Henkilötietojen tietoturvaloukkausprosessin kehittäminen : kolmen eri terveydenhuollon liiketoimintayksikön näkökulma

Abstract

Opinnäytetyö toteutettiin kvantitatiivisena tutkimustyönä, jonka tarkoituksena oli tutkia liiketoimintojen ilmoituskulttuureiden eroavaisuuksista, henkilökunnan valmiuksia henkilötietojen tietoturvaloukkauksesta ilmoittamiseen sekä ilmoituksen käsittelijän näkökulmaa ja kokemuksia HaiPro-raportointijärjestelmän käytettävyydestä. Toimeksiantajan pyynnöstä työ kirjoitetaan anonyyminä, toimeksiantajasta käytetään työssä nimitystä Organisaatio.

Opinnäytetyössä toteutettiin kaksi erillistä kyselytutkimusta, joiden avulla kerättiin tutkimuksen aineistoa. Aineiston keruu toteutettiin 23.11. – 8.12.2023. Kyselyt toteutettiin anonyymeinä verkkokyselyinä, jotka sisälsivät pääosin strukturoituja tai Likert-asteikollisia kysymyksiä. Toisen kyselyn toteutuksessa käytettiin myös avoimen vastauksen kysymyksiä.

Teoriaosuudessa käsitellään mitä henkilötietojen käsittely tarkoittaa ja millä tavoin tässä tutkimuksessa tietosuoja ja terveydenhuolto liittyvät toisiinsa. Teoriaosuudessa kerrotaan kattavasti myös organisaation käytössä olevasta poikkeamatapahtumien raportointijärjestelmästä HaiPro:sta. Viimeisessä osuudessa perehdytään muutosprosessin vaiheisiin, joiden avulla korjaavien toimenpiteiden jalkauttaminen henkilöstölle lopulta kehittäisi onnistuneesti halutulla tavalla toimintaa.

Opinnäytetyö toimii hyvin haasteiden ja ongelmakohtien esiintuojana, jolloin näihin asioihin on mahdollista puuttua ja korjata niitä kehittämällä toimintaa. Tutkimus antaa kuvauksen liiketoimintojen välisistä esiinnousseista eroavaisuuksista ja tarjoaa kehitystoimenpide-ehdotuksen liiketoimintojen jälkikäsittelyprosessin kehittämisen tueksi.

The purpose of this thesis study was to investigate the differences in business reporting cultures, staff readiness to report an exception event, and the reporting handler's perspective and experience of the usability of the HaiPro reporting system.

The thesis study was conducted as a quantitative research project. The thesis included two separate surveys to collect the data for the study. The data collection was done between 23.11.-8.12.2023. The surveys were conducted as anonymous online surveys, which mainly contained structured or Likert-scale questions. The second survey also used open response questions. Upon the request of the client the paper was written anonymously, the client was referred to in the paper as the Organisation.

The theoretical part discusses what is meant by the processing of personal data and how data protection and healthcare are related in this study. The theory section also provides a comprehensive description of the incident reporting system used by the Organisation. The final section looks at the steps in the change process that will ultimately enable the implementation of corrective measures to staff to successfully develop the desired outcomes. The thesis works well as a presenter of challenges and problem areas, whereby these issues can be dealt with and corrected through improvement. The study provides a description of the prevailing differences between the businesses and offers a proposal for development measures to support the improvement of the post-treatment process of the businesses.