Hallituksen esitys eduskunnalle laiksi sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä sekä eräiksi siihen liittyviksi laeiksi

HALLITUKSEN ESITYS

Esityksessä ehdotetaan säädettäväksi uusi laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä sekä tarvittavat muutokset muihin lakeihin. Lailla kumottaisiin voimassa oleva laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä. Lisäksi ehdotetaan muutettavaksi eräitä muita lakeja.

Lait on tarkoitettu tulemaan voimaan 1 päivänä maaliskuuta 2019. Osaa lakien muutoksista sovellettaisiin kuitenkin vasta siirtymäajan jälkeen.

Esitykseen sisältyvissä säätämisjärjestysperusteluissa lakiehdotuksia tarkastellaan perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen, 80 §:n asetuksenantamista koskevan säännöksen ja 124 §:ssä julkisen hallintotehtävän antamista muun kuin viranomaisen hoidettavaksi säädetyn kannalta. Huomiota kiinnitetään myös Euroopan unionin perusoikeuskirjan 7 ja 8 artiklaan, yleiseen tietosuoja-asetukseen ja Euroopan ihmisoikeussopimuksen 8 artiklaan.

Hallitus katsoo, että esitys on sopusoinnussa perustuslain kanssa, minkä vuoksi ehdotettu laki voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Sosiaali- ja terveysministeriö esittää, että ehdotuksesta olisi syytä pyytää perustuslakivaliokunnan lausunto.

VALIOKUNNAN PERUSTELUT

Arvion lähtökohdat

Soveltamisala

Käyttövaltuus

Tiedonhallintapalvelut ja tietojen luovutus

Henkilötietojen säilyttäminen

Asetuksen- ja määräyksenantovaltuudet

Muita seikkoja

Sosiaali- ja terveydenhuollossa käsitellään arkaluonteisina pidettäviä henkilötietoja, jotka koskevat esimerkiksi henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia ja henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia. Sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä ehdotettavan lain (käsittelylakiehdotus) 2 §:n mukaan laissa säädetään sosiaali- ja terveydenhuollon asiakastietojen ja asiakkaan itsensä tuottamien hyvinvointitietojen sähköisestä käsittelystä terveydenhuollon ja sosiaalipalveluiden järjestämisen ja tuottamisen käyttötarkoituksissa sekä hyvinvointitietojen käsittelystä kansalaisen oman hyvinvoinnin edistämisen tarkoituksessa.

PeVL 14/2018 vp

PeVL 14/2018 vp

Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks., s. 2—3 ja siinä viitatut lausunnot). Lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (ks., s. 4—5 ja esimerkiksi,sekä). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim., s. 3).

Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (ks., s. 4,, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen 51 johdantokappaleen mukaan asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim., s. 5).

PeVL 14/2018 vp

Hallituksen esityksen perusteluissa ja säätämisjärjestysperusteluissa lakiehdotuksia on tarkasteltu verraten seikkaperäisesti perusoikeuksien näkökulmasta. Perustuslakivaliokunta voi pääpiirteissään yhtyä esitettyyn. Valiokunta kiinnittää kuitenkin huomiota eräisiin seikkoihin. Perustuslakivaliokunta ei ole valtiosääntöisen tehtävänsä puitteissa arvioinut kattavasti ehdotetun sääntelyn suhdetta EU-oikeuteen. Sosiaali- ja terveysvaliokunnan on syytä varmistua, että ehdotettu sääntely ei ole ristiriidassa EU-oikeuden asettamien vaatimusten kanssa.

Käsittelylakiehdotuksen 2 §:ssä säädetään lakiehdotuksen soveltamisalasta. Lakia sovelletaan sosiaali- ja terveydenhuollon asiakastietojen ja henkilön itsensä tuottamien hyvinvointitietojen sähköiseen käsittelyyn. Sähköisellä käsittelyllä tarkoitetaan perustelujen mukaan (s. 48) sähköisesti tapahtuvaa asiakastiedon keräämistä, tallentamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, suojaamista, poistamista, tuhoamista sekä muita asiakastietoihin kohdistuvia toimenpiteitä.

PeVL 65/2018 vp

Käsittelylakiehdotuksen määritelmäsäännökseen sisältyy soveltamisalan kannalta keskeisen asiakastiedon määritelmä. Potilastiedon määritelmää ei ole sisällytetty lakiehdotukseen. Laissa säännellään kuitenkin eräissä säännöksissä rinnakkain asiakas- ja potilastietojen käsittelyä (esim. 7 §). Määritelmäsäännöstä on syytä täydentää.

Käsittelylakiehdotuksen mukaan sosiaali- ja terveydenhuollon ammattihenkilön oikeus käsitellä työssään tarvitsemaansa asiakas- ja potilastietoa perustuisi pääsääntöisesti lainsäädäntöön ja asiakas- ja hoitosuhteen olemassaoloon eikä asiakkaalta kysyttävään suostumukseen. Tietoja saisi käsitellä käyttötarkoituksen mukaisessa laajuudessa. Esityksen mukaan käyttöoikeushallinnalla, henkilöstön kouluttamisella ja muilla teknisillä ja organisatorisilla toimenpiteillä estetään väärinkäyttö ja lainvastainen pääsy tietoihin. Ammattihenkilöt, organisaatiot ja tietotekniset laitteet olisi tunnistettava luotettavasti. Samalla estettäisiin tietojen saattaminen rajoittamattoman henkilömäärän saataville ja varmistettaisiin, että käsitellään vain kulloinkin tarpeellisia henkilötietoja.

Sosiaali- ja terveysvaliokunnan on syytä varmistua sääntelyn hyväksyttävyydestä EU:n yleisen tietosuoja-asetuksen näkökulmasta. Perustuslakivaliokunta kiinnittää lisäksi huomiota siihen, että perustuslakivaliokunta on terveydenhuoltolain mukaisia potilastietorekistereitä arvioidessaan korostanut, että potilastietorekisterin kaltaisen arkaluonteisia tietoja sisältävän rekisterin ollessa kyseessä on erityisen tärkeää varmistua siitä, että väärinkäytön estävät tietoturvajärjestelyt ovat toimivia ja käytettävissä heti, kun järjestelmä otetaan käyttöön (, s. 3/II. Ks. myös, s. 47,, s. 13 ja 40).

PeVL 15/2018 vp

Käsittelylakiehdotuksen 14 §:n 1 momentin mukaan asiakastietojen käsittelyn perusteena on oltava tietoteknisesti varmistettu hoitosuhde tai asiayhteys. Palvelunantajan on määriteltävä sosiaali- ja terveydenhuollon ammattihenkilön tai muun asiakastietoja käsittelevän henkilön oikeus käyttää asiakastietoja, ja käyttöoikeus saadaan antaa vain kunkin ammattihenkilön ja muun asiakastietoja käsittelevän henkilön työtehtävissään tarvitsemiin välttämättömiin asiakastietoihin. Perustuslakivaliokunta painottaa säädettäväksi ehdotetun merkitystä. Sosiaali- ja terveysvaliokunnan on syytä varmistua, että tällaiset tietoturvajärjestelyt ovat toimivia ja käytettävissä heti, kun lakiehdotuksen mukaiset järjestelmät otetaan käyttöön.

Käsittelylakiehdotuksen 11 §:ssä säädetään tiedonhallintapalvelusta. Perustuslakivaliokunnan käsityksen mukaan palvelu vaikuttaa olevan tarkoitettu potilas- ja asiakastietojen luovutustarkoituksiin paitsi terveydenhuollon tai sosiaalihuollon palvelunantajien välillä myös sosiaalihuollon ja terveydenhuollon palvelunantajan välillä. Perustelujen mukaan tiedonhallintapalvelun kautta voitaisiin näyttää myös asiakkaan sosiaalihuollon tai potilaan terveydenhuollon sekä niihin liittyvien palvelujen kannalta keskeiset asiakastiedot (s. 61). Käsittelylakiehdotuksen 11 §:n 3 momentin mukaan sosiaali- ja terveysministeriön asetuksella voidaan säätää siitä, mitkä ovat tiedonhallintapalvelun kautta näytettäviä keskeisiä tietoja.

Käsittelylakiehdotuksen sääntelyn ja asetuksenantovaltuuden merkitys ei ole selvä. Perustuslakivaliokunta kiinnittää huomiota siihen, että ehdotettu säännös ei sanamuotonsa puolesta mahdollista salassapidettävien potilas- ja asiakastietojen antamista, sillä siihen ei sisälly velvollisuutta tai oikeutta antaa siinä mainitut tiedot salassapitosäännösten estämättä. Tarkoituksena lienee, että tiedonsaantioikeudet perustuvat erikseen säädettyyn. Valiokunnan mielestä tällainen rajaus on kirjattava myös säännökseen. Säännös on myös verraten avoin, minkä merkitystä korostaa säännökseen sisältyvä asetuksenantovaltuus.

PeVL 15/2018 vp

Hallituksen esityksen 2. lakiehdotus sisältää säännöksen sosiaalihuollon asiakasasiakirjojen säilyttämisestä. Hallituksen esityksen 2. lakiehdotuksen 27 §:n mukaan sosiaalihuollon asiakirjat, jotka tallennetaan sähköisesti asiakastietolaissa tarkoitettuun valtakunnalliseen arkistointipalveluun, säilytetään pysyvästi. Hallituksen esityksiin sisältyviin lakiehdotuksiin ehdotetaan myös eräitä muita varsin pitkiä säilytysaikoja. Esimerkiksi hallituksen esityksen 3. lakiehdotuksen 19 §:n mukaan reseptikeskukseen tallennetut asiakirjat ja niitä koskevat tiedot säilytetään reseptikeskuksessa 12 vuotta potilaan kuolemasta tai 120 vuotta potilaan syntymästä.

Perustuslakivaliokunnan mukaan tietojen pysyvä säilyttäminen ei ole henkilötietojen suojan mukaista, ellei siihen ole tietojärjestelmän luonteeseen tai tarkoitukseen liittyviä perusteita (ks.). Pysyvää säilyttämistä voi puoltaa se, että tiedot ovat osin muuttumattomia tai hitaasti muuttuvia eikä niitä päivitetä pelkän ajan kulumisen vuoksi, ja niiden pysyvä säilyttäminen on tarpeellista tehtävien hoitamiseksi (). Valiokunta on toisaalta pitänyt viiden vuoden säilytysaikaa arkaluonteisten tietojen osalta pitkänä (, s. 6) ja korostanut, että mitä pidemmäksi tietojen säilytysaika muodostuu, sitä olennaisempaa on huolehtia tietoturvasta, tietojen käytön valvonnasta ja rekisteröidyn oikeusturvasta (, s. 7).

Perustuslakivaliokunnan mielestä sosiaalihuollon asiakirjojen pysyvä säilyttäminen ei ole perustuslain 10 §:ssä säädetyn yksityiselämän ja henkilötietojen suojan mukaista. Hallituksen esityksen 2. lakiehdotuksen 27 §:ssä säädettyä säilytysaikaa on ajallisesti rajattava. Sosiaali- ja terveysvaliokunnan on syytä tarkastella muutenkin, ovatko ehdotetun pituiset säilytysajat tarpeen, ja rajoittaa erityisesti arkaluonteisten henkilötietojen säilytysaikoja välttämättömään säilytyksen tarkoituksen kannalta.

Tasavallan presidentti, valtioneuvosto ja ministeriö voivat perustuslain 80 §:n 1 momentin mukaan antaa asetuksia perustuslaissa tai muussa laissa säädetyn valtuuden nojalla. Lailla on kuitenkin säädettävä yksilön oikeuksien ja velvollisuuksien perusteista sekä asioista, jotka perustuslain mukaan muuten kuuluvat lain alaan.

Käsittelylakiehdotuksen 9 §:n 2 momentin mukaan sosiaali- ja terveysministeriö voi antaa asetuksen siitä, mitkä asiakasasiakirjat on luokiteltava erityistä suojausta edellyttäviksi. Valtuutta on täydennettävä asianmukaisella perussäännöksellä siitä, minkälaisin perustein asiakirjan voi asetuksella säätää luokiteltavaksi erityistä suojausta edellyttäväksi.

Käsittelylakiehdotuksen 21 §:ssä säädetään asiakastietojen välittämisestä valtakunnallisten tietojärjestelmäpalveluiden avulla sosiaali- ja terveydenhuollon ulkopuolelle. Pykälän mukaan valtakunnallisten tietojärjestelmäpalvelujen avulla voidaan välittää asiakirjoja sille sosiaali- ja terveydenhuollon ulkopuoliselle toimijalle, jota varten asiakirja on laadittu tai jolla on oikeus saada se lain nojalla. Pykälän 2 momentissa säädetään Terveyden ja hyvinvoinnin laitokselle annettavasta toimivallasta antaa määräykset siitä, mitkä asiakirjat saisi välittää viestinvälitys- ja kyselypalvelun avulla.

PeVL 10/2016 vp

PeVL 15/2018 vp

Käsittelylakiehdotuksen 14 §:n mukaan Terveyden ja hyvinvoinnin laitos antaa määräykset niistä perusteista, joiden mukaisesti palvelunantajan on määriteltävä asiakastietoja käsittelevien henkilöiden käyttöoikeudet asiakastietoihin. Perusteluissa esitetyn arvion (s. 110) mukaan määräysten antaminen liittyy teknisluonteisiin asioihin valtakunnallisten tietojärjestelmäpalvelujen toteuttamisessa, ja sääntelyn tarve on näin ollen varsin yksityiskohtaista ja teknisluonteista. Perustuslakivaliokunnan mielestä arkaluonteisten henkilötietojen käsittelyn perusteista määrääminen ei ole luonteeltaan yksityiskohtaista ja teknistä. Merkitystä asiassa on myös sillä, että määräyksenantovaltuus vaikuttaisi kohdistuvan myös käyttötarkoituksen muutokseen, mikäli esimerkiksi terveydenhuollon tarkoituksiin kerättyjä tietoja käsitellään sosiaalihuollon tarkoituksiin. Määräyksenantovaltuutta on täsmennettävä olennaisesti. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä.

Käsittelylakiehdotuksen 43 §:n 2 momentin mukaan ulkopuoliseen asiantuntijaan sovelletaan virkamiehen esteellisyyttä koskevia hallintolain säännöksiä. Säännöksen suhdetta hallintolain muuhun sääntelyyn ei perusteluissa tarkastella. Perustuslakivaliokunnan mielestä säännösehdotus mahdollistaa virheelliset vastakohtaispäätelmät hallintolain 2 §:n 3 momentissa säädetyn soveltamisalan suhteesta perustuslain 124 §:ssä asetettuihin oikeusturvan ja hyvän hallinnon vaatimuksiin (ks. myös, s. 3,, s. 2). Valiokunnan mielestä säännöstä on täydennettävä hallinnon yleislait kattavaksi. Vaihtoehtoisesti viittaus hallintolain esteellisyyssäännöksiin on poistettava. Sosiaali- ja terveysvaliokunnan on tällöin mietinnössä huolellisesti tarkasteltava hallinnon yleislakien soveltamisalaa.