) -järjestelmäänsä kansallisena yhteentoimivuuden selkärankana.

• Ranska on ottanut käyttöön Mon Espace Santé -alustan potilaiden terveystietoavaruutena, joka tarjoaa pääsyn julkisten palveluntarjoajien potilastietoihin kansallisen digitaalisen terveyslainsäädännön kehyksessä.

• Etelä-Euroopan julkiset järjestelmät (Espanja, Italia, Portugali) takaavat lakisääteiset saatavuusoikeudet, mutta alueellinen vaihtelu on suurempaa. Toteutuksen laatu riippuu pitkälti alueellisten terveysviranomaisten kapasiteetista.

Keskeistä päättäjille on, että nämä velvoitteet ovat todellisia ja täytäntöönpanokelpoisia, mutta niitä hallinnoidaan terveysministeriöiden, ei tietosuojaviranomaisten, kautta. Tämä tarkoittaa, että valvova elin, täytäntöönpanomekanismi ja aikataulu voivat kaikki poiketa niistä, joita sovelletaan yksityisiin palveluntarjoajiin GDPR:n mukaisesti.

Miten yksityisiä terveydenhuollon palveluntarjoajia kohdellaan GDPR:n mukaan

Yksityiset terveydenhuollon palveluntarjoajat, jotka käsittelevät potilastietoja suostumuksen tai sopimuksen perusteella, ovat suoraan GDPR:n 20 artiklan alaisia. Tämä koskee suurinta osaa EU:ssa toimivista yksityisklinikoista, erikoislääkärivastaanotoista ja itsenäisistä diagnostisista palveluista, joissa mikään lakisääteinen toimeksianto ei ohjaa käsittelysuhdetta.

20 artiklan mukaisesti potilaat voivat pyytää:

• Henkilötietonsa jäsennellyssä, yleisesti käytetyssä, koneluettavassa muodossa

• Kyseisten tietojen suoraa siirtoa toiselle rekisterinpitäjälle, jos se on teknisesti mahdollista

• Vastauksen kuukauden kuluessa pyynnöstä, jatkettavissa kahdella kuukaudella, jos pyynnöt ovat monimutkaisia tai lukuisia (ilmoitettava potilaalle ensimmäisen kuukauden kuluessa)

Se, mitä pidetään "henkilötietoina" siirrettävyyden näkökulmasta kliinisessä kontekstissa, on laajempi kuin monet yksityiset palveluntarjoajat olettavat. Se sisältää potilaan itse toimittamat tiedot (rekisteröintitiedot, vastaanotolla annettu sairaushistoria) sekä palvelusuhteen aikana syntyneet tiedot (ajanvaraustiedot, vastaanottokirjaukset, testitulokset). Se ei sisällä palveluntarjoajan johdettuja tietoja tai päätelmiä, mikä korostuu erityisesti tarkasteltaessa tekoälyn tuottamia diagnoosikoodeja tai riskipisteitä.

"Koneluettava" GDPR:n mukaan tarkoittaa muotoa, jonka tietokone voi käsitellä automaattisesti, kuten JSON, XML tai CSV, ei skannattua PDF:ää tai tulostettua asiakirjaa. Käytännössä monet yksityiset potilastietojärjestelmät voivat viedä tietoja näissä muodoissa, mutta kliinisesti merkityksellisen, strukturoidun viennin tuottaminen, joka säilyttää koodauksen, terminologian ja tietosuhteet, on erillinen tekninen haaste.

Euroopan terveystietoavaruus: sektoreiden välisen kuilun kurominen umpeen

EHDS-asetus on merkittävin kehitys tällä alueella terveydenhuollon päättäjien seurattavaksi. Sen keskeinen tavoite on luoda johdonmukainen kehys terveystietojen saatavuudelle ja siirrettävyydelle, joka koskee sekä julkisia että yksityisiä palveluntarjoajia ja kuroo umpeen GDPR:n laillisen perusteen aiheuttaman kuilun.

EHDS tuo mukanaan useita mekanismeja, jotka ovat suoraan merkityksellisiä siirrettävyyden kannalta:

• Vahvistettu ensisijaisen käytön siirrettävyysoikeus 3 artiklan 8 kohdan mukaisesti, joka menee GDPR:n 20 artiklaa pidemmälle poistamalla laillisen perusteen rajoituksen ja kattamalla kaikki GDPR:n 9 artiklan mukaisella laillisella perusteella käsitellyt tiedot, ei vain suostumuksen tai sopimuksen perusteella käsitellyt. Tämä oikeus koskee kuitenkin vain terveys- ja sosiaaliturva-alan tiedonhaltijoita. Tämä tarkoittaa, että potilaat voivat hakea terveystietojensa siirrettävyyttä myös julkisilta palveluntarjoajilta, jotka aiemmin jäivät GDPR:n 20 artiklan soveltamisalan ulkopuolelle.

• MyHealth@EU-infrastruktuuri mahdollistaa rajat ylittävän pääsyn potilaan terveystietoihin osallistuvissa jäsenvaltioissa kansallisten yhteyspisteiden koordinoidessa yhteentoimivuutta.

• Standardoidut tietomuodot, joissa HL7 FHIR nousee yhteentoimivuuden perustaksi potilastietojärjestelmille EHDS-vaatimusten mukaisesti.

• Terveystietojen saatavuuselimet (HDAB) hallinnoivat terveystietojen toissijaista käyttöä tutkijoiden, teollisuuden ja julkisten elinten toimesta lupajärjestelmän, ei yksilöllisen suostumuksen, perusteella.

Kuten Skaddenin oikeudellinen tiedote EHDS:stä vahvistaa, kaikki EU:ssa perustetut terveydenhuollon palveluntarjoajat, mukaan lukien sairaalat, klinikat ja yksityisvastaanotot, ovat saman EHDS-vaatimustenmukaisuusvelvoitteen alaisia tietojen jakamisen, yhteentoimivuuden ja potilaan saatavuuden osalta. Vaatimustenvastaisuudesta seuraa GDPR:n kaltaisia sakkoja.

Akateeminen kirjallisuus nostaa esiin tärkeitä epäselvyyksiä EHDS-tekstissä. Vertaisarvioitu analyysi Computer Law & Security Review -lehdessä huomauttaa jännitteestä johdanto-osan 12 kohdan, joka vaatii siirrettävyyden soveltamista mihin tahansa yksityiseen tai julkiseen rekisterinpitäjään, ja 3 artiklan 8 kohdan välillä, joka rajaa velvoitteet "terveys- ja sosiaaliturva-alan" tiedonhaltijoihin. Tarkka soveltamisala siitä, kuka täyttää terveystietojen haltijan kriteerit rajatapauksissa (hyvinvointisovellukset, työterveyshuollon palveluntarjoajat, etälääketieteen alustat), on edelleen tulkinnanvarainen.

Potilastietojen siirtoaikataulut: vertailu palveluntarjoajatyypin ja markkinan mukaan

Vastausajat siirrettävyys- ja potilastietojen siirtopyyntöihin vaihtelevat merkittävästi palveluntarjoajatyypin, sovellettavan lainsäädännön ja lainkäyttöalueen mukaan.

EHDS:n odotetaan tuovan yhtenäisempiä määräaikoja jäsenvaltioiden välille, mutta tarkat aikataulut potilaiden siirrettävyys­pyynnöille EHDS:n ensisijaisen käytön kehyksessä määritetään täytäntöönpanosäädöksillä ja jäsenvaltioiden saattamisella osaksi kansallista lainsäädäntöä. Päättäjien tulisi seurata tarkasti kansallisia EHDS:n saattamisprosesseja, sillä ne asettavat toiminnalliset parametrit vaatimustenmukaisuusohjelmille.

Muotovaatimukset: strukturoitu tieto, yhteentoimivuus ja mitä järjestelmien on tuettava

GDPR edellyttää, että siirrettävät tiedot toimitetaan koneluettavassa muodossa, mutta ei määrää tiettyä teknistä standardia. Tämä on johtanut merkittävään vaihteluun käytännössä: jotkut palveluntarjoajat toimittavat JSON- tai XML-vientejä, toiset tarjoavat CSV-tiedostoja, joista puuttuu strukturoitu tieto tai terminologiakonteksti.

EHDS käsittelee tämän suoraan. Kuten A&O Shearmanin analyysi EHDS:n potilastietojärjestelmävaatimuksista vahvistaa, asetus edellyttää terveystietojen haltijoilta strukturoidun, yhteentoimivan tiedon ylläpitoa EHDS:n teknisen kehyksen kanssa yhteensopivissa muodoissa, HL7 FHIR:n noustessa standardiksi kliiniselle tietojenvaihdolle.

Julkisissa ja yksityisissä ympäristöissä toimiville potilastietojärjestelmille tämä luo useita käytännön vaatimuksia:

• Kyky viedä strukturoitua kliinistä tietoa HL7 FHIR -yhteensopivissa muodoissa säilyttäen SNOMED CT -koodit, ICD-luokitukset ja lääketieteellisen terminologian

• Potilaille suunnatut saatavuusportaalit, jotka mahdollistavat yksilöiden tarkastella, ladata ja siirtää potilastietojaan ilman hallinnollista välikättä

• Kaikkien tietojen saatavuus- ja vientitapahtumien auditointilokitus GDPR:n vastuullisuusvelvoitteiden ja EHDS:n saatavuuskontrollien vaatimustenmukaisuuden osoittamiseksi

• Yhteentoimivuus kansallisen potilastietojärjestelmäinfrastruktuurin kanssa (kuten Saksan TI, Ranskan Mon Espace Santé tai Suomen Kanta) soveltuvin osin

Perintöjärjestelmät julkisissa laitoksissa muodostavat erityisen haasteen. Monet kansalliset terveysjärjestelmät toimivat potilastietojärjestelmäalustoilla, joita ei ole suunniteltu strukturoidun tiedon vientiä varten. Näiden järjestelmien päivittämisen tai korvaamisen kustannukset ja monimutkaisuus ovat merkittäviä. Tutkimus EHDS-yhteensopivasta turvallisesta infrastruktuurista korostaa, että 50 artiklan vaatimusten täyttäminen turvallisten käsittelyympäristöjen ja yhteentoimivuusstandardien osalta vaatii merkittävää teknistä investointia, erityisesti laitoksissa, jotka ovat historiallisesti toimineet erillään olevilla, ei-yhteentoimivilla järjestelmillä.

Suostumusehdot ja laillinen peruste: miksi ne muuttavat kaiken

Laillinen peruste, johon palveluntarjoaja nojaa potilastietojen käsittelyssä, on yksittäinen merkittävin muuttuja määritettäessä, mitkä siirrettävyysvelvoitteet pätevät. Tämä ei ole tekninen yksityiskohta, vaan koko vaatimustenmukaisuusanalyysin perusta.

Julkisille terveydenhuollon palveluntarjoajille merkitykselliset perusteet ovat tyypillisesti 6 artiklan 1 kohdan c alakohta (lakisääteinen velvoite) ja 6 artiklan 1 kohdan e alakohta (julkinen tehtävä), yhdistettynä 9 artiklan 2 kohdan h alakohtaan (terveys- tai sosiaalihuollon tarkoitukset) erityisten henkilötietoryhmien osalta. Nämä perusteet sulkevat palveluntarjoajan GDPR:n 20 artiklan ulkopuolelle, mutta eivät poista kaikkia siirrettävyyteen liittyviä velvoitteita. Kansallinen terveyslainsäädäntö ohjaa edelleen potilastietojen saatavuutta ja siirtoa.

Yksityisille terveydenhuollon palveluntarjoajille tilanne on monimutkaisempi. Monet käsittelevät tietoja useiden perusteiden yhdistelmällä: suostumus valinnaisten tietojen käyttöön (esim. markkinointi, tutkimukseen osallistuminen), sopimus ydinhoitosuhteeseen ja joissakin tapauksissa lakisääteinen velvoite pakolliseen raportointiin. GDPR:n 20 artiklan mukainen siirrettävyysoikeus koskee vain suostumuksen tai sopimuksen perusteella käsiteltyjä tietoja. Tämä tarkoittaa, että yksityisen palveluntarjoajan on kyettävä tunnistamaan potilastietotasolla, mitä tietoja käsiteltiin millä perusteella.

Sekamallin palveluntarjoajat, kuten yksityisklinikat, jotka on sopimuksella sitoutettu tarjoamaan palveluja julkisessa terveysjärjestelmässä, tai julkiset sairaalat, joissa on yksityispotilaiden osastoja, kohtaavat monimutkaisimman analyysin. Arnold & Porterin neuvonta EHDS:stä huomauttaa, että EHDS:n "terveystietojen haltijan" määritelmä koskee mitä tahansa oikeushenkilöä, jolla on oikeus tai velvollisuus käsitellä henkilökohtaisia terveystietoja riippumatta siitä, ovatko ne nimellisesti julkisia vai yksityisiä. Luonnolliset henkilöt ja mikroyritykset (alle 10 työntekijää ja vuotuinen liikevaihto tai taseen loppusumma enintään 2 miljoonaa euroa) on oletusarvoisesti suljettu terveystietojen haltijan velvoitteiden ulkopuolelle, vaikka jäsenvaltiot voivat laajentaa velvoitteet niihin.

PubMed-indeksoitu analyysi EHDS:n toissijaisen käytön kehyksestä huomauttaa, että asetuksen suunnittelu heijastaa tarkoituksellista poliittista valintaa siirtyä pois suostumuksesta terveystietojen hallinnan ensisijaisena mekanismina ja korvata se terveystietojen saatavuuselinten hallinnoimalla lupajärjestelmällä toissijaista käyttöä varten. Ensisijaisen käytön osalta vahvistettu siirrettävyysoikeus 3 artiklan 8 kohdan mukaisesti ohittaa laillisen perusteen riippuvuuden, mutta vasta kun asianomaiset EHDS-säännökset tulevat voimaan maaliskuussa 2029.

Rajat ylittävä siirrettävyys: mitä tapahtuu, kun potilaat liikkuvat jäsenvaltioiden välillä

Rajat ylittävä potilastietojen siirrettävyys on alue, jolla pirstaleisuus on akuuteinta ja jossa EHDS:n odotetaan saavan suurimman käytännön vaikutuksen. Tällä hetkellä potilaalla, joka muuttaa Ranskasta Alankomaihin, tai rajat ylittävällä työntekijällä, joka saa hoitoa toisessa jäsenvaltiossa, ei ole luotettavaa mekanismia varmistaa, että heidän terveystietonsa siirtyvät heidän mukanaan. Kansalliset potilastietojärjestelmät käyttävät erilaisia tietomalleja, koodausjärjestelmiä ja saatavuusprotokollia.

EHDS käsittelee tämän MyHealth@EU-infrastruktuurin kautta, joka edellyttää jäsenvaltioiden osallistuvan rajat ylittävään terveystietojen vaihtoon kansallisten yhteyspisteiden kautta. Infrastruktuuri rakentuu olemassa olevan epSOS/eHealth Digital Service Infrastructure (eHDSI) -kehyksen päälle, mutta laajentaa merkittävästi sen soveltamisalaa ja oikeudellista toimeksiantoa.

Tutkimus EHDS:n terveystietojen saatavuuselimen toimeenpanosta tunnistaa useita pysyviä haasteita terveystietojen rajat ylittävälle toissijaiselle käytölle: epäjohdonmukainen digitaalisen terveysjärjestelmän kypsyys jäsenvaltioiden välillä, vaihtelevat tietojen laatustandardit ja harmonisoidun hallintakehyksen puuttuminen terveystietojen saatavuuselimille. Nämä haasteet koskevat yhtä lailla tai jopa enemmän ensisijaisen käytön rajat ylittävää siirrettävyyttä, jossa tekninen ja oikeudellinen infrastruktuuri saumattomalle potilastietojen siirrolle on edelleen alikehittynyt useimmissa jäsenvaltioissa.

Raja-alueilla toimiville palveluntarjoajille, kuten Saksan ja Ranskan rajalla, Benelux-alueella tai Pohjoismaiden rajat ylittävillä työmarkkinoilla, sekä kansainvälisesti liikkuvia potilasjoukkoja palveleville, nykyinen käytännön ratkaisu on potilaan hallussa olevat potilastiedot (paperiset tai digitaaliset) siltaratkaisuna, kunnes EHDS-infrastruktuuri on toiminnassa.

Käytännön vaikutukset IT-infrastruktuuriin sekamuotoisissa julkis-yksityisissä ympäristöissä

Päättäjille, jotka hallinnoivat IT:tä sekä julkisissa että yksityisissä hoitoympäristöissä, yllä oleva oikeudellinen analyysi konkretisoituu joukkoon käytännön vaatimuksia.

Useiden laillisten perusteiden tukeminen yhdellä alustalla on välitön haaste. Sekamalliympäristössä käytettävän potilastietojärjestelmän on kyettävä tallentamaan ja toimimaan eri käsittelyperusteilla eri tietoluokille ja potilaspopulaatioille sekä tuottamaan siirrettävyysvientejä, jotka heijastavat oikein, mitkä tiedot täyttävät GDPR:n 20 artiklan kriteerit ja mitkä tiedot kuuluvat EHDS:n 3 artiklan 8 kohdan piiriin, kun se tulee voimaan.

Auditointi- ja lokitusvelvoitteet koskevat molempia kehyksiä. GDPR:n vastuullisuusvaatimukset (5 artiklan 2 kohta) edellyttävät rekisterinpitäjien osoittavan vaatimustenmukaisuuden, mikä käytännössä tarkoittaa kaikkien tietojen saatavuus-, vienti- ja siirtotapahtumien lokitusta. EHDS lisää edelleen lokitusvaatimuksia terveystietojen saatavuuselimen vuorovaikutuksille ja rajat ylittäville vaihdoille.

Nyt tehdyt yhteentoimivuusarkkitehtuuripäätökset määrittävät vaatimustenmukaisuusvalmiuden vuosina 2027–2029. EU:n data-asetus (asetus (EU) 2023/2854), jota on sovellettu 12. syyskuuta 2025 alkaen, lisää edelleen tietojen jakamisvelvoitteita yhdistetyille lääkinnällisille laitteille ja digitaalisille terveystyökaluille, luoden lisävaatimustenmukaisuuskerroksen yksityisille palveluntarjoajille, jotka käyttävät IoT-yhteensopivia kliinisiä laitteita tai puettavia terveyden seurantalaitteita. Laajemmasta katsauksesta sääntelymaisemaan katso oppaastamme EU:n terveydenhuollon tekoälysäännökset.

Potilaille suunnatut saatavuusportaalit ovat yhä useammin vaatimustenmukaisuusvaatimus. Sekä GDPR (saatavuusoikeuden kautta 15 artiklan mukaisesti) että EHDS (ensisijaisen käytön saatavuusoikeuden kautta) edellyttävät, että potilaat voivat käyttää tietojaan oikea-aikaisesti ja saavutettavalla tavalla. Palveluntarjoajat, jotka luottavat manuaalisiin pyyntöprosesseihin, kuten paperilomakkeisiin, hallinnollisiin tiimeihin tai postilähetykseen, kohtaavat sekä vaatimustenmukaisuusriskin että toiminnallisen tehottomuuden pyyntömäärien kasvaessa.

Keskeiset vaatimustenmukaisuuspuutteet arvioitavaksi ennen EHDS:n toimeenpanoa

Yleisimmät alueet, joilla julkiset ja yksityiset palveluntarjoajat tällä hetkellä jäävät alle nousevan vaatimustenmukaisuusstandardin, ovat tunnistettavissa yllä olevasta oikeudellisesta ja teknisestä analyysistä. IT- ja vaatimustenmukaisuustiimeille, jotka rakentavat tiekarttoja ennen EHDS:n vaiheittaisia määräaikoja, seuraavat edustavat korkeimman prioriteetin puutteita:

• Ei-koneluettavat potilastietomuodot: Monet palveluntarjoajat, erityisesti julkisissa järjestelmissä, tuottavat edelleen kliinistä dokumentaatiota muodoissa, kuten skannatut PDF:t tai omistusoikeudelliset perintömuodot, joita ei voida automaattisesti käsitellä. EHDS:n muotovaatimusten täyttäminen vaatii joko järjestelmän vaihtamista tai väliohjelmistoratkaisuja, jotka kykenevät muuntamaan perintötuotokset HL7 FHIR -yhteensopiviksi vienneiksi.

• Potilaille suunnattujen tietojen saatavuusportaalien puuttuminen: Palveluntarjoajat, jotka eivät ole vielä ottaneet käyttöön itsepalvelupotilasportaaleja, joutuvat rakentamaan tai hankkimaan tämän kyvykkyyden. EHDS:n ensisijaisen käytön kehys olettaa digitaalisen saatavuuden oletuksena.

• Epäselvä suostumusdokumentaatio yksityisissä ympäristöissä: Yksityisten palveluntarjoajien, jotka luottavat suostumukseen laillisena perusteena joidenkin käsittelyjen osalta, on kyettävä osoittamaan, että suostumus on annettu vapaaehtoisesti, tietoisesti ja yksiselitteisesti. Niiden on kyettävä yhdistämään suostumustiedot tiettyihin tietoluokkiin siirrettävyystarkoituksissa.

• Perintöjärjestelmät, jotka eivät voi viedä strukturoitua tietoa: Tämä on merkittävin infrastruktuuripuute julkisissa terveysjärjestelmissä. IMPaCT-Data-tutkimus EHDS-yhteensopivasta infrastruktuurista osoittaa, että EHDS:n 50 artiklan turvallisuus- ja yhteentoimivuusvaatimusten täyttäminen vaatii merkittävää teknistä investointia. Monilta olemassa olevilta julkisen sektorin potilastietojärjestelmäkäyttöönotoilta puuttuu arkkitehtuuri tukemaan sitä ilman merkittävää korjaustoimintaa.

• Epäselvä sekamallikäsittelyn luokittelu: Palveluntarjoajat, jotka toimivat julkisen ja yksityisen sektorin välillä ilman selkeää kartoitusta siitä, mitkä toiminnot nojautuvat mihin lailliseen perusteeseen, ovat alttiina sekä GDPR:n että EHDS:n vaatimustenmukaisuusriskille. Dokumentoitu käsittelytoimintojen kartoitus, päivitettynä heijastamaan EHDS:n terveystietojen haltijan velvoitteita, on perustavanlaatuinen edellytys.

On syytä tunnustaa, että nykyisessä todistusaineistossa on aitoja rajoituksia. Akateeminen analyysi EHDS:n siirrettävyyssäännöksistä tunnistaa ratkaisemattomia epäselvyyksiä asetuksen tekstissä, jotka selviävät vasta täytäntöönpanosäädösten, jäsenvaltioiden saattamisen osaksi kansallista lainsäädäntöä ja lopulta valvontaviranomaisten ohjeiden tai oikeuskäytännön kautta. Päättäjien tulisi käsitellä nykyisiä vaatimustenmukaisuusarviointeja työskentelyhypoteeseina, jotka ovat tarkistettavissa sääntelykehyksen kypsyessä, eikä kiinteinä johtopäätöksinä.

Terveystietokäsitteen kehitys GDPR:n, tiedonhallinta-asetuksen ja EHDS:n välillä kuvastaa tarkoituksellista poliittista kehitystä kohti suurempaa tietojen saatavuutta ja sektoreiden välistä siirrettävyyttä. Toimeenpanon tahti ja käytännössä saavutettu harmonisoinnin aste riippuvat vahvasti kansallisista saattamisratkaisuista, joita tehdään edelleen EU:n jäsenvaltioissa.

Usein kysytyt kysymykset

Antaako GDPR potilaille oikeuden siirtää terveystietonsa miltä tahansa palveluntarjoajalta?

Ei. Yleisen tietosuoja-asetuksen tietojen siirrettävyysoikeus 20 artiklan mukaisesti koskee vain tilanteita, joissa käsittely perustuu suostumukseen tai sopimukseen. Useimmat julkiset terveydenhuollon palveluntarjoajat käsittelevät potilastietoja lakisääteisen toimeksiannon perusteella, mikä tarkoittaa, että 20 artiklaa ei sovelleta niihin. Potilaiden, jotka pyrkivät siirtämään potilastietonsa julkisesta sairaalasta, on vedottava sen sijaan kansalliseen terveyslainsäädäntöön, joka vaihtelee huomattavasti EU:n jäsenvaltioiden välillä.

Mikä on Euroopan terveystietoavaruus ja milloin sitä sovelletaan?

Euroopan terveystietoavaruus (EHDS) on EU:n asetus (asetus (EU) 2025/327), joka tuli voimaan 26. maaliskuuta 2025. Se tuo mukanaan alakohtaisen kehyksen terveystietojen saatavuudelle ja siirrettävyydelle, joka täydentää yleistä tietosuoja-asetusta sen sijaan, että korvaisi sen. Yleisiä säännöksiä sovelletaan maaliskuusta 2027 alkaen, ensisijaisen ja toissijaisen käytön sääntöjä maaliskuusta 2029 alkaen. Se koskee kaikkia EU:ssa perustettuja terveydenhuollon palveluntarjoajia, mukaan lukien sekä julkiset sairaalat että yksityisklinikat.

Miten EHDS muuttaa siirrettävyysoikeuksia verrattuna GDPR:ään?

EHDS tuo mukanaan vahvistetun siirrettävyysoikeuden 3 artiklan 8 kohdan mukaisesti, joka poistaa GDPR:n 20 artiklassa olevan laillisen perusteen rajoituksen. Tämä tarkoittaa, että potilaat voivat pyytää terveystietojensa siirrettävyyttä julkisilta palveluntarjoajilta, jotka aiemmin jäivät GDPR:n soveltamisalan ulkopuolelle. Tämä oikeus koskee kuitenkin vain terveys- ja sosiaaliturva-alan tiedonhaltijoita, eikä se tule voimaan ennen maaliskuuta 2029.

Mitä muotoa palveluntarjoajien on käytettävä vastatessaan siirrettävyyspyyntöön?

GDPR:n mukaan siirrettävät tiedot on toimitettava jäsennellyssä, yleisesti käytetyssä, koneluettavassa muodossa, kuten JSON, XML tai CSV. Skannattu PDF tai tulostettu asiakirja ei täytä tätä vaatimusta. EHDS menee pidemmälle edellyttämällä terveystietojen haltijoilta strukturoidun, yhteentoimivan tiedon ylläpitoa EHDS:n teknisen kehyksen kanssa yhteensopivissa muodoissa, HL7 FHIR:n noustessa standardiksi kliiniselle tietojenvaihdolle.

Kuinka kauan yksityisellä palveluntarjoajalla on aikaa vastata tietojen siirrettävyyspyyntöön?

GDPR:n 20 artiklan mukaisesti yksityisen palveluntarjoajan, joka käsittelee tietoja suostumuksen tai sopimuksen perusteella, on vastattava kuukauden kuluessa pyynnön vastaanottamisesta. Jos pyynnöt ovat monimutkaisia tai lukuisia, tätä voidaan jatkaa kahdella kuukaudella edellyttäen, että palveluntarjoaja ilmoittaa potilaalle ensimmäisen kuukauden kuluessa. Julkisia palveluntarjoajia ohjaa kansallinen terveyslainsäädäntö, ja aikataulut vaihtelevat jäsenvaltion mukaan.

Mitä siirrettävyysvelvoitteita koskee sekamallin palveluntarjoajia?

Sekamallin palveluntarjoajat, kuten yksityisklinikat, jotka on sopimuksella sitoutettu tarjoamaan palveluja julkisessa terveysjärjestelmässä, kohtaavat monimutkaisimman vaatimustenmukaisuusanalyysin. EHDS määrittelee "terveystietojen haltijan" miksi tahansa oikeushenkilöksi, jolla on oikeus tai velvollisuus käsitellä henkilökohtaisia terveystietoja riippumatta siitä, ovatko ne nimellisesti julkisia vai yksityisiä. Tämä tarkoittaa, että sekamallin palveluntarjoajat tarvitsevat selkeän kartoituksen siitä, mitkä toiminnot nojautuvat mihin lailliseen perusteeseen arvioidakseen velvoitteensa tarkasti sekä GDPR:n että EHDS:n mukaisesti.

Miten rajat ylittävä siirrettävyys toimii potilaille, jotka liikkuvat EU:n jäsenvaltioiden välillä?

Tällä hetkellä ei ole luotettavaa mekanismia potilaille, jotka liikkuvat jäsenvaltioiden välillä, varmistaa, että heidän terveystietonsa siirtyvät heidän mukanaan. Kansalliset potilastietojärjestelmät käyttävät erilaisia tietomalleja, koodausjärjestelmiä ja saatavuusprotokollia. EHDS käsittelee tämän MyHealth@EU-infrastruktuurin kautta, joka edellyttää jäsenvaltioiden osallistuvan rajat ylittävään terveystietojen vaihtoon kansallisten yhteyspisteiden kautta. Kunnes kyseinen infrastruktuuri on toiminnassa, potilaan hallussa olevat potilastiedot pysyvät käytännön siltaratkaisuna kansainvälisesti liikkuville potilaille.

Mitkä ovat yleisimmät vaatimustenmukaisuuspuutteet, jotka palveluntarjoajien tulisi käsitellä ennen EHDS:n määräaikoja?

Artikkelissa tunnistetut korkeimman prioriteetin puutteet ovat: kliininen dokumentaatio, joka on tallennettu ei-koneluettavissa muodoissa, kuten skannatut PDF:t, potilaille suunnattujen itsepalveluportaalien puuttuminen, epäselvä suostumusdokumentaatio yksityisissä ympäristöissä, perintöjärjestelmät, jotka eivät voi viedä strukturoitua tietoa HL7 FHIR -yhteensopivissa muodoissa, ja dokumentoidun käsittelytoimintojen kartoituksen puuttuminen, joka erottaa julkisen tehtävän käsittelyn suostumukseen tai sopimukseen perustuvasta käsittelystä.

Koskeeko EHDS pieniä yksityisvastaanottoja ja mikroyrityksiä?

Luonnolliset henkilöt ja mikroyritykset, jotka määritellään organisaatioiksi, joissa on alle 10 työntekijää ja vuotuinen liikevaihto tai taseen loppusumma enintään 2 miljoonaa euroa, on oletusarvoisesti suljettu terveystietojen haltijan velvoitteiden ulkopuolelle EHDS:n mukaisesti. Jäsenvaltioilla on kuitenkin mahdollisuus laajentaa nämä velvoitteet niihin kansallisen saattamislainsäädännön kautta, joten tähän luokkaan kuuluvien palveluntarjoajien tulisi seurata tarkasti oman lainkäyttöalueensa toimeenpanoa.

Mitä EHDS tarkoittaa julkisten laitosten potilastietojärjestelmille?

Julkiset laitokset kohtaavat merkittävän infrastruktuurihaasteen. Monet kansalliset terveysjärjestelmät toimivat potilastietojärjestelmäalustoilla, joita ei ole suunniteltu strukturoidun tiedon vientiä varten. EHDS:n 50 artiklan vaatimusten täyttäminen turvallisten käsittelyympäristöjen ja yhteentoimivuusstandardien osalta vaatii merkittävää teknistä investointia. Artikkelissa viitattu tutkimus vahvistaa, että monilta olemassa olevilta julkisen sektorin käyttöönotoilta puuttuu arkkitehtuuri tukemaan EHDS-vaatimustenmukaisuutta ilman merkittäviä korjaustoimia.