Ehdotettujen muutosten tavoitteet

Valiokunta pitää esitystä tärkeänä ja toteaa, että se on monin tavoin sosiaali- ja terveydenhuollon asiakastietojen sähköiseen käsittelyyn ja sen kehittämiseen myönteisesti vaikuttava kokonaisuus. 

Lakiin ehdotettavat muutokset luovat edellytykset Kansaneläkelaitoksen ylläpitämien valtakunnallisten tietojärjestelmäpalvelujen (Kanta-palvelut) käyttöönotolle sosiaalihuollossa asettamalla sosiaalihuollon palvelunantajille velvoitteen liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi sekä mahdollistamalla tietojen luovutuksen sosiaalihuollon asiakastiedon arkistosta. Tämä parantaa valiokunnan näkemyksen mukaan sosiaalihuollon tietojen käsittelyn tietoturvaa sekä edistää sujuvaa tietojen luovuttamista sosiaali- ja terveydenhuollon välillä. 

Valiokunta pitää myönteisenä valtakunnallisten tietojärjestelmäpalvelujen laajentamista siten, että asiakas voi itse tallentaa omia hyvinvointitietojaan tai erilaisten hyvinvointisovellusten tuottamia tietoja omatietovarantoon, josta nämä tiedot ovat ammattihenkilön käytettävissä suostumuksen perusteella tietoturvallisesti. Valiokunta pitää omatietovarantoa kannatettavana ja asiakkaiden palveluja parantavana uudistuksena. Ehdotetun omatietovarannon avulla on mahdollista siirtyä valtakunnalliseen tietovarantoon, eikä organisaatioiden tarvitse toteuttaa omia hyvinvointitiedon arkistoja. 

Valiokunta pitää myönteisenä sähköisestä lääkemääräyksestä annettuun lakiin tehtäviä tarkennuksia, jotka johtuvat pääsääntöisesti EU:n yleisestä tietosuoja-asetuksesta. Valiokunta pitää lisäksi tärkeänä, että lääkkeiden väärinkäyttämisen estämiseksi sähköistä lääkemääräystä koskevat säännökset mahdollistavat edelleen, että pääasiassa keskushermostoon vaikuttavaa ja huumausainelääkettä määräävälle luovutetaan tiedot kaikista potilaalle määrätyistä vastaavista lääkkeistä. Tämä ehkäisee osaltaan tehokkaasti mahdollisuuksia lääkkeiden väärinkäyttöön. 

Ehdotettu asiakastietolaki pohjautuu pääosin voimassa olevaan asiakastietolakiin kuitenkin niin, että lain rakennetta, kirjoitusasua ja terminologiaa on selkeytetty ja muutettu johdonmukaisemmaksi. Nykyistä selkeämpi ja johdonmukaisempi sääntely on valiokunnan näkemyksen mukaan tärkeää sekä sosiaali- ja terveydenhuollon asiakkaiden että henkilöstön oikeusturvan kannalta. Selkeät ja johdonmukaiset säännökset turvaavat yhtäältä asiakkaan yksityisyyden suojaa sekä toisaalta tiedon sujuvaa luovutusta.  

Asiakastietojen luovuttaminen

Hallituksen esityksessä ehdotetaan (s. 52), että sosiaalihuollon asiakastietojen ja potilastietojen luovutus salassapitosäännösten estämättä valtakunnallisten tietojärjestelmäpalvelujen avulla perustuu pääsääntöisesti informointiin, esitettävään lainsäädäntöön sekä asiakas- ja hoitosuhteen olemassaoloon eikä asiakkaalta kysyttävään suostumukseen. Potilasta sekä asiakasta koskevan tiedon luovutus palvelunantajille toteutettaisiin valtakunnallisten tietojärjestelmäpalvelujen avulla sen jälkeen, kun henkilöä on informoitu lakiehdotuksen 16 §:ssä tarkoitetulla tavalla ja asiakas- tai hoitosuhteen olemassaolo potilaan tai asiakkaan ja luovutuspyynnön esittäjän välillä on tietoteknisesti varmistettu, ellei potilas tai asiakas ole kieltänyt tietojensa luovuttamista 18 §:n nojalla. Käyttöoikeudesta vain välttämättömiin asiakas- ja potilastietoihin säädetään 15 §:ssä. 

Terveydenhuollossa on voimassa olevan sääntelyn nojalla valtakunnallisten tietojärjestelmäpalvelujen avulla tapahtuvassa potilastietojen luovutuksessa käytössä kaikkiin tietoihin kohdistuva niin sanottu laaja suostumus, jonka lisäksi potilaalla on mahdollisuus kieltää yksittäisten tai useampien tietojensa luovuttaminen. Nykyisin potilas voi näin ollen antaa yhdellä tahdonilmaisulla suostumuksen potilastietojensa luovuttamiseen muille rekisterinpitäjille (palvelunantajille) ja halutessaan rajata suostumuksen laajuutta kielloin. 

Tällaisesta laajasta suostumuksesta luopuminen perustuu hallituksen esityksen mukaan (s. 52) EU:n yleisen tietosuoja-asetuksen vaatimukseen suostumuksen muodosta. Laaja, tulevaisuuteen suuntautuva suostumus ei esityksen mukaan täytä tietosuoja-asetuksen asettamaa vaatimusta siitä, että suostumuksen on oltava yksilöity, tietoinen, vapaaehtoinen, yksiselitteinen ja erityisten henkilötietoryhmien, kuten esimerkiksi terveystietojen, osalta myös nimenomainen. 

Perustuslakivaliokunnan kannanotot

Perustuslakivaliokunta ilmaisee huolensa valitun suostumuksesta irtaantuvan sääntelyratkaisun päämääristä itsemääräämisoikeuden rajoituksen hyväksyttävyyden kannalta (PeVL 4/2021 vp, s. 8). Sääntely ei kokonaisuutena arvioiden täytä niitä edellytyksiä, joita ehdotetun kaltainen itsemääräämisoikeutta turvaavasta suostumusedellytyksen pääsääntöisyydestä luopuminen edellyttäisi itsemääräämisoikeuden varaan rakentuvassa sosiaali- ja terveydenhuollon sääntely-ympäristössä (s. 11). Perustuslakivaliokunnan mielestä aktiivista reagointia edellyttävä kielto-oikeus ei ole riittävä itsemääräämisoikeuden turvaamisen tae. Hallituksen esityksen 1. lakiehdotuksen (asiakastietolaki) 20 §:n 1 momentin ja 21 §:n 1 momentin sääntelyä tiedon luovuttamisesta on perustuslakivaliokunnan mukaan muutettava. Muutos on edellytyksenä 1. lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä.  

Perustuslakivaliokunnan käsityksen mukaan säätämisjärjestyskysymykseksi edellä todettu muutosvaatimus itsemääräämisoikeutta paremmin turvaavaksi sääntelyksi voidaan tehdä eduskuntakäsittelyssä luopumalla ehdotetusta itsemääräämisoikeuden rajoituksen pääsääntöisyydestä säätämällä 20 ja 21 §:ssä tarkoitetun luovutuksen edellytykseksi suostumus (s. 11). 

Perustuslakivaliokunnan mielestä suostumuksesta voidaan perustuslain estämättä säätää voimassa olevan lain mukainen laaja suostumus, jos siihen kytketään mahdollisuus rajata suostumusta 18 §:ssä ehdotetun kaltaisin kielloin (ks. myös PeVL 10/2012 vp, s. 2—4). Suostumuksen sääntelyn on täytettävä valiokunnan käytännössä mainitut edellytykset.  

Perustuslakivaliokunnan saaman selvityksen ja valtioneuvoston eräissä hallituksen esityksissä omaksuman kannan mukaan tällainen sääntely on myös EU:n tietosuoja-asetuksen näkökulmasta mahdollinen (s. 11). Henkilön antama hyväksyntä tietojen siirtämiseen täydentää oikeusperustaa henkilötietojen käsittelyn suojatoimena. 

Olennaista perustuslakivaliokunnan mukaan (s. 12) tällöin on, että käsittelystä säädetään tietosuoja-asetuksen edellyttämällä tavalla asetuksen mukaiset edellytykset täyttävässä laissa, joka toimii käsittelyn asetuksen 6 ja 9 artiklassa tarkoitettuna perusteena. Sosiaali- ja terveysvaliokunnan on perustuslakivaliokunnan mukaan tällöin varmistuttava sääntelyn asianmukaisuudesta ja oikeasuhtaisuudesta tietosuoja-asetuksen kannalta (s. 12) sekä siitä, ettei ehdotettu sääntely ole ristiriidassa EU-oikeuden asettamien vaatimusten kanssa (s. 4). 

Sosiaali- ja terveysvaliokunnan ehdotukset

Sosiaali- ja terveysvaliokunta yhtyy perustuslakivaliokunnan kantaan ja ehdottaa, että asiakastietolain 20 §:n 1 momenttia ja 21 §:n 1 momenttia muutetaan perustuslakivaliokunnan lausunnon johdosta siten, että tietoja ei saa luovuttaa toimialan sisällä toiselle palvelunantajalle ilman nykyisen laajan suostumuksensa kaltaista asiakkaan tahdonilmaisua tai muussa laissa säädettyä oikeutta luovutukseen. Toimialan sisäisen luovutuksen tietosuoja-asetuksen tarkoittamana oikeusperusteena on asiakastietolain luovutuksen oikeuttava säännös tahdonilmaisun ollessa suojatoimi. Sosiaalihuollon ja terveydenhuollon välisissä luovutuksissa säilyy oikeusperusteena hallituksen esityksen 20 §:n 2 momentissa ja 21 §:n 2 momentissa säädetty EU:n yleisen tietosuoja-asetuksen tarkoittama suostumus. Valiokunnan saaman selvityksen mukaan toimialan sisäisen luovutuksen edellyttämästä tahdonilmaisusta on käytettävä eri ilmaisua, jotta on selvää, milloin on kyseessä tietosuoja-asetuksen tarkoittamasta ja siinä säädetystä suostumuksesta ja milloin suojatoimena toimivasta tahdonilmaisusta. Valiokunta ehdottaa, että toimialojen sisäisen luovutuksen edellytyksenä olevasta tahdonilmaistusta käytetään ilmaisua luovutuslupa. 

Asiakastietolaissa suostumus on tarkkarajainen, yksilöity ja nimenomainen suostumus, josta säädetään EU:n yleisessä tietosuoja-asetuksessa. Luovutusluvalla puolestaan tarkoitetaan suojatoimena annettavaa tahdonilmaisua, joka voidaan antaa siten kuin nykyisin Kanta-palvelussa käytössä oleva niin sanottu laaja suostumus annetaan eikä siltä siten edellytetä vastaavaa tarkkarajaisuutta tai luovutettavien tietojen yksilöintiä kuin suostumukselta. Luovutusluvan laajuutta tulee kuitenkin voida rajata yksilöidyin kielloin.  

Sosiaali- ja terveysvaliokunta korostaa tietojen luovuttamista koskevan sääntelyn merkitystä yhtäältä asiakkaan yksityisyyden suojan sekä toisaalta tiedon sujuvan liikkumisen näkökulmasta. Säännösten tulee olla riittävän selkeitä ja kattavia, jotta asiakkaan tiedollinen itsemääräämisoikeus voi toteutua ja asiakas voi säilyttää luottamuksellisen suhteen palvelunantajaan. Toisaalta valiokunta pitää tärkeänä, että tietojen luovutus tapahtuu mahdollisimman sujuvasti silloin, kun niiden luovuttamiselle on olemassa oikeusperusta. 

Tiedon sujuvalla liikkuvuudella on valiokunnan näkemyksen mukaan keskeinen merkitys hoidon ja hoivan laadun sekä potilasturvallisuuden varmistamisessa. Samalla tulee kuitenkin huolehtia yksityisyyden suojasta. Hoidon tai sosiaalipalvelun luottamuksellisuus voi herkästi vaarantua, jos asiakkaan tai potilaan arkaluonteiset tiedot ovat hyvin laajasti sähköisten järjestelmien avulla saatavissa. Useissa hoitotapahtumissa ei tarvita potilaasta laajoja taustatietoja. Toisaalta silloin, kun nämä tiedot ovat tarpeellisia tai jopa hengen taikka terveyden suojelemiseksi välttämättömiä, on välttämätöntä turvata tietojen saatavuus nopeasti ja luotettavasti.  

Valiokunnan näkemyksen mukaan toimialan sisäisessä palveluntuottajien välisessä tietojen luovuttamisessa edellä todetun nykyisen laajan suostumuksen kaltainen luovutuslupa on perusteltu, koska asiakkaalla ja potilaalla on luovutusluvan lisäksi mahdollisuus rajata kyseistä luovutusta eri laajuisilla kielloilla. Laajojen kieltomahdollisuuksien avulla luovutettavien tietojen joukkoa on mahdollista rajata käytännössä myös erittäin vähäiseen tietojoukkoon. Valiokunta pitää EU:n tietosuoja-asetuksen tarkoittaman suostumuksen sijaan luovutuslupaa yhdistettynä kielto-oikeuksiin toimialan sisäisessä luovutuksessa hyväksyttävänä ja oikeasuhtaisena erityisesti, koska tiedoilla on tällöin sama käyttötarkoitus. Tämän vuoksi tietojen tarve terveydenhuollon palvelunantajien kesken tai vastaavasti sosiaalihuollon palvelunantajien kesken on sekä sisällöllisesti että määrällisesti suurempi.  

Lisäksi nykyisin Kanta-palvelussa annettujen laajojen suostumusten määrä on erittäin suuri. Suostumuksen oli vuoden 2020 maaliskuun loppuun mennessä antanut noin 3,8 miljoonaa henkilöä. Luovutuksia rajoittavia kieltoja sen sijaan on tehty annettuihin suostumuksiin suhteutettuna vähän.Kieltojen määrä 30.4.2021 mennessä on 127 730. Lukema kertoo, kuinka moni henkilö on ainakin kerran asettanut kiellon tietojensa luovuttamiselle. Henkilö on tämän jälkeen voinut tehdä muutoksia luovutuskieltoon (peruuttaminen/kiellon asettaminen uudelleen), joten lukema ei kerro voimassa olevien kieltojen määrää. Tästä voidaan päätellä, että hyvin moni potilas haluaa, että potilastiedot näkyvät häntä hoitavalle terveydenhuollon ammattihenkilölle laajasti. Terveydenhuollon palvelunantajien väliselle tietojen laajalle luovutukselle on potilaiden näkökulmasta siten suuri hyväksyntä. Tietojen luovutus laajana suostumuksena on lisäksi jo olemassa oleva toiminto valtakunnallisissa tietojärjestelmissä, joten luovutusluvan toteutus ei siten vaadi pitkiä siirtymäaikoja. 

Valiokunta toteaa, että sosiaalihuollon ja terveydenhuollon välisessä tietojen luovutuksessa korostuu tietojen käyttötarkoitussidonnaisuuden vaatimus, koska tiedot on kerätty eri käyttötarkoituksiin. Asiakas- tai hoitosuhteen luottamuksellisuuden näkökulmasta olisi valiokunnan näkemyksen mukaan kestämätöntä, jos luovutus sosiaalihuollosta terveydenhuoltoon tai päinvastoin ei perustuisi asiakkaan yksilöityyn ja tarkkarajaiseen suostumukseen tai luovutuksen oikeuttavaan lain säännökseen. Sekä sosiaalihuollon että terveydenhuollon piiriin kuuluu paljon sellaisia palveluja, jotka toimivat toisistaan täysin erillisinä, eikä tiedonsaantitarvetta toimialojen välillä ole. Tällöin asiakkaan tiedollisen itsemääräämisoikeuden näkökulmasta tietojen käsittelyn erillisyysvaatimus on korostunut. Näin ollen valiokunta pitää perusteltuna, että 20 §:n 2 momentissa ja 21 §:n 2 momentissa säädetyssä toimialojen välisessä suostumuksessa tulee antaa hallituksen esityksessä ehdotettu EU:n tietosuoja-asetuksen tarkoittama yksilöity ja nimenomainen suostumus.  

Valiokunta kuitenkin toteaa, että käytännössä joidenkin yhteisten palvelujen kohdalla voidaan tunnistaa sosiaalihuollon asiakastiedoille ja terveydenhuollon potilastiedoille hyvin samansuuntainen käyttötarkoitus. Tämä koskee erityisesti sellaisia tilanteita, joissa sekä sosiaali- että terveydenhuollon piiriin kuuluvia palveluja annetaan käytännössä yhdessä yhteisten tavoitteiden toteuttamiseksi. Tällaisesta palvelusta voidaan mainita esimerkkinä vanhusten kotihoitoon liittyvät palvelut, joissa palvelu voi olla terveydenhuollon kotisairaanhoitoa tai sosiaalihuollon kotipalvelua. Valiokunta korostaa tietojen sujuvan käsittelyn tarvetta erityisesti tämän kaltaisissa palveluissa. Erityisen korostunut tämä tarve on silloin, kun asiakkaana on henkilöitä, joilla ei itsellään ole kykyä arvioida tiedon tarpeen merkitystä palvelun sisällölle ja laadulle. Kansanterveyslain 2 a luvussa säädetyn kotihoidon kokeilun taustalla on tässä yhteisessä tarkoituksessa tapahtuva tietojen liikkuvuuden sujuvuus. Säännösten mukaan kotihoidon toimintayksikön henkilöstöllä on oikeus käyttää tehtäviensä edellyttämällä tavalla kotihoidon rekisteritietoja. Valiokunta toteaa, että vuoden 2005 alusta aloitettu kokeilu on välttämätöntä arvioida jäljempänä yleisperustelujen lopussa todetun kokonaisuudistuksen yhteydessä ja säätää tietojen käsittelystä asianmukaisesti toistaiseksi voimassa olevalla lainsäädännöllä. 

Luovutusta koskevien ehdotusten arviointi EU:n tietosuoja-asetuksen näkökulmasta

Perustuslakivaliokunta edellytti, että sosiaali- ja terveysvaliokunnan on varmistuttava luovutusta koskevan sääntelyn asianmukaisuudesta ja oikeasuhtaisuudesta tietosuoja-asetuksen kannalta (s. 12). Sosiaali- ja terveysministeriöltä saadun selvityksen perusteella sosiaali- ja terveysvaliokunta toteaa seuraavaa: 

EU:n yleinen tietosuoja-asetus mahdollistaa henkilötietojen luovutuksen perustuen sekä yksilöityyn ja nimenomaiseen asetuksen tarkoittamaan suostumukseen tai asetuksen edellytysten täyttyessä lain säännökseen. Valiokunnan ehdottama käsittelyperuste eroaisi sen mukaan, onko kyseessä toimialan sisäinen luovutus vaiko toimialojen välinen luovutus. 

Valiokunnan ehdottama toimialojen sisäisessä palveluntuottajien välisessä tietojen luovutuksessa annettava luovutuslupa ei ole tietosuoja-asetuksen mukainen käsittelyperuste, vaan luovutuksen ehdoksi asetettava suojatoimi, josta voidaan säätää kansallisesti. Näin ollen 20 §:n 1 momentin ja 21 §:n 1 momentin tarkoittama tietojen luovutus perustuu perustuslakivaliokunnan lausunnon mukaisesti valtiosääntöisesti perustuslakivaliokunnan edellyttämällä tavalla asiakkaan tai potilaan tahdonilmaisuun, mutta sen luovutusperusta on tietosuoja-asetuksen valossa luovutuksen oikeuttavat asiakastietolain 20 §:n 1 momentin ja 21 §:n 1 momentin säännökset, jotka on säädetty tietosuoja-asetuksen 6 artiklan 1 (c) alakohdan ja 3 (b) alakohdan sekä 9 artiklan 2 (h) alakohdan perusteella. 

Toimialojen sisällä palveluntuottajien välinen tietojen luovuttaminen on edellä tarkemmin kuvatuista syistä perusteltu 20 §:n 1 momentin sekä 21 §:n 1 momentin säännösten sekä suojatoimena toimivan luovutusluvan nojalla, koska tiedoilla on tällöin sama käyttötarkoitus ja tiedon tarve useissa tilanteissa on laajaa. Olennainen merkitys asiakkaan yksityisyyden suojan näkökulmasta on tällöin myös sillä, että asiakkaalla ja potilaalla on lisäksi mahdollisuus rajata antamaansa laajaan suostumukseen perustuvaa luovutusta eri laajuisilla kielloilla. 

EU:n yleisessä tietosuoja-asetuksessa ei säädetä nimenomaisesti ehdotetun kaltaisesta luovutusluvasta suojatoimena. Valiokunnan saaman selvityksen mukaan suojatoimena toimivasta luovutusluvasta on mahdollista säätää kansallisesti EU:n tietosuoja-asetuksen 6 artiklan 4 (e) alakohdan, 9 artiklan 2 (h) alakohdan ja erityisesti 9 artiklan 4 alakohdan perusteella ja vastaavasti myös tietosuojalain 6 §:n perusteella. 

Sosiaalihuollon ja terveydenhuollon välisissä luovutuksissa edellytettävä suostumus luovutuksen perusteena on hallituksen esityksessä ehdotetun mukaisesti EU:n yleisen tietosuoja-asetuksen tarkoittama suostumus. Toimialojen välisessä luovuttamisessa käsittelyn oikeusperuste on tietosuoja-asetuksen 6 artiklan 1 (a) alakohdan ja 9 artiklan 2 (a) alakohdan mukainen suostumus. Tällöin henkilön on jo suostumusta antaessaan muun muassa kohdennettava yksilöity suostumus tiettyihin luovutettaviin tietoihin. Valiokunta pitää tätä perusteltuna, koska tiedoilla on tällöin eri käyttötarkoitus ja myös luovutettavien tietojen tarve on sisällöllisesti ja määrällisesti näin ollen huomattavasti vähäisempi kuin toimialan sisällä.  

Sekä luovutuslupa että suostumus edellyttävät riittävää informaatiota. Ehdotettu asiakastietolain 16 § sisältää säännökset asiakkaan informoinnista, johon suojatoimena toimivan luovutusluvan on perustuttava. Luovutusperusteena toimivaan suostumukseen liittyvästä informointivelvoitteesta säädetään tietosuoja-asetuksessa.  

Valiokunnan ehdottaman asiakastietolain 20 §:n 1 momentin ja 21 §:n 1 momentin mukainen henkilötietojen luovutus perustuu käsiteltävänä olevaan asiakastietolakiin rajoittaen perustuslain 10 §:n mukaisia yksityisyyden suojaan liittyviä perusoikeuksia ja -vapauksia. Lakiehdotuksessa ei kuitenkaan rajoiteta tietosuoja-asetuksen mukaisia rekisteröidyn oikeuksia. Tietosuoja-asetuksen 23 artiklan 1 kohdan (e) alakohdan mukaisesti perusoikeuksia ja -vapauksia voidaan rajoittaa muun muassa silloin, kun tavoitteena on taata kansanterveys ja sosiaaliturva. Asiakas- ja potilastietojen valtakunnallinen saatavuus valtakunnallisten tietojärjestelmäpalvelujen välityksellä on perusteltua ehdotetun lain nojalla kansanterveyttä ja sosiaaliturvaa edistävien terveyspalvelujen sekä sosiaalipalvelujen järjestämiseksi ja toteuttamiseksi.  

EU:n yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan mukaan 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin  

• käsittelytarkoitusta tai käsittelyn ryhmiä; 
• henkilötietoryhmiä; 
• käyttöön otettujen rajoitusten soveltamisalaa;  
• suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen; 
• rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämistä;  
• tietojen säilytysaikoja ja sovellettavia suojatoimia ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset;  
• rekisteröidyn oikeuksiin ja vapauksiin kohdistuvia riskejä; ja  
• rekisteröityjen oikeutta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen. 

Asiakastietolakiehdotus (1. lakiehdotus) sisältää useita edellä mainittuja toimenpiteitä, joilla suojataan rekisteröityjen oikeuksia ja jotka koskevat myös 20 §:n 1 momentissa ja 21 §:n 1 momentissa tarkoitettuja luovutuksia, joiden edellytykseksi valiokunta ehdottaa säädettäväksi luovutusluvan. Lakiehdotuksessa ja muussa voimassa olevassa sosiaali- ja terveydenhuollon tiedonhallinnan sääntelyssä on säännökset asiakas- ja potilastietojen käsittelyn tarkoituksesta palvelujen järjestämisen ja tuottamisen tarkoituksiin. Säännöksissä on rajattu ryhmät, joilla on oikeus käsitellä asiakas- ja potilastietoja. Lisäksi säännöksissä on eritelty eri käyttötarkoitusten johdosta sosiaalihuollon asiakastietoja ja terveydenhuollon potilastietoja koskevia säännöksiä sekä säädetty, että sosiaali- ja terveydenhuollossa on oikeus käsitellä vain välttämättömiä asiakas- ja potilastietoja. Lakiehdotuksessa säädetään käyttöoikeuksista asiakastietoihin siten, että käyttöoikeudet perustuvat ammattihenkilön tai muun asiakastietoja käsittelevän henkilön työtehtävään ja annettavaan palveluun. Asiakas voi antaa 20 §:n 1 momentin ja 21 §:n 1 momentin mukaiseen tietojensa luovuttamiseen luovutusluvan sekä rajata sitä kieltojen avulla. Kaikki asiakastietojen käsittelijät on tunnistettava luotettavasti, ja asiakastietojen käytöstä ja luovutuksesta kerätään lokitiedot. Luovutuksia koskevat tiedot näytetään kansalaisen käyttöliittymässä (Omakanta).  

Valtakunnallisten tietojärjestelmäpalvelujen toiminnan taustalla on painava, yksilön ja yhteiskunnan perusoikeuksien ydintä koskeva sosiaali- ja terveydenhuollon järjestämistä (PL 19 § oikeus sosiaaliturvaan) ja samalla yhteiskunnan turvallisuutta (PL 7 § oikeus elämään sekä henkilökohtaiseen vapauteen ja koskemattomuuteen) varmistava merkittävä intressi. Tarpeellisen ja välttämättömän tiedon sujuvalla liikkumisella on lähes aina annettavan palvelun laadun ja joskus jopa hengen ja terveyden turvaamisen näkökulmasta keskeinen merkitys. Valiokunta pitää edellä tarkemmin todetuin perustein lakiperusteista luovutuslupaa toimialan sisäisessä luovutuksessa oikeasuhtaisena, kun siihen yhdistetään mahdollisuus luovutuskieltoihin. Keskeistä arvioinnissa on tietojen sama käyttötarkoitus, jonka johdosta tietojen tarve terveydenhuollon palvelunantajien kesken tai vastaavasti sosiaalihuollon palvelunantajien kesken on sekä sisällöllisesti että määrällisesti suurempi. Laajalla terveydenhuollon toimijoiden välisellä potilastietojen luovutuksella on lisäksi edellä todetulla tavoin potilaiden laaja hyväksyntä. 

Valiokunta toteaa lisäksi, että hallituksen esityksessä on (s. 48—49) arvioitu kriittisesti mallia, joka perustuisi EU:n tietosuoja-asetuksen mukaiseen suostumukseen. Arvioinnin kritiikki kohdistuu kuitenkin valiokunnan näkemyksen mukaan erityisesti toimialan sisäisen laajan suostumuksen muuttamiseen nimenomaiseksi yksilöidyksi EU:n tietosuoja-asetuksen mukaiseksi suostumukseksi. Hallituksen esityksessä toimialojen välinen suostumus on ehdotettu olevan yksilöity suostumus. Tämän taustalla ovat valiokunnan näkemyksen mukaan edellä esitetyt syyt. Toimialojen välisen suostumuksen toteuttamiseen esitetään sen toteuttamisen vaatiman ajan vuoksi myös siirtymäaikaa. 

Alaikäisen tietojen luovutuskielto

Hallituksen esityksen mukaisessa asiakastietolakiehdotuksen 18 §:ssä säädetään, että alaikäisen huoltajalla ei olisi oikeutta tehdä tietojen luovutusta koskevaa kieltoa alaikäisen huollettavansa puolesta. Pykälän yksityiskohtaisten perustelujen mukaan (s. 102) "Huoltajalla ei olisi oikeutta tehdä kieltoa alaikäisen huollettavansa puolesta. Tämä perustuu siihen, että potilaslain 9 §:n 4 momentin mukaan potilaan huoltajalla tai muulla laillisella edustajalla ei ole oikeutta kieltää potilaan henkeä tai terveyttä uhkaavan vaaran torjumiseksi annettavaa tarpeellista hoitoa. Tätä periaatetta sovelletaan myös sosiaalihuollossa, jossa keskeinen periaate on lapsen edun huomioiminen. Terveydenhuollossa hoidostaan päättämään kykenevä lapsi voi tehdä kiellon itse." 

Valiokunta pitää esitettyä laajaa puhevallan rajoitusta ongelmallisena. Lapsen huollosta ja tapaamisoikeudesta annetun lain (361/1983) 4 §:n mukaan lapsen huoltaja edustaa lain tarkoittamissa asioissa lasta ja käyttää niissä lapsen puhevaltaa. Tästä pääsäännöstä on tehty tarkoin määriteltyjä poikkeuksia, muun muassa sosiaalihuollossa lapsen puhevallan käytöstä ja edunvalvojan määräämisestä lapselle. Potilaan asemasta ja oikeuksista annetun lain (785/1992, jäljempänä potilaslaki) 9 §:n 4 momentin tarkoittama henkeä ja terveyttä uhkaava vaara ei valiokunnan näkemyksen mukaan perustele näin laajaa tietojen käsittelyä koskevaa huoltajan puhevallan rajoitusta. Esityksessä ehdotettu säännös ei siten ole kaikilta osin yhdenmukainen siviilioikeudessa ja voimassa olevassa sosiaali- ja terveydenhuollon lainsäädännössä nykyisin noudatettavien lapsen omaa ja vanhempien puhevaltaa koskevien oikeusperiaatteiden kanssa. 

Valiokunta ehdottaa, että säännöstä muutetaan vastaamaan esityksen perusteluja siten, että huoltajan tai muun laillisen edustajan oikeus tehdä tietojen luovutukseen kieltoja alaikäisen puolesta sallitaan muissa paitsi potilaslain 13 §:n 3 momentin 3 kohdan tarkoittamissa hätätilanteissa. Näin ollen alaikäisen huoltajan tai muun laillisen edustajan oikeutta rajataan siihen, mitä hallituksen esityksen perusteluissa esitetään. Tämä tarkoittaa, että huoltajalla tai muulla laillisella edustajalla ei ole oikeutta kieltää tietojen luovutusta silloin, kun on kyse alaikäisen potilaan henkeä tai terveyttä uhkaavan vaaran torjumiseksi annettavasta tarpeellisesta hoidosta. Aiemmin kirjatut potilastiedot voivat olla välttämättömiä potilaan hoidon järjestämiseksi ja toteuttamiseksi, minkä vuoksi on tarpeen varmistaa, että alaikäisen lapsen potilastiedot ovat saatavilla valtakunnallisista tietojärjestelmäpalveluista erityisesti hätätilanteissa ilman, että huoltaja tai muu laillinen edustaja voi tietojen luovutusta kieltää.  

Valtakunnallisiin tietojärjestelmäpalveluihin on jo toteutettu toiminnallisuus, jonka avulla henkilö voi erikseen sallia tai kieltää tietojensa luovuttamisen potilaslain 13 §:n 3 momentin 3 kohdan mukaisissa hätätilanteissa. Näin ollen myös nyt ehdotettu huoltajan kielto-oikeuden rajoitus voidaan toteuttaa valtakunnallisiin tietojärjestelmäpalveluihin poistamalla alaikäisen kohdalla huoltajan tai muun laillisen edustajan mahdollisuus valita, että kielto koskisi kyseisiä hätätilanteita. 

Oikeus tietojen poistamiseen ja käsittelyn vastustamiseen

Perustuslakivaliokunta toteaa (s. 4), että sosiaali- ja terveysvaliokunnan on syytä kiinnittää erityistä huomiota oikeudesta tietojen poistamiseen ja käsittelyn vastustamisesta tietosuoja-asetuksessa säädettyyn. 

Sosiaali- ja terveysvaliokunta toteaa, että ehdotetussa asiakastietolaissa ei esitetä rekisteröityjen oikeuksien rajoittamista. Tietosuoja-asetuksen mukaiset rekisteröityjen oikeudet ovat erilaiset riippuen siitä, mistä käsittelyn oikeusperustasta on kyse. 

Tietosuoja-asetuksen 17 artiklan 3 (b) ja (c) alakohtien mukaan oikeutta poistaa omia tietoja ei ole, jos käsittely on tarpeen rekisterinpitäjään sovellettavaan unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan, käsittelyä edellyttävän lakisääteisen velvoitteen noudattamiseksi tai jos käsittely tapahtuu yleistä etua koskevan tehtävän suorittamista tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä varten tai kansanterveyteen liittyvää yleistä etua koskevista syistä 9 artiklan 2 kohdan (h) ja (i) alakohdan sekä 9 artiklan 3 kohdan mukaisesti. Asiakastietolain mukaista tietojen käsittelyä koskevat edellä mainitut tietosuoja-asetuksen 17 artiklan kohdat. 

Asiakas- ja potilastietojen säilyttäminen Kanta-palveluissa ja lainsäädännön mukaiset säilytysajat turvaavat valiokunnan näkemyksen mukaan sekä ammattihenkilöiden että sosiaali- ja terveydenhuollon asiakkaiden oikeuksia ja etuja. Pahimmillaan poistamisoikeus estäisi asiakkaiden ja ammattihenkilöiden oikeuksien toteutumisen ja vaarantaisi potilasturvallisuuden. Tietoja voidaan tarvita myös vahinkotilanteiden selvittämiseen. Esimerkiksi epäillystä potilasvahingosta on mahdollisuus ilmoittaa jopa 10 vuotta sen jälkeen, kun vahinko olisi pitänyt huomata. Tietojen poistamismahdollisuus vaarantaisi tällaisissa tilanteissa sekä asiakkaan että ammattihenkilön oikeusturvaa. 

Tietosuoja-asetuksen 21 artiklan mukaisen vastustamisoikeuden osalta valiokunta toteaa, että asiakastietolain käsittelyn oikeusperusta on tietosuoja-asetuksen 6 artiklan 1 (c) alakohta ja 9 artiklan 2 (h) alakohta, jotka eivät siis luo rekisteröidylle vastustamisoikeutta. Asiakastietolakiin valittu käsittelyn oikeusperusta ei sulje pois muita oleellisia rekisteröidyn oikeuksia, kuten oikeutta pyytää käsittelyn rajoittamista, virheellisen tai vanhentuneen tiedon poistamista tai oikaisemista.  

Asiakkaan tiedonsaantioikeus tietojensa käsittelystä

Valiokunta toteaa, että asiakkaan oikeus lokitietoihin on keskeinen oikeus, jonka avulla asiakas voi arvioida, onko hänen tietojaan käsitelty laillisesti ja asianmukaisesti. Lokitietoja koskevan tiedonsaantioikeuden perusteella asiakas voi tarvittaessa ryhtyä toimenpiteisiin, jos hän epäilee, että hänen tietojaan on käsitelty lainvastaisesti taikka muutoin epäasianmukaisesti. Ilman tätä oikeutta asiakkaan mahdollisuudet varmistua tietojensa asianmukaisesta käsittelystä olisivat käytännössä vähäiset. 

Asiakkaalla on oikeus lokitietoihin jo voimassa olevan asiakastietolain 18 §:n nojalla. Oikeus lokitietoihin sisältyy ehdotetun asiakastietolain 26 §:ään. Sen mukaan asiakkaalla on oikeus saada asiakastietojensa käsittelyyn liittyvien oikeuksiensa selvittämistä tai toteuttamista varten palvelunantajalta kirjallisesta pyynnöstä kohtuullisessa ajassa ja viimeistään kahden kuukauden kuluessa lokirekisterin perusteella maksutta tieto siitä, kuka on käyttänyt tai kenelle on luovutettu häntä koskevia tietoja sekä mikä on ollut käytön tai luovutuksen peruste. Asiakkaalla on vastaava oikeus saada Kansaneläkelaitokselta tiedonhallintapalvelun, tahdonilmaisupalvelun, reseptikeskuksen ja omatietovarannon lokitiedot, käytettyjen tai luovutettujen asiakas- ja hyvinvointitietojen lokitiedot sekä tiedot käyttö- ja luovutusajankohdasta siltä osin kuin tiedot kuuluvat Kansaneläkelaitoksen rekisterinpitoon. 

Pykälän 4 momentissa ehdotetaan säädettäväksi tietosuojavaltuutetulle uusi tehtävä, jonka mukaan asia voidaan saattaa tietosuojavaltuutetun käsiteltäväksi tietosuojalain (1050/2018) 21 §:n 1 momentin mukaisesti. Jos palvelunantaja tai Kansaneläkelaitos katsoo, ettei lokitietoja saa antaa asiakkaalle, kieltäytymisestä on tehtävä kirjallinen päätös.  

Tietosuojavaltuutetun tehtäviin ei nykyisen sääntelyn mukaan kuulu ehdotetun asiakastietolain 18 §:n kaltaista tiedonsaantioikeuden toteutumisen arviointia. Tietosuojavaltuutettu ei ole arvioinut myöskään muissa yhteyksissä asiakkaan oikeutta saada lokitietoja. Tietosuojavaltuutettu on lausunnossaan katsonut, että esityksellä olisi uuden tehtävän myötä merkittävästi tietosuojavaltuutetun tehtäviä lisäävä vaikutus sosiaali- ja terveydenhuollon toimialalla. 

Käytännössä on ollut myös jossain määrin epäselvää, mistä haetaan muutosta, kun yksityinen toimija kieltäytyy antamasta lokitietoja, koska nykyinen asiakastietolaki ei sisällä säännöstä muutoksenhausta. Oikeus saada lokitietoja perustuu yleisesti viranomaistoimijoiden kohdalla julkisuuslakiin.  

Sosiaali- ja terveysministeriö on arvioinut tarvittavia lisäresursseja hallinto-oikeuksien ratkaisujen perusteella. Ministeriöltä saadun selvityksen mukaan eräissä hallinto-oikeuksissa on ollut lokitietojen antamatta jättämiseen liittyviä tapauksia vain muutamia useamman vuoden ajanjaksolla ja joissain hallinto-oikeuksissa tapauksia ei ole ollut. Palvelunantajista Helsingin sosiaali- ja terveysvirastossa sekä Helsingin ja Uudenmaan sairaanhoitopiirissä tapauksia on ollut enintään yksi vuodessa. Määrä on siten ollut vähäinen. 

Valiokunta pitää tärkeänä, että lokitietoja koskevat oikeusturvakeinot ovat selkeät ja riittävän kattavat, joten ehdotettu säännös on perusteltu. Valiokunta pitää asiakkaan oikeusturvan toteutumisen kannalta merkityksellisenä myös sitä, että ehdotettu lokitietojen saamatta jäämistä koskeva oikeusturvamenettely on ilmainen. Samalla valiokunta kuitenkin toteaa, että käsittelymäärien voidaan tästä syystä arvioida kasvavan. Lisäksi yksityistä sektoria koskevat asiat ovat jääneet hallinto-oikeuksien ulkopuolelle, mikä kasvattaa jatkossa tapausten määrää. Lisäresursseja vaatii myös tähän liittyvä neuvonta- ja ohjaustehtävä. 

Valiokunta pitää välttämättömänä tietosuojavaltuutetun toimiston riittävän resursoinnin varmistamista. Asiakkaiden oikeusturva ei voi toteutua, jos sitä koskeviin menettelyihin ei ole tosiasiassa riittäviä resursseja. Valiokunta painottaa, että valtioneuvoston tulee seurata tarkoin käsittelyn aiheuttamia henkilöresurssitarpeita ja tarvittaessa ryhtyä toimenpiteisiin voimavarojen turvaamiseksi.  

Asiakkaiden informointi

Esityksen 16 §:n mukaan palvelunantajan on informoitava asiakasta valtakunnallisista tietojärjestelmäpalveluista, niiden toimintaperiaatteista ja valtakunnallisiin tietojärjestelmäpalveluihin liittyvistä asiakkaan oikeuksista. Valtakunnallisia tietojärjestelmäpalveluja koskevan informoinnin tietosisällöstä vastaa lakiehdotuksen mukaisesti Terveyden ja hyvinvoinnin laitos. Kansaneläkelaitos vastaa informointimateriaaleista. Informoinnin tiedot on annettava viimeistään henkilön ensimmäisen asioinnin yhteydessä. 

Valiokunta pitää lakisääteistä informointivelvoitetta tärkeänä. Riittävällä, ymmärrettävällä ja oikea-aikaisella informaatiolla on keskeinen merkitys yhtäältä asiakkaan yksityisyyteen liittyvän oikeusturvan sekä toisaalta hänen sosiaali- ja terveyspalvelujen saatavuuteen sekä laatuun liittyvien oikeuksiensa toteutumisen kannalta. 

Valiokunta painottaa, että informoinnissa on huomioitava erityisryhmät. Sosiaali- ja terveydenhuollossa on asiakkaina myös haavoittuvassa asemassa olevia henkilöitä, joiden kyky omaksua tietoa saattaa olla alentunut. Tällöin korostuu velvollisuus antaa informaatiota asiakkaan ymmärtämällä ja hänen olosuhteensa huomioon ottavalla saavutettavalla tavalla. Informaatiota on oltava saatavilla lainsäädännön velvoittamilla kielillä sekä käyttämällä eri informaatiokeinoja.  

Valiokunta korostaa myös alaikäisille asiakkaille annettavan riittävän selkeän tiedon merkitystä, jotta alaikäisen oikeudet voivat tietojen käsittelyssä toteutua siten kuin ne on lainsäädännössä turvattu. Alaikäisen oikeudet ovat kiinteästi kytköksissä yhtäältä hänen asemaansa asiakkaana tai potilaana sekä toisaalta suhteessa hänen huoltajaansa tai muuhun lailliseen edustajaansa. Alaikäiselle itselleen sekä huoltajalle on annettava riittävä ja selkeä informaatio tietojen käsittelystä sekä heidän oikeuksistaan. 

Tietojärjestelmien ja hyvinvointisovellusten vaatimukset

Asiakastietolakiehdotuksen 29 §:ssä ehdotetaan säädettäväksi tietojärjestelmien luokituksesta. Sosiaali- ja terveydenhuollon tietojärjestelmät sekä hyvinvointisovellukset jaotellaan käyttötarkoitustensa ja ominaisuuksiensa perusteella luokkiin A ja B. Luokkaan A kuuluvat muun muassa Kansaneläkelaitoksen itse ylläpitämät valtakunnalliset tietojärjestelmäpalvelut sekä tietojärjestelmät ja hyvinvointisovellukset, jotka käsittelevät asiakastietoja ja jotka on tarkoitettu liitettäväksi Kanta-palveluihin. A-luokkaan kuuluviksi katsotaan myös ne välityspalvelut, joita käytetään terveydenhuollon alueellisessa tai paikallisessa tietojärjestelmässä olevien tietojen siirtämiseksi Kanta-palveluihin.  

Luokan B tietojärjestelmät ovat sellaisia, jotka eivät ole suoraan tai välityspalvelun kautta yhteydessä valtakunnallisiin tietojärjestelmäpalveluihin. Esimerkiksi laboratoriojärjestelmä, jonka tuottamat tiedot tallennetaan potilastietojärjestelmässä oleviin potilastietoihin, on luokan B järjestelmä, vaikka potilastietojärjestelmä tallentaa laboratoriovastauksen tiedot myöhemmin edelleen Kanta-palvelujen arkistointipalveluun. 

Terveyden ja hyvinvoinnin laitos voi esityksen 29 §:n 4 momentin mukaan antaa määräyksiä tietojärjestelmien luokkien määräytymisestä. 

Asiakastietolakiehdotuksen 35 §:ssä säädetään menettelystä, jolla tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan olisi osoitettava, että tietojärjestelmä tai hyvinvointisovellus täyttää olennaiset vaatimukset.  

Valiokunta kannattaa menettelyä, jossa kaikilla sähköisillä tietojärjestelmillä asiakastietoja käsittelevillä palvelunantajilla on oltava luokkaan A kuuluva tietojärjestelmä, jolla ne liittyvät valtakunnallisiin tietojärjestelmäpalveluihin. Esitetty asiakastietolaki laajentaa yksityisten palvelunantajien liittymisvelvoitetta. Valiokunta pitää myönteisenä, että samalla laajenee myös A-luokkaan kuuluvien tietojärjestelmien joukko. Koska näiden tietojärjestelmien tulee läpäistä Kanta-palveluiden yhteentoimivuuden lisäksi tietoturvallisuuden arviointilaitoksen suorittama tietoturvallisuuden arviointi, vähentää uudistus yksittäisten toimijoiden asiakastietojärjestelmien haavoittuvuutta. Valiokunta toteaa, että samalla korostuu kuitenkin velvoite huolehtia Kanta-palvelujen tietoturvan tasosta.  

Valiokunta pitää valvonnan näkökulmasta tärkeänä, että luokkaan B kuuluvien tietojärjestelmien vaatimustenmukaisuuden osoittamiseksi annettavasta tuottajan selvityksestä annetaan laissa säädettyä tarkemmat määräykset. Tähän saakka tarkentavat määräykset ovat valiokunnan saaman selvityksen mukaan koskeneet pääosin A-luokan järjestelmiä. Valiokunta toteaa, että olennaisia vaatimuksia on jatkossa esityksen mahdollistamalla tavalla tarpeen kohdistaa yhteentoimivuuden ja tietoturvallisuuden varmistamiseksi myös luokan B tietojärjestelmiin.  

Säilytysajat

Perustuslakivaliokunnan mukaan arkaluonteisiin henkilötietoihin kohdistuva lailla säätämisen vaatimus kohdistuu myös säilytysaikoihin (PeVL 14/2018 vp, s. 2 ja 6). Perustuslakivaliokunta toteaa, että sääntelyä on täydennettävä. 

Sosiaali- ja terveysvaliokunta toteaa, että voimassa oleva asiakastietolaki ja uusi lakiehdotus eivät sisällä valtakunnallisiin tietojärjestelmäpalveluihin liittyvää säilytysaikasääntelyä. Potilasasiakirjojen säilytysaikoja koskevan sääntelyn perusta on potilaslain 12 §:ssä. Potilasasiakirjojen säilytysaikojen tarkempi sääntely on sosiaali- ja terveysministeriön asetuksessa potilasasiakirjoista. Sosiaalihuollon asiakasasiakirjojen säilytysajoista säädetään sosiaalihuollon asiakasasiakirjoista annetun lain (254/2015) 27 §:ssä sekä lain liitteessä. Säädetyt säilytysajat koskevat myös valtakunnallisiin tietojärjestelmäpalveluihin tallennettavia tietoja. 

Valiokunnan saaman selvityksen mukaan tarkoituksena on valmisteilla olevan kokonaisuudistuksen yhteydessä saattaa potilasasiakirjojen säilytystä koskeva tarkempi sääntely tarpeellisilta osin laintasoiseksi. Samalla kyseinen sääntely myös päivitetään sisällöllisesti. Ministeriössä on tätä varten käynnistetty vuoden 2021 lokakuun loppuun mennessä toteutettava arvonmääritys eli selvitys erilaisten asiakirjojen välttämättömyydestä tai tarpeellisuudesta potilaiden terveyden- ja sairaanhoidon järjestämisen sekä tuottamisen kannalta.  

Valiokunta toteaa, että säilytysaikoja koskeva sääntely ei nykysäännösten valossa kuulu nyt ehdotettuun asiakastietolakiin, koska säilytysaikoja koskevan sääntelyn perusta on muussa lainsäädännössä. Säännökset koskevat sekä sähköisiä tietoja että paperisia asiakirjoja. Valiokunta toteaa, että säilytysaikoja on syytä tarkastella kokonaisuutena riippumatta siitä, missä muodossa aineisto on. Näin ollen valiokunta pitää tarkoituksenmukaisena, että säilytysaikoja koskeva sääntely uudistetaan edellä todetun kokonaisuudistuksen yhteydessä. Valiokunta kuitenkin ehdottaa, että asiakastietolain 8 §:ään lisätään tässä vaiheessa lain eheyden ja informatiivisuuden vuoksi viittaussäännös säilytysaikoja koskevaan sääntelyyn.  

Esityksen taloudelliset vaikutukset

Valiokunnan kuulemisissa on nostettu esiin esityksen osin puutteellinen vaikutusten arviointi. Saatujen lausuntojen perusteella kustannuksia arvioidaan aiheutuvan sekä viranomaistoiminnoille että sosiaali- ja terveyspalvelujen antajille toiminnallisesta muutoksesta ja teknisistä investoinneista. Ehdotuksen mukaisten muutosten tekemisen kustannuksia erityisesti palvelunantajien asiakas- ja potilastietojärjestelmiin ei esityksessä ole kuitenkaan tarkemmin yksilöity tai arvioitu. Myös henkilöstön koulutuksesta ja toimeenpanon tuesta todetaan aiheutuvan kustannuksia.  

Kuulemisissa on tuotu toisaalta esiin myös esitykseen liittyvät kustannushyödyt. Etenkin aluksi on kustannusten kasvun riski kuitenkin merkittävä tarvittavien investointien vuoksi.  

Valiokunta toteaa, että Kansaneläkelaitoksen ylläpitämien Kanta-palvelujen riittävä rahoitus tulee turvata rahoitusmallilla, joka tukee laajan ja edelleen kasvavan järjestelmäkokonaisuuden kehittämistä pitkäjänteisesti, suunnitelmallisesti ja läpinäkyvästi. 

Terveyden ja hyvinvoinnin laitos arvioi esityksen lisäävän ja laajentavan tehtäviä nykyisestä. Lisäresurssitarpeen arvioidaan olevan vuosittain 600 000 euroa. 

Myös Sosiaali- ja terveysalan lupa- ja valvontavirasto Valvira toteaa sen nykyisten henkilöresurssien olevan esityksen myötä laajentuviin tehtäviin riittämätön.  

Tietosuojavaltuutetun voimavarojen riittävyyden seurantatarpeesta on todettu edellä. 

Valiokunta korostaa, että riittävä resursointi on tietojärjestelmien toimivuuden sekä niiden uskottavan ja vaikuttavan valvonnan toteutuksen edellytys.  

Valiokunta toteaa, että yksityisinä sosiaalipalvelujen tuottajina on paljon pieniä palveluntuottajia, joiden antamat sosiaalipalvelut ovat merkittävä osa palvelujärjestelmää. Lakiuudistuksella ei saa vaarantaa pienten palveluntuottajien olemassaoloa ja toimintaedellytyksiä. Olennaista valiokunnan näkemyksen mukaan on, että valtakunnallisiin tietojärjestelmäpalveluihin liittyminen tehdään mahdollisimman helpoksi ja edulliseksi. 

Toimeenpanon aikataulu

Valiokunnan kuulemisissa on tuotu esiin huoli ehdotetun asiakastietolain toimeenpanon liian kireästä aikataulusta. Valiokunta ehdottaa jäljempänä siirtymäsäännöksiin muutoksia, jotka perustuvat sosiaali- ja terveysministeriöltä saatuun selvitykseen. Valiokunta kuitenkin painottaa, että ministeriön on seurattava uudistusten toimeenpanon toteutusta sekä arvioitava ja esitettävä oikea-aikaisesti mahdollisia muutostarpeita siirtymäaikoihin. Lisäksi tulee toimeenpanon yhteydessä huolehtia säännösten kohteena olevien tahojen sekä kansalaisten informoinnista ja yleisestä viestinnästä sekä tietojärjestelmien toiminnallisuuksien muutoksiin liittyvästä sosiaali- ja terveydenhuollon henkilöstön kouluttamisesta.  

Lopuksi

Valiokunta kiinnittää vakavaa huomiota siihen, että hallituksen esitykseen on ollut tarpeen tehdä lukuisia muutoksia eduskuntakäsittelyn aikana sekä perustuslakivaliokunnan lausunnon että sosiaali- ja terveysvaliokunnan kuulemisten johdosta. Eduskuntavaiheen käsittely ei vaivatta sovellu laajojen muutosten tekemiseen. Lakiehdotusten tulee perustua eduskunnassa riittävän kattaviin perusteluihin ja vaikutusarviointeihin sekä julkiseen ja kaikkien saatavilla olevaan ehdotukseen, jotta turvataan lainsäädännön läpinäkyvyys ja laatu. Eduskuntavaiheen runsaiden muutosten myötä myös lain esitöiden kokonaisuudesta muodostuu vaikeasti hahmottuva, mikä on omiaan tekemään lain soveltamisesta vaivalloista. 

Valiokunta toteaa myös, että vaikka esityksellä selkeytetään asiakastietojen sähköistä käsittelyä koskevaa sääntelyä, jää sosiaali- ja terveydenhuollon tietosuojaa sekä tiedonhallintaa koskeva lainsäädäntökokonaisuus edelleen pirstaleiseksi, vaikeaselkoiseksi ja osin puutteelliseksi. Sääntely jakautuu useisiin eri lakeihin ja asetuksiin eikä sääntely kaikilta osin vastaa EU:n yleisen tietosuoja-asetuksen edellytyksiä. Kyseinen sääntely on myös osin vanhentunutta ja ristiriitaista, jolloin monen eri lain samanaikainen soveltaminen ja yhteensovittaminen on käytännössä haasteellista. Valiokunnan käsittelyssä on noussut esiin eri esitysten yhteydessä myös asiakas- ja potilastietojen käsittelyä koskevien lakien osin epäselvä suhde toisiinsa. Erityisesti sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain suhde muuhun sääntelyyn on osoittautunut haasteelliseksi, minkä johdosta valiokunta painottaa tämän niin sanotun toisiolain päivittämisen tarvetta. 

Valiokunnan saaman selvityksen mukaan sosiaali- ja terveysministeriössä on käynnistetty sosiaali- ja terveydenhuollon tiedonhallintasäädösten kokonaisuudistus, jonka yhteydessä kyseisiä puutteita on tarkoitus korjata. Kokonaisuudistus on laaja hanke, joten se vaiheistetaan useamman hallituskauden ajalle. Ensimmäisen vaiheen hallituksen esitys on selvityksen mukaan tavoitteena saada eduskunnan käsiteltäväksi vielä tämän hallituskauden aikana.  

Valiokunta painottaa tarvetta uudistaa sosiaali- ja terveydenhuollon tietojen käsittelyn säädöspohjaa siten, että se muodostaa selkeän ja yhdenmukaisen sekä kattavan kokonaisuuden, joka vastaa Euroopan perusoikeuskirjan, perustuslain ja Euroopan yleisen tietosuoja-asetuksen vaatimuksia sekä tukee sosiaali- ja terveydenhuollon palvelujärjestelmää sekä sosiaali- ja terveydenhuollon integraatiota. Sääntelyä tulee yhtenäistää ja selkiyttää siten, että henkilötietojen käsittely ja rekisteröityjen oikeudet ilmenevät niistä ymmärrettävästi ja yksiselitteisesti. Myös eri lakien suhde toisiinsa on välttämätöntä selkiyttää siten, että ei jää epäselvyyttä siitä, mitä lakia kulloinkin sovelletaan. Valiokunta ehdottaa asiasta lausumaa. (Valiokunnan lausumaehdotus)