Klassificering av informationssystem inom social- och hälsovården

Kategori A inkluderar system som behandlar social- och hälsovårdens kunduppgifter och

• som är anslutet direkt eller via en förmedlingstjänst för kunduppgifter till Kanta-tjänsterna
• skapar lagringsbara datastrukturer eller dokument i Kanta-tjänsterna
• behandlar i omfattande grad kunduppgifter och säkerställandet av deras dataskydd, vilket förutsätter en bedömning av informationssäkerheten som utförs av ett bedömningsorgan.

Kategori A indelas vidare i kategorierna:

• A1: En bedömning av systemets infomationssäkerhet ska utföras och ett intyg om dess informationssäkerhet ska beviljas. Interoperabilitetstestning utförs inte på system i kategori A1. Till kategori A1 hör exempelvis förmedlingstjänster för kunduppgifter.
• A2: Ett interoperabilitetstest för systemet ska utföras, och ett utlåtande om dess interoperabilitet ska beviljas. En bedömning av systemets infomationssäkerhet ska också utföras och ett intyg om dess informationssäkerhet ska beviljas. Till kategori A2 hör exempelvis system som lagrar administrativa uppgifter i Kanta-tjänsterna samt särskilda system inom ett specialområde. 
• A3: Ett interoperabilitetstest för systemet ska utföras, och ett utlåtande om dess interoperabilitet ska beviljas. En bedömning av systemets infomationssäkerhet ska också utföras och ett intyg om dess informationssäkerhet ska beviljas. Till kategori A3 hör exempelvis hälso- och sjukvårdens journalsystem och socialvårdens klientinformationssystem som anslutits till Kanta-tjänsterna. Till kategori A3 hör även FPA:s Kanta-tjänster.

Till kategori B hör system som behandlar social- och hälsovårdens kunduppgifter och

• som inte är direkt anslutna till Kanta-tjänsterna
• som inte producerar dokument som ska lagras i Kanta-tjänsterna
• som på basis av en riskbedömning inte är föremål för A1-kategorins krav på en bedömning av informationssäkerheten.

Även om system i kategori B inte genomgår interoperabilitetstestning och det inte krävs någon bedömning av informationssäkerheten av ett bedömningsorgan för informationssäkerhet, ska de väsentliga kraven enligt användningsändamålet för informationssystem i kategori B utföras och uppfyllas.

Du hittar exempel på informationssystem i kategori B i THL:s dokument Exempel på klassificeringen av informationssystem och välbefinnandeapplikationer. Du hittar dokumenten längst ner på denna sida.

Inom social- och hälsovården kan det också finnas system, programvara eller applikationer som inte är system i enlighet med kunduppgiftslagen, även om man i dem behandlar exempelvis namn- och adressuppgifter för patienter inom hälso- och sjukvården eller klienter inom socialvården.

Med ett informationssystem enligt kunduppgiftslagen avses en programvara, ett system eller ett delsystem som är utformat för att användas för

• elektronisk behandling av kunddokument 
• lagring av kunddokument i Kanta-tjänsterna 
• anslutning till de nationella informationssystemen, det vill säga Kanta-tjänsterna, eller behandling av välbefinnandeuppgifter inom social- eller hälsovården.

Exempel på informationssystem som är oklassificerade program eller applikationer:

• vanlig textbehandlings- eller kontorsprogramvara 
• administrativa stödsystem som används av en tjänstetillhandahållare inom social- eller hälso- och sjukvården, såsom måltidsbeställningssystem, system för materialförvaltning eller system för kontroll av behörigheter 
• faktureringssystem som används av tjänstetillhandahållare inom social- och hälsovården 
• allmänna system eller program som används för kommunikation, såsom olika chattprogram. 

THL:s dokument Exempel på klassificering av informationssystem och välbefinnandeapplikationer innehåller mer information om programvara som inte är i enlighet med kunduppgiftslagen. Du hittar dokumentet längst ner på denna sida.

Tillstånds- och tillsynsverket registrerar eller övervakar inte informationssystem som inte hör till kategori A eller B i enlighet med kunduppgiftslagen.

Vid behandlingen av kunduppgifter ska de allmänna kraven på informationssäkerhet och dataskydd samt andra bestämmelser som hänför sig till utarbetande, behandling och förvaring av klientuppgifter beaktas i alla situationer. Bestämmelserna gäller tjänstetillhandahållaren, oberoende av hur kunduppgifterna registreras och förvaras.