Esityksessä ehdotetaan muutettavaksi sosiaali- ja terveydenhuoltoa ja pelastustoimea koskevan uudistuksen toimeenpanosta ja sitä koskevan lainsäädännön voimaanpanosta annettua lakia ja sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisestä Uudellamaalla annettua lakia.

Esityksessä ehdotetaan määräaikaisesti säädettäväksi oikeudesta luovuttaa potilastietoja hoidon edellyttämässä laajuudessa Uudenmaan maakunnassa potilasta hoitavalle terveyspalvelun järjestämisestä ja toteuttamisesta vastaavalle hyvinvointialueen, Helsingin kaupungin ja HUS-yhtymän toimivaltaiselle viranomaiselle, jos potilas ei olisi kieltänyt tietojen luovuttamisesta.

Lait on tarkoitettu tulemaan voimaan 1 päivänä tammikuuta 2023.

Potilastietojen luovuttamiseen Uudenmaan alueella liittyvät ehdotukset on valmisteltu virkatyönä sosiaali- ja terveysministeriössä. Valmistelun yhteydessä on kuultu Uudenmaan alueen toimijoita.

2.1 Sosiaali- ja terveydenhuollon järjestäminen Uudellamaalla

Sosiaali- ja terveydenhuollon ja pelastustoimen järjestämisestä Uudellamaalla annetussa laissa (615/2021, jäljempänä Uusimaa-laki) säädetään sosiaali- ja terveydenhuollon järjestämisvastuusta ja sen jakautumisesta hyvinvointialueiden ja HUS-yhtymän välillä sekä HUS-yhtymän ja Helsingin kaupungin hallinnon järjestämisestä.

Uusimaa-lain 4 §:n mukaan ensisijainen sosiaali- ja terveydenhuollon järjestämisvastuu on Uudenmaan maakunnan neljällä hyvinvointialueella (Itä, Keski-, Länsi-Uudenmaan sekä Vantaan ja Keravan hyvinvointialueilla) sekä Helsingin kaupungilla. HUS-yhtymällä on järjestämisvastuu sille Uusimaa-lain 5 §:ssä säädetyistä tehtävistä ja sille lain 9 §:ssä tarkoitetun HUS-järjestämissopimuksen perusteella siirretyistä tehtävistä. HUS-järjestämissopimuksessa hyvinvointialueet voivat siirtää tehtäviä HUS-yhtymälle eri tavoin. Uudenmaan hyvinvointialueilla ja Helsingin kaupungilla on rahoitusvastuu HUS-yhtymän toiminnasta ja rahoitusvastuun jakautumisesta määrätään HUS-yhtymän perussopimuksessa.

2.2 Potilastietojen käsittely Uudellamaalla

Uudenmaan alueella terveydenhuollon palvelut olisivat erillisten viranomaisten järjestämisvastuulla ja potilastiedot olisivat siten eri rekisterinpitäjien rekistereissä, toisin kuin muilla hyvinvointialueilla. Sote-uudistusta koskevassa lausunnossaan (17/2021 vp – HE 241/2020 vp) perustuslakivaliokunta ei ole esittänyt erityisiä huomioita Uudenmaan erillisratkaisun potilastietojen käsittelyä koskevaan sääntelyyn. Uudenmaan alueella asuu n. 30 % Suomen väestöstä, kesäkuussa 2021 n. 1,7 milj. henkilöä, joten potilastietojen käsittelyyn liittyvä sääntely vaikuttaa merkittävään osuuteen väestöä.

Sosiaali- ja terveydenhuollon järjestämisestä annetun lain (612/2021, jäljempänä järjestämislaki) 58 §:n mukaisesti hyvinvointialueilla on oikeus käsitellä rekisterissään olevia asiakastietoja salassapitosäännösten estämättä. Kullakin Uudenmaan hyvinvointialueella, Helsingin kaupungilla ja HUS-yhtymällä on omat viranomaisensa, joten niiden välillä kyse on tietojen luovutuksesta eikä käytöstä. Tästä johtuen sääntely ei voi olla täysin samankaltaista kuin muilla hyvinvointialueilla. Muiden rekisterinpitäjien potilastiedot ovat saatavilla luovutusluvan perusteella Kanta-palveluista välittömästi sen jälkeen, kun palvelunantaja on tiedot Kanta-palveluun tallentanut. Vehko T, Kyytsönen M, Jormanainen V, Hautala S, Saranto K, Vänskä J, Keränen N, Reponen J: (2021). Kanta-palvelut terveydenhuollossa ja sosiaalihuollossa sekä väestön Omakannan käyttö. Tutkimuksesta tiiviisti 67/2021. Terveyden ja hyvinvoinnin laitos, Helsinki. Lisäksi potilaan asemasta ja oikeuksista annettu laki (785/1992, jäljempänä potilaslaki) mahdollistaa potilastietojen luovuttamisen suostumuksen perusteella. Suostumuksen perusteella voidaan esimerkiksi lähetteeseen liittää ne potilastiedot, joiden arvioidaan olevan tarpeen lähetteen perusteella annettavassa hoidossa. Potilaslaissa on myös sääntelyä oikeudesta luovuttaa tietoja ilman suostumusta, jos potilas ei tajuttomuuden tai vastaavan syyn takia kykene päättämään suostumuksen antamisesta. Näissä niin sanotuissa hätätilanteissa tietoja voidaan luovuttaa myös Kanta-palveluista luovutusluvasta ja kielloista riippumatta.

2.3 Terveydenhuoltolain 9 §:n mukainen yhteisrekisteri

Terveydenhuoltolain (1326/2010) 9 §:n mukaisesti sairaanhoitopiirin alueen terveydenhuollon toimintayksiköillä on yhteinen potilasrekisteri. Sairaanhoitopiirin alueen toimintayksiköiden välillä potilastietoja voisi luovuttaa toisille toimintayksiköille sen jälkeen, kun potilasta on informoitu yhteisestä potilasrekisteristä. Potilaalla on myös oikeus kieltää tietojensa luovuttaminen. Hallituksen esityksessä eduskunnalle sosiaali- ja terveydenhuollon ja pelastustoimen lainsäädäntöön sekä eräihin muihin lakeihin tehtävistä muutoksista hyvinvointialueiden perustamista ja sosiaali- ja terveydenhuollon ja pelastustoimen järjestämisen uudistusta koskevasta lainsäädännöstä johtuen (HE 56/2021 vp) esitetään terveydenhuoltolain 9 § kumottavaksi.

Terveydenhuoltolain 9 §:ää koskevan hallituksen esityksen mukaan (HE 90/2010 vp) (sivu 97) ”potilaan hoito alkaa usein perusterveydenhuollon käynnillä, jossa hänellä todetaan sairaus, jonka hoidon tietyssä vaiheessa tarvitaan usein erikoisosaamista.

Erikoissairaanhoidossa ollaan koulutuksen ja kokemuksen sekä toiminnan järjestämisen ja toteutuksen osalta varustauduttu tällaiseen erikoisosaamiseen. Näissä tapauksissa perusterveydenhuolto joko konsultoi erikoissairaanhoitoa tai potilas lähetetään sairaalaan jatkotutkimuksiin tai hoitoon. Sairaalassa tehtyjen tutkimusten ja annetun hoidon jälkeen vastuu potilaan jatkohoidosta palautuu yleensä perusterveydenhuollon vastuulle. Toisaalta potilaan hoito voi alkaa suoraan myös erikoissairaanhoidossa esimerkiksi päivystysvastaanotolla, jolloin on usein tarpeen saada perusterveydenhuollon potilasasiakirjoissa olevat tiedot potilaan sairauksista ja hoidoista.

Edellä mainituissa tilanteissa potilasta tutkittaessa ja hoidettaessa on tarve saada käyttöön potilasta koskevat sairauskertomustiedot sekä perusterveydenhuollosta että erikoissairaanhoidosta hallinnollisista rajoista riippumatta. Parhaillaan maahamme ollaan rakentamassa kansallista terveysarkistoa, jonka valmistuttua potilaan hoidon edellyttämät potilastiedot on mahdollista saada käyttöön hoitopaikasta riippumatta. Kansallisen terveysarkiston toteutumiseen menee kuitenkin vielä joitakin vuosia.

Tästä syystä pykälän 1 momentissa säädettäisiin, että sairaanhoitopiirin alueen asukkaiden perusterveydenhuollon ja erikoissairaanhoidon potilasasiakirjat muodostaisivat yhteisen terveydenhuollon potilastietorekisterin. Tämä yhteinen potilastietorekisteri käsittää kaikki kunnallisten toimintayksiköiden asiakirjat niiden laatimisajankohdasta ja tallennustavasta riippumatta. Sen sijaan yhteisessä rekisterissä ei voi olla yksityisen terveydenhuollon toimintayksiköitä, ei edes silloin kun kunta tai kuntayhtymä omistaa sen kokonaan. Säännöksen perusteella voitaisiin mahdollistaa hyvän hoidon edellytyksenä olevien potilastietojen saatavuus sairaanhoitopiirin alueella nykyistä helpommin.”

Kuten hallituksen esityksen (HE 90/2010 vp) perusteluista sivulta 97 on luettavissa, on terveydenhuoltolain 9 §:n mukainen henkilötietojen käsittelyä koskeva sääntely tarkoitettu alun perin vain väliaikaiseksi ratkaisuksi, kunnes tiedot olisi saatavilla hallinnollisista rajoista riippumatta kansallista terveysarkistosta. Terveysarkistolla on tarkoitettu valtakunnallisia tietojärjestelmäpalveluita (eli niin sanottuja Kanta-palveluja), joiden kautta on jo pidemmän aikaa voinut saada edellä mainitut potilastiedot hallinnollisista rajoista riippumatta koko Suomen terveydenhuollon palvelunantajilta potilaan antaman laajan toistaiseksi voimassa olevan suostumuksen perusteella ja jatkossa sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain (784/2021, jäljempänä asiakastietolaki) myötä myös sosiaalihuollon asiakastiedot olisivat sääntelyn kautta saatavilla organisaatiorajoista huolimatta luovutusluvan perusteella.

Sosiaali- ja terveysministeriö on pyytänyt Kansaneläkelaitokselta selvityksen, välittyvätkö terveydenhuoltolain 9 §:ssä todetut tiedot reaaliaikaisesti myös Kanta-palveluiden kautta palvelunantajalta toiselle. Kansaneläkelaitoksen mukaan tiedot ovat luovutettavissa reaaliaikaisesti heti, kun ne on vain potilastietojärjestelmästä Kanta-palveluihin tallennettu. Kanta-palvelut ei ole potilastiedon arkisto vaan erittäin laaja ja kansainvälisesti erittäin korkealle arvostettu tietojärjestelmäkokonaisuus. Siihen sisältyy muun muassa tiedonhallintalain mukainen tietovaranto. Se ei kuitenkaan sisällä varsinaista ammattilaisten käyttöliittymää potilastietojen katseluun, vaan niiden toteuttaminen on kunkin potilastietojärjestelmätoimittajan tehtävä. Palveluiden järjestämisen ja tuottamisen kannalta ne potilastiedot, jotka on Kanta-palveluihin tallennettu, voidaan välittää reaaliaikaisesti myös Uudellamaalla

2.4 Esitys terveydenhuoltolain 9 §:n kumoamisesta (HE 56/2021 vp)

Koska terveydenhuoltolain 9 §:n hallituksen esityksen mukaisia perusteluita ei sen säilyttämiselle enää ole, ja koska sen ei ole arvioitu vastaavan rekisterinpitoa ja henkilötietojen käsittelyä koskevan sääntelyn osalta luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (yleinen tietosuoja-asetus) ja perustuslain vaatimuksia, ministeriössä on jo pidemmän aikaa tunnistettu tarve kumota terveydenhuoltolain 9 § tarpeettomana. Lisäksi hallituksen esityksen eduskunnalle hyvinvointialueiden perustamista ja sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisen uudistusta koskevaksi lainsäädännöksi sekä Euroopan paikallisen itsehallinnon peruskirjan 12 ja 13 artiklan mukaisen ilmoituksen antamiseksi (HE 241/2020 vp) myötä järjestämisvastuu siirtyy kunnilta, kuntayhtymiltä ja sairaanhoitopiireiltä hyvinvointialueille, Uudenmaan alueen hyvinvointialueille, Helsingin kaupungille ja HUS-yhtymälle. Terveydenhuoltolain 9 §:ssä todettu sairaanhoitopiirin kuntayhtymä ja sairaanhoitopiirin alueen kunnat eivät enää järjestä kyseisiä tehtäviä (HE 241/2020, hallituksen esitys eduskunnalle hyvinvointialueiden perustamista ja sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisen uudistusta koskevaksi lainsäädännöksi sekä Euroopan paikallisen itsehallinnon peruskirjan 12 ja 13 artiklan mukaisen ilmoituksen antamiseksi). Terveydenhuoltolain 9 §:n kumoaminen olisi seurausta edellä mainitun hallituksen esityksen johdosta.

Voimassa oleva terveydenhuoltolain 9 §:n 2 momentin mukainen sääntely, vaikka onkin syntynyt perustuslakivaliokunnan myötävaikutuksella (PeVL 41/2010 vp), on avointa ja henkilötietojen käsittelyä ei ole sidottu välttämättömyyteen (ks. (PeVL 15/2018 vp) tai tarpeellisuuteen (PeVL 17/2016 vp, s. 2—3 ja PeVL 38/2016 vp, s. 3). Kuten perustuslakivaliokunta on todennut, esimerkiksi potilasasiakirjoista annettu sosiaali- ja terveysministeriön asetus (298/2009) osoittaa terveydenhuollon potilastietojen huomattavasti tarkemman sääntelyn olevan sinänsä mahdollista. Lisäksi terveydenhuoltolain 9 §:ssä ei ole selkeästi ilmaistu, mikä taho tekee harkinnan potilastietojen luovuttamisesta. Toisaalta perustuslakivaliokunta ei ole pitänyt hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu välttämättömyyskriteeriin (ks. esim. PeVL 71/2014 vp, s. 3/I, PeVL 62/2010 vp, s. 4/I ja PeVL 59/2010 vp, s. 4/I), jota tässä ei siis ole tehty.

Tiedonhallintalain 15 §:n mukaan viranomaisen on varmistettava tarpeellisin tietoturvallisuustoimenpitein, että sen tietoaineistojen muuttumattomuus on riittävästi varmistettu, tietoaineistot on suojattu teknisiltä ja fyysisiltä vahingoilta ja tietoaineistojen alkuperäisyys, ajantasaisuus ja virheettömyys on varmistettu. Lisäksi tiedonhallintalain mukaan ottaen huomioon, mitä tiedonsaannista ja henkilötietojen suojasta erikseen säädetään, viranomaisen on huolehdittava, että tietoaineisto on saatavilla ja hyödynnettävissä yleisesti käytettävässä koneluettavassa muodossa kuvailutietoineen, jos tietoaineisto voidaan saattaa alkuperäisestä muodosta suoraan koneluettavaan muotoon. HE 56/2021 vp valmistelun yhteydessä voimassa olleen vanhan asiakastietolain (159/2007) 4 §:n 2 momentin mukaan sähköisestä asiakasasiakirjasta tulee olla vain yksi alkuperäinen tunnisteella yksilöity kappale. Alkuperäisestä asiakirjasta voidaan palvelun toteuttamiseksi tai muusta perustellusta syystä ottaa jäljennös, josta tulee ilmetä asiakirjan olevan jäljennös. Uudenmaan sote-toimijoiden tulisi siis lähtökohtaisesti käyttää vain Kanta-palveluissa olevia alkuperäisiä asiakasasiakirjoja. Asiaan on kiinnittänyt huomiota muun muassa professori Tomi Voutilainen uudesta asiakastietolaista (HE 212/2020 vp) perustuslakivaliokunnalle 9.12.2020 antamassaan lausunnossa ks. s. 3.. Terveydenhuoltolain 9 §:n mukainen kopioitujen potilastietojen käsittely ei myöskään ole asianmukaista ottaen huomioon tietosuoja-asetuksen 5 artiklan mukainen minimointiperiaate.

Terveydenhuoltolain 9 § on vanhentunutta ja valtiosääntöoikeudellisesti ongelmallista sääntelyä.

Sosiaali- ja terveysvaliokunta on mietinnössään StVM 16/2021 vp todennut, että ”asiantuntijakuulemisissa on nostettu esiin Uudenmaan hyvinvointialueiden potilastietojen käsittelyyn liittyvänä ongelmana se, ettei ehdotus sisällä sääntelyä nykyisenkaltaisesta HUSin alueen yhteisrekisteristä, josta säädetään nykyisin terveydenhuoltolain 9 §:ssä. Valiokunta toteaa, että asiaa koskeva valmistelu on sisällytetty niin sanottuun sote100-lakiesitykseen (HE 56/2021 vp). Valiokunta pitää tärkeänä varmistaa, ettei tiedon integraatio käytännössä vaarannu Uudellamaalla ja käsittelee Uudenmaan hyvinvointialueita koskevan rekisterinpitoasian kyseisen esityksen yhteydessä.”

Koska 9 §:ää korvaava sääntely edellyttää perusoikeuksia rajoittavaa salassa pidettävien ja arkaluonteisten henkilötietojen käsittelyä koskevaa sääntelyä, muutoksia ei voi tehdä kyseisen hallituksen esityksen eduskuntakäsittelyn yhteydessä, vaan se edellyttää tavanomaisen hyvän lain valmistelun kuuluvat vaikutusten arvioinnit mukaan lukien tietosuojavaikutusten ja tiedonhallintalain mukaiset vaikutusten arvioinnit sekä kuulemiset. Lisäksi perustuslakivaliokunta on lausuntokäytännössään arvostellut voimakkaasti puutteellisesti valmisteltuja hallituksen esityksiä, joita on jouduttu eduskuntakäsittelyn yhteydessä huomattavasti muokkaamaan ja uudelleen valmiselemaan. Esimerkiksi PeVL 4/2021 vp: ”Sääntelyn muuttaminen tähän suuntaan ei nimittäin ole mahdollista eduskunnassa, vaan muutos olisi toteutettava hallituksen esityksellä. Valiokunta on pitänyt välttämättömänä ja hyvään lainsäädäntötapaan kuuluvana, että etenkin silloin, kun laajakantoiseen hallituksen esitykseen esitetään tehtäviksi hyvin merkittäviä ja esityksen perusratkaisuihin olennaisesti vaikuttavia muutoksia, asian valmistelu osoitetaan valtioneuvoston tehtäväksi (PeVL 9/2020 vp, s. 3, PeVL 26/2017 vp, s. 76, ks. myös PeVL 75/2014 vp, s. 8/II). Valiokunta pitää lisäksi selvänä, että tällaiset sääntelyratkaisut olisi myös vielä uudestaan saatettava perustuslakivaliokunnan arvioitaviksi.” Hallituksen näkemyksen mukaan tämä on kuitenkin mahdollista tällä täydentävällä hallituksen esityksellä.

2.5 Rekisterinpitäjyys ja oikeus käsitellä potilastietoja rekisterinpitäjän toiminnassa

Järjestämislain 58 §:ssä ja Uusimaa-lain 25 §:ssä säädetään hyvinvointialueiden ja HUS-yhtymän sosiaali- ja terveydenhuollon järjestämisestä vastaavan toimivaltaisen viranomaisen rekisterinpitäjyydestä. Helsinkiä ei mainita säännöksissä erikseen, koska sen oli ajateltu sisältyvän hyvinvointialueen käsitteeseen.

Järjestämislain 58 §:n 2 momentissa säädetään hyvinvointialueen toimintayksiköiden oikeudesta käsitellä kyseisen hyvinvointialueen rekisterissä olevia potilastietoja salassapitosäännösten estämättä. Salassapitosäännöksillä tarkoitetaan muiden muassa potilaslain 13 §:ää, jossa sivullisuus ja suostumus tietojen luovutuksen edellytyksenä on sidottu toimintayksikön käsitteeseen. Vastaava sääntely puuttuu Uusimaa-lain 25 §:stä.

Tämän esityksen tavoitteena on turvata potilastiedon käsittely Uudellamaalla sosiaali- ja terveydenhuollon uudistuksen toimeenpanon alkuvaiheessa. Esityksellä esitetään voimassa olevaa sääntelyä täydentävää sääntelyä potilastietojen käsittelystä Uudellamaalla, jotta sosiaali- ja terveydenhuollon uudistuksen täytäntöönpano saadaan turvattua. Sosiaali- ja terveysvaliokunta on mietinnössään StVM 16/2021 vp todennut, että ”asiantuntijakuulemisissa on nostettu esiin Uudenmaan hyvinvointialueiden potilastietojen käsittelyyn liittyvänä ongelmana se, ettei ehdotus sisällä sääntelyä nykyisenkaltaisesta HUSin alueen yhteisrekisteristä, josta säädetään nykyisin terveydenhuoltolain 9 §:ssä. Valiokunta toteaa, että asiaa koskeva valmistelu on sisällytetty niin sanottuun sote100-lakiesitykseen (HE 56/2021 vp). Valiokunta pitää tärkeänä varmistaa, ettei tiedon integraatio käytännössä vaarannu Uudellamaalla ja käsittelee Uudenmaan hyvinvointialueita koskevan rekisterinpitoasian kyseisen esityksen yhteydessä.”. Sosiaali- ja terveysministeriö tulee esittämään pysyvää lainsäädäntöä asiakas- ja potilastietojen luovuttamisesta tiedonhallintasäädösten kokonaisuudistuksen yhteydessä. Kokonaisuudistukseen liittyvä hallituksen esitysluonnos on parhaillaan lausuntokierroksella, ja se on tavoitteena antaa eduskunnan käsiteltäväksi syyskuussa 2022

4.1 Keskeiset ehdotukset

Uudenmaan alueella terveydenhuollon palvelut ovat eri viranomaisten järjestämisvastuulla ja potilastiedot ovat siten eri rekisterinpitäjien rekistereissä, toisin kuin muilla hyvinvointialueilla. Tämän vuoksi sosiaali- ja terveysministeriö katsoo olevan perusteltua mahdollistaa erityiset tiedon luovuttamisen oikeudet HUS-yhtymän ja kunkin hyvinvointialueen sekä Helsingin kaupungin välillä sote-uudistuksen täytäntöönpanon turvaamiseksi. Uudenmaan alueella asuu noin 30 % Suomen väestöstä (kesäkuussa 2021 noin 1,7 miljoonaa henkilöä), joten ratkaisu vaikuttaa merkittävään osuuteen väestöä.

Järjestämislain 58 §:n mukaan hyvinvointialueilla on oikeus käsitellä rekisterissään olevia asiakastietoja salassapitosäännösten estämättä. Kullakin Uudenmaan hyvinvointialueella, Helsingin kaupungilla ja HUS-yhtymällä on kuitenkin omat viranomaisensa, joten niiden välillä kyse on tietojen luovutuksesta eikä käytöstä. Tästä johtuen sääntely ei voi olla täysin samankaltaista kuin muilla hyvinvointialueilla. On otettava huomioon, että muiden rekisterinpitäjien potilastiedot ovat saatavilla asiakastietolain mukaisen luovutusluvan perusteella Kanta-palveluista välittömästi sen jälkeen, kun toinen palvelunantaja on tiedot Kanta-palveluun tallentanut. Lisäksi potilaslaki mahdollistaa potilastietojen luovuttamisen suostumuksen perusteella. Suostumuksen perusteella voidaan esimerkiksi lähetteeseen liittää ne potilastiedot, joiden arvioidaan olevan tarpeen lähetteen perusteella annettavassa hoidossa. Potilaslaissa on myös sääntelyä oikeudesta luovuttaa tietoja ilman suostumusta, jos potilas ei tajuttomuuden tai vastaavan syyn takia kykene päättämään suostumuksen antamisesta. Näissä ns. hätätilanteissa tietoja voidaan luovuttaa myös Kanta-palveluista luovutusluvasta ja kielloista riippumatta.

Voimassa oleva sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskeva sääntely koetaan kokonaisuutena vaikeaselkoiseksi, mihin myös perustuslakivaliokunta on kiinnittänyt huomiota (PeVL 4/2021 vp). Sosiaali- ja terveysministeriö on parhaillaan valmistelemassa sosiaali- ja terveydenhuollon asiakastietoja koskevan lainsäädännön kokonaisuudistusta, jossa keskeisenä tavoitteena on selkiyttää ja yhdenmukaistaa asiakas- ja potilastietojen luovutusta koskevaa sääntelyä. Kokonaisuudistuksen yhteydessä ehdotetaan muutokset asiakastietojen luovutuksia koskevaan sääntelyyn nykyisen asiakastietolain luovutuslupiin ja asiakkaan kielto-oikeuteen perustuvan sääntelyn pohjalta siten, että sääntely olisi valtakunnallisesti yhdenmukaista sekä asiakkaan ja ammattilaisten näkökulmasta ymmärrettävää. Suunniteltu sääntely mahdollistaisi asiakastietojen luovuttamisen myös Uudenmaan maakunnassa toimijoiden toivomalla tavalla muutoinkin kuin valtakunnallisten tietojärjestelmäpalvelujen avulla.

Tämä esitys sisältää ehdotuksen tilapäisestä tiedonsaantioikeudesta siihen saakka, että kokonaisuudistukseen sisältyvä tavoitetilan mukainen toiminnallisuus saadaan toteutettua Uudenmaan maakunnan palvelunantajien käyttämiin tietojärjestelmiin.

Tilapäiseksi ratkaisuksi esitetään, että Uudenmaan maakunnassa potilasta hoitavalla terveydenhuollon palvelunantajalla olisi oikeus salassapitosäännösten estämättä saada ja käyttää toisen Uudenmaan maakunnan palvelunantajan potilastietoja potilaan hoidon edellyttämässä laajuudessa. Potilaalla olisi oikeus kieltää tietojensa luovuttaminen. Tilapäinen ratkaisu vastaisi nykyistä terveydenhuoltolain 9 §:n mukaista potilastietojen käsittelyä koskevaa sääntelyä.

4.2 Pääasialliset vaikutukset

4.2.1 4.2.1. Taloudelliset vaikutukset

Esityksellä on lähinnä välillisiä taloudellisia vaikutuksia. Taloudelliset vaikutukset kohdistuvat Uudenmaan maakunnan hyvinvointialueisiin, Helsingin kaupunkiin ja HUS-yhtymään sekä niiden valmistelutoimielimiin. Esitettävä tilapäinen ratkaisu perustuu nykyiseen terveydenhuoltolain 9 §:n mukaiseen potilastietojen käsittelyä koskevaan sääntelyyn, joten se ei aiheuta tietojärjestelmämuutoksia eikä niihin liittyviä kustannuksia.

Välillisiä kustannuksia aiheutuu asiakkaiden informoinnista. Informoinnista ei esitetä säädettäväksi tässä esityksessä, vaan informointivelvoite tulee tietosuoja-asetuksesta. Kustannusten taso riippuu siitä, minkälaisia informoinnin keinoja hyvinvointialueille, Helsingin kaupungissa ja HUS-yhtymässä päätetään käyttää.

Esityksellä on riippuvuus myös hyvinvointialueiden perustamisesta aiheutuviin rekisterimuutoksiin, eli nykyisten palvelunantajien asiakas- ja potilasrekisterien yhdistämiseen uusien järjestämisvastuullisten viranomaisten rekisterinpitoon.

Hyvinvointialueiden perustamisen ICT-muutoskustannusten kattamiseen on varattu valtionavustusta (sote ICT-muutostuki 444 milj. euroa ja mahdollinen lisärahoitus).

Esittävässä ratkaisussa hyödynnetään nykyistä terveydenhuoltolain 9 §:n mukaista tietojärjestelmätoiminnallisuutta. Ratkaisu koskee ainoastaan Uudenmaan hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän käyttämiä potilastietojärjestelmiä ja valtakunnallisia tietojärjestelmäpalveluita. Kansaneläkelaitokselle informoinnin päivittämisestä ja kansalaisviestinnästä aiheutuvat kustannukset ovat maltillisia ja ne katetaan valtakunnallisten tietojärjestelmäpalveluiden sote-uudistuksesta aiheutuvaan kehittämiseen varatusta määrärahasta.

4.2.2 Yhteiskunnalliset vaikutukset

Ehdotuksella on vaikutuksia asiakkaan asemaan, terveydenhuollon ammattilaisiin, Uudenmaan maakunnan terveydenhuollon järjestämisestä vastaaviin viranomaisiin ja hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän valmistelutoimielimiin sekä Kansaneläkelaitokseen valtakunnallisten tietojärjestelmäpalveluiden toteuttajana

Vaikutukset asiakkaan asemaan

Ehdotuksella on vaikutuksia asiakkaan asemaan, koska esityksen mukaan asiakkaan potilastietoja luovutettaisiin alkuvaiheessa viranomaisten välillä eri tavoin kuin muiden hyvinvointialueiden alueella, kuitenkin siten että menettely vastaisi nykyisen sääntelyn mukaista menettelyä. Huomioiden Uudenmaan erityispiirteet ja perustuslakivaliokunnan myötävaikutukset hyväksytyn sosiaali- ja terveyspalveluiden erityisratkaisun, henkilötietojen käsittelyn erilaisuutta voinee pitää hyväksyttävänä. Jos henkilötietojen käsittelystä ei säädettäisi erikseen, henkilötietojen käsittely, erityisesti tietojen luovuttaminen perusterveydenhuollon ja erikoissairaanhoidon välillä joka tapauksessa poikkeaa muista alueista johtuen erilaisesti järjestämisen rakenteesta ja järjestämisvastuun jakautumisesta usean viranomaisen vastuulle.

Asiakkaan näkökulmasta potilastietojen käsittelyn kokonaisuus voi säilyä vaikeaselkoisena, mikä voi myös heikentää luottamusta henkilötietojen käsittelyn turvallisuuteen. Toisaalta ehdotus vastaa nykyisenkaltaista potilastietojen käsittelyä koskevaa sääntelyä, jonka soveltaminen on asiakkaille jo tuttua, vaikka järjestämisen rakenteet ja vastuut muuttuvatkin. Ehdotus turvaa välttämättömien potilastietojen saatavuuden toisen viranomaisen vastuulla olevaa terveydenhuoltoa toteutettaessa.

Vaikutukset terveydenhuollon ammattilaisiin

Ammattilaisen näkökulmasta sääntely voi vaikuttaa vaikeaselkoiselta, koska Uudenmaan alueella olisi lisäsääntelyä suhteessa voimassa olevaan sääntelyyn ja järjestämisen rakenteet ja vastuut poikkeavat muusta maasta. Ammattilaisen näkökulmasta esitys kuitenkin turvaa potilastietojen saatavuuden täytäntöönpanon alkuvaiheessa.

Vaikutukset viranomaisiin

Esitettävä ratkaisu terveydenhuoltolain 9 §:ä vastaavan toiminnallisuuden säilyttämisestä mahdollistaa potilastietojen luovuttamisen nykyisenkaltaisella tavalla ja mahdollistaa hyvinvointialueiden perustamisen siirtymävaiheessa resurssien käyttämistä muuhun välttämättömään tekemiseen. Esitettävä malli turvaa potilastietojen saatavuuden potilasta hoidettaessa, joten se ei siten vaaranna potilasturvallisuutta.

Koska ehdotuksen mukaisen potilastietojen luovutusmahdollisuuden edellyttämät kiellot tallennettaisiin valtakunnallisten tietojärjestelmäpalveluiden tahdonilmaisupalveluun, tulee Kansaneläkelaitoksen toteuttaa muutokset valtakunnallisia tietojärjestelmäpalveluita koskevaan kansalaisen informointiasiakirjaan sekä mahdollistaa kieltojen hyödyntäminen Uudenmaan alueella. Lisäksi aiheutuu työtä kansalaisviestinnästä.

4.2.3 Tietosuojavaikutusten arviointi

Lakiehdotuksen Uusimaa-lain 25 §:n esitettävät muutokset sisältävät tarkennuksen Helsingin kaupungin rekisterinpitäjyydestä hyvinvointialueiden rekisterinpitäjyyttä vastaavalla tavalla. Tältä osin tietosuojavaikutusten arviointia on kuvattu sote-uudistusta koskevan hallituksen esityksen (HE 241/2020 vp) sivuilla 353-354.

Sekä Uusimaa-lain 25 §:ään ehdotettavien muutosten että voimaanpanolakiin ehdotettavan 64 a §:n tietosuoja-asetuksen mukainen käsittelyperuste olisi 6 artiklan 1 c) alakohdan mukainen rekisterinpitäjän lakisääteisen tehtävän noudattamiseksi ja 9 artiklan 2 h) alakohta (käsittely on tarpeen ennalta ehkäisevää tai työterveydenhuoltoa koskevia tarkoituksia varten, lääketieteellisiä diagnooseja varten, terveys- tai sosiaalihuollollisen hoidon tai käsittelyn suorittamiseksi taikka terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten unionin oikeuden ja noudattaen 3 kohdassa esitettyjä edellytyksiä ja suojatoimia). Kyseisen 2 h alakohdan edellyttämästä salassapitovelvoitteesta säädetään potilaslaissa.

Esitettävät potilastietojen käsittelyä koskevat muutokset koskevat erityisiin henkilötietoryhmiin kuuluvien henkilötietojen sekä valtiosääntöoikeudellisesti arkaluonteisiksi katsottavien henkilötietojen käsittelyä. Lisäksi mainittujen pykälien mukainen henkilötietojen käsittely tarkoittaisi laajoja tietokantoja, joihin voidaan myös arvioida liittyvän erityisiä riskejä rekisteröityjen henkilötietojen suojan kannalta.

Henkilötietojen käsittelyyn sovelletaan asiakastietolain mukaisia suojatoimia, kuten käyttöoikeuksien antaminen asiakastietolain 15 §:n nojalla annettavan sosiaali- ja terveysministeriön asetuksen mukaisesti välttämättömään asiakastietoon, hoitosuhteen tietotekninen varmistaminen ja luovutuslokimerkintöjen tuottaminen.

Ehdotettava sääntely potilastietojen luovuttamisesta rajoittaa perustuslain 10 §:n mukaisia yksityisyyden suojaan liittyviä perusoikeuksia ja -vapauksia. Lakiehdotuksessa ei kuitenkaan rajoiteta tietosuoja-asetuksen mukaisia rekisteröidyn oikeuksia. Tietosuoja-asetuksen 23 artiklan 1 kohdan (e) alakohdan mukaisesti perusoikeuksia ja -vapauksia voidaan rajoittaa muun muassa silloin, kun tavoitteena on taata kansanterveys. EU:n yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan mukaan 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin

a) käsittelytarkoitusta tai käsittelyn ryhmiä;

b) henkilötietoryhmiä;

c) käyttöön otettujen rajoitusten soveltamisalaa;

d) suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen;

e) rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämistä;

f) tietojen säilytysaikoja ja sovellettavia suojatoimia ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset;

g) rekisteröidyn oikeuksiin ja vapauksiin kohdistuvia riskejä; ja

h) rekisteröityjen oikeutta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen.

Lakiehdotus itsessään ei kielto-oikeuden lisäksi sisällä toimenpiteitä, joilla suojataan rekisteröityjen oikeuksia, vaan lakiehdotuksen mukaisessa henkilötietojen käsittelyssä on noudatettava asiakastietolakia ja muuta potilastietojen käsittelyyn liittyvää sääntelyä. Asiakastietolaissa ja muussa voimassa olevassa sosiaali- ja terveydenhuollon tiedonhallinnan sääntelyssä on säännökset asiakas- ja potilastietojen käsittelyn tarkoituksesta palvelujen järjestämisen ja tuottamisen tarkoituksiin. Säännöksissä on rajattu ryhmät, joilla on oikeus käsitellä asiakas- ja potilastietoja sekä säädetty, että terveydenhuollossa on oikeus käsitellä vain välttämättömiä potilastietoja. Asiakastietolaissa säädetään käyttöoikeuksista asiakastietoihin siten, että käyttöoikeudet perustuvat ammattihenkilön tai muun asiakastietoja käsittelevän henkilön työtehtävään ja annettavaan palveluun. Kaikki asiakastietojen käsittelijät on tunnistettava luotettavasti, ja asiakastietojen käytöstä ja luovutuksesta kerätään lokitiedot. Luovutuksia koskevat tiedot näytetään kansalaisen käyttöliittymässä (Omakanta).

Tämän lakiehdotuksen mukainen henkilötietojen käsittely koskee ainoastaan Uudenmaan maakunnan viranomaisten henkilötietojen käsittelyä. Uudenmaan maakunnan sosiaali- ja terveydenhuollon järjestämisen erillisratkaisusta johtuen ehdotettu sääntely on edellytyksenä, jotta sote-uudistuksen lainsäädäntö on toimeen pantavissa myös Uudellamaalla.

Ehdotetulla henkilötietojen käsittelyä koskevilla muilla vähäisillä muutoksilla voisi olla rekisterinpitäjille hallinnollista taakkaa aiheuttavaa vaikutusta, joka syntyisi erityisesti rekisteröidyn informointivelvoitteista ja henkilökunnan koulutuksesta. Esimerkiksi tietosuojaselosteita ja ohjeita voitaisiin joutua tarkistamaan. Resursseiltaan nykyistä isommilla järjestämisvastuussa olevilla toimijoilla olisi kuitenkin arvion mukaan paremmat edellytykset huolehtia tietosuojaan liittyvistä velvoitteista nykyistä yhdenmukaisemmin ja systemaattisemmin ja kustannustehokkaammin. Hyvinvointialueille ehdotuksesta aiheutuva tehtävä olisi arvion mukaan mahdollista toteuttaa hyvinvointialueille kunnista siirtyvän hallinnollisen henkilöstön toimesta, eikä tehtävä edellyttäisi uutta resurssia. Nämä vaikutukset ovat kuitenkin samanlaisia kuin muilla hyvinvointialueilla Uudenmaan ulkopuolella.

EU:n yleisen tietosuoja-asetuksen 35 artiklan 1–7 kohdassa säädetään rekisterinpitäjän vaikutusarviointien toteuttamisvelvollisuudesta. Sen mukaan rekisterinpitäjän on toteutettava vaikutustenarviointi suunniteltujen toimien vaikutuksista henkilötietojen suojalle, jos tietyntyyppinen käsittely etenkin uutta teknologiaa käytettäessä todennäköisesti aiheuttaa luonnollisen henkilön oikeuksien ja vapauksien kannalta korkean riskin. Tietosuoja-asetuksen 35 artiklan 10 kohdan mukaan 1–7 kohtaa ei sovelleta, jos tietosuojaa koskeva vaikutustenarviointi on tehty lainvalmistelun yhteydessä osana yleistä vaikutustenarviointia. Kuitenkin myös tässä tilanteessa rekisterinpitäjällä on velvollisuus toteuttaa vaikutustenarviointi, jos arvioinnin toteuttaminen katsotaan tarpeelliseksi ennen käsittelytoimien aloittamista. Uusimaa-lakiehdotuksen yksityiskohtaisiin perusteluihin ja säätämisjärjestysperusteluihin sisältyvä arviointi ei poistaisi rekisterinpitäjän 35 artiklan mukaista velvollisuutta tietosuojavaikutusten arviointiin. Perustuslakivaliokunnan linjausten mukaisesti terveystietojen käsittelyyn voidaan arvioida liittyvän erityisiä riskejä luonnollisen henkilön oikeuksien kannalta. Edelliseen perustuen voidaan arvioida, että hyvinvointialueilla rekisterinpitäjinä olisi parhaimmat edellytykset arvioida tietosuojavaikutuksia siten kuin 35 artiklan 1-7 kohta edellyttää.

Koska on oletettava, että osa riskeistä olisi Uudenmaan hyvinvointialueille, Helsingin kaupungille ja HUS-yhtymälle yhteisiä, ne voisivat tarvittaessa tehdä vaikutustenarviointia yhdessä. Hyvinvointialueiden yhteistyönä tekemä tietosuojavaikutusten arviointi olisi myös Euroopan tietosuojaneuvoston (EDPB) kannanottojen mukaista menettelyä.

4.2.4 Tiedonhallintavaikutusten arviointi

Esitys sisältää sääntelyn potilastietojen luovuttamisesta Uudenmaan hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän välillä. Esitys ei muuta potilastietojen salassa pidettävyyttä. Asiakastietojen käsittelyssä on noudatettava asiakastietolain mukaista asiakastietojen käsittelyä koskevaa sääntelyä, esimerkiksi potilastietojen käytön seurannan, käyttöoikeuksien ja tietojärjestelmiin kohdistuvien tietoturvallisuusvaatimusten osalta. Tietojen luovuttamista koskeva sääntely vastaisi nykyistä terveydenhuoltolain 9 §:n mukaista potilastietojen luovutusta, eli luovutuksia informoinnin perusteella koskien kaikkien hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän välillä, joten toteutuksessa voidaan käyttää nykyisiä tietojärjestelmätoteutuksia. Toimeenpanon aikataulu huomioiden tämä on välttämätöntä. Terveydenhuoltolain 9 §:n mukaisesta yhteisrekisteristä ei enää säädettäisi, mutta tosiasiallisesti kukin viranomainen on tähänkin mennessä vastannut omien potilastietojen rekisterinpidosta, eikä mitään konkreettista yhteistä rekisteriä ole ollut.

Uusimaa-lain 25 §:ään ehdotettavat muutokset ovat luonteeltaan teknisiä ja varmistavat, että Uudenmaan alueen hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän toimintayksiköissä voidaan käsitellä rekisterinpitäjän omia potilastietoja samankaltaisesti kuin muilla hyvinvointialueilla. Tiedonhallintalaissa tarkoitettuja vaikutuksia ei siten ole.

5.1 Vaihtoehdot ja niiden vaikutukset

Lähtökohtaisesti nykyinen potilaslakiin ja asiakastietolakiin sekä järjestämislakiin ja Uusimaa-lakiin sisältyvä sääntely on riittävää turvaamaan välttämättömän potilastietojen saatavuuden Uudenmaan maakunnan terveydenhuollon palvelunantajille. Koska sosiaali- ja terveysvaliokunnan mietinnössä edellytetään esitystä lisäsääntelystä, on tähän lisäsääntelyyn tunnistettu lukuisia eri vaihtoehtoja. Ne perustuvat palvelunantajan tiedonsaantioikeuteen ja oikeuteen luovuttaa potilastietoja sisältäen potilaan oikeuden määrätä tietojen luovutuksista luovutuslupien ja kieltojen avulla sekä rekisterinpitäjän ja henkilötietojen käsittelijän vastuisiin.

Pysyvä sääntely potilastietojen luovutuksista esitetään sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskevan tiedonhallintasäädösten kokonaisuudistuksen yhteydessä. Näin varmistetaan, että sääntelystä tulee valtakunnallisesti yhdenmukaista sekä asiakkaiden ja ammattilaisten kannalta ymmärrettävää. Vaihtoehtoisesti erillistä Uudenmaan lisäsääntelyä oltaisi voitu ehdottaa tämän lakiehdotuksen yhteydessä, jolloin sääntelykokonaisuudesta olisi tullut vaikeaselkoisempaa eikä se välttämättä olisi kuitenkaan vastannut Uudenmaan toimijoiden tarpeisiin.

Koska kokonaisuudistuksen yhteydessä ehdotettavan tietojen käsittelyn toteuttaminen palvelunantajien käyttämiin potilastietojärjestelmiin voi viedä joitakin vuosia, tämä esitys sisältää ehdotuksen tilapäisestä sääntelystä siihen saakka, että pysyvä sääntely saadaan voimaan. Esitettävä tilapäinen ratkaisu olisi vastaavaa sääntelyä kuin nykyisen terveydenhuoltolain 9 §:n mukaista potilastietojen luovutusta koskeva sääntely. Potilastietoja saisi luovuttaa lain perusteella ja potilaalla olisi kielto-oikeus, mutta minkäänlaista yhteisrekisteriä sääntely ei sisältäisi.

Muut valmisteluvaiheessa tunnistetut vaihtoehdot ovat seuraavat:

1) hybridimalli, jossa sekä suostumuksen perustuvaa että lainsäädäntöön perustuvaa luovutusta

2) tiedonsaantioikeus potilaan hoidon järjestämisen ja tuottamisen kannalta välttämättömiin potilastietoihin

3) potilastietojen luovuttaminen informoinnin ja laajan luovutusluvan perusteella siten, että potilaalla olisi kielto-oikeus

4) HUS-yhtymä itsenäisenä rekisterinpitäjänä, mutta asiakastietojen käsittelyoikeus ensisijaisen järjestämisvastuun omaavien hyvinvointialueiden ja Helsingin tietoihin kuten lukuun toimivalla

5) rekisterinpitäjyyden määrittely uudestaan ensisijaisen järjestämisvastuun perusteella siten, että ainoastaan hyvinvointialueet ja Helsingin kaupunki olisivat rekisterinpitäjiä ja HUS-yhtymä toimisi henkilötietojen käsittelijänä niiden lukuun.

6) tietosuoja-asetuksen mukainen ”yhteisrekisteri”, jonka lisäksi säädettäisiin ammattilaisen oikeudesta käsitellä Uudenmaan alueen muiden rekisterinpitäjien tietoja.

7) lisäsääntely ainoastaan siltä osin kuin potilastietoja ei ole vielä saatavilla Kanta-palveluista.

8) tietojen luovuttaminen perusterveydenhuollon ja erikoissairaanhoidon välillä lain perusteella

Seuraavassa kuvataan tarkemmin eri vaihtoehtoja, niiden toteutettavuutta sekä arviointia suhteessa voimassa olevaan lainsäädäntöön.

5.1.1 Hybridimalli

HUS-yhtymän järjestämisvastuulle Uusimaalain 5 §:n 2 momenttiin kuuluvien kiireellisen hoidon (kohta 3) ja ensihoidon (kohta 4) osalta hyvinvointialueella ja Helsingin kaupungilla olisi salassapitosäännösten estämättä oikeus luovuttaa HUS-yhtymälle potilastietoja, jotka ovat välttämättömiä kyseisten palveluiden toteuttamiseksi.

On muistettava, että potilastietoja saisi luovuttaa jo voimassa olevan asiakastietolain perusteella Kanta-palveluista ja potilaslain perusteella suostumuksen perusteella. Potilaslain 13 § 3 momentin 3 kohdassa on myös sääntely potilastietojen luovuttamisesta ilman suostumusta, jos suostumusta ei voida saada esimerkiksi potilaan tajuttomuuden vuoksi.

Uusimaalain 5 §:n 2 momentin 1 kohdan mukaan terveydenhuoltolain 45 §:n perusteella HUS-yhtymälle keskitettävien palveluiden sekä Uusimaalain 5 §:n 2 momentin 6 kohdan mukaan HUS-yhtymälle keskitettävien palveluiden osalta ei esitetä uutta sääntelyä. Koska ensinnäkään kyse ei ole kiireellisestä hoidosta ja toisaalta potilaita voi keskitettyihin palveluihin ohjautua myös Uudenmaan ulkopuolelta, on perusteltua toteuttaa henkilötietojen käsittely yhdenmukaisella tavalla muiden alueiden kanssa. Potilastiedot olisivat siten saatavilla Kanta-palveluista, lähetteen mukana sekä potilaan antaman suostumuksen perusteella.

Uudenlainen sääntely liittyisi ainoastaan oikeuteen luovuttaa potilastietoja kiireellisessä hoidossa ja ensihoidossa. Lisäksi Uudenmaan maakunnan palvelunantajien olisi voitava luovuttaa potilastietoja voimassa olevan sääntelyn mukaisen suostumuksen perusteella, jos kokevat tarpeelliseksi toteuttaa vaihtoehtoisen luovutustavan valtakunnallisten tietojärjestelmäpalvelujen lisäksi. Potilaslain mukainen suostumus edellyttää kirjallista suostumusta, mutta tietosuoja-asetuksen mukaiselle suostumukselle ei ole vastaavaa muotovaatimusta.

Asiakkaiden näkökulmasta ehdotuksen mukaista muutosta voi pitää kohtuullisen pienenä. Huomioiden voimassa olevan sääntelyn ainoa muutos olisi, että kiireellisissä tilanteissa ja ensihoitopalveluissa potilastietoja voisi luovuttaa ilman suostumusta myös niissä tilanteissa, kun potilas suostumuksen kykenisi antamaan. Toisaalta kyse on kuitenkin lisärajoituksesta potilaan itsemääräämisoikeuteen, jonka hyväksyttävyyttä ja oikeasuhtaisuutta on kriittisesti arvioitava. Lisäksi on huomioitava, että sosiaali- ja terveydenhuollon asiakastietojen sääntely koetaan jo nyt vaikeaselkoiseksi ja pirstaleiseksi, ja kaikki lisäsääntely erityistilanteisiin on omiaan lisäämään vaikeaselkoisuutta ja soveltamisen haasteellisuutta. Suhteessa muiden hyvinvointialueiden asukkaisiin Uudenmaan asukkaiden tietojen luovuttaminen poikkeaisi siten, että johtuen HUS-yhtymän ja hyvinvointialueiden viranomaisten erillisyydestä potilastietojen luovuttaminen edellyttäisi voimassa olevan lain mukaista suostumusta, tai luovutuslupaa jos kyse on luovutuksista valtakunnallisten tietojärjestelmäpalvelujen välityksellä, jos kyse ei ole kiireellisestä hoidosta tai ensihoidosta.

Lisäsääntelyä on arvioitava myös toteutettavuuden näkökulmasta. Sääntelyn edellyttämät muutokset on toteutettava kaikkiin tarvittaviin Uudenmaan maakunnan palvelunantajien käyttämiin potilastietojärjestelmiin. Esitettyyn uuteen luovutusmahdollisuuteen ilman suostumusta ja kielto-oikeutta kiireellisessä hoidossa ja ensihoidossa ei ole esitetty kritiikkiä tai kuvausta toteutuksen vaatimasta ajasta. Sen sijaan toimijoiden esittämän palautteen perusteella nimenomaan suostumuksen toteuttaminen tietojärjestelmiin vie aikaa 3-5 vuotta, ja on toiminnallisesti raskas menettely ja väitetään vaarantavan potilasturvallisuuden.

5.1.2 Tiedonsaantioikeus välttämättömiin potilastietoihin

Tiedonsaantioikeuden säätäminen tarkoittaisi sitä, että HUS-yhtymälle säädettäisiin oikeus saada sen järjestämisvastuulle kuuluvan potilaan hoidon toteuttamisen kannalta välttämättömät potilaan kotikunnan mukaisen Uudenmaan hyvinvointialueen ja Helsingin kaupungin potilastiedot salassapitosäännösten estämättä. Hyvinvointialueille ja Helsingin kaupungille säädettäisi vastaava tiedonsaantioikeus HUS-yhtymän potilastietoihin.

Tiedonsaantioikeus sidottaisi siten sekä tietojen välttämättömyyteen että potilaan hoidon toteuttamisen käyttötarkoitukseen. Tämä toisaalta vastaisi perustuslakivaliokunnan aiempaa lausuntokäytäntöä. Toisaalta tiedonsaantioikeus potentiaalisesti kaikki potilastiedot kattavana olisi tosiasiallisesti liian laaja, jolloin perustuslakivaliokunnan lausuntokäytännön mukaan ei riittäisi tiedonsaantioikeuden sitominen välttämättömyyteen.

Käytännössä tietoja tarvitsevan viranomaisen tulisi tehdä tietopyyntö. Tietoja luovuttavan tahon tulisi tehdä arvio, mitkä potilastiedot olisivat välttämättömiä suhteessa pyyntöön. Toisaalta, kuten asiakastietolain valmistelun yhteydessä on tunnistettu, vasta hoitava henkilö voi tehdä lopullisen arvion siitä, mitkä tiedot kunkin potilaan tilanteessa ovat välttämättömiä. Asiakastietolain 15 §:n mukaisesti ammattihenkilöllä saa olla käyttöoikeudet vain työtehtävänsä ja annettavan palvelun kannalta välttämättömiin asiakastietoihin. Kun luovuttajan tulisi päättää luovutettavista tiedoista, olisi tietojen saamisen siten riippuvainen siitä, millä tavalla tietopyyntöihin vastaaminen olisi resursoitu ja kuinka nopeasti pyyntöihin ennätettäisi vastata. Tiedot voisi sinänsä luovuttaa hyödyntämällä yhteisiä tietojärjestelmiä.

On epäselvää, mitä lisäarvoa edellä kuvattu tiedonsaantioikeus toisi voimassa olevan sääntelyn lisäksi.

Asiakkaiden näkökulmasta malli turvaisi yksityisyyden suojaa, koska tietojen luovuttaja tekisi harkinnan ainoastaan välttämättömien tietojen luovuttamisesta. Toisaalta, jos tietoja ei tietopyyntöjen avulla saada luovutettua ajoissa, ei niistä ole potilaan hoidon kannalta hyötyä. Muiden hyvinvointialueiden asukkaisiin nähden potilastiedot perusterveydenhuollon ja HUSin erikoissairaanhoidon välillä liikkuisivat Kanta-palveluiden lisäksi ainoastaan tietopyyntöjen avulla, eivätkä tiedot olisi saatavilla reaaliaikaisesti, jos ei palvelunantajilla ole organisoitu reaaliaikaista tietopyyntöihin vastaamista.

Ammattilaisen näkökulmasta tietoja tarvitsevan ammattihenkilön tulisi tehdä tietopyyntö, eikä luovuttava taho välttämättä pysty toimittamaan tietoja ajoissa suhteessa potilaan hoidon tarpeisiin. Jos tietopyyntö tehdään ennen kuin potilas on vastaanotolla, voi olla vaikea tietää mitä tietoja olisi tarpeen saada. Toisaalta jos tietopyyntö tehdään, kun potilas on jo vastaanotolla, tietopyyntö ja tietojen saaminen ovat jo myöhässä.

Tietojärjestelmiin tulisi myös tehdä toiminnallisuudet tietopyyntöjen tekoa ja tietojen luovuttamista varten siten, että tiedot olisivat luovutettavissa eri palvelunantajien välillä riippumatta siitä käyttävätkö ne samaa potilastietojärjestelmää vai eri järjestelmiä.

5.1.4 Potilastietojen luovuttaminen informoinnin ja laajan luovutusluvan perusteella siten, että potilaalla olisi kielto-oikeus

Malli vastaisi asiakastietolain sääntelyä asiakastietojen luovutuksista Kanta-palvelujen välityksellä. Siten malli vastaisi myös asiakastietolakiin liittyvää perustuslakivaliokunnan lausuntoa, ja saattaisi olla sovellettavissa suppeampaankin ympäristöön. Asiakastietolain mukainen luovutuslupa ja kielto koskevat vain Kanta-palveluita, joten Uudellemaalle tulisi sitten rinnakkainen luovutuslupien, informointien ja kieltojen kokonaisuus. Kokonaisuus olisi potilaille ja ammattilaisille haastavasti ymmärrettävä. Uudet informoinnit, luovutusluvat ja kiellot tulisi toteuttaa Uudenmaalla käytettäviin potilastietojärjestelmiin. Jos toteutus haluttaisiin synkronoida Kanta-palveluiden kanssa siten, että samat luovutusluvat ja kiellot pätisivät sekä Uudellamaalla että Kanta-palveluissa, vaadittaisiin toteutusmuutoksia myös Kanta-palveluihin mikä vaatii aikaa. Lisäksi kokonaisuus voisi olla muiden alueiden väestölle sekavaa. Epäselvää on, mitä lisäarvoa järjestely toisi voimassa olevan sääntelyn lisäksi.

5.1.5 HUS-yhtymä itsenäisenä rekisterinpitäjänä, mutta asiakastietojen käsittelyoikeus ensisijaisen järjestämisvastuun omaavien hyvinvointialueiden ja Helsingin tietoihin kuten lukuun toimivalla

Malli perustuisi hyvinvointialueiden ja Helsingin kaupungin järjestämisvastuun ensisijaisuuteen siten, HUS-yhtymä saisi käsitellä hyvinvointialueiden ja Helsingin potilastietoja ikään kuin se toimisi niiden lukuun. HUS-yhtymää ei siten katsottaisi sivulliseksi. Hyvinvointialueet ja Helsinki eivät kuitenkaan voisi toimia HUS-yhtymään lukuun, joten niillä ei voi olla vastaavaa oikeutta HUS-yhtymän rekisterinpidossa oleviin potilastietoihin.

5.1.6 Hyvinvointialueet ja Helsingin kaupunki rekisterinpitäjiä ja HUS-yhtymä henkilötietojen käsittelijänä

Malli perustuisi hyvinvointialueiden ja Helsingin kaupungin järjestämisvastuun ensisijaisuuteen siten, että ainoastaan ne olisivat järjestämisvastuullisina rekisterinpitäjinä. HUS-yhtymän rekisterinpitäjyys pitäisi poistaa säädöksistä, ja HUS-yhtymä toimisi ainoastaan palveluiden tuottajana ja henkilötietojen käsittelijänä hyvinvointialueiden ja Helsingin lukuun. Hyvinvointialueet ja Helsinki päättäisivät tällöin henkilötietojen käsittelyn tarkoituksesta ja keinoista. Malli ei HUS-yhtymän toiminnan osalta todennäköisesti tulisi vastaamaan tosiasiallista tilannetta, jolloin mallia ei myöskään voida säätää.

5.1.7 Tietosuoja-asetuksen mukainen ”yhteisrekisteri”, jonka lisäksi ammattilaisen oikeudesta käsitellä Uudenmaan alueen muiden rekisterinpitäjien tietoja.

Malli perustuisi siihen, että Uudenmaan maakunnan palvelunantajat olisivat yhteisrekisterinpitäjiä, ja lisäksi säädettäisiin ammattilaisten oikeudesta käsitellä Uudenmaan palvelunantajien potilastietoja. Sinänsä tietosuoja-asetuksessa on kyse yhteisrekisterinpitäjyydestä eikä yhteisrekisteristä. Yhteisrekisterinpitäjyys ei toisi mitään lisäarvoa tietojen luovutusten näkökulmasta (vrt. PeVL 7/2019 vp) eikä ratkaisisi esitettyjä ongelmia, vaan se ainoastaan määrittää yhteisrekisterinpitäjien vastuita suhteessa rekisteröidyn oikeuksien turvaamiseen.

Jos yhteisrekisteristä säädettäisiin, sopivin malli voisi olla kunkin hyvinvointialueen ja HUS-yhtymän yhteisrekisterinpito, koska eri hyvinvointialueiden kesken ei ole yhteisiä vastuita palveluiden järjestämisestä. Yhteisrekisterinpitäjyyden edellytyksenä on, että rekisterinpitäjät määrittelevät yhdessä käyttötarkoitukset ja keinot, mikä ei välttämättä vastaa tosiasiallista tilannetta. Sosiaali- ja terveysministeriön käsityksen mukaan keskeisimmäksi koettu ongelma Uudellamaalla liittyy potilastietojen luovuttamiseen eikä rekisteröityjen oikeuksien toteuttamiseen.

Lain valmistelun yhteydessä sosiaali- ja terveysministeriö kävi keskusteluja muun muassa tietosuojavaltuutetun toimiston kanssa eri asiakas- ja potilastietojen rekisterinpitovaihtoehdoista Uudellamaalla sekä myös Uudenmaan ulkopuolella. Yhtenä vaihtoehtona tunnistettiin myös yhteisrekisterinpitäjyys. Keskusteluissa päädyttiin hallituksen esityksessä esitettävän mallin vastaavan tosiasiallista järjestämisvastuuta vastaavaa tilannetta. Lisäksi hallituksen esityksessä esitetty rekisterinpito vastaa tietosuoja-asetuksessa säädettyä ja Euroopan tietosuojaneuvoston (ja Euroopan tietosuojavaltuutetun EDPS:n) rekisterinpitoa koskevia suuntaviivaohjeistuksia. Yhteisrekisterinpitäjyys ei vastaisi tosiasiallista järjestämisvastuuta siten kuin siitä on säädetty ja eri rekisterinpitäjien vastuun jakaminen erityisesti järjestämisvastuiden ja sitä kautta rekisterinpidon sisällön muuttuessa olisi erittäin vaikeaa järjestää. Lisäksi rekisteröityjen olisi vaikea ymmärtää tällaista järjestelyä. Toisaalta varsinainen tietosuoja-asetuksen mukainen yhteisrekisterinpitäjyys voisi olla rekisteröidyn näkökulmasta selkeä järjestely, jos rekisterinpitäjyys jatkuvasti muuttuisi, koska rekisteröity voi olla ongelmatilanteessa yhteydessä mihin tahansa yhteisrekisterinpitäjistä. Rekisterinpitäjyyden muutostilanteisiin on valmisteilla sääntely sosiaali- ja terveydenhuollon kokonaisuudistuksen yhteydessä. Perustuslakivaliokunta ei sote-uudistuksen hallituksen esitystä koskevassa lausunnossaan PeVL 17/2021 vp edellyttänyt yhteisrekisterinpitoa Uudellemaalle.

Tietosuoja-asetuksen 26 artiklan mukainen yhteisrekisterinpitäjyys ei myöskään millään tavalla muuttaisi tietojen käsittelyn käytäntöjä vaan käsittelyä määrittää henkilötietojen käsittelyä koskeva lainsäädäntö, viranomaisten erillisyyden periaate sekä toimintayksikön ja sivullisen käsitteet. Voimassa oleva terveydenhuoltolain 9 § on laadittu sairaanhoitopiirien alueiden tiedonvaihtoa varten, eikä hyvinvointialueiden perustamisen jälkeen sairaanhoitopiirejä enää ole Uudellamaallakaan. Terveydenhuoltolain 9 §:n mukainen yhteisrekisteri on alun perin säädetty sitä varten, että potilastiedot ovat saatavilla erikoissairaanhoidon konsultaatiota, erikoissairaanhoidon päivystyskäyntejä ja lähetteen perusteella toteutettavaa hoitoa varten ja hoitopalautteen välittämistä varten. Yhteisrekisteri on tarkoitettu mahdollistamaan tietojen luovutus väliaikaisesti siihen saakka, että vastaavat tiedot ovat saatavilla Kanta-palveluiden välityksellä. Lisäksi on huomioitava, että terveydenhuoltolain 9 §:n yhteisrekisteri ei vastaa sitä, mitä tietosuoja-asetuksessa tarkoitetaan yhteisrekisterinpitäjyydellä. Terveydenhuoltolain 9 §:n mukaisesti kukin toimintayksikkö on itsenäinen rekisterinpitäjä, ja yhteisrekisteri ainoastaan mahdollistaa tietojen luovuttamisen niiden välillä potilaslain sääntelystä poikkeavilla perusteilla. Sosiaali- ja terveysministeriö katsoo, että lähtökohtaisesti asiakas- ja potilastietojen tulisi liikkua Uudellamaalla saman henkilötietojen käsittelyä koskevan lainsäädännön perusteella kuin muillakin Suomen alueilla. Tiedon liikkumista edistää erityisesti uuden asiakastietolain myötä toteutettavat muutokset. Jotta kansalaisia kohdellaan yhdenmukaisella tavalla kaikkialla Suomessa, on myös henkilötietojen käsittelyn toteutettava samoin periaattein kaikkialla.

5.1.8 Lisäsääntely ainoastaan siltä osin kuin potilastietoja ei ole vielä saatavilla Kanta-palveluista.

Malli sisältäisi täydentävän sääntelyn siltä osin, kuin potilastiedot eivät olisi saatavilla Kanta-palveluista. Ensisijaisesti tietojen luovuttamisessa hyödynnettäisiin Kanta-palveluita asiakkaan luovutusluvan ja kieltojen puitteissa, tai potilaslain 13 § 3 momentin 3 kohdan mukaisesti edellytysten täyttyessä. Asiakastietolaki sisältää sääntelyn vaiheistuksesta, jonka mukaisesti potilastietoja tallennetaan Kanta-palveluihin. Lähtökohtaisesti liittymisvaiheessa ja 2021 mennessä edellytetyn vaiheistuksen perusteella keskeiset potilastiedot tallennetaan Kanta-palveluihin jo nyt. Viimeistään 1.10.2026 on alettava tallentaa ajanvarausasiakirja, seulontatutkimuksista syntyvät kuvantamistutkimukset ja laboratoriotulokset, muille viranomaisille ja tahoille tarkoitetut todistuksen ja lausunnot sekä kuolintodistus. Viimeistään 1.10.2029 on alettava tallentaa säteilyrasitustiedot, video- ja äänitallenteet sekä valokuvat, biosignaalit, suun terveydenhuollon yksiköiden tallentamat kuvat sekä muut kuvat kuten piirustukset ja havainnekuvat.

Keskeistä on, kuinka hyvin Kanta-palveluihin tallennetut tiedot riittävät vastaamaan tosiasiallisia tiedontarpeita ja mitä tietoja on tarpeen luovuttaa Kanta-palveluiden ulkopuolelta. Potilaslain perusteella kyseisiä tietoja voi luovuttaa jo nyt suostumuksen perusteella tai potilaslain 13 §:n 3 momentin 3 kohdan perusteella ilmankin suostumusta. Ainoastaan kiireellisessä hoidossa ja ensihoitopalveluissa voi olla tarpeen säätää täydentävät potilaan hoidon järjestämisen ja toteuttamisen kannalta välttämättömiin potilastietoihin sidottu tiedonsaantioikeus.

Asiakkaan kannalta voisi olla vaikea hahmottaa, mitä potilastietoja on tallennettu valtakunnallisiin tietojärjestelmäpalveluihin ja on niiden kautta välitettävissä, ja mitä tietoja taas ei ole tallennettu eikä voi välittää. Toisaalta asiakas voi Omakannasta tarkastella, mitä tietoja valtakunnallisiin tietojärjestelmäpalveluihin on tallennettu, mutta vastaavaa näkyvyyttä muihin potilastietoihin ei ole.

5.1.9 Potilastietojen luovuttaminen lain perusteella Uudenmaan hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän välillä

Toiminnallisesti muiden hyvinvointialueiden tilannetta vastaavassa mallissa potilastietoja saisi luovuttaa perusterveydenhuollon ja erikoissairaanhoidon, eli kunkin Uudenmaan hyvinvointialueen sekä, Helsingin kaupungin ja HUS-yhtymän välillä suoraan lain nojalla ikään kuin kyse olisi saman viranomaisen potilastiedoista. Asiakkaalla ei olisi oikeuttaa kieltää potilastietojensa luovutusta eikä määrätä suostumustenkaan avulla potilastietojensa luovuttamisesta. Vaikka toiminnallisesti malli vastaisi sitä, miten muilla hyvinvointialueilla saman järjestämisvastuullisen viranomaisen lukuun toimivat saavat käsitellä potilastietoja, Uudenmaan alueella kyse kuitenkin olisi viranomaisten välisistä potilastietojen luovutuksista. Potilastiedoilla on yhteinen käyttötarkoitus, mutta viranomaisilla on omat rajatut tehtäväalueensa, joista ne vastaavat.

Asiakkaan kannalta malli olisi todennäköisesti ymmärrettävä. Potilastiedot olisivat samalla tavalla saatavilla perusterveydenhuollossa ja erikoissairaanhoidossa kuin muillakin alueilla ilman, että asiakkaan tarvitsee erikseen määrätä tietojensa luovutuksesta. Malli ei tuota asiakkaalle lisää hallinnoitavia suostumuksia ja kieltoja valtakunnallisten tietojärjestelmäpalvelujen luovutuslupien, suostumusten ja kieltojen lisäksi. Malli olisi kuitenkin täysin uudenlainen suhteessa perustuslakivaliokunnan aiempaan tulkintakäytäntöön, koska mallissa luovutettavia potilastietoja ei rajattaisi mitenkään eikä luovutuksia olisi mahdollista sitoa välttämättömään tai tarpeelliseen. Malli ei sisällä asiakkaalle mitään elementtejä, jonka avulla voisi toteuttaa itsemääräämisoikeuttaan. Potilastietojen käsittelyssä olisi kuitenkin huomioitava asiakastietolain vaatimukset esimerkiksi käyttöoikeuksien antamisesta vain välttämättömään asiakastietoon sekä hoitosuhteen varmistuksesta.

5.2 Ulkomaiden lainsäädäntö ja muut ulkomailla käytetyt keinot

Henkilötietojen käsittely

Euroopan komissio on selvittänyt terveydenhuollon potilastietojen käsittelyn sääntelymalleja jäsenmaissa. Selvityksessä on eritelty käsittelyperusteet terveydenhuollon toiminnan yhteydessä ja tietojen jakamiselle terveydenhuollon palvelunantajien tai terveydenhuollon ammattilaisten välillä.

Selvityksen perusteella tietosuoja-asetuksen mukaiset henkilötietojen käsittelyperusteet vaihtelevat suuresti jäsenmaiden välillä ja joissain maissa käytetään useita käsittelyperusteita. Käsittelyperusteina käytetään sekä suostumusta että 6 artiklan 1 kohdan c) lakisääteisen velvoitteen noudattaminen tai e) yleinen etu alakohtien ja 9 artiklan 2 kohdan h) terveydenhuolto tai i) kansanterveyteen liittyvä yleinen etu alakohtien yhdistelmiä.

Terveydenhuollon toiminnan yhteydessä suostumusta käytetään käsittelyperusteena 12 jäsenmaassa, kuten Ranskassa, Belgiassa, Bulgariassa, Tanskassa ja Saksassa.

Lakisääteisen velvoitteen noudattaminen yhdistettynä 9 artiklan 2 kohdan h) alakohdan mukaiseen terveydenhuoltoon on laajimmin, 21 jäsenmaassa käytetty käsittelyperuste. Yhdeksässä jäsenmaassa lakisääteisen velvoitteen noudattaminen yhdistetään taas 9 artiklan 2 kohdan i) alakohdan mukainen kansaterveyteen liittyvään yleiseen etuun.

Kuudennen artiklan mukainen yleinen etu yhdistetään 12 jäsenmaassa 9 artiklan 2 kohdan h) alakohdan terveydenhuoltoon ja kahdeksassa jäsenmaassa i) alakohdan mukaiseen kansanterveyteen liittyvään yleiseen etuun.

Samoja käsittelyperusteita käytetään myös jaettaessa tietoja terveydenhuollon palvelunantajien ja ammattilaisten välillä. Suostumusta käytetään käsittelyperusteena 17 jäsenmaassa, kuten Suomessa, Ruotsissa, Tanskassa, Saksassa ja Ranskassa. Yhdeksäntoista jäsenmaata käyttää käsittelyperusteena lakisääteisen velvoitteen ja terveydenhuollon yhdistelmää, ja lakisääteisen velvoitteen ja kansanterveyteen liittyvän yleisen edun yhdistelmää seitsemän jäsenmaata. Yleisen edun ja kansanterveyteen liittyvän yleisen edun yhdistelmää käyttää seitsemän jäsenmaata, ja yleisen edun ja terveydenhuollon yhdistelmää kolme maata. Muita yhdistelmiä käytetään neljässä maassa (Saksa, Espanja, Latvia, Itävalta).

Luonnos hallituksen esitykseksi sote-uudistukseen liittyvän lainsäädännön muuttamisesta oli lausunnolla 1.12.2021-20.1.2022. Sosiaali- ja terveysministeriö vastaanotti noin 59 lausuntoa. Tämä esitys sisältyi lausuttavana olleeseen luonnokseen, ja eriytettiin lausuntokierroksen jälkeen itsenäiseksi hallituksen esitykseksi.

Uudenmaan potilastietojen luovutusta koskevasta sääntelyehdotuksesta lausui kaksitoista tahoa. Lähtökohtaisesti kaikki lausunnonantajat pitivät esitettyä sääntelyä mahdollisena. Osa lausunnonantajista toivoi esitettyä mallia pysyväksi, kun taas oikeusministeriö oli arvioinut sääntelyn hyväksyttävyyttä nimenomaan väliaikaisena sääntelynä. Oikeusministeriön ja apulaistietosuojavaltuutetun lausunnoissa esitettiin täsmennystarpeita suhteessa tietosuoja-asetukseen ja muuhun sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskevaan sääntelyyn. Valtionvarainministeriön lausunnossa ehdotettiin arviointia yhdenvertaisuuden näkökulmasta sekä edellytettiin tiedonhallintalain mukaista vaikutusten arviointia.

Hallituksen esityksen valmisteluasiakirjat ovat julkisessa palvelussa osoitteessa https://stm.fi/hanke?tunnus=STM009:00/2022. Lausuntopalautteet ovat hallituksen esitys sote-uudistukseen liittyvän lainsäädännön muuttamisesta –hankkeen osoitteessa https://stm.fi/hanke?tunnus=STM120:00/2021.

7.1 Laki sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisestä Uudellamaalla

25 §. Asiakas- ja potilastietojen rekisterinpito. Voimassa oleva Uusimaa-laissa sinänsä todetaan, että lakia sovelletaan hyvinvointialueesta annetun lain (611/2021) 1 §:ssä tarkoitettuihin hyvinvointialueisiin Uudellamaalla (Uudenmaan hyvinvointialueet) ja Helsingin kaupunkiin niiden järjestäessä sosiaali- ja terveydenhuoltoa ja Uusimaa-lain 4 §:ssä että Uudenmaan hyvinvointialueilla ja Helsingin kaupungilla on ensisijainen vastuu sosiaali- ja terveydenhuollon järjestämisestä asukkailleen sekä muille henkilöille Uudenmaan maakunnassa. Pykälään ehdotetaan selkeyden vuoksi kuitenkin lisättäväksi maininnat Helsingin kaupungista hyvinvointialueiden lisäksi. Kyseessä on tekninen muutos.

Uudeksi 4 momentiksi esitetään lisättävän sosiaali- ja terveydenhuollon järjestämisestä annetun lain 58 §:ä vastaava säännös, jonka mukaan hyvinvointialueen ja Helsingin kaupungin terveydenhuollon toimintayksiköissä saa salassapitosäännösten estämättä käsitellä hyvinvointialueen rekisteriin kuuluvia potilaan hoidon kannalta välttämättömiä potilastietoja. Vastaava oikeus olisi HUS-yhtymän toimintayksiköissä HUS-yhtymän rekisterinpidossa olevien potilastietojen osalta. Lisäys mahdollistaa Uudenmaan hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän toimintayksiköille samanlaisen oikeuden käsitellä potilastietoja kuin muillakin hyvinvointialuilla. Säännös vastaa järjestämislain 58 §:n 2 momenttia, joka on lisätty järjestämislakiin lain eduskuntakäsittelyn yhteydessä (StVM 16/2021 vp s. 85-88). Säännöksellä täsmennetään järjestämislain 58 §:n suhdetta potilaslain 13 §:ään ja asiakaslain 16 §:ään, joissa sivullisuus ja suostumus tietojen luovutuksen edellytyksenä on sidottu toimintayksikön käsitteeseen. Ehdotettu sääntely varmistaa osaltaan, että eri alueiden asukkaat olisivat henkilötietojen suhteen yhdenvertaisessa asemassa riippumatta siitä, miten hyvinvointialue organisaationsa toimintayksiköiksi järjestää. Sääntely myös varmistaa, että hyvinvointialueen omassa palvelutuotannossa oikeus asiakas- ja potilastietojen käsittelyyn on samanlainen kuin hyvinvointialueen lukuun toimivilla yksityisillä palveluntuottajilla, joiden tiedonsaantioikeudesta säädetään järjestämislain 58 §:ssä ja Uusimaa-lain 25 §:ssä.

7.2 Laki sosiaali- ja terveydenhuoltoa ja pelastustoimea koskevan uudistuksen toimeenpanosta ja sitä koskevan lainsäädännön voimaanpanosta

64 a §. Väliaikainen tiedonsaantioikeus. Sosiaali- ja terveydenhuoltoa ja pelastustoimea koskevan uudistuksen toimeenpanosta ja sitä koskevan lainsäädännön voimaanpanosta annettuun lakiin (616/2021) esitetään uusi pykälä, joiden avulla turvataan potilastietojen saatavuus uudistuksen alkuvaiheessa.

Esitettävän lain 64 a § sisältäisi sääntelyn väliaikaisesti tiedonsaantioikeudesta. Sääntely perustuisi terveydenhuoltolain (1326/2010) 9 §:n mukaista sairaanhoitopiirin alueen yhteisrekisteriä koskevaan potilastietojen käsittelyä koskevaan sääntelyyn. Pykälän mukaan Uudenmaan maakunnassa potilasta hoitavalla terveydenhuollon järjestämisestä vastaavalla hyvinvointialueen, Helsingin kaupungin ja HUS-yhtymän viranomaisella ja sen lukuun toimivalla olisi oikeus salassapitosäännösten estämättä saada ja käyttää toisen Uudenmaan maakunnan hyvinvointialueen, Helsingin kaupungin ja HUS-yhtymän terveyspalvelujen järjestämisestä vastaavan toimivaltaisen viranomaisen potilastietoja potilaan hoidon edellyttämässä laajuudessa. Potilaalla olisi oikeus kieltää tietojensa luovuttaminen, ja kiellon saisi tehdä ja peruuttaa milloin tahansa. Tieto potilaan tekemistä luovutuskielloista olisi merkittävä asiakastietolain 12 §:ssä tarkoitettuun tahdonilmaisupalveluun. Siten sama kiellot pätisivät potilastietojen luovutuksiin riippumatta siitä, tehdäänkö luovutus valtakunnallisten tietojärjestelmäpalvelujen avulla tai Uudenmaan alueella muulla tavoin. Aiemmin annetut kiellot jäisivät voimaan siinä laajuudessa, kuin missä ne on annettu. Koska hyvinvointialueisiin yhdistyy useita nykyisiä rekisterinpitäjiä, jäisi kielto koskemaan nykyisen rekisterinpitäjän potilastietoja, eikä sitä laajennettaisi koskemaan koko hyvinvointialuetta. Hyvinvointialueeseen kohdistuva kielto annettaisi erikseen. Tietojen luovuttaminen ja kieltomahdollisuus edellyttää, että potilas on tietoinen siitä, miten hänen henkilötietojaan käsitellään. Informoinnista säädetään EU:n yleisessä tietosuoja-asetuksessa, eikä kansallista liikkumavaraa informoinnin osalta ole. Vaikka sääntely perustuukin voimassa olevan lainsäädännön mukaiseen yhteisrekisterin potilastietojen käsittelyä toimintamalliin, kyse on uudesta lainsäädännöstä ja myös uusista toimijoista, joten informointi on muutosvaiheessa tehtävä uudelleen.

Esitettävän lain 64 a §:n 2 momentissa olisi ehtoja potilastietojen käsittelylle. Momentissa olisi viittaus sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain (784/2021), asiakastietolaki, 25 §:ään, jonka mukaan potilastietojen käsittelyä on seurattava. Lisäksi siinä olisi informatiivinen viittaus asiakastietolain 15 §:ään, jonka mukaan asiakastietoja käsittelevällä ammattihenkilöllä voi olla käyttöoikeus ainoastaan työtehtävän ja palvelun kannalta välttämättömään asiakastietoon ja hoitosuhde potilaan ja luovutuspyynnön tekijän välillä on varmistettava tietoteknisesti.

Lait on tarkoitettu tulemaan voimaan 1 päivänä tammikuuta 2023.

Jos hyvinvointialueet, Helsingin kaupunki ja HUS-yhtymä käyttävät sosiaali- ja terveysministeriön myöntämää valtionavustusta toimeenpanoon, tulee etenemisestä raportoida valtionavustushankkeelta edellytetyn mukaisesti.

10.1 Esityksen riippuvuus muista esityksistä

Ehdotuksella on riippuvuus eduskunnan käsittelyssä parhaillaan olevaan niin kutsutun Sote100-esityksen (HE 56/2021 vp) yhteydessä esitettyyn terveydenhuoltolain 9 §:n kumoamiseen. Tällä ehdotuksella esitetään 9 §:n mukaisen potilastietojen käsittelyä korvaavaa sääntelyä määräaikaisesti siihen saakka, että pysyvä lainsäädäntö potilastietojen luovutuksiin saadaan voimaan ja voidaan panna toimeen.

10.2 Suhde talousarvioesitykseen

Esitettävillä muutoksilla ei ole vaikutuksia valtion talousarvioon.

Sosiaali- ja terveydenhuollossa käsitellään arkaluonteisina pidettäviä henkilötietoja, jotka koskevat esimerkiksi henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia ja henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia.

Terveydenhuoltolain 9 § on merkityksellinen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Ehdotettu sääntely on merkityksellistä myös EU:n perusoikeus-kirjan kannalta. EU:n perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa jokaisen oikeus henkilötietojensa suojaan.

Perustuslakivaliokunnan lausuntokäytännön mukaan on lähtökohtaisesti riittävää perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Valiokunnan mukaan henkilötietojen suoja tulee turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).

Perustuslakivaliokunnan lausuntokäytännön mukaan on selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp, s. 5).

Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks. PeVL 42/2016 vp, s. 2—3 ja siinä viitatut lausunnot). Lainsäätäjän liikkumavaraa rajoittaa erityisesti arkaluonteisten henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (ks. PeVL 29/2016 vp, s. 4—5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 38/2016 vp, s. 3).

Terveyttä koskevat tiedot ovat tietosuoja-asetuksen 9 artiklassa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja, joiden käsittely on 9 artiklan 1 kohdan ilmaiseman pääsäännön mukaan kiellettyä. Artiklan 2 kohdan mukaan 1 kohdan käsittelykieltoa ei kuitenkaan sovelleta, jos jokin 9 artiklan 2 kohdan a—j alakohdissa oleva edellytys täyttyy. Erityisiin henkilötietoryhmiin kuuluvia henkilötietoja saadaan tämän perusteella käsitellä muun muassa asianomaisen henkilön nimenomaisella suostumuksella (a alakohta).

Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (ks. PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen 51 johdantokappaleen mukaan asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on rajattava täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään ja sääntelyn on oltava tietosuoja-asetuksen mahdollistamissa puitteissa yksityiskohtaista ja kattavaa (PeVL 65/2018 vp, s. 45, PeVL 15/2018 vp, s. 40).

Perustuslakivaliokunta on arvioinut viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan kannalta ja kiinnittänyt huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen (PeVL 15/2018 vp). Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta (ks. esim. PeVL 17/2016 vp, s. 2—3). Valiokunta on antanut erityistä merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan täsmällisyyttä ja sisältöä. Mikäli ehdotetut säännökset tietojen luovutuksesta ovat kohdistuneet myös arkaluonteisiin tietoihin, on tavallisen lain säätämisjärjestyksen käyttämisen edellytyksenä ollut sääntelyn täsmentäminen selostetun perustuslakivaliokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi (PeVL 38/2016 vp, s. 3). Valiokunta ei toisaalta ole pitänyt hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu välttämättömyyskriteeriin (ks. esim. PeVL 71/2014 vp, s. 3/I, PeVL 62/2010 vp, s. 4/I ja PeVL 59/2010 vp, s. 4/I).

Yleistä tietosuoja-asetusta yksityiskohtaisemman sääntelyn tarve tulee kuitenkin perustella myös tietosuoja-asetuksen puitteissa tapauskohtaisesti. Tällöin on syytä kiinnittää huomiota myös asetuksessa omaksuttuun riskiperusteiseen lähestymistapaan. Valiokunta on painottanut, että myös arkaluonteisten henkilötietojen käsittelyä koskevan sääntelyn kohdalla on syytä pyrkiä selkeään ja ymmärrettävään lainsäädäntöön (PeVL 14/2018 vp, s. 6).

Valtiosääntö turvaa perustuslain 1 §:n 2 momentin mukaan ihmisarvon loukkaamattomuuden ja yksilön vapauden ja oikeudet sekä edistää oikeudenmukaisuutta yhteiskunnassa. Yksilön oikeuksien ja vapauksien turvaamista koskevan maininnan piiriin kuuluu myös monien muiden oikeuksien käytön perustana oleva yksilön itsemääräämisoikeus eli vapaus määrätä itsestään ja toimistaan (HE 309/1993 vp, s. 42/I). Perustuslain 1 §:n 2 momentin säännös ilmaisee perustuslain keskeisen arvoperustan, ja se tulee ottaa huomioon perustuslain muita säännöksiä tulkittaessa (HE 1/1998 vp, s. 73/I).

Perustuslain 10 §:n mukaan jokaisen yksityiselämä on turvattu. Yksityiselämän käsite voidaan ymmärtää henkilön yksityistä piiriä koskevaksi yleiskäsitteeksi. Yksityiselämän suojan lähtökohtana on, että yksilöllä on oikeus elää omaa elämäänsä ilman viranomaisten tai muiden ulkopuolisten tahojen mielivaltaista tai aiheetonta puuttumista hänen yksityiselämäänsä. Siihen kuuluu muun muassa yksilön oikeus määrätä itsestään ja ruumiistaan (HE 309/1993 vp, s. 52—53). Myös oikeus yksityisyyteen toteuttaa siten henkilön itsemääräämisoikeutta.

Perustuslakivaliokunta on pitänyt henkilötietojen suojan kannalta keskeisenä tiedollista itsemääräämisoikeutta (ks. esim. PeVL 23/2020 vp, s. 9, PeVL 2/2018 vp, s. 8). Valiokunnan käytännössä itsemääräämisoikeuden on katsottu kiinnittyvän useisiin perusoikeuksiin, erityisesti perustuslain 7 §:n säännöksiin henkilökohtaisesta vapaudesta ja koskemattomuudesta sekä perustuslain 10 §:n säännöksiin yksityiselämän suojasta (ks. PeVL 48/2014 vp, s. 2/II).

Potilaslain 6 §:ssä säädetään potilaan itsemääräämisoikeudesta. Tiedollisen itsemääräämisoikeuden kannalta merkityksellistä on, että lain 13 §:n 2 momentin mukaan potilasasiakirjoihin sisältyviä salassa pidettäviä tietoja ei ilman potilaan kirjallista suostumusta saa luovuttaa. Vastaava sääntely sisältyy sosiaalihuollon asiakaslakiin. Molempiin lakeihin sisältyvät myös säännökset tilanteista, joissa itsemääräämisoikeutta voidaan rajoittaa esimerkiksi luovuttamalla potilaan hoidon toteuttamiseksi välttämättömiä tietoja toiselle terveydenhuollon toimintayksikölle, jos suostumusta ei voida saada potilaan tajuttomuuden tai muun siihen verrattavan syyn vuoksi.

Valiokunnan henkilötietojen suojaa koskevassa käytännössä on sinänsä korostettu lailla säätämisen tarvetta erityisesti silloin, kun henkilötietoja käsittelee viranomainen (ks. esim. PeVL 14/2018 vp, s. 4). Valiokunta on kiinnittänyt aiemmin huomiota kuitenkin myös siihen, että perustuslakivaliokunnan myötävaikutuksella (PeVL 25/1998 vp) säädetyn, sittemmin kumotun henkilötietolain 8 §:ssä mahdollistettiin henkilötietojen käsittely ensisijaisesti suostumuksen perusteella. Myös arkaluonteisten henkilötietojen käsittely oli lain 12 §:n nojalla poikkeuksellisesti mahdollista, mikäli rekisteröity on antanut siihen nimenomaisen suostumuksensa (PeVL 1/2018 vp, s. 9). Valiokunnan mukaan vastaavaa voidaan todeta perustuslakivaliokunnan myötävaikutuksella säädetystä julkisuuslaista, jonka 26 §:n mukaan viranomainen voi antaa salassa pidettävästä viranomaisen asiakirjasta tiedon muun ohella, jos se, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, antaa siihen suostumuksensa. Tällainen asiakirja voi sisältää myös arkaluonteisia henkilötietoja (PeVL 43/1998 vp, ks. myös PeVL 42/2016 vp, s. 3).

EU:n perusoikeuskirjan 8 artiklan mukaan henkilötietojen käsittelyn on tapahduttava asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Lisäksi tietosuoja-asetuksen 6 artiklan mukaan henkilötietojen käsittely on lainmukaista muun ohella silloin, kun rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Tietosuoja-asetuksen 9 artiklan mukaan erityisten henkilötieto-ryhmien käsittely on mahdollista niin ikään nimenomaisen suostumuksen perusteella, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetään, että erityisten henkilötietoryhmien lähtökohtaista käsittelykieltoa ei voida kumota rekisteröidyn suostumuksella. EU:n yleisen tietosuoja-asetuksen johdantokappaleessa 43 todetaan, että suostumuksen ei kuitenkaan pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa.

Perustuslakivaliokunnan mukaan sanotun johdosta myös arkaluonteisten henkilötietojen käsittely voi tietyin edellytyksin perustua myös viranomaistoiminnassa perustuslain estämättä suostumukseen. Tämä ei kuitenkaan poista tarvetta varmistaa varsinkin käsillä olevan kaltaisessa arkaluontoisia henkilötietoja koskevassa perusoikeus- ja ihmisoikeusherkässä sääntely-yhteydessä, että sääntely kokonaisuutena arvioiden luo riittävät edellytykset arkaluontoisten henkilötietojen suojan tosiasialliselle toteutumiselle (PeVL 20/2020 vp, s. 5—6).

Perustuslakivaliokunta on sääntelyratkaisua hallituksen esityksestä terveydenhuoltolaiksi (HE 90/2010 vp) antamassaan lausunnossa (PeVL 41/2010 vp, s. 3) arvioinut ehdotusta, jonka mukaan sairaanhoitopiirin kuntayhtymän alueen kunnallisen perusterveydenhuollon ja erikoissairaanhoidon potilasasiakirjat muodostavat yhteisen potilastietorekisterin. Valiokunnan mukaan potilaan oikeus kieltäytyä tietojensa käytöstä ja tätä vahvistava velvollisuus antaa potilaalle selvitys kielto-oikeuden mahdollisuudesta turvasivat valiokunnan mukaan tämän tyyppisessä sääntely-yhteydessä riittävät takeet potilaan itsemääräämisoikeuden toteutumiselle, vaikka arkaluonteisten terveydentilatietojen luovuttaminen toimintayksiköiden välillä ei ehdotuksen mukaan vaatinutkaan potilaan nimenomaista suostumusta. Valiokunta painotti, että tämän itsemääräämisoikeutta koskevan arvion ja erityisesti henkilötietojen suojan kannalta merkitystä oli säännöksillä potilastietojen käytön seurannasta sekä vaatimuksesta, jonka mukaan hoitosuhde potilaan ja luovutuspyynnön tekijän välillä on varmistettava tietoteknisesti. Ehdotettu sääntely ei näissä puitteissa muodostunut perustuslain kannalta ongelmalliseksi. Valiokunta korosti kuitenkin, että potilastietorekisterin kaltaisen arkaluonteisia tietoja sisältävän hajautetun rekisterin ollessa kyseessä on erityisen tärkeää varmistua siitä, että väärinkäytön estävät tietoturvajärjestelyt ovat toimivia ja käytettävissä heti, kun järjestelmä otetaan käyttöön.

Perustuslakivaliokunta on ilmaissut huolensa suostumuksesta irtaantuvan sääntelyratkaisun päämääristä itsemääräämisoikeuden rajoituksen hyväksyttävyyden kannalta. Valiokunta kiinnittää huomiota myös siihen, että itsemääräämisoikeuden rajoitusta ei voi perustella sillä, että itsemääräämisoikeuden toteuttaminen vaatii merkittäviä teknisiä muutoksia tietojärjestelmiin. Perustuslakivaliokunta on pitänyt mahdollisena tietojen luovutuksen salassapitosäännösten estämättä sitomista myös välttämättömyyteen jonkin tarkoituksen kannalta, mikäli luovutettavia tietosisältöjä ei ole sääntelyssä yksilöity.

Perustuslakivaliokunta on uutta asiakastietolakia koskevassa lausunnossaan (PeVL 4/2021) itsemääräämisoikeutta paremmin turvaavaksi sääntelyksi voidaan tehdä eduskuntakäsittelyssä luopumalla ehdotetusta itsemääräämisoikeuden rajoituksen pääsääntöisyydestä säätämällä 20 ja 21 §:ssä tarkoitetun luovutuksen edellytykseksi suostumus. Perustuslakivaliokunnan mielestä suostumuksesta voidaan perustuslain estämättä säätää voimassa olevan lain mukainen laaja suostumus, jos siihen kytketään mahdollisuus rajata suostumusta 18 §:ssä ehdotetun kaltaisin kielloin (ks. myös PeVL 10/2012 vp, s. 2—4). Suostumuksen sääntelyn on täytettävä valiokunnan käytännössä mainitut edellytykset. Suostumuksen on perustuttava esimerkiksi 15 §:n mukaisessa menettelyssä annettavaan riittävään tietoon (ks. myös esim. PeVL 23/2020 vp, s. 4—5), sen oltava vapaaehtoisesti annettu ja oltava myös peruutettavissa. Suostumuksen antamisen tavasta on säädettävä esimerkiksi voimassa olevan lain mukaisella sääntelyllä. Valiokunnan mielestä tällainen sääntely luo nyt käsillä olevassa sääntelykontekstissa riittävät edellytykset itsemääräämisoikeuden tosiasialliselle toteutumiselle (ks. myös PeVL 20/2020 vp, s. 5—6). Valiokunta painottaa, että sanottu ei estä säätämästä suostumusedellytykseen esimerkiksi potilaslain 13 §:ssä säädetyn kaltaisia poikkeuksia ja muita tiedonsaantioikeuksia. Olennaista tällöin on, että käsittelystä säädetään tietosuoja-asetuksen edellyttämällä tavalla asetuksen mukaiset edellytykset täyttävässä laissa, joka toimii käsittelyn asetuksen 6 ja 9 artiklassa tarkoitettuna perusteena.

Perustuslakivaliokunta on käsitellessään ehdotusta laiksi henkilötietojen käsittelystä maahan-muuttohallinnossa ja eräiksi siihen liittyviksi laeiksi antamassaan lausunnossa PeVL 7/2019 vp todennut, että viranomaisen henkilörekisteriin talletettavat tiedot ovat perustuslain 12 §:n 2 momentissa tarkoitettuja viranomaisen hallussa olevia tallenteita (PeVL 3/2009 vp, s. 2/I). Maahanmuuttohallintoon yleislakina sovellettavan julkisuuslain sääntely salassapidosta ja tietojen luovutukseen salassapidon estämättä perustuu viranomaisten erillisyyden periaatteelle. Viranomaiset ovat lakia sovellettaessa toisiinsa nähden itsenäisiä. Oikeuteen saada tieto ja muuhun henkilötietojen luovuttamiseen viranomaisen henkilörekisteristä sovelletaan lakiehdotuksen 2 §:n mukaan julkisuuslakia. Julkisuuslain 13 §:n mukaan viranomainen, jonka hallussa asiakirjat ovat, on toimivaltainen päättämään asiakirjojen käsittelystä ja luovuttamisesta. Perustuslakivaliokunta kiinnittää perustuslain 12 §:n 2 momentissa turvatun julkisuusperiaatteen ja perustuslain 2 §:n 3 momentissa säädetyn julkisen vallan käytön lakiperustaisuuden vaatimuksen johdosta huomiota siihen, että yhteisrekisterinpitäjyyttä koskevasta sääntelystä ei selkeästi käy ilmi tiedon luovuttamiseen toimivaltainen viranomainen.

Saman lausunnon mukaan perustuslakivaliokunnan mielestä lakiehdotuksen yhteisrekisterinpitäjyyttä ja henkilötietojen käsittelyä sen puitteissa koskevan sääntelyn suhde viranomaisten toimivaltuuksien ja tiedonsaantioikeuksien lakiperustaisuuteen, henkilötietojen käsittelyn käyttötarkoitussidonnaisuuteen ja perustuslakivaliokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä liittyvään vakiintuneeseen käytäntöön ei kuitenkaan ole edelleenkään perustuslain 10 §:n näkökulmasta riittävän selvä, vaikka sääntelyä on perustuslakivaliokunnan lausunnon PeVL 62/2018 vp johdosta pyritty täsmentämään. Hallintovaliokunnan on täsmennettävä ja selkeytettävä sääntelyä edelleen olennaisesti. Sääntelyn on kaikilta osiltaan täytettävä edellä mainitussa perustuslakivaliokunnan käytännössä selostetut vaatimukset. Tällaisen täsmennyksen tekeminen on edellytyksenä sille, että 1. la-kiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä.

Perustuslakivaliokunta huomauttaa edelleen edellä mainitussa lausunnossaan, että säätämisjärjestyskannanoton asianmukainen huomioiminen voi edellyttää myös sääntelyn perusratkaisujen muuttamista. Mikäli ehdotettu yhteisrekisterinpitäjyyttä koskeva sääntelymalli ei mahdollista esimerkiksi perustuslain 10 §:n edellyttämää sääntelyä viranomaisten tietojen saamisesta ja luovuttamisesta salassapitovelvollisuuden estämättä, on yhteisrekisterinpitäjyyteen perustuvasta sääntelymallista luovuttava. Valiokunta kiinnittää huomiota siihen, että esityksen perustelujen mukaan vaihtoehtona on arvioitu mallia, jossa rekisterinpitäjänä ulkomaalaisasioiden asiankäsittelyjärjestelmässä toimisi vain Maahanmuuttovirasto ja kansallisessa viisumitietojärjestelmässä vain ulkoministeriö. Tällöin muiden viranomaisten tiedonsaantioikeudet voitaisiin ratkaista säätämällä tiedonluovutuksesta viranomaisten välillä (s. 36). Valiokunnan saaman selvityksen mukaan EU:n yleinen tietosuoja-asetus ei vastoin perusteluissa esitettyä (s. 37) estäne tällaista sääntelyratkaisua. Hallintovaliokunnan on syytä selvittää tarkoin eri vaihtoehtojen asetuksenmukaisuus.

HE 241/2020 vp antamassaan lausunnossa (PeVL 17/2021) perustuslakivaliokunta totesi, että sote-järjestämislakiehdotuksen 58 §:ssä säädetään hyvinvointialueiden toiminnassa syntyneiden sekä niille kuntien ja kuntayhtymien hallinnasta siirtyneiden asiakas- ja potilastietojen rekisterinpidosta, asiakas- ja potilasrekistereissä olevien tietojen luovuttamisesta sosiaali- ja terveyspalveluja hyvinvointialueelle tuottavalle yksityiselle palveluntuottajalle sekä mainittujen yksityisten palveluntuottajien velvollisuudesta tallentaa hyvinvointialueen asiakas- ja potilasrekistereihin asiakas- ja potilastietoja. Viranomaisten toiminnan julkisuudesta annettua lakia (julkisuuslaki) koskevan 28. lakiehdotuksen 4 §:n 1 momentin 4 kohdan mukaan julkisuuslain tarkoittamia viranomaisia ovat sote-järjestämislakiehdotuksen 58 §:ssä viitatun hyvinvointialueen sijasta hyvinvointialueen ja hyvinvointiyhtymän viranomaiset. Sote-järjestämislakiehdotuksen 58 §:n säännöksen mukaan hyvinvointialue on EU:n yleisessä tietosuoja-asetuksessa tarkoitettu rekisterinpitäjä sen järjestämisvastuulle kuuluvassa toiminnassa syntyneille sekä sille kuntien ja kuntayhtymien hallinnasta siirtyneille sosiaali- ja terveydenhuollon asiakas- ja potilastiedoille. Säännökseen otetun informatiivisen viittaussäännöksen mukaan näistä asiakas- ja potilastiedoista ja niiden käsittelystä säädetään sosiaalihuollon asiakaslaissa, potilaslaissa, sosiaalihuollon asiakasasiakirjalaissa, asiakastietolaissa, julkisuuslaissa ja tietosuojalaissa. Ehdotetun sääntelyn perusteella jää epäselväksi, miltä osin rekisterinpitäjän velvollisuudet koskevat hyvinvointialuetta ja miltä osin hyvinvointialueen viranomaisia. Sääntelyä ja sen suhdetta erityisesti asiakas- ja potilastiedosta säännöksessä viitatulla tavalla erikseen säädettyyn on täsmennettävä. HE 41/2020 vp eduskuntakäsittelyn yhteydessä sosiaali- ja terveysvaliokunnassa tehtiin edellä mainitun perustuslakivaliokunnan edellyttämät täsmennykset siten, että sosiaali- ja terveydenhuollon palveluiden järjestämisestä vastaavat toimivaltaiset viranomaiset ovat yleisessä tietosuoja-asetuksessa tarkoitettu rekisterinpitäjä niiden järjestämisvastuulle kuuluvassa toiminnassa syntyneille sekä niille kuntien ja kuntayhtymien hallinnasta siirtyneille potilastiedoille.

Arviointia

Uusimaa-lakiehdotuksessa (HE 241/2020 vp) ja tässä hallituksen esityksessä on pyritty huomioimaan tietosuoja-asetuksen sallima kansallinen liikkumavara. Tähän ehdotukseen on sisällytetty vain sellaiset tietosuoja-asetusta ja tietosuojalakia täydentävät erityissäännökset, joiden arvioidaan olevan Uudellamaalla välttämättömiä sote-uudistuksen täytäntöön panemiseksi.

Toisaalta lakiehdotuksessa on kiinnitetty erityistä huomiota erityisiin henkilötietoryhmiin ja arvioitu sääntelyn riittävyyttä siltä osin. Arkaluonteisten tietojen osalta rekisteröidyn henkilötietojen suojan on arvioitu edellyttävän yksityiskohtaisempaa sääntelyä viranomaisen rekisterinpitotehtävän ja henkilötietojen luovuttamisen osalta. Lakiehdotuksen arvioidaan täyttävän perustuslain 10 §:stä seuraavat vaatimukset sen mukaisesti kuin perustuslakivaliokunta on aiemmin katsonut terveydenhuoltolain 9 §:n olevan hyväksyttävää lainsäädäntöä.

Uusimaa-lakiehdotuksen 25 § ja voimaanpanolakiehdotuksen 64 a § sisältää erityisiin henkilötietoryhmiin kuuluvien henkilötietojen sekä muutoin arkaluonteisiksi katsottavien henkilötietojen käsittelyä. Lisäksi mainittujen pykälien mukainen henkilötietojen käsittely tarkoittaisi laajoissa tietokannoissa olevien potilastietojen käsittelyä, joihin voidaan myös arvioida liittyvän erityisiä riskejä rekisteröityjen henkilötietojen suojan kannalta.

Tämän lakiehdotuksen mukainen henkilötietojen käsittely koskee ainoastaan Uudenmaan maakunnan viranomaisten henkilötietojen käsittelyä. Uudenmaan maakunnan sosiaali- ja terveydenhuollon järjestämisen erillisratkaisusta johtuen ehdotettu sääntely on edellytyksenä, jotta lainsäädäntö on toimeen pantavissa myös Uudellamaalla. Tilapäinen sääntely potilastietojen luovuttamisesta on tarpeen uudistuksen toimeenpanon turvaamiseksi ja potilasturvallisuuden varmistamiseksi muutosvaiheessa. Turvaamalla potilastietojen saatavuutta turvataan potilaiden yhdenvertaisuutta suhteessa muihin hyvinvointialueisiin myös potilasturvallisuuden ja hoidon laadun kannalta.

Henkilötietojen käsittelyyn sovelletaan sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain (784/2021, HE 212/2020 vp), jäljempänä asiakastietolaki, mukaisia suojatoimia, kuten käyttöoikeuksien antaminen asiakastietolain 15 §:n nojalla annettavan sosiaali- ja terveysministeriön asetuksen mukaisesti välttämättömään asiakastietoon, hoitosuhteen tietotekninen varmistaminen ja luovutuslokimerkintöjen tuottaminen.

Ehdotettujen säännösten arvioidaan yhdessä tietosuojalain suojatoimia koskevien säännösten kanssa täyttävän perustuslain 10 §:stä seuraavat vaatimukset.

Hallitus katsoo edellä esitetyillä perusteilla, että esitys on sopusoinnussa perustuslain kanssa, minkä vuoksi ehdotettu laki voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Hallitus pitää kuitenkin suotavana, että perustuslakivaliokunta antaisi asiasta lausunnon.