2.1  Sosiaali- ja terveydenhuollon tiedonhallinnassa huomioitava yleislainsäädäntö

Sosiaali- ja terveydenhuollon tiedonhallinnan kannalta keskeisiä kansallisia yleislakeja ovat henkilötietojen suojaan, asiakirjojen käsittelyyn sekä tunnistamiseen ja sähköiseen asiointiin liittyvät säädökset. Perusta henkilötietojen käsittelyä koskevalla sääntelylle tulee Suomen perustuslaista (731(2019) ja yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta annetusta Euroopan parlamentin ja neuvoston asetuksesta (EU 2016/679), jäljempänä tietosuoja-asetus. Erityisesti tietosuoja-asetuksen vaatimukset koskevat hyvin laajasti tiedonhallinnan eri osa-alueita. 

2.2  Sosiaali- ja terveydenhuollon tiedonhallinnan sääntelyn kokonaisuus

Nykytila 

Sosiaali- ja terveydenhuollon tiedonhallintaan liittyvä sääntely sisältää muiden muassa sosiaalihuollon asiakasasiakirjoja ja potilasasiakirjoja, lääkemääräyksiä, henkilötietojen käsittelyä sekä valtakunnallisia tietojärjestelmäpalveluita koskevat säädökset. Sosiaalihuollon asiakastietoja ja asiakirjoja koskevaa sääntelyä on laissa asiakkaan asemasta ja oikeuksista (812/2000, jäljempänä asiakaslaki) ja laissa sosiaalihuollon asiakasasiakirjoista (254/2015, jäljempänä asiakasasiakirjalaki). Potilastietoja koskevaa sääntelyä on laissa potilaan asemasta ja oikeuksista (785/1992, jäljempänä potilaslaki) sekä sosiaali- ja terveysministeriön asetuksessa potilasasiakirjoista (298/2009, jäljempänä potilasasiakirja-asetus). Valtakunnallisista tietojärjestelmäpalveluista ja asiakastietojen sähköisestä käsittelystä säädetään laissa sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (784/2021, jäljempänä asiakastietolaki tai voimassa oleva asiakastietolaki). Lääkemääräyksistä säädetään laissa sähköisestä lääkemääräyksestä (61/2007, jäljempänä lääkemääräyslaki). 

Sosiaali- ja terveydenhuollon tiedonhallinnassa keskeisessä roolissa ovat asiakas- ja potilasasiakirjat ja niihin sisältyvät asiakasta ja potilasta koskevat henkilötiedot. Asiakas- ja potilasasiakirjoissa korostuu asiakas- ja potilastietojen arkaluontoisuuteen liittyvät piirteet erityisesti tietosuojan ja tietoturvan näkökulmasta. Tietosuojan ja tietoturvan lisäksi potilaan ja asiakkaan hoidon ja huollon kannalta on elintärkeää varmistaa tietojen eheys, tiedonkulku ja turvallinen käsittely.  

Sosiaali- ja terveydenhuollossa käsitellään henkilötietoja erityisesti niiden ensisijaiseen käyttötarkoitukseen eli tarkoitukseen, jota varten tiedot on kerätty. Sosiaalihuollon asiakastietoja käytetään ensisijaisesti asiakkaan sosiaalipalvelun järjestämisen ja toteuttamisen käyttötarkoituksiin. Potilastietoja käytetään potilaan terveyden- ja sairaudenhoidon järjestämisen ja toteuttamisen käyttötarkoituksiin. Lääkemääräyksiä käytetään lisäksi lääkkeen toimittamiseen apteekista. Ensisijaisen käyttötarkoituksen lisäksi henkilötietoja voi olla tarve käsitellä myös toissijaisissa käyttötarkoituksissa, kuten tietojohtamisen ja tutkimuksen tarkoituksissa. Laki sosiaali- ja terveystietojen toissijaisesta käytöstä (552/2019, jäljempänä toisiolaki), sisältää henkilötietojen toissijaisia käyttötarkoituksia koskevat säännökset ja täydentää tältä osin yleisen tietosuoja-asetuksen sääntelyä.  

Nykytilan arviointi 

Sosiaali- ja terveydenhuollon tiedonhallintaa koskeva lainsäädäntö on hajautunut useisiin säädöksiin ja lainsäädäntöä on valmisteltu eri aikoina. Sosiaali- ja terveydenhuollon asiakas- ja potilastietoa käsittelevää lainsäädäntöä on esimerkiksi asiakastietolaissa, asiakaslaissa, potilaslaissa, laissa sosiaalihuollon asiakasasiakirjoista sekä asetuksentasoisissa säädöksissä. Säädösten soveltamisalat vaihtelevat. Osa säädöksistä soveltuu kaikkeen sosiaali- ja terveydenhuollon toimintaan, kun taas esimerkiksi asiakastietolain sääntelyä sovelletaan vain sähköiseen asiakastiedon käsittelyyn. Merkittävä osa sosiaali- ja terveydenhuollon tietoaineistosta on nimenomaan henkilötietoja ja sovellettavaksi tulevat myös tietosuojaan liittyvät säädökset. Aihepiiriin kytkeytyvää lainsäädäntöä on myös substanssilainsäädännössä. Lainsäädäntöpohja on epäyhtenäinen eikä se kaikilta osin vastaa esimerkiksi tietosuoja-asetuksen vaatimuksia henkilötietojen käsittelylle. Yhtenäinen ja ajantasainen lainsäädäntö on edellytys toimivalle tiedonhallinnalle, tiedolla johtamiselle ja tiedon hyödyntämiselle. Lisäksi teknologian kehityksen täysimittainen hyödyntäminen on nostanut esiin uudenlaisia sääntelytarpeita. 

Pirstaleisen lainsäädännön soveltaminen käytännössä sosiaali- ja terveydenhuollossa on osoittautunut haastavaksi ja monimutkaiseksi. Sosiaali- ja terveydenhuollon ammattihenkilön voi olla haastavaa ymmärtää hajautunutta lainsäädäntöä, mikä taas voi johtaa moniin käytännön ongelmiin ja siihen ettei säännöksiä sovelleta oikein. Sääntelyn pirstaleisuuteen ja vaikeaselkoisuuteen on kiinnittänyt huomioita myös perustuslakivaliokunta (mm. PeVL 4/2021 vp).  

Asiakastietolain uudistamisen yhteydessä saatujen lausuntojen perusteella sääntelyn yhtenäistäminen koettiin yhdeksi keskeiseksi keinoksi edistää tiedonhallintaa. Esimerkiksi Apotti Oy:n toimittamassa selvityksessä katsottiin, että säännökset koskien potilastietojen ja sosiaalihuollon asiakastietojen käsittelyä tulisi yhdenmukaistaa, jolloin molempia tietojoukkoja koskisivat samanlaiset luovutus-, salassapito- ja säilytysaikavelvoitteet. Samassa selvityksessä katsottiin, että tietojen joustavan käsittelyn saavuttaminen vaatii tiedonhallinnan kokonaisuudistuksen. 

Jotta sääntely olisi selkeää soveltajille, tulee myös käytettävien käsitteiden olla selkeitä. Toimiva tiedonhallinta edellyttää erilaisten käsitteiden määrittelyä ja käsitteiden yhtenäistämistä, jotta tiedonhallinnan kokonaisuus olisi mahdollisimman yhteentoimivalla pohjalla. Nykyisessä lainsäädännössä käytetään useita eri käsitteitä. Osa käsitteistä on samoja useammassa säädöksessä, mutta käsitteiden määritelmät voivat silti erota toisistaan. Esimerkiksi organisaatiorakenteita kuvaavat käsitteet kuten palvelunantaja, toimintayksikkö ja palveluyksikkö sekä asiakirjan, tiedon ja arkistoinnin käsitteet ovat sellaisia käsitteitä, joiden määritelmät aiheuttavat käytännön haasteita. Lainsäädäntö on muodostunut pitkän ajan kuluessa ja käsitemäärittely on tehty aina jokaisen lain näkökulmasta erikseen. Tämä on osaltaan lisännyt sääntelykokonaisuuden vaikeaselkoisuutta. Kuten Voutilainen ja Muukkonen Voutilainen, Tomi & Muukkonen, Matti 2021. Sosiaali- ja terveydenhuollon tiedonhallinnan sääntelyn systematiikkaongelmat. Edilex 2021/35, julkaistu 31.5.2021. , s. 21https://www.edilex.fi/artikkelit/23164.pdf tutkimuksensa perusteella toteavat, asiakas- ja potilastietojen käsittelyä koskevan käsitejärjestelmän sekavuus ja osittainen systematisoimattomuus johtavat osaltaan siihen, ettei sääntely muodosta selkeää systemaattista kokonaisuutta. 

Myös potilaalle määrättyä lääkitystä sääntelevä lainsäädäntö on hajaantunut. Lääkemääräysten lainsäädäntö on erillään muusta potilasasiakirjalainsäädännöstä eikä lääkemääräyksiä luokitella potilasasiakirjoiksi. Lääkemääräyksistä, niihin liittyvistä oikeuksista sekä lääkemääräyksiin tehtävistä merkinnöistä sekä reseptikeskuksesta säädetään lääkemääräyslaissa. Potilasasiakirjoista ja niihin tehtävistä merkinnöistä säädetään potilaslaissa ja potilastiedon arkistosta asiakastietolaissa. Lääkemääräysten ja potilasasiakirjamerkintöjen rekisterinpito, säilytysajat, käyttöoikeudet ja tietojen luovutuksia koskeva asiakkaan tiedollisen itsemääräämisoikeuden kokonaisuus on määritelty eri tavoin. Tämä hankaloittaa yhtenäisen kuvan saamista potilaalle määrätyistä lääkkeistä sekä niiden käytöstä vaarantaen potilasturvallisuutta. 

Kuten aiemmin on todettu, henkilötietojen käsittelystä tulisi säätää lailla, eivätkä tiedonhallintasäädökset sosiaali- ja terveydenhuollossa kaikin osin vastaa edellytettyä. Kyseessä on suurimmilta osin arkaluontoisten ja salassa pidettävien henkilötietojen käsittelyä koskeva lainsäädäntö, josta lailla tarkemmin säätäminen on lausuntokäytännön valossa välttämätöntä. Lailla säätämiseen liittyvät kehittämistarpeet liittyvät potilasasiakirjoja koskeviin säädöksiin, jotka ovat nykyisin asetuksentasoisia. Lisäksi on tunnistettu asioita, joista sääntely puuttuu kokonaan. 

2.3  Asiakastietojen ja asiakasasiakirjojen käsittely

2.4  Asiakastietojen luovuttaminen

2.5  Valtakunnalliset tietojärjestelmäpalvelut

Nykytila 

Valtakunnallisista tietojärjestelmäpalveluista eli Kanta-palveluista ja niihin liittyvistä Kansaneläkelaitoksen velvoitteista ja oikeuksista sekä valtakunnallisten tietojärjestelmäpalvelujen rekisterinpidosta säädetään asiakastietolaissa, samoin palvelunantajien velvollisuudesta liittyä ja tallentaa asiakasasiakirjansa valtakunnallisiin tietojärjestelmäpalveluihin. Asiakastietolaissa säädetään myös valtakunnallisten tietojärjestelmäpalvelujen maksullisuudesta palvelunantajille. Valtakunnallisia tietojärjestelmäpalveluita ovat asiakastietolain 6 §:n mukaan valtakunnallinen asiakastietojen arkistointipalvelu, lokirekisterien säilytyspalvelu, ammattilaisen käyttöliittymä sähköisen lääkemääräyksen käsittelyyn, kansalaisen käyttöliittymä eli Omakanta, omatietovaranto, tiedonhallintapalvelu, tahdonilmaisupalvelu, reseptikeskus, lääketietokanta sekä kysely- ja välityspalvelu. Lisäksi laissa on sääntely Digi- ja väestötietoviraston vastuulle kuuluvasta varmentamisen tehtävästä sekä Terveyden ja hyvinvoinnin laitoksen kansalliseen koodistopalveluun liittyen.  

Nykytilan arviointi 

Valtakunnallisiin tietojärjestelmäpalveluihin liittyvä sääntely on vastikään hyväksytty eduskunnassa osana asiakastietolakia, mutta tämän lakiehdotuksen yhteydessä on tunnistettu tarve päivittää ja täsmentää sääntelyä eräiden palveluiden osalta.  

Valtakunnallisen asiakastietojen arkistointipalvelun käsite on ongelmallinen, koska se luo mielikuvaa asiakirjojen arkistoinnista eikä aktiivisesta käsittelystä sosiaali- ja terveydenhuollon järjestämisen ja tuottamisen käyttötarkoituksissa. 

Omatietovarannossa olevien hyvinvointitietojen tietosuoja-asetuksen mukaista käsittelyperustetta on syytä tarkentaa. Asiakas päättää itse käyttämiensä hyvinvointisovellusten liittämisestä omatietovarantoon. Hyvinvointitietojen luovuttaminen sosiaali- ja terveydenhuollon palvelunantajille on mahdollista asiakkaan antaman, tietosuoja-asetuksen mukaisen suostumuksen perusteella. Asiakastietolain hallituksen esityksen yksityiskohtaisissa perusteluissa todetaan, että suostumus on käsittelyperuste ainoastaan tietojen luovuttamiselle eikä muulle henkilötietojen käsittelylle. Toisen puolesta asiointia koskevan sääntelyn yhteydessä perusteluissa kuitenkin todetaan omatietovarannon olevan tietoyhteiskunnan palvelu, mikä olisi mahdollista ainoastaan silloin, jos henkilötietojen käsittelyperuste olisi suostumus. 

2.6  Tietoturvallisuus ja tietojärjestelmät sekä valvonta

Asiakastietolaissa säädetään tietoturvasuunnitelmasta sekä tietoturvallisuuden omavalvonnan toteuttamisesta ja vastuista, tietojärjestelmien ja hyvinvointisovellusten käyttötarkoituksesta ja käyttöönotosta sekä tietojärjestelmien ja hyvinvointisovellusten olennaisista vaatimuksista. Asiakastietolaki on vastikään vahvistettu, eikä uuden sääntelyn toimeenpanosta vielä ole kokemuksia. Joitain tietoturvallisuutta edistäviä, lainsäädäntöä edellyttäviä toimenpiteitä on kuitenkin tunnistettu, esimerkiksi Kansaneläkelaitoksen verkonvalvontaan liittyvän roolin vahvistaminen.  

4.1  Keskeiset ehdotukset

Lakiehdotuksessa sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskeva keskeinen sääntely koottaisiin yhteen lakiin ja saatettaisiin kokonaisuudessaan vastaamaan perustuslain ja tietosuoja-asetuksen vaatimuksia.  

4.2  Pääasialliset vaikutukset

Esityksellä on sekä taloudellisia että yhteiskunnallisia vaikutuksia. Vaikutukset voidaan jakaa välittömiin ja välillisiin vaikutuksiin. Yhteiskunnallisia vaikutuksia voidaan tarkastella kansalaisten, yritysten, sosiaali- ja terveydenhuollon palvelunantajien sekä viranomaisten näkökulmista. 

Esityksellä on vaikutuksia väestöön, sosiaali- ja terveydenhuollon palvelunantajiin, apteekkeihin ja ammattihenkilöihin sekä sosiaali- ja terveydenhuollon kansallisiin viranomaisiin, kuten Terveyden ja hyvinvoinnin laitokseen, Kansaneläkelaitokseen ja sosiaali- ja terveysalan lupa- ja valvontavirastoon. Väestöön kohdistuu vaikutuksia sekä sosiaali- ja terveydenhuollon palvelujen asiakkaina että Omakanta-palvelun ja hyvinvointisovellusten potentiaalisina käyttäjinä. Vaikutukset kohdistuvat myös asiakas- ja potilastietojärjestelmien sekä apteekkijärjestelmien toimittajiin ja hyvinvointisovellusten kehittäjiin. 

5.1  Vaihtoehdot ja niiden vaikutukset

Vaihtoehtona tämän ehdotuksen mukaisen sosiaali- ja terveydenhuollon tiedonhallintasäädösten kokonaisuudistukselle olisi ollut voimassa olevan sääntelyn kehittäminen yksittäisten ongelmakohtien osalta. Koska keskeinen palaute voimassa olevasta lainsäädännöstä on kuitenkin liittynyt sääntelyn pirstaleisuuteen ja vaikeaselkoisuuteen, kokonaisuudistus nähtiin tässä vaiheessa välttämättömäksi. Tässä yhteydessä esitetään toteutettavaksi keskeisen lainsäädännön yhdistäminen ja yhtenäistäminen sekä tarpeellisilta osin päivittäminen vastaamaan nykyistä toimintaympäristöä. Sosiaali- ja terveydenhuollon tiedonhallinnan lainsäädäntöön kohdistuu paljon muitakin kehittämistarpeita, joista osaa ehdotetaan toteutettavaksi myöhemmin. Tällaisia tarpeita ovat esimerkiksi sosiaali- ja terveydenhuollon yhteisten asiakasasiakirjojen säädösperusta, tiedonvaihdon kehittäminen sosiaali- ja terveydenhuollon ulkopuolisten viranomaisten kanssa sekä uuden teknologian hyödyntämiseen liittyvä sääntely. 

Esityksen valmistelun yhteydessä tunnistettiin tarve ja tavoite säätää palvelunantajille velvoittavaksi tallentaa käyttölokitietonsa valtakunnallisten tietojärjestelmäpalvelujen lokitietovarantoon. Käyttölokien tallentaminen olisi säädösten perusteella mahdollista jo nyt. Käytännössä toteutus on vasta käynnistymässä, joten edellytyksiä tallennusvelvoitteen säätämiselle ei vielä tässä vaiheessa voi katsoa olevan. 

5.2  Ulkomaiden lainsäädäntö ja muut ulkomailla käytetyt keinot

7.1  Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä

I OSA. Asiakastietojen käsittely ja lain soveltamisala

1 luku Yleiset säännökset

1 §. Lain tarkoitus. Pykälän mukaan lain tarkoituksena olisi yhdenmukaistaa asiakastietojen käsittelyä sosiaali- ja terveyspalveluita järjestettäessä ja toteutettaessa. Osa terveyspalveluiden toteuttamista on myös lääkkeen toimittaminen apteekista potilaan lääkehoidon toteuttamiseksi. Asiakastietojen käsittely sosiaali- ja terveyspalveluiden järjestämisen ja toteuttamisen käyttötarkoituksissa olisi tarpeen yleisen tietosuoja-asetuksen (2016/679), tietosuoja-asetus, 6 artiklan 1 kohdan c alakohdan mukaan rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi ja 9 artiklan 2 kohdan h alakohdan mukaan lääketieteellisiä diagnooseja varten, terveys- tai sosiaalihuollollisen hoidon tai käsittelyn suorittamiseksi taikka terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten jäsenvaltion lainsäädännön perusteella. Tutkimuksen ja tilastoinnin käyttötarkoitukset on määritelty yhteensopiviksi tietosuoja-asetuksessa. 

Yhdenmukaisuutta tavoitellaan toisaalta sosiaalihuollon ja terveydenhuollon välille, toisaalta asiakastietojen erilaisten käsittelytapojen välille siten, että sääntely olisi mahdollisimman samankaltaista sosiaali- ja terveydenhuollossa riippumatta siitä missä formaatissa ja millaisilla tietojärjestelmillä asiakastietoa käsitellään.  

2 §. Soveltamisala. Pykälässä säädettäisiin lain soveltamisalasta ja suhteesta muuhun lainsäädäntöön. Laissa annettaisiin tietosuoja-asetusta täydentävät ja täsmentävät säännökset, kun sosiaali- ja terveydenhuollon asiakastietoja ja asiakkaan itsensä tuottamia hyvinvointitietoja käsitellään sosiaali- ja terveyspalveluiden järjestämisen ja toteuttamisen käyttötarkoituksissa, mukaan lukien lääkkeen toimittaminen apteekeissa. Laissa säädettäisiin myös hyvinvointitietojen käsittelystä henkilön omaa hyvinvointia edistettäessä. Jos tässä laissa säädetään toisin kuin tietosuojalaissa (1050/2018), sovellettaisiin tämän lain säännöksiä. 

Pykälän mukaan lakia sovellettaisiin sosiaali- ja terveydenhuollon asiakastietojen ja henkilön itsensä tuottamien hyvinvointitietojen käsittelyyn. Lakia sovellettaisiin julkisen ja yksityisen sosiaali- ja terveydenhuollon palvelunantajan järjestäessä taikka toteuttaessa sosiaali- ja terveyspalveluita.  

Asiakastietojen käsittelyllä tarkoitetaan asiakastiedon keräämistä, tallentamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, suojaamista, poistamista, tuhoamista sekä muita asiakastietoihin kohdistuvia toimenpiteitä. Asiakastietojen käsittely toteutetaan nykyisin pääosin sähköisesti hyödyntäen erilaisia tietojärjestelmiä, mutta sääntely koskisi myös muita menettelyjä, kuten paperille käsin kirjattavia asiakastietoja. 

Hyvinvointitiedoilla tarkoitettaisiin henkilön itsensä tai henkilön käyttämän laitteen tuottamia henkilön terveyttä ja hyvinvointia koskevia tietoja, jotka tallennetaan valtakunnallisten tietojärjestelmäpalvelujen omatietovarantoon. 

Tietosuoja-asetuksen mukaan henkilötietojen käsittelyllä tulee olla asetuksen 6 artiklan mukainen oikeudellinen perusta. Kansallinen, asetusta tarkentava lainsäädäntö on mahdollista muun muassa silloin, kun henkilötietojen käsittely perustuu asetuksen 6 artiklan 1 kohdan c alakohtaan, minkä mukaan käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Koska henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ei rekisteröidyllä ole tietosuoja-asetuksen 21 artiklan mukaista vastustamisoikeutta. 

Sosiaali- ja terveydenhuollon asiakastietojen rekisterinpitäjän lakisääteisenä velvoitteena on sosiaali- ja terveyspalvelujen järjestämiseen ja toteuttamiseen liittyvä henkilötietojen käsittely, mikä antaa oikeudellisen perusteen henkilötietojen käsittelylle tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan mukaan. Julkisilla palvelunantajilla on lakisääteinen velvoite sosiaali- ja terveyspalvelujen järjestämiseen ja toteuttamiseen. Vaikka yksityisen sosiaali- terveydenhuollon toimijoilla ei ole lakisääteistä velvoitetta järjestää sosiaali- ja terveyspalveluja, henkilötietojen käsittelyä koskevan lainsäädännön voidaan tästä huolimatta katsoa myös yksityisten toimijoiden kohdalla perustuvan tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan sisältämään kansalliseen liikkumavaraan. Yksityisen tai julkisen sosiaali- tai terveydenhuollon toimijan antaessa sosiaali- tai terveydenhuollon palveluja, sen on noudatettava asiakas- ja potilastietojen käsittelyä koskevaa erityissääntelyä. Toimijoilla ei ole harkinnanvaraa siinä, noudattaako se asiakastietojen käsittelyä koskevaa sääntelyä silloin, kun se antaa sosiaali- tai terveydenhuollon palveluja.  

Koska asiakastietojen käsittely perustuisi lakisääteiseen velvoitteeseen, voidaan asiakastietojen käsittelystä siten antaa asetusta tarkempaa kansallista lainsäädäntöä. Tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan kansallinen lainsäädäntö voi sisältää yksityiskohtaisempia säännöksiä asetuksen sääntöjen soveltamisen mukauttamiseksi määrittelemällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, kuten yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta, käsiteltävien tietojen tyyppiä, asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa, käyttötarkoitussidonnaisuutta, säilytysaikoja, käsittelytoimia ja -menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitettuja toimenpiteitä. 

Terveydentilaa koskevat tiedot kuuluvat tietosuoja-asetuksen 9 artiklan mukaan erityisiin henkilötietoryhmiin, joiden käsittely on lähtökohtaisesti kiellettyä. 9 artiklan 2 kohdassa säädetään käsittelyperusteista, joiden perusteella käsittely on mahdollista. Käsittely on mahdollista 9 artiklan 2 kohdan a alakohdan mukaan rekisteröidyn antaman suostumuksen perusteella, c alakohdan perusteella rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, g alakohdan perusteella, kun käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla, edellyttäen että se on oikeasuhteinen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi tai h alakohdan perusteella, kun käsittely on tarpeen ennalta ehkäisevää tai työterveydenhuoltoa koskevia tarkoituksia varten, työntekijän työkyvyn arvioimiseksi, lääketieteellisiä diagnooseja varten, terveys- tai sosiaalihuollollisen hoidon tai käsittelyn suorittamiseksi taikka terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten unionin oikeuden tai jäsenvaltion lainsäädännön perusteella.  

Tässä ehdotuksessa käsittely perustuisi 9 artiklan 2 kohdan h alakohtaa, joten esityksessä on otettava huomioon myös 9 artiklan 3 kohdan säännös, jonka mukaan 9 artiklan 2 kohdan h alakohdan esitettyihin tarkoituksiin voidaan käsitellä arkaluonteisia henkilötietoja, jos tietoja käsittelee tai käsittelystä vastaa salassapitovelvollinen henkilö. Tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohta edellyttää lisäksi, että käsittely tapahtuu lainsäädännön perusteella tai terveydenhuollon ammattilaisen kanssa tehdyn sopimuksen mukaisesti ja noudatetaan suojatoimia. 

Tietosuojalain 6 §:n 1 momentin mukaan tietosuoja-asetuksen 9 artiklan 1 kohtaa ei sovelleta muun muassa: 

- kun terveydenhuollon palveluntarjoaja järjestäessään tai tuottaessaan palveluja käsittelee tässä toiminnassa saamiaan tietoja henkilön terveydentilasta tai vammaisuudesta taikka hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta taikka muita rekisteröidyn hoidon kannalta välttämättömiä tietoja (kohta 4);  

- kun sosiaalihuollon palveluntarjoaja järjestäessään tai tuottaessaan palveluja tai myöntäessään etuuksia käsittelee tässä toiminnassa saamiaan tai tuottamiaan tietoja henkilön terveydentilasta tai vammaisuudesta taikka hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta taikka muita rekisteröidyn palvelun tai etuuden myöntämisen kannalta välttämättömiä tietoja (kohta 5). 

Tietosuoja-asetuksen mukaan henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti. Lisäksi tietosuoja-asetus tähdentää, että erityisryhmien henkilötietojen käsittelykiellosta voidaan poiketa siinä tapauksessa, kun se perustuu unionin oikeuteen tai jäsenvaltion lainsäädäntöön ja tapahtuu asianmukaisia suojatoimia soveltaen. Rekisterinpitäjän olisi toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. 

Tietosuojalain 6 §:n 2 momentin mukaan käsiteltäessä henkilötietoja 1 momentissa tarkoitetussa tilanteessa rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi.  

Tietosuoja-asetuksen 25 artiklan 2 kohdassa on säädetty rekisterinpitäjän velvollisuudesta varmistaa se, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.  

Pykälän 2 momentissa lain soveltamisalaa täsmennetään suhteessa muuhun lainsäädäntöön. Momentin mukaan siltä osin kuin asiakastietojen käsittelystä ei säädettäisi ehdotettavassa asiakastietolaissa, säädettäisiin siitä julkisten palvelunantajien osalta julkisuuslaissa, tiedonhallintalaissa, digipalvelulaissa ja sähköisestä asioinnista viranomaistoiminnassa annetussa laissa (13/2003). Digitaalisten palvelujen saavutettavuudesta säädetään Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/2102 julkisen sektorin elinten verkkosivustojen ja mobiilisovellusten saavutettavuudesta. Asiakastietojen käsittelyssä ja esitettävän lain mukaisia palveluja ja toimintoja järjestettäessä olisi noudatettava, mitä kielilaissa (423/2003) ja sen nojalla säädetään.  

Sekä julkisia että yksityisiä palvelunantajia koskien asiakastietojen käsittelystä säädetään tietosuojalaissa ja sosiaali- ja terveystietojen toissijaisesta käytöstä annetussa laissa (552/2019, jäljempänä toisiolaki). Asiakirjojen arkistoinnista säädetään arkistolaissa (831/1994), kuitenkin niin että arkistoinnista käytetään käsitettä pysyvä säilytys. Sähköisen lääkemääräyksen ja muiden reseptikeskukseen tallennettavien lääkehoitoa koskevien merkintöjen käsittelystä säädettäisiin esitettävän lain lisäksi lääkemääräyslaissa. 

Pykälän 3 momentissa lueteltaisiin säädöksiä, joissa säädetään tunnistamisesta ja varmenteista. Näitä säädöksiä ovat sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annettu Euroopan parlamentin ja neuvoston asetus (EU) 910/2014, jäljempänä eIDAS-asetus, vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annettu laki (617/2009, jäljempänä tunnistus- ja luottamuspalvelulaki) sekä väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annettu laki (661/2009).  

Pykälän 4 momentissa todettaisiin muita lakeja, joiden sääntely koskee tietojärjestelmiä ja hyvinvointisovelluksia sekä niiden valvontaa. Toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa annetussa Euroopan parlamentin ja neuvoston (EU) 2016/1148 (ns. NIS-direktiivi, verkko- ja tietoturvadirektiivi) säädetään yhteiskunnan kriittisen infrastruktuurin tarjoajien ja toimijoiden tietoturvavelvollisuuksista sekä tietoturvahäiriöistä ilmoittamisesta. Direktiivin täytäntöönpanoon liittyvää sääntelyä on eri laeissa, kuten sähköisen viestinnän palveluista annetussa laissa (917/2014). Sähköisen asioinnin tukipalveluista säädetään hallinnon yhteisistä sähköistä asioinnin tukipalveluista annetussa laissa (571/2016, jäljempänä tukipalvelulaki). Jos terveydenhuollon asiakas- ja potilastietoja käsittelevä tietojärjestelmä tai sen osa taikka hyvinvointisovellus on lääkinnällisistä laitteista, direktiivin 2001/83/EY, asetuksen (EY) N:o 178/2002 ja asetuksen (EY) N:o 1223/2009 muuttamisesta sekä neuvoston direktiivien 90/385/ETY ja 93/42/ETY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2017/745 sekä kansallisessa lääkinnällisistä laitteista annetussa laissa (719/2021) tarkoitettu lääkinnällinen laite, tietojärjestelmään tai sen osaan taikka hyvinvointisovellukseen sovelletaan myös mainittua EU-asetusta ja lakia ja niiden mukaisia vaatimuksia.  

3 §. Määritelmät. Pykälässä on määritelty laissa keskeisesti käytettävät käsitteet. 

Pykälän 1 kohdassa määriteltäisiin asiakkaan käsite. Asiakkaalla tarkoitettaisiin laissa sosiaalihuollon asiakkaan asemasta ja oikeuksista (812/2000), jäljempänä asiakaslaki) tarkoitettua asiakasta sekä potilaan asemasta ja oikeuksista annetussa laissa (785/1992, jäljempänä potilaslaki) tarkoitettua potilasta. Asiakaslaissa asiakkaalla tarkoitetaan sosiaalihuoltoa hakevaa tai käyttävää henkilöä. Potilaslaissa potilaalla tarkoitetaan terveyden- ja sairaanhoitopalveluja käyttävää tai muuten niiden kohteena olevaa henkilöä. Siten potilaan määritelmä sisältää myös esimerkiksi neuvolapalveluita ja muita terveydenhuollon palveluita käyttävät henkilöt, joista muista yhteyksissä voidaan käyttää käsitettä asiakas. On tarkoituksenmukaista käyttää yhtä termiä henkilöstä, joka käyttää joko sosiaali- tai terveydenhuollon palveluja tai molempia taikka sosiaali- ja terveydenhuollon yhteistyössä tuottamia palveluja. Mikäli lain säännöksiä sovellettaisiin vain terveydenhuoltoon, käytettäisiin termiä potilas, jolla tarkoitettaisiin yksinomaan potilaslaissa tarkoitettua potilasta.  

Pykälän 2 kohdassa määriteltäisiin asiakirjan käsite. Asiakirjalla tarkoitettaisiin kirjallista ja kuvallista esitystä sekä sellaista käyttönsä vuoksi yhteen kuuluviksi tarkoitetuista merkeistä muodostuvaa tiettyä kohdetta tai asiaa koskevaa viestiä, joka on saatavissa selville vain automaattisen tietojenkäsittelyn tai äänen- ja kuvantoistolaitteiden taikka muiden apuvälineiden avulla. Asiakirja voi olla asiakirjamuotoisen asiakirjan lisäksi tekninen tallenne tai tietokantaan tallennettu tietojoukko. Asiakirjan määritelmä vastaisi siten julkisuuslain 5 §:n määritelmää asiakirjasta.  

Pykälän 3 kohdassa määriteltäisiin asiakasasiakirjan käsite. Asiakasasiakirjalla tarkoitettaisiin asiakirjaa, joka on laadittu tai vastaanotettu tai joka sisältää tietoja asiakkaan sosiaali- tai terveyspalvelujen tarpeen arviointia varten, tarvittavien palvelujen järjestämistä tai toteuttamista varten tai lääkkeen toimittamista varten. Asiakirja voisi siten olla ammattihenkilön kirjaama asiakirja tai terveydenhuollon laitteiden tuottamaa tietoa sisältämä tallenne. Lääkkeen toimittamista varten laaditulla asiakirjalla tarkoitetaan lääkemääräystä. Siten muut apteekin toiminnassa käsiteltävät tiedot eivät kuulu määritelmän piiriin. Tällaisia ovat esimerkiksi annosjakelussa tai lääkelain (395/1987) ja huumausainelain (373/2008) edellyttämissä tehtävissä käsiteltävät tiedot (esimerkiksi luettelo lääkemääräyksistä ja huumausainekirjanpitoaineisto). 

Pykälän 4 kohdassa määriteltäisiin potilasasiakirjan käsite. Potilasasiakirjalla tarkoitettaisiin potilasta koskevaa asiakasasiakirjaa.  

Pykälän 5 kohdassa määriteltäisiin sosiaalihuollon asiakasasiakirjan käsite. Sosiaalihuollon asiakasasiakirjalla tarkoitettaisiin sosiaalihuollon asiakasta koskevaa asiakasasiakirjaa.  

Pykälän 6 kohdassa määriteltäisiin asiakastiedon käsite. Asiakastiedolla tarkoitettaisiin potilastietoa ja sosiaalihuollon asiakastietoa, eli asiakastiedon käsitettä käytetään esitettävässä laissa aina, kun sääntely koskee samankaltaisena sekä potilastiedon että sosiaalihuollon asiakastiedon käsittelyä.  

Pykälän 7 kohdassa määriteltäisiin potilastiedon käsite. Potilastiedolla tarkoitettaisiin potilasasiakirjaan ja muuhun terveydenhuollossa laadittuun asiakirjaan sisältyvää potilaan terveydentilaa tai toimintakykyä tai tämän saamaa terveyspalvelua koskevaa asiakastietoa. Siten potilastietoja olisivat myös ne potilasta koskevat tiedot, jotka sisältyvät terveydenhuollossa muita viranomaisia ja tahoja varten laadittaviin todistuksiin ja lausuntoihin. 

Pykälän 8 kohdassa määriteltäisiin sosiaalihuollon asiakastiedon käsite. Sosiaalihuollon asiakastiedolla tarkoitettaisiin sosiaalihuollon asiakasasiakirjaan ja muuhun sosiaalihuollossa laadittuun asiakirjaan sisältyvää sosiaalihuollon asiakkaan tuen tarvetta, hänen asiansa käsittelyä tai hänelle annettavaa sosiaalipalvelua koskevaa asiakastietoa. Siten sosiaalihuollon asiakastietoja olisivat myös ne sosiaalihuollon asiakasta koskevat tiedot, jotka sisältyvät esimerkiksi sosiaalihuollossa muita viranomaisia ja tahoja varten laadittaviin todistuksiin ja lausuntoihin. 

Pykälän 9 kohdassa määriteltäisiin hyvinvointitiedon käsite. Hyvinvointitiedoilla tarkoitettaisiin henkilön itsensä tuottamia henkilön terveyttä ja hyvinvointia koskevia tietoja, jotka henkilö olisi tallentanut kohdassa 18 mainittuun omatietovarantoon. Tällaisia hyvinvointitietoja olisivat esimerkiksi erilaiset hyvinvointia tai terveydentilaa koskevat seuranta-, mittaus-, valmennus-, arvio- tai suunnitelmatiedot. 

Pykälän 10 kohdassa palvelunantajalla tarkoitettaisiin tässä laissa viranomaista tai yksityistä elinkeinon harjoittajaa, joka järjestää tai toteuttaa sosiaalipalveluja tai terveyspalveluja.  

Terveydenhuollossa palvelunantajalla tarkoitetaan organisaatiota, joka ylläpitää potilaslain 2 §:n 4 kohdan mukaista terveydenhuollon toimintayksikköä, terveyspalveluita järjestäviä ja tuottavia muita valtion viranomaisia, kuten valtion erityiskoulut, työterveyshuoltolain (1383/2001) 7 §:n 2 ja 3 kohtien mukaisia työterveyshuoltopalvelunsa itse tai yhdessä toisten työnantajien kanssa järjestäviä työnantajia sekä itsenäistä ammatinharjoittajaa. 

Sosiaalihuoltoa koskevassa lainsäädännössä palvelunantajalla tarkoitetaan sosiaalihuollon asiakasasiakirjalain 3 §:n 2 kohdan mukaan sosiaalihuoltoa tai sosiaalipalveluja järjestävää, tuottavaa tai toteuttavaa viranomaista taikka yksityisistä sosiaalipalveluista annetussa laissa (922/2011) tarkoitettua palvelujen tuottajaa. 

Pykälän 11 kohdassa palvelunjärjestäjällä tarkoitettaisiin palvelunantajaa, jolla on sosiaali- ja terveydenhuollon järjestämisvastuu, tai yksityistä palvelunantajaa sen sopiessa suoraan asiakkaan kanssa sosiaali- tai terveyspalvelun järjestämisestä. Palvelunjärjestäjällä olisi viranomaisena velvollisuus huolehtia siitä, että asiakas saa hänelle lain tai viranomaisen päätöksen mukaan kuuluvan palvelun tai etuuden. Julkisessa sosiaali- ja terveydenhuollossa palvelunjärjestäjä olisi siten se valtion tai hyvinvointialueen toimivaltainen viranomainen, joka vastaa sosiaali- ja terveyspalveluiden järjestämisestä. Palvelunjärjestäjällä tarkoitettaisiin myös yksityistä palvelunantajaa, jolla on velvollisuus huolehtia siitä, että asiakas saa sopimuksen tai kuluttajansuojaa koskevien säännösten mukaisen, hänelle kuuluvan palvelun.  

Pykälän 12 kohdassa palveluntuottajalla tarkoitettaisiin palvelunantajaa, joka tuottaa sosiaali- tai terveyspalvelua joko toisen palvelunjärjestäjän lukuun tai toimiessaan itse myös palvelunjärjestäjän roolissa. Palveluntuottaja voi toteuttaa sosiaali- tai terveyspalveluja itse tai tilaamalla palveluita alihankkijalta.  

Pykälän 13 kohdassa apteekilla tarkoitettaisiin lääkelain 38 §:n 1 kohdassa tarkoitettua apteekkia eli lääkehuollon toimintayksikköä, jonka toimialaan kuuluvat lääkkeiden vähittäismyynti, jakelu ja valmistus sekä lääkkeisiin liittyvä neuvonta ja palvelutoiminta. Apteekilla voi olla myös sivuapteekkeja ja palvelupisteitä. Apteekkiliikkeillä tarkoitettaisiin siten lääkkeiden vähittäisjakelua harjoittavia apteekkeja, mutta ei sairaala-apteekkeja, jotka ovat osa palvelunantajien toimintaa. 

Pykälän 14 kohdassa apteekkarilla tarkoitettaisiin lääkelain 38 §:n 6 kohdassa tarkoitettua henkilöä, jolle on myönnetty lupa apteekin pitämiseen. Lisäksi apteekkarilla tarkoitettaisiin yliopiston apteekin ja sen sivuapteekin apteekin hoitajaa. Lääkelain 42 §:ssä säädetään yliopistojen apteekeista ja niiden hoitajista. Helsingin yliopistolla on oikeus pitää yhtä apteekkia Helsingissä ja Itä-Suomen yliopistolla yhtä apteekkia Kuopiossa. Apteekin hoitajan tulee olla laillistettu proviisori, ja apteekin hoitajasta tulee tehdä ilmoitus Lääkealan turvallisuus- ja kehittämiskeskukselle. 

Pykälän 15 kohdassa valtakunnallisella asiakastietovarannolla tarkoitettaisiin valtakunnallisiin tietojärjestelmäpalveluihin kuuluvaa sosiaali- ja terveydenhuollon asiakastietojen tietovarantoa, jossa säilytetään asiakasasiakirjoja ja muita asiakastietoa sisältäviä asiakirjoja tai muuta sosiaali- ja terveydenhuollon kannalta tarpeellista tietoa. Asiakastietovarantoon tallennettuja tietoja käytettäisiin aktiivisesti asiakkaiden sosiaali- ja terveyspalveluissa. Asiakastietovarannosta on aiemmin käytetty käsitettä valtakunnallinen arkistointipalvelu. Arkistointipalvelu kuitenkin viittaa asiakirjojen pysyvään säilytykseen eli arkistointiin, joten se ei kuvaa asianmukaisesti tietovarannon roolia asiakasasiakirjojen säilytyksessä säilytysajan puitteissa eikä merkitystä tietojen luovuttamisessa asiakkaalle ja palvelunantajien välillä. 

Pykälän 16 kohdassa tiedonhallintapalvelulla tarkoitettaisiin valtakunnallista tietojärjestelmäpalvelua, jonka avulla voitaisiin tuottaa potilastiedon yhteenvetoja. Siten palvelunantaja saisi käyttöönsä terveyspalvelun kannalta keskeisiä potilastietoja käytettävällä tavalla. 

Pykälän 17 kohdassa määriteltäisiin tahdonilmaisupalvelu. Tahdonilmaisupalvelulla ylläpidetään informointi-, luovutuslupa-, suostumus- ja kieltoasiakirjoja, muita terveyden ja sairaudenhoitoon ja sosiaalipalveluihin liittyviä tahdonilmauksia sekä muita sosiaali- ja terveysalan palveluihin ja asiakastietojen käsittelyyn liittyviä tahdonilmauksia. 

Tahdonilmaisupalveluun tallennettaisiin tieto asiakkaalle annetusta tämän lain ja sähköisestä lääkemääräyksestä annetun lain (61/2007) mukaisista informoinneista, asiakkaan antamista asiakastietojensa luovutuksia koskevista luovutusluvista, suostumuksista ja kielloista tietojen luovuttamiseksi. Lisäksi tahdonilmaispalveluun voitaisi tallentaa tieto asiakkaan antamista muista terveyden- ja sairaanhoitoon tai sosiaalipalveluihin liittyvistä tahdonilmauksista sekä muista sosiaali- ja terveysalan palveluihin ja asiakastietojen käsittelyyn liittyvistä tahdonilmauksista.  

Sosiaali- ja terveysalalla tarkoitetaan sosiaali- ja terveyspalveluiden lisäksi muita sosiaali- ja terveydenhuollon hallinnonalan palveluita. Tällainen palvelu on esimerkiksi biopankki eli biopankkilaissa tarkoitettu näyteinfrastruktuuri, jolla edistetään ihmisperäisillä näytteillä tehtävää tieteellistä tutkimusta. Tahdonilmaisupalveluun voitaisiin tallentaa esimerkiksi henkilön suostumus ja sen muuttaminen, kielto käsitellä näytettä tai rajoittaa sitä, vastustus siirtää näytteitä biopankkiin tai vastustus käsitellä henkilötietoja biopankissa. Toinen sosiaali- ja terveydenhuoltoon kytkeytyvät palvelu jatkossa olisi perustettavaksi esitettävä Genomikeskus. Tahdonilmaisupalveluun voitaisiin tallentaa vastustus tallentaa genomitietoja Genomikeskukseen ja vastustus käsitellä genomitietoja Genomikeskuksessa. 

Pykälän 18 kohdassa omatietovarannolla tarkoitettaisiin henkilön itsensä tuottamien hyvinvointitietojen säilyttämistä varten valtakunnallisiin tietojärjestelmäpalveluihin muodostettua valtakunnallista sähköistä tietovarantoa. Henkilö voisi katsella ja poistaa tuottamiaan tietoja sekä halutessaan myöntää sosiaali- ja terveydenhuollon ammattilaiselle luvan omien tietojensa käsittelyyn. 

Pykälän 19 kohdassa hyvinvointisovelluksella tarkoitettaisiin sovellusta, joka liittyy omatietovarantoon ja jolla käsitellään hyvinvointitietoa sekä sovellusta, johon henkilö voi saada asiakastietonsa valtakunnallisesta asiakastietovarannosta, reseptikeskuksesta ja tiedonhallintapalvelusta. Sovellusten avulla henkilö voisi tuottaa ja tallentaa omia hyvinvointitietojaan kohdassa 18 mainittuun omatietovarantoon. Hyvinvointisovelluksen määritelmä huomioi ainoastaan hyvinvointitietojen käsittelyn sovelluksella, eikä hyvinvointisovelluksia koskeva sääntely esitettävässä laissa sisällä esimerkiksi apteekkien verkkopalveluiden edellyttämää muuta sääntelyä. Siten verkkoapteekkeja ei voi toteuttaa pelkästään esitettävän lain nojalla.  

Pykälän 20 kohdassa määriteltäisiin tietojärjestelmä. Sillä tarkoitettaisiin ohjelmistoa, järjestelmää tai osajärjestelmää, jota valmistajan suunnittelemien ominaisuuksien mukaisesti on tarkoitettu käytettäväksi sosiaali- ja terveydenhuollon järjestämisen ja toteuttamisen yhteydessä asiakasasiakirjojen sähköiseen käsittelyyn, asiakirjojen tallentamiseen valtakunnallisiin tietojärjestelmäpalveluihin tai valtakunnallisiin tietojärjestelmäpalveluihin liittämiseen tai jolla sosiaali- ja terveydenhuollon ammattihenkilö voi hyödyntää hyvinvointitietoja. Määritelmä poikkeaa tiedonhallintalain 2 §:n mukaisesta määritelmästä, koska tässä laissa tietojärjestelmällä tarkoitetaan nimenomaan ohjelmistoja ja tietojärjestelmiä, joita voidaan käyttää itsenäisinä asennuksina eri palvelunantajien käyttöympäristöissä. Tietojärjestelmä voi olla myös usean tietojärjestelmän muodostama kokonaisuus, jonka tietojärjestelmäpalvelun tuottaja tarjoaa tai toteuttaa palvelunantajalle. 

Säännöksen tarkoittamia tietojärjestelmiä olisivat tämän mukaisesti valtakunnallisten tietojärjestelmäpalvelujen lisäksi esimerkiksi sosiaalihuollon asiakastietojärjestelmät, potilastietojärjestelmät sekä laboratorio- ja kuvantamisjärjestelmissä käytettävät ohjelmistot, joilla käsitellään potilaita koskevia tietoja. Myös tietojärjestelmät, joista tallennetaan valtakunnallisiin tietojärjestelmäpalveluihin muita kuin varsinaisia asiakasasiakirjoja, kuuluisivat määritelmän piiriin. Tällaisia olisivat esimerkiksi todistusten ja lausuntojen laatimiseen ja valtakunnallisiin tietojärjestelmäpalveluihin tallentamiseen tarkoitetut tietojärjestelmät. Sen sijaan laitteiden toimintaa ohjaavat tietokoneohjelmat, jotka eivät käsittele asiakastietoja, eivät olisi lain tarkoittamia tietojärjestelmiä. Myöskään yleiskäyttöiset ohjelmat, kuten tekstinkäsittely- tai taulukkolaskentaohjelmat taikka henkilöstö- tai taloushallinnon ohjelmat eivät olisi lain tarkoittamia tietojärjestelmiä.  

Koska asiakasasiakirjaksi määriteltäisiin 3kohdan mukaan lääkkeen toimittamista varten laaditut asiakirjat eli lääkemääräykset. Siten lääkkeen toimittamisessa käytettävät tietojärjestelmät kuuluisivat tietojärjestelmän määritelmään piiriin, mutta eivät muut apteekin käyttämät tietojärjestelmät, esimerkiksi annosjakelussa käytettävät järjestelmät.  

Lain tarkoittamiksi tietojärjestelmiksi määriteltäisiin myös välityspalvelut, joita käytetään sosiaali- tai terveydenhuollon asiakastietojen välittämiseksi lain tarkoittamiin valtakunnallisiin tietojärjestelmäpalveluihin, joita Kansaneläkelaitos ylläpitäisi. Lisäksi tietojärjestelmällä tarkoitettaisiin sosiaali- ja terveydenhuollon ammattihenkilön käyttämää sovellusta, jota ammattihenkilö käyttää hyvinvointitietojen lukemisessa.  

Pykälän 21 kohdassa tietojärjestelmäpalvelun tuottajalla tarkoitettaisiin tahoa, joka tarjoaa tai toteuttaa palvelunantajalle kohdassa 20 tarkoitettua tietojärjestelmää. Tietojärjestelmäpalvelun tuottajan olisi vastattava tietojärjestelmän valmistajana, valmistajan lukuun tai yhden tai useamman valmistajan puolesta tietojärjestelmälle asetettuihin vaatimuksiin. Tietojärjestelmissä olisi oltava käyttötarkoituksen kannalta oikeat toiminnallisuudet riittävät tietoturvaominaisuudet ja niiden on pystyttävä liittymään osaksi valtakunnallisten tietojärjestelmäpalvelujen kautta tapahtuvaa tietojen vaihtoa. 

Pykälän 22 kohdassa määriteltäisiin tietojärjestelmän valmistaja. Sillä tarkoitettaisiin tahoa, joka on vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta. 

Pykälän 23 kohdassa välittäjällä tarkoitettaisiin palvelunantajan tietojärjestelmäpalvelujen tuottamisessa tai valtakunnallisiin tietojärjestelmäpalveluihin liittymisessä käyttämää palveluntarjoajaa, jolla olisi tässä roolissa mahdollisuus nähdä salaamattomia asiakastietoja, esimerkiksi ylläpitotoimien yhteydessä. Kyseisissä tilanteissa tietojärjestelmäpalvelun ylläpitotehtäviä ei voisi suorittaa asianmukaisesti ilman salassa pidettävien tietojen näkemistä. Välittäjä vastaisi tietojärjestelmän käyttöympäristöön tai palvelunantajalle tarjottavaan tiedonhallinnan kokonaispalveluun kohdistuvista vaatimuksista.  

Jos vastuu palvelunantajaan kohdistuvien vaatimusten toteuttamisesta on sopimuksen perusteella välittäjällä tai tietojärjestelmäpalvelun tuottajalla, koskee välittäjää tai tietojärjestelmäpalvelun tuottajaa rekisteröitymisvelvoite tämän esitettävän lain 80 §:n mukaisesti.  

Pykälän 24 kohdassa sertifioinnilla tarkoitettaisiin menettelyä, jolla todennetaan tietojärjestelmän tai hyvinvointisovelluksen täyttävän sitä koskevat tuotantokäyttöä varten vaadittavat olennaiset vaatimukset. Todentaminen tehdään toiminnallisten vaatimusten toteutumisen selvityksen, yhteentoimivuuden testauksen ja tietoturvallisuuden arvioinnin kautta. Tietojärjestelmien yhteentoimivuudella tarkoitettaisiin kahden tai useamman tietojärjestelmän kykyä vaihtaa tietoja ja hyödyntää vaihdettuja tietoja. Sertifiointi olisi siis vaatimustenmukaisuuden osoittamisen prosessi, jonka tuloksena täytettäisiin ne edellytykset, joilla tietojärjestelmä tai hyvinvointisovellus voisi saada todistuksen ja merkinnän valvontaviranomaisen rekisteriin vaatimukset täyttävästä tietojärjestelmästä tai hyvinvointisovelluksesta. Tällä määritelmällä ei kuitenkaan tarkoiteta EU:n yleisen tietosuoja-asetuksen 42 artiklassa tarkoitettua sertifiointia. Määritelmän mukainen sertifiointi ei myöskään tarkoita lääkintälaitesäädösten (muun muassa direktiivin 93/42/ETY; EYVL 1993, L 169; direktiivi 2007/47/EY; EUVL 2007, L 247) mukaista lääkinnällisten laitteiden vaatimustenmukaisuuden arviointia, koska olennaiset vaatimukset keskittyvät tämän lain mukaisten kansallisten tietojärjestelmäpalveluiden kautta toteutettaviin vaatimuksiin. Kyseessä ei ole tuotteiden arviointi ja luokittelu suhteessa lääkinnällisten laitteiden säädöksiin, josta lääkinnällisten laitteiden valmistajien on huolehdittava muiden säännösten nojalla. 

Pykälän 25 kohdassa määritellään tietoturvallisuuden arviointilaitos. Säännöksen mukaan tietoturvallisuuden arviointilaitoksella tarkoitetaan tietoturvallisuuden arviointilaitoksista annetussa laissa (1405/2011) tarkoitettua yritystä, yhteisöä tai viranomaista, jonka Liikenne- ja viestintävirasto on hyväksynyt. Tietoturvan arviointilaitoksen hyväksymisen yleiset edellytykset on todettu edellä mainitun lain 5 §:ssä. Lisäksi arviointilaitoksella tulisi olla hyvä asiantuntemus sosiaali- ja terveydenhuollon tietojärjestelmiä koskevista vaatimuksista, joista säädetään ehdotettavan esityksen 84 §:ssä ja sen nojalla. Tietoturvallisuuden arviointilaitoksen tehtävänä olisi tarkastaa, täyttääkö Kansaneläkelaitoksen ylläpitämiin valtakunnallisten tietojärjestelmäpalvelujen ja niihin välittömästi liitettäväksi suunniteltu tietojärjestelmä tietoturvaa ja siihen sisältyvää tietosuojaa koskevat olennaiset vaatimukset. 

Tietoturvallisuuden arviointilaitokseksi hakeudutaan erikseen. Arviointilaitoksen tulee täyttää tietoturvallisuuden arviointilaitoksista annetun lain 5 §:n ja ehdotettavan asiakastietolain mukaiset vaatimukset. Mittatekniikan keskuksen yhteydessä toimiva kansallinen akkreditointielin (Finnish Accreditation Service, FINAS) on todennut arviointilaitoksen pätevyyden siten kuin vaatimustenmukaisuuden arviointipalveluista annetussa laissa (920/2005) säädetään. Tämä jälkeen Liikenne- ja viestintävirasto Traficom voi nimetä arviointilaitoksen tehtäväänsä siten kuin tietoturvallisuuden arviointilaitoksista annetussa laissa säädetään. 

2 luku Asiakastietojen käsittelyä koskevat yleiset periaatteet

4 §. Salassapito. Pykälässä säädettäisiin, että sosiaali- ja terveydenhuollon asiakastiedot olisivat pysyvästi salassa pidettäviä.  

Tässä ehdotuksessa käsittely perustuisi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan lisäksi 9 artiklan 2 kohdan h alakohtaan. Tietosuoja-asetuksen 9 artiklan 3 kohdan mukaan 9 artiklan 1 kohdassa tarkoitettuja henkilötietoja voidaan käsitellä 2 kohdan h alakohdassa esitettyihin tarkoituksiin, kun kyseisiä tietoja käsittelee tai niiden käsittelystä vastaa ammattilainen, jolla on lakisääteinen salassapitovelvollisuus unionin oikeuden tai jäsenvaltion lainsäädännön perusteella tai kansallisten toimivaltaisten elinten vahvistamien sääntöjen perusteella, taikka toinen henkilö, jota niin ikään sitoo lakisääteinen salassapitovelvollisuus unionin oikeuden tai jäsenvaltion lainsäädännön tai kansallisten toimivaltaisten elinten vahvistamien sääntöjen perusteella. 

Julkisuuslain 24 §:n 1 momentin 25 kohdan mukaan asiakirjat, jotka sisältävät tietoja sosiaalihuollon asiakkaasta sekä tämän saamasta etuudesta, tukitoimesta taikka sosiaalihuollon palvelusta ovat salassa pidettäviä. Samoin salassa pidettäviä ovat asiakirjat, jotka sisältävät tietoja henkilön terveydentilasta tai vammaisuudesta taikka hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta.  

Asiakastietojen säätäminen salassa pidettäväksi varmistaisi, ettei asiakastietoja saa käsitellä ilman lakisääteistä oikeutta, mukaan lukien asiakastietojen luovuttaminen sivullisille. Salassapito olisi ehdoton, joten asiakastiedot olisivat pysyvästi salassa pidettäviä riippumatta julkisuuslain 31 §:n salassapidon lakkaamista koskevasta sääntelystä. Koska sosiaali- ja terveydenhuollon asiakastiedot ovat tietosuoja-asetuksen mukaisia erityisiä henkilötietoja, joiden käsittely on lähtökohtaisesti kielletty, on tarkoituksenmukaista säätää salassapito pysyväksi, eli salassapito ei lakkaa minkään määräajan jälkeen. 

Pykälän 2 momentissa säädettäisiin, ettei salassa pidettävää asiakastietoa sisältävää asiakirjaa taikka sen kopiota tai tulostetta saisi näyttää eikä luovuttaa sivulliselle eikä antaa sivullisen nähtäväksi tai käytettäväksi. Sivullisella tarkoitettaisiin terveydenhuollossa muita kuin asianomaisen palvelunjärjestäjän tai apteekin palveluksessa, lukuun tai toimeksiannosta potilaan terveyspalvelujen järjestämiseen ja toteuttamiseen tai niihin liittyviin tehtäviin osallistuvia henkilöitä. Vastaavasti sosiaalihuollossa sivullisella tarkoitettaisiin muita kuin asianomaisen palvelunjärjestäjän palveluksessa, lukuun tai toimeksiannosta sosiaalihuollon asiakkaan sosiaalipalvelujen järjestämiseen ja toteuttamiseen tai niihin liittyviin tehtäviin osallistuvia henkilöitä. Potilaan terveyspalvelujen järjestämisellä ja sosiaalihuollon asiakkaan palvelujen järjestämisellä tarkoitetaan tässä esityksessä potilaan tai sosiaalihuollon asiakkaan henkilökohtaisen palvelun järjestämiseen osallistumista, jossa ammattihenkilöllä tai muulla henkilöllä on asiakkuus- tai hoitosuhde asiakkaaseen. Siten väestötasoisen palveluiden järjestämisen tehtäviin osallistuvat henkilöt olisivat sivullisen asemassa.  

Palveluiden järjestämisen ja toteuttamisen tehtäviä voivat suorittaa muutkin kuin sosiaali- ja terveydenhuollon ammattihenkilöt. Esimerkiksi hallinnolliset tehtävät kuten asiakaslaskutuksen hoitaminen liittyy palveluiden järjestämisen ja toteuttamisen tehtäviin, joissa asiakastietoja on voitava käsitellä.  

Jos asiakas olisi saman palvelunantajan asiakkaana sekä sosiaali- että terveyspalveluissa ja kyse on muusta kuin sosiaali- ja terveydenhuollon yhteisestä palvelusta, sosiaalipalveluissa työskentelevät olisivat sivullisia suhteessa terveydenhuoltoon ja terveydenhuollossa työskentelevät sivullisia suhteessa sosiaalihuoltoon. Siten tiedonsaantioikeus sosiaali- ja terveydenhuollon välillä edellyttäisi asiakkaan lupaa tai lain säännöstä. Tässä esityksessä sosiaali- ja terveydenhuollon välisestä tiedonsaantioikeudesta säädettäisiin esityksen 53 §:ssä. 

Sivullisen määritelmä olisi sidottu palvelunjärjestäjään ja palvelunjärjestäjän lukuun toteuttavaan toimintaan. Voimassa olevassa potilaslaissa sivullinen taas kytketään toimintayksikköön, joka voi tarkoittaa terveyskeskusta, sairaalaa tai vastaavaa. Siten esitettävä sivullisen määritelmä mahdollistaa asiakastietojen käsittelyn palvelunjärjestäjän toiminnassa käyttötarkoituksen mukaisessa laajuudessa ilman, että kyse olisi tietojen luovutuksesta sivulliselle. Jos sivullisen käsite edelleen kytkettäisiin toimintayksikköön, syntyisi tilanne, jossa tarvittaisiin asiakkaan lupa tietojen luovuttamiseksi esimerkiksi hyvinvointialueen toiminnassa eri toimintayksiköiden välillä.  

Pykälän 3 momentissa säädettäisiin selkeyden vuoksi, että terveydenhuollon toimintayksiköissä saisi käsitellä palvelunjärjestäjän rekisteriin kuuluvia potilaan hoidon toteuttamisen kannalta välttämättömiä potilastietoja salassapitosäännösten estämättä. Vastaavasti sosiaalihuollon toimintayksiköissä saisi käsitellä palvelunjärjestäjän rekisteriin kuuluvia sosiaalihuollon toteuttamisen kannalta välttämättömiä sosiaalihuollon asiakastietoja salassapitosäännösten estämättä. Momentti on yhdenmukainen 2 momentin sivullisen määritelmän kanssa, mutta sääntelyn ymmärrettävyyden vuoksi on perusteltua selkeästi todeta oikeus käsitellä palvelunjärjestäjän eli rekisterinpitäjän potilastietoja ja sosiaalihuollon asiakastietoja kaikissa toimintayksiköissä. 

5 §. Vaitiolovelvollisuus ja hyväksikäyttökielto. Pykälän 1 momentin mukaan palvelunantaja ja apteekkari sekä niiden palveluksessa tai harjoittelijana oleva tai muu palvelunantajan ja apteekkarin toimeksiannosta tai lukuun toimiva taho samoin kuin sosiaalihuollon luottamustehtävää hoitava tai asiakastietoja palvelunantajilta saanut taho olisivat saamiensa asiakastietojen ja muiden asiakasta koskevien henkilökohtaisten tietojen osalta vaitiolovelvollisia siten, kuin tietosuojalain 35 §:ssä säädetään. Sääntely kattaa kaikki henkilöt ja tahot, jotka erilaisten palkkaus- tai sopimusmenettelyjen perusteella toimivat palvelunantajan tai apteekkarin apuna ja voivat saada salassa pidettäviä asiakasta koskevia tietoja tietoonsa. Sääntely koskisi myös niitä tahoja, jotka ovat saaneet asiakastietoja palvelunantajilta, esimerkiksi esitettävän lain 63 §:n perusteella sosiaalihuollon asiakastietoja saaneita viranomaisia tai muita tahoja. Tietosuojalain 35 §:n mukaan se, että joka henkilötietojen käsittelyyn liittyviä toimenpiteitä suorittaessaan on saanut tietää jotakin mm. toisen henkilön ominaisuuksista, henkilökohtaisista oloista, taloudellisesta asemasta, ei saa oikeudettomasti ilmaista sivulliselle näin saamiaan tietoja eikä käyttää niitä omaksi tai toisen hyödyksi tai toisen vahingoksi.  

Koska asiakastiedot ovat tietoja henkilön ominaisuuksista ja henkilökohtaisista oloista, tietosuojalain säännös lähtökohtaisesti kattaa asiakastietoihin liittyvän vaitiolovelvollisuuden. Esitettävän pykälän 1 momentissa täsmennettäisiin, että vaitiolovelvollisuus koskee kaikkia sosiaali- ja terveydenhuollon palveluiden järjestämiseen tai toteuttamiseen osallistuvia mukaan lukien harjoittelijat, sosiaalihuollon luottamustehtävää hoitavat ja palvelunantajan toimeksiannosta toimivat, mukaan lukien tietojärjestelmäpalvelun tuottajat ja välittäjät. Vaitiolovelvollisuus koskisi myös muita sosiaali- ja terveydenhuollon palveluiden järjestämisen ja toteuttamisen yhteydessä saatuja henkilökohtaisia tietoja kuin varsinaisia asiakastietoja. Esimerkiksi hyvinvointitiedot olisivat vaitiolovelvollisuuden piirissä. 

Momentissa täsmennettäisiin myös, ettei vaitiolovelvollisuuden piiriin kuuluvaa tietoa saa paljastaa senkään jälkeen, kun palvelussuhde tai tehtävä on päättynyt. 

Pykälän 2 momentissa säädettäisiin asiakkaan, hänen edustajansa tai avustajansa vaitiolovelvollisuudesta. Asiakas tai hänen edustajansa tai avustajansa ei saisi ilmaista sivulliselle asiakkuuden perusteella saatuja, toista henkilöä koskevia salassa pidettäviä tietoja. Säännös kuitenkin mahdollistaisi sen, että asiakas, hänen edustajansa tai avustajansa saisi käyttää muitakin kuin itseään koskevia tietoja, kun kysymys on sen oikeuden, edun tai velvollisuuden hoitamista koskevasta asiasta, johon asiakkaan tiedonsaantioikeus on perustunut. Avustajalla tarkoitetaan esimerkiksi hallintolain (434/2003) 12 §:n mukaista avustajaa. Hallintolain 12 §:n mukaan hallintoasiassa saa käyttää avustajaa. Avustajan salassapitovelvollisuudesta säädetään hallintolain 13 §:ssä. Lisäksi avustaja voi olla muu asiakkaan valitsema tukihenkilö, henkilökohtainen avustaja tai muu henkilö, jonka asiakas on halunnut ottaa mukaan asiansa käsittelyyn. 

Pykälän 3 momentissa säädettäisiin selkeyden vuoksi hyväksikäyttökiellosta siten, ettei 1 ja 2 momentissa tarkoitettu henkilö saa käyttää salassa pidettäviä tietoja omaksi taikka toisen hyödyksi tai toisen vahingoksi. Toisella henkilöllä tarkoitetaan tässä yhteydessä muuta henkilöä kuin asiakasta. 

6 §. Vaitiolovelvollisuudesta poikkeaminen ja sen lakkaaminen. Pykälän mukaan vaitiolovelvollisuudesta saisi poiketa asiakkaan suostumuksella tai jos siitä on tässä tai muussa laissa säädetty. Siten salassa pidettäviä asiakastietoja tai muita vaitiolovelvollisuuden piiriin kuuluvia tietoja saa luovuttaa sivulliselle ainoastaan, jos asiakas on antanut suostumuksensa tietojen luovuttamiseen tai tässä tai muussa laissa on erikseen säädetty tiedonsaantioikeudesta tai oikeudesta luovuttaa tietoja. Laissa viranomaisen toiminnan julkisuudesta on yleissääntely salassapidosta poikkeamiselle ja sen lakkaamiselle, mutta tässä yhteydessä on tarpeen säätää asiasta erikseen johtuen esitettävän lain soveltamisesta sekä julkisessa että yksityisessä sosiaali- ja terveydenhuollossa.  

7 §. Asiakastietojen käsittelyn ohjeet ja tiedonhallintamalli. 

Pykälässä säädettäisiin palvelunantajan ja apteekin asiakastietojen käsittelyyn kohdistuvista velvoitteista, jotka liittyvät toisaalta asiakastietojen käsittelyä koskevan ohjeistuksen antamiseen ja toisaalta julkisten palvelunantajien osalta tiedonhallintalain mukaisen tiedonhallintamallin kuvaamiseen. Pykälän 1 momentin mukainen velvoite asiakastietojen käsittelyn ohjeiden antamisesta koskisi sekä julkisia että yksityisiä palvelunantajia ja 2 momentissa tarkoitettu tiedonhallintamallin kuvaaminen ainoastaan julkisia palvelunantajia. Sinänsä tiedonhallintamallista säädetään tiedonhallintalaissa, mutta asiakastietojen käsittelyssä ja erityisesti asiakastietojen tiedonsaantioikeuksien toteuttamisessa käytettävä tietojärjestelmäympäristö ja sen monimutkaisuus korostaa tarvetta kuvauksen laatimiseen 

Pykälän 1 momentin mukaan palvelunantajan vastaavan johtajan ja apteekkarin olisi annettava kirjalliset ohjeet asiakastietojen käsittelystä ja noudatettavista menettelytavoista. Lisäksi vastaavan johtajan ja apteekkarin olisi huolehdittava henkilökunnan riittävästä asiantuntemuksesta ja osaamisesta asiakastietojen käsittelyssä. Säännös vastaisi voimassa olevan asiakastietolain sääntelyä laajennettuna apteekkien toimintaan. Säännös velvoittaisi palvelunantajaa nimeämään johtajan, jonka vastaa asiakastietojen käsittelystä ja siihen liittyvästä ohjeistuksesta. Vastaavan johtajan käsitteellä ei tarkoiteta tässä yhteydessä laissa yksityisistä terveyspalveluista (152/1990) tarkoitettua vastaavaa johtajaa, vaan tämän pykälän mukainen vastuu voidaan määritellä palvelunantajan organisaatiossa myös muulle henkilölle.  

Pykälän 2 momentissa olisi viittaus tiedonhallintalain 5 §:ään, jossa säädetään tiedonhallintayksikön velvoitteesta tiedonhallintamallin laatimiseen ja muutosvaikutusten arviointiin. Tiedonhallintalain perusteella laadittava tiedonhallintamallin kuvaus olisi toimitettava Sosiaali- ja terveysalan lupa- ja valvontaviranomaiselle sekä toimivaltaiselle aluehallintovirastolle. Asiakastietojen käsittelyn kannalta keskeistä on, että palvelunantajalla on ajantasainen kuvaus asiakastietojen tiedonsaantioikeuksien toteuttamisesta, jos tiedonsaantioikeutta toteutetaan palvelunantajien välillä muita tietojärjestelmiä kuin valtakunnallisia tietojärjestelmäpalveluja hyödyntäen. Lisäksi muutosvaikutusten arvioinnissa olisi arvioitava, miten palvelunantaja voisi jatkossa toteuttaa tiedonsaantioikeutta kattavammin valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Kuvauksen avulla valvontaviranomaiset voisivat valvontatehtävissään arvioida asiakastietojen käsittelyn kokonaisuuden ja siinä käytettävien tietojärjestelmien lainmukaisuutta. 

8 §. Asiakastietojen käsittelyyn osallistuvien tunnistaminen. Säännös perustuisi voimassa olevan asiakastietolain 17 §:ään ja sisältö laajennettaisiin koskemaan kaikkea asiakastietojen käsittelyä sosiaali- ja terveyspalveluja järjestettäessä ja toteutettaessa. Asiakastietojen käsittelyn luotettavuuden ja yksilön oikeusturvan kannalta on erittäin tärkeää, että käsittelyn osapuolet todella ovat niitä, joita osapuolet ilmoittavat olevansa. Tästä syystä esityksen 1 momentin mukaan asiakastietojen käsittelyssä asiakas, palvelunantaja, apteekki, muu asiakastietojen käsittelyn osapuoli ja näiden edustajat sekä tietotekniset laitteet ja valtakunnalliset tietojärjestelmäpalvelut tulisi tunnistaa luotettavasti.  

Tunnistus- ja luottamuspalvelulain 2 §:n mukaan vahvalla sähköisellä tunnistamisella tarkoitetaan henkilön, oikeushenkilön tai oikeushenkilöä edustavan luonnollisen henkilön yksilöimistä ja tunnisteen aitouden ja oikeellisuuden todentamista sähköistä menetelmää käyttäen perustuen eIDAS-asetuksessa määriteltyihin korotettuun tai korkeaan varmuustasoon. eIDAS-asetuksessa perustettiin sähköisen tunnistamisen yhteentoimivuusjärjestelmä, jonka tavoitteena on mahdollistaa tulevaisuudessa se, että toisessa jäsenvaltiossa myönnetyillä sähköisillä tunnistamisvälineillä voidaan tunnistautua toisen jäsenvaltioiden julkisiin tai yksityisiin sähköistä tunnistamista vaativiin palveluihin. 

Henkilöllisyys voidaan todentaa tarkastamalla henkilöllisyystodistus ja vertaamalla esittäjää todistuksen tietoihin. Digipalvelulain 6 §:n mukaan viranomainen voi vaatia digitaalisessa palvelussa käyttäjältä sähköistä tunnistamista vain, jos se on tarpeen palvelun tai sen tietosisältöön liittyvien käyttöoikeuksien varmistamiseksi tai palvelussa tehtävään toimeen liittyvien oikeusvaikutusten vuoksi. Koska sosiaali- ja terveydenhuollon digitaalisissa palveluissa käsitellään salassa pidettäviä asiakastietoja, täyttyy digipalvelulain vaatimus sähköisen tunnistamisen vaatimuksen edellytyksistä. 

Digipalvelulain 6 §:n 2 momentin mukaisesti digitaalisessa palvelussa palvelun käyttäjä on tunnistettava tukipalvelulain 3 §:n 1 momentin 4 kohdassa tarkoitettua luonnollisen henkilön tunnistuspalvelua, vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain 2 §:n 1 momentin 1 kohdassa tarkoitettua vahvaa sähköistä tunnistamista tai painavasta perustellusta syystä muuta vastaavaa tietoturvallista tunnistuspalvelua käyttämällä. Sähköisessä asioinnissa todentaminen voisi tapahtua esimerkiksi käyttämällä vahvaa sähköistä tunnistusvälinettä, kuten varmennekorttia, verkkopankkitunnuksia tai mobiilivarmennetta.  

Sosiaali- ja terveydenhuollon varmentaminen eli sähköisen tunnistamisen ja allekirjoittamisen henkilövarmenteiden sekä palvelin- ja järjestelmäallekirjoitusvarmenteiden tuottaminen on Digi- ja väestötietoviraston lakisääteinen tehtävä. Ammattihenkilöiden ja palvelunantajien palveluksessa olevan muun henkilöstön tunnistaminen ja sähköinen allekirjoitus toteutetaan Digi- ja väestötietoviraston varmennepalveluiden ja käyttöoikeuksien hallinnan avulla. Ammattihenkilöiden ammattikortit ja niihin liittyvät varmenteisiin yhdistetään tieto henkilön ammattioikeuksista. Siten ammattikortin voimassaolo edellyttää ammattioikeuden voimassaoloa. Kun henkilön ammattioikeus päättyy, välitetään Sosiaali- ja terveysalan lupa- ja valvontavirastosta tieto ammattioikeuden päättymisestä Digi- ja väestötietovirastolle, jossa henkilön ammattikortti lisätään sulkulistalle.  

Allekirjoitusvarmenteista ja laitteiden varmentamisesta säädetään eIDAS-asetuksessa. Kyseisiä varmenteita käytetään myös palvelunantajan, apteekin sekä näiden käyttämien tietoteknisten laitteiden ja valtakunnallisten tietojärjestelmäpalvelujen tunnistamisessa. Pykälän 2 momentissa ehdotetaan säädettäväksi, että palvelunantajan, apteekin ja Kansaneläkelaitoksen sekä tietojärjestelmäpalvelun tuottajan ja tietojärjestelmän valmistajan ja välittäjän tulisi tarkistaa käyttämiensä varmenteiden voimassaolo siten, kuin tunnistus- ja luottamuspalvelulain 25 §:n 4 - 6 momentissa säädetään. Lain 25 §:n 4 momentin mukaan tunnistuspalvelua käyttävän palveluntarjoajan on voitava helposti tarkistaa tunnistusvälineen tiedot ympäri vuorokauden. 5 momentin mukaan palveluntarjoajan on tarkastettava tunnistuspalvelun tarjoajan järjestelmistä ja rekistereistä mahdolliset peruutukset ja käytön estot tunnistusvälineen käytön yhteydessä. Peruutettuja varmenteita koskevat tiedot voidaan antaa myös sulkulistan avulla. Sulkulista estää kortin käyttämisen sen jälkeen, kun tietojärjestelmät, joissa kortteja käytetään, ovat päivittäneet sulkulistan. Sulkulista on voimassa 72 tuntia. Kun ammattikorttia käytetään, tietojärjestelmä tarkistaa, että kortilla oleva varmenne on voimassa eikä se ole sulkulistalla. 

Tietoteknisten laitteiden tunnistamisen osalta tarkoitus on, että kaikki asiakastietojen käsittelyssä käytettävät laitteet tulee tunnistaa, ei pelkästään organisaation ja valtakunnallisten tietojärjestelmäpalveluiden välisessä tiedonsiirrossa käytettäviä laitteita. Organisaatioiden tulee tunnistaa, mitä laitteita sen tietoverkkoon on kytkettynä, ja tietoja käytetyistä laitteista tarvitaan myös lokituksessa. Tunnistaminen ei kuitenkaan edellytä aina sähköistä allekirjoitusvarmennetta tai kryptografista menetelmää, vaan tunnistamisessa voidaan käyttää muitakin keinoja. 

9 §. Käyttöoikeus asiakastietoon. Säännös vastaisi voimassa olevan asiakastietolain 15 §:ä, kuitenkin niin että 1 momenttiin esitetään tehtäväksi eräitä täsmennyksiä. Käyttöoikeuksia koskeva sääntely toimii yhtenä tietosuoja-asetuksen 6 artiklan 3 kohdassa tarkoitettuna asianmukaista tietojen käsittelyä varmistavana suojatoimenpiteenä. 

Tietosuoja-asetuksen mukaan rekisterinpitäjän olisi toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi muiden muassa asiattomalta pääsyltä tietoihin. Tietosuoja-asetuksen 25 artiklan 2 kohdassa on säädetty rekisterinpitäjän velvollisuudesta varmistaa se, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.  

Tiedonhallintalain 16 §:n mukaisesti tietojärjestelmästä vastuussa olevan viranomaisen olisi määriteltävä tietojärjestelmän käyttöoikeudet. Käyttöoikeudet olisi määriteltävä käyttäjän tehtäviin liittyvien käyttötarpeiden mukaisesti, ja ne olisi pidettävä ajantasaisena. Jotta varmistetaan valtakunnalliset yhdenmukaiset periaatteet käyttöoikeuksien määrittelyyn, esitetään tässä laissa säädettäväksi käyttöoikeuksista, ja lisäksi sosiaali- ja terveysministeriön asetuksella säädettäisiin, mitä asiakastietoja ammattihenkilöt ja muut asiakastietoja käsittelevät henkilöt saisivat työtehtävissään eri sosiaali- ja terveyspalveluissa käyttää. Yhtenäiset käyttöoikeuksien perusteet koskisivat siten sekä julkisia että yksityisiä palveluntuottajia. Käyttöoikeuksista säädettäisiin tiedonhallintalakia tarkemmalla tasolla.  

Ehdotetussa pykälässä asiakastietojen käsittely perustuisi lähtökohtaisesti sosiaali- ja terveydenhuollon ammattihenkilöiden lakisääteisiin tehtäviin. Lakisääteisten tehtävien hoitamista varten ammattihenkilöille annetaan käyttöoikeus tehtävissään tarvitsemiin asiakastietoihin. Myös muilla asiakastietoja käsittelevillä henkilöillä saisi olla käyttöoikeus vain työtehtävänsä kannalta välttämättömään asiakastietoon. 

Pykälän 1 momentissa säädettäisiin käyttöoikeudesta asiakastietoon. Käyttöoikeudet suojaisivat arkaluonteista ja salassa pidettävää asiakastietoa sen asiattomalta käsittelyltä. Ammattihenkilö tai muu asiakastietoja käsittelevä henkilö saisi käsitellä vain kyseisen lakisääteisen tehtävän edellyttämiä välttämättömiä asiakastietoja. Asiakastietojen käsittelyn perusteena olisi asiakas- tai hoitosuhde tai muu sosiaali- ja terveyspalvelun järjestämiseen ja toteuttamiseen liittyvä työtehtävä. Muita työtehtäviä, joissa asiakastietojen käsittely on välttämätöntä, ovat esimerkiksi asiakaslaskutukseen liittyvät tehtävät, arkistotoimen ja asiakirjahallinnon tehtävät tai tietojärjestelmiin liittyvät tehtävät, joissa esimerkiksi virhetilanteiden selvittäminen edellyttää myös asiakastietoihin pääsyä. 

Asiakastietojen käsittelyä rajattaisiin toisaalta käyttöoikeuksien määrittelyllä, toisaalta asiayhteyden tai hoitosuhteen todentamisella. Pykälän 1 momentissa säädettäisiin, että asiakastietojen käsittelyn perusteena olisi oltava tietoteknisesti varmistettu asiakas- tai hoitosuhde tai muu asiakkaan sosiaali- ja terveyspalvelun järjestämiseen tai toteuttamiseen liittyvä työtehtävä. Tämä tietotekninen varmistus voidaan toteuttaa terveydenhuollossa potilashallinnon tietojen perusteella, esimerkiksi siten, että ennen potilastietojen käsittelyä tietojärjestelmään on oltava kirjautunut hallinnon merkintä asiakkaan kirjautumisesta sairaalan vuodeosastolle tai poliklinikalle. Jotta tällaisen merkinnän avulla voitaisiin riittävällä tavalla varmistua potilaan todella olevan asiakas- tai hoitosuhteessa tietoja käsittelevään ammattihenkilöön, tulisi hallinnon merkinnän olla tehnyt eri henkilö kuin kyseisen ammattihenkilön tai merkintä on voinut muodostua myös tietoteknisesti esimerkiksi sähköisen ajanvarauksen kautta. Myös muita potilashallinnon ja potilastietojärjestelmään kirjattuja tietoja voisi käyttää hoitosuhteen teknisen päättelyn perusteena. Toinen tietojärjestelmän avulla toteutettu varmistuksen muoto voisi olla asiakkaan sähköisellä allekirjoituksella vahvistama hoitosuhde, asiakkaalta saatu suostumus tai muu luotettava tietotekninen varmistus siitä, että asiakas on asioimassa palveluja tuottavan tahon kanssa. Silloin, jos muuta keinoa hoitosuhteen tietotekniseen varmistamiseen ei ole mahdollista käyttää, täytyisi ammattihenkilön kuitenkin voida käsitellä välttämättömiä potilastietoja. Tällainen tilanne voi olla esimerkiksi puhelimitse annettavissa palveluissa tai palveluissa, joissa ammattihenkilö kirjaa itse asiakkaan ajanvaraukset tietojärjestelmään. Näissä tilanteissa ammattihenkilö ilmoittaisi erityisen syyn tietojen käsittelyn perusteeksi. Erityisen syyn perusteella tehty tietojen käsittely edellyttäisi valvonnan kehittämistä sekä terveydenhuollon organisaatioissa että kansallisesti. 

Sosiaalihuollossa asiayhteyden todentamisella työntekijän mahdollisuus asiakastietojen käsittelyyn rajattaisiin vain niihin asiakkaisiin, johon työntekijän työtehtävät kohdistuvat. Sosiaalihuollossa työntekijällä olisi lähtökohtaisesti käyttöoikeus tarvitsemiinsa asiakastietoihin siinä sosiaalihuollon palvelutehtävässä, johon hänen työtehtävänsä kohdistuvat. Lisäksi työntekijälle voitaisiin määritellä käyttöoikeus muissa sosiaalihuollon palvelutehtävissä syntyneisiin asiakastietoihin, joita hän säännönmukaisesti tarvitsee työnsä suorittamiseksi. Sosiaalihuollossa käyttöoikeus voitaisiin rajoittaa myös vain osaan palvelutehtävässä annettaviin sosiaalipalveluihin, tiettyihin palveluprosesseihin tai vain tiettyihin palvelutehtävässä laadittaviin asiakasasiakirjoihin, mikäli työn suorittaminen ei edellytä kaikkien sosiaalihuollon palvelutehtävään liittyvien asiakastietojen käsittelyä. 

Asiakastietojen hallinnassa, käytön valvonnassa ja teknisen ylläpidon tehtävissä työskenteleville määriteltäisiin käyttöoikeudet asiakastietoihin tarvittavassa laajuudessa. Käyttöoikeus ei saa mahdollistaa pääsyä niihin asiakastietoihin, joiden ylläpito- tai valvontavastuu ei kuulu työntekijän tehtäviin.  

Pykälän 2 momentissa säädettäisiin siitä, että sosiaali- ja terveysministeriö antaisi asetuksen siitä, mitä tietoja ammattihenkilöillä tai muilla asiakastietoja käsittelevällä henkilöillä olisi antamassaan palvelussa oikeus käyttää. Asetuksella tarkennettaisiin 1 momentissa säädettyjä perusteita, joiden mukaisesti palvelunantaja on määriteltävä sosiaali- ja terveydenhuollon ammattihenkilöiden ja muiden asiakastietoja käsittelevien henkilöiden käyttöoikeudet asiakastietoihin. Käyttöoikeuksien määrittelyn perusteita koskevalla asetuksella varmistettaisiin, että asiakastietojen käyttöoikeudet olisivat valtakunnallisesti yhdenmukaiset, ja siten edistettäisiin asiakkuuden perusteella tallennettujen henkilötietojen suojaamista asiattomalta ja oikeudettomalta käsittelyltä.  

Pykälän 3 momentissa säädettäisiin, että palvelunantajan ja apteekin olisi määriteltävä, mitä välttämättömiä asiakastietoja sosiaali- ja terveydenhuollon ammattihenkilöllä ja muulla asiakastietoja käsittelevällä henkilöllä on oikeus käyttää. Käyttöoikeuksien määrittelyn avulla työntekijät pääsisivät käsittelemään ainoastaan niitä asiakastietoja, jotka liittyvät sisällöllisesti kullekin osoitettuihin työtehtäviin. Kukin asiakastyöhön osallistuva henkilö saisi käsitellä asiakasasiakirjoja vain siinä laajuudessa kuin hänen työtehtävänsä ja vastuunsa edellyttävät. Käyttöoikeuksilla rajataan organisaation omassa toiminnassa laadittujen potilastietojen käyttöä, mutta myös muilta palvelunantajilta tai palveluista saatujen tietojen käyttöä.  

Palvelunantajalle ja apteekille säädettäisiin lisäksi velvoite pitää rekisteriä omien asiakastietojärjestelmiensä ja asiakasrekisteriensä käyttäjistä sekä näiden käyttöoikeuksista. Tämän rekisterin tulisi kattaa sekä ajantasaiset tiedot että aikaisemmat käyttäjätiedot. Käyttäjärekisterin tiedoista tulisi käydä ilmi kenelle käyttöoikeudet on myönnetty, mihin rekisteriin tai sen osaan oikeudet on myönnetty, käyttöoikeuden laajuus sekä käyttöoikeuden alkamis- ja päättämisajankohta. 

10 §. Asiakas- ja hyvinvointitiedon käytön ja luovutuksen seuranta. Lokitietojen keräämistä koskeva sääntely vastaisi voimassa olevan asiakastietolain 15 §:ä, mutta tässä yhteydessä velvoite laajennettaisi koskemaan apteekkeja sekä hyvinvointitietojen käyttöä ja luovutusta. Velvoite koskisi myös Kansaneläkelaitosta valtakunnallisten tietojärjestelmäpalveluiden eräiden palveluiden rekisterinpitäjänä.  

Asiakastietojen ja hyvinvointitietojen käytön ja luovutuksen riittävä seuranta on keskeinen edellytys asiakkaan yksityisyyden suojan toteutumiselle sekä tietojen käytön valvonnalle. Tiedonhallintalain 17 §:ssä säädetään viranomaisten velvollisuudesta lokitietojen keräämiseen. Koska myös yksityiset palvelunantajat liittyvät valtakunnallisten tietojärjestelmäpalveluiden käyttäjäksi, esitetään pykälässä säädettäväksi käytön ja luovutuksen seurannasta niin, että samat velvoitteet koskevat kaikkia sosiaali- ja terveydenhuollon palvelunantajia. Käytön ja luovutuksen seurannasta säädettäisiin myös tiedonhallintalakia tarkemmalla tasolla. 

Tietojen käytöllä tarkoitettaisiin rekisterinpitäjän omassa ja sen lukuun toteutettavassa toiminnassa tapahtuvaa tietojen käyttämistä. Tietojen käyttö kohdistuisi rekisterinpitäjän omien asiakasrekistereiden tietoihin. Näiden tietojen käyttöön ei tarvittaisi rekisteröidyn lupaa eikä rekisteröity voi kieltää tietojensa käyttöä. Tietojen luovuttamisella tarkoitettaisiin tiedon antamista toiselle rekisterinpitäjälle tai muulle ulkopuoliselle tietoon oikeutetulle tai luovutuksia rekisterinpitäjän eri rekisterien välillä. Luovuttamisella tarkoitettaisiin kaikenlaista tiedon paljastamista ulkopuoliselle mukaan lukien katseluoikeuden antaminen. Sosiaali- ja terveydenhuollon asiakastiedon luovuttamisen tulisi tapahtua joko asiakkaan suostumuksella tai luovutukseen oikeuttavan lain säännöksen nojalla.  

Pykälän 1 momentti asettaisi palvelunantajalle velvoitteen seurata oman toimintansa osalta asiakastietojen ja hyvinvointitietojen käyttöä ja luovutusta. Apteekilla olisi vastaava velvoite lääkemääräysten ja muiden käsittelemiensä reseptikeskuksesta saamiensa tietojen käytön seurantaan. 

Pykälän 2 ja 3 momenteissa säädettäisiin erikseen, mitä tietoja tulee tallentaa käyttölokirekisteriin ja mitä tietoja luovutuslokirekisteriin. Myös reseptikeskusta koskevista lokitiedoista säädettäisiin erikseen. Lokitiedot tulee tallentaa erikseen eri käyttötarkoitusta varten perustettujen rekistereiden osalta. 

Käyttölokirekisteriin tallennettaisiin tieto käytetyistä asiakas- ja hyvinvointitiedoista, siitä palvelunantajasta, jonka asiakastietoja käytetään, asiakas- ja hyvinvointitietojen käyttäjästä, tietojen käyttötarkoituksesta ja käyttöajankohdasta sekä muista valvontaa ja seurantaa varten tarvittavista tiedoista.  

Luovutuslokirekisteriin tallennettaisiin kuvaus luovutetuista asiakastiedoista sekä tiedot palvelunantajasta, jonka asiakastietoja luovutetaan, asiakastietojen luovuttajasta, luovutuksensaajasta, luovutusajankohdasta, käyttötarkoituksesta, johon tiedot on luovutettu sekä luovutuksen perusteena olevasta säännöksestä ja mahdollisesta luovutusluvasta tai suostumuksesta. Lisäksi tallennettaisiin muita valvontaa ja seurantaa varten tarvittavia tietoja. Luovutuslokirekisterin avulla olisi voitava todentaa kaikki asiakastietojen luovutukset, riippumatta siitä onko luovutus tehty sähköisesti, paperisina asiakirjoina vai suullisesti. Jos luovutus tehdään palvelunantajan omassa tietojärjestelmässä rekisterien välillä tai teknisen rajapinnan avulla toiselle palvelunantajalle, voi luovutusloki muodostua tietojärjestelmässä automaattisesti. Suullisista ja paperisten asiakirjojen luovutuksista on tehtävät luovutuslokimerkinnät tietojen luovuttajan toimesta. Asiakastietojen luovuttajaa koskeva tieto voi siten olla tieto henkilöstä, joka tiedon on luovuttanut, tai tietojärjestelmästä, jonka teknisen rajapinnan avulla luovutus on tehty. 

Pykälän 4 momentin mukaan Terveyden ja hyvinvoinnin laitos voisi antaa tarkempia määräyksiä lokirekistereihin tallennettavista tiedoista ja tietosisällöistä. Määräyksenantovaltuus kattaisi sekä asiakastietojen että hyvinvointitietojen käyttöä ja luovutusta koskevat lokitiedot. 

11 §. Asiakkaan tiedonsaantioikeus tietojensa käsittelystä. Pykälä vastaisi asiakastietolain 26 §:n sisältöä, kuitenkin niin että pykälään lisättäisi oikeus saada tiedot hyvinvointitietojen käsittelystä. Lisäksi lokitietojen antamisen esteisiin lisättäisiin rikosten estämisen, paljastamisen ja selvittämisen sekä yleisen turvallisuuden ja kansallisen turvallisuuden vaarantaminen. Kansaneläkelaitos valtakunnallisten tietojärjestelmäpalvelujen rekisterinpitäjänä sisältyy rekisterinpitäjän määritelmään, eikä sitä mainita pykälässä erikseen. Pykälän 1 momentin mukaan asiakkaalla olisi oikeus saada asiakastietojensa ja hyvinvointitietojensa käsittelyyn liittyvien oikeuksiensa selvittämistä tai toteuttamista varten palvelunantajalta, Kansaneläkelaitokselta tai apteekilta kirjallisesta pyynnöstä kohtuullisessa ajassa ja viimeistään kahden kuukauden kuluttua lokirekisterin perusteella maksutta tieto siitä, kuka on käyttänyt tai kenelle on luovutettu häntä koskevia tietoja sekä mikä on ollut käytön tai luovutuksen peruste. Eduskunnan oikeusasiamiehen sekä valtioneuvoston oikeuskanslerin ratkaisukäytännöissä on kohtuullisena aikana käytetty kahden kuukauden määräaikaa. Sääntelyssä esitetään poikettavaksi julkisuuslain 14 §:n mukaisista määräajoista, koska lokitietoselvitysten tekemiseen menee käytännössä paljon aikaa. Näin on erityisesti, mikäli lokitietoja pyydetään monesta eri järjestelmästä ja pitkältä ajalta ja jos lokitietosisältö on kovin erilaista. 

Asiakkaan oikeus lokitietoihin on keskeinen oikeus, jonka avulla hän voi arvioida, onko hänen tietojaan käsitelty laillisesti ja asianmukaisesti. Lokitietoja koskevan tiedonsaantioikeuden perusteella asiakas voisi tarvittaessa ryhtyä toimenpiteisiin, jos hän epäilee, että hänen tietojaan olisi käsitelty lainvastaisesti taikka muutoin epäasianmukaisesti. Ilman tätä oikeutta asiakkaan mahdollisuudet varmistua tietojensa asianmukaisesta käsittelystä olisivat käytännössä vähäiset. Tietojensaantioikeus koskisi sekä käyttölokin että luovutuslokin tietoja.  

Pykälän 2 momentin mukaan asiakkaalla ei olisi oikeutta saada lokitietoja, jos sen, jolta lokitietoja pyydetään, tiedossa on, että lokitietojen antamisesta saattaisi aiheutua vakavaa vaaraa asiakkaan terveydelle tai hoidolle taikka jonkun muun oikeuksille tai jos niiden antaminen saattaisi vaarantaa rikosten estämisen, paljastamisen ja selvittämisen taikka yleisen turvallisuuden tai kansallisen turvallisuuden suojelemisen. Tiedon saaminen asiakasta koskevan tiedon luovuttamisesta poliisille saattaisi vaarantaa esimerkiksi kansallista turvallisuutta tai poliisin tai muiden viranomaisten lakisääteisten tehtävien toteuttamista, joten on perusteltua, ettei asiakkaalla ole oikeutta saada lokitietoja kyseisistä luovutuksista.  

Asiakkaalla olisi pääsäännön mukaan oikeus saada vain pyyntöä edeltävien kahden vuoden aikana kertyneet lokitiedot. Tiedot olisi kuitenkin mahdollista saada myös pidemmältä ajalta, jos siihen on erityinen syy. Ehdotettava kahden vuoden määräaika perustuu siihen, että sosiaali- ja terveydenhuollon kantelujen käsittely on osaksi rajattu enintään kantelua edeltävien kahden vuoden aikaisiin tapahtumiin. Tällainen rajoitus on esimerkiksi eduskunnan oikeusasiamiehen sekä Sosiaali- ja terveydenhuollon lupa ja valvontaviraston käsiteltäväksi tehtävissä kanteluissa. Toisena perusteena määräajalle on rikoslain (39/1889) 38 luvun 9 §:n mukaisen henkilörekisteririkoksen vanhentumisaika, joka myös on kaksi vuotta. Lain tarkoittamana erityisenä syynä oikeudelle saada tietoja pidemmältä ajalta voisi olla esimerkiksi perusteltu epäilys asiakas- tai potilastietojen luvattomasta käsittelystä tavalla, joka edellyttää asian selvittämistä. Virkarikoksen vanhenemisaika on viisi vuotta. 

Asiakas ei saisi käyttää tai luovuttaa saamiaan lokitietoja edelleen muuhun tarkoitukseen kuin omien asiakastietojensa käsittelyyn liittyvien oikeuksiensa selvittämistä ja toteuttamista varten. Asiakastietojen lokitiedot sisältävät tietoa sosiaali- ja terveydenhuollon palvelunantajan henkilöstön henkilötiedoista. Tästä syystä on syytä säätää, ettei asiakkaalla olisi oikeutta käyttää näitä tietoja muuhun tarkoitukseen kuin omien asiakastietojensa käsittelyyn liittyvien oikeuksiensa selvittämistä tai toteuttamista varten.  

Pykälän 3 momentissa säädettäisiin lokitietojen antamisen korvauksesta. Jos asiakas pyytää uudestaan niitä lokitietoja, jotka hän on jo saanut, palvelunantaja, Kansaneläkelaitos tai apteekki voisi periä lokitietojen antamisesta kohtuullisen korvauksen, joka ei saa ylittää tiedon antamisesta aiheutuvia välittömiä kustannuksia. Oikeudesta periä tietojen antamisesta aiheutuvat kulut asiakkaalta säädettäisiin, jotta vältettäisiin tarpeetonta lokitietojen pyytämistä. Esitettävän lain 74 §:ssä tarkoitetun kansalaisen käyttöliittymän avulla tapahtuvasta lokitietojen tiedonsaannista ei saisi periä erillistä maksua. Esitettävä sääntely vastaa kumottavaksi esitettävässä asiakastietolaissa ja kumotussa henkilötietolaissa ollutta jo vakiintunutta erityissääntelyä suhteessa julkisuuslakiin.  

Jos palvelunantaja, Kansaneläkelaitos tai apteekki katsoo, ettei lokitietoja saisi antaa asiakkaalle, olisi kieltäytymisestä tehtävä kirjallinen päätös 4 momentin mukaan. Asia voitaisiin saattaa tietosuojavaltuutetun käsiteltäväksi tietosuojalain (1050/2018) 21 §:n 1 momentin mukaisesti. Tietosuojalain 25 §:n mukaisesti tietosuojavaltuutetun ja apulaistietosuojavaltuutetun päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen. 

Jos asiakas katsoo, että hänen asiakastietojaan tai hyvinvointitietojaan on käytetty tai luovutettu ilman riittäviä perusteita, tulisi 5 momentin mukaan tietoja käyttäneen tai tietoja saaneen palvelunantajan, Kansaneläkelaitoksen tai apteekin antaa asiakkaalle tämän pyynnöstä selvitys tietojen käytön tai luovuttamisen perusteista sekä esitettävä perusteltu käsityksensä siitä, onko tietojen käyttö tai luovuttaminen ollut lain mukaista. Tämä olisi perusteltua sekä asiakkaan että rekisterinpitäjän oikeuksien toteutumisen kannalta. Tällöin asiakas pystyisi paremmin arvioimaan sitä, kannattaako hänen esimerkiksi saattaa asia rikosepäilynä poliisin tutkittavaksi tai kannella asiasta kanteluviranomaiselle.  

Jos johtopäätöksenä asiakkaan tekemän pyynnön perusteella on, tai jos rekisterinpitäjän omassa valvonnassa on tullut ilmi, että tietojen käsittely on ollut lainvastaista, niin rekisterinpitäjän olisi myös oma-aloitteisesti ryhdyttävä välttämättömiin toimenpiteisiin asiassa. Palvelunantajan, Kansaneläkelaitoksen tai apteekin olisi myös itse arvioitava, mihin toimenpiteisiin se asiassa ryhtyy. Kyseeseen voisivat tulla ainakin työoikeudelliset toimenpiteet ja sen lisäksi tapauskohtaisen harkinnan perusteella myös tutkintapyyntö poliisille. 

12 §. Oikeus kieltäytyä asiakkaan pyynnöstä rajoittaa tietojen käsittelyä. Pykälässä esitetään, että palvelunjärjestäjä saisi kieltäytyä toteuttamasta asiakkaan pyyntöä rajoittaa henkilötietojensa käsittelyä tietosuoja-asetuksen 18 artiklan nojalla, silloin kun tiedon käsittelyn rajoittamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille. Perustelut kieltäytymiselle ovat samat kuin tietosuojalain 34 §:ssä. Rekisteröidyn rajoittamisoikeuden rajoittaminen perustuu tietosuoja-asetuksen 23 artiklan 1 kohdan i-alakohtaan, jonka mukaan rekisteröityjen oikeuksia on mahdollista rajoittaa jäsenvaltion lainsäädännössä, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet. Asiakastietoja olisi mahdollista käsitellä rekisteröidyn tekemästä rajoittamispyynnöstä huolimatta, jos tiedon käsittelyn rajoittamisesta voisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille.  

3 luku Sosiaali- ja terveydenhuollon asiakastietojen rekisterinpito

13 §. Asiakastietojen rekisterinpitäjä. Pykälässä säädettäisiin asiakastietojen rekisterinpitäjästä sosiaali- ja terveydenhuollossa. Tietosuoja-asetuksen 4 artiklan 7 kohdan mukaan rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa jäsenvaltion lainsäädännön mukaisesti, jos tällaisen käsittelyn tarkoitukset ja keinot määritellään jäsenvaltioiden lainsäädännössä. 1 momentin mukaan julkisessa ja yksityisessä sosiaali- ja terveydenhuollossa rekisterinpitäjä olisi palvelunjärjestäjän asemassa oleva palvelunantaja, jos muualla laissa ei ole toisin säädetty. Julkisessa sosiaali- ja terveydenhuollossa rekisterinpitäjä olisi 3 §:n 10 a kohdan mukaisen palvelunjärjestäjää koskevan määritelmän mukaisesti palvelunantajan palveluiden järjestämisestä vastaava toimivaltainen viranomainen. Esimerkiksi hyvinvointialueella hyvinvointialue voi delegoida järjestämisvastuun määrittelemälleen viranomaiselle (esimerkiksi aluevaltuusto tai aluehallitus), joka osana järjestämistehtäväänsä toimisi myös asiakasasiakirjojen rekisterinpitäjänä.  

Yksityisissä sosiaali- ja terveyspalveluissa palvelunjärjestäjä on 3 §:n 10 b kohdan määritelmän mukaan palvelunantaja, jolla on yksityisenä palvelunantajana velvollisuus huolehtia siitä, että asiakas saa sopimuksen tai kuluttajansuojaa koskevien säännösten mukaisen, hänelle kuuluvan palvelun. Palvelunantajat voivat olla myös tietosuoja-asetuksen mukaisia yhteisrekisterinpitäjiä. Tietosuoja-asetuksen 26 artiklan mukaan kyse on yhteisrekisterinpitäjistä, jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot. Yhteisrekisterinpitäjien on määriteltävä keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin vastuualueet yleisessä tietosuoja-asetuksessa vahvistettujen velvoitteiden noudattamiseksi, erityisesti rekisteröityjen oikeuksien käytön ja 13 ja 14 artiklan mukaisten tietojen toimittamista koskevien tehtävien osalta, paitsi jos ja siltä osin kuin rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä määritellään rekisterinpitäjien vastuualueet. Järjestelyn yhteydessä voidaan nimetä rekisteröidylle yhteyspiste. Yhteisrekisterinpitäjyyttä ohjeistetaan tarkemmin Euroopan tietosuojaneuvoston ohjeissa. Jos asetuksen mukaiset yhteisrekisterinpitäjyyden edellytykset täyttyvät, tulisi palvelunantajien tehdä sopimus yhteisrekisterinpidosta. 

Asetuksen 26 artiklan 2 kohdan mukaan kyseisen artiklan 1 kohdassa tarkoitetusta järjestelystä on käytävä asianmukaisesti ilmi yhteisten rekisterinpitäjien todelliset roolit ja suhteet rekisteröityihin nähden. Järjestelyn keskeisten osien on oltava rekisteröidyn saatavilla. Lisäksi artiklan 3 kohdan mukaan riippumatta 1 kohdassa tarkoitetun järjestelyn ehdoista rekisteröity voi käyttää asetuksen mukaisia oikeuksiaan suhteessa kuhunkin rekisterinpitäjään ja kutakin rekisterinpitäjää vastaan.  

Pykälän 2 momentin mukaan työterveyshuollossa rekisterinpitäjä olisi se palvelunantaja, jonka kanssa työnantaja on tehnyt sopimuksen työterveyshuoltopalveluiden toteuttamisesta taikka jos työnantaja järjestää itse työterveyshuollon työterveyshuoltolain (1383/2001) 7 §:n mukaisesti, työnantaja olisi itse rekisterinpitäjä.  

14 §. Palveluntuottajan vastuut palvelunjärjestäjän lukuun toimittaessa. Pykälän sisältö vastaisi voimassa olevan asiakastietolain 5 §:n sääntelyä, eikä siihen esitetä muutoksia.  

EU:n tietosuoja-asetuksessa on säädetty rekisterinpitäjän velvoitteista. Tietosuoja-asetuksen kansallinen liikkumavara mahdollistaa lähinnä rekisterinpitäjän velvollisuuksien ulottamisen tilanteisiin, joihin se ei suoraan asetuksen nojalla soveltuisi. Koska tietosuoja-asetus on suoraan sovellettavaa lainsäädäntöä, tulee kansallisen erityislainsäädännön rajoittua asetuksen antamaan kansalliseen liikkumavaraan. Toisin sanoen kansallisen kansallisessa erityislainsäädännössä ei tulisi säätää muista rekisterinpitäjän velvoitteista. Tietosuoja-asetuksen mukaan kansallisessa lainsäädännössä voidaan kuitenkin määritellä rekisterinpitäjän vastuualueet. 

Tässä pykälässä säädettäisiin palveluntuottajan vastuista silloin, kun sosiaali- ja terveydenhuollon palveluja toteutettaisiin palvelunjärjestäjän lukuun. Palveluntuottaja toimisi tietosuoja-asetuksen 28 artiklassa tarkoitettuna henkilötietojen käsittelijänä ja palvelunjärjestäjä taas olisi tietojen rekisterinpitäjä. Tietosuoja-asetuksen 28 artiklassa edellytetään, että henkilötietojen käsittelijän suorittamaa käsittelyä on määritettävä sopimuksella tai muulla sitovalla oikeudellisella asiakirjalla. Artiklassa on määritetty tietyt asiat, joista asiakirjassa on säädettävä. Ehdotettu laki toimisi tietosuoja-asetuksen mukaisena oikeudellisena asiakirjana. Sen lisäksi henkilötietojen käsittelijälle asetettaisiin tietosuoja-asetuksen 29 artiklan nojalla 28 artiklasta poikkeavia tietojen käsittelyä koskevia velvoitteita. 

Kun sosiaali- tai terveyspalveluja toteutetaan palvelunjärjestäjän lukuun, vastaisi palveluntuottaja pykälän 1 momentin 1 kohdan mukaan asiakastietojen kirjaamisesta ja tallettamisesta palvelunjärjestäjän lukuun ja 2 kohdan mukaan käyttöoikeuksien antamisesta asiakastietoihin omassa organisaatiossaan. Säännökset annettaisiin tietosuoja-asetuksen 28 artiklan 3 kohdan a alakohdan nojalla. Sen mukaan oikeudellisessa asiakirjassa on säädettävä, että henkilötietojen käsittelijä käsittelee henkilötietoja ainoastaan rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti, paitsi jos lainsäädännössä toisin vaaditaan. 

Palveluntuottaja vastaisi 1 momentin 3 kohdan mukaan henkilötietojen käsittelyn aktiivisesta ohjauksesta ja valvonnasta organisaatiossaan. Säännös annettaisiin tietosuoja-asetuksen 28 artiklan 3 kohdan a alakohdan ja 32 artiklan 4 kohdan nojalla. Jälkimmäisen mukaan rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei lainsäädännössä toisin vaadita. Säännös ei rajoittaisi henkilötietojen käsittelijän tietosuoja-asetuksen mukaista vastuuta, vaan asettaisi erityisen velvollisuuden valvoa tietojen käsittelyä omassa organisaatiossa. 

Palveluntuottaja vastaisi 1 momentin 4 kohdan mukaan alkuperäisten asiakasasiakirjojen toimittamisesta palvelunjärjestäjälle siten kuin on sovittu, mutta kuitenkin viipymättä asiakassuhteen päätyttyä. Tietosuoja-asetuksen 28 artiklan 3 kohdan g alakohdan mukaan rekisterinpitäjän valinnan mukaan tiedot voidaan palveluiden tarjoamisen päätyttyä poistaa tai palauttaa, paitsi jos lainsäädännössä vaaditaan säilyttämään henkilötiedot. Sosiaali- ja terveydenhuollon tietojen säilyttämisestä esitetään säädettäväksi tämän lain 24 §:ssä. Näin ollen palvelunjärjestäjän on säilytettävä tiedot laissa säädetty aika eikä palvelunjärjestäjä voi määrätä niitä poistettavaksi. 

Pykälän 1 momentin 5 kohdan mukaan palveluntuottaja vastaisi tietosuoja-asetuksessa ja julkisuuslaissa säädettyjen asiakkaan oikeuksien toteuttamisesta yhdessä palvelunjärjestäjän kanssa. Tietosuoja-asetuksen 28 artiklan mukaan henkilötietojen käsittelijä voi auttaa rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä toteuttamaan rekisteröidyn oikeuksia. Toiminnan sujuvuuden kannalta tarkoituksenmukaista olisi, että palveluntuottaja vastaisi rekisteröityjen oikeuksien toteutumisesta niissä palveluissa, joita se tarjoaa rekisterinpitäjän lukuun. Toimijoiden välisestä vastuusta voitaisiin tarvittaessa sopia tarkemmin palvelunjärjestäjän ja henkilötietojen käsittelijän välisellä sopimuksella. Tietosuojanäkökulmasta rekisterinpitäjä olisi kuitenkin viime kädessä vastuussa rekisteröidyn oikeuksien toteutumisesta, vaikka sopimusoikeudellisesta vastuusta olisi sovittu toisin. 

Pykälän 2 momentissa säädettäisiin, että 4 kohdassa tarkoitettujen asiakasasiakirjojen toimittamisesta ja 5 kohdassa tarkoitettujen asiakkaan oikeuksien toteuttamisesta täydennettäisiin tarvittavilta osin palveluntuottajan ja palvelunjärjestäjän välisellä sopimuksella. Lisäksi sopimuksella sovittaisiin muista tietosuoja-asetuksen 28 artiklassa tarkoitetuista seikoista. Niiden keskinäisellä sopimuksella määritetään ainakin 28 artiklan 3 kohdassa tarkoitetut käsittelyn tarkempi kohde, rekisteröityjen ryhmät eli asiakasryhmät, joille henkilötietojen käsittelijä tarjoaa palveluita- ja käsittelyn kesto. Sopimuksella tulisi määrittää myös osa 28 artiklan 3 kohdassa tarkoitetuista seikoista, jotka jäisivät lakiesityksessä avoimeksi. Näitä olisivat esimerkiksi d alakohdassa tarkoitetut toisen henkilötietojen käsittelijän käytön edellytykset. 

Lisäksi on huomioitava, että osasta 28 artiklan 3 kohdassa tarkoitetuista seikoista on säädetty muussa lainsäädännössä. Artiklan 3 kohdan b alakohta edellyttää, että henkilötietojen käsittelijän lukuun henkilötietoja käsitteleviä sitoo salassapitovelvollisuus. Salassapitovelvollisuudesta sosiaali- ja terveydenhuollossa säädetään tämän lain lisäksi terveydenhuollon ammattihenkilöistä annetussa laissa ja julkisuuslaissa. Puolestaan 28 artiklan 3 kohdan h alakohdassa edellytetään, että henkilötietojen käsittelijä sallii rekisterinpitäjän tai sen valtuuttaman auditoijan auditoinnit. Asiakastietojärjestelmien auditoinnista on säädetty osaltaan jo tässä laissa ja velvoitteet koskevat niin rekisterinpitäjää kuin henkilötietojen käsittelijää. 

15 §. Rekisterinpitäjän määräytyminen palvelunantajan muutostilanteissa. Pykälässä säädettäisiin rekisterinpitäjyydestä palvelunantajien erilaisissa muutostilanteissa. Julkisessa sosiaali- ja terveydenhuollossa rekisterinpitoon vaikuttava muutos on voinut olla esimerkiksi kuntayhtymän perustaminen ja jakautuminen. Jatkossa vastaava muutos voisi olla esimerkiksi hyvinvointialueiden yhdistyminen. Yksityisessä sosiaali- ja terveydenhuollossa muutokset liittyvät erilaisiin yritysjärjestelyihin, kuten palvelunantajien yritysten sulautumiseen tai jakautumiseen taikka liiketoimintakauppoihin tai -siirtoihin. Sulautumisen ja jakautumisen tilanteissa rekisterinpitäjyyden määräytyminen on myös yleisseuraanto, mutta liiketoimintakauppojen ja -siirtojen osalta rekisterinpitäjyyttä ei voi määrittää yleisseuraannon perusteella.  

Pykälän 1 momentissa ehdotetaan, että siirrettäessä palvelunjärjestäjän järjestämää sosiaali- ja terveyspalvelua toisen palvelunjärjestäjän järjestämisvastuulle, olisi palvelunjärjestäjän rekisterinpidossa olevat asiakirjat siirrettävä palvelua jatkavan palvelunjärjestäjän rekisterinpitoon. Julkisessa sosiaali- ja terveydenhuollossa siirrot tehtäisiin palveluyksikkökohtaisesti siten, että kaikki siirtyvän palveluyksikön asiakirjat siirrettäisiin uudelle palvelunjärjestäjälle. Koska palvelunjärjestäjien asiakasasiakirjoja on tallennettu valtakunnalliseen asiakastietovarantoon, siirto pitäisi tehdä sekä valtakunnalliseen asiakastietovarantoon että palvelunantajien omiin tietojärjestelmiin. Säännös vastaisi sitä, miten käytännössä nykyisin on jo toimittu.  

Yksityisessä sosiaali- ja terveydenhuollossa asiakasasiakirjat olisi siirrettävä palvelua jatkavan palvelunjärjestäjän rekisterinpitoon. Oikeus ja velvollisuus asiakirjojen siirtämiseen olisi siten sidottu siihen, että vastaanottava palvelunjärjestäjä tosiasiallisesti jatkaa luopuvan palvelunjärjestäjän palveluiden järjestämistä, eikä asiakasasiakirjoja voi myydä toiselle palvelunjärjestäjälle ilman, että palvelutoiminta tosiasiallisesti jatkuu. Tilanteessa, jossa esimerkiksi liiketoimintakauppa kohdistuu irtaimeen omaisuuteen ilman, että vastaanottava palvelunjärjestäjä jatkaa sosiaali- ja terveydenhuollon palveluiden järjestämistä, asiakirjoja ei saisi siirtää. Palveluiden jatkamisen osoittaminen edellyttää, että vastaanottavalla palvelunjärjestäjällä olisi oltava ajantasainen Sosiaali- ja terveysalan lupa- ja valvontaviraston tai aluehallintoviraston lupa jatkamalleen palvelulle, tai jos kyse on muusta kuin ympärivuorokautisesta sosiaalipalvelutoiminnasta, tulee olla tehtynä kirjallinen ilmoitus. 

Pykälän 2 momentin mukaan työterveyshuollossa tilanteessa, jossa työnantaja vaihtaa työterveyshuollon palvelunantajaa, potilasasiakirjojen rekisterinpito ei muuttuisi vaan asiakirjat jäisivät sen palvelunantajan rekisterinpitoon, joka palveluiden tuottamisesta kulloinkin on vastannut. Asiakirjoja voisi luovuttaa uudelle palvelunantajalle valtakunnallisten tietojärjestelmäpalvelujen välityksellä tai muulla tavoin palvelunantajien välillä siten, kuin tämän lain 56 ja 57 §:ssä säädetään. Rekisterinpito säilyisi aina sillä toimijalla, jonka vastuulle kuuluvassa toiminnassa asiakirjat on laadittu, ja kyseinen palvelunantaja vastaisi rekisterinpitäjän velvoitteista suhteessa rekisteröityihin. Työterveyshuollon palveluntuottajan vaihtamisessa kyse ei ole samankaltaisesta muutostilanteesta kuin 1 momentissa, koska työterveyshuollon järjestämisvastuu on säädetty työnantajan vastuulle ja kyse on työterveyshuollon palveluntuottajan vaihtamisesta vaikkakin rekisterinpidon vastuu on säädetty työterveyshuollon palvelunantajalle. Säännös koskisi vain potilasasiakirjoja, ja siten esimerkiksi työnantajaa koskevat tiedot ja asiakirjat voisi siirtää uudelle palvelunantajalle. 

16 §. Rekisterinpitäjän vastuut yksityisen palvelunjärjestäjän toiminnan päätyttyä. Pykälässä säädettäisiin asiakasasiakirjojen rekisterinpitäjyydestä yksityisen palvelunjärjestäjän toiminnan päätyttyä. Lisäksi säädettäisiin toimintaansa päättävän palvelunjärjestäjän asiakasasiakirjoihin liittyvistä vastuista. Koska kyse olisi yksityisen palvelunjärjestäjän rekisterinpidossa olevia asiakirjoja koskevasta sääntelystä, se ei koske niitä tilanteita, joissa yksityinen palvelunantajaa tuottaa palveluita esimerkiksi hyvinvointialueen tai muun palvelunjärjestäjän lukuun. Näissä tilanteissa asiakirjat kuuluvat kyseisen palvelunjärjestäjän rekisterinpitoon. 

Pykälän 1 momentin mukaan palvelunjärjestäjän toiminnan päätyttyä olisi asiakasasiakirjat, niihin liittyvät lokitiedot ja biologinen näytemateriaali siirrettävä sen hyvinvointialueen tai Helsingin kaupungin rekisterinpitoon, jonka alueella palvelunjärjestäjän kotipaikka tai itsenäisen ammatinharjoittajan kotikunta on sijainnut. Toiminnan päätyttyä palvelunjärjestäjän olisi huolehdittava asiakasasiakirjojen toimittamisesta uuden rekisterinpitäjän osoittamaan paikkaan säilytettäväksi ilman aiheetonta viivytystä. Jos toiminta on päättynyt palvelunjärjestäjän kuoleman tai konkurssin takia, vastaisi asiakirjojen toimittamisesta kuolinpesä tai konkurssipesä pesän kustannuksella. Hyvinvointialue tai Helsingin kaupunki rekisterinpitäjänä vastaisi siten asiakirjojen siirtämisen jälkeen tietosuoja-asetuksen mukaisesti rekisteröityjen oikeuksien toteutumisesta. Palvelunjärjestäjän toiminnan päättymisen jälkeen on turvattava rekisteröityjen oikeus asiakastietoihinsa. Lisäksi asiakastietoja tulee voida luovuttaa muille tahoille rekisteröidyn suostumuksen tai laissa säädetty tiedonsaantioikeuden perusteella. Tietojen luovuttaminen edellyttää rekisterinpitäjältä arviointia tietojen välttämättömyydestä, ja toisaalta on varmistettava, ettei luovuteta sellaisia tietoja, joita julkisuuslain 11 ja 12 §:n perusteella rekisteröidyllä ei ole oikeutta saada. Rekisterinpitäjän tehtävien hoitaminen edellyttää siten osaamista asiakasasiakirjojen käsittelystä sekä myös sosiaali- ja terveydenhuollon toiminnan tuntemusta. Tästä johtuen rekisterinpitäjän vastuuta esitetään hyvinvointialueille. Päättyneen toiminnan asiakirjat olisi pidettävä erillään uuden rekisterinpitäjän omasta potilasrekisteristä tai sosiaalihuollon asiakasrekisteristä. Siten hyvinvointialue ei saisi käyttää päättyneen toiminnan asiakastietoja omassa toiminnassaan, jos asiakas ei ole antanut lupaa tai on kieltänyt luovutuksen. 

Pykälän 2 momentin mukaan silloin, kun palvelunjärjestäjät ovat sopineet tietosuoja-asetuksen mukaisesta yhteisrekisterinpitäjyydestä, voisi yhteyspisteenä toimiva palvelunjärjestäjä ottaa vastuulleen toimintansa päättäneen palvelunjärjestäjän asiakastietojen rekisterinpitäjyyden. Silloin kun kyseessä on ollut yhteisrekisterinpitäjyys, on luontevaa, että asiakastiedot jäävät rekisteröityjen yhteyspisteenä toimineen tahon haltuun niin, että asiakas voi toiminnan päättymisen jälkeenkin asioida saman tahon kanssa kuin aiemminkin. Usein yhteisrekisterinpitäjien asiakastiedot ovat myös tallennettuna samaan tietojärjestelmään. Velvoite pitää päättyneen toiminnan rekisteri erillään uuden rekisterinpitäjän rekisteristä koskee myös näitä tilanteita, eli asiakastietoja saisi käyttää vain asiakkaan suostumuksen tai luvan perusteella. 

Pykälän 3 momentissa esitetään, että Kansaneläkelaitos voisi säilyttää asiakasasiakirjoja ja toimia henkilötietojen käsittelijänä hyvinvointialueen ja Helsingin kaupungin lukuun. Sähköiset asiakasasiakirjat olisi mahdollista tallentaa valtakunnallisiin tietojärjestelmäpalveluihin, vaikka palvelunantaja ei olisi aiemmin liittynyt valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Siten valtakunnallisten tietojärjestelmäpalvelujen avulla rekisterinpitäjillä olisi pääsy asiakastietoihin. Koska asiakirjat eivät kuitenkaan vastaisi niitä vaatimuksia, joita asiakirjojen tallentaminen valtakunnallisiin tietojärjestelmäpalveluihin liittymisen jälkeen edellyttää, ja joita myöskin tietojen näyttäminen asiakkaalle kansalaisen käyttöliittymässä tai luovuttaminen muille palvelunantajille edellyttäisivät, asiakirjat olisivat ainoastaan rekisterinpitäjän saatavilla.  

Kansaneläkelaitos voisi ottaa säilytettäväkseen myös muun kuin valtakunnallisiin tietojärjestelmäpalveluihin tallennettavan sähköisen aineiston sekä paperiset asiakirjat. Muu sähköinen aineisto olisi esimerkiksi sellaisia asiakasasiakirjoja, joita ei teknisesti saada tallennettua valtakunnallisiin tietojärjestelmäpalveluihin, lokitietoja tai vastaavaa aineistoa.  

Momentin sanamuoto olisi mahdollistava, eli hyvinvointialueet voisivat ratkaista asiakirjojen säilytyksen ja muun käsittelyn myös muulla tavalla, vaikka se mahdollistaisi tehtävän antamisen myös Kansaneläkelaitoksen hoidettavaksi ja siten Kansaneläkelaitoksen resurssien hyödyntämisen ja keskitetyt säilytys- ja tietojärjestelmäratkaisut myös muiden kuin valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen asiakirjojen käsittelyyn. Säännös koskisi myös aiemmin päättynyttä toimintaa sekä kuntien ja kuntayhtymien, mahdollisten muiden palvelunantajien ja Kansaneläkelaitoksen haltuun aiemmin toimitettuja asiakasasiakirjoja. Siten myös aiemmin päättyneen toiminnan asiakirjojen rekisterinpitäjyys olisi hyvinvointialueen tai Helsingin kaupungin vastuulla ja Kansaneläkelaitos voisi jatkaa sille aiemmin säilytettäväksi toimitettujen asiakirjojen säilyttämistä. 

4 luku Asiakasasiakirjojen käsittelyä koskevat periaatteet

17 §. Velvollisuus asiakastietojen kirjaamiseen. Pykälässä säädettäisiin sosiaali- ja terveydenhuollon ammattihenkilön ja palveluiden antamiseen osallistuvan avustavan henkilön velvoitteesta kirjata asiakastietoja asiakasasiakirjoihin. Merkintöjen laajuutta koskeva perusperiaate olisi, että asiakasasiakirjojen tulee sisältää asiakkaan palvelun ja potilaan hyvän hoidon järjestämisen ja toteuttamisen, mukaan lukien hoidon suunnittelu ja seuranta, turvaamiseksi tarpeelliset ja tältä kannalta riittävät tiedot. Tarpeellisten tietojen laajuus ja tarkkuus voivat vaihdella tilanteen mukaisesti. Toisaalta tiedot tulee kirjata sitä tarkemmin ja yksityiskohtaisemmin, mitä vaikeampi asiakkaan tilanne on tai mitä merkittävämmästä hoito- tai palvelupäätöksestä on kysymys. Toisaalta on kuitenkin huomioitava tietosuoja-asetuksen minimointiperiaate ja pitäydyttävä vain niiden tietojen kirjaamisessa, jotka ovat annettavan palvelun ja palvelua toteuttavan henkilön työtehtävän kannalta tarpeellisia ja riittäviä.  

Kirjaamisvelvoite koskisi sekä sosiaali- ja terveydenhuollon ammattihenkilöitä että palveluiden antamiseen osallistuvia avustavia henkilöitä. Kukin palveluiden antamiseen osallistuva henkilö vastaisi tehtäviinsä liittyvien kirjausten tekemisestä siinä laajuudessa, kuin henkilö palveluiden antamiseen osallistuu, ja tiedot ovat tarpeellisia palvelun ja hoidon järjestämisen, suunnittelun, toteuttamisen, seurannan ja valvonnan turvaamiseksi. Esimerkiksi jos vammaispalvelulaissa (380/1987) tarkoitettu henkilökohtainen avustaja avustaa asiakasta terveydenhuollon vastaanottokäynnillä, tulisi kirjata vain tieto avustuskäynnistä mutta ei käynnin sisällöstä. 

18 §. Sosiaali- ja terveydenhuollon asiakasrekisterit. Pykälässä säädettäisiin sosiaali- ja terveydenhuollon palvelunantajien asiakasrekistereistä, joihin asiakasasiakirjat tallennetaan.  

Pykälän 1 momentin mukaan potilasasiakirjat reseptikeskukseen tallennettavia lääkemääräyksiä ja niihin liittyviä merkintöjä lukuun ottamatta tallennettaisiin potilasrekisteriin ja sosiaalihuollon asiakasasiakirjat tallennettaisiin sosiaalihuollon asiakasrekisteriin. Pykälän sanamuodon perusteella potilasrekisteriin tallennettaisiin kaikki potilasasiakirjat. Potilasrekisteriin tallennettaisiin siten myös ne potilasasiakirjat, joita laaditaan sosiaalihuollon palveluiden yhteydessä annettavissa terveydenhuollon palveluissa. Potilasrekisteriin tallentaminen on tarkoituksenmukaista, koska kyseessä on sama käyttötarkoitus kuin muutoinkin annettavassa terveydenhuollossa riippumatta siitä, että palvelua annetaan sosiaalipalveluiden yhteydessä. Sosiaalihuollon palveluiden yhteydessä annettavan terveydenhuollon potilasasiakirjat olisivat siten palvelunantajan käytettävissä potilaan terveyspalvelua järjestettäessä ja toteutettaessa samoin kuin muutkin potilasasiakirjat. Säännös muuttaisi nykytilaa, jossa sosiaalihuollon palvelun yhteydessä annettavan terveydenhuollon potilasasiakirjat tallennetaan sosiaalihuollon asiakasrekisterin osarekisteriin, ja tietojen luovuttaminen muuhun terveydenhuoltoon edellyttää asiakkaan suostumusta. Myös potilastietojärjestelmiin tallennetut lääkemääräyksiä koskevat tiedot kuuluisivat potilasrekisteriin. 

Pykälän 2 momentin mukaan työterveyshuollon potilasasiakirjat reseptikeskukseen tallennettavia lääkemääräyksiä ja niihin liittyviä merkintöjä lukuun ottamatta tallennettaisiin erilliseen työterveyshuollon potilasrekisteriin työnantajittain. Työterveyshuoltoa koskee oma lainsäädäntönsä, jossa säädetään työterveyshuollon erityispiirteistä suhteessa muuhun terveydenhuoltoon. Työterveyshuollon järjestämisestä vastaa työnantaja. Työterveyshuollon potilastietojen käyttötarkoitus on siten jossain määrin poikkeava muusta terveydenhuollosta, ja potilastietojen tallentaminen erilliseen rekisteriin on perusteltua. Työterveyshuollon potilasasiakirjat olisi tallennettava työterveyshuollon rekisteriin työnantajittain, mikä vastaa nykyistä käytäntöä. 

19 §. Asiakasasiakirjoissa käytettävä kieli. Pykälä vastaisi sisällöltään sosiaalihuollon asiakasasiakirjoista annetun lain 6 §:n säännöstä. Vastaavaa sääntelyä on myös potilasasiakirja-asetuksen 7 §:ssä. Perusperiaate on myös, että merkintöjen tulee olla selkeitä ja ymmärrettäviä. 

Pykälän 1 momentissa säädettäisiin, että asiakasasiakirjoissa käytettävän kielen on oltava selkeää ja ymmärrettävää, ja niissä saa käyttää vain yleisesti tunnettuja ja hyväksyttyjä käsitteitä ja lyhenteitä. Yleisesti tunnettuja käsitteitä olisivat myös sosiaalihuollon ja lääketieteen alalla yleisesti käytettävät käsitteet. 

Pykälän 2 momentissa olisi informatiivinen viittaus kielilakiin (423/2003) ja saamen kielilakiin (1086/2003). Kielilain ja saamenkielilain vaatimukset koskisivat vain valtion ja hyvinvointialueen viranomaisen järjestämisvastuulle kuuluvia palveluita. Asiakkaalla olisi oikeus saada asiakasasiakirjansa suomen, ruotsin tai saamenkielellä. Asiakasasiakirjat olisi kuitenkin laadittava palvelunantajan käyttämällä suomen tai ruotsinkielellä, samoin kuin aiemminkin, ja tarvittaessa annettava asiakkaalle asiakirjojen käännökset.  

20 §. Asiakasasiakirjojen tietorakenteet. Pykälä perustuisi voimassa olevan asiakastietolain 9 §:ään ja asiakasasiakirjalain 5 §:ään asiakasasiakirjojen tietorakenteiden osalta. Pykälään lisättäisiin maininnat toissijaisista käyttötarkoituksista ja palvelunantajien muista tietojärjestelmistä, koska on tarpeen korostaa yhtenäisten tietorakenteiden merkitystä kaikessa asiakasasiakirjoilla olevien asiakastietojen käsittelyssä. Nykyinen asiakasasiakirjalain mukainen määräyksenantovaltuus koskee kaikkia sosiaalihuollon asiakasasiakirjojen tietorakenteita, ja asiakastietolain mukainen valtuus ainoastaan valtakunnallisiin tietojärjestelmäpalveluihin tallennettavien asiakirjojen tietorakenteita.  

Pykälän 1 momentin mukaan asiakasasiakirjojen tietorakenteiden tulisi mahdollistaa sähköisten asiakasasiakirjojen käyttöoikeuksien kohdistaminen, käyttö, luovuttaminen, säilyttäminen ja suojaaminen sekä hyödyntäminen toissijaisissa käyttötarkoituksissa 65§:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen sekä palvelunantajien muiden tietojärjestelmien avulla. Tietorakenteiden yhteentoimivuus on perusedellytys sille, että tietoja voitaisiin luovuttaa valtakunnallisten tietojärjestelmäpalvelujen avulla ja hyödyntää toimintaprosesseja palvelevissa tietojärjestelmissä. 

Sosiaali- terveydenhuollossa käytettävät tiedot tulisi voida rajata asiakirjojen tietorakenteiden avulla vain kyseisen palvelun kannalta tarpeellisiin tietoihin. Sosiaali- ja terveydenhuollossa asiakastietoja ovat oikeutettuja käsittelemään käyttöoikeuksiensa mukaisessa laajuudessa kyseisen asiakkaan sosiaali- ja terveyspalveluun ja siihen liittyviin tehtäviin osallistuvat henkilöt. He saisivat käsitellä asiakastietoja vain siinä laajuudessa kuin heidän työtehtävänsä ja vastuunsa sitä edellyttävät. Jotta käyttöoikeudet on mahdollista rajata vain välttämättömiin asiakastietoihin, tulee käyttöoikeuksien kohdistamisen tarpeet huomioida tietorakennemäärittelyissä niin, että käyttöoikeus tosiasiallisesti on mahdollista antaa vain välttämättömään tietoon.  

Koska Terveyden ja hyvinvoinnin laitos on vastuussa sähköisen tiedonhallinnan käytännön ohjauksesta, se voisi 2 momentin mukaan antaa tarkempia määräyksiä asiakasasiakirjojen tietorakenteista ja tietosisällöistä sekä tietorakenteissa valtakunnallisesti hyödynnettävistä koodistoista. Terveyden ja hyvinvoinnin laitos määrittäisi asiakasasiakirjojen käsitemallit, toimintaprosesseja ja yhteentoimivuutta tukevat tietorakenteet sekä valtakunnallisesti hyödynnettävät koodistot. Jotta asiakasasiakirjojen käyttö, luovutus ja hallinta voitaisiin toteuttaa siten, että asiakkaan tietosuoja ja tietojen yhteentoimivuus tulisivat riittävällä tavalla otetuksi huomioon, on tiedon luokittelusta ja tietorakenteista määrättävä riittävän yksityiskohtaisesti. Yhtenäisten tietorakenteiden ja tietojen luokittelun avulla kyettäisiin varmistamaan, että sähköisesti tapahtuvassa tietojen luovutuksessa todella luovutetaan niitä tietoja, joita olisi tarkoitus luovuttaa, eikä toisaalta samassa yhteydessä luovutettaisi tarpeettomia tietoja. Määräykseen sisältyisi myös uusien tietorakenteiden käyttöönottojen määräajat.  

Tietosuoja-asetuksen mukainen riskiperusteinen lähestymistapa on sellaisenaan suoraan soveltuvaa lainsäädäntöä, mikä rekisterinpitäjien sekä Terveyden ja hyvinvoinnin laitoksen tulee ottaa huomioon. Määräysten valmistelu edellyttää Terveyden ja hyvinvoinnin laitokselta tiivistä yhteistyötä tietojärjestelmäpalvelujen toteutukseen, käyttöön ja standardointiin osallistuvien tahojen sekä palvelunantajien kanssa.  

21 §. Asiakirjan laatimista koskeva määräaika. Pykälän 1 momentissa säädettäisiin asiakirjojen laatimisesta ja tallentamisesta valtakunnallisiin tietojärjestelmäpalveluihin viivytyksettä sen jälkeen, kun asiakirja on valmistunut. Sääntelyä yhtenäistettäisiin sosiaali- ja terveydenhuollon välillä. Sosiaalihuollon asiakasasiakirjoja koskeva sääntely on aiemminkin edellyttänyt kirjausten tekemistä viipymättä sen jälkeen, kun asiakkaan asiaa on käsitelty. Sen sijaan potilasasiakirjojen laatimiseen ja tallentamiseen valtakunnallisiin tietojärjestelmäpalveluihin on viiden vuorokauden määräaika.  

Asiakirjojen laatiminen viivytyksettä edellyttää sitä, että sekä sosiaali- että terveydenhuollossa kirjaukset ja merkinnät tehdään viipymättä. Viiveettömyydellä tarkoitetaan, että asiakirjat tulee laatia ja tallentaa viivytyksettä heti, kun asiakirja on valmistunut, jotta tiedot ovat sekä asiakkaan itsensä että muiden palvelunantajien saatavilla mahdollisimman pian. Asiakirjojen laatimisen viiveettömyys on tarpeen, jotta toisaalta asiakkaat voivat saada tietonsa kansalaisen käyttöliittymään ilman viivettä, ja vastaavasti tiedot ovat ilman viivettä luovutettavissa valtakunnallisista tietojärjestelmäpalveluista muille palvelunantajille.  

Osa merkinnöistä on tilanteen luonteen vuoksi kirjattava lähes välittömästi. Tällaisia ovat esimerkiksi potilaan siirtyminen välittömästi seuraavaan hoitopaikkaan tai kiireellisiin lastensuojelutoimenpiteisiin liittyvät kirjaukset. Osa kirjauksista voi hyvin odottaa seuraavaan työpäiväänkin.  

2 momentin mukaan lähetteet tulisi laatia ja toimittaa jatkohoitopaikkaan viipymättä. Vastaavasti myös yhteenveto potilaalle annetusta hoidosta jatkohoito-ohjeineen tulisi toimittaa viipymättä sekä potilaalle että jatkohoitopaikkaan tai muuhun paikkaan, josta potilaan kanssa on sovittu.  

22 §. Asiakirjojen eheyden, muuttumattomuuden ja kiistämättömyyden varmistaminen. Pykälä perustuisi voimassa olevan asiakastietolain 10 §:ään. Pykälän 1 momentissa säädettäisiin, että asiakirjojen eheys, muuttumattomuus ja kiistämättömyys olisi varmistettava kaikessa käsittelyssä, tiedonsiirrossa ja säilytyksessä. Varmistaminen voidaan toteuttaa esimerkiksi sähköisellä leimalla, jos kyse on palvelunantajan tai muun oikeushenkilön tekemästä varmistuksesta, ja sähköisellä allekirjoituksella, jos kyse on henkilön tekemästä varmistuksesta. eIDAS-asetuksen 3 artiklan mukaan sähköisellä allekirjoituksella tarkoitetaan luonnollisen henkilön tekemää allekirjoitusta eli sähköisessä muodossa olevaa tietoa, joka on liitetty tai joka loogisesti liittyy muuhun sähköisessä muodossa olevaan tietoon ja jota allekirjoittaja käyttää allekirjoittamiseen. Allekirjoittajalla tarkoitetaan luonnollista henkilöä, joka luo sähköisen allekirjoituksen. Sähköisellä leimalla tarkoitetaan vastaavaa oikeushenkilön tekemää leimaa eli sähköisessä muodossa olevaa tietoa, joka on liitetty tai joka loogisesti liittyy muuhun sähköisessä muodossa olevaan tietoon viimeksi mainitun tiedon alkuperän ja eheyden varmistamiseksi. Leiman luojalla tarkoitetaan oikeushenkilöä, joka luo sähköisen leiman.  

Pykälän 2 momentin mukaan ammattihenkilön allekirjoitusta edellyttävissä lausunnoissa ja todistuksissa, jotka laaditaan esitettäväksi muulle organisaatiolle tai taholle, asiakirjan laatijan allekirjoitus voisi olla omakätinen tai sähköinen allekirjoitus. Sähköisen allekirjoituksen tai sähköisen leiman vaatimus täsmennettäisiin koskemaan valtakunnallisiin tietojärjestelmäpalveluihin tallennettavia asiakirjoja. Tässä esityksessä asiakirjoilla tarkoitetaan kyseisten asiakirjojen lisäksi myös muita teknisiä tallenteita, joiden sähköinen allekirjoittaminen ei ole perusteltua vaan eheys, muuttumattomuus ja kiistämättömyys voidaan varmistaa muilla keinoin. 1 momentissa olisi viittaus lääkemääräyslain 7 §:ään, jossa säädetään tarkemmin lääkemääräyksen ja siihen liittyvien merkintöjen allekirjoittamisesta. 

Pykälässä 3 momentissa viitattaisiin siihen, että luonnollisen henkilön sähköisessä allekirjoittamisessa tulisi käyttää vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa tarkoitettua vähintään kehittynyttä sähköistä allekirjoitusta. Organisaatioiden ja tietoteknisten laitteiden olisi käytettävä luotettavuudeltaan vastaavaa sähköistä leimaa. Sähköisestä allekirjoituksesta ja sähköisestä leimasta säädetään eIDAS-asetuksessa. eIDAS-asetuksen 25 artiklan 2 kohdan nojalla hyväksytyllä sähköisellä allekirjoituksella on oltava samanlaiset oikeusvaikutukset kuin käsin kirjoitetulla allekirjoituksella. 35 artiklan 2 kohdan nojalla hyväksyttyyn sähköiseen leimaan liitetään olettama tietojen eheydestä ja niiden tietojen alkuperän oikeellisuudesta, joihin hyväksytty sähköinen leima on liitetty.  

eIDAS-asetuksen mukaan sähköisellä allekirjoituksella tarkoitetaan sähköisessä muodossa olevaa tietoa, joka on liitetty tai joka loogisesti liittyy muuhun sähköisessä muodossa olevaan tietoon ja jota allekirjoittaja käyttää allekirjoittamiseen. Sähköinen allekirjoitus perustuu siihen, että sähköiset tiedot liitetään toisiinsa tavalla, jossa niistä muodostuu ainutkertainen yhdistelmä, joka mahdollistaa allekirjoittajan todentamisen. Yksinkertainen sähköinen allekirjoitus on laaja käsite. Sen tarkoituksena on tunnistaa allekirjoittaja ja todentaa tiedot. Kyseessä voi yksinkertaisimmillaan olla sähköpostin allekirjoittaminen henkilön nimellä, mutta varsinaisia vaatimuksia liittyy kehittyneeseen tai hyväksyttyyn sähköiseen allekirjoitukseen.  

Kehittyneellä sähköisellä allekirjoituksella tarkoitetaan sähköistä allekirjoitusta, joka täyttää eIDAS-asetuksen 26 artiklassa säädetyt vaatimukset. Sähköisen allekirjoituksen tulee liittyä yksilöivästi allekirjoittajaansa ja sillä tulee voida yksilöidä allekirjoittaja. Kehittynyt sähköinen allekirjoitus on luotu käyttäen sähköisen allekirjoituksen luontitietoja, joita allekirjoittaja voi korkealla varmuustasolla käyttää yksinomaisessa valvonnassaan. Edelleen kehittyneen sähköisen allekirjoituksen tulee olla liitetty sillä allekirjoitettuun tietoon siten, että tiedon mahdollinen myöhempi muuttaminen voidaan havaita.  

Hyväksytyllä sähköisellä allekirjoituksella tarkoitetaan kehittynyttä sähköistä allekirjoitusta, joka on luotu hyväksytyllä sähköisen allekirjoituksen luontivälineellä, ja joka perustuu sähköisten allekirjoitusten hyväksyttyyn varmenteeseen.  

Digi- ja väestötietoviraston tuottamat henkilökortteihin liitettävät kansalaisvarmenteet sekä ammattihenkilöiden varmennekortit täyttävät hyväksyttyjä varmenteita koskevat vaatimukset. Kehittyneen sähköisen allekirjoituksen voi puolestaan tuottaa pankkitunnuksilla tai mobiilivarmenteella. Koska 2 momentin mukaan luonnollisen henkilön sähköisessä allekirjoittamisessa olisi käytettävä vähintään kehittynyttä allekirjoitusta, mahdollistaisi se asiakkaiden sähköisen allekirjoittamisen esimerkiksi pankkitunnusten ja mobiilivarmenteen avulla, mikä osaltaan antaa kansalaisille mahdollisuuden käyttää sähköisiä palveluita ja allekirjoittaa sosiaali- ja terveyspalveluissa tarvittavia asiakirjoja sähköisesti. Esimerkiksi palveluita koskevat hakemukset voisi allekirjoittaa sähköisesti pankkitunnuksilla tai mobiilivarmenteella. Ammattihenkilöiden käyttämät varmennekortit ovat joka tapauksessa hyväksyttyä tasoa.  

23 §. Asiakasasiakirjojensäilyttäminen. Pykälä sisältäisi asiakasasiakirjojen sekä potilaan tutkimuksessa ja hoidossa syntyviä biologista materiaalia sisältävien näytteiden ja elinmallien säilyttämistä koskevan sääntelyn. Sääntely koskisi alkuperäisiä asiakasasiakirjoja, eli siltä osin kuin asiakasasiakirjat on tallennettu valtakunnallisiin tietojärjestelmäpalveluihin, on muissa tietojärjestelmissä ja vastaavissa olevat kopiot hävitettävä jo aiemmin, heti kun niiden käyttötarve on päättynyt. Siten esimerkiksi työmuistiinpanot tai -kopiot voisi hävittää heti kun niitä ei enää tarvita. Myös tilanteissa, joissa toimija on henkilötietojen käsittelijänä käsittelyt asiakastietoja ja asiakirjat on toimitettu palvelunjärjestäjälle, voi käsittelijä hävittää tiedot, kun sen käyttötarve asiakirjoihin on päättynyt. Esimerkiksi sen jälkeen, kun asiakirjoja ei ole tarpeen säilyttää laadunvarmistuksen tai kanneajan takia. 

Pykälän 1 momentin mukaan asiakasasiakirjoja ja muita materiaaleja olisi säilytettävä liitteessä tarkoitettu aika. Liitteen mukaiset säilytysajat perustuvat asiakirjojen arvonmääritykseen. Arvonmääritys toteutettiin sosiaali- ja terveysministeriössä vuoden 2021 aikana, ja sen yhteydessä selvitettiin lukuisten haastattelujen avulla asiakasasiakirjojen säilyttämisen tarvetta sosiaali- ja terveyspalvelujen järjestämisen ja toteuttamisen kannalta.  

Perinnöllisyyslääketieteen ja harvinaissairauksien kannalta merkittäviä asiakirjoja ja biologisia näytteitä esitetään säilytettäväksi pysyvästi, koska niiden käyttötarve ei liity pelkästään yksittäisen potilaan hoitoon vaan tietoja tarvitaan myös tulevien sukupolvien hoidossa ja tutkimuksessa. Pysyvää säilyttämistä ei olisi enää sidottu perinnöllisyyslääketieteen yksikön asiakirjoihin, koska perinnöllisyyslääketieteen kannalta merkityksellistä aineistoa voi muodostua myös muissa yksiköissä. Pysyvä säilyttäminen edellyttäisi lääketieteellistä arviointia, mitkä asiakirjat ja näytteet olisivat siten merkittäviä, ettei niitä saisi hävittää.  

Potilasasiakirjoja ja erilaisia potilaasta otettuja biologisia näytteitä on tarvetta pääsääntöisesti säilyttää potilaan eliniän ajan, koska kyse on potilaan terveydentilaa koskevista tiedoista ja lähes kaikki elinaikana kirjattu terveydentilaa koskeva tieto voi olla myöhemmissä vaiheissa merkityksellistä. Aiempia terveyttä koskevia tietoja tarvitaan esimerkiksi diagnostiikassa sekä vertailutietona. 

Lisäksi on huomioitava mahdollisia vahingonkorvausasioita varten tarvittava käsittelyaika 12 vuotta. Siten säilytysaika olisi useimpien asiakirjojen kohdalla 12 vuotta kuolemasta tai 120 vuotta syntymästä niitä tilanteita varten, jossa tieto kuolinajasta ei välity rekisterinpitäjälle tai kyse on alle 18-vuotiaana kuolleesta lapsesta. Tällaisia eliniän ajan säilytettäviä potilasasiakirjoja olisivat palvelutapahtumista kirjattavat keskeiset hoitotiedot ja yhteenvetotiedot, väli- ja loppuarviot, lähetteet ja konsultaatiopyynnöt sekä lääkemääräykset, diagnostiikkaan liittyvät lähetteet ja lausunnot, terveys- ja hoitosuunnitelma, tahdosta riippumattomaan hoitoon liittyvät päätökset, sädehoitoon liittyvät asiakirjat, laboratoriotulokset sekä hammaslääketieteelliset röntgenkuvat, joita voidaan käyttää potilaan tunnistamiseen oikeuslääketieteessä. Myös biologista materiaalia sisältävien näytteiden säilytysajat vastaisivat nykyisiä säilytysaikoja, lukuun ottamatta pysyvästi säilytettäviä perinnöllisyyslääketieteen kannalta merkityksellisiä näytteitä. Biologisia näytteitä tarvitaan esimerkiksi perinnöllisten sairauksien tutkimiseen lisäksi diagnoosin tarkentamiseen.  

Muita kuvantamistutkimusta tallenteita säilytettäisiin 20 vuotta, kuitenkin enintään 12 vuotta kuolemasta. Muita kuva-, video- ja äänitallenteita, kuten valokuvia ja silmänpohjakuvia tai puheterapian äänitteitä, jotka on arvioitu hoidon kannalta tarpeellisiksi, säilytettäisiin 12 vuotta. Lääkemääräyksiin liittyviä toimitus- ja muita merkintöjä säilytettäisiin 12 vuotta hoidon päättymisestä. Tuloskäyriä, kuten EEG, EKG, KTG ja kuulokäyrä, säilytettäisiin 12 vuotta tutkimuksen tekemisestä. Tuloskäyrien säilytysaika lyhenisi voimassa olevasta säilytysajasta, joka on 12 vuotta kuolemasta tai 120 vuotta syntymästä. 

Sosiaalihuollon asiakasasiakirjojen säilytysajat voivat olla lyhyempiä, koska tiedot liittyvät asiakkaiden elämäntilanteisiin ja sosiaalipalveluihin, joilla ei ole vastaavia pysyviä vaikutuksia kuin terveydentilaa koskevilla tiedoilla. Säilytysajoissa on kuitenkin huomioitava asiakkaan tiedonsaantioikeuden toteutuminen. Esimerkiksi lastensuojelun asiakirjoihin tulee paljon tietopyyntöjä iäkkäiltäkin entisiltä asiakkailta. Lisäksi tietoja voidaan pyytää pitkänkin ajan jälkeen esimerkiksi oikeuspsykiatrisiin ja aikuisten neuropsykiatrisiin tarkoituksiin sekä työkyvyn arviointiin työkyvyttömyyseläkehakemuksiin liittyen. Sosiaalihuollon asiakirjojen säilytysaika olisi palvelutehtäväkohtainen, eli kaikkia palvelutehtävässä laadittavia sosiaalihuollon asiakasasiakirjoja koskisi sama säilytysaika. Säilytysaika olisi sidoksissa sosiaalihuollon asian päättymiseen. Sosiaalihuollon asiakas voi olla asiakkaana samanaikaisesti useissa palvelutehtävissä ja hänellä voi olla useita eri palveluita ja niihin liittyviä asioita. Siten johonkin palvelutehtävään liittyvien sosiaalihuollon asiakasasiakirjojen säilytysaika voi päättyä, vaikka asiakkuus toisessa palvelussa jatkuisi pidempään. 

Lastensuojelun palvelutehtävän asiakirjoja esitetään säilytettäväksi 120 vuotta asiakkaan syntymästä. Perheoikeudellisissa palveluissa lasta koskevissa asioissa säilytysaika olisi 120 vuotta lapsen syntymästä ja muissa asioissa, kuten keskeytyspäätökseen päättyneessä adoptioneuvonnassa, 10 vuotta asian sulkemisesta. Lapsiperheiden palvelutehtävän asiakirjoja säilytettäisiin 30 asian sulkemisesta ja muiden palvelutehtävien, eli työikäisten, iäkkäiden, päihdehuollon palvelutehtävässä 10 vuotta asian sulkemisesta. Myös vammaispalvelujen palvelutehtävässä säilytysaika olisi 10 vuotta asian sulkemisesta, kun vammaispalvelujen tarve on päättynyt. 

Lisäksi momentissa säädettäisiin säilyttämisen vastuista siten, että valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen asiakasasiakirjojen säilyttämisestä vastaisi Kansaneläkelaitos. Rekisterinpitäjän muiden asiakasasiakirjojen ja muun materiaalin säilyttämisestä vastaisi kukin rekisterinpitäjä itse. Jos palvelunantaja on tallentanut kopioita valtakunnallisissa tietojärjestelmäpalveluissa säilytettävistä asiakirjoista, ei niihin sovelleta pykälän mukaista säilytysaikaa, vaan ne on hävitettävä heti kun käyttötarve on päättynyt. 

Pykälän 2 momentissa olisi viittaus arkistolakiin, jossa säädetään pysyvästä säilyttämisestä eli tiedonhallintalain mukaisesta arkistoinnista sekä viranomaisista, joilla on velvollisuus tai mahdollisuus sopimuksen perusteella siirtää asiakirjansa Kansallisarkistossa säilytettäväksi. Kansaneläkelaitos vastaisi valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen asiakirjojen siirtämisestä Kansallisarkistoon, jos siirtämisestä olisi Kansallisarkiston päätös tai siirrosta olisi tehty sopimus. Siltä osin, kuin valtakunnallisissa tietojärjestelmäpalveluissa olisi pysyvästi säilytettäviä asiakasasiakirjoja, joita ei ole velvollisuutta siirtää Kansallisarkistoon, momentissa säädettäisiin valtakunnallisissa tietojärjestelmäpalveluissa olevien asiakasasiakirjojen pysyvä säilyttäminen Kansaneläkelaitoksen vastuulle. Siten ne asiakasasiakirjat, joita ei siirrettäisi Kansallisarkistoon, jäisivät valtakunnallisiin tietojärjestelmäpalveluihin säilytysajan päättymisen jälkeen. Ne pitäisi kuitenkin erottaa aktiivikäytössä olevista asiakasasiakirjoista, eikä niitä voisi luovuttaa muille palvelunantajille samoin kuin aktiivikäytössä olevia asiakirjoja. 

24 §. Asiakasasiakirjojentuhoaminen. Pykälässä säädettäisiin asiakirjojen tuhoamisesta säilytysajan päättymisen jälkeen. Vastuu tuhoamisesta on kullakin rekisterinpitäjällä säilytysvastuullaan olevien asiakirjojen osalta, ja Kansaneläkelaitoksella valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen asiakirjojen osalta. Asiakirjat olisi tuhottava, kun säilytysaika on päättynyt. Koska tuhoamisvelvoitteessa ei ole rekisterinpitäjän harkinnan varaa, ja sähköisten asiakirjojen säilytysaika on pääteltävissä asiakirjojen kuvailutiedoista, voidaan tuhoamisessa hyödyntää teknologiaa ja toteuttaa tuhoaminen automaattisen tietojenkäsittelyn avulla sekä rekisterinpitäjän että Kansaneläkelaitoksen toimesta. 

Pykälän 1 momentissa säädettäisiin asiakirjojen ja muun materiaalin tuhoamisvelvoitteesta säilytysajan päättymisen jälkeen niiden asiakirjojen osalta, joita Kansallisarkisto ei ole määrännyt pysyvästi säilytettäväksi eli arkistoitavaksi. Tuhoaminen olisi toteutettava siten, etteivät sivulliset saa asiakirjoista ja muusta materiaalista tietoa. 

Pykälän 2 momentissa säädettäisiin vastaavasti Kansaneläkelaitoksen vastuusta. 

5 luku Potilasasiakirjat

25 §. Oikeus tehdä merkintöjä potilasasiakirjaan. Pykälässä säädettäisiin siitä, kenellä on oikeus tehdä potilasasiakirjamerkintöjä. Lähtökohtana olisi, että merkintöjä saavat tehdä potilaan terveyspalvelun järjestämiseen ja toteuttamiseen osallistuvat terveydenhuollon ammattihenkilöt. Muut terveyspalvelun järjestämiseen ja toteuttamiseen osallistuvat henkilöt, kuten esimerkiksi ensihoidon ja sairaankuljetukseen osallistuva pelastuslaitoksen henkilöstö, terveyspalveluissa toimivat sosiaalihuollon ammattihenkilöt, saisivat tehdä merkintöjä 7 §:ssä tarkoitettujen palvelunantajan vastaavan johtajan laatimien ohjeiden mukaisesti. Potilaan terveyspalvelun järjestämiseen ja toteuttamiseen osallistuvat terveydenhuollon opiskelijat saavat tehdä merkintöjä toimiessaan laillistetun ammattihenkilön tehtävässä terveydenhuollon ammattihenkilöistä annetun lain (559/1994) 2 §:n 3 momentin mukaisesti. Ehdotettu sääntely vastaa tältä osin nykyistä potilasasiakirja-asetusta.  

Myös sosiaalihuollon ammattihenkilö voisi kirjata potilasasiakirjoihin henkilön elämäntilanteeseen liittyvää arkaluonteista tietoa ja sisältöjä siltä osin, kun ne liittyvät henkilön hoitoon tai ovat muuten hoidon kannalta tarkoituksenmukaisia. Tällaista terveydenhuoltoon liittyvää sosiaalihuollon ammattihenkilön tekemää potilastyötä voidaan toteuttaa esimerkiksi erikoissairaanhoidossa.  

Potilasasiakirjojen laatimista koskeva sääntely ei vaikuta lääkkeen määräämistä koskeviin oikeuksiin, vaan näistä oikeuksista säädetään laissa terveydenhuollon ammattihenkilöistä (559/1994). 

Potilasasiakirjamerkintöjä tehdään edelleen usein terveydenhuollon ammattihenkilön sanelun perusteella. Vastuukysymysten selventämiseksi pykälän 2 momentissa todettaisiin nykyisen potilasasiakirja-asetuksen mukaisesti, että vastuu merkinnöistä on tässä tilanteessa sanelijalla.  

Terveydenhuollossa käytetään lukuisia lääkinnällisiä laitteita, jotka tuottavat potilaan hoidon tai tutkimuksen yhteydessä varsin yksityiskohtaistakin tietoa. Lisäksi nykyisin potilastietoa tuotetaan myös erilaisten ohjelmistojen ja robottien toimesta. Usein tämä tieto siirtyy suoraan laitteesta, ohjelmistosta tai robotilta sähköisiin potilastietojärjestelmiin. Pykälän 3 momentissa säädettäisiin, että potilasasiakirjamerkinnät voivat lisäksi koostua terveydenhuollon lääkinnällisten laitteiden, ohjelmistojen ja robottien tuottamista hoidon kannalta tarpeellisista merkinnöistä. Laitteet tuottavat usein varsin huomattavan määrän merkintöjä. Kaikkia laitteiden, ohjelmistojen ja robottien tuottamia merkintöjä ei kuitenkaan tulisi liittää potilasasiakirjoihin, vaan merkintöjen tulee olla potilaan hoidon kannalta tarpeellisia kuten muidenkin potilasasiakirjamerkintöjen. Toisin sanoen potilasasiakirjoihin liitettäisiin se osa laitteen, ohjelmiston tai robotin tuottamasta tiedosta, jolla on tehtyjen hoitopäätösten kannalta merkitystä. Säännökset potilasasiakirjojen merkintöjen laajuudesta koskisivat siten myös laitteiden tuottamia merkintöjä. Tekniikan kehittyessä terveydenhuollossa käytetään yhä enemmän erilaisia laitteita, sovelluksia ja robotiikkaa, ja säännös mahdollistaisi merkintöjen tuottamisen myös näistä uutta teknologiaa hyödyntävistä laitteista. 

26 §. Potilasasiakirjoja koskevat periaatteet. Pykälässä säädettäisiin potilasasiakirjoja koskevista periaatteista. 1 momentissa säädettäisiin, mitä asiakirjoja potilasasiakirjojen kokonaisuuteen kuuluu. Potilasasiakirjoja olisivat terveydenhuollon ammattihenkilöiden kirjaamat palvelutapahtumia eli käyntejä ja hoitojaksoja koskevat merkinnät, lääkemääräykset ja muut reseptikeskukseen tallennettavat lääkehoitoa koskevat merkinnät, diagnostiikkaan liittyvät tallenteet ja niihin liittyvät lausunnot ja muut potilaan terveyspalvelujen toteuttamiseen liittyvät kuva-, video- ja äänitallenteet, potilaan terveyspalvelujen järjestämiseen liittyvät asiakirjat sekä terveydenhuoltoon muualta saapuvat asiakirjat. Diagnostiikkaan liittyviä tallenteita ovat erilaisten laitteiden avulla tuotetut tallenteet, esimerkiksi laboratoriovastaukset, röntgen-, isotooppi- ja ultraäänikuvat ja muita kuva-, video- ja äänitallenteita esimerkiksi näkyvän valon kuvat kuten valokuvat ja silmänpohjakuvat, videot ja puheterapian äänitteet ja potilaan seurantaan liittyvät äänitteet. Säilytysaikoja koskevan liitteen mukaisesti muut kuin hoidon kannalta tarpeelliset kuva-, video- ja äänitallenteet saisi hävittää heti kun käyttötarve on päättynyt, eli esimerkiksi kun keskeiset tiedot on kirjattu potilasasiakirjoihin. Ainoastaan hoidon kannalta tarpeelliset tallenteet on säilytettävä pidempään. Potilaan terveyspalvelujen järjestämiseen liittyviä asiakirjoja olisivat ajanvarausasiakirja, lähetteet, muille palvelunantajille lähetettävät konsultaatiopyynnöt, päätökset tahdosta riippumattomasta hoidosta sekä terveys- ja hoitosuunnitelma. Potilaan kanssa käytävään puhelinkeskusteluun verrattavissa olevat chat-viestit ja vastaava yhteydenpito potilaan kanssa eivät olisi potilasasiakirjoja, eikä niitä olisi tarpeen säilyttää sen jälkeen, kun ammattihenkilö on kirjannut niistä keskeiset tiedot osaksi potilasasiakirjoja. Muualta saapuvat asiakirjoja ovat toisilta palvelunantajilta tai viranomaisilta saatavat asiakirjat.  

Sen sijaan terveydenhuollon ammattihenkilön muita viranomaisia ja tahoja varten laatimat todistukset ja lausunnot eivät olisi potilasasiakirjoja, koska ne laaditaan vastaanottajan käyttötarkoitusta varten, eikä käyttötarkoituksena ole potilaan hoidon järjestäminen ja toteuttaminen. Myöskään hoitotahto- ja elinluovutusasiakirjat eivät olisi potilasasiakirjoja, vaan potilaan itsensä laatimia ja hallinnoimia asiakirjoja, vaikka ne on tarkoitettu terveydenhuollossa huomioitavaksi. Vastuu ja oikeus kyseisten tahdonilmausten sisältöjen ylläpitoon on kuitenkin ainoastaan potilaalla itsellään, myös silloin, jos potilas pyytää palvelunantajaa tallentamaan tahdonilmauksensa valtakunnallisten tietojärjestelmäpalvelujen tahdonilmaisupalveluun. 

Pykälän 2 momentin mukaan perinnöllisyyslääketieteen, psykiatrian ja vastaaviin erityistä luottamuksellisuutta edellyttäviin palveluihin liittyvät potilasasiakirjamerkinnät olisivat erityissuojattavia siten, että niiden käsittely muussa kuin kyseisen erikoisalan tai palvelun palvelutapahtumassa edellyttää erillistä vahvistuspyyntöä. Erityistä luottamuksellisuutta edellyttäviä palveluita olisivat esimerkiksi erilaiset mielenterveyttä edistävät terapiat, kuten psykoterapia ja seksuaaliterapia sekä psykologin palvelut.  

Erityissuojauksen toteuttamisessa käytettävä erillisen vahvistuspyynnön menettely vastaa jo nykyisin käytössä olevaa psykiatrian ja perinnöllisyyslääketieteen potilasasiakirjojen erityissuojausta. Vahvistuspyynnöllä suojattujen, erityissuojattujen potilastietojen käyttö ei olisi kiellettyä, jos tiedot ovat potilaan hoidon kannalta välttämättömiä. Näiden tietojen käyttäjän tulisi kuitenkin muussa kuin kyseisessä palvelussa tai erikoisalalla toimiessaan vahvistaa tietojärjestelmään toteutetun vahvistuspyynnön jälkeen erillisellä vahvistuksella tietojen käytön tarpeellisuus. Esimerkiksi psykiatrian palveluissa työskentelevien ei tarvitsisi erikseen vahvistaa psykiatrian potilastietojen käyttöä, mutta jos psykiatrialla työskentelevä henkilön olisi tarpeen tarkastella perinnöllisyyslääketieteen potilasasiakirjoja, vahvistuspyyntö tulisi tehdä. Samoin silloin, jos somaattisen palveluiden henkilöstöllä on tarve käsitellä psykiatrian potilastietoja, tulisi vahvistuspyyntö tehdä. Momentin sanamuoto mahdollistaa erityissuojauksen toteutukseen myös muita menettelyjä vahvistuspyynnön lisäksi. 

Erityissuojattavista potilastiedoista säädettäisiin tarkemmin sosiaali- ja terveysministeriön asetuksella.  

Pykälän 3 momentissa säädettäisiin, että valtakunnallisiin tietojärjestelmäpalveluihin tallennettavien potilasasiakirjojen tulee muodostaa ehyt asiakirjakokonaisuus yksilöityjen palvelutapahtumatunnusten avulla. Potilasasiakirjat muodostaisivat näin käynti- ja hoitojaksokohtaiset kokonaisuudet. Asiakirjojen koostaminen palvelutapahtumittain on oleellista potilaan tiedollisen itsemääräämisoikeuden näkökulmasta, koska potilas voi 54 §:n mukaisesti kieltää tietojensa luovuttamisen palvelunantajien välillä palvelutapahtumakohtaisesti. 

27 §. Potilasasiakirjoihin merkittävät perustiedot. Pykälässä säädetään potilasasiakirjojen perustiedoista. Sääntely perustuu potilaslain ja asiakastietolain perusteella annettuun sosiaali- ja terveysministeriön asetukseen potilasasiakirjoista (94/2022). Pykälän 1 momentissa säädettäisiin potilasta, merkinnäntekijää ja palvelunantajaa koskevista perustiedoista, joiden tulee käydä ilmi potilasasiakirjoista. Perustietoja, jotka asiakirjoista olisi käytävä ilmi, olisivat potilaan nimi ja henkilötunnus tai jos henkilötunnus ei ole tiedossa, yksilöintitunnus tai syntymäaika. Jos potilaalla ei ole virallista henkilötunnusta, on kirjattava tilapäinen henkilötunnus. Potilasasiakirjoissa on oltava tieto palvelunjärjestäjän ja palveluntuottajan nimestä ja yksilöintitunnuksesta. Lisäksi olisi oltava kunkin merkinnän tekijän nimi, merkinnän tekijän yksilöivä tieto, ammattinimike ja merkinnän ajankohta. Jos merkintä on lääkinnällisen laitteen, ohjelmiston tai robotin tuottama, olisi asiakirjoista käytävä ilmi merkinnän tiedot täydennettynä mahdollisen merkinnän hyväksyjän tiedoilla. Jos terveydenhuoltoon saapuu tietoja muualta, olisi näiden tietojen saapumisen ajankohta ja lähde käytävä asiakirjasta ilmi. 

Perustiedot voidaan yhdistää ja tuottaa tietojärjestelmässä ilman, että kaikkia tietoja olisi tarpeen kirjata erikseen jokaiseen asiakirjaan. Valtakunnallisiin tietojärjestelmäpalveluihin tallennettavien asiakirjojen tietosisältöjä ja kuvailutietoja koskevista vaatimuksista määrätään erikseen Terveyden ja hyvinvoinnin laitoksen tietorakenteita koskevissa määrittelyissä.  

Pykälän 2 momentissa lueteltaisiin tiedot, joiden tulisi tarvittaessa ilmetä potilasasiakirjoista, jos tieto on tarpeen potilaan hoidon tai palvelun järjestämisen tai toteuttamisen taikka potilaan huollossa olevan alaikäisen lapsen tai potilaan omaishoidettavana olevan aseman kannalta. Tällaisia tietoja olisivat alaikäisen potilaan osalta huoltajien tai muun laillisen edustajan nimi ja yhteystiedot sekä täysi-ikäiselle potilaalle määrätyn laillisen edustajan nimi ja yhteystiedot, potilaan ilmoittaman lähiomaisen tai muun yhteyshenkilön nimi, mahdollinen sukulaisuussuhde ja yhteystiedot sekä tieto potilaan huollossa olevista alaikäisestä lapsesta ja tieto omaishoitajuudesta. Tieto potilaan lähiomaisesta tai muusta yhteyshenkilöstä on tarpeen, jotta terveydenhuollossa on ajantasainen tieto kehen läheiseen voi tarvittaessa ottaa yhteyttä ja kenelle voi antaa tietoja potilaslain 6 §:n 2 ja 3 momentissa tarkoitetussa tilanteessa, jossa täysi-ikäinen ei pysty itse päättämään hoidostaan. Tieto alaikäisistä lapsista on tarpeen, jotta terveydenhuollossa on mahdollista tarvittaessa terveydenhuoltolain (1326/2010) 70 §:n mukaisesti selvittää lapsen hoidon ja tuen tarve ja varmistaa riittävän hoidon ja tuen turvaaminen lapselle, kun lapsen vanhempi, huoltaja tai muu lapsen hoidosta ja vastaava henkilö saa päihdehuolto- tai mielenterveyspalveluja tai muita sosiaali- ja terveydenhuollon palveluja, joiden aikana hänen kykynsä huolehtia lapsen hoidosta ja kasvatuksesta arvioidaan heikentyneen. Vastaavasti tieto omaishoitajuudesta on tarpeen, jotta terveydenhuollossa on mahdollista esimerkiksi ilmoittaa sosiaalihuoltoon, jos omaishoitaja ei kykene huolehtimaan omaishoidettavasta esimerkiksi sairaalahoitoon joutumisen johdosta. 

Lisäksi tarvittaessa potilasasiakirjoista olisi käytävä ilmi potilaan äidinkieli tai asiointikieli, potilaan ammatti, potilaan työnantajan vakuutusyhtiö, jos kyseessä voi olla työtapaturma tai ammattitauti sekä vakuutusyhtiö, jos vakuutusyhtiö mahdollisesti maksaa hoidon kustannuksia. Myös potilaan antamat potilastietojensa luovutuksia koskevat suostumukset ja luvat olisi kirjattava potilasasiakirjoihin. Valtakunnallisia tietojärjestelmäpalveluita koskevat luvat tallennetaan tahdonilmaisupalveluun, joten tässä yhteydessä säännös koskisi erityisesti muulla tavalla tehtäviä luovutuksia sosiaali- ja terveydenhuollossa sekä muille viranomaisille ja tahoille tehtäviä luovutuksia. 

Jos pykälän 3 kohdassa tarkoitettu merkinnän tekninen kirjaaja on eri kuin merkinnän sisällöstä vastaava merkinnän tekijä, tulisi potilasasiakirjasta ilmetä myös merkinnän teknisen kirjaajan tiedot. Sähköiseen potilasasiakirjaan nämä tiedot ovat saatavilla suoraan potilastietojärjestelmän käyttäjätiedoista ja merkinnän kirjaamisen ajankohta automaattisesti potilastietojärjestelmästä. Tällä vältetään tarpeetonta kirjaamista näiden merkintöjen osalta. Lisäksi varmistetaan, ettei potilastietojärjestelmien käyttöoikeuksia annettaisi toisten henkilöiden käytettäväksi, kun käyttäjätunnusten mukainen henkilö vastaa myös merkintöjen oikeellisuudesta. Merkinnöistä tulisi ilmetä tietojen lähde, jos tieto ei perustu ammattihenkilön omiin tutkimushavaintoihin tai jos potilasasiakirjoihin merkitään muita, kuin potilasta itseään koskevia tietoja. Keskeinen periaate on siten se, että potilasasiakirjoihin kirjattujen tietojen alkuperä tulee voida todeta. Tästä syystä edellytettäisiin, että potilasasiakirjamerkinnöistä ilmenee tietojen lähde niissä tapauksissa, joissa tieto ei ole perustunut ammattihenkilön omiin tutkimushavaintoihin. 

28 §. Palvelutapahtumista kirjattavat merkinnät. Pykälän 1 momentissa säädettäisiin, että palvelutapahtumista eli potilaan käynneistä tai hoitojaksoista tai vastaavista kontakteista potilaan kanssa, esimerkiksi puhelimessa tehtävä hoidon tarpeen arviointi tai sähköisen asioinnin kontakti, olisi kirjattava potilasasiakirjamerkinnät. Merkinnät muodostaisivat näin aikajärjestyksessä etenevän kokonaisuuden, jota kutsutaan myös potilaskertomukseksi. Potilastietojärjestelmissä merkinnät kirjataan Terveyden ja hyvinvoinnin laitoksen 20 §:n mukaisten tietorakennemäärittelyjen mukaisesti. Tietojärjestelmissä voi olla erilaisia näkymiä ja kirjaamisalustoja, joihin merkinnät tehdään.  

Merkinnöistä tulisi tarpeellisessa laajuudessa käydä ilmi potilaan terveydentilaa, annettua palvelua ja sairauden ja hoidon kulkua koskevat tiedot sekä taudinmäärityksen, valitun hoidon ja tehtyjen hoitoratkaisujen perusteet. Lääkehoitoa koskevista lääkemääräyksistä olisi kirjattava lääkemääräyslain 6 §:ssä tarkoitetut tiedot sekä muut tarpeelliset valittua lääkehoitoa koskevat perustelut.  

Lääkemääräyksistä kirjattavat tiedot ovat keskeinen osa palvelutapahtumista kirjattavia tietoja, ja samalla tiedoista muodostetaan myös reseptikeskukseen tallennettava, lääkkeen toimittamisessa ja valtakunnallisella lääkityslistalla käytettävä lääkemääräysasiakirja, jos kyse on potilaan apteekista ostettavaksi tarkoitetusta lääkkeestä. Lääkemääräysten tiedot voidaan tietojärjestelmässä kirjata erilliseen osioon tai näkymään, eikä samoja tietoja ole tarpeen kirjata toistamiseen palvelutapahtuman muihin merkintöihin. Estettä ei kuitenkaan ole sille, että lääkemääräyksiä koskevia tietoja liitetään myös osaksi muita merkintöjä, kunhan lääkemääräyslaissa tarkoitettu tieto pysyy aina ajan tasaisena reseptikeskuksessa. 

Pykälän 2 momentin mukaan hoidon ja palvelun toteuttamiseen osallistuneet ammattihenkilöt ja muut henkilöt on tarvittaessa kyettävä selvittämään. Vaatimus ei edellytä, että kaikki hoitoon osallistuneet henkilöt aina ilmenevät potilasasiakirjamerkinnöistä, vaan apuna voidaan käyttää esimerkiksi työvuorolistoista ilmeneviä tietoja.  

Pykälän 3 momentin mukaan annetuista lääkärinlausunnoista ja todistuksista tulisi tehdä merkinnät niiden antamisajankohdan mukaisesti. 

Pykälän 4 momentissa säädettäisiin toista henkilöä koskevien tietojen kirjaamisesta potilasasiakirjoihin. Jos potilaan elämäntilanteen kartoittamisen tai muun vastaavan syyn takia hoidon kannalta olisi välttämätöntä kirjata toisen henkilön itsestään kertomia tai muita muun henkilön yksityiskohtaisia arkaluonteisia tietoja, olisi tiedot kirjattava potilaan palvelutapahtuman asiakirjoihin kuuluvaan erilliseen asiakirjaan. Sääntely mahdollistaisi siten toista henkilöä koskevien tietojen kirjaamisen erilliseen asiakirjaan riippumatta siitä, kuka tiedon on kertonut. Voimassa olevassa sääntelyssä vastaava on mahdollista ainoastaan toisen henkilön itsestään kertomien tietojen osalta. Tarkastusoikeus tietoihin olisi sillä henkilöllä itsellään, jonka tiedoista kirjauksissa on kyse. Esimerkiksi aikuisten palveluissa voitaisi kirjata momentin mahdollistamalla tavalla alaikäisten lasten tilannekartoitukset ja vastaavat lapsia koskevat tiedot. Vastaavasti lapsen ollessa potilaana voitaisi kirjata vanhempia koskevia tietoja.  

29 §. Potilasasiakirjoihin kirjattavat keskeiset hoitotiedot. Pykälässä säädettäisiin potilasasiakirjoihin merkittävistä keskeisistä hoitotiedoista, joita ovat esimerkiksi. potilaan terveydentila, annettua palvelua ja hoidon kulkua koskevat tiedot sekä hoitoratkaisujen perusteet. Potilasasiakirjojen oleellinen osa ovat terveyden huollon ammattihenkilön tekemät merkinnät havainnoistaan, arvioistaan ja johtopäätöksistään potilaasta ja hänen hoidostaan sekä seikat, johon arviot perustuvat. Jos potilaan tutkimuksessa ja hoidossa on käytettävissä useampia vaihtoehtoisia tutkimus- ja hoitomenetelmiä, joiden vaikutukset ja riskit voivat olla erilaisia, potilasasiakirjoihin tulee tehdä merkinnät, joista ilmenee, millaisin perustein valittuun menetelmään on päädytty. 

Pykälän 2 momentissa säädettäisiin potilaalle suoritetusta leikkauksesta ja muusta toimenpiteestä laadittavasta leikkaus- tai toimenpidekertomuksesta. Pykälän 3 momentissa säädettäisiin potilaaseen pysyvästi asetetuista proteeseista, implanteista, hampaiden täytemateriaaleista ja muista materiaaleista tehtävistä merkinnöistä.  

Pykälän 4 momentissa säädettäisiin potilaan itsemääräämisoikeuden rajoittamista koskevien päätösten merkitsemisestä potilasasiakirjoihin. Merkinnöistä olisi käytävä ilmi toimenpiteen syy, luonne ja kesto sekä arvio sen vaikutuksista potilaan hoitoon samoin kuin toimenpiteen määränneen lääkärin ja suorittajien nimet.  

30 §. Riskeistä, hoidon haitallisista vaikutuksista ja epäillyistä vahingoista tehtävät merkinnät. Pykälän 1 momentissa säädettäisiin hoidossa huomioon otettavien riskitietojen merkitsemisestä. Potilaskertomukseen sisällytettävistä tiedoista mainittaisiin erikseen tiedot potilaan lääkeaineallergiasta, materiaaliallergiasta ja yliherkkyyksistä, mutta velvoite koskisi myös muita niihin rinnastettavia hoidossa huomioon otettavia seikkoja.  

Pykälän 2 momentti puolestaan koskee työntekijälle työstä aiheutuvien terveysriskitietojen merkitsemistä. Nämä tiedot tulee sisällyttää siten työntekijää koskeviin työterveyshuollon potilasasiakirjoihin, vaikka vastaavat tiedot olisivatkin esimerkiksi asianomaista työpaikkaa koskevissa työnantajakohtaisissa asiakirjoissa. 

Pykälän 3 ja 4 momentissa velvoitettaisiin lisäksi tekemään nimenomaiset merkinnät myös todetuista tutkimus- ja hoitotoimenpiteisiin liittyneistä haitallisista vaikutuksista ja hoidon tehottomuudesta sekä epäillyistä potilas-, laite- ja lääkevahingoista. Hoidollisten seikkojen ohella myös korvausoikeudelliset ja viranomaisvalvontaan liittyvät seikat edellyttävät, että epäillyistä potilas-, laite- ja lääkevahingoista tehdään välittömästi vahinkoepäilyn syntymisen jälkeen yksityiskohtaiset merkinnät potilasasiakirjoihin. 

31 §. Konsultaatioista ja hoitoneuvotteluista tehtävät merkinnät. Pykälään sisältyisi erityissäännöksiä erilaisista konsultaatioista ja hoitoneuvotteluista tehtävistä merkinnöistä. Muun muassa tietotekniikan kehittyminen on myötävaikuttanut konsultaatioiden lisääntymiseen ja uusien konsultaatiomuotojen syntymiseen. Pykälän 1 momentissa edellytettäisiin, että hoitovastuussa oleva terveydenhuollon ammattihenkilö tekee potilaan taudinmäärityksen tai hoidon kannalta merkittävistä konsultaatioista ja hoitoneuvotteluista potilasasiakirjoihin merkinnät, joista ilmenee konsultaation tai neuvottelun ajankohta, asian käsittelyyn osallistuneet henkilöt sekä tehdyt ratkaisut ja niiden toteuttaminen. 

Jos konsultaatio tapahtuu sellaisessa muodossa, että potilas on tunnistettavissa, myös konsultaation antajan olisi 2 momentin mukaan tehtävä potilasasiakirjoihin merkinnät antamastaan konsultaatiovastauksesta, jollei hänelle muutoin jää antamansa konsultaatiovastauksen tiedot.  

32 §. Osastojaksoa ja pitkäaikaishoitoa koskevat merkinnät. Pykälään sisältyisi eräitä nimenomaisesti osastohoidossa ja pitkäaikaisen hoidon piirissä olevan potilaan hoitoon liittyviä säännöksiä. Pitkäaikaista hoitoa voidaan sairaalan lisäksi toteuttaa esimerkiksi kotisairaanhoidossa. Kaikista osastohoidossa ja pitkäaikaisen hoidon piirissä olevista potilaista edellytettäisiin tehtäväksi potilaan hoidon kannalta riittävän usein merkinnät potilaan tilan muutoksista sekä hänelle tehdyistä tutkimuksista ja hänelle annetusta hoidosta. Lisäksi päivittäin olisi tehtävä merkinnät potilaan tilaan liittyvistä huomioista, hoitotoimista ja vastaavista seikoista. 

Pykälän 2 momentissa edellytettäisiin, että lääkäri tekee pitkäaikaispotilaan potilasasiakirjoihin vähintään kolmen kuukauden välein seurantayhteenvedon, vaikka potilaan tilassa ei olisikaan tapahtunut olennaisia muutoksia. Seurantayhteenvedossa arvioitaisiin potilaan kulloinenkin terveydentila ja hoidon jatkotarpeet. Tämä palvelisi paitsi ensinnäkin potilaan hoitoa. Toiseksi seurantayhteenvedon tarve voi olla merkityksellinen niissä tilanteissa, joissa potilas on kotikäynnillä tai muutoin poissa pitkäaikaisen osasto- tai laitoshoidon piiristä ja hoidon on tarkoitus edelleen jatkua. Jos potilaalle kotikäynnin tai muun vastaavan poissaolon aikana tapahtuu tapaturma, tai hänen tilansa huononee siten, että hän tarvitsee kiireellistä hoitoa toisessa terveydenhuollon yksikössä, on tieto potilaan osastohoidosta mahdollista saada valtakunnallisten tietojärjestelmäpalvelujen kautta. 

33 §. Loppulausunto. Pykälän 1 momentissa asetettaisiin velvoite laatia loppulausunto jokaisesta hoitojaksosta, jonka loputtua hoito päättyy tai hoitovastuu siirtyy. Hoitojaksolla tarkoitettaisiin sekä osasto- ja laitoshoitoa että polikliinisiä hoitojaksoja. Hoitovastuu voi siirtyä toiselle palvelunantajalle tai saman palvelunantajan toiminnassa toiseen toimintayksikköön tai toimipisteeseen tai sairaalassa toiselle erikoisalalle. Hoitovastuu voi siirtyä myös sosiaalihuollon palveluun, jonka yhteydessä tuotetaan terveydenhuollon palvelua. Tällainen tilanne voisi olla esimerkiksi iäkkään asiakkaan siirtyminen sairaalasta tai polikliiniselta tutkimusjaksolta hoivakotiin.  

Pykälän 2 momentin mukaan loppulausuntoon olisi sisällytettävä annettua hoitoa koskevien yhteenvetojen lisäksi selkeät ja yksityiskohtaiset ohjeet potilaan seurannan ja jatkohoidon toteuttamiseksi. Loppulausunnossa tulisi lisäksi kuvata mahdolliset poikkeavuudet potilaan toimenpiteen jälkeisessä toipumisessa ja potilaan tila palvelutapahtuman päättyessä. 

34 §. Merkinnät alaikäisen asiakkaan päätöskyvystä. Pykälässä säädettäisiin merkintöjen tekemisestä alaikäisen asiakkaan asioidessa terveydenhuollossa. Potilaslain 7 §:n 1 momentin mukaan alaikäistä on hoidettava yhteisymmärryksessä hänen kanssaan, jos alaikäinen ikänsä ja kehitystasonsa perusteella kykenee päättämään hoidostaan. 2 momentin mukaan silloin, kun alaikäinen ei kykene päättämään hoidostaan, häntä on hoidettava yhteisymmärryksessä hänen huoltajansa tai muun laillisen edustajan kanssa. Tämän lain 51 §:n 1 momentin mukaan silloin, kun alaikäinen potilas ikäänsä ja kehitystasoonsa nähden kykenee päättämään hoidostaan, hänellä on oikeus kieltää terveydentilaansa ja hoitoansa koskevien tietojen antaminen huoltajalleen, muulle lailliselle edustajalleen tai muulle tiedonsaantiin oikeutetulle. Muu tiedonsaantiin oikeutettu henkilö voi lapsen huollosta ja tapaamisoikeudesta annetun lain 7 §:n (190/2019) mukaan olla huollosta erotettu vanhempi ja muu henkilö. Koska alaikäisen potilastietoja voidaan näyttää huoltajalle, muulle lailliselle edustajalle tai muulle tiedonsaantiin oikeutetulle henkilölle sähköisten asiointipalveluiden, kuten 74 §:ssä tarkoitetun kansalaisen käyttöliittymän välityksellä, on tärkeää, että asiakirjoilla on riittävän täsmälliset ja ajantasaiset tiedot alaikäisen päätöskyvystä sekä siitä, salliiko vai kieltääkö hän tietojensa antamisen. Päätöskykyä on arvioitava aina suhteessa kuhunkin terveydenhuollossa käsiteltävään asiaan, joten tieto päätöskyvystä olisi kirjattava palvelutapahtumakohtaisesti. 

Potilaslain mukaisesti alaikäisen ikä on kehitystason rinnalla päätöskykyyn vaikuttava seikka. Mitä vanhempi lapsi on, sitä todennäköisemmin hän on myös kykenevä päättämään hoidostaan ja siten olemaan oikeutettu kieltämään tietojensa luovuttamisen huoltajille. Pienempien lasten kohdalla on siten todennäköistä, ettei lapsella vielä ole päätöskykyä vaan lasta on hoidettava yhteisymmärryksessä huoltajan kanssa. 2 momentissa esitettäisiin, että alle 12-vuotiaiden lasten kohdalla tietojärjestelmissä voitaisiin tuottaa oletusarvoisesti merkintä, ettei lapsi ole päätöskykyinen. Terveydenhuollon ammattihenkilön olisi kuitenkin tehdä arvio lapsen päätöskyvystä potilaslain mukaisesti, kuten ennenkin, ja tarvittaessa muutettava merkinnän sisältöä varmistaen päätöskykyisen lapsen kielto-oikeus ikätasosta riippumatta. Arviointi ja merkintöjen muuttamisen mahdollinen tarve korostuu, kun alaikäinen lapsi asioi vastaanotolla itsenäisesti ilman huoltajan läsnäoloa. Automatiikalla helpotettaisiin terveydenhuollon ammattihenkilöiden työtä, kun merkintöjä ei tarvitsisi jokaisella asiointikerralla tehdä ihan pienimpien lasten kohdalla. 

35 §. Merkinnät hoitoon osallistumisesta erityistilanteissa. Pykälässä säädettäisiin merkintöjen tekemisestä tilanteissa, jossa täysi-ikäinen potilas ei kykene päättämään itse hoidostaan. Tällaisissa tilanteissa täysi-ikäistä potilasta hoidetaan potilaslain 6 §:n 2 ja 3 momentin mukaisesti yhteisymmärryksessä potilaan itsensä sijasta hänen laillisen edustajansa, lähiomaisensa tai muun läheisensä kanssa. Säännökset merkintöjen tekemisestä näistä tilanteista vastaavat nykyistä potilasasiakirja-asetuksen sääntelyä. 

36 §. Potilaan hoidon järjestämistä koskevat merkinnät. Säännökset perustuisivat asiasisällöltään nykyisen potilasasiakirja-asetuksen säännöksiin. Pykälän 1 momentissa säädettäisiin potilasasiakirjamerkintöjen tekemisestä tilanteessa, jossa potilas joutuu odottamaan hoitoon pääsyä.  

Pykälän 2 momentin säännökset merkintöjen tekemisestä koskien potilaslain 5 §:n 1 momentissa tarkoitetun, potilaan hoitoon liittyviä seikkoja koskevan selvityksen antamista sekä 3 momentin säännökset potilaan tutkimuksesta tai hoidosta kieltäytymistä koskevien merkintöjen tekemisestä vastaavat nykyistä sääntelyä. 

Pykälän 4 momentissa säädettäisiin potilaan tulevaisuuden varalle mahdollisesti ilmaiseman hoitotahdon kirjaamisesta. Tällaisesta ilmauksesta tulisi tallentaa tieto valtakunnallisten tietojärjestelmäpalvelujen tahdonilmaisupalveluun sekä tarvittaessa tehdä vastaava merkintä potilasasiakirjoihin. Lisäksi potilasasiakirjoihin tulisi liittää erillinen potilaan itsensä varmentama tahdon ilmaiseva asiakirja. Tieto hoitotahdosta tulisi tallentaa tahdonilmaisupalveluun, jotta tieto on saatavilla kaikille palvelunantajille, joita tahdonilmaisu voi koskea. Tahdonilmaisupalveluun tallennettua hoitotahtoa voivat päivittää kaikki palvelunantajat potilaan pyynnöstä ja lisäksi hoitotahtoa voisi päivittää potilas itse kansalaisen käyttöliittymän avulla. Hoitotahdosta voisi kuitenkin tarvittaessa tehdä saman sisältöisen merkinnän myös potilasasiakirjoihin. Jos potilas pyytää palvelunantajaa tallentamaan tiedon hoitotahdosta, tulisi potilasasiakirjoihin liittää asiakkaan itse varmentama asiakirja, josta hoitotahto käy ilmi. Merkittävä tieto voisi olla myös se, että potilaalla itsellään on hallussaan asiakirja hoitotahdostaan. Potilasasiakirjoihin olisi tehtävä myös merkinnät siitä, että potilaalle on annettu riittävä selvitys hänen tahtonsa noudattamisen vaikutuksista.  

6 luku Sosiaalihuollon asiakasasiakirjat

37 §. Sosiaalihuollon asiakasasiakirjoja koskevat periaatteet. Pykälässä säädettäisiin sosiaalihuollon asiakasasiakirjojen kirjaamisen keskeisistä periaatteista. Pykälän 1 momentissa säädettäisiin velvollisuudesta aloittaa sosiaalihuollon asiakastietojen kirjaaminen, kun palvelunantaja on saanut tiedon tai ilmoituksen henkilön palveluntarpeesta tai ryhtynyt toteuttamaan sosiaalipalvelua. Sääntely vastaisi voimassa olevan asiakasasiakirjalain 4 §:n 2 momenttia. Tieto palveluntarpeesta voi tulla asiakkaan itsensä ilmaisemana tai yhteydenottaja voi olla viranomainen, vanhempi, huoltaja, puoliso tai muu asiakkaan edustaja taikka kokonaan ulkopuolinen henkilö, esimerkiksi naapuri. Yhteydenotto voi tapahtua puhelimitse, se voi olla hakemus, lähete, muu kirjallinen ilmoitus tai henkilökohtainen työntekijän tapaaminen.  

Voimassa olevassa sosiaalihuoltolaissa (1301/2014) ei ole määritelty asiakkuuden alkamisajankohtaa. Sen sijaan lastensuojelulain (417/2007) 26 §:ssä säädetään lastensuojeluasian vireille tulosta ja 27 §:ssä asiakkuuden alkamisesta. Sosiaalityöntekijän on lastensuojelulain mukaan tehtävä lastensuojelun asiakkuuden alkamisesta merkintä lasta koskeviin lastensuojeluasiakirjoihin. 

Jos henkilölle annetaan nimetöntä neuvontaa tai ohjausta, ei muodostu sellaista asiakassuhdetta, josta laadittaisiin asiakasasiakirjoja. Koska tässä laissa säädettäisiin nimenomaan tietosuoja-asetuksessa tarkoitettujen henkilötietojen käsittelystä, eivät asiakirjojen laatimista koskevat säännökset myöskään koskisi anonyymisti palveluja saavia. 

Pykälän 2 momentissa säädettäisiin, että sosiaalihuollon asiakasasiakirjasta on käytävä ilmi, mihin palvelutehtävään tai palvelutehtäviin se liittyy. Säännös vastaisi voimassa olevan asiakasasiakirjalain 22 §:n 2 momentin sääntelyä. 

Pykälän 3 momentin mukaan silloin, kun sosiaalihuoltoa tai sosiaalipalvelua tuotetaan toisen lukuun, olisi sosiaalihuollon asiakasasiakirjoista käytävä ilmi niiden käsittelyperuste, palvelunjärjestäjä ja palveluntuottaja. Jos palveluntuottaja käyttää toista palveluntuottajaa alihankkijana, olisi asiakastiedoista ilmettävä hankintaketju kokonaisuudessaan. Säännös vastaa asiakasasiakirjalain 25 §:n 3 momenttia. 

38 §. Asiakasasiakirjoihin kirjattavat perustiedot. Pykälässä määriteltäisiin ne sosiaalihuollon asiakasta koskevat perustiedot, jotka sosiaalihuollon asiakasasiakirjoihin on kirjattava tai tuotettava esimerkiksi tietojärjestelmässä olevien asiakasta, ammattihenkilöä ja palvelunantajaa koskevien tietojen perusteella. 

Pykälän 1 momentissa säädettäisiin perustiedoista, jotka olisi aina käytä ilmi sosiaalihuollon asiakasasiakirjoista. Tiedot voivat olla asiakirjojen kuvailutietoja, eikä niiden tarvitse sisältyä asiakirjan varsinaiseen sisältöosioon. Kohdan yksi mukaan asiakirjasta tulisi ilmetä asiakirjan nimi.  

Kohdan 2 mukaan perustietona olisi oltava asiakkaan nimi. Asiakkaan yksiselitteiseksi yksilöimiseksi olisi lisäksi aina oltava hänen henkilötunnuksensa tai, ellei se ole tiedossa, hänet väliaikaisesti yksilöivä tunnus tai syntymäaika. Sosiaalihuollon asiakkaaksi saattaa tulla esimerkiksi turvapaikkaa hakenut henkilö, jolla ei ole henkilötunnusta. Lastensuojelun asiakkaaksi saatetaan kirjata vastasyntynyt, jolla vielä ei ole sen paremmin nimeä kuin henkilötunnustakaan. Tällaisille asiakkaille on annettava tilapäinen yksilöintitunnus. 

Kohdan 3 mukaan sosiaalihuollon asiakasasiakirjoista olisi käytävä ilmi palvelunjärjestäjän ja palveluntuottajan nimi ja yksilöintitunnus. Kohdan 4 mukaan olisi ilmettävä asiakirjan laatijan tai kirjauksen tehneen henkilön nimi sekä virka-asema tai tehtävä. Kohdan 5 mukaan olisi ilmettävä asiakirjan laatimisen tai kirjaamisen ajankohta.  

Pykälän 2 momentissa säädettäisiin tiedoista, jotka sosiaalihuollon asiakasasiakirjoihin olisi kirjattava. Tietoja ei ole tarpeen toistaa jokaisella asiakirjalla, vaan ne voivat olla koottuna yhteen asiakirjaan, kuten Terveyden ja hyvinvoinnin laitoksen määrittelyjen mukaiseen asiakkuusasiakirjaan. Asiakirjoille olisi aina kirjattava hyvinvointialue, jonka alueella asiakkaan kotikunta sijaitsee, asiakkuuden alkamisen ajankohta, tieto asiakkaan palveluista vastaavasta työntekijästä, mahdollinen tieto asiakkaan tai hänen laillisen edustajansa yhteystietoja koskevasta turvakiellosta sekä asiakkuuden päättymisen ajankohta ja päättymisen peruste. 

Laissa väestötietojärjestelmästä ja väestörekisterikeskuksen varmennepalveluista (661/2009) säädetään turvakiellosta. Lain 36 §:ssä säädetään, että jos henkilöllä on perusteltu syy epäillä oman tai perheensä turvallisuuden olevan uhattuna, maistraatti voi hänen pyynnöstään määrätä, että hänen, hänen kanssaan samassa taloudessa asuvan puolison tai lapsen kotikunta, asuinpaikka, osoite ja muu yhteystieto voidaan luovuttaa vain tietyin edellytyksin. Tieto voidaan luovuttaa vain sellaiselle viranomaiselle, jonka oikeus näiden tietojen käsittelyyn perustuu lain säännökseen.  

Ne viranomaiset, jotka saavat henkilön yhteystietoja järjestelmiinsä, saavat myös tiedon turvakiellosta. Tieto turvakiellosta annetaan myös niille viranomaisille, jotka virkatehtävää hoitaakseen saavat turvakiellon suojaamia tietoja. Heillä on virkatehtävää hoitaessaan erityinen velvollisuus huolehtia, etteivät turvakiellon suojaamat tiedot pääse ulkopuolisten käsiin 

Pykälän 3 momentissa säädettäisiin asianosaisia koskevista muista perustiedoista, jotka olisi kirjattava, jos ne vaikuttavat asiakkaan palveluun tai asiakirjassa esitettyihin ratkaisuihin. Kohdan yksi mukaan olisi kirjattava asiakkaan äidinkieli ja asiointikieli sekä yhteystiedot ja kotikunta. 2 kohdan mukaan alaikäistä asiakasta koskevaan asiakirjaan olisi kirjattava huoltajan tai muun laillisen edustajan nimi, yhteystiedot ja toimivalta. Jos huollosta erotetulle vanhemmalle on tuomioistuimen päätöksellä määrätty oikeus saada lasta koskevia sosiaalihuollon tietoja, myös tästä määräyksestä tehtäisiin kirjaus. 

Pykälän 3 kohdan mukaan perustietona kirjattaisiin myös tiedot täysi-ikäiselle asiakkaalle määrätystä laillisesta edustajasta ja asiakkaan valtuuttamasta henkilöstä. Heidän tietoinaan kirjattaisiin nimi, yhteystiedot ja tieto siitä, mihin tehtäviin edustajalla on toimivalta. Laillinen edustaja voi olla tuomioistuimen määräämä edunvalvoja tai holhousviranomaisen vahvistama edunvalvontavaltuutettu. Jos asiakkaalla on useita laillisia edustajia, sosiaalihuollon asiakasasiakirjoihin merkitään heistä se tai ne, jotka osallistuvat palvelujen suunnitteluun ja toteutukseen ja joilla tässä tarkoituksessa on oikeus saada häntä koskevia salassa pidettäviä asiakastietoja.  

Jos asiakkaan asian hoitamiseen osallistuu hänen omaisensa, läheisensä tai muu hänen hoidostaan tai huolenpidostaan vastaava henkilö heistä kirjattaisiin 4 kohdan mukaan nimi, yhteystiedot sekä heidän roolinsa asiassa. 

39 §. Tietojen saamista koskevat merkinnät. Kun sosiaalihuollon asiakasta koskevia tietoja saadaan muualta kuin asiakkaalta itseltään, tulee varmistaa, että tietojen saamiseen liittyvät tiedot ovat jälkikäteen todennettavissa asiakirjoista. Kun tietoja saadaan sivulliselta, tietojen vastaanottajan on voitava todentaa, mitä tietoja on hankittu tai saatu (kohta 1), keneltä tiedot on saatu tai muu tiedonlähde, jos tiedot on saatu teknisen käyttöyhteyden avulla (kohta 2), milloin tiedot on saatu (kohta 3), kuka tiedot on mahdollisesti pyytänyt, jos ne on hankittu oma-aloitteisesti (kohta 4), tiedon hankkimisen tai saamisen perusteena oleva säännös tai suostumusta koskevat tiedot (kohta 5) sekä käyttötarkoitus johon tiedot on hankittu tai saatu (kohta 6). 

Oikeus saada asiakasta koskevia tietoja voi perustua siihen, että niitä pyydetään tämän lain 64 §:n nojalla tai asiakkaan suostumuksella tai saadaan virka-avun yhteydessä asiakaslain 22 §:n perusteella. Vastaavasti tiedot voidaan saada ulkopuolisen aloitteesta asiakkaan suostumuksella taikka sivullisen tekemän ilmoituksen tai muun aloitteen perusteella. Ilmoitusvelvollisuudesta säädetään muun muassa lastensuojelulain 25 §:ssä ja ikääntyneen väestön toimintakyvyn tukemisestä sekä iäkkäiden sosiaali- ja terveyspalveluista annetun lain (980/2012) 25 §:ssä.  

Kun sosiaalihuollon valtakunnallinen asiakastietovaranto on otettu käyttöön tai kun palvelunantajalla on käytössä sähköisiä asiointikanavia, voidaan tietoja saada myös sähköisesti. Tällöin tietojen saamista koskevat merkinnät voidaan koota osittain tai täysin automaattisesti 

40 §. Alaikäisen asiakkaan kielto-oikeuden kirjaaminen. Pykälän sisältö vastaisi voimassa olevan asiakasasiakirjalain 12 §:n sääntelyä. Pykälässä säädettäisiin kirjaamisvelvoitteesta ja sen sisällöstä, kun alaikäinen kieltää esitettävän lain 51 §:n 2 momentin perusteella antamasta asiakastietojaan huoltajalleen, muulle lailliselle edustajalleen tai muulle tiedonsaantiin oikeutetulle henkilölle. 51 §:n 2 momentin mukaan alaikäinen voisi, ottaen huomioon hänen ikänsä ja kehitystasonsa sekä asian laatu, painavasta syystä kieltää antamasta itseään koskevia tietoja huoltajalleen, muulle lailliselle edustajalleen tai muulle tiedonsaantiin oikeutetulle.  

Ehdotetun lain pykälässä säädettäisiin merkinnöistä, jotka tällaisessa tilanteessa olisi tehtävä asiakasasiakirjoihin. Sen 1 momentin mukaan asiakirjaan olisi kirjattava alaikäisen kielto antaa tiettyä asiakasasiaansa koskevat tiedot huoltajalleen, muulle lailliselle edustajalleen tai muulle tiedonsaantiin oikeutetulle henkilölle. Kiellon perusteeksi esitetty painava syy olisi kirjattava. Pykälän 2 momentin mukaan asiakirjaan olisi kirjattava myös ratkaisun perustelut, jos alaikäisen kielto-oikeus evätään siksi, ettei hän ole esittänyt 1 momentissa tarkoitettua painavaa syytä kiellolle tai siksi että tietojen antamatta jättämisen katsotaan olevan selvästi vastoin alaikäisen asiakkaan omaa etua. 

Asiakirjatyypeittäin kirjattavat tiedot 

Sosiaalihuollon asiakastapahtumiin ja päätöksiin liittyvät asiakastiedot kirjattaisiin asiakasasiakirjoihin asiakirjatyypeittäin seuraavaa ryhmittelyä noudattaen:  

- asian vireille tuloon liittyvät ja asiakkaan palvelutarvetta ilmaisevat asiakasasiakirjat (40 §)  

- asiakkaan tilanteen ja palvelutarpeen arvioimiseen liittyvät asiakasasiakirjat (41 §)  

- palvelun ja asiakkuuden suunnittelemiseen liittyvät asiakasasiakirjat (42 §)  

- sosiaalipalvelun ja tuen antamiseen liittyvät asiakasasiakirjat (43 §) 

- päätöksentekoon liittyvät asiakasasiakirjat (44 §).  

Esimerkiksi lastensuojeluilmoitus ja toimeentulotukihakemus olisivat 40 §:ssä tarkoitettuja vireille tuloa koskevia asiakirjoja.  

41 §. Asian vireille tuloa koskevat asiakirjat. Säännös vastaisi voimassa olevan asiakasasiakirjalain 14 §:n sisältöä, eikä siihen esitetä muita muutoksia kuin pykälän otsikon täsmentäminen. Palveluprosessi alkaa, kun sosiaalihuollon työntekijä saa tiedon asiakkaan palvelujen tarpeesta. Yhteydenottaja voi olla asiakas itse, viranomainen, vanhempi, huoltaja, puoliso tai muu asiakkaan edustaja taikka ulkopuolinen henkilö. Yhteydenotto voi tapahtua puhelimitse, se voi olla hakemus, lähete tai muu kirjallinen ilmoitus tai henkilökohtainen työntekijän tapaaminen.  

Vireilletulovaiheeseen kuuluisi ilmoituksen tai hakemuksen kirjaaminen ja asiakkaan perustietojen kokoaminen. Vireilletulovaiheessa selvitetään yhteydenoton syyt ja sen perusteella aletaan selvittää asiakkaan kokonaistilannetta. Asiakirjoihin, jotka liittyvät asian vireille tuloon ja asiakkaan palvelutarpeen ilmaisemiseen, kirjattaisiin perustietojen lisäksi aina vireille saattajan ilmaisema asiakkaan tuen, huolenpidon, hoivan tai muun palvelun tarve (kohta 1), mahdolliset perustelut palvelun tarpeelle (kohta 2), asian vireillesaattaja, jos hän ilmaisee henkilöllisyytensä (kohta 3) sekä asian vireillesaattamisen ajankohta (kohta 4).  

Asian vireilletulosta viranomaisen järjestämässä sosiaalihuollossa säädetään hallintolain (434/2003) 20 §:ssä. Hallintoasia tulee vireille sinä päivänä, jona asian vireille panemiseksi tarkoitettu asiakirja saapuu toimivaltaiseen viranomaiseen tai kun asia on sille suullisen vireillepanon yhteydessä esitetty ja käsittelyn aloittamiseksi tarvittavat tiedot on kirjattu eli merkitty asiakirjaan. Viranomaisella on hallintolain 42 §:n mukaan velvollisuus kirjata suullisen vireillepanon yhteydessä esitetyt vaatimukset. Lastensuojelulaissa ja ikääntyneen väestön toimintakyvyn tukemisesta sekä iäkkäiden sosiaali- ja terveyspalveluista annetussa laissa (980/2012, jäljempänä vanhuspalvelulaki) on lisäksi erityissäännökset asian vireille tulosta ja ilmoituksen perusteella vireille tulevan asian käsittelystä. 

42 §. Palvelutarpeen arvio. Säännös vastaisi voimassa olevan asiakasasiakirjalain 15 §:n sisältöä, eikä siihen esitetä muutoksia pykälän otsikon täsmentämisen lisäksi. Ennen kuin asiakkaalle voidaan tehdä palvelusuunnitelma, on hänen palvelutarpeensa selvitettävä ja arvioitava. Sosiaalihuoltolain 39 §:n 2 momentin mukaan asiakkaan palvelutarpeen arviointia koskeviin asiakasasiakirjoihin kirjattaisiin asiakkaan arvio ja ammatillinen arvio tuen tarpeesta (kohta 1), asiakkaan arvio ja ammatillinen arvio tarvittavista palveluista ja toimenpiteistä (kohta 2), omatyöntekijän tai muun asiakkaan palveluista vastaavan työntekijän arvio asiakkaan terveyden tai kehityksen kannalta välttämättömistä sosiaalipalveluista sekä niiden alkamisajankohdasta ja kestosta (kohta 3) sekä asiakkaan ja työntekijän arvio asiakkaan vahvuuksista ja voimavaroista (kohta 5). 

Asiakaslain 8 § mukaan asiakas on palveluprosessissaan keskeisessä asemassa toimintakykynsä edellyttämässä määrin. Sanotun pykälän 1 momentin mukaan asiakkaan toivomukset ja mielipide on ensisijaisesti otettava huomioon ja muutoinkin kunnioitettava hänen itsemääräämisoikeuttaan. Aina asiakas ei kuitenkaan itse kykene riittävästi arvioimaan tilannettaan ja tarpeitaan. Näin on esimerkiksi silloin, kun pikkulapsi tai syvästi kehitysvammainen on kehitysvammahuollon asiakas tai kun vanhustenhuollon asiakkaan dementoiva sairaus on edennyt pitkälle. Tällaisten tilanteiden varalta asiakaslain 9 §:ssä säädetään seuraavasti ”Jos täysi-ikäinen asiakas ei sairauden, henkisen toimintakyvyn, vajavuuden tai muun vastaavan syyn vuoksi pysty osallistumaan ja vaikuttamaan palvelujensa tai sosiaalihuoltoonsa liittyvien muiden toimenpiteiden suunnitteluun ja toteuttamiseen taikka ymmärtämään ehdotettuja ratkaisuvaihtoehtoja tai päätösten vaikutuksia, on asiakkaan tahtoa selvitettävä yhteistyössä hänen laillisen edustajansa taikka omaisensa tai muun läheisen henkilön kanssa.” Tällöin on kirjattava myös laillisen edustajan, omaisen, tai muun läheisen henkilön käsitys asiakkaan tuen tarpeesta. 

Asiakaslain 10 §:n mukaan alaikäisen asiakkaan toivomukset ja mielipide on selvitettävä ja otettava huomioon hänen ikänsä ja kehitystasonsa edellyttämällä tavalla. Lisäksi pykälän 2 momentin mukaan kaikissa julkisen tai yksityisen sosiaalihuollon toimissa, jotka koskevat alaikäistä, on ensisijaisesti otettava huomioon alaikäisen etu. Alaikäinen voi toisinaan toimia asiakkaana myös itsenäisesti. Tämä on tyypillistäkin esimerkiksi opiskeluhuollon kuraattorin asiakkuuksissa.  

Esitettävän lain 51 §:n 2 momentin mukaan alaikäinen myös voisi, ottaen huomioon hänen ikänsä ja kehitystasonsa sekä asian laatu, painavasta syystä kieltää antamasta itseään koskevia tietoja lailliselle edustajalleen, jollei se ole selvästi vastoin alaikäisen omaa etua. Näissä tilanteissa ei luonnollisesti laillinen edustaja myöskään osallistu tilanteen arviointiin tai palvelujen suunnitteluun. 

Pykälän 2 momentissa säädettäisiin erityisistä kirjauksista, jotka tehtäisiin asiakassuunnitelmaa koskevaan arvioon. Asiakkaan tilannetta on arvioitava paitsi asiakassuhteen alussa myös palveluprosessin kuluessa. Asiakkaalle laaditussa palvelusuunnitelmassa esitettyjen tavoitteiden toteutumista on suunnitelmallisesti arvioitava ja tarvittaessa laadittava uusi palvelusuunnitelma. Tässä tarkoituksessa säädettäisiin, että suunnitelmaa koskevaan arvioon kirjataan asiakkaan ja muiden suunnitelman toteuttamiseen osallistuneiden käsitys ja työntekijän arvio siitä, miten suunnitelmassa esitetyt tavoitteet ovat toteutuneet. 

43 §. Asiakassuunnitelma. Säännös vastaisi voimassa olevan asiakasasiakirjalain 16 §:n sisältöä, eikä siihen esitetä muutoksia. Asiakaslain 7 §:n mukaan sosiaalihuoltoa toteutettaessa on laadittava palvelu-, hoito-, kuntoutus- tai muu vastaava suunnitelma, jollei kyseessä ole tilapäinen neuvonta ja ohjaus tai jollei suunnitelman laatiminen muutoin ole ilmeisen tarpeetonta. Suunnitelma on asiakirja, jossa asetetaan sosiaalihuollon asiakasta koskevan työskentelyn tavoitteet sekä ilmaistaan keinot, joilla tavoitteisiin pyritään. 

Asiakassuunnitelmaan kirjattaisiin palvelutarpeen arvioon perustuva sosiaalihuollon ammattihenkilön arvio asiakkaan tuen tarpeesta (kohta 1), kuvaus asiakkaan tarvitsemista palveluista (kohta 2), mahdollisuuksien mukaan yhdessä asiakkaan kanssa palvelulle ja asiakkuudelle asetetut tavoitteet ja keinot niiden saavuttamiseksi (kohta 3), ja asiakkaan tukemiseen osallistuvat yksityishenkilöt ja heidän tehtävänsä (kohta 4).  

Sosiaalihuoltolain 39 §:n 2 momentin mukaisesti asiakassuunnitelma-asiakirjaan kirjattaisiin tiedot siitä, kuinka usein asiakas ja omatyöntekijä tai muu asiakkaan palveluista vastaava työntekijä tulevat tapaamaan (kohta 4) sekä asiakkaan ja työntekijän yhdessä asettamat tavoitteet, joihin sosiaalihuollon avulla pyritään (kohta 6). Lisäksi suunnitelmaan kirjataan sanotun säännöksen mukaan arvio asiakkuuden kestosta (kohta 7), tiedot eri alojen yhteistyötahoista, jotka osallistuvat asiakkaan tarpeisiin vastaamiseen ja vastuiden jakautuminen niiden kesken (kohta 8) sekä suunnitelman toteutumisen seurantaa, tavoitteiden saavuttamista ja tarpeiden uudelleen arviointia koskevat tiedot (kohta 9). Arvioinnilla saadaan näkyviksi muutokset asiakkaan tilanteessa ja mahdollisesti aiemmin tunnistamattomat tai uudet palvelun tarpeet. Asiakkaalle laaditut suunnitelmat on tarkistettava viimeistään suunnitelmaan kirjattuna ajankohtana. Jo laaditun asiakassuunnitelman tavoitteiden toteutumista voisivat arvioida kaikki asiakkaan kanssa toimivat tai hänen asioihinsa vaikuttavat tahot. Erityisesti asiakkaan oma sekä hänen läheistensä arvio jo saatujen palvelujen vaikuttavuudesta on tärkeä suunnitelman tarkistamisen kannalta. 

44 §. Asiakaskertomus. Säännös perustuisi voimassa olevan asiakasasiakirjalain 17 §:n sisältöön, kuitenkin niin, että asiakkuuden alkamiseen ja päättymiseen liittyviä kirjauksia koskevat kohdat on siirretty esitettävän lain 37 §:ään. Asiakaskertomukseen kirjataan kaikki asiakkaaseen tai asiakkuuteen liittyvät tapahtumat, joissa asiakkaan asiaa on käsitelty. Asiakaskertomus voi muodostua useista asiakirjoista. Asiakaskertomuksessa olisi huomioitava 17 §:n mukainen kirjaamisvelvollisuus, jonka mukaan on kirjattava asiakkaan palvelun järjestämisen, suunnittelun, toteuttamisen, seurannan ja valvonnan turvaamiseksi tarpeelliset ja riittävät tiedot. Asiakaskertomukseen ei kuitenkaan ole syytä toistaa sisältöjä, jotka on kirjattu muille asiakirjoille. Esimerkiksi asiakassuunnitelman laatimisesta asiakaskertomukseen voisi kirjata, että asiakassuunnitelma on laadittu mutta asiakassuunnitelman sisältöjä ei olisi tarpeen kirjata toistamiseen.  

45 §. Päätös. Säännös vastaisi voimassa olevan asiakasasiakirjalain 18 §:n sisältöä, eikä siihen esitetä muutoksia. Pykälässä viitattaisiin hallintolakiin (434/2003), jonka 44 ja 45 §:ssä säädetään tiedoista, jotka on kirjattava päätösasiakirjaan. Hallintolain 43 § 1 ja 3 momentin mukaan hallintopäätös on annettava kirjallisesti. Hallintolain 44 § 1 momentin mukaan kirjallisesta päätöksestä on käytävä selvästi ilmi seuraavat seikat: Kohdan 1 mukaan päätökseen on kirjattava sen tehnyt viranomainen ja päätöksen tekemisen ajankohta sekä kohdan 2 mukaan asianosaiset, joihin päätös välittömästi kohdistuu. Momentin 3 kohdan mukaan on lisäksi kirjattava päätöksen perustelut ja yksilöity tieto siitä, mihin asianosainen on oikeutettu tai velvoitettu taikka miten asia on muutoin ratkaistu sekä 4 kohdan mukaan sen henkilön nimi ja yhteystiedot, jolta asianosainen voi pyytää tarvittaessa lisätietoja päätöksestä.  

Hallintolain 45 § 1 momentissa säädetään, että päätös on perusteltava. Perusteluissa on säännöksen mukaan ilmaistava mitkä seikat ja selvitykset ovat vaikuttaneet ratkaisuun sekä mainittava sovelletut säännökset 

7 luku Kirjaaminen monialaisessa yhteistyössä

46 §. Asiakastietojen kirjaaminen sosiaali- ja terveydenhuollon henkilöstön toteuttaessa palvelua yhdessä. Pykälässä säädettäisiin asiakastietojen kirjaamisesta silloin, kun sosiaali- ja terveydenhuollon henkilöstö toteuttaa sosiaali- ja terveyspalvelua yhdessä. Sanamuodon mukaan kyse on yhden yhteisen sosiaali- ja terveyspalvelun toteuttamisesta. Tyypillisesti kyse on sosiaalipalvelusta, jonka yhteydessä annetaan myös terveyspalvelua. Toisaalta voi olla kyse myös terveyspalvelusta, jonka yhteydessä on myös sosiaalipalvelua. Usein palvelua toteutetaan samassa palveluyksikössä ja toimipisteessä.  

Tyypillisiä yhdessä toteutettavia, sosiaali- ja terveydenhuollon yhteisiä palveluita ovat mm. monet päihteiden käyttäjille tarkoitetut avo- ja laitosmuotoiset palvelut, sosiaalihuoltolaissa tarkoitettu kotihoito, jossa palveluun sisältyy sekä sosiaalihuollon että terveydenhuollon toimintaa sekä tehostettu palveluasuminen (ympärivuorokautinen asuminen), jossa palveluun sisältyy asiakkaan tarpeen mukainen hoito ja huolenpito ja muut palvelut.  

Pykälässä säädettäisiin, että asiakkaalle voitaisiin laatia yhteinen palvelutarpeen arvio, asiakassuunnitelma ja kyseistä palvelua koskevat asiakaskertomusmerkinnät sekä muita tarpeellisia yhteisiä asiakasasiakirjoja. Palvelutarpeen arvio, asiakassuunnitelma ja mahdolliset muut asiakirjat tallennettaisiin tarpeellisessa laajuudessa sekä sosiaalihuollon asiakasrekisteriin että potilasrekisteriin. Siten kyseiset asiakirjat olisivat käytettävissä muissakin palveluyksiköissä sekä sosiaalihuollon että terveydenhuollon järjestämisen ja tuottamisen yhteydessä. Esimerkiksi kotihoidossa potilasrekisteriin tallennetut tiedot olisivat saatavilla sairaalassa, jos potilas joutuu sairaalahoitoon, tai tai päihteiden käyttäjien palveluissa kirjatut potilastiedot olisivat saatavilla terveysasemalla, jos potilas hakeutuu sen palveluiden piiriin. Vastaavasti potilastiedot ja sosiaalihuollon asiakastiedot olisivat tiedonsaantioikeuksien puitteissa saatavilla myös muiden palvelunantajien toiminnassa. Asiakaskertomus tallennettaisiin pelkästään sosiaalihuollon asiakasrekisteriin.  

Asiakaskertomusmerkintöjä voisivat kirjata sekä sosiaali- että terveydenhuollon ammattihenkilöt. 

Terveydenhuollon ammattihenkilöiden vastuulle kuuluisi edelleen laatia asiakkaan terveyden- ja sairaanhoidon edellyttämät tarkemmat terveys- ja hoitosuunnitelmat tai terveydenhuoltoon liittyvät kuntoutussuunnitelmat sekä muut tarvittavat potilasasiakirjamerkinnät. Ne kirjataan normaalisti potilasasiakirjoihin ja talletetaan palvelunantajan potilasrekisteriin.  

Esimerkiksi terveyspalvelua sisältävissä ikäihmisten sosiaalipalveluissa saattaa olla asiakkaan terveydenhuollon kannalta tärkeää, että tarpeelliset tiedot yhteisesti laaditusta suunnitelmasta tallennettaisiin myös potilasrekisteriin. Kun asiakas siirtyy sosiaalihuollon palvelusta terveyspalvelun piiriin, esimerkiksi tehostetusta palveluasumisesta terveydenhuollon päivystykseen, olisi potilasturvallisuuden kannalta tärkeää, että sosiaalipalveluiden yhteydessä terveydenhuollon ammattihenkilöiden kirjaama tieto on ajantasaisesti käytössä terveydenhuollon yksikössä.  

47 §. Asiakastietojen kirjaaminen sosiaali- ja terveydenhuollon yhteistyössä. Pykälässä säädettäisiin yhteisen palvelutarpeen arvioinnin ja asiakassuunnitelman laatimisesta silloin, kun sosiaali- ja terveyspalveluita antavat sosiaali- ja terveydenhuollon henkilöstö yhteistyössä. Pykälä mahdollistaisi siten yhteisten asiakirjojen laatimisen silloinkin, kun kyse on sosiaali- ja terveydenhuollon ammattihenkilöiden yhteistyöstä eri sosiaali- ja terveyspalveluita annettaessa. Koska yhteistyö ei kuitenkaan olisi niin tiivistä kuin yhtä yhteistä palvelua toteutettaessa, yhteisesti laadittavia asiakirjoja olisivat palvelutarpeen arviointi ja asiakassuunnitelma. Lisäksi olisi mahdollista laatia muita tarpeellisia yhteisiä asiakasasiakirjoja. Ne tallennettaisiin tarpeellisessa laajuudessa sekä sosiaalihuollon asiakasrekisteriin että potilasrekisteriin, jotta tiedot olisivat käytettävissä sekä sosiaalihuollossa että terveydenhuollossa. Sosiaali- ja terveydenhuollon yhteistyöstä säädetään terveydenhuoltolain 8 a §:ssä ja 32 §:ssä sekä sosiaalihuoltolain 2§:ssä. Lisäksi monialaisesta yhteistyöstä säädetään sosiaalihuoltolain 41 §:ssä. 

Tyypillisiä yhteistyössä toteutettavia palveluja ovat muun muassa sosiaalihuoltolain mukainen, ehdotettu yhteisöllinen asuminen ja siihen mahdollisesti liittyvät terveyspalvelut, mielenterveys- ja päihdekuntoutujille suunnattu sosiaalihuoltolain 21§:n mukainen tuettu asuminen, jossa sosiaalipalvelun rinnalla usein tarvitaan samanaikaisia terveydenhuollon palveluja, tai sosiaalihuoltolain 17 §:n mukainen sosiaalinen kuntoutus, jos se olisi sovitettu yhteen terveydenhuoltolain mukaisen hoidon tai lääkinnällisen kuntoutuksen kanssa. 

48 §. Asiakastietojen kirjaaminen sosiaali- ja terveydenhuollon ja muiden toimialojen välisessä yhteistyössä. Pykälässä säädettäisiin asiakastietojen kirjaamisesta monialaisessa yhteistyössä silloin, kun yhteistyöhön osallistuu sosiaali- ja terveydenhuollon lisäksi muidenkin viranomaisten ja muiden tahojen edustajia. Monialaista yhteistyötä tehdään esimerkiksi lastensuojelussa ja työikäisten palveluissa. Terveydenhuollon yhteistyöstä ja asiakkaan ohjaamisesta muiden tahojen vastuulla oleviin palveluihin säädetään terveydenhuoltolain 30 §:ssä. 

Pykälän 1 momentin 1 kohdassa säädettäisiin monialaiseen asiakastyöhön osallistuvien henkilöiden oikeudesta laatia yhteistä asiakasta koskevia, yhteisesti käytettävissä olevia asiakasasiakirjoja. Säännöksessä tarkoitettu monialainen yhteistyö voi perustua esimerkiksi tilannekohtaisesti koottuihin verkostokokouksiin. 

Yhteistyöhön osallistuvat henkilöt voisivat momentin perusteella kirjata ja tallentaa salassapitosäännösten estämättä yhteistyössä saamiaan sosiaali- ja terveydenhuollon asiakastietoja oman organisaationsa asiakirjoihin siinä määrin kuin ne ovat välttämättömiä yhteisen asiakkaan asian hoitamiseksi kunkin yhteistyöhön osallistuvan henkilön oman tehtävän kannalta tai hänen edustamansa organisaation toiminnan kannalta. 

Vastaavasti monialaiseen asiakasyhteistyöhön osallistuvat henkilöt voisivat salassapitosäännösten estämättä tallentaa asiakkaan asian hoitamisen kannalta välttämättömän yhteistyötä koskevan yhteisen asiakassuunnitelman sen organisaation rekisteriin, jonka edustajana he ovat osallistuneet yhteistyöhön. 

Pykälän 2 momentissa olisi selkeyden vuoksi informatiivinen maininta, jonka mukaan sen 1 momentissa tarkoitettuja tietoja koskeviin salassapitovelvoitteisiin sovellettaisiin, mitä esitettävän lain 4 §:n 1 momentissa ja tietosuojalain 35 §:ssä riippumatta siitä, minkä organisaation asiakirjoihin tiedot olisi talletettu. Lisäksi informatiivisista syistä säädettäisiin, ettei asiakastietoja saa käyttää eikä luovuttaa muihin tarkoituksiin, kuin mitä varten tiedot on tallennettu, ja että asiakastietoja saa säilyttää ainoastaan sen aikaa, kuin käyttötarkoituksen kannalta on välttämätöntä. 

8 luku Tiedonsaantioikeus ja tietojen luovuttaminen

Toisen puolesta asiointi ja asiakastietojen luovuttaminen asiakkaan lailliselle edustajalle, lähiomaiselle tai muulle läheiselle 

49 §. Tietojen antaminen asiakkaan lailliselle edustajalle tai läheiselle erityistilanteissa. Pykälässä säädettäisiin, missä tapauksissa ja millä edellytyksillä asiakkaan edustajalla, lähiomaisella tai muulla läheisellä olisi oikeus asiakastietoihin.  

Pykälän 1 momentin mukaan potilaan laillisella edustajalla taikka lähiomaisella tai muulla läheisellä olisi potilaslain 6 §:n 2 ja 3 momentissa tarkoitetussa tapauksessa oikeus saada kuulemista ja suostumuksen antamista varten tarpeelliset tiedot potilaan terveydentilasta. Säännös vastaisi potilaslain 9 §:n 1 momenttia. Laillisen edustajan oikeus saada tiedot määräytyy muun lainsäädännön kautta ollen laajempi kuin tässä momentissa esitetty, mutta tiedonsaantioikeudesta momentin mukaisissa erityistilanteissa esitetään selkeyden vuoksi säädettäväksi tässä yhteydessä.  

Pykälän 2 momentin mukaan tajuttomuuden tai muun siihen verrattavan syyn vuoksi potilaan lähiomaisella tai muulla hänen läheisellään olisi oikeus saada tieto potilaan henkilöstä ja hänen terveydentilastaan, jollei ole syytä olettaa, että potilas kieltäisi näin menettelemästä. Vastaava säännös sisältyy nykyisin potilaslain 13 §:n 3 momentin 4 kohtaan. 

Pykälän 3 momentissa olisi vastaava sääntely sosiaalihuollon asiakkaiden osalta. Sen mukaan sosiaalihuollon asiakkaan laillisella edustajalla tai lähiomaisella tai muulla läheisellä, olisi oikeus saada asiakaslain 7 §:n 2 momentin ja lastensuojelulain (417/2007) 30 §:n 1 momentissa tarkoitetuissa tapauksissa tarpeelliset tiedot asiakas-, palvelu- ja hoitosuunnitelman tekemistä ja asiakaslain 9 §:n 1 momentin mukaisissa tilanteissa asiakkaan tahdon selvittämistä varten. Asiakaslain 7 §:n 2 momentin mukaan asiakkaan palvelu- ja hoitosuunnitelma on laadittava lain 9 ja 10 §:ssä tarkoitetuissa tapauksissa asiakkaan ja hänen laillisen edustajansa taikka asiakkaan ja hänen omaisensa tai muun läheisensä kanssa. 9 §:n 1 momentin mukaan, jos täysi-ikäinen ei sairauden, henkisen toimintakyvyn vajavuuden tai muun vastaavan syyn vuoksi pysty osallistumaan ja vaikuttamaan palvelujensa tai sosiaalihuoltoonsa liittyvien muiden toimenpiteiden suunnitteluun ja toteuttamiseen taikka ymmärtämään ehdotettuja ratkaisuvaihtoehtoja tai päätösten vaikutuksia, on asiakkaan tahtoa selvitettävä yhteistyössä hänen laillisen edustajansa taikka omaisensa tai muun läheisen henkilön kanssa. 

50 §. Tietojen käsittely toisen puolesta. Pykälän 1 momentissa informatiivisista syistä säädettäisiin, millä perusteilla henkilöllä olisi oikeus käsitellä toisen henkilön puolesta tämän asiakas- ja hyvinvointitietoja asiointipalveluissa. Toisen henkilön puolesta asioinnin tulisi perustua valtuutukseen tai holhoustoimilain (442/1999) 29 §:n 2 momentin nojalla annettuun edunvalvojan määräykseen. Puolesta asioinnin toteuttaminen edellyttää Digi- ja väestötietoviraston vastuulle kuuluvien kansallisten rekisterien määrätietoista kehittämistä ja rakenteisen tiedon käyttöönottoa niin, että rekistereistä saadaan rakenteisessa muodossa puolesta asioinnin edellyttämät tiedot, esimerkiksi tieto esimerkiksi terveydenhuollon asioihin määrätystä edunvalvojasta. Huoltajalla olisi oikeus käsitellä huollettavastaan tallennettuja tietoja, ellei esitettävän lain 51 §:stä, tietosuoja-asetuksen 8 artiklan 1 kohdasta, tietosuojalain 5 §:stä tai lain lapsen huollosta ja tapaamisoikeudesta (361/1983) 4 §:n 4 momentista muuta johdu. 

Alaikäisen oikeudesta kieltää asiakastietojensa luovuttaminen huoltajalle, muulle lailliselle edustajalle tai muulle tiedonsaantiin oikeutetulle henkilölle säädetään 51 §:ssä. Lisäksi alaikäisen kielto-oikeuden lisäksi huoltajalla ei pitäisi olla huollettavansa tietojen käsittelyoikeutta sellaisten tietojen osalta, joihin huoltajalla ei olisi tarkastusoikeutta tai julkisuuslain mukaista asianosaisen tiedonsaantioikeutta. Esimerkiksi kyseessä voi olla lastensuojelun asiakkaana oleva pieni lapsi, joka ei vielä kykene kieltämään tietojen antamista huoltajalleen, mutta silti voi olla lainmukainen peruste evätä esimerkiksi huoltajan tarkastusoikeus kaikkiin lasta koskeviin tietoihin tai osaan niistä. Asiakkaalle ei voisi edes näyttää edellä mainittuja tietoja. Huoltajan osalta kieltäytymisperusteet voivat kuitenkin olla erilaiset kuin alaikäisen itsensä osalta. Terveydenhuollossa voi olla kyse esimerkiksi tilanteesta, jossa lapsi kertoo kotona tapahtuneesta häneen tai perheenjäseneen kohdistuneesta pahoinpitelystä tai muusta kaltoin kohtelusta kouluterveydenhoitajalle. Lapsi ei välttämättä tiedä, että tieto hänen käynnistään terveydenhoitajan luona voi tulla vanhemman tietoon. Ammattihenkilön vastuuseen kuuluukin huolehtia lapsen edusta ja lapsen turvallisuudesta kaikissa tilanteissa silloinkin, kun lapsi ei vielä olisi kehitystasonsa puolesta kykenevä kieltämään tietojensa näyttämistä.  

Tietosuoja-asetuksen 8 artiklan 1 kohdan mukaisesti, jos 6 artiklan 1 kohdan a alakohtaa sovelletaan eli henkilötietojen käsittelyperusteena on suostumus, katsotaan, että kun kyseessä on tietoyhteiskunnan palvelujen tarjoaminen suoraan lapselle, lapsen henkilötietojen käsittely on lainmukaista, jos lapsi on vähintään 16-vuotias. Jos lapsi on alle 16 vuotta, tällainen käsittely on lainmukaista vain siinä tapauksessa ja siltä osin kuin lapsen vanhempainvastuunkantaja on antanut siihen suostumuksen tai valtuutuksen. Jäsenvaltiot voivat lainsäädännössään säätää tätä tarkoitusta koskevasta alemmasta iästä, joka ei saa olla alle 13 vuotta.  

Tietosuojalain 5 §:n mukaisesti, kun henkilötietoja käsitellään tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdassa tarkoitetun suostumuksen perusteella ja kyseessä on tietosuoja-asetuksen 4 artiklan 25 kohdassa tarkoitettujen tietoyhteiskunnan palvelujen tarjoaminen suoraan lapselle, lapsen henkilötietojen käsittely on lainmukaista, jos lapsi on vähintään 13-vuotias.  

Huoltajan tehtävistä säädetään lain lapsen huollosta ja tapaamisoikeudesta (361/1983) 4 §:ssä. Sen 4 kohdan mukaan huoltaja edustaa lastaan tämän henkilöä koskevissa asioissa, jollei laissa ole toisin säädetty.  

Tukipalvelulain 10 §:n 1 momentissa säädetään Digi- ja väestötietoviraston asiointivaltuuspalvelun tuottamista varten pitämästä sähköisten valtuuksien rekisteristä. Laissa säädetään myös valtuutuksen ja muun tahdonilmaisun rekisteröinnin edellytyksistä sekä valtuutuksen tai muun tahdonilmaisun sisällön sekä sen antajaa koskevan tiedon yhdistämisestä ja tietokokonaisuuden eheyden varmistamisesta (10 §). 

Digi- ja väestötietovirasto pitää asiointivaltuuspalvelun tarjoamiseksi rekisteriä luonnollisten henkilöiden antamista ja yhteisöjen puolesta annetuista asiointia koskevista valtuutuksista ja muista tahdonilmaisuista. Tahdonilmaisut olisivat toimivallaltaan tarkkarajaisia tiettyyn toimintaan tai tapahtumaan liittyviä. Asiointivaltuuspalvelu voi välittää myös muiden viranomaisten tallentamia valtuutusta ja muita tahdonilmaisuja koskevia tietoja, jos näitä tietoja tallentava viranomainen on antanut Digi- ja väestötietovirastolle luvan tietojen välittämiseen eikä toiminta vaaranna asiointivaltuuspalvelussa välitettävien tietojen luotettavuutta. Muiden viranomaisten tahdonilmaisuja koskevien rekisterien osalta rekisterinpitovastuu perustuu näiden viranomaisten toimintaa koskeviin säännöksiin ja vastuu rekisterinpidosta ja tahdonilmaisujen rekisteröinnistä säilyy asianomaisella viranomaisella. Digi- ja väestötietovirasto vastaa vain asiointivaltuuspalveluun sisältyvän välityspalvelun toiminnasta.  

51 §. Alaikäisen oikeus kieltää tietojensa luovuttaminen huoltajalle. Pykälässä säädettäisiin alaikäisen asiakkaan oikeudesta kieltää asiakastietojensa luovuttaminen huoltajalle tai muulle lailliselle edustajalle. 1 momentissa säädettäisiin terveydenhuollon alaikäisen potilaan oikeudesta kieltää tietojensa luovutus silloin, kun alaikäinen ikäänsä ja kehitystasoonsa nähden kykenee päättämään hoidostaan. Säännös vastaisi voimassa olevaa potilaslain 9 §:n 2 momenttia. Alaikäisen päätöskyvystä ja hoitamisesta yhteisymmärryksessä hänen itsensä kanssa huoltajien sijasta säädetään potilaslain 7 §:ssä. 

Pykälän 2 momentissa olisi vastaava säännös sosiaalihuollon alaikäisen asiakkaan kielto-oikeudesta. Säännös vastaisi asiakaslain 11 §:n 3 momentin sääntelyä. Alaikäinen voisi hänen ikänsä ja kehitystasonsa sekä asian laatu huomioon ottaen painavasta syystä kieltää antamasta itseään koskevia tietoja lailliselle edustajalleen, jollei se ole selvästi alaikäisen edun vastaista. Jos laillinen edustaja on asianosaisena sosiaalihuoltoa koskevassa asiassa, laillisella edustajalla olisi kuitenkin asianosaisen tiedonsaantioikeus julkisuuslain 11 §:n mukaisesti.  

Ammattihenkilön olisi varmistettava aina asiakastietoja kirjatessaan, että lapsi tietää ja ymmärtää, että tiedot näkyvät huoltajalle ja että hänellä iän ja kehitystason sen edellyttäessä, on oikeus kieltää tietojen antaminen. Lapselle tulee myös kertoa, mitä seurauksia kiellosta voi olla. Lapsen kielto-oikeutta tulee kunnioittaa, mutta ammattihenkilöllä on velvollisuus keskustella ja ohjata lasta tällaisessa tilanteessa, erityisesti, jos hän arvioi, että tietojen salaaminen huoltajilta on lapselle haitallisempaa kuin tietojen antaminen huoltajalle.  

Sosiaalihuollossa esimerkiksi huoltajan ja alaikäisen huollettavan edut voivat olla ristiriidassa, jolloin noudatetaan lapsen edun mukaista tulkintaa. Tässä tapauksessa huoltajalla ei olisi oikeutta käsitellä huollettavan tietoja, jos tämä olisi lapsen edun vastaista. Tällaisia tilanteita saattaa nousta esiin sosiaalihuollossa ja erityisesti lastensuojelussa. Myös käräjäoikeuden päätöksellä on mahdollista ja voidaan rajata huoltajan oikeutta käsitellä alaikäisen huollettavansa tietoja.  

Sosiaali- ja terveysvaliokunnan asiakaslakiehdotuksesta HE 137/1999 antaman mietinnön (StVM 18/2000 vp) mukaan on pidetty tarpeellisena, ettei alaikäisen kielto-oikeus sosiaalihuollossa ole yhtä ehdoton kuin terveydenhuollossa, vaan asiassa tulisi arvioida myös lapsen etu. Valiokunnan mukaan alaikäisen kieltäessä tietojensa luovuttamisen tulisi ensin selvittää, onko hänellä painava syy kiellolleen. Lisäksi kieltoedellytyksiä tulisi harkita ottaen huomioon lapsen ikä ja kehitystaso sekä asian laatu. Mitä vanhemmasta lapsesta ja mitä vähäisemmästä asiasta on kyse, sitä helpommin kieltoa voidaan noudattaa. Jos katsotaan, että lapsella mainittujen kriteerien perusteella on painava syy kiellolle, tulee sen jälkeen ottaa kantaa siihen, olisiko tietojen luovuttamatta jättäminen selvästi vastoin hänen etuaan. Jos tietojen luovuttamatta jättäminen olisi selvästi vastoin alaikäisen etua, ei tietoa voisi jättää antamatta huoltajalle tai muulle lailliselle edustajalle. Kielto-oikeuden on katsottava olevan vastoin lapsen etua aina, jos se estää lapsesta huolta pitävää henkilöä huolehtimasta asianmukaisesti lapsen hoidosta ja kasvatuksesta. Lapsen edun ensisijaisuuden periaatetta tulee siten noudattaa myös tulkittaessa lapsen oman mielipiteen painoarvoa. Alaikäisen iän myötä kasvava määräämisoikeus ei merkitse, että aikuisten aina tulisi toimia niin kuin alaikäinen tahtoo. 

52 §. Asiakastietojen luovuttaminen kuoleman jälkeen. Pykälässä säädettäisiin asiakastietojen luovuttamisesta asiakkaan kuoleman jälkeen. Kuolleen henkilön elinaikana annettua sosiaali- tai terveyspalvelua koskevia tietoja saisi luovuttaa perustellusta kirjallisesta hakemuksesta sille, joka tarvitsee tietoja tärkeiden etujensa tai oikeuksien selvittämistä tai toteuttamista varten siltä osin kuin tiedot ovat välttämättömiä etujen tai oikeuksien selvittämiseksi tai toteuttamiseksi. Luovutuksensaaja ei saisi käyttää tai luovuttaa tietoja edelleen muuhun tarkoitukseen. Säännös perustuisi nykyisen potilaslain 13 §:n 3 momentin 5 kohtaan, ja tiedonsaantioikeutta laajennettaisiin myös sosiaalihuollon asiakastietoihin. 

Potilaslain HE 181/1999 vp mukaan tietojen luovuttaminen voi tulla kyseeseen esimerkiksi, jos vainajan lähiomainen haluaa selvityttää, liittyykö vainajan kuolemaa edeltäneeseen hoitoon hoitovirhe, tai jos tietoja tarvitaan vainajan eläessään tekemän testamentin tai muun oikeustoimen pätevyyden selvittämiseksi. Luovutus saattaisi tulla kysymykseen esimerkiksi, kun vainajan sukulainen haluaa selvittää vainajan eläessään sairastaman periytyvän sairauden riskiä, eli tieto olisi tarpeen merkittävän terveysriskin selvittämiseksi siltä osin kuin lääketieteellisesti arvioiden on tarpeen. Tietojen luovuttaminen ei sinänsä edellytä sukulaisuutta vainajaan, vaikka useimmissa tilanteissa tietoja tarvitseva on vainajan lähiomainen tai muu sukulainen. Tietoja voitaisiin luovuttaa vain siinä määrin, kuin se on välttämätöntä tietoja pyytävien oikeuksien tai etujen selvittämiseksi tai toteuttamiseksi.  

Myös sosiaalihuollon asiakastiedot saattavat olla välttämättömiä sen selvittämiseksi, onko palveluissa tapahtunut laiminlyönti tai muu virhe, joka on saattanut vaikuttaa henkilön kuolemaan. 

Pykälän perusteella alaikäisenä kuolleen lapsen huoltajalla olisi oikeus saada lapsensa potilastiedot, joita huoltaja tarvitsee tärkeiden etujensa tai oikeuksiensa selvittämiseksi tai toteuttamiseksi. Huoltaja ei kuitenkaan lapsen kuoleman jälkeenkään voisi saada sellaisia potilastietoja, joiden luovuttamisen huoltajalle lapsi on elinaikanaan kieltänyt. Huoltajalla on lapsen elinaikana tiedonsaantioikeus lapsensa tietoihin, jotta voi huoltajana käyttää tietojen tarkastusoikeutta lapsensa puolesta ja muutoin edustaa lasta ja valvoa lapsen etuja. Koska lapsen kuoleman jälkeen huoltaja ei enää edusta lasta, on myös tiedonsaantioikeus rajatumpi kuin lapsen eläessä.  

Tiedonsaantioikeus ja asiakastietojen luovuttaminen muille sosiaali- ja terveydenhuollossa sekä muille viranomaisille 

53 §. Tiedonsaantioikeus sosiaali- ja terveydenhuollon välillä. Pykälässä säädettäisiin tiedonsaantioikeudesta asiakastietoihin sosiaali- ja terveydenhuollon välillä. Sanamuodon mukaisesti tiedonsaantioikeudet olisivat sosiaalihuollon palvelunantajalla ja terveydenhuollon palvelunantajalla. Esimerkiksi hyvinvointialue on sekä sosiaalihuollon että terveydenhuollon palvelunantaja, joten momentit mahdollistavat potilastietojen ja sosiaalihuollon asiakastietojen saamisen sekä hyvinvointialueen omassa toiminnassa sosiaali- ja terveyspalvelujen välillä että muilta palvelunantajilta. 

Pykälän 1 momentin mukaan sosiaali- ja terveydenhuollon yhteisen palvelun toteuttamiseen osallistuvalla henkilöllä olisi oikeus saada ja käyttää yhteisen palvelun toteuttamisen kannalta välttämättömiä asiakasasiakirjoja. Siten yhteisen palvelun toteuttamiseen osallistuvilla terveydenhuollon ammattihenkilöillä olisi oikeus saada ja käyttää sosiaalihuollon asiakasrekisteriin tallennettuja sosiaalihuollon asiakastietoja ja vastaavasti sosiaalihuollon ammattihenkilöillä olisi oikeus saada ja käyttää potilasrekisteriin tallennettuja potilastietoja siinä määrin, kuin on yhteisen palvelun toteuttamisen kannalta välttämätöntä. Kyse olisi sosiaali- ja terveydenhuollon yhteisistä palveluista, joissa voidaan katsoa olevan yhteinen käyttötarkoitus ja joissa välttämätöntä asiakastietojen käsittelyä on voitava toteuttaa ilman asiakkaan erillistä suostumusta. 

Pykälän 2 ja 3 momentissa säädettäisiin tiedonsaantioikeudesta sosiaali- ja terveydenhuollon välillä asiakkaan antaman luovutusluvan perusteella. Tiedonsaantioikeuden käsittelyperuste oli siten lainsäädäntö. Luovutuslupa toimisi suojatoimena, jonka avulla asiakas voi itse päättää missä laajuudessa tiedonsaantioikeus toteutuisi.  

Pykälän 2 momentissa säädettäisiin sosiaalihuollon palvelunantajan tiedonsaantioikeudesta potilastietoihin asiakkaan sosiaalipalvelun järjestämiseksi ja toteuttamiseksi. Edellytyksenä tiedon saamiselle olisi asiakkaan antama luovutuslupa. Luovutusluvassa olisi yksilöitävä, mitä potilastietoja sosiaalihuollon palvelunantajalla olisi oikeus saada ja käyttää sosiaalipalvelun järjestämiseksi ja toteuttamiseksi. Luovutusluvan avulla asiakas voisi määrätä esimerkiksi mitä potilastietoja ja miltä aikajaksolta kullakin palvelunantajalla olisi oikeus saada. Tietojen osalta lupa voisi kohdentua esimerkiksi kaikkiin tai joihinkin tiedonhallintapalvelun kautta koostettaviin keskeisiin potilastietoihin, kuten diagnoosit, riskitiedot, toimintakykytiedot, toimenpiteet ja fysiologiset mittaukset, lääkemääräyksiä koskeviin tietoihin, kuntoutus- ja hoitosuunnitelmiin tai tietyn lääketieteellisen erikoisalan tai palvelun potilastietoihin. 

Pykälän 3 momentissa säädettäisiin terveydenhuollon palvelunantajan tiedonsaantioikeudesta sosiaalihuollon asiakastietoihin potilaan terveyspalvelun järjestämiseksi ja toteuttamiseksi. Edellytyksenä tiedon saamiselle olisi asiakkaan antama luovutuslupa. Luovutusluvassa olisi yksilöitävä, mitä sosiaalihuollon asiakastietoja terveydenhuollon palvelunantajalla olisi oikeus saada ja käyttää terveyspalvelun järjestämiseksi ja toteuttamiseksi. Luovutusluvan avulla asiakas voisi määrätä esimerkiksi mitä sosiaalihuollon asiakastietoja ja miltä aikajaksolta kullakin terveydenhuollon palvelunantajalla olisi oikeus saada. Tietojen osalta lupa voisi kohdentua esimerkiksi asiakkuusasiakirjaan, josta ilmenee asiakkaan saamat sosiaalipalvelut ja niiden vastuutyöntekijät tai sosiaalihuollon asiakassuunnitelmaan, sosiaalipalvelua koskevaan päätökseen tai muuhun yksittäiseen sosiaalihuollon asiakasasiakirjaan. 

Pykälän 4 momentin sosiaali- ja terveysministeriön asetuksella voitaisiin säätää tarkemmin 2 ja 3 momentissa tarkoitetun luovutusluvan kohdentamisesta potilastietoihin ja sosiaalihuollon asiakastietoihin. Koska luovutuslupa tulisi 2 ja 3 momentin mukaan voida antaa yksilöimällä luovutusluvan kohteena olevat tiedot, säädettäisi asetuksella ainoastaan teknisesti, mihin tietorakenteisiin luovutusluvan kohdistaminen tulisi voida tehdä. 

Pykälän 5 momentissa säädettäisiin sosiaalihuollon palvelunantajan tiedonsaantioikeudesta välttämättömiin potilastietoihin asiakkaan sosiaalipalvelun järjestämiseksi ja toteuttamiseksi tilanteessa, jossa asiakas ei kykene arvioimaan annettavan luovutusluvan merkitystä eikä siten päättämään luovutusluvan antamisesta. Tällainen tilanne voi olla, jos asiakkaalla esimerkiksi muistisairauden, mielenterveyden häiriön, kehitysvammaisuuden tai vastaavan syyn takia ei ole edellytyksiä arvioida suostumuksen merkitystä eikä hänellä ole laillista edustajaa. Säännös turvaisi välttämättömien potilastietojen luovuttamisen erityisesti heikoimmassa asemassa olevien asiakkaiden kohdalla. Kyse voisi olla esimerkiksi lääkitystä, hoidossa huomioitavia riskejä tai muita keskeisiä asiakkaan terveydentilaan liittyviä tietoja, jotka huomioitava myös sosiaalipalvelua annettaessa esimerkiksi asumispalveluissa. Käyttöoikeuksista välttämättömään asiakastietoon säädetään 9 §:n mukaisesti sosiaali- ja terveysministeriön asetuksella. Asetuksella säädettäisiin siten tarkemmin, mitä potilastietoja eri sosiaalipalveluissa ja työtehtävissä saisi käyttää. 

Pykälän 6 momentissa säädettäisiin terveydenhuollon palvelunantajan tiedonsaantioikeudesta sosiaalihuollon asiakastietoihin asiakkaan terveyspalvelun järjestämiseksi ja toteuttamiseksi tilanteessa, jossa asiakas ei kykene arvioimaan annettavan luovutusluvan merkitystä eikä siten päättämään luovutusluvan antamisesta. Tällainen tilanne voi olla, jos asiakkaalla esimerkiksi muistisairauden, mielenterveyden häiriön, kehitysvammaisuuden tai vastaavan syyn takia ei ole edellytyksiä arvioida suostumuksen merkitystä eikä hänellä ole laillista edustajaa. Säännös turvaisi välttämättömien sosiaalihuollon asiakastietojen luovuttamisen erityisesti heikoimmassa asemassa olevien asiakkaiden kohdalla. Kyse voisi olla esimerkiksi toimintakykyä koskevista tiedoista tai tietoa asiakkaan saamista sosiaalihuollon palveluista, joista tieto on tarpeen jatkohoidon suunnittelussa. Käyttöoikeuksista välttämättömään asiakastietoon säädetään 9 §:n mukaisesti sosiaali- ja terveysministeriön asetuksella. Asetuksella säädettäisiin siten tarkemmin, mitä sosiaalihuollon asiakastietoja eri terveyspalveluissa ja työtehtävissä saisi käyttää. 

54 §. Terveydenhuollon palvelunantajan oikeus saada potilastietoja ja potilastietojen luovuttaminen hoidon turvaamiseksi. Pykälässä säädettäisiin sekä terveydenhuollon palvelunantajan tiedonsaantioikeudesta potilastietoon potilaan terveyspalvelun järjestämiseksi ja toteuttamiseksi että terveydenhuollon palvelunantajan oikeudesta luovuttaa välttämättömiä potilastietoja tietyissä tilanteissa. Nykyinen tietojen luovuttamiseen perustuva sääntely muutettaisiin siten tiedonsaantioikeuden muotoon. Luovuttamista koskevaa sääntelyä jäisi vain tilanteisiin, joissa palvelunantaja luovuttaisi potilastietoja oma-aloitteisesti tai ulkomaisen terveydenhuollon toimintayksikön pyynnöstä. 

Pykälän sääntely koskisi tiedonsaantioikeutta palvelunantajien välillä, mutta lisäksi pykälän perusteella samankin palvelunantajan toiminnassa perusterveydenhuollossa, erikoissairaanhoidossa ja yksityisessä terveydenhuollossa olisi oikeus saada työterveyshuollon rekisteriin tallennettua potilastietoja, ja vastaavasti työterveyshuollossa olisi oikeus saada potilasrekisteriin tallennetut potilastiedot potilaan antaman luovutusluvan perusteella.  

Käyttötarkoitus, jota varten potilastietoja voisi saada, olisi potilaan terveyspalvelun järjestäminen ja tuottaminen. Potilastietoja voisi luovuttaa myös niille palvelunantajille, jotka tuottavat sosiaalipalveluita, joiden yhteydessä annetaan myös terveyspalveluita. Tällaisia palveluita ovat esimerkiksi kotihoito, hoiva- ja asumispalvelut sekä päihdehuollon laitos- ja kuntoutuspalvelut.  

Pykälän 1 momentin mukaan terveydenhuollon palvelunantajalla olisi oikeus saada ja käyttää potilastietoja potilaan terveyspalvelun järjestämiseksi ja toteuttamiseksi. Tietojen saamisen edellytyksenä olisi asiakkaan antama luovutuslupa. Tämä takaisi osaltaan asiakkaan perusoikeutena turvattua yksityiselämän suojaa ja hänen asiakastietoihin liittyvää itsemääräämisoikeuttaan. Asiakkaan antama luovutuslupa kattaisi kaikki potilastiedot, ja sen laajuutta voisi rajata kieltojen avulla. Luovutuslupa vastaisi siten laajuudeltaan voimassa olevan asiakastietolain luovutuslupaa ja sitä edeltäneen asiakastietolain laajaa, valtakunnallisia tietojärjestelmäpalveluja koskenutta suostumusta.  

Momentissa olisi myös viittaus lääkemääräyslain 13 §:ään, jossa säädetään lääkemääräysten ja muiden reseptikeskukseen tallennettujen lääkehoitoa koskevien merkintöjen luovuttamisesta. 

Pykälän 2 momentissa säädettäisiin terveydenhuollon palvelunantajan oikeudesta saada potilastiedot ilman potilaan antamaa luovutuslupaa tilanteessa, jossa potilaalla ei ole edellytyksiä arvioida annettavan luovutusluvan merkitystä eikä hänellä ole laillista edustajaa joka luovutusluvan voisi potilaan puolesta antaa. Kyseinen tilanne voi olla kyseessä, jos potilas ei kehitysvammaisuuden, mielenterveyden häiriön, muistisairauden tai vastaavan syyn takia ole kykenevä arvioimaan luovutusluvan merkitystä eikä päättämään sen antamisesta taikka jos luovutuslupaa ei voida saada potilaan tajuttomuuden tai muun siihen verrattavan syyn vuoksi. Sääntely kattaisi siten myös potilastietojen saamisen kiireellistä hoitoa varten potilaslain 8 §:n mukaisessa tilanteessa, jossa potilaalle on annettava hänen henkeään tai terveyttään uhkaavan vaaran torjumiseksi tarpeellinen hoito, vaikka potilaan tahdosta ei tajuttomuuden tai muun syyn vuoksi voi saada selvitystä. Jos potilas on aikaisemmin vakaasti ja pätevästi ilmaissut hoitoa koskevan tahtonsa, potilaalle ei kuitenkaan saa antaa sellaista hoitoa, joka on vastoin hänen tahtoaan.  

Pykälän 3 momentin mukaan tiedonsaantioikeus olisi toteutettava ensisijaisesti valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Tiedonsaantioikeuden voisi toteuttaa muulla tavoin, jos sitä ei olisi mahdollista toteuttaa valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Tietojen saaminen muutoin kuin valtakunnallisten tietojärjestelmäpalvelujen välityksellä olisi tarpeen esimerkiksi Uudenmaan maakunnan alueella hyvinvointialueiden, Helsingin kaupungin ja HUS-yhtymän välillä, kun terveyspalveluiden järjestämisvastuu muista hyvinvointialueista poiketen jakautuu useammalle viranomaiselle sekä yksityisissä terveyspalveluissa, joissa usea palvelunantaja toimii samoissa tiloissa ja käyttää yhteistä tietojärjestelmää. Tietojen saamisessa olisi siten mahdollista hyödyntää palvelunantajien yhteisiä tietojärjestelmiä.  

Tiedonsaantioikeuden toteuttaminen edellyttää pääsääntöisesti sitä, että henkilöllä on luovutusluvan antamisen lisäksi mahdollisuus kieltää tietojen luovutus. Kiellon tekeminen puolestaan edellyttää sitä, että henkilö on tietoinen asiakirjojen sisällöstä. Valtakunnallisiin tietojärjestelmäpalveluihin voidaan tallentaa myös vanhoja asiakirjoja, jotka on laadittu ennen palvelunantajan liittymistä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Näissä vanhoissa asiakirjoissa ei ole valtakunnallisten tietojärjestelmäpalveluiden edellyttämiä tietorakenteita, joiden avulla ohjataan asiakirjojen näyttämistä kansalaisen käyttöliittymässä. Asiakirjoissa voi olla esimerkiksi toista henkilöä koskevia tietoja tai muita tietoja, jotka pitäisi jättää näyttämättä kansalaisen käyttöliittymässä, jos tiedot voisivat ammattihenkilön arvion perusteella vakavasti vaarantaa asiakkaan tai muun henkilön terveyttä ja turvallisuutta. Koska asiakirjoilla ei ole rakenteisia tietoja, joiden avulla kyseisten tietojen näyttäminen kansalaisen käyttöliittymässä saataisiin estettyä, ei näitä asiakirjoja voi kansalaisen käyttöliittymässä näyttää, eikä henkilö siten voi myöskään tehdä niihin kohdistuvaa luovutuskieltoa kansalaisen käyttöliittymän kautta. Siten vanhoja asiakirjoja ei voida luovuttaa valtakunnallisista tietojärjestelmäpalveluista, vaikka asiakas olisi antanut luovutusluvan tietojensa luovutukseen. 

Pykälän 4 momentissa säädettäisiin tilanteista, joissa välttämättömiä potilastietoja saisi luovuttaa palvelunantajan omasta aloitteesta tai ulkomaalaisen terveydenhuollon toimintayksikön pyynnöstä terveyspalvelun järjestämiseksi tai toteuttamiseksi salassapitosäännösten estämättä ilman potilaan antamaa luovutuslupaa tai suostumusta. Luovutus olisi mahdollinen, jos potilaalla ei ole edellytyksiä arvioida annettavan luovutusluvan tai suostumuksen merkitystä, eikä hänellä ole laillista edustajaa joka voisi luovutusluvan tai suostumuksen hänen puolestaan antaa. Tällainen tilanne voi olla esimerkiksi mielenterveyden häiriön, kehitysvammaisuuden tai muun vastaavan syyn vuoksi. Luovutus olisi mahdollinen myös silloin, jos luovutuslupaa tai suostumusta ei voida saada potilaan tajuttomuuden tai siihen verrattavan syyn vuoksi. Säännös vastaa potilaslain 13 §:n 3 momentin 3 kohdan sääntelyä täydennettynä luovutuslupaa koskevilla maininnoilla. Suomessa oma-aloitteinen potilastietojen luovutus ilman asiakkaan luovutuslupaa voisi tulla kyseeseen esimerkiksi lähetettäessä potilasta toisen palvelunantajan palvelun piiriin, esimerkiksi vaativaan erikoissairaanhoitoon. 

Potilastietoja saisi säännöksen mukaan luovuttaa myös ulkomaisille palveluntuottajille. Potilastietoja voisi luovuttaa myös EU- ja ETA-maiden ulkopuolelle, jolloin rekisterinpitäjän on huolehdittava tietosuoja-asetuksen V luvun mukaisesti suojatoimista jokaisen luovutuksen yhteydessä. 

55 §. Sosiaalihuollon palvelunantajan oikeus saada sosiaalihuollon asiakastietoja. Pykälässä säädettäisiin sosiaalihuollon palvelunantajan tiedonsaantioikeudesta sosiaalihuollon asiakastietoon sosiaalihuollon asiakkaan sosiaalipalvelun järjestämiseksi ja toteuttamiseksi. Nykyistä tietojen luovuttamiseen perustuvaa sääntelyä muutettaisiin siten tiedonsaantioikeuden muotoon.  

Pykälän 1 momentin mukaan sosiaalihuollon palvelunantajalla olisi oikeus saada ja käyttää sosiaalihuollon asiakastietoja sosiaalihuollon asiakkaan sosiaalipalvelun järjestämiseksi ja toteuttamiseksi. Tietojen saamisen edellytyksenä olisi asiakkaan antama luovutuslupa. Tämä takaisi osaltaan asiakkaan perusoikeutena turvattua yksityiselämän suojaa ja hänen asiakastietoihinsa liittyvää itsemääräämisoikeuttaan. Sosiaalihuollon asiakkaan antama luovutuslupa kattaisi kaikki sosiaalihuollon asiakastiedot, ja luovutusluvan laajuutta voisi rajata kieltojen avulla. Luovutuslupa vastaisi siten laajuudeltaan voimassa olevan asiakastietolain luovutuslupaa.  

Asiakkaan antamalla kiellolla ei kuitenkaan voisi estää ammattihenkilön tai palvelunantajan tiedonsaantioikeutta silloin, kun ammattihenkilön tai palvelunantajan tiedonsaantioikeus perustuisi joko lakiin tai kyse on esitettävän lain 56 §:n 1 momentissa tarkoitusta tapauksesta, jossa asiakastietoja saa luovuttaa ilman asiakkaan antamaa luovutuslupaa tai suostumusta taikka asiakkaan kiellon vastaisesti. 

Pykälän 2 momentissa säädettäisiin sosiaalihuollon palvelunantajan oikeudesta saada sosiaalihuollon asiakastietoja ilman sosiaalihuollon asiakkaan antamaa luovutuslupaa tilanteessa, jossa sosiaalihuollon asiakkaalla ei ole edellytyksiä arvioida annettavan luovutusluvan merkitystä eikä hänellä ole laillista edustajaa joka luovutusluvan voisi potilaan puolesta antaa. Kyseinen tilanne voi olla kyseessä, jos potilas ei kehitysvammaisuuden, mielenterveyden häiriön, muistisairauden tai vastaavan syyn takia ole kykenevä arvioimaan luovutusluvan merkitystä eikä päättämään sen antamisesta.  

Pykälän 3 momentin mukaan tiedonsaantioikeus olisi toteutettava ensisijaisesti valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Tiedonsaantioikeuden voisi toteuttaa muulla tavoin, jos sitä ei olisi mahdollista toteuttaa valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Tietojen saaminen muutoin kuin valtakunnallisten tietojärjestelmäpalvelujen välityksellä olisi tarpeen esimerkiksi Uudenmaan maakunnan alueella hyvinvointialueiden ja Helsingin kaupungin välillä, kun sosiaalipalveluiden järjestämisvastuu muista hyvinvointialueista poiketen jakautuu useammalle viranomaiselle. Tietojen saamisessa olisi siten mahdollista hyödyntää palvelunantajien yhteisiä tietojärjestelmiä.  

Tiedonsaantioikeuden toteuttaminen edellyttää pääsääntöisesti sitä, että henkilöllä on luovutusluvan antamisen lisäksi mahdollisuus kieltää tietojen luovutus. Kiellon tekeminen puolestaan edellyttää sitä, että henkilö on tietoinen asiakirjojen sisällöstä. Valtakunnallisiin tietojärjestelmäpalveluihin voidaan tallentaa myös vanhoja asiakirjoja, jotka on laadittu ennen palvelunantajan liittymistä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Näissä vanhoissa asiakirjoissa ei ole valtakunnallisten tietojärjestelmäpalveluiden edellyttämiä tietorakenteita, joiden avulla ohjataan asiakirjojen näyttämistä kansalaisen käyttöliittymässä. Asiakirjoissa voi olla esimerkiksi tietoja, jotka pitäisi jättää näyttämättä kansalaisen käyttöliittymässä, jos tiedot voisivat ammattihenkilön arvion perusteella vakavasti vaarantaa asiakkaan tai muun henkilön terveyttä ja turvallisuutta. Koska asiakirjoilla ei ole rakenteisia tietoja, joiden avulla kyseisten tietojen näyttäminen kansalaisen käyttöliittymässä saataisiin estettyä, ei näitä asiakirjoja voi kansalaisen käyttöliittymässä näyttää, eikä henkilö siten voi myöskään tehdä niihin kohdistuvaa luovutuskieltoa kansalaisen käyttöliittymän kautta. Siten vanhoja asiakirjoja ei voida luovuttaa valtakunnallisista tietojärjestelmäpalveluista, vaikka asiakas olisi antanut luovutusluvan tietojensa luovutukseen. 

56 §. Sosiaalihuollon asiakastietojen luovuttaminen sosiaalihuollon asiakkaan hoidon ja huollon turvaamiseksi. Pykälässä olisi säännökset niistä tilanteista, joissa salassa pidettäviä sosiaalihuollon tietoja voidaan luovuttaa ulkopuolisille asiakkaan tai hänen edustajansa antamasta luovutusluvasta riippumatta eli tilanteissa, joissa heidän mielipidettään ei voida selvittää tai joissa asiakas tai tämän laillinen edustaja kieltäisikin tietojen luovuttamisen. Tilanne, jossa asiakkaan mielipidettä ei voisi selvittää, voi olla kyseessä, jos potilas ei kehitysvammaisuuden, mielenterveyden häiriön, muistisairauden tai vastaavan syyn takia ole kykenevä arvioimaan luovutusluvan merkitystä eikä päättämään sen antamisesta, eikä asiakkaalla olisi laillista edustajaa. Pykälä vastaisi sisällöltään asiakaslain 17 §:ä siten, että 4 momenttiin sisältyvä oikeus luovuttaa tietoja asiakkaan lailliselle edustajalle on siirretty 49 §:ään. Lisäksi julkisuuslain 26 § sisältää sääntelyä salassa pidettävän tiedon antamisesta, kun toimija suorittaa tehtävää viranomaisen lukuun tai toimeksiannosta. Käsitteitä ja sanamuotoja on yhdenmukaistettu muun lain kanssa. Säännöksiä noudatettaisiin sekä julkisten että yksityisten sosiaalihuollon palvelunantajien asiakastietojen osalta. Siten tietojen luovuttajana voisi olla julkinen tai yksityinen sosiaalihuollon palvelunantaja. 

Pykälän tarkoituksena on varmistaa asiakkaan oikeusturva silloinkin, kun häntä koskevia salassa pidettäviä tietoja luovutetaan eri tahoille. Säännöksessä on huomioitu sosiaalihuollon toteuttamisen kannalta välttämättömät tietojen luovutustarpeet. Asiakkaan tietoja joudutaan luovuttamaan sosiaalihuollon, terveyden- ja sairaanhoidon taikka koulutuksessa ja opetuksessa tarvittavien tukitoimenpiteiden, erityisopetuksen tai muun vastaan tarpeen selvittämiseksi tai niihin liittyvien toimenpiteiden toteuttamiseksi vastoin asiakkaan tai hänen laillisen edustajansa nimenomaista kieltoakin. On perusteltua, että lain tasolla mahdollisimman tarkasti ja selvästi säännellään luovuttajan oikeudet ja toisaalta velvollisuudet tietojen luovutukseen.  

Tarkoituksenmukaisen hoidon ja palvelujen järjestämiseksi yhteistyötä tehdään käytännössä sosiaalihuollon palvelunantajien kesken, terveydenhuollon palvelunantajien, opetusviranomaisten ja muiden viranomaisten kanssa sekä muun muassa sellaisten yksityisten palveluntuottajien kanssa, jotka järjestävät asiakkaalle sosiaalihuoltoa asiakkaan kanssa tehdyn sopimuksen perusteella. Näissä tilanteissa täytyy toisinaan olla myös mahdollisuus salassa pidettävien tietojen luovuttamiseen, vaikkei luovutuslupaa tai suostumusta ole saatavissa. Kysymys voi tällöin olla myös siitä, että henkilö ei esimerkiksi huumeiden tai muiden päihteiden aiheuttaman sekavuuden tai muun vastaavan syyn vuoksi kykene tosiasiallisesti arvioimaan annettavan luovutusluvan tai suostumuksen merkitystä, eikä hänellä ole laillista edustajaa. Salassa pidettävästä asiakirjasta saadaan luovuttaa tieto myös, vaikka asiakas tai hänen laillinen edustajansa vastustaisikin tiedon luovuttamista. Kysymys on siis tällöin asiakkaan suostumuksesta riippumattomasta tietojen luovuttamisesta. 

Pykälän 1 momentin mukaan salassapitovelvollisuus ei estäisi välttämättömän tiedon luovuttamista asiakirjasta asiakkaan hoidon, huollon ja koulutuksen tarpeen selvittämiseksi tai niiden järjestämiseksi tai toteuttamiseksi, taikka toimeentulon edellytysten turvaamiseksi. Momentissa on kolme eri kohtaa, joiden mukaisissa tilanteissa tietoja saa luovuttaa salassapitovelvollisuuden estämättä. 

Kohdan 1 mukaan luovuttaminen olisi sallittua, jos se, jota asiakirja koskee, on hoidon tai sosiaalihuollon ilmeisessä tarpeessa terveytensä, kehityksensä tai turvallisuutensa vaarantumisen vuoksi eikä hoidon tai huollon tarvetta muutoin ole selvitettävissä taikka terveyden- tai sosiaalihuollon toimenpiteitä toteutettavissa. Säännös voisi tulla sovellettavaksi esimerkiksi sosiaalipäivystyksen tehtävissä, kehitysvammaisten erityishuoltoa järjestettäessä sekä päihdehuollossa tahdosta riippumattamaan hoitoon määrättäessä. Säännös on sovellettavissa paitsi silloin, kun asiakas tai hänen laillinen edustajansa eivät anna tietojen luovuttamiselle suostumustaan, myös silloin, kun heidän mielipidettään ei voida selvittää. Säännöksellä mahdollistettaisiin siinä mainituissa erityisissä tilanteissa välttämättömän saumattoman hoito- ja palveluketjun toteutuminen sosiaalihuollon osalta niissäkin tilanteissa, joissa asiakkaalta tai hänen lailliselta edustajaltaan ei saada suostumusta.  

Kohdan 2 mukaan salassapito ei estäisi tiedon luovuttamista, jos tieto on tarpeen lapsen edun vuoksi. Säännös on katsottu tarpeelliseksi sen vuoksi, ettei huoltaja voisi suostumuksen epäämällä estää lapsen edun selvittämistä ja toteuttamista. Tällaisia tilanteita voi syntyä erityisesti silloin, kun vanhemman ja lapsen etu ovat keskenään ristiriidassa esimerkiksi arvioitaessa lastensuojelutoimenpiteiden tarvetta tai niitä toteutettaessa taikka insestiepäilyjä selvitettäessä. Lastensuojelussa ja kehitysvammahuollossa säännös voisi tulla sovellettavaksi silloin, kun viranomaisten tulee järjestää yhteistyössä lapselle tarkoituksenmukaista hoitoa ja huoltoa. Sosiaaliviranomaiset joutuvat myös muun muassa käymään keskusteluja kouluviranomaisten kanssa siitä, millä edellytyksillä ja miten lapsen koulunkäynti voitaisiin turvata. Lastensuojelussa tietoja on tarpeen luovuttaa varsinkin järjestettäessä lapsen tarkoituksenmukaista sijaishoitoa. 

Momentin 3 kohdan mukaan tietojen luovuttaminen olisi sallittua, jos tieto on tarpeen asiakkaan välttämättömien etujen ja oikeuksien suojaamiseksi eikä asiakkaalla itsellään ole edellytyksiä arvioida asian merkitystä. Säännös voisi tulla sovellettavaksi esimerkiksi muistisairautta sairastavien vanhusten tai kehitysvammaisten asioita käsiteltäessä akuutissa tilanteessa. Jos ilmenee, että esimerkiksi vanhus tai kehitysvammainen tarvitsisi edunvalvojan hoitamaan asioitaan, sosiaalihuollon toteuttajan tulisi tehdä holhousviranomaisille asiakaslain 9 §:n 2 momentissa tarkoitettu ilmoitus edunvalvojan määräämiseksi. 

Pykälän 2 momentti sisältäisi pääsäännön siitä, mille tahoille tietoja voidaan luovuttaa 1 momentissa säädettyjen edellytysten täyttyessä. Tietojen saajana voisi olla ensinnäkin julkinen sosiaalihuollon palvelunantaja sekä sen toimeksiannosta sosiaalihuollon tehtäviä suorittava henkilö tai yhteisö. Toimeksiantotehtäviä suorittavalla henkilöllä tai yhteisöllä tarkoitetaan lähinnä sellaista palveluntuottajaa, jolta kunta hankkii sosiaalihuollon palveluita ostopalveluina. Lisäksi tietoja saisi antaa muulle viranomaiselle. Ehdotettu säännös ei sisällä tarkempaa määrittelyä siitä, mille viranomaisille tietoja saisi luovuttaa. Viranomaisten piiri rajautuisi kuitenkin käytännössä varsin suppeaksi, koska tietojen luovuttamisen yleiset edellytykset olisivat tiukat. Kysymykseen voisivat tulla esimerkiksi terveydenhuollon palvelunantajat taikka holhous-, koulu- tai poliisiviranomaiset. Säännös sisältäisi myös mahdollisuuden luovuttaa tietoja ulkomaiselle viranomaiselle esimerkiksi virka-apuna tehtävän yhteistyön yhteydessä. 

Pykälän 3 momentissa säännellään erityisistä edellytyksistä, joiden vallitessa tietoja voitaisiin luovuttaa myös yksityisille sosiaali- ja terveydenhuollon palvelunantajille, jotka järjestävät ja tuottavat palveluita asiakkaan kanssa tehdyn sopimuksen perusteella. Ilman luovutuslupaa salassa pidettävästä asiakirjasta saa antaa tietoja vain, jos se on tarpeen asiakkaan välittömän hoidon ja huollon järjestämiseksi tai jos se muusta tähän rinnastettavasta erityisestä syystä on välttämätöntä. Tällaisia tilanteita ovat lähinnä asiakkaan hengen tai terveyden kannalta välttämättömien tietojen antaminen.  

Lisäksi momentissa olisi sääntely tietojen luovuttamisesta muulle henkilölle tai yhteisölle. Säännös vastaisi asiakaslain 17 §:n 4 momenttia, ja kyse olisi tilanteista joissa viranomainen eli julkinen palvelunantaja joutuisi antamaan tietoja. Säännöksessä ei ole pyritty yksilöimään näitä tahoja, mutta tietojen luovuttamisen edellytysten tiukkuus rajaa tiedon saajien piirin suppeaksi. Tietoja saatettaisiin joutua vähäisessä määrin luovuttamaan esimerkiksi isännöitsijälle tai kiinteistöhuoltoon silloin, kun sosiaaliviranomaisen on päästävä henkilön asuntoon voidakseen selvittää hänen huollon tarpeensa sosiaalihuoltolain 41 §:ssä tarkoitetuissa tilanteissa. Lastensuojelulain 40 §:ssä tarkoitetun lastensuojeluilmoituksen tutkimisen yhteydessä sosiaaliviranomainen saattaa vastaavasti joutua antamaan joitakin tietoja lapsesta tai perheestä esimerkiksi naapureille tai sukulaisille. Tällaisissa tilanteissa sosiaalityöntekijän tulisi korostaa vaitiolovelvollisuuden merkitystä. Vaitiolovelvollisuus koskisi myös heitä ehdotetun 5 §:n mukaisesti. 

57 §. Tiedonsaantioikeuden teknisen rajapinnan avulla. Pykälässä säädettäisiin edellä kuvattujen tiedonsaantioikeuksien toteuttamisesta teknisen rajapinnan avulla. Pykälän 1 momentin mukaan 53-55 §:n mukaiset sekä jäljempänä kuvattavan 64 §:n mukaisen tiedonsaantioikeudet saisi toteuttaa teknisen rajapinnan avulla. Edellytyksenä asiakastietojen sähköiselle saamiselle olisi asiakkaan ja tietojen saajan välisen hoitosuhteen tai asiakassuhteen tietotekninen varmentaminen. Tiedonsaantioikeuden toteuttaminen valtakunnallisten tietojärjestelmäpalvelujen avulla toteutetaan jo nykyisin teknisen rajapinnan avulla, vaikka asiasta ei ole ollut erityistä sääntelyä. Lisäksi säännös mahdollistaa asiakastietojen luovuttamisen hyödyntäen palvelunantajien omia tietojärjestelmiä ja niiden teknisiä rajapintoja. 

Pykälän 2 momentissa olisi viittaus tiedonhallintalain 22 §:ään, jossa säädetään julkisen palvelunantajan tiedonsaantioikeuden toteuttamisesta teknisen rajapinnan avulla. Sosiaali- ja terveydenhuollossa tiedonsaantioikeutta ei voida sitoa välttämättömään siten, kuin tiedonhallintalaissa on tarkoitettu, koska välttämättömien tietojen tarve on mahdollista arvioida asiakaskohtaisesti vasta potilasta hoitavan tai sosiaalipalvelua toteuttavan ammattihenkilön toimesta. Lisäksi on huomioitava, että vaikka kyse on tiedonsaantioikeudesta eri viranomaisten välillä, tietojen käyttötarkoitus ei muutu siitä mitä varten tiedot on alun perin tallennettu. Ehdotettava laki sisältää erityistä sääntelyä, millä tavalla asiakastietojen asianmukainen ja tietoturvallinen käsittely varmistetaan, esimerkiksi käyttöoikeuksia ja tietojärjestelmien tietoturvallisuutta koskeva sääntely. 

58 §. Luovutusluvan tai kiellon antaminen ja peruuttaminen. Pykälän 1 momentissa säädettäisiin luovutusluvan tai kiellon antamisen yleisistä edellytyksistä. Luovutusluvan tai kiellon olisi oltava vapaaehtoisesti annettu. Luovutuslupa tai kielto olisi voimassa toistaiseksi, ja asiakas voisi myös peruuttaa sen. Peruutuksen jälkeen voisi tehdä uuden luovutusluvan ja kiellon. Momentissa säädettäisiin myös, että huoltajalla tai muulla laillisella edustajalla ei olisi oikeuttaa kieltää alaikäisen lapsensa potilastietojen luovuttamista potilaslain 8 §:n mukaisessa tilanteessa. Potilaslain 8 §:n mukaan potilaalle on annettava hänen henkeään ja terveyttään uhkaavan vaaran torjumiseksi tarpeellinen hoito, vaikka potilaan tahdosta ei tajuttomuuden tai muun syyn vuoksi saada selvitystä. Jos potilas on aiemmin vakaasti ja pätevästi ilmaissut hoitoa koskevan tahtonsa, potilaalle ei saa antaa sellaista hoitoa, joka olisi vastoin hänen tahtoaan. Huoltajalla ei siten olisi mahdollistaa estää lapsen potilastietojen luovuttamista, jos kyse on lapsen välttämättömästä kiireellisestä hoidosta. Säännös vastaa muutoin voimassa olevaa asiakastietolakia, mutta sen viittaus potilaslain 13 §:n 3 momentin 3 kohtaan vaihdettaisiin viittaukseen potilaslain 8 §:ään. Potilaslain 13 §:n 3 momentin 3 kohta koskee tilannetta, jossa henkilö ei tajuttomuuden tai vastaavan syyn vuoksi kykene päättämään suostumuksen antamisesta.  

Pykälän 2 momentin mukaan valtakunnallisia tietojärjestelmäpalveluja koskevan luovutusluvan ja kiellon olisi perustuttava 68 §:n mukaisessa menettelyssä annettavaan riittävään tietoon. Ennen luovutusluvan tai kiellon antamista asiakasta olisi informoitava valtakunnallisista tietojärjestelmäpalveluista, jos luovutuslupa tai kielto vaikuttavat valtakunnallisten tietojärjestelmäpalvelujen välityksellä tehtäviin luovutuksiin. Kun kyse on palvelunantajien välisestä tiedonsaantioikeudesta, luovutuslupa tai kielto koskee sekä valtakunnallisista tietojärjestelmäpalvelujen avulla että muulla tavoin toteutettavaa tiedonsaantioikeutta. Ainoastaan silloin, kun kyse on sosiaali- ja terveydenhuollon välisestä tiedonsaantioikeudesta, joka koskee vain yhtä palvelunantajaa, ja joka voidaan toteuttaa palvelunantajan omien tietojärjestelmäpalvelujen avulla, luovutuslupa ei koskisi valtakunnallisia tietojärjestelmäpalveluita 

Valtakunnallisia tietojärjestelmäpalveluja koskevan luovutusluvan tai kiellon voisi 2 momentin mukaan antaa mille tahansa valtakunnalliseen tietojärjestelmäpalveluun liittyneelle palvelunantajalle. Palvelunantajan olisi toimitettava tiedot tahdonilmaisupalveluun niin nopeasti, kun se käytännössä on mahdollista. Sen jälkeen, kun tieto on toimitettu tahdonilmaisupalveluun, se otetaan automaattisesti huomioon tietojärjestelmissä. Valtakunnallisia tietojärjestelmäpalveluja koskevan luovutusluvan tai kiellon voisi antaa myös kansalaisen käyttöliittymän välityksellä. Tällöin tieto tallentuisi välittömästi 72 §:ssä säädettäväksi esitettävään tahdonilmaisupalveluun.  

Luovutuslupa tai kielto olisi mahdollista tehdä ja tallentaa tahdonilmaisupalveluun milloin tahansa. Tämä on tärkeää muun muassa siksi, että tarvittaessa henkilöllä olisi oltava mahdollisuus mahdollistaa tietojensa luovuttaminen, suojata tietojaan tai perua kieltonsa esimerkiksi lääkärin vastaanotolla, jotta asiakkaan tarvitsemat palvelut voitaisiin turvata asianmukaisesti kaikissa tilanteissa ja toisaalta asiakkaalla olisi mahdollisuus suojella yksityisyyttään. Pykälän 3 momentin mukaan luovutusluvan tai kiellon vastaanottajan olisi annettava asiakkaalle tämän pyynnöstä tuloste asiakkaan tekemästä luovutusluvasta tai kiellosta. Tarvittaessa tiedot tulisi antaa muulla saavutettavalla tavalla. Jos luovutusluvan tai kiellon tekee laillinen edustaja asiakkaan puolesta, tällä on vastaava oikeus saada pyynnöstä tuloste tai vastaava. 

Jotta kaikki luovutusluvan tai kiellon tekijät saisivat asianmukaisen ja yhdenmukaisen informaation luovutusluvan ja kiellon merkityksestä, esitetään pykälän 4 momentissa lisäksi, että Kansaneläkelaitoksen olisi laadittava malli luovutuslupa-asiakirjalle ja kieltoasiakirjalle. Kieltoasiakirjassa olisi selvitettävä muun muassa se, että asiakkaan kieltämiä tietoja ei saa luovuttaa toiselle palvelunantajalle, ja että kielto olisi voimassa myös siinä tapauksessa, että kielletyt tiedot ovat asiakkaan hoidon tai hoivan kannalta merkityksellisiä, ellei lainsäädännöstä muuta johdu. Lisäksi tulisi selvittää myös ne tilanteet, joissa tietoja voidaan luovuttaa kiellosta huolimatta. Koska luovutusluvan ja kiellon peruutuksen sovelletaan samoja sääntöjä kuin niiden tekemiseen, tämän tulisi ilmetä myös Kansaneläkelaitoksen malliasiakirjoista. 

Pykälän 5 momentissa täsmennettäisiin, että luovutusluvan ja kiellon peruuttamiseen sovellettaisiin samoja sääntöjä kuin sen antamiseenkin. Siten peruutuksen voisi tehdä mille tahansa sosiaali- tai terveydenhuollon palvelunantajalle tai sen voisi tehdä kansalaisen käyttöliittymän välityksellä. Tieto peruutuksesta tulisi toimittaa viivytyksettä tahdonilmaisupalveluun. 

59 §. Kieltojen kohdentaminen. Pykälässä säädettäisiin, mihin potilastietojen tai sosiaalihuollon asiakastietojen kokonaisuuksiin asiakas voisi kohdistaa asiakastietojen luovutuksia koskevan kiellon. 

Kielto-oikeutta tietosuoja-asetuksen mukaisena suojatoimena sovelletaan terveydenhuollon potilastietoihin. Sosiaalihuollon asiakastietojen kielto-oikeuden perusteena on EU:n tietosuoja-asetuksen 86 artikla, jonka mukaan viranomaiset taikka julkis- tai yksityisoikeudelliset yhteisöt yleisen edun vuoksi toteutetun tehtävän suorittamiseksi voivat luovuttaa viranomaisten tai yhteisöjen hallussa olevien virallisten asiakirjojen sisältämiä henkilötietoja viranomaiseen tai yhteisöön sovellettavan unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. 

Pykälän 1 momentin mukaan sosiaalihuollon asiakas voi kohdistaa sosiaalihuollon asiakastietojensa luovuttamista koskevan kiellon sosiaalihuollon palvelunjärjestäjään eli kaikkiin kyseisen palvelunjärjestäjän rekisterinpidossa oleviin sosiaalihuollon asiakasasiakirjoihin, palvelutehtävään tai yksittäiseen sosiaalihuollon asiakasasiakirjaan. Koska palvelunjärjestäjän roolissa toimiva palvelunantaja vastaa rekisterinpidosta, ja sen lukuun toimivia palvelunantajien ei katsota sivullisiksi 4 §:n perusteella, palvelunjärjestäjäkohtainen kielto kohdentuisi käytännössä rekisterinpitäjään. 

Sosiaalihuollossa asiakas voisi kohdentaa kiellon myös sosiaalihuollon palvelutehtävään tai yksittäiseen asiakirjaan. Sosiaalihuollon palvelutehtävällä tarkoitetaan esitettävän lain 37 §:n 2 momentissa tarkoitettua palvelutehtävää.  

Pykälän 2 momentin mukaan potilas voi kohdistaa potilastietojensa luovuttamista koskevan kiellon kaikkiin potilastietoihinsa, julkisen terveydenhuollon palvelunjärjestäjään ja sen rekisteriin, yksityisen työterveyshuollon rekisteriin tai palvelutapahtumaan. Palvelunjärjestäjään kohdistuva kielto sisältäisi kaikki palvelunjärjestäjän rekisterinpidossa olevat potilasasiakirjat, eli sekä potilasrekisterissä että työterveyshuollon rekisterissä olevat potilasasiakirjat. Koska palvelunjärjestäjän roolissa toimiva palvelunantaja vastaa rekisterinpidosta, ja sen lukuun toimivia palvelunantajien ei katsota sivullisiksi 4 §:n perusteella, palvelunjärjestäjäkohtainen kielto kohdentuisi käytännössä rekisterinpitäjään. Kiellon voi lisäksi kohdistaa joko julkisen palvelunjärjestäjän potilasrekisteriin tai työterveyshuollon rekisteriin. Terveydenhuollossa kiellon voisi kohdentaa myös palvelutapahtumaan. Palvelutapahtumalla tarkoitetaan terveydenhuollossa tapahtuvaa asiakaskontaktia, asiakaskäyntiä tai hoitojaksoa. 

Yksityisessä terveydenhuollossa kieltoa ei voisi kohdentaa potilasrekisteriin tai rekisterinpitäjään. Yksityisten palvelunantajien yritystoiminta on monimuotoisesti järjestetty, joten asiakkaan voi olla vaikea hahmottaa, mikä taho toimii palvelunantajana ja rekisterinpitäjänä, ja mihin rekisterinpitäjään kielto tulisi kohdentaa. Esimerkiksi lääkäriasemalla voi toimia lukuisia itsenäisiä ammatinharjoittajia sekä yrityksiä, eikä asiakkaalle ole aina selvää, milloin kyse on lääkäriaseman omaan lukuun tehtävästä toiminnasta ja milloin muun palvelunantajan. 

Pykälän 3 momentissa olisi viittaus lääkemääräyslain 13 §:ään, jossa säädetään lääkemääräysten ja muiden reseptikeskukseen tallennettavien lääkehoitoa koskevien merkintöjen kiellon kohdentamisesta. 

60 §. Rajat ylittävä tiedonvaihto. Pykälässä säädettäisiin potilastietojen luovuttamisesta ulkomaille valtakunnallisten tietojärjestelmäpalvelujen avulla. Pykälän 1 momentissa säädettäisiin tiedonhallintapalveluun sisältyvien keskeisten potilastietojen luovuttamisesta ulkomaiselle terveydenhuollon palveluntuottajalle valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Tietoja voitaisiin luovuttaa potilaan antaman suostumuksen perusteella potilasdirektiivin 14 artiklan mukaisen terveydenhuollon järjestämistä ja toteuttamista varten. 2 momentin mukaan Kansaneläkelaitos toimisi Suomessa kansallisena yhteyspisteenä valtakunnallisten tietojärjestelmäpalvelujen ja ulkomaan kansallisen yhteyspisteen välillä. Koska kyse olisi potilasdirektiiviin liittyvistä terveyspalveluista, potilastietoja voitaisiin säännöksen perusteella luovuttaa EU- ja ETA-maihin. Tietojen toimittamista varten Kansaneläkelaitos koostaisi tiedonhallintapalvelun potilastiedoista EU:n sähköisten terveyspalvelujen verkoston eli eHealth Networkin (eHN) määrittelyn mukaisen potilasyhteenvedon.  

61 §. Oikeus saada tietoja kliiniseen lääketutkimukseen ja lääketieteelliseen tutkimukseen. Pykälä sisältäisi sääntelyn oikeudesta saada palvelunantajalta tietoja ja käyttää niitä kliiniseen lääketutkimukseen ja lääketieteelliseen tutkimukseen. Sosiaali- ja terveysvaliokunta on mietinnössään StVM 22/2021 vp) todennut tarpeellisiksi säännellä potilastietojen käsittelystä kliinisessä lääketutkimuksessa tai lääketieteellisessä interventiotutkimuksessa, kun tutkittava on antanut suostumuksensa osallistua tutkimukseen tai tutkimuksessa on kyse niin sanotusta hätätilatutkimuksesta. Kun kyse on siitä, millä perusteilla on oikeus saada palvelunantaja ja käyttää potilastietoja tutkimukseen, esitetään kliinisestä lääketutkimuksesta annettuun lakiin (983/2021), jäljempänä lääketutkimuslaki ja lääketieteellisestä tutkimuksesta annettuun lakiin (488/1999), jäljempänä tutkimuslaki, sisältyvä sääntely siirrettäväksi esitettävään lakiin. 

Ihmisille tarkoitettujen lääkkeiden kliinisistä lääketutkimuksista ja direktiivin 2001/20/EY kumoamisesta annettuun Euroopan parlamentin ja neuvoston asetuksen (EU) 536/2014, jäljempänä lääketutkimusasetus, mukaan tutkimuksen kantatiedoston sisältö on arkistoitava vähintään 25 vuodeksi tutkimuksen päättymisen jälkeen, ellei muussa lainsäädännössä edellytetä pidempää arkistointiaikaa. Tämä edellyttää pääsyä myös alkuperäisiin potilasasiakirjoihin vastaavan ajan. 

Pykälän 1 momentin mukaan tutkimuksen toimeksiantajalla, hänen edustajallaan, tutkijalla ja tutkimusryhmän sekä tutkimusta valvovan viranomaisen tai tutkimuksen perusteella myyntilupaa myöntävän viranomaisen jäsenellä olisi salassapitosäännösten estämättä sekä sen estämättä, mitä toisiolaissa säädetään, oikeus saada palvelunantajalta ja käsitellä potilastietoja kliinisen lääketutkimuksen ja lääketieteellisen tutkimuksen suorittamiseksi ja tutkimukseen liittyvän laissa säädetyn velvoitteen noudattamiseksi, jos tietojen saanti ja käsittely olisi välttämätöntä toimeksiantajan, hänen edustajansa, tutkijan tai tutkimusryhmän jäsenen tutkimukseen liittyvän tehtävän tai velvoitteen hoitamiseksi.  

Pykälän 2 momentin mukaan tietojen saaminen edellyttäisi kliinisessä lääketutkimuksessa lääketutkimuslain 11 §:ssä tarkoitettua kliinistä lääketutkimusta koskevaa myönteistä päätöstä ja lääketieteellisessä tutkimuksessa tutkimuslain 3 §:ssä tarkoitettua lääketieteellisen tutkimuseettisen toimikunnan antamaa myönteistä kirjallista lausuntoa.  

Edellytyksenä potilastietojen saamiselle olisi tutkittavan ja tai hänen laillinen edustajansa antama suostumus osallistua tutkimukseen lääketutkimusasetuksen, lääketutkimuslain ja tutkimuslain 5 a, 6, 7, 7 a ja 8 §:ssä ja 10 b §:n (klusteritutkimukset) mukaisesti. Jos tutkimus on lääketutkimusasetuksen 35 artiklassa tai tutkimuslain 10 a §:ssä tarkoitettu hätätilanteessa suoritettava tutkimus, potilastietoja olisi oikeus saada ja käsitellä, jos mainituissa lainkohdissa säädetyt edellytykset tutkimuksen suorittamiselle täyttyvät. Mainituissa säännöksissä säädetään lisäksi oikeudesta kieltää tutkimuksessa saatujen tietojen käyttö tutkimuksessa. 

Kun sosiaali- ja terveysvaliokunta lisäsi hallituksen esityksen HE 18/2020 vp käsittelyn yhteydessä lääketutkimuslakiin ja tutkimuslakiin potilastietojen luovutusta ja käsittelyä koskevat sääntelyt, jotka nyt ehdotetaan siirrettäväksi tähän pykälään, se totesi, että tutkimukseen liittyvän tietojen luovutuksen kokonaisuudessa on jatkovalmistelua vaativia seikkoja, kuten kysymys siitä, miten potilasrekisterissä olevia tietoja käsitellään tutkittavien kartoittamiseksi ennen suostumuksen antamista. Näiden nyt asiakaslakiin siirrettäväksi ehdotettavien säännösten tarkoituksena ei ollut säätää poissulkevasti siitä, ettei jatkovalmistelua vaativa tietojen käsittely ole mahdollista.   

62 §. Asiakasta koskevan tiedon ilmoittaminen poliisille uhkan arviointia ja uhkaavan teon estämistä varten. Pykälä sisältää potilaslain 13 §:n 5 momentin sekä asiakaslain 18 §:n 3 momenttiin sisältyvät sääntelyn asiakastietojen luovuttamisesta poliisille, mukaan lukien suojelupoliisi, uhkan arviointia ja uhkaavan teon estämistä varten. Pykälän mukaan palvelunantaja tai sen tehtäviä suorittavalla henkilöllä olisi oikeus ilmoittaa poliisille henkeen tai terveyteen kohdistuvan uhkan arviointia ja uhkaavan teon estämistä varten välttämättömät tiedot, jos henkilö laissa säädettyjä tehtäviä hoitaessaan on saanut tietoja olosuhteista, joiden perusteella hänellä on syytä epäillä jonkun olevan vaarassa joutua väkivallan kohteeksi. Säännös mahdollistaisi hengen ja terveyden suojaamiseen liittyvän tiedon antamisen oma-aloitteisesti jo uhka-arvion tekemistä varten. Sosiaali- ja terveydenhuollon ammattihenkilölle tai muulle terveydenhuollon palvelunantajan lukuun työskentelevälle taikka sen tehtäviä suorittavalle henkilölle saattaa tehtäviensä hoitamisen kautta tulla tietoja, jotka saattavat eräissä tapauksissa olla tarpeellisia edellä tarkoitetun uhka-arvion tekemistä varten. Muuta sääntelyä, joka koskee asiakastietojen luovuttamista poliisille, on esimerkiksi poliisilaissa. Poliisin muut tiedonsaantioikeudet liittyvät esimerkiksi ajo-oikeutta ja ampuma-aselupia koskeviin asioihin. 

63 §. Sosiaalihuollon asiakastietojen luovuttaminen eräissä muissa tilanteissa. Säännös vastaisi sisällöltään asiakaslain 18 §:ä lukuun ottamatta tietojen luovuttamista poliisille, joka sisältyy 62 §:ään. Se koskee tilanteita, joissa on välttämätöntä poiketa salassapitovelvoitteista muista syistä kuin asiakkaan hoidon ja huollon turvaamiseksi. Sosiaalihuollon palvelunantaja saisi antaa tiedon salassa pidettävästä asiakirjasta sekä tilanteissa, joissa suostumusta ei olisi mahdollisuus kysyä asiakkaalla tai asiakas ei voisi pätevästi sitä antaa, että tilanteissa, joissa asiakas tai hänen laillinen edustajansa nimenomaisesti kieltäisi antamasta tietoja. 

Säännöksen 1-3 momentit koskisivat sekä julkisen että yksityisen sosiaalihuollon palvelunantajan asiakastietoja. Sen sijaan 4 momentti tulisi kysymykseen vain julkisen sosiaalihuollon palvelunantajan eli sosiaaliviranomaisen tehtävissä, kun sosiaaliviranomaisen olisi välttämätöntä luovuttaa tieto salassa pidettävästä asiakirjasta oman tehtävänsä toteuttamiseksi. 

Pykälän 1 momentissa säännellään kahta erilaista tilannetta. Momentin alkuosa antaisi mahdollisuuden poiketa asiakirjan salassapitovelvollisuudesta sekä oikeudenkäymiskaaren 17 luvun 23 §:n 1 momentissa säädetystä todistamiskiellosta sellaisessa asiassa, joka palvelunantajalla itsellään on lain mukaan valta panna vireille tuomioistuimessa tai muussa suomalaisessa tai ulkomaalaisessa viranomaisessa. Lisäksi säännös koskisi tilanteita, joissa sosiaalihuollon palvelunantajalle on säädetty oikeus tai velvoite osallistua tuomioistuimessa tai muussa viranomaisessa vireillä olevan asian käsittelyyn tai toimeenpanoon antamalla sille lausunto, selvitys, virka-apua tai muulla vastaavalla tavoin. Tällaisia säännöksiä ovat muun muassa lapsen huollosta ja tapaamisoikeudesta annetun lain (361/1983) 16 §, lapsen huoltoa ja tapaamisoikeutta koskevan päätöksen täytäntöönpanosta annetun lain (619/1996) 12, 25 ja 32 §, holhoustoimesta annetun lain (442/1999) 72 ja 91 § sekä toimeentulotuesta annetun lain (1412/1997) 22 §. Asiakirjan salassapitovelvollisuudesta voitaisiin säännöksessä tarkoitetuissa tilanteissa poiketa vain, jos se olisi välttämätöntä lapsen edun taikka erittäin tärkeän yleisen tai yksityisen edun vuoksi. 

Pykälän 1 momentin loppuosa koskisi tilanteita, joissa sosiaalihuollon palvelunantaja on toimintansa yhteydessä saanut sellaisia tietoja, joiden pohjalta voidaan perustellusti epäillä asiakkaan käyttävän väärin toisen viranomaisen tai laitoksen myöntämää etuutta. Tällöin tieto epäilystä voitaisiin ilmaista kyseistä etuutta toimeenpanevalle viranomaiselle tai laitokselle. 

Pykälän 2 momentissa on lueteltu edellytykset, joiden vallitessa sosiaalihuollon palvelunantajalla tai niiden palveluksessa olevalla olisi pyydettäessä velvollisuus antaa poliisille, syyttäjäviranomaiselle ja tuomioistuimelle tieto salassa pidettävästä asiakirjasta. Edellytyksenä olisi, että epäillään rikosta, jonka ilmoittamatta jättäminen on rangaistavaa rikoslain 15 luvun 10 pykälän nojalla, taikka rikosta, josta säädetty enimmäisrangaistus olisi vähintään 4 vuotta vankeutta. Näissä tilanteissa salassapitovelvollisuus väistyisi ja vastaavasti poliisille, syyttäjälle sekä tuomioistuimelle syntyisi aina oikeus saada myös salassa pidettävästä asiakirjasta tieto. 

Pykälän 3 momentin mukaan sosiaalihuollon palvelunantaja saisi momentissa esitetyin edellytyksin ilmaista poliisille, syyttäjälle ja tuomioistuimelle asiakirjaan sisältyvän salassa pidettävän tiedon myös sellaisissa tilanteissa, joissa epäillään vähäisempää kuin 2 momentissa tarkoitettua rikosta. Esimerkkeinä tällaisista rikoksista voisi mainita epäilyn sellaisesta lapseen tai kehitysvammaiseen kohdistuneesta seksuaalisesta hyväksikäytöstä tai pahoinpitelystä, josta säädetty enimmäisrangaistus on vähäisempi kuin 4 vuotta vankeutta. Tiedon ilmaiseminen edellyttäisi kuitenkin aina, että sosiaalihuollon palvelunantaja itse arvioisi sen olevan välttämätöntä lapsen edun taikka erittäin tärkeän yleisen tai yksityisen edun vuoksi. Näissä tapauksissa poliisi, syyttäjä tai tuomioistuin eivät kuitenkaan voisi vaatia salassa pidettävään asiakirjaan sisältyvän tiedon ilmaisemista. 

Sosiaalihuollon asiakkaista esimerkiksi pahoinpitelevien aikuisten lasten iäkkäät vanhemmat sekä perheessään kaltoinkohtelun kohteiksi joutuvat avo- ja aviopuolisot, kehitysvammaiset sekä lapset saattavat joutua sellaisten rikosten tai niiden uhkausten uhreiksi, joilta he eivät alistetun asemansa taikka puuttuvan rohkeutensa tai toimintakykynsä vuoksi pysty itse suojautumaan. Tämän vuoksi sosiaaliviranomaisille on muun muassa säädetty oikeus viran puolesta panna vireille lähestymiskieltoa koskeva asia. 

Rikolliset teot, jotka uhrin kannalta aiheuttavat vakavaksikin koetun uhkan tai kauaskantoisia seurauksia, eivät aina täytä 2 momentissa säädettyjä tiukkoja edellytyksiä. Siksi on välttämätöntä säätää, että sosiaalihuollon palvelunantajilla on tällaisissa tilanteissa asiakasta suojellakseen oikeus antaa poliisille ja tuomioistuimelle tietoja myös tilanteissa, joissa 2 momentissa mainitut edellytykset eivät täyty. Edellytyksenä olisi kuitenkin tällöin, että tiedon antaminen olisi välttämätöntä lapsen edun taikka erittäin tärkeän yleisen tai yksityisen edun vuoksi. 

Tämän momentin perusteella oikeus arvioida, onko tiedon antaminen välttämätöntä, olisi sosiaalihuollon palvelunantajalla, ei poliisilla tai tuomioistuimella. Säännös antaisi siten vain toimintamahdollisuuden, ei loisi tietojenantovelvoitetta, joka voisi vaarantaa palvelunantajan mahdollisuuden tukea asiakasta. 

Kysymys on intressipunninnasta, jota huomattavan usein tarvitaan, kun arvioidaan, tulisiko jonkun yksilön tärkeitä perus- ja ihmisoikeuksia suojata silläkin uhalla, että samalla joudutaan rikkomaan jotain muuta perus- tai ihmisoikeutta. Tärkeämmän oikeushyvän turvaamiseksi on toisinaan välttämätöntä ja samalla oikeutettua loukata vähemmän tärkeää oikeushyvää. Myös Euroopan ihmisoikeussopimus edellyttää viranomaisilta paitsi sitä, että ne pidättyvät omassa toiminnassaan loukkaamasta ihmisoikeuksia myös sitä, että viranomaiset aktiivisesti suojelevat kansalaisille turvattuja ihmisoikeuksia puuttumalla lainkäyttöpiirissään olevien yksityisten henkilöiden tai muiden tahojen toteuttamiin ihmisoikeusloukkauksiin. 

Säännös vastaisi muotoilultaan lapsen huollosta ja tapaamisoikeudesta annetun päätöksen täytäntöönpanosta annetun lain 8 §:n 4 momenttia. Jo aiemmin salassapitovelvollisten on tullut ilmaista tuomioistuimelle kyseisen momentin nojalla sellaiset salassa pidettävätkin tiedot, jotka ovat olleet välttämättömiä täytäntöönpanoa koskevassa oikeudenkäynnissä. Yksityisyyden suojan vuoksi saman momentin mukaan tuomioistuimen on tällöin tullut viran puolesta huolehtia siitä, että salassa pidettävien tietojen osalta asia käsitellään suljetuin ovin ja asiakirjat määrätään salassa pidettäviksi. 

Pykälän 2 ja 3 momentit pitäisivät sisällään myös oikeuden tehdä oma-aloitteisesti poliisille ilmoitus epäillystä rikoksesta niissä tarkoitetuin edellytyksin. Kun arvioidaan lapsen etua, tulisi erityisesti seksuaalisen hyväksikäytön tapauksissa ottaa huomioon se mahdollisuus, että sama hyväksikäyttäjä saattaa kohdistaa tekonsa myös muihin vaikutuspiirissään oleviin lapsiin kuin siihen, jonka tapauksessa hyväksikäytön epäily on syntynyt.  

Pykälän 4 momentissa säädetään sosiaalihuollon julkisen palvelunantajan eli viranomaisen oikeudesta antaa tieto salassa pidettävästä asiakastiedosta, jos se on välttämätöntä tarkistettaessa sosiaalihuollon viranomaiselle laissa säädetyn tehtävän hoitamiseksi olennaisen tärkeää tietoa tilanteessa, jossa palvelunantajalla itsellään on oikeus saada tieto. Momentti oikeuttaa sosiaalihuollon julkisen palvelunantajan luovuttamaan salassa pidettäviä tietoja hyvin rajoitetusti eli vain siinä määrin kuin se on välttämätöntä olennaisten tietojen tarkistamiseksi esimerkiksi tahoilta, joilla on velvollisuus luovuttaa salassa pidettäviä tietoja esitettävän lain 64 §:n mukaisesti. Kyse voi olla myös sellaisen tiedon tarkistamisesta, joka ei itsessään ole salassa pidettävä. Tällaisia voivat olla esimerkiksi tilanteet, joissa on välttämätöntä etuuden suuruuden määräämiseksi tarkistaa, asuuko toimeentulotuen hakija yksin vai yhdessä muiden henkilöiden kanssa. Säännös on välttämätön siksi, etteivät sosiaalihuollon palvelunantajat voi edes pyytää mitään asiakasta koskevia tietoja paljastamatta jossain määrin salassa pidettäviä tietoja koska jo tieto siitä, että henkilö on sosiaalihuollon asiakas, on salassa pidettävä. 

Palvelunantajan oikeus salassa pidettäviin tietoihin 

64 §. Julkisen palvelunantajan tiedonsaantioikeus. Pykälässä säädetään sosiaali- ja terveydenhuollon julkisen palvelunantajan oikeudesta muiden viranomaisten ja tahojen tietoihin ja selvityksiin, jotka olennaisesti vaikuttavat sosiaali- ja terveydenhuollon asiakassuhteeseen. 1 ja 2 momentin mukainen tiedonsaantioikeus koskisi sosiaalihuollon palvelunantajia, ja 3 momentin mukainen tiedonsaantioikeus myös terveydenhuollon palvelunantajia. Sosiaalihuollon palvelunantajan tiedonsaantioikeuden osalta sääntely perustuu asiakaslain 20 §:ään. 1 momentin mukaan sosiaalihuollon julkisella palvelunantajalla olisi oikeus saada salassapitosäännösten estämättä pyynnöstä maksutta sosiaali- ja terveydenhuollon palvelunantajalta sekä terveydenhuollon ammattihenkilöltä, valtion ja kunnan viranomaiselta sekä muulta julkisoikeudelliselta yhteisöltä, Kansaneläkelaitokselta, Eläketurvakeskukselta, eläkesäätiöltä ja muulta eläkelaitokselta, vakuutuslaitokselta sekä koulutuksen järjestäjältä sosiaalihuollon asiakassuhteeseen olennaisesti vaikuttavat tiedot ja selvitykset, jotka palvelunantajalle laissa säädetyn tehtävän vuoksi ovat välttämättömiä asiakkaan sosiaalihuollon tarpeen selvittämiseksi, sosiaalihuollon järjestämiseksi ja siihen liittyvien toimenpiteiden toteuttamiseksi sekä palvelunantajalle annettujen tietojen tarkistamista varten. Koska kyse on palvelunantajalle laissa säädetyistä tehtävistä, säännös koskee julkisia sosiaalihuollon palvelunantajia, joille viranomaisena on laissa säädetyt kyseiset tehtävät.  

2 momentin mukaan 1 momentissa tarkoitettu tiedonantovelvollisuus koskisi myös rahalaitosta, jos sosiaalihuollon julkinen palvelunantaja ei saa riittäviä tietoja ja selvityksiä 1 momentissa mainituilta tahoilta ja jos on perusteltua syytä epäillä asiakkaan tai hänen laillisen edustajansa antamien tietojen riittävyyttä tai luotettavuutta. Pyyntö tulisi esittää kirjallisena rahalaitokselle. Pyynnön esittämistä koskevan päätöksen olisi oikeutettu tekemään sosiaalihuollon järjestämisestä vastaavan toimivaltaisen viranomaisen määräämä sosiaalihuollon viranhaltija. Ennen kuin pyyntö tehdään rahalaitokselle, olisi asiakkaalle annettava siitä tieto. 

3 momentissa säädettäisiin sosiaali- ja terveydenhuollon julkisen palvelunantajan oikeudesta saada pyynnöstä maksutta veroviranomaiselta ja Kansaneläkelaitokselta salassa pidettäviä henkilötietoja asiakkaan suostumuksesta riippumatta maksun määräämistä ja tietojen tarkistamista varten. Palvelunantajan tulisi etukäteen ilmoittaa asiakkaalle tietojen pyytämisestä. Terveydenhuollossa olisi vastaava tiedonsaantioikeus kuin sosiaalihuollon viranomaisella, koska myös terveydenhuollossa tarvitaan tietoja maksujen määräämistä ja tarkistamista varten tuloihin perustuvien maksujen osalta. Tuloihin perustuvat muiden muassa pitkäaikaisen laitoshoidon maksut. 

II OSA. Sosiaali- ja terveydenhuollon tietojärjestelmät

9 luku Valtakunnalliset tietojärjestelmäpalvelut

65 §. Sosiaali- ja terveydenhuollon valtakunnalliset tietojärjestelmäpalvelut. Pykälässä säädettäisiin siitä, mitkä ovat asiakastietojen sähköiseen käsittelyyn liittyviä valtakunnan tasolla keskitetysti hoidettavia tietojärjestelmäpalveluja. Lisäksi säädettäisiin näiden palvelujen hoitamisen vastuullisista tahoista. Pykälä vastaa sisällöltään voimassa olevan asiakastietolain sisältöä lukuun ottamatta asiakastietojen tietovarannosta käytettävää käsitettä. 

Valtakunnallisten tietojärjestelmäpalvelujen hoitamisella tarkoitettaisiin kaikkia niitä toimenpiteitä, jotka tarvitaan näiden palvelujen toteuttamiseksi siten, että kyseisten palvelujen avulla voidaan toteuttaa tässä laissa tarkoitetulla tavalla asiakastiedon sähköinen säilyttäminen, käyttö ja luovutus valtakunnallisesti. Valtakunnalliset tietojärjestelmäpalvelut olisivat siten osa sosiaali- ja terveyspalvelujen kokonaisuutta. 

Kansaneläkelaitos on hoitanut ja hoitaisi edelleen henkilötietojen käsittelijänä 1 momentin 1 kohdan mukaan palvelunantajien lukuun asiakasasiakirjojen säilytystä ja käyttöä varten olevaa asiakastietovarantoa, josta on aiemmin käytetty arkistointipalvelun käsitettä (kohta 1). Asiakastietovarannossa säilytettävät asiakasasiakirjat eivät siten olisi Kansaneläkelaitoksen rekistereitä tai asiakirjoja. Asiakastietovarannossa tietoja säilytetään asiakkaan sosiaali- ja terveyspalvelujen järjestämiseksi ja toteuttamiseksi, eikä yleisen edun mukaista arkistokäyttötarkoitusta varten. Asiakastietovarantoon sisältyisivät kaikki tarpeelliset tallennus-, rekisteröinti- ja tiedonvälityspalvelut sekä muut tietotekniset toteutukset sekä tehtävät, joiden avulla asiakasasiakirjojen säilytys, käyttö ja luovutus voitaisiin toteuttaa sähköisesti. 

Kansaneläkelaitos hoitaisi myös lokirekisterien säilytyspalvelua (kohta 2). Lokirekisterin säilytyspalveluun tallennettaisi luovutuslokitiedot ja valtakunnallisia tietojärjestelmäpalveluita koskevat käyttölokit. Lisäksi sinne voitaisi tallentaa palvelunantajien toiminnassa muodostuvat käyttölokit asiakas- ja potilastietojen käytöstä. 

Osa valtakunnallisia tietojärjestelmäpalveluita on ammattilaisen käyttöliittymä eli sähköisten lääkemääräysten käsittelyyn tarkoitettu niin sanottu Kelain-palvelu (kohta 3) ja kansalaisen käyttöliittymä eli Omakanta (kohta 4). Ammattilaisen käyttöliittymän avulla lääkärit voisivat kirjoittaa sähköisiä lääkemääräyksiä silloin, kun toimivat itsenäisen ammattihenkilön, mutta eivät palvelunantajan roolissa. Kansalaisen käyttöliittymän avulla henkilölle voitaisiin näyttää itseään tai huollettavaansa koskevat asiakastiedot sekä hyvinvointitiedot. Toisen puolesta asiointi olisi huoltajuuden lisäksi mahdollista myös valtuutuksen perusteella. Valtuutus mahdollistaa asioinnin täysi-ikäisten puolesta, ja lisäksi huoltajat voisivat valtuuttaa henkilön asioimaan alaikäisen lapsensa puolesta esimerkiksi tilanteissa, joissa turvakielto tai huollonjakosopimus estää puolesta asioinnin. Puolesta asioinnin estyminen voi johtua huollonjakotilanteissa siitä, että huoltajien tehtäväjakoa koskevat tiedot eivät ole koneluettavassa muodossa. Lisäksi käyttöliittymäpalvelun avulla voitaisiin antaa tietojen luovutusta koskevat luovutusluvat, suostumukset ja kiellot sekä asioida sosiaali- ja terveydenhuollon palvelunantajien kanssa. Myös hyvinvointitietojen selaus ja hallinnointi olisi mahdollista kansalaisen käyttöliittymän avulla. 

Osa valtakunnallisia tietojärjestelmäpalveluita olisi omatietovaranto (kohta 5). Omatietovaranto olisi tietovaranto, johon henkilö voisi tuottaa itse omia hyvinvointitietojaan hyvinvointisovellusten avulla ja hallinnoida niitä. Omatietovarannon tuotantoympäristöön voisivat liittyä hyvinvointisovellukset, jotka olisi sertifioitu. Omatietovarantoon olisi määritelty kansallinen tietomalli, johon sovelluskehittäjät voisivat tehdä laajennusehdotuksia, jotka hyväksyttäisiin tietomallin hyväksyntäprosessin mukaisesti. Omatietovarannon hyvinvointisovellukset voitaisiin toteuttaa monella tavalla. Ne voisivat olla www-pohjaisia sovelluksia tai mobiilisovelluksia. Kaikki valtakunnallisiin tietojärjestelmäpalveluihin kytketyt hyvinvointisovellukset kerättäisiin Kansaneläkelaitoksen ylläpitämään niin sanottuun sovelluskatalogiin, jonka tehtävänä olisi tarjota henkilölle tieto, mitä sovelluksia hän voisi ottaa käyttöön. Sovelluksia voitaisiin käyttää henkilön omassa mobiililaitteessa tai verkkopalveluna selaimella. Hyvinvointisovellukset tulisi sertifioida siten kuin niistä jäljempänä erikseen säädetään. 

Lisäksi valtakunnallisiin tietojärjestelmäpalveluihin kuuluisivat tiedonhallintapalvelu (kohta 6), tahdonilmaisupalvelu (kohta 7), reseptikeskus (kohta 8), lääketietokanta (kohta 9) ja kysely- ja välityspalvelu (kohta 10).  

Tiedonhallintapalvelun avulla koostetaan potilasasiakirjoilta keskeiset potilastiedot niin, että ne voidaan esittää ammattihenkilöille yhteenvetoina. Tahdonilmaisupalveluun tallennettaisiin valtakunnallisia tietojärjestelmäpalveluiden kautta luovutettavia asiakasasiakirjoja koskevat luovutusluvat, suostumukset, kiellot ja informointiasiakirjat, potilaan hoitoon liittyvät tahdonilmaukset sekä muut sosiaali- ja terveysalan palveluihin liittyvät tahdonilmaukset siten kuin niistä erikseen muussa lainsäädännössä säädetään. 

Asiakkaan lääkemääräyksiä koskevat tiedot tallennettaisiin keskitetysti reseptikeskukseen. Lääketietokantaa hyödynnetään lääkkeitä koskevien tietojen hallinnassa esimerkiksi lääkemääräysasiakirjoihin tallennettavien tietojen yhdenmukaisuuden varmistamiseksi. Lääketietokannassa ei käsitellä henkilötietoja, vaan ainoastaan lääkkeisiin liittyviä tietoja. Kysely- ja välityspalvelun avulla voidaan välittää asiakasasiakirjoja sosiaali- ja terveydenhuollon ulkopuolisille tahoille. 

Muita valtakunnallisia palveluita olisivat pykälän 2 momentin mukaisesti koodistopalvelu sekä rooli- ja attribuuttipalvelu. Sosiaali- ja terveysalan lupa- ja valvontavirasto (Valvira) ylläpitäisi rooli- ja attribuuttipalvelua, koodistoja sekä sosiaali- ja terveydenhuollon ammattihenkilöiden keskusrekisteriä. Rooli- ja attribuuttipalvelu perustuu sosiaali- ja terveydenhuollon ammatti-henkilöiden keskusrekisterin tietoihin. Koodistoja käytettäisiin edelleen sosiaali- ja terveydenhuollon ammattioikeuksiin sekä niiden voimassaoloon ja rajoituksiin liittyvien tietojen esittämiseksi rakenteisessa muodossa. 

Terveyden ja hyvinvoinnin laitos vastaisi kaikkien kansallisen sosiaali- ja terveydenhuollon koodistopalvelun kautta ylläpidettävien tietorakenteiden sisällöistä. Kansaneläkelaitos vastaisi edelleen koodistopalvelimen (CodeServer) tietoteknisestä toteutuksesta. Koodistopalvelun kautta jaettaisiin sosiaali- ja terveydenhuollon toiminnassa ja tietojärjestelmissä hyödynnettäviä tietorakenteita, kuten nimikkeistöjä, luokituksia, organisaatioluokituksia, arviointimittareita sekä tietosisältöjä. Koodistopalvelun kautta ylläpidettäisiin muun muassa toimenpideluokituksia, suun terveydenhuollon toimenpideluokituksia, radiologisia tutkimus- ja toimenpideluokituksia sekä laboratoriotutkimusnimikkeistöä ja vastaavasti sosiaalihuollon asiakastietojen rakenteisiin liittyviä luokituksia. Koodistopalvelu vastaa luokituksien kansallisesta päivittämisestä. 

Sosiaalihuollon asiakirjarakenteita hallittaisiin ja tultaisiin jakamaan erillisen niin sanotun editorin kautta. Editoria kehitetään ja ylläpidetään tällä hetkellä Terveyden ja hyvinvoinnin laitoksella. Sosiaalihuollon asiakasasiakirjarakenteiden ylläpito ja kehittäminen olisi osa koodistopalvelutoimintaa. Lisäksi jokainen valtakunnallisiin tietojärjestelmäpalveluihin liittynyt palvelunantaja tulisi kyetä yksilöimään koodistopalvelun avulla. 

Pykälän 3 momentin mukaan sosiaali- ja terveydenhuollon varmennepalvelua hoitava viranomainen olisi Digi- ja väestötietovirasto. Digi- ja väestötietovirasto toimisi sosiaali- ja terveydenhuollon ammattihenkilöiden sekä terveydenhuollon ja apteekkien muun henkilöstön, palvelunantajien ja apteekkien sekä näiden palvelujen antamiseen osallistuvien organisaatioiden, niiden henkilöstön ja tietoteknisten laitteiden tunnistus- ja luottamuspalvelulain tarkoittamana varmentajana. Sosiaali- ja terveydenhuollon ammattivarmenteen myöntäminen ja peruuttaminen kytkettäisiin ammattihenkilön ammatinharjoittamisoikeuden voimassaoloon. Mikäli ammattioikeus on menetetty, peruuttaisi Digi- ja väestötietovirasto varmenteet saatuaan tiedot Sosiaali- ja terveysalan lupa- ja valvontavirastosta, mutta varmennekortit jäisivät käytännössä haltijoilleen.  

Digi- ja väestötietovirastolla olisi oikeus saada 3 momentissa mainittujen tehtäviensä hoitamiseksi Sosiaali- ja terveysalan lupa- ja valvontaviraston ylläpitämästä terveydenhuollon (Terhikki-rekisteri) ja sosiaalihuollon (Suosikki-rekisteri) ammattihenkilöiden keskusrekisteristävarmennepalvelujen tuottamisessa tarvittavat tiedot. Digi- ja väestötietoviraston tiedonsaantioikeus koskisi sosiaali- ja terveydenhuollon ammattihenkilöiden keskusrekisterissä olevia varmenteen myöntämiseen ja peruuttamiseen, varmenteeseen, tekniseen alustaan sekä varmennekortin toimittamiseen tarvittavia tietoja. Tällaisia tietoja olisivat muun muassa sosiaali- ja terveydenhuollon ammattihenkilöiden henkilö- ja osoitetiedot, tiedot ammattioikeuden tai nimikesuojauksen saamisesta ja menettämisestä voimaantuloajankohtineen, rekisteröintinumero ja lääkkeenmääräämisen edellyttämä yksilöintitunnus. Digi- ja väestötietoviraston tiedonsaantioikeus olisi rajoitettu eikä koskisi tietoja ammattioikeuden menettämisen perusteista eikä tietoja ammattioikeuden rajoittamisesta tai sen perusteista. 

Ammattikortti joutuisi ammattioikeuden päättymisen jälkeen sulkulistalle, eikä korttia voisi enää käyttää varmentamiseen. Kortti laitetaan sulkulistalle myös, jos se on kadonnut tai joutunut väärän henkilön haltuun niin, korttia voitaisi käyttää oikeudettomasti. Esitettävän lain 8 §:n 2 momentissa säädetään palvelunantajan velvollisuudesta tarkistaa varmenteen voimassaolo, ja vastaava säännös on myös tunnistus- ja luottamuspalvelulain 25 §:n 5 momentissa. Varmenteiden sulkemiseen ja oikeudettoman käytön vastuisiin liittyy erityissääntelyä. 

Pykälän 4 momentissa säädettäisiin siitä, että Sosiaali- ja terveysalan lupa- ja valvontavirastolla olisi oikeus saada Digi- ja väestötietovirastolta tiedot sen 3 momentin nojalla myöntämistä varmenteista. Tieto varmenteista olisi tarpeen viraston toimialaan kuuluvan sosiaali- ja terveydenhuollon sekä siinä käytettävien tietojärjestelmien ohjaamista ja valvontaa varten. 

66 §. Kansaneläkelaitoksen vastuu valtakunnallisten tietojärjestelmäpalvelujen ylläpidossa. Pykälässä esitettäisiin, että Kansaneläkelaitos valtakunnallisen tietojärjestelmäpalvelun teknisenä toteuttajana ja ylläpitäjänä vastaisi palvelun yleisestä toiminnasta ja toiminnan lainmukaisuudesta. Pykälä perustuisi voimassa olevan asiakastietolain 14 §:ään siten, että Kansaneläkelaitoksen valvontaan ja raportointiin liittyviä oikeuksia esitetään laajennettavaksi. 

Kansaneläkelaitoksella ei olisi oikeutta määrätä asiakastietovarantoon tallennetuista asiakastiedoista eikä luovuttaa niitä, ellei toisin säädetä. Asiakastietoja ei saisi muutoinkaan käsitellä laajemmin kuin mitä ylläpitoon kuuluvat tehtävät välttämättä edellyttävät. Koska Kansaneläkelaitos hoitaisi asiakastietovarantoa sosiaali- ja terveydenhuollon palvelunantajien lukuun, olisi Kansaneläkelaitoksen vastattava omalta osaltaan asiakastietojen käsittelystä näiden tietojärjestelmäpalvelujen avulla. Valtakunnallisiin tietojärjestelmäpalveluihin liittynyt palvelunantaja vastaisi asiakastietojen rekisterinpitäjänä järjestelmään tallennettujen asiakastietojen ja niiden käsittelyyn liittyvien lokitietojen sisällöstä ja virheettömyydestä sekä muun käsittelyn lainmukaisuudesta. 

Pykälän 1 momentissa säädettäisiin, että valtakunnallisten tietojärjestelmäpalvelujen ja asiakastietojen tulee olla käytettävissä siten, että asiakastiedot ovat aina saatavilla asiakasturvallisuutta vaarantamatta. Tällä tarkoitetaan, että niiden tulee olla kaikkien palveluun liittyneiden palvelunantajien käytettävissä 24 tuntia vuorokaudessa viikon ja vuoden jokaisena päivänä mukaan lukien juhla- ja pyhäpäivät. Tietojen käsittelyyn liittyvän vasteajan tulisi olla sellainen, ettei asiakasturvallisuus vaarannu. Tietojärjestelmäpalveluilla tulisi lisäksi olla tarpeelliset varajärjestelmät toimintahäiriöiden ja poikkeusolojen varalle. Toimintahäiriöillä tarkoitetaan esimerkiksi sähkökatkoksia tai muita niihin rinnastuvia tietojen kulkua estäviä toiminnallisia häiriöitä. Poikkeusoloilla tarkoitetaan valmiuslain (1080/1991) 2 §:n tarkoittamia poikkeusoloja, kuten esimerkiksi Suomeen kohdistuvia aseellisia hyökkäyksiä, sodan uhkaa tai suuronnettomuuksia. 

Pykälän 2 momentissa esitettäisiin luettelo Kansaneläkelaitoksen vastuista valtakunnallisten tietojärjestelmäpalvelujen ylläpidossa. Kansaneläkelaitos vastaisi valtakunnallisten tietojärjestelmäpalvelujen edellyttämistä teknisistä määrittelyistä ja teknisistä ohjeista sekä käyttäisi päätösvaltaa järjestelmän tietotekniseen toimintaan liittyvissä kysymyksissä (kohta 1). Kansaneläkelaitos vastaisi myös valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen asiakastietojen, hyvinvointitietojen ja muiden tietojen turvallisuuden varmistamisesta tiedonhallintalain 15 §:n mukaisesti sekä tietojen hävittämisestä säilytysajan päättymisen jälkeen. Käytännössä nykytilanne säilyisi entisellään, eli Kansaneläkelaitos vastaisi edelleen tietojen käytettävyydestä, eheydestä, muuttumattomuudesta, suojaamisesta, säilyttämisestä ja hävittämisestä. Henkilöllä olisi kuitenkin oikeus hävittää ja muokata omia hyvinvointitietojaan. Kansaneläkelaitos ei voisi näin ollen vastata hyvinvointitietojen hävittämisestä vastaavalla tavalla kuin asiakastietojen osalta. Muuttumattomuuden ja eheyden osalta vastuu tarkoittaisi sitä, että henkilön tiedot säilyvät siinä muodossa ja saman sisältöisinä, kuin tämä on ne omatietovarantoon tallentanut. (kohta 2). Kansaneläkelaitos vastaisi vastuullaan olevien valtakunnallisten tietojärjestelmäpalvelujen toteutuksista siten, että asiakas- tai hyvinvointietoja tai muita sinne tallennettuja tietoja luovutetaan esitettävän lain ja toisiolain mukaisesti (kohta 3). Kansaneläkelaitos vastaisi siitä, että asiakas-ja hyvinvointitiedon käyttöä ja luovutusta koskeva tieto tallentuisi lokirekisteriin (kohta 4). 

Lisäksi Kansaneläkelaitos vastaisi koodistopalvelimen tietoteknisestä toteuttamisesta, lukuun ottamatta termieditoria, jonka toteutuksesta vastaisi Terveyden ja hyvinvoinnin laitos (kohta 5). Kansaneläkelaitos vastaisi valtakunnallisiin tietojärjestelmäpalveluihin liittyvästä tiedottamisesta väestölle (kohta 6). 

Kansaneläkelaitos vastaisi myös valtakunnallisiin tietojärjestelmäpalveluihin liitettävien tietojärjestelmien ja hyvinvointisovellusten yhteentoimivuuden testaamisesta (kohta 7). 

Pykälän 3 momentissa olisi lueteltu ne asiat, joihin Kansaneläkelaitoksella olisi oikeus. Kansaneläkelaitoksella olisi oikeus saada Sosiaali- ja terveysalan lupa ja valvontaviranomaiselta (Valviralta) valtakunnallisiin tietojärjestelmäpalveluihin liittyvien lakisääteisten tehtäviensä hoitamiseksi tarvittavat tiedot sosiaali- ja terveydenhuollon ammattihenkilöistä (kohta 1). Tämä tarkoittaisi tiedonsaantioikeutta myös muuten kuin rooli- ja attribuuttipalvelun kautta. Tietoja tarvittaisiin ja käytettäisiin muun muassa lokiraportoinnissa ja -valvonnassa sekä potilaan tiedonsaantioikeuksien toteuttamisessa. 

Kansaneläkelaitoksella olisi oikeus käsitellä asiakas- ja hyvinvointitietoja siltä osin kuin mitä valtakunnallisten tietojärjestelmäpalvelujen ylläpitoon kuuluvat tehtävät välttämättä edellyttävät (kohta 2), käyttää päätösvaltaa järjestelmän tietotekniseen toimintaan liittyvissä kysymyksissä, jollei tästä laista tai sen nojalla annetuista säännöksistä muuta johdu (kohta 3) sekä antaa tahdonilmaisupalvelussa olevia luovutustenhallintaan liittyviä asiakirjoja ja niiden lokitietoja sosiaali- ja terveydenhuollon palvelunantajille asiakastietojen käytön ja luovutusten seurantaa ja valvontaa varten, jos on ilmeistä, ettei siten vaaranneta turvajärjestelyjen toteutumista. Kansaneläkelaitos voisi siten antaa asianomaisille organisaatioille tahdonilmaisupalveluun ja omatietovarantoon tallennettujen tietojen käsittelyyn liittyviä lokitietoja tietosuojaselvityksiä varten (kohta 4).  

Kansaneläkelaitoksella olisi oikeus suorittaa palveluidensa ja palveluissa säilytettävien tietojen käyttöön sekä tietoliikenteeseen ja tietoliikenteen lokitietoihin kohdentuvaa valvontaa tietoturvan lisäämiseksi ja tietoturvahyökkäysten sekä väärinkäytösten estämiseksi ja paljastamiseksi. Jos Kansaneläkelaitos havaitsisi mahdollisia väärinkäytöksiä, olisi sen saatettava asia välittömästi kyseisen rekisterinpitäjän tietoon. (kohta 5).  

Kansaneläkelaitokselle esitetään uutta oikeutta suorittaa lokirekisterien säilytyspalveluun tallennettujen tietojen valvontaa yhteistyössä rekisterinpitäjien kanssa asiakastietojen käsittelyn lainmukaisuuden varmistamiseksi (kohta 6). Oikeus koskisi myös käyttölokirekisteriä. Valvonnan avulla Kansaneläkelaitos voisi tehdä keskitetysti analyysia asiakastietojen käytöstä ja siten ennalta ehkäistä poikkeamia asiakastietojen käsittelyssä. Keskitetty valvonta tarjoaisi palvelunantajien valvonnan tueksi lisätyökalun ja vähentäisi palvelunantajien valvontataakkaa, mutta ei kokonaan poistaisi eikä korvaisi sitä. Kyseessä olisi mahdollistava säännös, jonka toteutusta ja yhteistyömalleja palvelunantajien kanssa tulee vielä tarkentaa ennen valvonnan aloitusta.  

Kansaneläkelaitoksella olisi oikeus saada Digi- ja väestötietovirastolta valtakunnallisten tietojärjestelmäpalvelujen ylläpitoa varten tarvittavat välttämättömät tiedot (kohta 7). Tällaisia tietoja ovat esimerkiksi puolesta-asiointia varten tarvittavat tiedot. Myös tukipalvelulain 14 §:ssä säädetään Suomi.fi-palveluja hyödyntävän käyttäjäorganisaation oikeudesta saada tietoja esimerkiksi asioinnin yhteydessä tapahtuneen tietojen käsittelyn oikeellisuuden osoittamiseksi tai muutoin asiointia koskevien ongelmien selvittämistä varten. 

Kansaneläkelaitokselle olisi 8 kohdan mukaan myös uusi oikeus seurata valtakunnallisten tietojärjestelmäpalvelujen käyttöä sekä julkaista palvelunantajien valtakunnallisten tietojärjestelmäpalvelujen käyttöä koskevat tiedot julkisessa internetissä. Käytännössä kyse olisi siitä, että Kansaneläkelaitos voisi seurata ja julkaista tiedot siitä, mitä tietosisältöjä palvelunantaja tallentaa valtakunnallisiin tietojärjestelmäpalveluihin, kuinka pitkällä viiveellä tallentaminen tapahtuu ja miten palvelunantaja käyttää valtakunnallisia tietojärjestelmäpalveluita saadakseen muiden palvelunantajien asiakastietoja käytettäväksi sosiaali- ja terveyspalveluita järjestäessään ja toteuttaessaan. Tietojen julkaisu toisi asiakkaille tärkeää tietoa siitä, mitä tietoja palvelunantajat tallentavat ja millaisella viiveellä. Valtakunnallisten tietojärjestelmäpalvelujen luovutuksia koskeva tieto on myös merkittävää seurantatietoa palvelujen hyödyntämisestä. Julkaistavat tiedot olisivat palvelunantajakohtaisia ja ne eivät sisältäisi asiakkaiden henkilötietoja. 

Momentin 9 kohdassa Kansaneläkelaitokselle esitetään uutta oikeutta suorittaa valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen asiakastietojen teknistä laadunvalvontaa yhteistyössä Terveyden ja hyvinvoinnin laitoksen kanssa tietorakenteiden oikeellisuuden ja yhteentoimivuuden varmistamiseksi. Tekninen laadunvalvonta voisi olla tallennettuihin tietorakenteisiin kohdistuvaa tietoteknistä validointia ja tarvittaessa myös ihmisen tekemää manuaalista tarkistamista. Validoinnin tulisi kohdistua siihen, että toimitettavat tiedot vastaavat tietojen rakenteisiin kohdistettuja vaatimuksia sekä siihen, että tietojen sisällön oikeellisuus esimerkiksi käytettyjen koodistojen osalta voidaan varmistaa. Yhteistyö Terveyden ja hyvinvoinnin laitoksen kanssa olisi tarpeen, koska Terveyden ja hyvinvoinnin laitoksen tarkoituksena on hyödyntää valtakunnallisiin tietojärjestelmäpalveluihin tallennettuja tietoja omissa lakisääteisissä tiedonkeruissaan, ja sillä on kompetenssia arvioida tietorakenteita myös sisällön näkökulmasta. Tarvetta laadunvarmistukselle ja tietorakenteiden yhdenmukaisuuden ja oikeellisuuden varmistamiselle on ilmennyt erityisesti korona-pandemian aikana, jolloin havaittiin haasteita esimerkiksi sairastumista ja rokotuksia koskevien tilastojen laadinnassa valtakunnallisten tietojärjestelmäpalvelujen asiakirjojen pohjalta. Kansaneläkelaitoksen toteuttama laadunvarmistus olisi yksi toimenpide muiden laadunvarmistamiseen tähtäävien toimenpiteiden joukossa. Keskeisimmät laadunvarmistuksen toimenpiteet kohdistuvat tietojen tuottamiseen, keräämiseen ja kirjaamiseen, joka edellyttää hyvää tietojärjestelmien käytettävyyttä sekä tietojen tuottajille ja tietojärjestelmille kohdistettavia vaatimuksia.  

Pykälän 4 momentissa esitetään, että Kansaneläkelaitos ylläpitäisi valvontakeskusta, joka seuraisi valvonnan kannalta tarpeellisia tietoja valtakunnallisten tietojärjestelmäpalveluiden ja palvelunantajien välillä. Poikkeavaa toimintaa havaitessaan Kansaneläkelaitoksen olisi ryhdyttävä tarpeellisiin toimenpiteisiin palvelunantajien kanssa ja ilmoitettava viipymättä kyberturvallisuuskeskukselle havaitsemistaan tietoturvallisuusloukkauksista ja tietoturvallisuuden häiriöistä. Kansaneläkelaitoksen olisi salassapitosäännösten estämättä annettava Kyberturvallisuuskeskukselle välttämättömät tiedot.  

Pykälän 5 momentissa esitetään, että Kansaneläkelaitos voisi luovuttaa valtakunnallisten palveluiden ohjaamisesta, valvonnasta ja kehittämisestä vastaaville viranomaisille valtakunnallisissa tietojärjestelmäpalveluissa olevista tiedoista ja asiakirjojen kuvailutiedoista ja lokitiedoista yhteenvetoja, joilla voi olla merkitystä valtakunnallisten palvelujen kehittämisessä, seurannassa ja raportoinnissa. Yhteenvetotietojen pitää olla sellaisia, että niistä ei voi tunnistaa yksittäisiä henkilöitä eikä niihin saa sisällyttää henkilötietoja. Lisäksi momentissa olisi uusi ehdotus, jonka mukaan Kansaneläkelaitos voisi laatia ja luovuttaa palvelunantajalle palvelunantajan omassa rekisterissä oleviin, valtakunnallisiin tietojärjestelmäpalveluihin tallennettuihin asiakastietoihin ja lokitietoihin perustuvia yhteenvetoja, joilla on merkitystä palvelunantajan toiminnan kehittämisessä, seurannassa, raportoinnissa ja valvonnassa. Yhteenvedot eivät saisi sisältää henkilötietoja. Kansaneläkelaitos voisi antaa tiedot palvelunantajan pyynnöstä. Jos tarvetta tietojen tuottamiselle jatkossa on runsaasti, Kansaneläkelaitos voisi talousarvion puitteissa toteuttaa myös raportointityökalun, jonka avulla palvelunantajat voisivat itsekin tarkastella raportteja.  

Pykälän 6 momentissa esitetään, että valtakunnalliset tietojärjestelmäpalvelut olisi suojattava vastaavalla tavalla kuin valtion viranomaisten ja kuntien tietoturvallisuutta koskevista velvoitteista erikseen tiedonhallintalaissa säädetään. Kansaneläkelaitos ei itsessään ole valtion viranomaisia koskevan sääntelyn piirissä, mutta koska se säilyttää valtakunnallisissa tietojärjestelmäpalveluissa arkaluonteisia asiakas- ja potilastietoja julkisten sosiaali- ja terveydenhuollon palvelunantajien lukuun, on perusteltua, että velvoitteet ovat samat kuin ne olisivat, jos palvelunantajat hoitaisivat velvoitteet itse. Valtakunnallisissa tietojärjestelmäpalveluissa on toteutettava tietoturvallisuuden varmistavat toimenpiteet kokonaisuutena niin, että myös yksityisten palvelunantajien tiedot on suojattu vastaavalla tasolla. Kansaneläkelaitos ei saisi antaa valtakunnallisten tietojärjestelmäpalvelujen järjestämiseen liittyvien tässä esityksessä mainittujen rekisterien taikka niihin liittyvien lokirekistereiden käsittelyä tai säilyttämistä ulkopuolisten tehtäväksi. Kansaneläkelaitos kuitenkin voisi käyttää palvelujen tuottamisessa ja ylläpidossa alihankkijoita tai toimittajia. 

67 §. Velvollisuus liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Pykälän 1 momentissa säädettäisiin palvelunantajien ja apteekkien velvollisuudesta liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi ja ottaa käyttöön ne 65 §:n 1 momentissa tarkoitetut tietojärjestelmäpalvelut, joihin sillä on velvoite tallentaa asiakastietoja tai jonka avulla sille voidaan luovuttaa asiakastietoja. Valtakunnalliset tietojärjestelmäpalvelut olisi siten otettava käyttöön siinä laajuudessa, kuin sillä on toisaalta velvoite tallentaa asiakastietoja eri tietojärjestelmäpalveluihin ja jonka avulla sille luovutetaan asiakastietoja.  

Käytännössä kaikkien palvelunantajien tulisi liittyä asiakastietovarannon, lokirekisterien säilytyspalvelun ja tahdonilmaisupalvelun käyttäjäksi, koska niillä on velvoite tallentaa asiakasasiakirjansa asiakastietovarantoon. Lokirekisterien säilytyspalveluun on tallennettava asiakastietojen luovutuksia koskevat tiedot, ja tahdonilmaisupalveluun on voitava tallentaa asiakkaan tekemät luovutuksia koskevat tahdonilmaisuasiakirjat. Kaikki terveydenhuollon palvelunantajat eivätkä sosiaalihuollon palvelunantajat kuitenkin laadi sähköisiä lääkemääräyksiä, joten niitä ei ole syytä velvoittaa liittymään reseptikeskukseen. Sosiaalihuollon asiakirjoista ei muodosteta tiedonhallintapalvelun avulla koosteita, mutta koska sosiaalihuollon palvelunantajan tiedonsaantioikeus potilastietoihin sisältää myös tiedonhallintapalvelun kautta tuotettavat koosteet, tulisi niidenkin liittyä tiedonhallintapalvelun käyttäjäksi saadaan potilastietoja silloin, kun palvelunantajan lukuun toimivilla ammattihenkilöillä on käyttöoikeus tiedonhallintapalvelun kautta luovutettaviin potilastietoihin. Liittyminen toteutettaisiin niin, että palvelunantaja liittyessään ottaa käyttöön ne palvelut ja toiminnallisuudet, joihin se tallentaa asiakirjoja ja minkä kautta sillä on oikeus hyödyntää asiakas- ja hyvinvointitietoja. 

Pykälän 2 momentissa säädettäisiin yksityisen sosiaali- ja terveydenhuollon palvelunantajan liittymisvelvollisuudesta. Lähtökohtaisesti sekä julkisella että yksityisellä sosiaali- ja terveydenhuollon palvelunantajalla olisi ehdoton liittymisvelvollisuus. Mahdollisimman laajan liittymisvelvollisuuden kautta pystyttäisiin luomaan mahdollisimman kattava tietojärjestelmäkokonaisuus, jonka avulla asiakkaan tiedot olisivat käytettävissä aina siellä, missä asiakas asioi. Lisäksi tällä varmistettaisiin palvelunantajien tietojärjestelmien valtakunnallista yhteentoimivuutta sekä järjestelmän kehittämismahdollisuuksia jatkossa. 2 momentissa säädettäisiin kuitenkin myös poikkeus velvollisuudesta liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Tämä poikkeus koskisi niitä yksityisiä ammatinharjoittajia tai pieniä palveluntuottajia, joilla ei ole käytössään valtakunnallisiin tietojärjestelmäpalveluihin liitettävää potilastietojen tai sosiaalihuollon asiakastietojen käsittelyyn tarkoitettua tietojärjestelmää.  

Pykälään 3 momentissa säädettäisiin siitä, että myös muut sosiaali- ja terveysalan toimijat kuin palvelunantajat, joiden palveluita ja asiakastietojen käsittelyä koskevia tahdonilmauksia tallennetaan 65 §:n 1 momentin 7 kohdan mukaiseen tahdonilmaisupalveluun, voivat liittyä tahdonilmaisupalvelun käyttäjäksi. Liittymismahdollisuus on edellytys sille, että esimerkiksi biopankit, jotka eivät ole sosiaali- ja terveydenhuollon palvelunantajia, voivat tallentaa toimintaansa koskevia tahdonilmaisuja tahdonilmaisupalveluun ja vastaavasti käyttää niitä tietojensa käsittelyn perustana.  

Myös Ahvenanmaan maakunnan sosiaali- ja terveydenhuollon palvelunantaja saisi liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Jos Ahvenanmaan maakunnan sosiaali- ja terveydenhuollon palvelunantaja haluaisi liittyä tietojärjestelmäpalvelujen käyttäjäksi, sen on tietojärjestelmäpalveluja käyttäessään noudatettava tämän lain säännöksiä. 

68 §. Asiakkaan informointi valtakunnallisista tietojärjestelmäpalveluista. Pykälän sisältö vastaisi voimassa olevan asiakastietolain vastaavaa säännöstä. Pykälän 1 momentissa säädettäisiin palvelunantajan velvoitteesta informoida asiakasta valtakunnallisista tietojärjestelmäpalveluista ja niiden yleisistä toimintaperiaatteista. Koska asiakastiedon saaminen valtakunnallisesta asiakastietovarannosta perustuisi lakiin ja asiakastietojen luovutusta koskevaan asiakkaan luovutuslupaan, kaikkien palvelunantajien rekisterien tiedot olisivat luovutuslupansa antaneiden asiakkaiden osalta aina sosiaali- ja terveydenhuollon ammattihenkilöiden käytettävissä, jos he tarvitsevat niitä työtehtävissään. Käytäntö asettaa erityisen korostetun vastuun asiakkaan informoinnille. Informointi toimii suojatoimenpiteenä turvaamassa rekisteröidyn oikeuksia ja vapauksia, erityisesti näiden perusteltuja odotuksia käytännön muuttuessa. Valittua ratkaisua puoltaa myös tietosuoja-asetuksen mukainen riskiperusteisuus, läpinäkyvyys, oletusarvoinen ja sisäänrakennettu tietosuoja, joka on esityksessä otettu huomioon rekisteröidyn kannalta myönteisesti.  

Esityksen mukaan palvelunantajan olisi informoitava asiakasta valtakunnallisista tietojärjestelmäpalveluista, niiden toimintaperiaatteista ja valtakunnallisiin tietojärjestelmäpalveluihin liittyvistä asiakkaan oikeuksista. Informointi olisi annettava asiakkaalle viimeistään ensimmäisen asioinnin yhteydessä. Informointi voitaisiin antaa myös 74 §:ssä tarkoitetun kansalaisen käyttöliittymän (Omakanta) kautta. Ehdotettava informointia koskeva säännös ei siten tarkoittaisi tietosuoja-asetuksessa tarkoitettua informointivelvoitetta, eikä sillä ole tarkoitus mukauttaa tietosuoja-asetuksen mukaisia velvoitteita, vaikkakin käytännön toiminnassa on kuitenkin syytä kiinnittää erityistä huomiota myös tietosuoja-asetuksen edellyttämään informointiin henkilötietojen käsittelystä. 

EU:n tietosuoja-asetuksessa säädetään henkilötietojen käsittelyyn liittyvästä informoinnista. Informoinnissa on noudatettava tietosuoja- asetuksesta seuraavaa velvoitetta palvelunantajalle antaa tietyt tiedot asiakkaalle. Tietosuoja-asetuksen mukaan, jos henkilötietoja kerätään rekisteröidyltä itseltään, informointi on hoidettava silloin, kun henkilötietoja saadaan. Jos henkilötiedot kerätään muualta, informointi on hoidettava kohtuullisessa ajassa, kuitenkin viimeistään kuukauden kuluessa tietojen saamisesta.  

EU:n tietosuoja-asetuksen mukaan rekisterinpitäjällä on velvollisuus antaa rekisteröidylle ilmaiseksi tietoa hänen henkilötietojensa käsittelystä. Rekisterinpitäjän on tietosuoja-asetuksen mukaan aina ilmoitettava seuraavat henkilötietojen käsittelyä koskevat tiedot: 

- rekisterinpitäjän, mahdollisen edustajan ja tietosuojavastaavan yhteystiedot  

- käsittelyn tarkoitus ja sen oikeusperuste. Jos tietoja ei kerätä rekisteröidyltä itseltään, on lisäksi ilmoitettava mitä henkilötietoryhmiä käsittely koskee  

- rekisterinpitäjän tai kolmannen osapuolen oikeutettu etu, jos käsittely perustuu siihen  

- tapauksen mukaan, keille henkilötietoja luovutetaan sekä  

- tieto siitä, jos rekisterinpitäjä aikoo luovuttaa tietoja kolmansiin maihin tai kansainväliselle järjestölle. 

Läpinäkyvän ja oikeudenmukaisen käsittelyn takaamisen lisäksi rekisterinpitäjän on ilmoitettava tietosuoja-asetuksen mukaan: 

-tietojen säilytysaika tai sen määrittelemisen peruste  

- rekisteröidyn oikeudet tietoihinsa, kuten oikeus tulla unohdetuksi, oikeus peruuttaa suostumus, valitusoikeus ja automaattisen päätöksenteon olemassaolo seurauksineen, esimerkiksi profilointi  

- perustuuko tietojen kerääminen lakiin tai sopimusvelvoitteeseen sekä  

- onko henkilön pakko antaa tietoa ja seuraukset siitä, jos hän ei anna tietoa. 

Rekisteröidyllä on lisäksi tietosuoja-asetuksen mukaan aktiivinen oikeus saada vahvistus siitä, käsitelläänkö häntä koskevaa tietoa. Rekisteröidyllä on lisäksi oikeus saada tarkemmat tiedot tietojen käsittelystä, kuten käsittelyn tarkoitus ja mitä henkilötietoryhmiä käsittely koskee.  

Informoinnissa tulisi erityisesti huomioida erityisryhmät, esimerkiksi lapset. Esimerkiksi lapsille tieto olisi annettava ymmärrettävässä muodossa ja heidät tavoittavalla tavalla. Lapselle olisi selkeästi kerrottava hänen mahdollisesta oikeudestaan rajoittaa tietojen näkymistä. Lasta olisi informoitava riittävästi myös niissä tilanteissa, kun huoltaja toimii sähköisessä asioinnissa lapsen puolesta ja lapsen rinnalla. Informoinnista on saatavissa yksityiskohtaista ohjeistusta Tietosuovaltuutetulta ja Euroopan tietosuojaneuvostolta (EDPB). 

69 §. Valtakunnallinen asiakastietovaranto. Pykälän 1 momentissa säädettäisiin siitä, että palvelunantajan tulisi tallentaa valtakunnalliseen asiakastietovarantoon kaikki liittymisen jälkeen valmistuneet asiakasasiakirjat lukuun ottamatta lääkemääräyksiä ja muita reseptikeskukseen tallennettavia lääkehoitoa koskevia merkintöjä. Lisäksi valtakunnalliseen asiakastietovarantoon olisi tallennettava jäljennökset kysely- ja välityspalvelun kautta välitettävistä asiakirjoista. Niiden tallentaminen on välttämätöntä, jotta kyseisiä asiakirjoja voidaan välittää 76 §:ssä tarkoitetun kysely- ja välityspalvelun avulla eri vastaanottajille. Myös ennen liittymistä valtakunnallisiin tietojärjestelmäpalveluihin syntyneet asiakirjat olisi mahdollista tallentaa asiakastietovarantoon. 

Pykälässä mahdollistettaisiin myös muiden kuin varsinaisten asiakasasiakirjojen tallentaminen valtakunnalliseen asiakastietovarantoon. Valtakunnalliseen asiakastietovarantoon voitaisiin tallentaa asiakasasiakirjojen lisäksi myös muita asiakastietoja sisältäviä asiakirjoja sekä sosiaali- ja terveydenhuollon järjestämiseen liittyviä asiakirjoja. Muita sosiaali- ja terveydenhuollon tallennettavia asiakirjoja voisivat olla esimerkiksi asiakkaan järjestämisvastuullista palvelunantajaa ja työterveyshuollon palvelunantajaa koskevia tietoja sisältävät asiakirjat, jotta kyseisiä tietoja voitaisi hyödyntää asiakkaan hoito- ja palveluketjujen hallinnassa. Esimerkiksi Keski-Suomessa on kehitetty toimintamallia, jossa työterveyshuolto huolehtii erikoissairaanhoidossa tai terveyskeskuksessa hoidetun potilaan jatkohoidosta, työkyvyn arvioinnista, kuntoutukseen ohjaamisesta ja työpaikan toimista yhteistyössä työnantajan kanssa. Erikoissairaanhoidon tai terveyskeskuksen olisi tärkeää saada valtakunnallisten tietojärjestelmäpalvelujen avulla tieto potilaan työterveyshuollon palvelunantajasta, jotta potilas voitaisiin sujuvasti ohjata oikeaan jatkohoitopaikkaan.  

Myös sosiaali- ja terveydenhuollossa laadittavia, muille viranomaisille ja tahoille laadittavia asiakasta koskevia todistuksia ja lausuntoja voitaisiin tallentaa valtakunnalliseen asiakastietovarantoon.  

Jotta voitaisiin yksilöidä ja tunnistaa, mikä on alkuperäinen asiakastietoa sisältävä asiakirja, voisi pykälän 2 momentin mukaan sähköisestä asiakastietoa sisältävästä asiakirjasta olla vain yksi alkuperäinen tunnisteella yksilöity kappale. Asiakasasiakirjojen alkuperäiset kappaleet olisi tallennettava valtakunnalliseen asiakastietovarantoon. Keskeisin nykyisin käytössä oleva tunniste on organisaatioiden identifiointiluokitus, ISO-standardin mukainen OID-koodi. Alkuperäisestä asiakirjasta voitaisiin palvelun toteuttamiseksi tai muusta perustellusta syystä ottaa toinen tallenne tai jäljennös, josta tulee ilmetä asiakirjan olevan jäljennös. Korjaukset tulisi tehdä aina alkuperäiseen asiakirjaan, jotta varmistuttaisiin asiakirjan yksiselitteisyydestä. 

Pykälän 3 momentissa todettaisiin informatiivisista syistä, että kukin asiakastietojen rekisterinpitäjänä toimiva palvelunjärjestäjä on valtakunnalliseen asiakastietovarantoon tallentamiensa asiakirjojen rekisterinpitäjä. Kansaneläkelaitos on valtakunnallisen asiakastietovarannon toteuttajana henkilötietojen käsittelijä, ja sen vastuista säädetään 66 §:ssä. 

70 §. Lokirekisterien säilytyspalvelu. Pykälässä säädettäisiin lokirekisterien säilytyspalvelusta, johon tallennettaisi seurantaa ja valvontaa varten kerätyt 10 §:ssä tarkoitetut käyttö- ja luovutuslokitiedot. 1 momentin mukaan palvelunantajalla olisi velvollisuus tallentaa luovutuslokitietonsa lokirekisterien säilytyspalveluun. Lisäksi palvelunantaja voi tallentaa lokirekisterien säilytyspalveluun myös asiakastietojen käyttöä koskevat lokitiedot. Käyttölokien tallentamisen osalta sääntely olisi mahdollistavaa, eikä tässä vaiheessa esitetä käyttölokien tallentamiseen velvoitetta. Käyttölokien tallentamiseen ja muuhun käsittelyyn liittyvä konseptointityö on vielä Terveyden ja hyvinvoinnin laitoksella kesken, joten edellytyksiä sääntelyn velvoittavuudelle ei vielä ole. 

Pykälän 2 momentin mukaan Kansaneläkelaitoksen olisi vastaavasti kerättävä ja tallennettava lokirekisterien säilytyspalveluun valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen ja niiden kautta luovutettujen tietojen luovutuslokitiedot, joista ilmenee luovutetut tietosisällöt, luovutuksen saaja ja luovutusajankohta muut tarvittavat tiedot sekä ammattilaisen käyttöliittymällä käsiteltyjen tietojen käyttölokitiedot. 

Pykälän 3 momentissa säädettäisiin käyttölokien rekisterinpitäjästä siten, että kukin palvelunantaja ja Kansaneläkelaitos olisi omaan toimintaansa liittyvien käyttölokien rekisterinpitäjä.  

Pykälän 4 momentin mukaan ammattilaisen käyttöliittymän käyttölokien yhteisrekisterinpitäjiä olisivat terveydenhuollon ammattihenkilö ja Kansaneläkelaitos. Kansaneläkelaitos toimisi tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä ja vastaisi käyttölokitietojen luovuttamisesta. Kansaneläkelaitos vastaisi yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään. Ammattilaisen käyttöliittymä on tarkoitettu ensisijaisesti lääkäreiden satunnaiseen käyttöön ja se tarjoaa lääkäreille heidän oikeutensa mukaisen mahdollisuuden kirjoittaa lääkemääräyksiä muutoin kuin ammatinharjoittamistarkoituksessa. Koska käyttöliittymän käyttäjät eivät ole itsenäisiä ammatinharjoittajia, palveluntuottajia tai palvelunantajia, eivät he näin ollen voisi vastata kaikista rekisterinpitäjän vastuista. Kansaneläkelaitos toteuttaisi ammattilaisen käyttöliittymän, joten on perusteltua, että molemmat osaltaan vastaisivat rekisterinpitäjän tehtävistä. Käyttöliittymän käyttäjä vastaisi kirjaamiensa tietojen oikeellisuudesta. Säädös ei muuttaisi ammattilaisen käyttöliittymän käyttölokin rekisterinpidon nykyisiä käytänteitä. 

Pykälän 5 momentin mukaan kukin palvelunantaja ja Kansaneläkelaitos olisivat luovutuslokirekisterin yhteisrekisterinpitäjiä. Reseptikeskuksen luovutuslokin yhteisrekisterinpitäjiä olisivat palvelunantajat, apteekit ja Kansaneläkelaitos. Kukin palvelunantaja ja apteekki vastaisi toiminnassaan syntyvien tietojen oikeellisuudesta ja vastaisi muista rekisterinpitäjän velvoitteista. Kansaneläkelaitos vastaisi yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään. Kansaneläkelaitos toimisi myös tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä. Säädös ei muuttaisi luovutuslokien rekisterinpidon nykyisiä käytänteitä.  

71 §. Tiedonhallintapalvelu. Pykälässä säädettäisiin tiedonhallintapalvelusta. Pykälän 1 momentin mukaan siihen voitaisiin koostaa ja se yhdistäisi eri potilasasiakirjoista potilasta koskevat keskeiset ajantasaiset potilastiedot niin, että ne voidaan luovuttaa ammattilaisten käyttöön yhteenvetona potilaan hoidon toteuttamista varten. Yhteenvetoja luovutetaan palvelunantajille siten kuin esityksen 53 ja 54 §:ssä säädetään. Keskeisiä potilastietoja, joita yhteenvetoina voidaan luovuttaa, ovat diagnoosit ja käyntisyyt, riskit, laboratoriotulokset, rokotukset, fysiologiset mittaukset, toimenpiteet ja toimenpidekoodistolla kirjatut kuvantamistutkimukset, toimintakykyyn liittyvät tiedot, ajanvaraustiedot sekä potilaslain 4 a §:n mukainen suunnitelma potilaan tutkimuksesta, hoidosta tai kuntoutuksesta tai muu vastaava suunnitelma. Tiedonhallintapalvelun avulla voidaan koostaa myös muut potilasasiakirjamerkinnät potilasasiakirjoista niin, että ne voidaan luovuttaa käytettävämmällä tavalla tietoja hakevan palvelunantajan tietojärjestelmään. Tiedonhallintapalvelu on tekninen ratkaisu, jonka avulla voidaan helpottaa rakenteisesti kirjattujen keskeisten potilastietojen hakemista ja hyödyntämistä. Jatkossa voi tulla myös muita tarpeita koostaa tiedonhallintapalveluun erilaisia keskeisiä rakenteisia potilastietoja, kun potilastietojen rakenteisuutta kehitetään edelleen. 

Tiedonhallintapalvelun avulla koostettaisiin ainoastaan terveydenhuollon potilastiedot. Sosiaalihuollossa vastaavanlainen keskeisten tietojen haku on tarkoitus toteuttaa poimimalla tiedot suoraan asiakastiedon arkistosta niin, ettei tietoja koosteta erilliseen tietokantaan. 

Pykälän 2 momentissa säädettäisiin tiedonhallintapalvelun rekisterinpidosta. Kukin sosiaali- ja terveydenhuollon palvelunantaja ja Kansaneläkelaitos olisivat yhteisrekisterinpitäjiä. Kansaneläkelaitos vastaisi yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään. Tiedonhallintapalveluun koostettavia tietoja tallentavat palvelunantajat vastaisivat tallennettavien tietojen oikeellisuudesta sekä muista rekisterinpitäjän velvoitteista. Kansaneläkelaitos toimisi tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä, joka vastaa myös tiedonhallintapalveluun tallennettujen tietojen luovuttamisesta.  

72 §. Tahdonilmaisupalvelu. Tahdonilmaisupalveluun olisi 1 momentin mukaan tallennettava tieto henkilölle annetusta esitettävän lain ja lääkemääräyslain mukaisista informoinneista sekä henkilön antamista asiakastietojen luovutusta koskevista luovutusluvista, suostumuksista ja kielloista. 

Henkilölle annettavasta informoinnista on säädetty esitettävän lain 68 §:ssä ja lääkemääräyslain 4 §:ssä. Aikaisemmin annettujen informointien tietosisällöt voitaisiin kuitenkin säilyttää ja niitä voisi tarvittaessa käyttää esimerkiksi silloin, kun joudutaan selvittämään esimerkiksi virheitä. 

Luovutusluvan, kiellon antamisesta säädettäisiin esitettävän lain 58 §:ssä. Henkilö voisi antaa kieltoja esitettävän lain 54 ja 55 §:n ja sähköisestä lääkemääräyksestä annetun lain 13 §:n perusteella.  

2 momentin mukaan tahdonilmaisupalveluun voitaisiin lisäksi tallentaa tieto muista henkilönterveyden- ja sairaanhoitoon tai sosiaalipalveluihin liittyvistä tahdonilmauksista (kohta 1) sekä muista henkilönsosiaali- ja terveysalan palveluihin ja asiakastietojen käsittelyyn liittyvistä tahdonilmauksista (kohta 2). Tallennettavat tahdonilmaukset voisivat olla myös palvelunantajakohtaisia. Momentin sanamuoto on mahdollistava siten, että jos tulevaisuudessa ilmenee erilaisia tarpeita, joihin liittyen henkilöt haluaisivat tallentaa tahdonilmauksiaan, ne voisi tallentaa tahdonilmaisupalveluun ilman, että asiasta on tarvetta erikseen enää säätää. Jos esimerkiksi säädettäisiin palvelunantajien oikeudesta ottaa yhteyttä rokotteiden tarjoamiseksi, henkilö voisi tallentaa tahdonilmaisupalveluun tätä koskevan yhteydenottokiellon. Vastaavasti sosiaalipalveluihin liittyen voi tulla erilaisia tahdonilmaisun tarpeita esille, vaikkei sellaisia vielä olekaan tiedossa. Sosiaalipalveluissa asiakkaan tarpeita ja tahtoa selvitetään kattavasti palvelutarpeen arvioinnin ja asiakassuunnitelman laatimisen yhteydessä, mutta tahdonilmaisun voisi laatia jo ennakollisesti ennen pääsyä sosiaalipalveluiden piiriin. 

Terveyden- ja sairaanhoitoon tai sosiaalipalveluihin liittyviä tahdonilmaisuja, joita voitaisiin tallentaa tahdonilmaisupalveluun, olisivat esimerkiksi henkilön ilmoittama kielto irrottaa soluja, kudoksia tai elimiä lääketieteelliseen käyttöön hänen kuolemansa jälkeen ja hänen ilmoittamansa hoitotahto. Ehdotettu säännös ei kuitenkaan tarkoita, että vain tahdonilmaisupalveluun tallennettu elinluovutuskielto tai hoitotahto olisi osoitus asianomaisen henkilön tahdosta. Elinluovutuskiellon tai hoitotahdon voi ilmaista muullakin tavalla ja tällainen muulla tavalla tehty tahdonilmaisu on yhtä pätevä kuin tahdonilmaisupalveluun merkitty elinluovutuskielto tai hoitotahto. Tällaisen muun elinluovutuskiellon tai hoitotahdon olemassa olon toteaminen voi kuitenkin olla vaikeata tilanteessa jossa päätös elimen, kudoksen tai solun irrottamisesta vainajasta tai päätös esimerkiksi tajuttomalle henkilölle annettavasta hoidosta on tarpeen tehdä pikaisesti. Siksi tahdonilmaisupalveluun merkitty tieto helpottaisi merkittävästi esimerkiksi elinsiirtojen toteuttamista tai potilaan tarvitseman hoidon järjestämistä. 

Sosiaali- ja terveysalalla tarkoitetaan sosiaali- ja terveyspalveluiden lisäksi muita sosiaali- ja terveydenhuollon hallinnonalan palveluita. Tällainen palvelu on esimerkiksi biopankki (biopankkilaissa tarkoitettu näyteinfrastruktuuri, jolla edistetään ihmisperäisillä näytteillä tehtävää tieteellistä tutkimusta), ja tahdonilmaisupalveluun voitaisiin tallentaa esimerkiksi henkilön suostumus ja sen muuttaminen, kielto käsitellä näytettä tai rajoittaa sitä, vastustus siirtää näytteitä biopankkiin, vastustus käsitellä henkilötietoja biopankissa. Toinen sosiaali- ja terveydenhuoltoon kytkeytyvät palvelu jatkossa olisi perustettavaksi esitettävä Genomikeskus, ja tahdonilmaisupalveluun voitaisiin tallentaa vastustus tallentaa genomitietoja Genomikeskukseen ja vastustus käsitellä genomitietoja Genomikeskuksessa. 

3 momentissa säädettäisiin tahdonilmaisupalvelun rekisterinpidosta. Kukin sosiaali- ja terveydenhuollon palvelunantaja ja Kansaneläkelaitos olisivat yhteisrekisterinpitäjiä. Kansaneläkelaitos vastaisi yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään. Tahdonilmaisupalveluun tietoja tallentavat palvelunantajat vastaisivat tallennettavien tietojen oikeellisuudesta sekä muista rekisterinpitäjän velvoitteista. Kansaneläkelaitos toimisi tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä, joka vastaisi myös tahdonilmaisupalveluun tallennettujen tietojen luovuttamisesta. 

73 § Omatietovaranto. Pykälässä säädettäisiin henkilön itsensä tuottamia ja hallinnoimia hyvinvointitietojaan varten valtakunnallisten tietojärjestelmäpalvelujen yhteyteen perustettavasta omatietovarannosta. 

Henkilö voisi pykälän 1 momentin mukaan itse tallentaa omatietovarantoon omia hyvinvointitietojaan hyvinvointisovellusten avulla tai kansalaisen käyttöliittymän (Omakanta) kautta. Henkilö itse päättäisi tietojensa käytöstä ja poistamisesta omatietovarannossa. Esityksen mukaan henkilö voisi vapaasti hävittää, muuttaa tai poistaa omatietovarannossa olevia tietojaan. Jos henkilö poistaisi tiedot omatietovarannosta, poistuisivat ne täysin lukuun ottamatta tietojen käyttöön liittyviä lokitietoja. Vaikka omatietovarannon käyttö on henkilöille vapaaehtoista, perustuu henkilötietojen käsittely omatietovarannossa lainsäädäntöön. Siten kyseessä ei olisi tietosuoja-asetuksen 4 artiklan 25 kohdan mukainen tietoyhteiskunnan palvelu. 

Esimerkkejä henkilön itsensä kirjaamista omista hyvinvointitiedoista olisivat verensokeri- ja verenpainearvot. Tähän asti henkilö on tyypillisesti kirjannut ne käsin muistiin esimerkiksi paperille, ja sitten kertonut ne ammattihenkilölle, joka on kirjannut ne henkilön puolesta asiakastietojärjestelmään. Vastaavasti esimerkiksi kännykällä tai digikameralla otetut kuvat voisivat olla hoidossa tarpeellista tietoa. Ylimääräiseltä työltä vältyttäisiin, kun henkilö voisi itse kirjata tai automatisoidusti siirtää tietonsa suoraan sähköiseen palveluun, josta ne voitaisiin antaa muidenkin käyttöön. Tämä tukisi osaltaan myös henkilön omahoitoa ja itsenäistä selviytymistä.  

2 momentin mukaan omatietovarannon rekisterinpitäjä olisi Kansaneläkelaitos. Sillä ei kuitenkaan olisi oikeutta käsitellä omatietovarantoon tallennettuja tietoja laajemmin kuin mitä omatietovarannon ylläpitoon kuuluvat tehtävät välttämättä edellyttävät tai luovuttaa niitä muihin kuin 3 momentin mukaisiin käyttötarkoituksiin siten kuin mainitussa momentissa säädetään. Kansaneläkelaitoksen rekisterinpitoon kuuluisivat omatietovarantoon tallennettujen hyvinvointitietojen lisäksi omatietovarannon käyttöön liittyvät tiedot, kuten tiedot omatietovarannon käyttäjistä, hyvinvointitietojen luovutuksia varten annetuista suostumuksista sekä lokitiedot hyvinvointitietojen käytöstä ja luovutuksista. Kansaneläkelaitoksen rekisterinpitäjyys koskisi ainoastaan omatietovarantoon tallennettuja hyvinvointitietoja, ja siltä osin kuin hyvinvointitietoja käsitellään hyvinvointisovelluksissa, on hyvinvointisovelluksen valmistajan määriteltävä tietojen rekisterinpitäjä. 

Pykälän 3 momentissa säädettäisiin henkilön suostumuksista omatietovarannossa olevien hyvinvointitietojensa luovuttamiseen. Omatietovarannossa olevien hyvinvointitietojen luovuttamiseen palvelunantajille tarvittaisiin henkilön antama suostumus. Esityksen mukaan henkilöllä itsellään olisi oikeus käsitellä omatietovarannossa olevia hyvinvointitietojaan hyvinvointisovelluksilla ilman suostumusta. Sen sijaan, kun omatietovarannossa olevia hyvinvointitietoja luovutetaan palvelunantajalle sosiaali- ja terveyspalvelujen toteuttamiseksi, tarvittaisiin henkilön suostumus. Palvelunantajalle saisi luovuttaa omatietovarannossa olevia hyvinvointitietoja silloin, kun ammattihenkilö antaa henkilölle sosiaali- tai terveyspalveluja. Momentin sanamuoto on muotoiltu siten, että suostumuksella ei näissä yhteyksissä luoda oikeusperustetta henkilötietojen käsittelylle, vaan ainoastaan luovuttamisen perusteelle. Niin ikään lain sanamuotoihin suostumus sidottaisiin tarpeellisuusvaatimuksiin siten, että suostumus ei voi olla rajoittamaton. Tämä tarkoittaisi sitä, että ammattihenkilö voisi käsitellä vain niiden asiakkaiden hyvinvointitietoja, joihin ammattihenkilöllä on asiakas- tai potilaslain mukainen asiakas- tai hoitosuhde. 

Suostumus on EU:n tietosuoja-asetuksen 4 artiklan 1 ja 11 kohtien ja 7 artiklan mukainen suostumus. Omatietovarannon ylläpitäjänä ja rekisterinpitäjänä Kansaneläkelaitos vastaisi suostumusmenettelyn teknisestä toteuttamisesta. 

74 §. Kansalaisen käyttöliittymä ja hyvinvointisovellukset sekä niiden välityksellä näytettävät asiakastiedot. Pykälän 1 momentissa esitettäisiin, että henkilö voisi antaa esityksen 72 §:ssä tarkoitetut tahdonilmaukset sekä hoitaa asiakkuuteensa ja asiakas- ja hyvinvointitietojensa hallinnointiin liittyviä asioita käyttöliittymän välityksellä. Tällaisia asioita olisivat esimerkiksi esityksen 68 §:n mukaisen valtakunnallisia tietojärjestelmäpalveluita koskevan informoinnin vastaanottaminen sekä luovutuskieltojen ja suostumusten antaminen. Käyttöliittymään voitaisiin liittää myös muita henkilön tiedonsaantia sekä palveluun, hoivaan ja hoitoon muutoin liittyvien tehtävien toteuttamista ja seuraamista varten mahdollistavia toimintoja. Tällainen toiminnallisuus olisi esimerkiksi asiakastietojen välittäminen asiakkaan ja palvelunantajan välillä. Käyttöliittymää toteutettaessa olisi varmistuttava siitä, että asiakkaan yksityisyyden suoja ei vaarannu. 

Tietosuojasetuksen 15 artiklassa säädetään rekisteröidyn oikeudesta saada pääsy tietoihin. Tietosuojalain 34 §:n mukaan rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin, jos tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä (kohta 1); tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille (kohta 2); tai henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi (kohta 3). Jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne 1 momentin mukaan jäisivät tietosuoja-asetuksen 15 artiklassa tarkoitetun oikeuden ulkopuolelle, rekisteröidyllä olisi oikeus saada tietää muut häntä koskevat tiedot. Rekisteröidylle olisi ilmoitettava rajoituksen syyt, ellei tämä vaaranna rajoituksen tarkoitusta. Jos rekisteröidyllä ei ole oikeutta tutustua hänestä kerättyihin tietoihin, tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetut tiedot olisi annettava tietosuojavaltuutetulle rekisteröidyn pyynnöstä. 

Pykälän 2 momentissa säädettäisiin, että henkilölle saataisiin näyttää tai toimittaa kansalaisen käyttöliittymän tai hyvinvointisovelluksen avulla valtakunnallisiin tietojärjestelmäpalveluihin hänestä tallennetut tiedot, esimerkiksi ajanvaraustiedot, laboratoriotulokset, kuvantamistulokset ja muut vastaavat tutkimustulokset, tiedot palvelutapahtumien paikoista ja ajoista, hoidon tai palvelun kannalta keskeiset tiedot, lääkemääräystiedot sekä hoito-ohjeet, lähetteet, yhteenvedot annetuista hoidoista, hoitojen loppulausunnot sekä lääkärintodistukset ja lausunnot sekä sosiaalihuollon asiakirjat. Saadakseen tiedot hyvinvointisovellukseen asiakkaan tulee ottaa hyvinvointisovellus käyttöön ja hyväksyä tietojen luovutus. 

Sen estämättä, mitä 1 momentissa säädetään, käyttöliittymä olisi toteutettava siten, ettei asiakkaalla ole pääsyä niihin tietoihin, joiden luovuttamisesta voisi ammattihenkilön harkinnan mukaan aiheutua vakavaa vaaraa asiakkaan terveydelle, hoidolle taikka jonkun muun oikeuksille. Tietojen näyttämisessä käyttöliittymän välityksellä on otettava huomioon julkisuuslain 11 §:n 2 momentti asianosaisen oikeudesta tiedon saantiin.  

Julkisuuslain mukaan periaatteena on, että hakijalla, valittajalla sekä muulla, jonka oikeutta, etua tai velvollisuutta asia koskee (asianosainen), on oikeus saada asiaa käsittelevältä tai käsitelleeltä viranomaiselta tieto muunkin kuin julkisen asiakirjan sisällöstä, joka voi tai on voinut vaikuttaa hänen asiansa käsittelyyn.  

Asianosaisella, hänen edustajallaan ja avustajallaan ei ole kuitenkaan edellä tarkoitettua oikeutta, jos esimerkiksi:  

1) asiakirjaan, josta tiedon antaminen olisi vastoin erittäin tärkeää yleistä etua taikka lapsen etua tai muuta erittäin tärkeätä yksityistä etua; tai  

2) esitutkinnassa ja poliisitutkinnassa esitettyyn tai laadittuun asiakirjaan ennen tutkinnan lopettamista, jos tiedon antamisesta aiheutuisi haittaa asian selvittämiselle.  

Lisäksi henkilölle voitaisiin näyttää käyttöliittymän välityksellä hänen tietojensa käsittelyä koskevat luovutus- ja käyttölokitiedot lukuun ottamatta luovutuksensaajan henkilötietoja. 

3 momentin mukaan henkilölle saataisi kuitenkin näyttää hänen puolestaan asioineen henkilön nimi sen estämättä, mitä 2 momentissa säädetään. Siten käyttöliittymässä voitaisiin näyttää luovutus- ja käyttölokitietoihin sisältyvät tiedot puolesta asioineesta henkilöstä. 

75 §. Ammattilaisen käyttöliittymä sähköisen lääkemääräyksen käsittelyyn. Pykälä sisältäisi ammattilaisen käyttöliittymää koskevan sääntelyn. 1 momenttiin siirrettäisi lääkemääräyslaista Kansaneläkelaitoksen velvoite toteuttaa käyttöliittymäpalvelu, jonka avulla voi laatia sähköisiä lääkemääräyksiä. 2 momentin mukaan lääkäri voisi laatia ammattilaisen käyttöliittymän avulla sähköisiä lääkemääräyksiä silloin, kun kirjoittaa lääkemääräystä ammattioikeutensa perusteella muulloin kuin toimiessaan minkään palvelunantajan lukuun. Säännös vastaa nykyistä sääntelyä. 

Pykälän 3 momentissa olisi viittaus lääkemääräyslakiin, jossa säädetään lääkemääräysten rekisterinpitäjyydestä. 

76 §. Kysely- ja välityspalvelu. Pykälässä säädettäisiin, että valtakunnallisiin tietojärjestelmäpalveluihin toteutetun kysely- ja välityspalvelun avulla saataisiin välittää asiakirjoja tai niihin liitettyjä muita asiakirjoja lakisääteisen tehtävän hoitamiseksi sosiaali- ja terveydenhuollon ulkopuoliselle toimijalle. Säännös vastaisi asiakastietolain 22 §:n sääntelyä. 

Tällaisia asiakirjoja ovat muun muassa vastaanottavalle taholle toimitettavat todistukset ja lausunnot sekä muut asiakastietoja sisältävät asiakirjat. Pykälän 1 momentissa esitetään, että asiakirjoja saa salassapitosäännösten estämättä välittää asiakkaan pyynnön tai vastaanottajan lakiin perustuvan pyynnön taikka tiedon luovuttajan lakiin perustuvan tiedonantovelvollisuuden perusteella. Asiakirjojen välityksen tulisi siis perustua asiakkaan tai tiedon vastaanottajan pyyntöön, tai laissa säädettyyn viranhaltijan oma-aloitteiseen tiedonanto- tai vireillepanovelvollisuuteen.  

On huomioitava, että kysely- ja välityspalvelu ei ole vastuussa rekisterinpitäjältä toiselle tapahtuvasta tiedosta. Tämä tarkoittaa sitä, että tietoa luovuttava rekisterinpitäjä on vastuussa siitä, että tiedon saaja saa vain sen verran asiakas- tai potilastietoja kuin mitä tiedon saajalla olisi oikeus lain tai suostumuksen nojalla saada. Tiedon luovuttaminen edellyttää aina luovuttavan rekisterinpitäjän harkintaa ja vain välttämätön asiakastieto voidaan luovuttaa. Tiedon saajan oikeus saada tietoa on perustuttava lakiin tai asiakkaan antamaan suostumukseen. Asiakastietoa voidaan luovuttaa vain sen verran kuin, mitä tiedon saaja tarvitsee lakisääteisen tehtävänsä hoitamiseksi.  

Esimerkkinä voi mainita Kansaneläkelaitoksen tai työeläkelaitoksen, jolle kirjoitettaisiin A-todistus tai B-todistus potilaan sairaudesta päivärahaa varten tai poliisi, jolle annettaisiin lääkärinlausunto ajokorttia varten. Todistukseen ja lausuntoon tietoisesti liitetty muu yksilöity asiakirja, kuten esimerkiksi lääkärin oman lausunnon yhtenä perusteena ollut röntgenlääkärin lausunto, voitaisiin asiakirjan laatijan oman harkinnan mukaan liittää lausuntoon ja luovuttaa sähköisesti sen mukana.  

Esimerkiksi työeläkelaitoksella on työeläkelakeihin perustuva oikeus saada tietoja asian ratkaisemiseksi ja lakisääteisten tehtävien hoitamiseksi salassapitosäännösten ja muiden tiedon saantia koskevien rajoitusten estämättä. Työeläkelaitosten tiedonsaantioikeus koskee muun muassa eläkkeenhakijan potilasasiakirjoja, kuntoutusta, terveydentilaa, hoitoa sekä työkykyä. Tässä pykälässä esitettävä kysely- ja välityspalvelu mahdollistaa sen, että terveydenhuollon rekisterinpitäjä voi harkintansa perusteella välittää asiakirjoja työeläkelaitokselle, vaikka asiakirja olisi alun perin laadittu muuta tarkoitusta varten. Asiakirjat eivät saa kuitenkaan sisältää enempää tietoa kuin mihin vastaanottajalla on säädösten perusteella oikeus.  

Pykälän 2 momentissa säädettäisiin Terveyden ja hyvinvoinnin laitokselle annettavasta toimivallasta antaa määräykset siitä, minkä tyyppisiä asiakirjoja saisi välittää kysely- ja välityspalvelun avulla. Terveyden ja hyvinvoinnin laitoksen määräykset olisivat siis teknisluonteisia. 

10 luku Tietoturvallisuuden ja tietosuojan omavalvonta

77 §. Tietoturvasuunnitelma. Pykälässä 1 momentissa säädettäisiin palvelunantajalle, apteekille, välittäjälle ja Kansaneläkelaitokselle velvoite laatia tietoturvasuunnitelma, jossa käsitellään organisaation tietoturvaan ja tietosuojaan sekä tietojärjestelmien käyttöön liittyviä keskeisiä asioita. Tietoturvasuunnitelman tarkoituksena olisi varmistaa, että palvelujenantajan, apteekin, välittäjän ja Kansaneläkelaitoksen henkilökunta hallitsee käytössään olevien tietojärjestelmien käytön ja osaa ottaa huomioon asiakastietojen salassapitoon ja tietoturvaan liittyvät vaatimukset. Lisäksi tietoturvasuunnitelmassa tulee ottaa huomioon tietojärjestelmien käyttöympäristöön, ylläpitoon ja päivitykseen liittyvät asiat sekä se, kuinka suunnitelman toteuttaminen ja suunnitelman kohteena olevien seikkojen omavalvonta järjestetään. Tietojärjestelmän käyttöympäristöllä tarkoitettaisiin teknistä, organisatorista ja fyysistä ympäristöä, jossa yksi tai useampi palvelunantaja käyttäisi tietojärjestelmää tai tietojärjestelmäpalvelua sosiaali- ja terveydenhuollon palvelujen tuottamisessa ja asiakastietojen käsittelyssä ja hyvinvointitietojen käsittelyssä.  

Tiedonhallintalain 13 §:ssä säädetään tiedonhallintayksiköiden velvollisuuksista tietoturvallisuuden varmistamiseen, mikä olisi huomioitava myös tiedonhallintayksiköiden toiminnassa. Tässä laissa esitetään tietoturvasuunnitelmaa kaikkien sosiaali- ja terveydenhuollon palvelunantajien velvoitteeksi, millä varmistetaan yhdenmukaiset menettelyt sekä julkisille että yksityisille palvelunantajille. Lisäksi varmistetaan vastaavat menettelyt välittäjille sekä Kansaneläkelaitokselle.  

Omavalvontasuunnitelmia koskevia säännöksiä on useissa sosiaali- ja terveydenhuoltoa koskevissa laeissa, kuten esimerkiksi terveydenhuoltolaissa. Tieto tämän säännöksen mukaisesta tietoturvasuunnitelmasta voitaisiin sisällyttää osaksi muun lain perusteella laadittavaa omavalvonta- tai vastaavaa suunnitelmaa, mutta tietoturvasuunnitelma voisi sisältää seikkoja, joita ei ole syytä sisällyttää julkisesti saatavilla olevaan omavalvontasuunnitelmaan. Tietoturvasuunnitelmassa olisi oltava kattavasti seuraavat tiedot ja selvitykset seuraavien vaatimusten toteuttamisen varmistamisesta: henkilöillä, jotka käyttävät tietojärjestelmiä, olisi oltava niiden käytön vaatima koulutus (kohta 1), tietojärjestelmien yhteydessä olisi oltava saatavilla niiden asianmukaisen käytön kannalta tarpeelliset käyttöohjeet (kohta 2), tietojärjestelmiä käytettäisiin tietojärjestelmäpalvelun tuottajan antaman ohjeistuksen mukaisesti (kohta 3), tietojärjestelmiä ylläpidetään ja päivitetään tietojärjestelmäpalvelun tuottajan ohjeistuksen mukaisesti (kohta 4), tietojärjestelmän käyttöympäristö soveltuu tietojärjestelmien asianmukaiseen sekä tietoturvan ja tietosuojan varmistavaan käyttöön ja käyttöympäristöön ja tietojärjestelmiin kohdistuvien riskien hallinnasta huolehditaan (kohta 5), tietojärjestelmiin liitetyt muut tietojärjestelmät tai muut järjestelmät eivät vaaranna tietojärjestelmien suorituskykyä eivätkä niiden tietoturva- tai tietosuojaominaisuuksia (kohta 6), tietojärjestelmiä asentaa, ylläpitää ja päivittää vain henkilö, jolla olisi siihen tarvittava ammattitaito ja asiantuntemus, ja jonka luotettavuus on varmistettu tiedonhallintalain 12 §:ssä tarkoitetulla tavalla, jos henkilö tehtävissään pääsee käsittelemään asiakastietoja tai jos henkilö muuten tehtävissään voi vaarantaa sosiaali- ja terveydenhuollon jatkuvuuden kannalta kriittisten tietojärjestelmien toimintaa (kohta 7), tietojärjestelmät täyttäisivät käyttötarkoituksensa esityksen 84 §:n mukaiset olennaiset vaatimukset (kohta 8) sekä suunnitelma siitä, miten tietoturvan ja tietosuojan omavalvonta käytännössä järjestetään ja toteutetaan palvelunantajan ja apteekin toiminnassa (kohta 9).  

Sääntely vastaisi muutoin asiakastietolain 27 §:ä, mutta 5 kohtaan on lisätty vaatimus tietoverkkoihin ja tietojärjestelmiin kohdistuvien riskien hallinnasta huolehtimisesta. Lisäys on osa verkko- ja tietoturvadirektiivin 14 artiklan 1–6 kohtien täytäntöön panoa direktiivin liitteen II toimialan 5 eli terveydenhuollon osalta. Direktiivi edellyttää jäsenmaita varmistamaan, että keskeisten palvelujen tarjoajat toteuttavat asianmukaiset ja oikeasuhteiset tekniset ja organisatoriset toimenpiteet hallitakseen riskejä, joita kohdistuu niiden verkko- ja tietojärjestelmien turvallisuuteen, joita nämä keskeisten palvelujen tarjoajat käyttävät toiminnoissaan. Suomessa monet julkisen terveydenhuollon palvelunantajat katsotaan direktiivissä tarkoitetuiksi keskeisen palvelun tarjoajaksi. Direktiivissä verkko- ja tietojärjestelmillä tarkoitetaan käytännössä kaikkia ICT-järjestelmiä ja niissä käsiteltäviä digitaalisia tietoja eli määritelmä kattaa laajemman kokonaisuuden kuin esitettävän lain määritelmä tietojärjestelmästä. 

Riskienhallinnalla tarkoitettaisiin asianmukaisia organisatorisia ja teknisiä toimenpiteitä, joilla varmistettaisiin tietoverkkojen ja tietojärjestelmien kyky suojautua tietyllä varmuudella toimilta, jotka vaarantavat tallennettujen tai siirrettyjen tai käsiteltyjen tietojen taikka muiden kyseisissä järjestelmissä tarjottujen tai niiden välityksellä saatavilla olevien palvelujen saatavuuden, aitouden, eheyden tai luottamuksellisuuden. Riskienhallinnan tulisi sisältää asianmukaiset toimenpiteet, joilla ehkäistään ja minimoidaan palvelujen tarjoamisessa käytettyjen järjestelmien tietoturvallisuuteen liittyvien häiriöiden vaikutus palvelujen jatkuvuuteen. Riskienhallintaan kuuluvia toimenpiteitä voisivat olla esimerkiksi turvallisuussuunnitelmien laatiminen, testaaminen käytännössä tai auditoiminen, tiedon suojaus- ja salaustuotteiden käyttö sekä tiettyjen tunnettujen tietoturvallisuusstandardien, kuten ISO/IEC 27001:2013 -standardin, noudattaminen.  

Lisäksi 7 kohtaan on lisätty vaatimus luotettavuuden varmistamisesta. Muutoksen tavoitteena on edistää asiakastietojen ja tietojärjestelmien turvallista käsittelyä edellyttämällä palvelunantajalta selvitystä, miten se varmistaa tietojärjestelmiä asentavien, ylläpitävien ja päivittävien henkilöiden ammattitaidon ja asiantuntemuksen lisäksi henkilön luotettavuuden, jos henkilö tehtävissään pääsee käsittelemään asiakastietoja tai muuten tehtävissään voi vaarantaa sosiaali- ja terveydenhuollon jatkuvuuden kannalta kriittisten tietojärjestelmien toimintaa. Kohdassa viitataan tiedonhallintalain 12 §:ään, jonka mukaan tiedonhallintayksikön on tunnistettava ne tehtävät, joiden suorittaminen edellyttää sen palveluksessa olevilta tai sen lukuun toimivilta erityistä luotettavuutta. Sosiaali- ja terveydenhuollon arkaluonteisten tietojärjestelmien asentamiseen, ylläpitoon ja päivittämiseen liittyvien tehtävien voidaan katsoa edellyttävän luotettavuutta, koska tehtävissä voi olla mahdollisuus päästä näkemään asiakastietoja sekä aiheuttaa sosiaali- ja terveyspalvelujen toteuttamiselle merkittävää haittaa tietojärjestelmien ja niihin liittyvien laitteiden toimintaa vaarantamalla. Asiasta on siten perusteltua säätää tiedonhallintalakia täsmentävällä tavalla. Turvallisuusselvityksen vaatimus koskisi erityisesti teknisiä henkilöitä, joiden työtehtävät liittyvät tietojärjestelmien ylläpitoon. Säännös myös varmistaa yhdenmukaiset menettelytavat eri palvelunantajien ja niiden lukuun tehtävässä toiminnassa. Säännös koskisi myös yksityisiä palvelunantajia ja niiden lukuun toimivia. 

Pykälän 2 momentissa esitetään, että silloin kun palvelunantaja tai apteekki on liittynyt valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi, olisi tietoturvasuunnitelmassa selvitettävä lisäksi se, miten näihin valtakunnallisiin tietojärjestelmäpalveluihin liittyvät tietosuojan erityiskysymykset on järjestetty.  

Pykälän 3 momentissa säädettäisiin, että Terveyden ja hyvinvoinnin laitos voisi antaa tarkempia määräyksiä 1 ja 2 momentissa tarkoitetuista tietoturvasuunnitelmaan sisällytettävistä selvityksistä ja niitä koskevista vaatimuksista.  

78 §. Tietoturvallisuuden omavalvonnan toteuttaminen ja vastuu. Pykälän 1 momentissa edellytettäisiin, että jokaisen sosiaali- ja terveydenhuollon palvelunantajan ja apteekin olisi aktiivisesti seurattava tietoturvasuunnitelman toteutumista. Palvelunantaja ja apteekki olisi vastuussa siitä, että tietoturvaan, tietosuojaan ja tietojärjestelmien käyttöön ja ylläpitoon liittyvät asian tulevat jatkuvasti hoidetuksi asianmukaisesti ja että sen antamaan palveluun liittyvä tietosuoja ja tietoturva toteutuvat. Jokaisen palvelunantajan ammatillisesta toiminnasta vastaavan johtajan ja apteekkarin olisi huolehdittava siitä, että esityksen 77 §:ssä säädettävä tietoturvasuunnitelma laaditaan ja että sitä noudatetaan. Palvelunantajan, apteekin ja Kansaneläkelaitoksen tulisi oma-aloitteisesti ryhtyä tarvittaviin toimenpiteisiin, jos joku on lainvastaisesti käsitellyt asiakastietoja.  

Pykälän 2 momentissa säädettäisiin palvelunantajan ja apteekin oikeudesta tarvittaessa selvittää henkilökuntansa tietojen käytön ja katselun asianmukaisuutta. Seurannan ja valvonnan toteuttamiseksi palvelunantajalla ja apteekilla olisi oikeus saada Kansaneläkelaitokselta omien asiakasrekisteriensä lokitiedot, tämän esityksen 71 §:ssä tarkoitetussa tiedonhallintapalvelussa ja 72 §:ssä tarkoitetussa tahdonilmaisupalvelussa olevien tietojen käsittelyyn liittyvät lokitiedot sekä esityksen 73 §:ssä tarkoitetun omatietovarannon lokitiedot siltä osin kuin asianomaisen palvelunantajan tai apteekin henkilökunta on katsellut ja käsitellyt asiakkaan tiedonhallintapalvelussa, tahdonilmaisupalvelussa ja omatietovarannossa olevia tietoja, jos se on tarpeen asiakkaan asiakastietojen käsittelyn lainmukaisuuden selvittämiseksi.  

Pykälän 3 momentin mukaan välittäjän ja Kansaneläkelaitoksen olisi seurattava omien tietoturvasuunnitelmiensa toteutumista.  

Pykälän 4 momentti käsittelisi tietosuojavastaavan nimittämistä ja se olisi luonteeltaan informatiivinen. Tietosuojavastaavan nimittämisestä, tehtävistä ja asemasta säädetään tietosuoja-asetuksessa. Sen mukaan jäsenvaltio voi kansallisessa lainsäädännössä edellyttää tietosuojavastaavan nimeämistä myös muissa kuin 37 (1) artiklassa tarkoitetuissa tilanteissa. Esimerkiksi käytettäessä 9 artiklan kansallista liikkumavaraa 36 artiklan mukainen velvollisuus voi toimia suojatoimena. 

11 luku Tietojärjestelmien ja hyvinvointisovellusten käyttötarkoitus ja käyttöönotto

79 §. Tietojärjestelmien ja hyvinvointisovellusten käyttötarkoitus ja luokittelu. Pykälässä säädettäisiin siitä, että tietojärjestelmäpalvelun tuottajan olisi laadittava kuvaus tietojärjestelmänsä käyttötarkoituksesta ja hyvinvointisovelluksen valmistajan olisi laadittava kuvaus hyvinvointisovelluksensa käyttötarkoituksesta ja siitä, kuinka se täyttää sitä koskevat olennaiset vaatimukset. Käyttötarkoituksen kuvaamisessa olisi ilmaistava ne järjestelmän ominaisuudet, joilla täytettäisiin käyttötarkoituksen mukaisia olennaisia vaatimuksia.  

Pykälän 2 momentissa säädettäisiin tietojärjestelmien luokituksesta, jotka koskevat Kansaneläkelaitoksen ylläpitämiin valtakunnallisiin tietojärjestelmäpalveluihin liitettäviä tietojärjestelmiä. Sosiaali- ja terveydenhuollon tietojärjestelmät sekä hyvinvointisovellukset jaotellaan käyttötarkoitustensa ja ominaisuuksiensa perusteella luokkiin A ja B. Luokkaan A kuuluisivat Kansaeläkelaitoksen itse ylläpitämät Kanta-palvelut kuten esimerkiksi valtakunnallinen asiakastietovaranto, tiedonhallintapalvelu ja tahdonilmaisupalvelu, sosiaali- ja terveydenhuollon palvelunantajien käyttämät tietojärjestelmät sekä hyvinvointisovellukset, jotka on tarkoitettu liitettäväksi Kanta-palveluihin joko suoraan tai välityspalvelun kautta (kohta 1 ja 2).  

Momentin 3 kohdan mukaan A-luokkaan kuuluvat myös muut käyttötarkoituksensa perusteella sertifioitavat tietojärjestelmät. Luokkaan A kuuluisivat siten myös muut sellaiset tietojärjestelmät, joiden käyttötarkoitus edellyttää sertifiointia. Tällaisia järjestelmiä saattaisivat olla esimerkiksi erilaiset niin sanotut pilvipalveluina (SaaS, PaaS, IaaS) sosiaali- ja terveydenhuollon tietojärjestelmille palveluja tarjoavat järjestelmät, jos niiden toimintaan liittyy merkittäviä tietosuoja- tai tietoturvariskejä tai B-luokan kriteerit täyttävä järjestelmä, jolla on niin kriittinen käyttötarkoitus, että sertifiointi on tarpeen tai yleinen asianhallintajärjestelmä, jos sitä käytetään sosiaalipalveluissa vastaavasti kuin asiakastietojärjestelmää ja joka voitaisiin liittää teknisen välityspalvelun kautta myös valtakunnallisiin tietojärjestelmäpalveluihin.  

Momentin 4 kohdan mukaan luokkaan A kuuluisivat myös välittäjien palvelut. Siten A-luokkaan kuuluviksi katsottaisiin myös ne välityspalvelut, joita käytetään tietojärjestelmän liittämisessä valtakunnallisiin tietojärjestelmäpalveluihin ja sosiaali- ja terveydenhuollon palvelunantajan käyttämässä tietojärjestelmässä olevien tietojen siirtämiseksi valtakunnallisiin tietojärjestelmäpalveluihin. 

Pykälän 3 momentissa esitetään, että muut kuin edellä 2 momentissa luetellut tietojärjestelmät kuuluisivat luokkaan B. Koska A-luokkaan kuuluvat hyvinvointisovelluksista sekä omatietovarantoon että valtakunnalliseen asiakastietovarantoon liitettävät hyvinvointisovellukset, ja määritelmän mukaan hyvinvointisovelluksella tässä laissa tarkoitetaan ainoastaan valtakunnallisiin tietojärjestelmäpalveluihin liitettäviä hyvinvointisovelluksia, ei B-luokkaan kuulu hyvinvointisovelluksia lainkaan. Sellaiset hyvinvointiin liittyvät sovellukset, joita ei ole tarkoitettu liitettäväksi valtakunnallisiin tietojärjestelmäpalveluihin, eivät kuulu tämän lain soveltamisalan piiriin. 

Luokan B tietojärjestelmät olisivat sellaisia, jotka eivät ole suoraan tai välityspalvelun kautta yhteydessä valtakunnallisiin tietojärjestelmäpalveluihin. Esimerkiksi laboratoriojärjestelmä, jonka tuottamat tiedot tallennetaan potilastietojärjestelmässä oleviin potilastietoihin, olisi luokan B järjestelmä, vaikka potilastietojärjestelmä tallentaa laboratoriovastauksen tiedot myöhemmin edelleen valtakunnalliseen asiakastietovarantoon.  

Pykälän 4 momentissa esitetään, että mikäli yksittäistapauksessa tietojärjestelmän luokittelusta olisi epäselvyyttä, on Terveyden ja hyvinvoinnin laitoksen ratkaistava se 2 ja 3 momenteissa olevien säännösten perusteella. Lisäksi Terveyden ja hyvinvoinnin laitos voisi antaa tarkempia määräyksiä tietojärjestelmien ja hyvinvointisovellusten luokkien määräytymisestä. 

80 §. Tietojärjestelmien ja hyvinvointisovellusten rekisteröinti. Tietojärjestelmäpalvelun tuottajan olisi 1 momentin mukaan ilmoitettava tietojärjestelmästä Sosiaali- ja terveysalan lupa- ja valvontavirastolle ennen sen ottamista tuotantokäyttöön. Hyvinvointisovelluksen valmistajan olisi vastaavasti ilmoitettava hyvinvointisovelluksesta. Ilmoituksessa olisi oltava tieto tietojärjestelmän tai hyvinvointisovelluksen valmistajasta ja käyttötarkoituksesta sekä yhteyshenkilöstä. Tieto yhteyshenkilöstä on tarpeen erityisesti niissä tilanteissa, kun tietojärjestelmän valmistaja toimii yritys, joka ei ole rekisteröitynyt Suomeen eikä sillä ole suomalaista y-tunnusta. Lisäksi ilmoituksessa olisi oltava selvitys ja todistukset käyttötarkoituksen mukaisten olennaisten vaatimusten täyttämisestä. Tietojärjestelmälle asetettavista olennaisista vaatimuksista on säädetty esityksen 84 §:ssä. Tietojärjestelmäpalvelun tuottajan olisi ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle myös tietojärjestelmän tuotantokäyttöön tarkoitetun version tuen päättymisestä tai tietojärjestelmän siirtymisestä toiselle tietojärjestelmäpalvelun tuottajalle. Tietojärjestelmän version tuen päättyminen tarkoittaisi esimerkiksi sitä, että tietojärjestelmäpalvelun tuottaja ei enää kehitä kyseistä versiota eikä tarjoa teknistä tukea sen ylläpitoon. Jos tietojärjestelmäpalvelun tuottaja on eri taho kuin tietojärjestelmän valmistaja, ilmoituksessa olisi oltava tieto myös tietojärjestelmäpalvelun tuottajasta.  

Pykälän 2 momentissa esitetään, että Sosiaali- ja terveysalan lupa- ja valvontavirasto ylläpitäisi julkista rekisteriä sille ilmoitetuista, vaatimukset täyttävistä sosiaali- ja terveydenhuollon tietojärjestelmistä ja hyvinvointisovelluksista. Rekisteristä löytyisi ajantasainen tieto tuotantokäytössä olevista tietojärjestelmistä ja hyvinvointisovelluksista, niiden käyttötarkoituksista sekä niiden täyttämistä olennaisista vaatimuksista (kohta 1). Rekisterissä säilytettäisiin myös tietoa luokkaan A kuuluvien tuotantokäyttöön hyväksyttyjen tietojärjestelmien ja hyvinvointisovellusten yhteentoimivuuden testauksen tuloksista (kohta 2) sekä tietoturvallisuuden arvioinnista saadun todistuksen voimassaolosta (kohta 3). Lisäksi rekisterissä olisi oltava tieto tuotantokäytössä olevan luokan A tietojärjestelmän tai hyvinvointisovelluksen merkittävästä poikkeamasta poikkeaman keston ajan. Rekisterin perusteella tietojärjestelmiä ja hyvinvointisovelluksia hankkivat ja käyttävät voisivat tarkistaa hankittavien ja käytössään olevien tietojärjestelmien asianmukaisuuden.  

Pykälän 3 momentin mukaan Sosiaali- ja terveysalan lupa- ja valvontavirasto voisi tarvittaessa antaa määräyksiä ilmoituksen sisällöstä, voimassaolosta, ilmoituksen uudistamisesta ja rekisteriin merkittävistä tiedoista. 

81 §. Tietojärjestelmän ja hyvinvointisovelluksen ottaminen tuotantokäyttöön. Pykälän 1 momentissa esitetään, että luokkaan A kuuluvan tietojärjestelmän tai hyvinvointisovelluksen saisi ottaa tuotantokäyttöön ja liittää valtakunnallisiin tietojärjestelmäpalveluihin, kun se on läpäissyt Kansaneläkelaitoksen koordinoiman yhteentoimivuuden testauksen ja tietoturvallisuuden arviointilaitos on antanut sitä koskevan tietoturvallisuuden arviointia koskevan todistuksen eli tietojärjestelmä tai hyvinvointisovellus olisi sertifioitu 85 §:n mukaisesti.  

Pykälän 2 momentin mukaan tietojärjestelmää tai hyvinvointisovellusta ei saisi ottaa tuotantokäyttöön, ellei siitä ole voimassa olevia tietoja 80 §:n 2 momentissa tarkoitetussa Sosiaali- ja terveysalan lupa- ja valvontaviraston ylläpitämässä rekisterissä tai tietoturvallisuuden arviointia koskeva todistus on vanhentunut. Luokkaan A kuuluvan tietojärjestelmän tuotantokäyttöönoton uutena edellytyksenä olisi myös hyväksytty yhteentoimivuuden testaus niiden voimassa olevien yhteentoimivuutta koskevien vaatimusten osalta, jotka vastaavat järjestelmän käyttötarkoitusta. Säännös mahdollistaisi siten sellaisten tietojärjestelmien uusien käyttöönottojen estämisen, joihin ei ole toteutettu tämän lain tai sen nojalla säädetyn mukaisia vaatimuksia määräaikojen puitteissa. Säännöksen tavoitteena on varmistaa, että vaatimukset toteutetaan määräaikojen mukaisesti, eikä sellaisia tietojärjestelmäversioita voida levittää käyttöön, joihin vaatimuksia ei ole toteutettu.  

Pykälän 3 momentissa olisi uusi säännös, jonka hyvinvointisovellusta ei saa ottaa tuotantokäyttöön, jos se ei vastaa 84 §:ssä tarkoitettua toiminnallisten vaatimusten täyttymisen edellytyksenä olevaa terveyden ja hyvinvoinnin edistämisen käyttötarkoitusta. Tavoitteena on estää selkeästi terveyden ja hyvinvoinnin edistämisen käyttötarkoituksen vastaisten sovellusten liittäminen omatietovarantoon ja siten varmistaa omatietovarannon ja siihen liittyvien hyvinvointisovellusten laadukas ja uskottava kokonaisuus. Hyvinvointisovelluksen käyttötarkoitus on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle hyvinvointisovelluksen rekisteröinnin yhteydessä. Käyttötarkoituksen hyväksyttävyys voidaan siten arvioida rekisteröinnin yhteydessä ja tarvittaessa käyttää muita valvonnan keinoja käyttöönoton estämiseen. Kansaneläkelaitos voi estää hyväksyttävän käyttötarkoituksen vastaisen hyvinvointisovelluksen liittämisen omatietovarantoon. 

82 §. Tietojärjestelmän ja hyvinvointisovelluksen käyttöönoton jälkeinen seuranta. Tietojärjestelmän asianmukaista toimivuutta ja käytettävyyttä on tarpeen seurata myös sen käyttöönoton jälkeen. Säännöksen mukaan tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan olisi aktiivisesti seurattava ja arvioitava ajantasaisesti ja järjestelmällisesti valmistamastaan tietojärjestelmästä tai hyvinvointisovelluksesta sen tuotantokäytön aikana saatavia kokemuksia. Mikäli seurannan perusteella osoittautuisi, että olennaisten vaatimusten toteutumisessa olisi merkittäviä poikkeamia, olisi poikkeamista ilmoitettava kaikille järjestelmää käyttäville palvelunantajille ja apteekeille. Hyvinvointisovelluksen merkittävistä poikkeamista olisi ilmoitettava kaikille sovelluksen käyttäjille. Samalla tuottajan ja hyvinvointisovelluksen valmistajan olisi annettava ohjeet siitä, miten poikkeamien suhteen olisi toimittava. Luokkaan A kuuluvien tietojärjestelmien ja hyvinvointisovellusten merkittävistä poikkeamista olisi lisäksi ilmoitettava Kansaneläkelaitokselle ja Sosiaali- ja terveysalan lupa- ja valvontavirastolle. 

Tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan olisi myös seurattava tietojärjestelmien ja hyvinvointisovellusten olennaisten vaatimusten mahdollisia muutoksia ja tarvittaessa tehtävä tuottamaansa tietojärjestelmään tai hyvinvointisovellukseen muutosten edellyttämät tarkistukset ja korjaukset. Tätä koskeva säännös olisi 2 momentissa. Tietojärjestelmän ja hyvinvointisovelluksen olennaisista muutoksista olisi ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontaviranomaiselle. Luokan A tietojärjestelmiltä ja hyvinvointisovelluksilta edellytettäisiin lisäksi, että tuottajan toteuttamista muutoksista olisi ilmoitettava tietoturvallisuuden arviointilaitokselle ja valtakunnallisiin tietojärjestelmäpalveluihin liitetyn tietojärjestelmän ja hyvinvointisovelluksen olennaisista muutoksista olisi ilmoitettava myös Kansaneläkelaitokselle. Ilmoitusten perusteella arviointilaitos voisi osaltaan arvioida ja tarvittaessa selvittää, onko toteutetuilla muutoksilla vaikutusta tietoturvallisuuteen. Tähän liittyen säännöksessä todetaan myös, että tietoturvallisuuden arviointia koskeva todistus tai yhteentoimivuuden testaus olisi tarvittaessa päivitettävä, jos toteutetut muutokset ovat merkittäviä tai jos tietoturvallisuutta koskevat olennaiset vaatimukset ovat muuttuneet tavalla, joka edellyttäisivät uudelleen hyväksymistä.  

Pykälän 3 momentin perusteella tietojärjestelmäpalvelun tuottajan olisi säilytettävä yhteentoimivuutta ja tietoturvaa koskevat ja muut valvonnan edellyttämät tiedot vähintään viisi vuotta tietojärjestelmän tai hyvinvointisovelluksen tuotantokäytön päättymisestä. Säilytysvelvollisuuden tarkoituksena olisi varmistaa, että esimerkiksi mahdollisissa tietosuojaa koskevissa jälkikäteisissä selvitystilanteissa olisi olemassa riittävät tiedot tietojärjestelmien ja hyvinvointisovellusten vaatimustenmukaisuudesta sekä tietojärjestelmiin ja hyvinvointisovelluksiin tehdyistä muutoksista. Säännös koskisi kaikkia tietojärjestelmiä luokasta riippumatta.  

Pykälän 4 momentissa olevan valtuutussäännöksen perusteella Terveyden ja hyvinvoinnin laitos voisi antaa tarkempia määräyksiä siitä, millaiset poikkeamat ovat lain tarkoittamalla tavalla merkittäviä ja miten niitä koskevat ilmoitukset tehdään tietojärjestelmien ja hyvinvointisovellusten käyttäjille, tietoturvallisuuden arviointilaitokselle, Kansaneläkelaitokselle ja Sosiaali- ja terveysalan lupa- ja valvontavirastolle. 

12 luku Tietojärjestelmien ja hyvinvointisovellusten olennaiset vaatimukset

83 §. Tietojärjestelmäpalvelun tuottajan ja tietojärjestelmän valmistajan sekä hyvinvointisovelluksen valmistajan yleiset velvollisuudet. Pykälässä ehdotetaan säädettäväksi sosiaalihuollon ja terveydenhuollon tietojärjestelmäpalvelun tuottajaa ja tietojärjestelmän valmistajaa koskevat yleiset velvollisuudet. Tietojärjestelmäpalvelun tuottajan käsite tulisi tässä yhteydessä tulkita sikäli laajasti, että se tarkoittaa myös yritystä tai henkilöä, joka kokoaa asiakkaalle useasta eri osasta koostuvan tietojärjestelmäkokonaisuuden. Tietojärjestelmäpalvelun tuottaja voisi myös toimia ulkomaisen tietojärjestelmän valmistajan puolesta suomalaisena vastuutahona vaatimusten täyttämisessä ja todentamisessa. Tietojärjestelmän valmistaja olisi 1 momentin mukaan aina itse vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta. Tähän vastuuseen ei vaikuta, toteuttaako tuottaja nämä toimet itse vai hankkiiko se näihin liittyviä palveluja ja toimia alihankkijoilta tai muilta tahoilta. Hyvinvointisovelluksen valmistaja olisi vastuussa sovelluksen suunnittelusta ja valmistuksesta.  

Pykälän 2 momentti velvoittaisi tietojärjestelmäpalvelun tuottajaa ja hyvinvointisovelluksen valmistajaa laatimaan kuvauksen tietojärjestelmän ja hyvinvointisovelluksen käyttötarkoituksesta ja antamaan tietojärjestelmän ja hyvinvointisovelluksen käyttäjälle yhteentoimivuuden, tietoturvallisuuden ja tietosuojan sekä toiminnallisuuden kannalta tarpeelliset tiedot ja ohjeet sen käyttöönotosta, tuotantokäytöstä ja ylläpidosta.  

Pykälän 3 momentin mukaisesti palvelunantajalle voitaisiin luovuttaa nämä tietojärjestelmän mukana annettavat tiedot suomen, ruotsin tai englannin kielellä. Tietojärjestelmää käyttävälle sosiaali- tai terveydenhuollon henkilöstölle tarkoitettujen ohjeiden ja muiden tietojen olisi oltava suomen tai ruotsin kielellä.  

Edellä olevan lisäksi edellytettäisiin pykälän 4 momentissa, että tietojärjestelmän valmistajalla olisi laatujärjestelmä, jota se soveltaisi sosiaali- ja terveydenhuollon tietojärjestelmien ja sovellusten suunnitteluun ja valmistukseen tietojärjestelmän käyttötarkoituksen edellyttämällä tavalla kuten esimerkiksi lääkinnällisistä laitteista annetussa Euroopan neuvoston asetuksessa 2017/745 säädetään. Laatujärjestelmän tavoitteena olisi varmistaa, ettei tuotteessa ole suunnittelusta tai toteutuksesta aiheutuvia ongelmia tai puutteita. Lisäksi asianmukainen ja järjestelmän käyttötarkoituksen sekä kriittisyyden mukainen laatujärjestelmä voisi helpottaa havaittujen puutteiden korjaamista. Laatujärjestelmä voi olla sama kuin lääkinnällisiltä laitteilta edellytettävä laatujärjestelmä, mikäli tietojärjestelmä tai sen osa taikka hyvinvointisovellus on lääkinnällinen laite. 

84 §. Tietojärjestelmälle ja hyvinvointisovellukselle asetettavat olennaiset vaatimukset. Pykälän 1 momentin mukaan asiakastietojen käsittelyssä käytettävän tietojärjestelmän ja hyvinvointisovelluksen olisi täytettävä käyttötarkoituksensa mukaiset olennaiset toiminnalliset, yhteentoimivuuden, tietoturvallisuuden ja tietosuojan vaatimukset. Hyvinvointisovelluksen tulisi täyttää myös saavutettavuusvaatimukset. Vaatimusten olisi täytyttävä käytettäessä tietojärjestelmää sekä itsenäisesti että yhdessä muiden siihen liitettäviksi tarkoitettujen tietojärjestelmien kanssa.  

Tietoturvaa ja tietosuojaa koskevat vaatimukset turvaisivat asiakkaan oikeuksien toteuttamista henkilötietojen käsittelyssä ja esimerkiksi takaisivat sen, että tiedot tallentuisivat ja säilyisivät muuttumattomina kaikissa eri käyttötilanteissa. Tietojen käsittelyn ja luovutuksen tulisi lisäksi toteutua siten, että salassa pidettäviä tietoja pääsevät käsittelemään vain henkilöt, joilla on siihen lainsäädäntöön perustuva oikeus.  

Yhteentoimivuudella tarkoitettaisiin tietojärjestelmien kykyä vaihtaa tietoja ja hyödyntää vaihdettavia tietoja. Määritelmään sisältyy se, että järjestelmät ovat teknisesti ja tietosisällöllisesti eli semanttisesti yhteentoimivia muiden sosiaali- tai terveydenhuollon tietojärjestelmien kanssa silloin kun ne käyttävät samoja tietoja omissa prosesseissaan. Tietosisältöjen yhteentoimivuus mahdollistaisi sen, että tietosisältö tulkitaan samoin kaikissa organisaatioissa. Toisen tietojärjestelmän kanssa toimimaan tarkoitetun järjestelmän tulisi olla yhteentoimiva muiden siihen liitettäväksi tarkoitettujen tietojärjestelmien kanssa. Yhteentoimivuus olisi edellytys sille, että tietojen virheetön käsittely ja siirtyminen tietojärjestelmien välillä toteutuisivat.  

Tietoturva liittyy osittain edellä todettuun yhteentoimivuuteen siten, että tietoturvan tarkoituksena olisi varmistaa tietojen eheys ja muuttumattomuus ja lisäksi niiden saatavuus ja käytettävyys. Tietosuojan tarkoituksena olisi puolestaan huolehtia siitä, että luottamuksellisia ja salassa pidettäviä asiakas- ja potilastietoja käsitellään vain lainsäädännön määrittelemissä rajoissa.  

Tietojärjestelmien toiminnalliset vaatimukset määrittelisivät sitä, mitä ja miten tietojärjestelmän tulisi tehdä. Toiminnallisissa vaatimuksissa määriteltäisiin muun muassa se, miten tietojärjestelmä kommunikoi ympäristönsä kanssa ja miten käyttäjät työskentelevät tietojärjestelmän kanssa. Lisäksi tässä tarkoitettuun toiminnallisuuteen kuuluisi tietojärjestelmän käytettävyys. 

Omatietovarantoon liitettävien hyvinvointisovellusten olisi täytettävä saavutettavuusvaatimukset Euroopan parlamentin ja neuvoston direktiivissä (2016/2102) edellyttämällä tavalla, koska kyse on viranomaisen omatietovarantoon liitettäväksi hyväksymistä sovelluksista. Saavutettavuusvaatimusten täyttäminen varmistaa väestön mahdollisuuksia hyödyntää hyvinvointisovelluksia yhdenvertaisella tavalla. 

Pykälän 2 momentin mukaan palvelunantajan ja apteekin käyttämien tietojärjestelmien olisi vastattava käyttötarkoitukseltaan palvelunantajan toimintaa ja täytettävä palvelunantajan toimintaan liittyvät olennaiset vaatimukset. Olennaiset vaatimukset voitaisiin täyttää yhden tai useamman tietojärjestelmän muodostaman kokonaisuuden avulla. Olennaiset vaatimukset mahdollistaisivat sen, että eri tyyppisiä palveluja tuottaville palvelunantajille voidaan määritellä sekä yleisiä että palvelukohtaisia tiedonhallinnan vähimmäisvaatimuksia. Erilaisten palvelujen tiedonhallinnan tarpeet voitaisiin täyttää tarkoituksenmukaisella tasolla kunkin palvelun tarpeisiin vastaavien tietojärjestelmäratkaisujen kautta.  

Pykälän 3 momentin mukaan tietojärjestelmä täyttäisi olennaiset vaatimukset silloin, kun se on suunniteltu, valmistettu ja toimii tietoturvaa ja tietosuojaa, yhteentoimivuutta ja toiminnallisuutta koskevien lakien, niiden nojalla annettujen säännösten ja kansallisten määritysten mukaisesti.  

Sosiaali- ja terveydenhuollon tietojärjestelmiltä edellytetään myös toiminnallisuutta koskevien vaatimusten täyttämistä. Toiminnallisuudella tarkoitettaisiin tässä yhteydessä, että tietojärjestelmä soveltuisi siihen käyttötarkoitukseen, johon sitä markkinoidaan. Sen tulisi kyetä toteuttamaan kaikki käyttötarkoitukseen liittyvät toiminnot, joita lait ja muut säännökset edellyttävät. Esimerkiksi sähköisen lääkemääräyksen laatimisessa käytettävän tietojärjestelmän olisi toteutettava kaikki lääkemääräyslaissa säädetyt ominaisuudet. Toiminnallisuuteen liittyy osaltaan myös tietojärjestelmän käytettävyys. Tämä tarkoittaa sitä, että tietojärjestelmää käyttävien henkilöiden tulisi annetun ohjeistuksen ja koulutuksen perusteella kyetä käyttämään tietojärjestelmää tai ohjelmistoa tietojärjestelmän valmistajan tarkoittamalla ja ilmoittamalla tavalla.  

Pykälän 4 momentissa säädetään norminantovaltuuksista. Ehdotuksen mukaan Terveyden ja hyvinvoinnin laitos antaisi tarkempia määräyksiä olennaisten vaatimusten sisällöstä. Määräyksillä voitaisiin varmistaa, että käytettävät tietojärjestelmät ja hyvinvointisovellukset täyttäisivät lain mukaiset yhteentoimivuuden sekä tietoturvan ja tietosuojan sekä toiminnalliset vaatimukset. Määräystä valmisteltaessa Terveyden ja hyvinvoinnin laitoksen tulee kuulla hyvän hallinnon periaatteiden mukaisesti asianomaisia sidosryhmiä. Ennen määräyksen antamista olisi valtioneuvoston periaatepäätöksen LVM/2021/44 linjausten mukaisesti pyydettävä Liikenne- ja viestintäviraston Kyberturvallisuuskeskukselta lausunto tietoturvaa ja tietoturvavaatimusten todentamisen menettelyjä koskevista vaatimuksista. Olennaiset vaatimukset ja niitä koskevat määräykset olisi vahvistettava hyvissä ajoin ennen niiden mukaisten vaatimusten voimaan tuloa. Lisäksi tietojärjestelmäpalveluiden tuottajille sekä tietojärjestelmien ja hyvinvointisovellusten valmistajille olisi varattava riittävä ja kohtuullinen aika vaatimusten toteuttamiseksi ja vaatimustenmukaisuuden osoittamiseksi. 

85 §. Vaatimustenmukaisuuden osoittaminen. Pykälän 1 momentissa säädettäisiin menettelystä, jolla tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan olisi osoitettava, että tietojärjestelmä tai hyvinvointisovellus täyttää olennaiset vaatimukset. Pykälän 1 momentin mukaan luokkaan A kuuluvan tietojärjestelmän tai hyvinvointisovelluksen vaatimustenmukaisuuden osoittaminen perustuisi kolmeen eri osaan. Nämä koskevat toiminnallisuutta, yhteentoimivuutta sekä tietosuojaa ja tietoturvallisuutta. Tietojärjestelmän tuottaja ja hyvinvointisovelluksen valmistaja vastaisi tietojärjestelmän tai hyvinvointisovelluksen sertifioinnista.  

Toiminnallisuutta koskevat vaatimukset olisi osoitettava tietojärjestelmäpalvelun tuottajan tai hyvinvointisovelluksen valmistajan antamalla selvityksellä siitä, että tietojärjestelmä tai hyvinvointisovellus täyttäisi kaikki toiminnallisuutta koskevat vaatimukset. Yhteentoimivuutta koskevien vaatimusten toteutuminen olisi osoitettava Kansaneläkelaitoksen järjestämällä yhteistestauksella. Yhteistestauksesta säädetään tarkemmin esityksen 86 §:ssä. Tietoturvallisuutta ja tietosuojaa koskevien vaatimusten toteutus olisi puolestaan osoitettava tietoturvallisuuden arviointilaitoksen suorittaman tietoturvallisuuden arvioinnin perusteella annettavalla todistuksella. Tietoturvallisuuden arviointi tehdään tietoturvallisuuden arviointilaitoksista annetun lain sekä ehdotettavan asiakastietolain säännösten mukaisesti. Tietoturvallisuuden arvioinnista on säädetty esityksen 87 §:ssä.  

Pykälän 2 momentissa esitetään, että luokkaan B kuuluvien tietojärjestelmien vaatimustenmukaisuus voitaisiin osoittaa 2 momentin perusteella kevyemmällä menettelyllä kuin luokan A tietojärjestelmien. B luokan tietojärjestelmä voidaan ottaa käyttöön sen jälkeen, kun tietojärjestelmäpalvelun tuottaja on antanut kirjallisen selvityksen siitä, että tietojärjestelmä täyttää säädetyt olennaiset vaatimukset. Tietojärjestelmän tulisi täyttää asianmukaisesti asennettuna, ylläpidettynä ja käytettynä käyttötarkoituksensa mukaiset olennaiset vaatimukset.  

Pykälän 3 momentin perusteella tietojärjestelmäpalvelun tuottaja vastaisi tietojärjestelmän olennaisten toiminnallisten vaatimusten arvioinnista. Tietojärjestelmäpalvelun tuottajan tulisi vakuuttaa osana vaatimuksista annettavaa selvitystä, että järjestelmässä on toteutettu ne toiminnot, jotka selvityksen mukaisesti kuuluu järjestelmän käyttötarkoitukseen.  

Pykälän 4 momentin perusteella Terveyden ja hyvinvoinnin laitos voisi antaa määräyksiä vaatimustenmukaisuuden osoittamisessa noudatettavasta menettelystä ja annettavan selvityksen sisällöstä. Vaatimustenmukaisuuden osoittamisessa noudatettavaan menettelyyn sisältyisi myös se, miten tuottajan antama selvitys tulee saattaa tietojärjestelmien käyttäjien ja viranomaisten saataville. Lisäksi Kansaneläkelaitos voisi antaa määräyksiä niistä menettelyistä, joilla Kantapalveluihin liitettävien tietojärjestelmien yhteentoimivuus Kanta-palvelujen ja muiden niihin liittyneiden tietojärjestelmien kanssa voitaisiin todentaa. Käytännössä tämä toteutettaisiin tietojärjestelmien yhteistestauksella.  

Erityisesti luokkaan B kuuluvien tietojärjestelmien vaatimustenmukaisuuden osoittamiseksi annettavasta tuottajan selvityksestä olisi tarpeen antaa laissa säädettyä tarkemmat määräykset. 

86 §. Yhteentoimivuuden testaaminen. Pykälän 1 momentissa säädettäisiin, että luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen on oltava yhteentoimiva Kansaneläkelaitoksen ylläpitämien valtakunnallisten tietojärjestelmäpalvelujen ja muiden A-luokkaan kuuluvien tietojärjestelmien kanssa. Yhteentoimivuus olisi osoitettava yhteentoimivuuden testauksella. Yhteentoimivuuden testauksella osoitetaan, että uusi tai muutettu tietojärjestelmä olisi yhteentoimiva muiden valtakunnallisiin tietojärjestelmäpalveluihin liittyneiden tietojärjestelmien kanssa.  

Yhteentoimivuus osoitettaisiin Kansaneläkelaitoksen järjestämässä yhteentoimivuuden testauksessa. Testaukseen pääsyn edellytyksenä olisi tietojärjestelmäpalvelun tuottajan tai hyvinvointisovelluksen valmistajan antama selvitys siitä, että tietojärjestelmä tai hyvinvointisovellus täyttää kaikki toiminnallisuutta koskevat vaatimukset. Tässä selvityksessä olisi myös osoitettava, että toiminnallisuutta koskevien vaatimusten toteutuminen on todettu käyttötesteissä. Testauksen ajankohdasta ja käytännön järjestelyistä on sovittava testauksesta vastaavan Kansaneläkelaitoksen kanssa.  

Pykälän 2 momentissa säädettäisiin kaikille tuotantokäytössä oleville luokan A tietojärjestelmille velvollisuus osallistua myös jatkossa yhteentoimivuuden testauksiin. Testauksen tarkoitus ei toteudu, jos uusi tietojärjestelmä testattaisiin vain suhteessa Kansaneläkelaitoksen ylläpitämiin järjestelmiin. Sen vuoksi olisi tärkeää, että testauksessa olisi mukana myös muita, tuotantokäytössä jo olevia tietojärjestelmiä. Koska tietojärjestelmiä kehitetään jatkuvasti, nämä yhteentoimivuuden testaukset palvelisivat myös testaukseen osallistuvia vanhempia järjestelmiä. Koska kaikkien tuotantokäytössä olevien tietojärjestelmien ei olisi tarpeen olla mukana kaikissa testauksissa, Kansaneläkelaitos päättäisi ne tietojärjestelmät, joiden tulisi kulloinkin olla mukana testauksessa. Yhteentoimivuuden testaukseen osallistuvien tietojärjestelmien tuottajat vastaisivat itse testauksen aiheuttamista kustannuksista. Kansaneläkelaitos antaisi yhteentoimivuuden testaukseen perustuvan todistuksen yhteentoimivuutta koskevien vaatimusten täyttymisestä, kun ne on todennettu. 

Pykälän 3 momentissa todettaisiin, että Kansaneläkelaitoksen ylläpitämille valtakunnallisille tietojärjestelmäpalveluille sekä niille luokkaan A kuuluville tietojärjestelmille, joita ei liitetä valtakunnallisiin tietojärjestelmäpalveluihin, ei tarvitsisi tehdä erikseen yhteistestausta osana olennaisten vaatimusten osoitusta, paitsi ammattilaisen käyttöliittymä, jonka olisi osallistuttava yhteistestaukseen. Kansaneläkelaitoksen ylläpitämien järjestelmien yhteentoimivuus tulisi osoitetuksi muiden tietojärjestelmien kanssa toteutettavissa yhteentoimivuuden testauksissa. 

87 §. Tietoturvallisuuden arviointi. Säännösesityksen 1 momentin perusteella tietoturvallisuuden arviointilaitos voisi suorittaa luokkaan A kuuluvien tietojärjestelmien ja hyvinvointisovellusten tietoturvallisuuden arviointiin liittyviä tehtäviä. Arviointi poikkeaisi muista tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) mukaisista arvioinneista siten, että sosiaalija terveydenhuollossa arvioitaisiin vain luokkaan A kuuluvat tietojärjestelmät ja hyvinvointisovellukset. Sen sijaan tietojärjestelmäpalvelun tuottajan, tietojärjestelmän valmistajan tai käyttäjän toimitilojen asianmukaisuutta ei arvioitaisi eikä siten myöskään tarkastettaisi. Tietojärjestelmän arviointi tehtäisiin tietojärjestelmäpalvelun tuottajan tai hyvinvointisovelluksen valmistajan hakemuksen perusteella.  

Pykälän 2 momentissa säädettäisiin tietoturvallisuuden arviointia koskevan todistuksen antamisesta. Jos luokkaan A kuuluva tietojärjestelmä tai hyvinvointisovellus, jonka arvioinnista on tehty asianmukainen hakemus tietoturvallisuuden arviointilaitokselle, täyttäisi olennaiset tietoturvallisuutta koskevat vaatimukset, arviointilaitoksen olisi annettava tietojärjestelmäpalvelun tuottajalle tai hyvinvointisovelluksen valmistajalle todistus sekä siihen liittyvä tarkastusraportti. 

Käytännössä tietoturvavaatimusten todentaminen kuitenkin edellyttäisi sitä, että tietoturvavaatimukset arvioidaan vasta sellaisesta tietojärjestelmän versiosta, joka Kansaneläkelaitoksen koordinoiman yhteentoimivuuden testauksen perusteella ollaan ottamassa tuotantokäyttöön ja liittämässä valtakunnallisiin tietojärjestelmäpalveluihin. Jos tietoturvallisuuden arviointi tehtäisiin edeltäville versioille, on mahdollista, että järjestelmään tulisi yhteentoimivuuden testauksen aikana uutta arviointia edellyttäviä muutoksia. Tietoturvallisuutta koskevan todistuksen uudistamisen ja ylläpidon kannalta tilannetta selkiyttää, ettei puoltavaa yhteentoimivuustestauksen lausuntoa ole välttämättömänä ehtona todistuksen antamiselle, koska tietoturvallisuutta koskevan todistuksen uusiminen voi tulla tarpeelliseksi silloinkin, kun mitään yhteentoimivuuden testausta edellyttäviä yhteentoimivuuteen vaikuttavia muutoksia ei ole järjestelmään tehty.  

Arvioinnin laajuuden olisi kuitenkin vastattava järjestelmän käyttötarkoitusta. Tietoturvallisuuden arviointi voi valtiovarainministeriön VAHTI 1/2013 Sovelluskehityksen tietoturvaohjeen mukaisesti sisältää hallinnollisen ja arkkitehtuuriauditoinnin lisäksi myös teknisen auditoinnin, jossa teknisesti todennetaan tietoturvakontrollien toimivuus. Erityisesti asiakastietoja käsitteleville hyvinvointisovelluksille tulee suorittaa tekninen auditointi, koska ne eivät ole sosiaali- ja terveydenhuollon palvelunantajien lakisääteistä toimintaa eivätkä ne näin ollen ole palvelunantajien omavalvonnan tai sosiaali- ja terveyspalveluihin kohdistuvan valvonnan piirissä. Teknisen tietoturva-auditoinnin avulla on mahdollista osaltaan varmentaa asiakas- ja potilastietojen tietoturvallinen käsittely ja samalla mahdollistaa kansalaisille erilaisten tietoturvallisiksi varmistettujen hyvinvointisovellusten käyttö hyvinvoinnin edistämisen tarkoituksiin.  

Pykälän 3 momentissa säädettäisiin, että myönnetty tietoturvallisuuden arviointia koskeva todistus olisi voimassa enintään kolme vuotta. Arviointilaitos voisi päättää, että todistus olisi voimassa lyhyemmänkin ajan, jos tietojärjestelmän tai hyvinvointisovelluksen kehitysvaiheen tai tiedossa olevan olennaisten vaatimusten uudistamisen tai muiden vastaavien seikkojen perusteella olisi ilmeistä, että tietojärjestelmä tai hyvinvointisovellus ei täyttäisi olennaisia tietoturvavaatimuksia ilman merkittäviä muutoksia kolmea vuotta. Tietoturvallisuuden arviointilaitos voisi jatkaa todistuksen voimassaoloa. Tämä voitaisiin tehdä enintään kolmeksi vuodeksi kerrallaan. Arvioitaessa todistuksen voimassaolon jatkamista, tietoturvallisuuden arviointilaitos voisi vaatia tietojärjestelmäpalvelun tuottajalta tai hyvinvointisovelluksen valmistajalta kaikki arvioinnin edellyttämät tiedot todistuksen laatimiseksi.  

Muilta kuin edellä todetuin osin tietoturvallisuuden arviointia koskevan todistuksen antamiseen sovellettaisiin tietoturvallisuuden arviointilaitoksista annetun lain 9 §:ssä olevia säännöksiä ja menettelyjä. 

88 §. Kansaneläkelaitoksen ja tietoturvallisuuden arviointilaitoksen ilmoittamisvelvollisuus. Pykälän 1 momentissa säädettäisiin, että tietoturvallisuuden arviointilaitoksen olisi ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle, Kansaneläkelaitokselle ja Terveyden ja hyvinvoinnin laitokselle tiedot kaikista myönnetyistä, muutetuista, täydennetyistä ja evätyistä 87 §:ssä tarkoitetuista vaatimustenmukaisuustodistuksista. Momenttiin lisättäisiin vastaava ilmoitusvelvollisuus Kansaneläkelaitokselle, eli Kansaneläkelaitoksen olisi ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle, tietoturvallisuuden arviointilaitokselle ja Terveyden ja hyvinvoinnin laitokselle kaikista myönnetyistä, muutetuista, täydennetyistä ja evätyistä 86 §:ssä tarkoitetuista todistuksista. Lisäys vahvistaisi valvonnasta ja ohjauksesta sekä tietoturvallisuusvaatimusten todentamisesta vastaavien tahojen tiedonsaantia tietojärjestelmien olennaisten vaatimusten tilanteesta kokonaisuutena. Tietoturvallisuuden arviointilaitoksella, jolle Kansaneläkelaitoksen olisi tehtävä ilmoitus, tarkoitettaisiin sitä tietoturvallisuuden arviointilaitosta, jota ilmoituksen kohteena olevan tietojärjestelmäpalvelun tuottaja tietojärjestelmänsä vaatimusten arvioinnissa käyttää. 

Pykälän 2 momentissa säädettäisiin, että arviointilaitoksen olisi lisäksi annettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle sen pyynnöstä kaikki valvonnan kannalta tarvittavat lisätiedot tietojärjestelmistä ja hyvinvointisovelluksista, joille arviointilaitos on myöntänyt tietoturvallisuuden arviointia koskevan todistuksen. 

13 luku Tietojärjestelmien valvonta

89 §. Tietojärjestelmien valvonta ja tarkastukset. Pykälän 1 momentissa säädettäisiin siitä, että Sosiaali- ja terveysalan lupa- ja valvontaviraston tehtävänä olisi valvoa ja edistää sosiaali- ja terveydenhuollon tietojärjestelmien ja hyvinvointisovellusten vaatimustenmukaisuutta. Lain mukainen valvonta täydentäisi Sosiaali- ja terveysalan lupa- ja valvontaviraston ja aluehallintoviraston muuta sosiaali- ja terveydenhuollon valvontaa, jonka tavoitteena on varmistaa, että palvelujen antajat toimivat säännösten mukaisesti.  

Valvonnan toteuttamisessa tarvittavista keinoista säädettäisiin 2 momentissa. Valvonnan toteuttamiseksi Sosiaali- ja terveysalan lupa- ja valvontavirastolla olisi oikeus tehdä tarkastuksia. Tarkastuksen tarkoituksen toteuttamiseksi se voitaisiin tehdä ennalta ilmoittamatta. Tarkastusten toteuttamiseksi tarkastuksen tekijällä olisi oikeus päästä kaikkiin niihin tietojärjestelmien valmistajien, tietojärjestelmäpalveluiden tuottajien, välittäjien ja palvelunantajien tiloihin, joissa voi olla tietojärjestelmien vaatimustenmukaisuuden arvioinnin kannalta merkityksellisiä tietoja. Tällaisia voisivat olla esimerkiksi tietojärjestelmien valmistajien toimitilat, arkistot ja muut vastaavat tilat sekä kaikki sosiaali- tai terveydenhuollon palvelunantajien toimitilat. Pysyväisluonteiseen asumiseen käytetyt tilat olisi kuitenkin rajattu tarkastusoikeuden ulkopuolelle. Lisäksi tarkastusta toteutettaessa olisi noudatettava mitä hallintolain (434/2003) 39 §:ssä säädetään. Jos tarkastettava taho vastustaa tarkastuksen suorittamista tai muutoin yrittää vaikeuttaa sitä, olisi Sosiaali- ja terveysalan lupa- ja valvontavirastolla oikeus saada poliisin tarpeellista virka-apua, josta säädetään poliisilain (872/2011) 9 luvun 1 §:n 1 momentissa.  

Tarkastuksen toteuttamisesta säädettäisiin 3 momentissa. Tarkastuksen tekijällä olisi oikeus saada nähtäväkseen kaikki tarkastuksen tekemiseksi tarvittava asiakirjat. Tarkastajalla olisi myös oikeus saada jäljennökset tarpeellisiksi katsomistaan asiakirjoista. Tarkastettavista tiloista voitaisiin ottaa myös valokuvia.  

Pykälän 4 momentin perusteella tarkastuksesta olisi pidettävä pöytäkirjaa. Tarkastuksen kohteelle olisi annettava jäljennös pöytäkirjasta 30 päivän kuluessa tarkastuksesta. Jäljennöksen perusteella tarkastettava taho saisi yksityiskohtaisen tiedon tarkastuksesta ja siinä tehdyistä havainnoista. Sosiaali- ja terveysalan lupa- ja valvontaviraston olisi säilytettävä alkuperäinen tarkastuspöytäkirja olisi säilytettävä 10 vuotta tarkastuksen päättymisestä.  

90 §. Ilmoittaminen tietojärjestelmän ja hyvinvointisovelluksen olennaisten vaatimusten poikkeamista sekä tietoverkkoihin kohdistuvista tietoturvallisuuden häiriöistä. Pykälässä säädettäisiin toimijoiden velvoitteesta ilmoittaa tietojärjestelmän ja hyvinvointisovelluksen olennaisten vaatimusten poikkeamista sekä tietoverkkoihin kohdistuvasta tietoturvallisuuden häiriöstä. Pykälän 1 momentti vastaisi voimassa olevan asiakastietolain sääntelyä. Pykälään ehdotetaan lisättäväksi säännökset, joilla pannaan täytäntöön verkko- ja tietoturvadirektiivin 14 artiklan 3–6 kohdat direktiivin liitteen II toimialan 5 eli terveydenhuollon osalta. Direktiivi edellyttää jäsenmaita varmistamaan, että keskeisten palvelujen tarjoajat toteuttavat asianmukaiset ja oikeasuhteiset tekniset ja organisatoriset toimenpiteet hallitakseen riskejä, joita kohdistuu niiden verkko- ja tietojärjestelmien turvallisuuteen, joita nämä keskeisten palvelujen tarjoajat käyttävät toiminnoissaan. Suomessa monet julkisen terveydenhuollon palvelunantajat katsotaan direktiivissä tarkoitetuiksi keskeisen palvelun tarjoajaksi. Direktiivissä verkko- ja tietojärjestelmillä tarkoitetaan käytännössä kaikkia ICT-järjestelmiä ja niissä käsiteltäviä digitaalisia tietoja eli määritelmä kattaa laajemman kokonaisuuden kuin esitettävän lain määritelmä tietojärjestelmästä. Uusi sääntely täydentäisi aiempaa sääntelyä erityisesti tietoverkkojen osalta. Poikkeaman vaikutuksen merkittävyyden määrittämisessä olisi huomioitava erityisesti käyttäjien lukumäärä, joihin keskeisen palvelun häiriö vaikuttaa, poikkeaman kerto sekä maantieteellinen levinneisyys alueella, johon poikkeama vaikuttaa. 

Direktiivi koskee vain julkista terveydenhuoltoa, mutta on perusteltua kehittää samassa yhteydessä sääntelyä ja menettelyjä myös sosiaalihuollon ja apteekkien käyttöympäristöjen ja tietoverkkojen tietoturvallisuushäiriöihin liittyen.  

Tietojärjestelmien tietoturvallisuuteen ja tietoturvapoikkeamien käsittelyä koskevaa sääntelyä on sosiaali- ja terveydenhuollossa ollut jo aiemmin, mutta ehdotettavassa pykälässä laajennetaan sääntelyä verkko- ja tietoturvadirektiivin mukaisilla velvoitteilla koskemaan myös tietoverkkoja eli keskeistä osuutta tietojärjestelmien käyttöympäristöistä.  

Pykälän 1 momentissa säädettäisiin siitä, että jos palvelunantaja tai apteekki havaitsee, että tietojärjestelmän olennaisten vaatimusten täyttymisessä on merkittäviä poikkeamia, olisi palvelunantajan ilmoitettava siitä tietojärjestelmäpalvelun tuottajalle. Jos tietojärjestelmän tai hyvinvointisovelluksen poikkeama voisi aiheuttaa merkittävän riskin asiakas- ja potilasturvallisuudelle, tietoturvalle tai tietosuojalle, olisi palvelunantajan, apteekin, tietojärjestelmäpalvelun tuottajan, tietojärjestelmän valmistajan, Kansaneläkelaitoksen tai Terveyden ja hyvinvoinnin laitoksen ilmoitettava siitä Sosiaali- ja terveysalan lupa- ja valvontavirastolle. Esimerkiksi palvelunantaja voisi ilmoittaa Sosiaali- ja terveysalan lupa- ja valvontavirastolle havaitsemistaan riskeistä. Myös muu taho tai toimija voisi ilmoittaa Sosiaali- ja terveysalan lupa- ja valvontavirastolle havaitsemistaan riskeistä. Momentissa olisi viittaus tietosuoja-asetuksen 33 artiklaan, jossa säädetään henkilötietojen tietoturvaloukkauksista ilmoittamisesta tietosuojavaltuutetulle. 

Pykälän 2 momentissa säädettäisiin palvelunantajan, apteekin, Kansaneläkelaitoksen ja tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan ja välittäjänvelvoitteesta ilmoittaa viipymättä häiriöstä Sosiaali- ja terveysalan lupa- ja valvontavirastolle sellaisesti käyttöympäristöihin tai tietoverkkoihin kohdistuvasta merkittävästä tietoturvallisuuteen liittyvästä häiriöstä, joka voi vaarantaa merkittävästi tietojärjestelmien käyttöä ja sosiaali- ja terveyspalvelujen toteuttamista. Ehdotus laajentaisi siten tietoturvallisuushäiriöihin liittyviä ilmoitusvelvoitteita tietojärjestelmien lisäksi myös tietojärjestelmien käyttöympäristöihin ja tietoverkkoihin. Tietoturvallisuuteen liittyvällä häiriöllä tarkoitettaisiin mitä tahansa tapahtumaa, joka tosiasiassa vaikuttaa haitallisesti kyseessä olevien järjestelmien turvallisuuteen. Määritelmä vastaisi verkko- ja tietoturvadirektiivin mukaista poikkeaman määritelmää. Merkittävänä olisi pidettävä häiriötä, jonka seurauksena tietojärjestelmien käyttö ja sosiaali- ja terveyspalveluiden toteuttaminen voi merkittävästi vaarantua. Momentissa säädettäisiin myös Terveyden ja hyvinvoinnin laitoksen oikeudesta antaa tarkempia määräyksiä pykälässä tarkoitettujen ilmoituksen sisällöstä, muodosta ja toimittamisesta. Määräyksenanto valtuus olisi yhdenmukainen muiden Terveyden ja hyvinvoinnin laitoksen määräyksenantovaltuuksien kanssa, jotka liittyvät esimerkiksi tietoturvasuunnitelmaan liittyviin vaatimuksiin ja tietojärjestelmien poikkeamiin. Määräyksessä voitaisiin tarkemmin määrätä esimerkiksi siitä, milloin tietoturvallisuuteen liittyvää häiriötä olisi pidettävä merkittävänä sekä siitä missä muodossa tiedot olisi annettava. 

Pykälän 3 momentissa säädettäisiin Sosiaali- ja terveysalan lupa- ja valvontaviraston mahdollisuudesta velvoittaa palvelunantaja, apteekki, Kansaneläkelaitos ja tietojärjestelmäpalvelun tuottaja tai tietojärjestelmän valmistaja tai välittäjä tiedottamaan 1 ja 2 momentissa tarkoitetusta tietoturvallisuuteen liittyvästä poikkeamasta tai häiriöstä yleisölle tai tiedottaa siitä itse kuultuaan ilmoitusvelvollista.  

Pykälän 4 momentissa ehdotettaisiin Sosiaali- ja terveysalan lupa- ja valvontavirastolle velvoitetta arvioida, koskeeko 1 ja 2 momentissa tarkoitettu tietoturvallisuuteen liittyvä poikkeama tai häiriö muita Euroopan unionin jäsenvaltioita ja tarvittaessa ilmoittaa häiriöstä muille asiaan liittyville jäsenvaltioille. Tarkoituksena olisi varmistaa, että silloin kun häiriöllä on rajat ylittäviä vaikutuksia Euroopan unionissa ja Sosiaali- ja terveysalan lupa- ja valvontavirasto katsoo, että häiriöstä olisi tarpeen kertoa toiselle jäsenvaltiolle, jäsenvaltiot, joita häiriö koskee, saisivat häiriöstä tiedon. Ilmoitus voitaisiin tehdä esimerkiksi silloin, kun häiriö voisi rajat ylittävään asiakastietojen luovuttamiseen tai tietoturvahäiriö voi kohdistua myös muiden maiden käyttämiin tietojärjestelmiin tai tietoverkkoihin.  

91 §. Sosiaali- ja terveysalan lupa- ja valvontaviraston tiedonsaantioikeus valvontaa varten. Säännöksen perusteella Sosiaali- ja terveysalan lupa- ja valvontavirastolla olisi oikeus saada sosiaali- ja terveydenhuollon tietojärjestelmien ja hyvinvointisovellusten valvontaa varten kaikki välttämättömät tiedot valtion ja hyvinvointialueen viranomaisilta, yksityisiltä henkilöiltä ja oikeushenkilöiltä, joita tämän lain tai sen nojalla annetut säännökset ja päätökset valtakunnallisista tietojärjestelmistä koskevat. Tiedot tulisi antaa Sosiaali- ja terveysalan lupa- ja valvontavirastolle salassapitosäännösten estämättä. 

92 §. Sosiaali- ja terveysalan lupa- ja valvontaviraston oikeus ulkopuolisen asiantuntijan käyttöön. Sosiaali- ja terveydenhuollon tietojärjestelmät ja hyvinvointisovellukset ovat hyvin monenlaisia, monimutkaisia ja erilaisia ominaisuuksia käsittäviä tuotteita. Valvovalla viranomaisella ei voi olla palveluksessaan asiantuntijoita, jotka hallitsisivat kaikki erilaisten tietojärjestelmien ominaisuudet. Valvonta kuitenkin edellyttää usein asiantuntijan arvioita, minkä vuoksi pykälän 1 momentissa ehdotetaan, että Sosiaali- ja terveysalan lupa- ja valvontavirastolla olisi oikeus tapauskohtaisesti käyttää ulkopuolisia asiantuntijoita apunaan tietojärjestelmien ja hyvinvointisovellusten arvioinnissa. Ulkopuoliset asiantuntijat voisivat osallistua tämän lain mukaisiin tarkastuksiin sekä tutkia ja testata tietojärjestelmiä ja hyvinvointisovelluksia, mutta eivät käyttäisi julkista valtaa eivätkä tekisi hallintopäätöksiä. Ulkopuolisten asiantuntijoiden tehtävää voisikin luonnehtia lähinnä avustavaksi tehtäväksi.  

Perustuslain 124 §:n mukaan julkinen hallintotehtävä voidaan antaa muulle kuin viranomaiselle vain lailla tai lain nojalla, jos se on tarpeen tehtävän tarkoituksenmukaiseksi hoitamiseksi eikä vaaranna perusoikeuksia, oikeusturvaa tai muita hyvän hallinnon vaatimuksia. Lisäksi sääntelyn on täytettävä perustuslain 124 §:stä johdetut vaatimukset toimivaltuuksien täsmällisestä sääntelystä, sääntelyn yleisestä tarkkuudesta ja muusta asianmukaisuudesta sekä asianomaisten henkilöiden sopivuudesta ja pätevyydestä. Aikaisemmassa asiakastietolaissa ollutta viittausta hallinnon yleislakeihin ei perustuslakivaliokunnan käytännön mukaan enää nykyisin ole perustuslain 124 §:n takia yleensä välttämätöntä sisällyttää julkisen hallintotehtävän antamista koskevaan lakiin, koska hallinnon yleislakeja sovelletaan niiden sisältämien soveltamisalaa, viranomaisten määritelmää tai yksityisen kielellistä palveluvelvollisuutta koskevien säännösten nojalla myös yksityisiin niiden hoitaessa julkisia hallintotehtäviä (ks. esim. PeVL 5/2014 vp, s. 4, PeVL 23/2013 vp, s. 3/II, PeVL 10/2013 vp, s.2/II, PeVL 37/2010 vp, s. 5/I, PeVL 13/2010 vp, s. 3/II, PeVL 42/2005 vp , s. 3/II).  

Ulkopuolisella asiantuntijalla olisi mahdollisuus nähdä tietojärjestelmiä tarkastaessaan salassa pidettäviä asiakastietoja, jos tarkastusta ei voida asianmukaisesti toteuttaa ilman pääsyä salassa pidettäviin tietoihin. Sosiaali- ja terveydenhuollon asiakastietojen salassapidosta ja vaitiolovelvollisuudesta sekä hyväksikäyttökiellosta säädetään esitettävän lain 4 ja 5 §:ssä. Asiakastietojen käsittelyä koskevaa sääntelyä sovellettaisiin kuitenkin ainoastaan silloin, kun asiakastietoja käsitellään sosiaali- ja terveyspalvelujen järjestämisen ja toteuttamisen käyttötarkoituksessa. Laki sisältäisi julkisuuslakiin nähden ensisijaisesti sovellettavat säännökset sosiaali- ja terveydenhuollon järjestäjien ja toteuttajien salassapito- ja vaitiolovelvollisuudesta. Asiakastietolain 92 §:ssä tarkoitettujen asiantuntijoiden tai Sosiaali- ja terveysalan lupa- ja valvontaviraston tehtävänä ei kuitenkaan olisi sosiaali- ja terveydenhuollon järjestäminen tai toteuttaminen eikä niiden toimintaan siten lain soveltamisalaa koskevien säännösten perustella sovellettaisi kyseisiä säädöksiä. 

Julkisuuslain 2 §:n 1 momentin mukaan julkisuuslaissa säädetään muun muassa viranomaisessa toimivan vaitiolovelvollisuudesta, asiakirjojen salassapidosta ja muista tietojen saantia koskevista yleisten ja yksityisten etujen suojaamiseksi välttämättömistä rajoituksista samoin kuin viranomaisten velvollisuuksista lain tarkoituksen toteuttamiseksi. Lain 4 §:n 2 momentin mukaan mitä viranomaisesta säädetään, koskee myös lain tai asetuksen taikka lain tai asetuksen nojalla annetun säännöksen tai määräyksen perusteella julkista tehtävää hoitavia yhteisöjä, laitoksia, säätiöitä ja yksityisiä henkilöitä niiden käyttäessä julkista valtaa. Lain soveltaminen yksityisiin on muun ohella riippuvainen siitä, sisältyykö niiden/heidän julkiseen tehtäväänsä julkisen vallan käyttämistä. Julkisuuslain 23 §:n 1 momentissa säädetään viranomaisen palveluksessa olevan ja luottamustehtävää hoitavan salassa pidettävää tietoa koskevasta vaitiolovelvollisuudesta. Pykälän 2 momentin mukaan pykälän 1 momentissa säädetty vaitiolovelvollisuus salassa pidettävästä tiedosta koskee myös muun muassa viranomaisen toimeksiannosta tehtävää hoitavaa tai tämän palveluksessa olevaa.  

Edellä esitetyn perusteella on katsottava, että esitettävän lain salassapitoa koskevat säännökset eivät tulisi sovellettaviksi 92 §:ssä tarkoitettuihin asiantuntijoihin. Sen sijaan julkisuuslain vaitiolovelvollisuutta koskeva 23 § tulee sovellettavaksi Sosiaali- ja terveysalan lupa- ja valvontaviraston toimeksiannosta tehtäviä hoitaviin ulkopuolisiin asiantuntijoihin. Sosiaali- ja terveysalan lupa- ja valvontaviraston käyttämän ulkopuolisen asiantuntijan kanssa olisi kuitenkin suotavaa tehtävä toimeksiantosopimus, jossa sovittaisiin myös salassapidosta ja vaitiolovelvoitteesta. Lisäksi ulkopuolisen asiantuntijan tulisi antaa salassapito- ja vaitiolopitoa koskeva sitoumus. 

93 §. Määräys velvollisuuksien täyttämiseksi. Pykälässä esitetään, että Sosiaali- ja terveysalan lupa- ja valvontavirastolla olisi oikeus päätöksellään määrätä tietojärjestelmäpalvelun tuottaja tai tietojärjestelmän valmistaja, hyvinvointisovelluksen valmistaja, välittäjä tai Kansaneläkelaitos täyttämään laissa säädetty velvollisuutensa, mikäli se on laiminlyönyt tietojärjestelmiin tai niiden käyttöön liittyvät lain mukaiset velvoitteensa. Säännös on tarpeen, koska valvontaviranomaisella olisi oltava käytössään riittävän tehokkaat keinot lain noudattamisen varmistamiseksi. Valvontaviranomaisen perustehtäviin kuuluisi puuttua asiaan, jos lain vaatimuksia ei noudateta. Jos viranomaisen kehotusta ei kuitenkaan noudatettaisi, Sosiaali- ja terveysalan lupa- ja valvontavirastolla olisi oltava mahdollisuus velvoittaa lain noudattamiseen määräajassa. Säännös kattaisi kaikki laissa tietojärjestelmille tai niiden käytölle asetetut velvollisuudet. Tietosuojaan liittyvissä asioissa toimivalta on kuitenkin tietosuojalain perusteella tietosuojavaltuutetulla. 

94 §. Käytössä oleviin tietojärjestelmiin ja hyvinvointisovelluksiin kohdistuvat velvollisuudet. Jos tietojärjestelmä tai hyvinvointisovellus ei täyttäisi olennaisia vaatimuksia, tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan olisi lähtökohtaisesti oma-aloitteisesti ryhdyttävä korjaaviin toimenpiteisiin. Tämän lisäksi Sosiaali- ja terveysalan lupa- ja valvontavirastolla olisi ehdotettavan säännöksen 1 momentin perusteella mahdollisuus 89 §:n perusteella tehtävän tietojärjestelmien ja hyvinvointisovellusten valvonnan ja tarkastuksen yhteydessä määrätä tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan tai hyvinvointisovelluksen valmistajan korjata tuotantokäytössä olevia tietojärjestelmiä ja hyvinvointisovelluksia koskevat puutteet, jos on aihetta epäillä, ettei tuottaja tai valmistaja muutoin toteuttaisi tietojärjestelmän korjaamiseksi tarvittavia toimenpiteitä.  

Pykälän 2 momentin perusteella Sosiaali- ja terveysalan lupa- ja valvontavirasto voisi kieltää tietojärjestelmän tai hyvinvointisovelluksen käytön, jos sitä ei olisi korjattu Sosiaali- ja terveysalan lupa- ja valvontaviraston asettamassa määräajassa ja se voisi vaarantaa asiakas- tai potilasturvallisuuden. Kielto-oikeus koskisi myös tilanteita, joissa salassa pidettävien asiakas- ja potilastietojen tietosuoja olisi vaarantunut. Kielto voisi olla voimassa siihen saakka, kunnes turvallisuuden tai tietosuojan vaarantava ominaisuus olisi korjattu. Lisäksi Kansaneläkelaitos voisi sulkea yhteyden ylläpitämiinsä valtakunnallisiin tietojärjestelmäpalveluihin, jos niihin liitetty ulkopuolinen järjestelmä tai sen käyttäjäorganisaation toiminta voisi vaarantaa valtakunnallisten tietojärjestelmäpalvelujen asianmukaisen toiminnan.  

Pykälän 3 momentin perusteella Sosiaali- ja terveysalan lupa- ja valvontavirasto voisi velvoittaa tietojärjestelmäpalvelun tuottajan, hyvinvointisovelluksen valmistajan tai niiden valtuuttaman edustajan tiedottamaan tietojärjestelmän tai hyvinvointisovelluksen tuotantokäyttöä koskevasta kiellosta tai määräyksestä. Sosiaali- ja terveysalan lupa- ja valvontavirasto voisi myös määrätä miten ja missä ajassa asiasta on tiedotettava. Velvoitteen tarkoituksena olisi varmistaa, että palvelunantajat ovat tietoisia tietojärjestelmien ja hyvinvointisovellusten puutteista ja käytön rajoituksista. 

95 §. Muutoksenhaku. Pykälän 1 momentin mukaan tarkastuksen yhteydessä annettuun päätökseen ei saisi hakea muutosta, vaan siitä on ensin tehtävä oikaisuvaatimus Sosiaali- ja terveysalan lupa- ja valvontavirastolle. Sen jälkeen todettaisiin informatiivisena viittauksena, että oikaisuvaatimuksesta säädetään hallintolaissa (434/2003). Oikaisuvaatimusviranomaisesta tai oikaisuvaatimuksen määräajasta sen ollessa 30 päivää ei ole tarpeen erikseen säätää, koska nämä ovat hallintolain oikaisuvaatimusta koskevan 7 a luvun mukaisia pääsääntöjä, ja päällekkäistä sääntelyä yleissäännösten kanssa on syytä mahdollisuuksien mukaan välttää.  

Hallintolain 49 b §:ssä on säädetty oikaisuvaatimuksen tekemisestä ja valituskiellosta. Lainkohdan mukaan oikaisua saa vaatia se, johon päätös on kohdistettu tai jonka oikeuteen, velvollisuuteen tai etuun päätös välittömästi vaikuttaa. Hallintolain 46 §:ssä säädetään muun muassa, että oikaisuvaatimusohje on annettava samanaikaisesti päätöksen kanssa.  

Pykälässä 2 momentissa säädetään muutoksenhausta Sosiaali- ja terveysalan lupa- ja valvontaviraston esitettävän lain nojalla tekemään päätökseen viittaamalla informatiivisista syistä lakiin oikeudenkäynnistä hallintoasioissa (808/2019). Kyseinen laki sääntelee yleislakina muutoksenhakua hallintoasioissa, ja sen 6 §:n mukaisesti hallintopäätökseen saa hakea muutosta valittamalla. Siten Sosiaali- ja terveysalan lupa- ja valvontaviraston tekemistä päätöksistä ei ole tarpeen erikseen tässä ehdotetussa pykälässä todeta. Päätöksillä tarkoitetaan 90 §:n 3 momentin mukaista palvelunantajan, apteekin, Kansaneläkelaitoksen ja tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan tai välittäjän velvoittamisesta tiedottamaan yleisölle tietoturvallisuuteen liittyvästä häiriöstä sekä 94 §:n mukaista tietojärjestelmän tai hyvinvointisovelluksen käytön kieltämistä tai velvoittamista tiedottaa tietojärjestelmän tai hyvinvointisovelluksen tuotantokäyttöä koskevasta kiellosta tai määräyksestä. Oikeudenkäynnistä hallintoasioissa annetun lain 6 §:n ilmaisu kattaa myös oikaisuvaatimuksen johdosta tehdyn päätöksen. Valituslupamenettely on säädetty pääsäännöksi oikeudenkäynnistä hallintoasioissa annetun lain 107 §:ssä. Menettely vastaisi myös, mitä esimerkiksi lääkinnällisistä laitteista annetussa laissa on säädetty.  

Pykälän 3 momentin mukaan Sosiaali- ja terveysalan lupa- ja valvontaviraston lain nojalla antamia päätöksiä olisi noudatettava oikaisuvaatimuksesta tai muutoksenhausta huolimatta, jollei oikaisuvaatimusviranomainen tai hallintotuomioistuin toisin määrää. 

96 §. Uhkasakko. Ehdotuksen mukaan laissa säädettyjä velvollisuuksia voidaan tehostaa uhkasakolla siten kuin uhkasakkolaissa (1113/1990) säädetään. Vastaavasta menettelystä on säädetty lääkinnällisistä laitteista annetussa laissa.  

III OSA. Erinäiset säännökset ja voimaantulo

14 luku Erinäiset säännökset

97 §. Ohjaus, valvonta ja seuranta. Pykälän 1 momentissa säädettäisiin siitä, että sosiaali- ja terveysministeriö vastaa sosiaali- ja terveydenhuollon asiakastiedon sähköisen käsittelyn, valtakunnallisten tietojärjestelmäpalvelujen ja niihin liittyvän tiedonhallinnan yleisestä strategisesta suunnittelusta, ohjauksesta ja valvonnasta sekä valtakunnallisten tietojärjestelmäpalvelujen kehittämiseen liittyvien ja muiden sosiaali- ja terveysministeriön vastuulle kuuluvien tiedonhallintahankkeiden rahoituksesta. Henkilötietojen käsittelyn lainmukaisuuden valvonnasta vastaa kuitenkin tietosuojavaltuutettu. Tällöin ministeriön vastuu olisi samanlainen kuin sen vastuu muutoinkin sosiaali- ja terveydenhuollon valtakunnallisesta suunnittelusta ja ohjauksesta. Ministeriön yleiseen ohjaustoimivaltaan sisältyy myös vastuu siitä, että sosiaali- ja terveydenhuollon tiedonhallintaa toteutettaessa huolehditaan tietojärjestelmien yhteentoimivuudesta.  

Pykälän 2 momentin mukaan Terveyden ja hyvinvoinnin laitos vastaisi sosiaali- ja terveydenhuollon asiakastiedon sähköisen käsittelyn ja siihen liittyvän tiedonhallinnan sekä esityksen 65 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen ja yhteisten hallinnonalakohtaisten tietovarantojen toteuttamisen ja käytön suunnittelusta, eri tietojärjestelmissä ja tietovarannoissa käytettävien tietorakenteiden yhteensovittamisesta, ohjauksesta ja seurannasta. Asiakastietojen käsittelyn ja siihen liittyvän tiedonhallinnan seuranta tarkoittaisi esimerkiksi sosiaali- ja terveydenhuollon tietojärjestelmäpalveluiden seurantaan ja arviointiin liittyvää tutkimusta, jota Terveyden ja hyvinvoinnin laitos on toteuttanut jo usean vuoden ajan. Tutkimustoimintaa on tarpeen myös laajentaa sitä mukaa kun tiedonhallinnan ratkaisut, mukaan lukien valtakunnalliset tietojärjestelmäpalvelujen laajenevat. Tutkimuksen avulla saadaan tietoa esimerkiksi valtakunnallisten tietojärjestelmäpalvelujen hyödyntämisestä sekä vaikutuksista asiakkaan asiointiin ja sosiaali- ja terveydenhuollon palvelutoimintaan. 

Pykälän 3 momentissa todettaisiin, että Tietosuojavaltuutettu, Lääkealan turvallisuus- ja kehittämiskeskus, Sosiaali- ja terveysalan lupa- ja valvontavirasto sekä aluehallintovirasto toimialueellaan ohjaisivat ja valvoisivat niille säädetyn toimivallan mukaisesti osaltaan tämän lain noudattamista. Tietojärjestelmien ja hyvinvointisovellusten valvontaan liittyvät Sosiaali- ja terveysalan lupa- ja valvontaviraston tehtävät on esitettävässä laissa koottu omaan lukuunsa, eli Sosiaali- ja terveysalan lupa- ja valvontavirasto valvoo tietojärjestelmille ja hyvinvointisovelluksille sekä niiden valmistajille ja tuottajille asetettuja velvoitteita, mukaan lukien käyttöympäristöjen ja tietoverkkojen tietoturvallisuutta koskevien häiriöilmoitusten vastaanotto ja tiedottamiseen liittyvät tehtävät. Apteekkien valvonta, mukaan lukien sairaala-apteekit, kuuluu Lääkealan turvallisuus- ja kehittämiskeskuksen vastuulle, eli se valvoisi asiakastietojen käsittelyä ja siihen liittyvien vastuiden, kuten esimerkiksi käytönvalvontaan ja tietoturvasuunnitelmaan liittyvien velvoitteiden sekä tietojärjestelmien käyttöä apteekeissa. Vastaavasti palvelunantajien valvonta, eli tässä laissa esitettävä asiakastietojen käsittelyyn, asiakirjoihin sekä tietoturvasuunnitelmaan ja tietojärjestelmien käyttöön liittyvien vaatimusten valvonta jakautuu Sosiaali- ja terveysalan lupa- ja valvontaviraston ja aluehallintoviraston vastuulle siten, kuin muualla laissa säädetään.  

98 §. Sosiaali- ja terveydenhuollon sähköisen tiedonhallinnan yhteistyö. Pykälän mukaan sosiaali- ja terveysministeriön on huolehdittava siitä, että sosiaali- ja terveydenhuollon sähköistä tiedonhallintaa ja valtakunnallisia tietojärjestelmäpalveluja koskevan yhteistyön koordinointia varten on järjestetty yhteistyötavat ja -menettelyt. Yhteistyön tarkoituksena olisi edistää tämän lain toteutumista. Yhteistyön kautta tapahtuvan toiminnan olisi myös tarkoitus kehittää toimintaa strategisesti ja ennakollisesti ohjaavaksi. Valtakunnallisten tietojärjestelmäpalvelujen käyttäjillä ja muilla sidosryhmillä olisi oltava mahdollisuus vaikuttaa heidän kannaltaan tärkeisiin seikkoihin tietojärjestelmäpalvelujen kehityksessä ja toteutuksessa. Tietojärjestelmäpalvelujen kehittämisen kannalta olennaisia asioita olisivat esimerkiksi tietojärjestelmien toimeenpanoon liittyvien säädösten, ohjeiden ja määritysten valmisteluun osallistuminen, valtakunnallisten tietojärjestelmien kehittämisen priorisointi, palvelujen käyttäjien tietojärjestelmien yhtenäistämisen ja kehittämisen edistäminen sekä valtakunnallisten tietojärjestelmäpalvelujen toteutuksen, talouden ja muiden voimavarojen sekä käyttäjämaksujen kehityksen seuraaminen. Säännöksessä ei sidottaisi sitä, miten yhteistyö järjestetään. Yhteistyön ja palvelujen käyttäjien sekä muiden sidosryhmien vaikuttamismahdollisuuksien edistämiseksi sosiaali- ja terveysministeriö voisi kutsua koolle työryhmiä tai muita yhteistyöelimiä.  

Valtioneuvosto voisi asettaa 1 momentissa tarkoitettua yhteistyötä varten tarvittavia neuvottelukuntia tai muita yhteistyöelimiä. Asettaessaan yhteistyöelintä valtioneuvosto voi samalla päättää neuvottelukunnan tai yhteistyöelimen tehtävistä, toimikaudesta ja jäsenistä.  

Pykälän 3 momentin mukaan Kansaneläkelaitoksen olisi huolehdittava siitä, että valtakunnallisten tietojärjestelmäpalvelujen tuotantotoimintaan liittyen on järjestetty yhteistyötavat ja –menettelyt palvelunantajien, apteekkien ja muiden tuotantotoiminnan sidosryhmien, eli asiakas- ja potilastietojärjestelmien ja apteekkijärjestelmien toimittajien, alueellisten ict-palveluntuottajien, välittäjien ja muiden viranomaisten kanssa. Säännös edistäisi tuotantotoimintaan liittyvää yhteistyötä sidosryhmien kanssa ja lisäisi läpinäkyvyyttä ja avoimuutta 99 §:n 1 momentin mukaisilla käyttömaksuilla rahoitettavaan toimintaan.  

99 §. Maksut. Pykälän 1 momentissa esitetään, että Kansaneläkelaitoksen ja Digi- ja väestötietoviraston hoitamien 65 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen käyttö on palvelunantajille ja apteekeille maksullista. Kansaneläkelaitoksen perimät maksut säädetään valtion maksuperustelain (150/1992) 10 §:ssä säädetyn estämättä sosiaali- ja terveysministeriön asetuksella sellaisiksi, että ne vastaavat palvelujen hoidosta aiheutuvien kustannus ten määrää. Maksujen tulee lisäksi turvata Kansaneläkelaitoksen palvelurahaston maksuvalmius. Digi- ja väestötietoviraston suoritteista perittävistä maksuista säädetään valtion maksuperustelaissa ja sen nojalla.  

Pykälän 2 momentissa esitetään, että Kansaneläkelaitoksen ja Digi- ja väestötietoviraston olisi toimitettava vuosittain sosiaali- ja terveysministeriölle selvitys edellisen vuoden kustannuksista ja kustannuksiin vaikuttaneista tekijöistä sekä arvio seuraavan neljän vuoden käyttömaksujen perustana olevista kokonaiskustannuksista. Lisäksi Kansaneläkelaitoksen olisi toimitettava arvio seuraavien neljän vuoden investointisuunnitelmista. Palveluiden ylläpitoon liittyvistä investoinneista aiheutuvat kustannukset olisi näin mahdollista jakaa useammalle vuodelle ja varmistaa, etteivät yksittäisen vuoden kustannukset muodostu palvelunantajille kohtuuttoman korkeiksi. Investointeja voitaisiin rahoittaa hankintavaiheessa valtion talousarviosta hankintavaiheessa ja poistomenettelyn kautta laskuttaa takautuvasti palvelunantajilta ja apteekeilta, mikä mahdollistaisi kustannusten jakautumisen useammalle vuodelle. Käyttömaksuista annettava asetus olisi mahdollista antaa useammaksi vuodeksi kerrallaan, mikä toisi palvelunantajille ja apteekeille ennakoitavuutta maksujen määrää.  

Pykälän 3 momentissa esitetään, että tietojärjestelmän tuottaja vastaisi vaatimustenmukaisuuden osoittamisen aiheuttamista kustannuksista. Kansaneläkelaitoksen 86 §:ssä tarkoitettuun yhteentoimivuuden testaukseen ilmoittautuminen olisi tietojärjestelmäpalvelun tuottajille maksullinen. Sosiaali- ja terveysalan lupa- ja valvontavirastolle tämän lain 80 §:n mukaan tehtävän ilmoituksen rekisteröinti ja merkintä julkiseen rekisteriin on maksullinen. Maksusta säädetään sosiaali- ja terveysministeriön asetuksella ottaen huomioon, mitä valtion maksuperustelaissa ja sen nojalla maksuista säädetään. Tietoturvallisuuden arviointilaitoksen hyväksymisestä perittävistä maksuista säädetään tietoturvallisuuden arviointilaitoksista annetun lain 11 §:ssä. Kansaneläkelaitoksella on ollut jo aiemmin mahdollisuus periä maksu yhteentoimivuuden testauksesta omakustannusarvion mukaisesti. Koska yhteentoimivuuden testaukseen tarvittava työmäärä ja kustannukset vaihtelevat, esimerkiksi ensimmäisenä uutta toiminnallisuutta testaavan tietojärjestelmän työmäärä on suurempi kuin myöhemmin testaavilla, on tarkoituksenmukaista määrittää testaukseen ilmoittautuville yhdenmukainen, kohtuullinen maksu. Lisäksi testauksesta perittävä maksu kasvattaisi viime kädessä palvelunantajien kustannuksia, jos testaamisen kustannukset kokonaisuudessaan perittäisiin tietojärjestelmäpalveluiden tuottajilta. Ilmoittautumisen yhteydessä perittävä maksu voi kannustaa tietojärjestelmäpalvelun tuottajia ilmoittautumaan testaukseen vasta sitten, kun tietojärjestelmän valmiudet ovat riittävät hyvät ja todennäköisyys testauksen onnistumiseen on hyvä. 

100 §. Rangaistussäännökset. Pykälässä säädettäisiin ehdotetun lain eräiden säännösten mukaisten velvoitteiden rikkomisesta sakkorangaistus, jollei teosta muualla laissa säädetä ankarampaa rangaistusta.  

Pykälän 1 momentissa esitetään säädettäväksi eräitä lain aineellisten säännösten rikkomistapoja rangaistavaksi rikosnimikkeellä sosiaali- ja terveydenhuollon asiakastietojen käsittelyrikkomus. 

Rangaistussäännös koskisi lain 2, 8 ja 9 lukujen säännöksiä. Mainitut luvut koskevat asiakastiedon käsittelyä, asiakastietojen luovuttamista sekä valtakunnallisia tietojärjestelmäpalveluja  

Esitettävän pykälän 1 momentin rangaistussäännös on niin kutsuttu blankotyyppinen rangaistussäännös, jossa rikostunnusmerkistö muodostuu siitä aineellisesta säännöksestä, jonka rikkomisesta olisi kysymys ja itse rangaistussäännöksen tunnusmerkistöstä. Rikosoikeudellinen laillisuusperiaate asettaa blankotyyppisille rangaistussäännöksille seuraavat edellytykset: 1) säännösten välillä on asianmukaiset viittaus- ja valtuutusketjut, 2) se aineellinen käyttäytymisnormi, jonka rikkomisesta rangaistavuudessa on kysymys, on kirjoitettu tarkkarajaisesti, 3) itse rangaistussäännöksessä on jonkinlainen luonnehdinta rangaistavasta teosta ja 4) että käyttäytymisnormistoon sisältyy viittaus teon rangaistavuuteen. 

Ensimmäisenä tekotapana olisi esitettävän pykälän 1 momentin 1 kohdan mukaan esityksen 8 §:n 1 momentissa säädetyn tunnistamisvelvollisuuden rikkominen.  

Toisena tekotapana olisi pykälän 1 momentin 2 kohdan mukaan asiakastietojen luovuttaminen esityksen 8 luvun sääntelyn vastaisesti ilman asiakkaan antamaa lupaa, suostumusta tai laissa säädettyä oikeutta.  

Kolmantena tekotapana olisi pykälän 1 momentin 3 kohdan mukaan esityksen 68 §:n 1 momentissa säädetyn informointivelvollisuuden rikkominen.  

Kunkin tekotavan edellytysten ohella rangaistavuus edellyttäisi lisäksi sitä, että menettely vaarantaa asiakkaan yksityisyyden suojaa tai muutoin hänen oikeuksiaan. Kysymyksessä on niin kutsuttu konkreettista vaaraa edellyttävä tunnusmerkistö, jollainen on lähtökohtaisesti perusteltu tapa rajata rangaistavuutta.  

Tekojen tai laiminlyöntien rangaistavuus edellyttäisi tahallisuutta tai törkeää huolimattomuutta. Rangaistussäännöksellä korostettaisiin sitä, että henkilöt, joilla on pääsy asiakastietoihin, voisivat käsitellä tietoja ainoastaan silloin, kun heillä on siihen asiakkaan suostumus tai muutoin lakiin perustuva nimenomainen oikeus. Rangaistus tietomurrosta säädetään rikoslain 38 luvun 8 §:ssä ja rangaistus tietosuojarikoksesta mainitun luvun 9 §:ssä. Salassapitovelvollisuuden rikkomisesta säädetään mainitun luvun 1 ja 2 §:ssä sekä mainitun lain 40 luvun 5 §:ssä. 

15 luku Voimaantulo ja siirtymäsäännökset

101 §. Voimaantulo. Laki on tarkoitettu tulemaan voimaan mahdollisimman pian hyväksymisen jälkeen. Lailla kumottaisiin asiakastietolaki sekä sosiaalihuollon asiakasasiakirjalaki.  

Liitteessä tarkoitettuja säilytysaikoja sovellettaisiin myös ennen lain voimaantuloa laadittuihin asiakirjoihin, huomioiden kuitenkin mitä valtionarkisto, arkistolaitos ja Kansallisarkisto ovat erikseen määränneet asiakirjojen arkistoinnista. Potilasasiakirjojen säilytysajat ovat pääsääntöisesti samat kuin nykyisin voimassa olevassa säädöksessä. Siltä osin kuin säilytysaikaa on lyhennetty, lyhentäminen perustuu asiakirjan arvioituun, käyttötarkoitukseen perustuvaan säilyttämisen tarpeeseen, joten on perusteltua soveltaa säilytysaikoja kaikkiin potilasasiakirjoihin. Vastaava koskee myös sosiaalihuollon asiakasasiakirjoja. 

102 §. Siirtymäsäännökset. Siirtymäsäännösten avulla turvattaisiin riittävä toimeenpanoaika laista johtuvien uusien vaatimusten toteuttamiseksi. Siirtymäaikaa edellyttävät vaatimukset liittyvät valtakunnallisiin tietojärjestelmäpalveluihin sisältäen asiakas- ja potilastietojen tallentamisen määräajat. Siirtymäsäännöksissä säilytetään asiakastietolakiin sisältyvät siirtymäsäännökset siltä osin kuin niiden määräaika on 1.1.2024 jälkeen. Siirtymäajoilla asetetaan määräaika, mihin mennessä kaikkien palvelunantajien on toteutettava muutokset tietojärjestelmiinsä ja toimintaansa, tai mihin mennessä muutokset on toteutettava valtakunnallisiin tietojärjestelmäpalveluihin. 

Pykälän 1 momentin mukaan 53 §:n mukainen tiedonsaantioikeus sosiaali- ja terveydenhuollon välillä tulisi toteuttaa valtakunnallisiin tietojärjestelmäpalveluihin viimeistään 1 päivänä tammikuuta 2026. Siirtymäaikaa tarvitaan, jotta valtakunnallisiin tietojärjestelmäpalveluihin saadaan toteutettua kyseinen tietojen luovuttaminen sekä suostumuksen että 53 §:n mukaisen tiedonsaantioikeuden perusteella silloin, kun tiedot on oikeus saada ilman asiakkaan suostumusta. Siirtymäaika koskisi vain valtakunnallisia tietojärjestelmäpalveluita. Palvelunantajat voivat toteuttaa tiedonsaantioikeuden omassa toiminnassaan hyödyntäen omia tietojärjestelmiään tai muulla tavoin, joten siirtymäaika ei ole tarpeen. Tieto asiakkaan antamasta suostumuksesta voidaan tallentaa palvelunantajan omaan tietojärjestelmään, joten suostumukseen perustuvan tiedonsaantioikeuden toteuttaminen on mahdollista jo ennen kuin valtakunnallisen tietojärjestelmäpalvelujen toteutus on valmis. 

Pykälän 2 momentin mukaan lain 59 §:n 2 momentin mukainen kaikkiin potilastietoihin ja työterveyshuoltoon kohdistuvaa kielto on otettava käyttöön viimeistään 1 päivänä tammikuuta 2024.  

Pykälän 3 momentissa olisi siirtymäaika sosiaalihuollon palveluiden yhteydessä annettavan terveyspalvelun potilastietojen tallentamisesta potilasrekisteriin. Siirtymäaikaa olisi 1 päivään lokakuuta 2026 saakka, ja siirtymäaika olisi sama kuin velvoitteella aloittaa kyseisten potilastietojen tallentaminen valtakunnalliseen asiakastietovarantoon. Siirtymäaika on tarpeen mahdollisten tietojärjestelmämuutosten toteuttamiseksi niin, että kyseisissä palveluissa käytettävä tietojärjestelmä täyttää käyttötarkoituksensa mukaiset vaatimukset. 

Pykälän 4 momentissa olisi siirtymäsäännös 60 §:n mukaiselle potilastietojen luovuttamiselle ulkomaisille palvelunantajille valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Siirtymäaikaa olisi 1.1.2025 asti. 

Pykälän 5 momentissa olisi siirtymäsäännökset sosiaalihuollon palvelunantajien liittymisvelvoitteelle valtakunnallisiin tietojärjestelmäpalveluihin. Julkisen ja julkisen palvelunantajan lukuun toimivan palvelunantajan olisi liityttävä 1.9.2024 mennessä. Yksityisen palvelunantajan, joka tuottaa palvelua pelkästään asiakkaiden kanssa tekemiensä sopimusten perusteella, määräaika olisi 1.1.2026. Säännös kuitenkin mahdollistaisi myöhemmän liittymisen ajankohdan siinä tilanteessa, että palvelunantajien tuottamien asiakirjojen tallentamisen 7 momentin mukainen määräaika olisi näitä liittymisvelvoitteen ajankohtia myöhemmin. Jos palveluntuottaja toteuttaa esimerkiksi ainoastaan lastensuojelun tai päihdehuollon palveluita, sen ei tarvitsisi liittyä ennen tallennusvelvoitteen alkamista. 

Pykälän 6 momentti sisältäisi määräajat, mihin mennessä on alettava tallentaa valtakunnallisiin tietojärjestelmäpalveluihin niitä potilastietoja, joita ei vielä terveydenhuollon palvelunantajien liittymisvaiheessa tai aiemmin säädettyjen määräaikojen puitteissa ole tarvinnut vielä tallentaa.  

Momentin 1 kohdan mukaan koulupsykologien laatimien asiakirjojen tallennus tulee aloittaa 1.3.2025 mennessä. Siirtymäaika on tarpeen, koska kunnallisten oppilaitosten koulupsykologit siirtyvät hyvinvointialueen järjestämisvastuulle 1.1.2023, ja kirjaamiskäytäntöjen ja tietojärjestelmien kehittämiseen tarvitaan riittävä toimeenpanoaika. 

Momentin 2 kohdassa olisi voimassa olevan asiakastietolain mukainen siirtymäaika niille asiakirjoille, joiden määräaika on 1.10.2026. Kyse olisi sosiaalipalveluiden yhteydessä annettaviin terveyspalveluihin liittyvien potilasasiakirjojen, ajanvarausasiakirjan, seulontatutkimusten perusteella laadittavien laboratoriotulosten asiakirjoista sekä muita viranomaisia varten laadittavista todistuksista: ajoterveyteen liittyvät todistukset ja lomakkeet, tapaturmiin ja ammattitauti-ilmoituksiin liittyvät todistukset ja lomakkeet, lääkärinlausunto terveydentilasta (T-todistus), lääkärintodistus (TOD), lääkärintodistus C sekä kuolintodistus.  

Momentin 3 kohdassa olisi voimassa olevan asiakastietolain mukainen siirtymäaika niille asiakirjoille, joiden tallentamisen määräaika on 1.10.2029. Kyse olisi hoitotyön päivittäismerkinnöistä sekä erilaisista kuva-aineistoista ja kuvantamistutkimuksiin liittyvistä tiedoista: seulontatutkimuksista syntyvät kuvantamisen asiakirjat, lääkinnällisillä laitteilla tuotettujen tutkimusten säteilyaltistustiedot, video- ja äänitallenteet sekä näkyvän valon kuvat, suun terveydenhuollon yksiköiden tallentamat kuvat sekä muut kuvat.  

Näkyvän valon kuvia ovat esimerkiksi valokuvat, silmänpohjakuvat ja näkökenttäkuvat. Videotallenteisiin kuuluvat muut kuin radiologiset tallenteet, esimerkiksi ns. ultraäänikuvien ns. multi frame –kuvasarjat ja patologian näytelaseista otettavat kuvat. Seulontaan liittyvät kuvantamisen tallenteiden määräaika siirrettäisiin tähän kokonaisuuteen, koska valtakunnallisissa tietojärjestelmäpalveluissa on arvioitu olevan valmius kyseisten kuvien vastaanottamiseen vasta vuonna 2025, ja palvelunantajien toimeenpanolle on varattava riittävästi aikaa. Lakisääteisiä seulontana tehtäviä kuvantamistutkimuksia ovat mammografiatutkimukset. Muita kuvia voisivat olla terveydenhuollon ammattihenkilöiden laatimat esimerkiksi havainnekuvat, silloin kun ne on hoidon kannalta tarpeen tallentaa. 

Pykälän 7 momentti sisältäisi määräajat sosiaalihuollon asiakastietojen tallennusvelvoitteen alkamiselle. Peruspalvelujen eli lapsiperheiden, työikäisten ja iäkkäiden palvelutehtävissä laadittavat asiakirjat olisi alettava tallentaa liittymisvaiheesta alkaen. Liittymisen määräajan jälkeen siirtymäaikoja olisi palvelutehtävittäin puolen vuoden välein siten, että 1.3.2025 mennessä olisi alettava tallentaa lastensuojelun palvelutehtävässä ja koulukuraattorin palveluissa syntyvät asiakirjat, 1.9.2025 mennessä vammaispalvelujen palvelutehtävässä syntyvät asiakirjat, 1.3.2026 mennessä päihdehuollon palvelutehtävässä syntyvät asiakirjat ja 1.9.2026 mennessä perheoikeudellisten palvelujen palvelutehtävässä syntyvät asiakirjat. 

Koska yksityisillä, asiakkaan kanssa tehtyyn sopimukseen perustuvissa sosiaalipalveluissa palvelunantajan liittymisvelvoite on 1.1.2026, tulisi palvelunantajan aloittaa liittymisvaiheessa muiden paitsi päihdehuollon palvelutehtävissä syntyvien asiakirjojen tallentaminen. Perheoikeudellisten palvelutehtävien siirtymäaika ei koske yksityisiä palvelunantajia, koska kyseisiä palvelujen järjestämisestä vastaa julkinen palvelunantaja. 

Pykälän 8 momentissa olisi määräaika, johon mennessä omatietovarantoon tallennettuja hyvinvointitietoja olisi voitava luovuttaa palvelunantajille. Määräaikaa olisi 1.1.2026 saakka. Määräaikaa pidennettäisiin voimassa olevan asiakastietolain mukaisesta, jotta Kansaneläkelaitos voisi toteuttaa omatietovarantoon tarvittavat muutokset samassa aikataulussa palvelunantajien kanssa. 

Pykälän 9 momentissa säädettäisiin, milloin viimeistään valtakunnallisiin tietojärjestelmäpalveluihin tallennettuja potilastietoja olisi alettava luovuttaa hyvinvointisovellusten avulla hyvinvointisovelluksia käyttävällä henkilölle. Potilastietojen siirtymäaikaa olisi 1.12.2024 saakka, ja määräaikaa esitetään pidennettäväksi vuodella voimassa olevaan asiakastietolakiin nähden. Reseptikeskukseen tallennettavien lääkemääräysten osalta siirtymäaikaa olisi kuitenkin 1.10.2027 asti. Siirtymäaika olisi siten sama kuin lääkemääräyslain mukaisella valtakunnallisen lääkityslistan käyttöönotolla. Tietojen luovutusten aloittaminen hyvinvointisovelluksille vasta lääkityslistan käyttöönoton jälkeen, kun reseptikeskuksen lääkemääräystiedot on saatu päivitettyä ajantasaiseksi, on tärkeää potilas- ja lääkitysturvallisuuden takia. Sosiaalihuollon asiakastietojen luovuttamiselle ei esitetä määräaikaa lainkaan, vaan Kansaneläkelaitos voisi toteuttaa toiminnallisuuden siinä aikataulussa, kun hyvinvointisovelluksilla olisi tarvetta saada kyseisiä tietoja. 

7.2  Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista annetun lain muuttamisesta

Laista kumottaisiin sosiaalihuollon asiakastietojen käsittelyä, asiakasasiakirjoja, asiakastietojen luovuttamista sekä sosiaaliviranomaisen tiedonsaantioikeutta koskevat säännökset, jotka sisältyisivät sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaan lakiin. Lakiin lisättäisi viittaus esitettävään lakiin. 

13 §. Asiakastietojen käsittelyä koskeva sääntely. Pykälän nykyinen otsikko ja sisältö kumottaisiin ja pykälässä olisi esityksen mukaan viittaus esitettävään asiakastietolakiin. Pykälän otsikko muutettaisiin sisältöä vastaavaksi. Koska asiakaslaista kumotaan kaikki asiakastietojen salassapitoa ja käsittelyä sekä asiakasasiakirjojen laatimista ja säilyttämistä koskeva sääntely, on siinä soveltamisen helpottamiseksi tarpeen olla kuitenkin viittaus lakiin, joista kyseisistä seikoista jatkossa säädettäisiin.  

27 §. Tietosuojaa ja virka-apua koskevien säännösten soveltamisala. Pykälän 1 momenttia muutettaisiin siten, että niissä viittaisiin sosiaalihuollon asiakastietojen salassapitoa, tiedonsaantioikeuksia sekä tietojen luovuttamista koskevan sääntelyn osalta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettuun lakiin. Pykälän 2 ja 3 momentti kumottaisiin. 

29 §. Rangaistusvastuu. Momentista poistettaisiin viittaus kumottavaksi esitettävään 20 §:ään. Rangaistusvastuu jäisi edelleen koskemaan 22 §:n 2 momentin mukaista virka-aputehtävään liittyvää tiedonantovelvoitetta. 

7.3  Laki potilaan asemasta ja oikeuksista annetun lain muuttamisesta

Laista kumottaisiin potilastietojen käsittelyä, potilasasiakirjoja ja potilastietojen luovuttamista koskevat säännökset, jotka sisältyisivät sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaan lakiin. Lakiin lisättäisi viittaus esitettävään lakiin. 

13 b §. Viittaus muuhun lainsäädäntöön. Pykälään lisättäisi uusi 2 momentti, jossa olisi potilastietojen salassapidon, potilastietojen käsittelyn sekä potilasasiakirjojen laatimisen ja säilyttämisen osalta viittaus esitettävään asiakastietolakiin. Koska potilaslaista kumotaan kaikki asiakastietojen salassapitoa ja käsittelyä sekä potilasasiakirjojen laatimista ja säilyttämistä koskeva sääntely, on siinä soveltamisen helpottamiseksi tarpeen olla kuitenkin viittaus lakiin, joista kyseisistä seikoista jatkossa säädettäisiin.  

7.4  Laki sähköisestä lääkemääräyksestä annetun lain muuttamisesta

1 §. Lain tarkoitus. Pykälää ehdotetaan muutettavaksi siten, että lain tarkoituksena olisi lääkitysturvallisuuden parantaminen lääketurvallisuuden sijasta. Lain tarkoituksena on parantaa lääkkeiden käytön turvallisuutta potilaalla. Lailla sähköisestä lääkemääräyksestä ei siten edistetä lääketurvallisuutta, vaan lääketurvallisuutta edistetään muilla keinoilla, esimerkiksi lääkkeiden myyntilupamenettelyllä, lääkevarmennusjärjestelmällä ja lääkkeiden asianmukaisella jakelulla.  

Pykälään ehdotetaan lisättäväksi myös, että lääkemääräysten lisäksi niihin liittyvät merkinnät voidaan tallettaa reseptikeskukseen. Lääkemääräykseen liittyvillä merkinnöillä tarkoitetaan esimerkiksi lääkemääräyksen toimittamis- ja lopettamismerkintöjä. 

2 §. Lain soveltamisala. Pykälään ehdotetaan lisättäväksi, että laissa säädettäisiin lääkemääräyksen lisäksi lääkemääräykseen liittyvistä merkinnöistä ja valtakunnallisesta lääkityslistasta. Merkinnöillä tarkoitetaan esimerkiksi lääkemääräyksen lopettamismerkintää ja apteekin lääkemääräykseen tekemiä toimitusmerkintöjä.Pykälään lisättäisiin viittaus sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettuun lakiin (asiakastietolaki). Lääkemääräykset olisivat potilasasiakirjoja, joiden käsittelyssä sovellettaisiin asiakastietolakia, ellei laissa sähköisestä lääkemääräyksestä säädettäisi niiden käsittelystä. 

3 §. Määritelmät. Kohdan 4 määritelmää reseptikeskuksesta ehdotetaan muutettavan siten, että reseptikeskus olisi jatkossa tietokannan sijaan tietovaranto, jotta käsitteistö on yhdenmukaista asiakastietolain kanssa. Reseptikeskuksen tietosisältöihin lisättäisiin myös lääkehoidon toteuttamista koskevat tiedot. Kohta 7) sähköinen allekirjoitus ehdotetaan poistettavaksi. Sähköisestä allekirjoituksesta säädettäisiin asiakastietolain 22 §:ssä. Kohta 8) pkv-lääkkeen määritelmää ehdotetaan muutettavan siten, että b) ja c) –kohtien sana ja muutettaisiin sanaksi tai. Pkv-lääkkeellä tarkoitettaisiin siten lääkevalmistetta, joka täyttäisi joko a, b tai c kohdan. 

Kohtaan 5, joka on aiemmin kumottu, ehdotetaan lisättäväksi valtakunnallisen lääkityslistan määritelmä. Valtakunnallinen lääkityslista tarkoittaisi potilaskohtaista yhteenvetoa, joka koostettaisiin reseptikeskukseen tallennetuista lääkemääräyksistä ja niihin liittyvistä merkinnöistä. Valtakunnallinen lääkityslista tulisi hakea potilastietojärjestelmiin reseptikeskuksesta, jotta sen avulla voidaan selvittää ajantasainen tieto potilaalle määrätyistä lääkkeistä.  

Pykälään ehdotetaan lisättäväksi uusi kohta 5 a, jossa määriteltäisiin käytössä oleva lääke. Sillä tarkoitettaisiin potilaalle lääkemääräyksellä määrättyä lääkettä, jonka käyttöä ei ole lopetettu lopettamismerkinnällä. Valtakunnallinen lääkityslista potilaan käytössä olevista lääkkeistä koostetaan niistä reseptikeskukseen tallennetuista lääkemääräyksistä, jotka potilaalle on määrätty ja joita ei ole merkitty lopetetuiksi. 

4 §. Potilaan informoiminen. Pykälässä säädettäisiin, että potilaalle on annettava tiedot sähköisestä lääkemääräyksestä ja siihen liittyvistä potilaan oikeuksista ennen lääkemääräyksen laatimista. Pykälään lisättäisiin viittaus asiakastietolain 68 §:ään, jossa säädettäisiin, miten tiedot sähköisestä lääkemääräyksestä ja siihen liittyvistä potilaan oikeuksista olisi annettava potilaalle. Pykälän 2 ja 3 momentti ehdotetaan kumottavaksi asiakastietolain kanssa päällekkäisinä. 

5 §. Lääkemääräyksen laatiminen. Pykälään ehdotetaan lisättäväksi selvyyden ja voimaan tulon porrastamisen vuoksi uusi ensimmäinen momentti. Samalla muutettaisiin koko pykälää uuden momenttijärjestyksen takia. Uuden momenttijärjestyksen vuoksi voimassa olevan pykälän 1 momentti ehdotetaan siirrettävän 2 momentiksi, 2 momentti 3 momentiksi ja 3 momentti 4 momentiksi.  

Pykälän uudeksi ensimmäiseksi momentiksi ehdotetaan, että lääkkeen määrääjälle säädetään velvoite, jonka mukaan määrättäessä potilaalle lääkettä lääkkeen määrääjän olisi haettava tiedot potilaan käytössä olevasta ajantasaisesta lääkityksestä reseptikeskuksesta. Tarkistamisvelvollisuus on voimassa olevassa laissa sähköisestä lääkemääräyksestä vapaaehtoinen. Tällä pyrittäisiin siihen, että lääkkeen määrääminen perustuisi ajantasaisiin tietoihin potilaan lääkityksestä. Potilaan käytössä oleva lääkitys olisi tarkistettava valtakunnalliselta lääkityslistalta, jollei tarkistaminen olisi tilapäisen teknisen häiriön vuoksi mahdotonta. Valtakunnallinen lääkityslista sisältäisi ajantasaiset tiedot potilaalle määrätyistä lääkkeistä, niiden annostuksesta ja käyttötarkoituksesta sekä apteekkien tekemistä lääketoimituksista.  

Lääkkeen määrääjän tulisi huomioida käytössä oleva lääkitys paitsi lääkemääräystä laatiessaan, myös uudistaessaan potilaalle aiemmin laaditun lääkemääräyksen. Tällä tavoin potilaan lääkehoidon kokonaisuus tulisi huomioiduksi jokaisella lääkkeen määräämiskerralla ja lääkkeen määrääjä voisi varmistua nykyistä paremmin, ettei määrättävällä lääkkeellä ole yhteisvaikutuksia potilaalle määrättyjen muiden lääkkeiden kanssa. Lääkityksen kokonaisuuden huomiointi pienentäisi myös riskiä määrätä tahattomasti tarpeettomia tai rinnakkaisia lääkemääräyksiä. Näin pyrittäisiin estämään esimerkiksi lääkkeiden väärinkäyttöä erityisesti pkv- ja huumausainelääkkeiden osalta. Lääkkeen määrääjän olisi myös helpompi huomioida, jos jokin toinen lääkityslistalla oleva lääkemääräys olisi toimitettu kokonaan tai lääkemääräys olisi vanhentunut.  

Edellyttämällä potilaalle aiemmin määrättyjen lääkkeiden tarkistamista varmistettaisiin esimerkiksi, että lääkkeen määrääjä huomioi lääkkeen valinta- ja aloitusvaiheessa mahdolliset haitalliset yhteisvaikutukset aiemmin määrättyjen lääkkeiden kanssa eikä erehdyksessä määräisi päällekkäisiä lääkkeitä. Tarkistamisesta ei kuitenkaan tarvitsisi tehdä erillistä merkintää, eikä tarkistaminen tarkoittaisi vastuunottoa potilaalle aiemmin määrätyistä lääkkeistä. 

Voimaantulosäännöksen yhteydessä esitetään siirtymäaikaa velvoitteelle tarkistaa potilaalle aiemmin määrätyt lääkkeet lääkemääräystä laadittaessa. Siirtymäaika on tarpeen tietojärjestelmätoteutusten ja uusien tietojärjestelmäversioiden käyttöönottojen riittävän toimeenpanoajan varmistamiseksi. Muutokset on toteuttava sekä reseptikeskukseen että lääkkeen määrääjien käyttämiin tietojärjestelmiin.  

Pykälän 2 ja 3 momenttiin ei ehdoteta sisällöllisiä muutoksia. 

Pykälän 4 momenttiin ehdotetaan lisättäväksi, että puhelinmääräystä ei saisi uudistaa ja että se olisi voimassa enintään kolme kuukautta, koska puhelinmääräyksellä määrättyä lääkettä ei voida teknisesti liittää potilaalle aiemmin määrättyyn lääkkeeseen (lääkejatkumo). Tämän vuoksi puhelinmääräyksellä jo aiemmin käyttöön määrätty lääke näkyisi kahteen kertaan esimerkiksi listalla potilaan käytössä olevista lääkkeistä. 

5 a §. Sairaanhoitajan,farmaseutin ja proviisorin oikeus kirjata annostusmuutoksia. Lakiin ehdotetaan lisättäväksi uusi pykälä, jossa säädettäisiin sairaanhoitajan, farmaseutin ja proviisorin oikeudesta kirjata muutoksia lääkemääräyksen annostusohjeeseen. Lääkkeen määrääjän vastuu lääkkeen määräämisestä ja annostuksesta säilyisi entisellään. Tieto lääkkeenmäärääjästä ja annostusohjeen muutoksesta määränneestä tulee aina näkyä lääkemääräyksellä. Sairaanhoitajalla, farmaseutilla ja proviisorilla olisi oikeus muuttaa vain lääkemääräyksen annostusohjetta, ei esimerkiksi lääkettä tai lääkkeen vahvuutta. Lääkkeen annostusohjeen muuttaminen olisi sallittua lääkkeen määrääjän potilaalle ennalta laatiman lääkehoitosuunnitelman puitteissa ja rajattaisiin tilanteisiin, joissa lääkkeen määrääjä olisi sallinut sairaanhoitajan, farmaseutin ja proviisorin annostusmuutokset potilaan lääkemääräyksen tehtävällä merkinnällä. Koska tavoitteena on mahdollistaa ajantasainen valtakunnallinen lääkityslista, on esityksessä tarpeen mahdollistaa myös lääkkeiden annostelun ajantasaisuutta ylläpitävät ja varmistavat toimenpiteet. 

Lääkehoitosuunnitelmassa lääkkeen määrääjän tulisi määrittää ennalta rajat, minkä mukaan sairaanhoitaja voisi muuttaa lääkkeen annostusta. Siten sairaanhoitaja, farmaseutti tai proviisori voisi tosiasiallisesti muuttaa annosta turvallisella ja asianmukaisella tavalla.  

Oikeus tehdä annostusmuutoksia olisi ainoastaan palvelunantajien nimeämillä sairaanhoitajilla, farmaseuteilla ja proviisoreilla. Siten säännös mahdollistaisi moniammatillisen yhteistyöhön perustuvia toimintamalleja, joissa voidaan hyödyntää eri ammattiryhmien osaamista ja resursseja parhaimmaksi katsottavilla tavoilla. Sairaanhoitajalla tarkoitetaan tässä yhteydessä laillistettua sairaanhoitajaa, joten säännös koskee myös niitä terveydenhoitajia ja kätilöitä, jotka on laillistettu myös sairaanhoitajaksi. Ennen vuotta 2002 laillistukset myönnetty erikseen, joten kaikilla terveydenhoitajilla ja kätilöillä ei automaattisesti ole kyseistä laillistusta. Nykyisin terveydenhoitajat ja kätilöt laillistetaan suoraan myös sairaanhoitajaksi.  

Muutosoikeuden taustalla on nykykäytäntö, jossa potilasta hoidetaan moniammatillisissa ryhmissä. Käytäntö on vakiintunut etenkin hoidettaessa syöpätauteja. Lain muutoksella haluttaisiin vahvistaa laissa määritellyin edellytyksin edellä mainittujen tilanteiden vakiintunut käytäntö siten että ajantasainen tieto lääkkeen annostuksesta olisi saatavilla lääkityslistan kautta. Nykytilanteessa hoitaja kirjaa potilaan annostuksen potilasasiakirjoihin, joista se ei välity lääkemääräyksiin eikä esimerkiksi apteekin tietoon. Esityksessä ehdotetaan, että sairaanhoitaja, farmaseutti tai proviisori kirjaisi annostusmuutoksen reseptikeskukseen tallennettavalla lääkemääräyksellä. Oikeus edesauttaisi ajantasaisen ja oikean annoksen näkymistä reseptikeskuksessa ja sitä kautta myös apteekissa. Tämä edistäisi tarkoituksenmukaista lääkehoitoa, kun todellinen annos näkyisi lääkkeen käyttäjälle toimitettavassa lääkepakkauksessa. Ehdotettu muutos tukisi myös sitä, että apteekissa olisi lääkettä toimitettaessa tieto potilaan käytössä olevasta annostuksesta.  

Ehdotuksella ei estettäisi mahdollisuutta jatkossakin määrätä lääkkeitä, joissa annostus määräytyy erillisen annostusohjeen mukaan. Siten ehdotus ei muuta esimerkiksi varfariiniannostuksen säätämistä INR-arvon mukaisesti. 

Sosiaali- ja terveysministeriölle säädettäisiin asetuksenantovaltuutus, jonka mukaan asetuksella annettaisiin tarkemmat säännökset siitä, millä edellytyksillä ja millaisiin tilanteisiin sairaanhoitajille, farmaseutille ja proviisorille voitaisiin antaa annostusmuutoksia koskeva kirjaamisoikeus. Asetuksella voitaisiin esimerkiksi säätää, mitä lääkkeitä ja mitä potilasryhmiä kirjaamisoikeus koskisi, minkälaisia perehdytys-, osaamis- ja koulutusvaatimuksia kirjaamisoikeus edellyttäisi ja edellyttääkö kirjaamisoikeus kirjallista lääkelupaa. 

6 §. Lääkemääräyksen tietosisältö. Pykälän 1 momentin 6 kohtaan ehdotetaan lääkemääräyksen tunnisteen oheen lisättäväksi käytössä olevan lääkkeen tunniste. Käytössä olevan lääkkeen tunnisteella liitettäisiin hoidollisesti vastaavien lääkkeiden lääkemääräykset toimitusmerkintöineen reseptikeskuksessa yhteen (lääkejatkumoiksi). Hoidollisesti vastaavien lääkkeiden lääkemääräysten liittäminen yhteen selkeyttäisi potilaan lääkityksen tarkastelua sekä mahdollistaisi potilaan lääkityshistorian sekä lääkkeenkäytön paremman seurannan. 

Pykälän 3 momenttia ehdotetaan muutettavaksi siten, että säätää-verbin sijasta käytettäisiin ilmausta antaa tarkempia säännöksiä. Lisäksi momenttiin lisättäisiin viittaus asiakastietolain 20 §:ään, jossa säädettäisiin terveyden ja hyvinvoinnin laitoksen valtuudesta antaa määräyksiä valtakunnallisiin tietojärjestelmäpalveluihin tallennettavien tietojen tietosisällöistä ja tietorakenteista. 

7 §. Lääkemääräyksen allekirjoittaminen ja järjestelmävarmenteet. Pykälää ehdotetaan muutettavan kokonaisuudessaan. Pykälän 1 momenttiin ehdotetaan lisättäväksi viittaus asiakastietolain 22 §:ään, jossa säädettäisiin asiakirjojen eheyden, muuttumattomuuden ja kiistämättömyyden varmistamisesta ja valtakunnallisiin tietojärjestelmäpalveluihin tallennettavien asiakirjojen allekirjoituksesta. Momentissa säädettäisiin edelleen siitä, että sähköisessä lääkemääräyksessä tulisi olla sen laatijan todentava kehittynyt sähköinen allekirjoitus. Tämän lisäksi momenttiin siirrettäisiin voimassa olevan lain 10 §:ssä oleva säännös siitä, että lääkemääräyksen korjaaminen, mitätöiminen ja lopettaminen olisi allekirjoitettava sähköisesti. Ammattihenkilöiden luotettava tunnistamisessa ja sähköisessä allekirjoittamissa käytettävästä Digi- ja väestötietoviraston ylläpitämästä varmennepalvelusta säädettäisiin jatkossa asiakastietolain 65 § 3 momentissa.  

Pykälän 2 momenttiin ehdotetaan lisättävän säännös, jonka mukaisesti Sosiaali- ja terveysalan lupa- ja valvontaviraston ylläpitämästä rooli- ja attribuuttipalvelusta tulisi tarkastaa tieto lääkkeen määrääjän ammattioikeuden voimassaolosta ja siitä, onko lääkkeen määrääjän lääkkeenmääräämisoikeutta rajoitettu Sosiaali- ja terveysalan lupa- ja valvontaviraston päätöksellä. Digi- ja väestötietoviraston ammattihenkilöille myöntämät varmenteet perustuvat ammattioikeuksiin, ja ammattioikeuden menettämisen seurauksena varmenne laitetaan niin sanotulle sulkulistalle eikä sitä enää voi käyttää ammattioikeuden todentamiseen. Lisäksi tietojärjestelmä tulisi toteuttaa siten, että sen olisi tarkistettava rooli- ja attribuuttipalvelusta ammattioikeuden voimassaolo ja ammattioikeuden rajoitukset. Rajoitus voi liittyä esimerkiksi tietyn lääkevalmisteen määräämiseen tai siihen, että lääkäri saa määrätä lääkkeitä vain julkisessa terveydenhuollossa. Ammattioikeuden ja rajoitusten tarkistamisen vaatimus vastaa nykyistä toimintamallia, josta on säädetty asetuksessa sähköisestä lääkemääräyksestä (458/2008).  

Voimassa olevan lain 7 § 2 momentissa on asetuksenanto-oikeus lääkkeen määrääjän lääkkeenmääräämisoikeuden varmentamisesta ja sen toteuttamisesta. Ammattioikeuden ja rajoitusten tarkistamisesta säädetään asetuksessa sähköisestä lääkemääräyksestä. Nämä säännökset esitettäisiin nyt siirrettäväksi 7 § 2 momenttiin, johon ehdotetaan lisättävän, että lääkkeen määräämiseen käytettävä tietojärjestelmä tulee toteuttaa siten, että sen olisi tarkistettava ennen lääkemääräyksen allekirjoittamista lääkkeenmäärääjän ammattioikeuden voimassaolo ja ammattioikeuden rajoitukset Sosiaali- ja terveysalan lupa- ja valvontaviraston ylläpitämästä rooli- ja attribuuttipalvelusta. Ehdotus vastaisi tältä osin nykyistä käytäntöä. Ammattioikeuden rajoitus voi liittyä esimerkiksi tietyn lääkevalmisteen määräämiseen tai siihen, että lääkäri saa määrätä lääkkeitä vain julkisessa terveydenhuollossa.    

9 §. Potilasohje. Pykälää ehdotetaan muutettavaksi siten, että potilasohjeessa tulisi olla potilaalle määrätyn lääkkeen tunniste lääkemääräyksen tunnisteen lisäksi. Mikäli lääkkeen ostaja pyytää apteekissa lääkettä toimitettavaksi potilasohjetta käyttäen apteekki voisi hakea voimassa olevan lääkemääräyksen käyttämällä potilasohjeessa olevaa lääkkeen tunnistetta. Potilasohjeen määrää ehdotetaan täsmennettäväksi siten, että kyse on lääkemääräyksellä toimitettavasta lääkkeen määrästä. Potilasohjeessa ei tulisi olla tietoa 13 §:n mukaisesta kiellosta.  

Pykälän 1 momenttiin ehdotetaan muutettavaksi, että potilaalle voitaisiin antaa kooste valtakunnallisesta lääkityslistasta tai vastaavat tiedot lääkemääräyksistä lääkemääräysten sijaan. Vastaavat tiedot lääkemääräyksistä on annettava siirtymäaikana ennen kuin valtakunnallinen lääkityslista olisi käytössä. Koosteella voisi olla tieto potilaan käytössä olevista lääkkeistä sekä pyynnöstä myös lopetetuista lääkkeistä. Kooste voidaan antaa paperisena tulosteena tai muulla vastaavalla saavutettavalla tavalla. 

Pykälän 2 momentissa on säädetty sosiaali- ja terveysministeriön mahdollisuudesta antaa tarkempia säännöksiä potilasohjeen ja yhteenvedon sisällöstä sekä syistä, joiden perusteella potilasohjetta ei tarvitse antaa potilaalle. Sosiaali- ja terveysministeriö ei ole antanut pykälän 2 momentin nojalla asetusta, joten 2 momenttia ehdotetaan kumottavaksi. 

10 §. Lääkemääräyksen korjaaminen, lopettaminen, mitätöiminen ja uudistaminen. Otsikkoa ehdotetaan korjattavaksi siten, että lääkemääräyksen yhteydestä poistettaisiin sana lopettaminen ja täsmennettäisiin, että kyse on lääkkeen käytön lopettamista koskevasta lääkkeen määrääjän tekemästä merkinnästä. Lopettamismerkintä tehtäisiin lääkkeeseen, ei lääkemääräykseen. Tällainen merkintä lopettamisesta pitäisi tehdä esimerkiksi silloin kun tarve lääkkeen käyttöön olisi päättynyt tai kun kysymyksessä olisivat lääkkeen käytöstä aiheutuneet haittavaikutukset. Ehdotettu otsikko olisi muutetussa muodossaan Lääkemääräyksen korjaaminen, mitätöiminen ja uudistaminen sekä lääkkeen käytön lopettamista koskeva merkintä.  

Esityksessä ehdotetaan, että lääkkeen määrääjän ja lääkkeen toimittajan yhteisymmärryksessä tapahtuva lääkemääräyksen mitätöinti kumotaan pykälän 2 momentista. Yhteisymmärryksessä tehtävää mitätöintiä on käytetty tilanteissa, joissa potilaalle määrätyn lääkkeen käyttö on päätetty lopettaa tai tilanteissa, joissa potilaalla on ollut useampi lääkemääräys samasta lääkkeestä. Esityksen mukaan mitätöinnin sijasta käytettäisiin lopettamismerkintää. Lopettamismerkintä päättäisi lääkemääräyksen voimassaolon ja poistaisi lääkkeen käytössä olevien lääkkeiden listalta.  

Mitätöinti olisi edelleen mahdollista, jos lääkemääräys olisi laadittu potilaan tarkoituksellisesti antamien virheellisten tietojen perusteella tai pakottamalla. Momenttia täsmennettäisiin siten, että ainoastaan toimittamaton tai osittain toimitettu lääkemääräys voitaisiin mitätöidä ja mitätöinnin jälkeen lääkkeen aiempi lääkemääräys tulisi voimaan sellaisena kuin se on ollut mitätöintihetkellä. Siten, jos lääkemääräyksellä olisi toimitettavaa lääkettä ja lääkemääräys olisi voimassa, sillä voisi toimittaa apteekista lääkemääräyksen mukaan lääkettä.  

Pykälän 3 momentissa lääkemääräyksen uudistamista ehdotetaan muutettavaksi siten, että uusi lääkemääräys päättäisi aiemman lääkemääräyksen voimassaolon. Tämä mahdollistaisi sen, että kustakin potilaalle määrätystä lääkkeestä olisi voimassa vain yksi lääkemääräys. Momentissa ehdotetaan myös, että terveydenhuollon toimintayksikkö muutettaisiin terveydenhuollon palvelunantajaksi. Momenttiin on täsmennetty, että lääkkeenmäärääjä voi estää lääkemääräyksen uudistamispyynnön tekemisen uudistamisen sijaan.  

Pykälän 4 momentissa esitetään, että lääkkeen määrääjän tulisi tallentaa merkintä lääkkeen lopettamisesta reseptikeskukseen. Lopettamismerkinnän avulla voidaan erottaa potilaan käytössä olevat lääkkeet ja potilaan käytössä aikaisemmin olleet lääkkeet (lopetetut lääkkeet). Lopettamismerkinnän voisi tehdä siirtymäaikana myös palvelunantajan nimeämä sairaanhoitaja, farmaseutti tai proviisori tai apteekissa lääkkeen toimittamiseen oikeutettu. Oikeus olisi ainoastaan, jos lääkemääräys olisi ilmeisen tarpeeton eikä sillä olisi käytössä olevan lääkkeen tunnistetta (lääkemääräys on tallennettu ”vanhalla rakenteella” ennen valtakunnallisen lääkityslistan käyttöönottoa ja se ei liittyisi käytössä olevaan lääkkeeseen). 

Lääkkeen lopettamisen kirjaaminen on edellytys ajantasaisen lääkityslistan ylläpidolle. Lääkkeen käytön lopettamismerkintä vähentäisi epäselviä tilanteita esimerkiksi lääkkeen toimittamisen yhteydessä. Lisäksi menettelytapa parantaisi lääkitysturvallisuutta ja selkeyttäisi kokonaislääkityksen hallintaa. Nykyisin tieto lääkkeen lopettamisesta tallennetaan ainoastaan potilaskertomukseen, koska reseptikeskukseen tieto voidaan tallentaa ainoastaan mitätöimällä lääkemääräys tai asettamalla uudistamiskielto. Nämä eivät varsinaisesti ole tarkoitettu lääkkeen lopettamisen kirjaamiseen. Erillinen lopettamismerkintä, joka päättää samalla lääkemääräyksen voimassaolon, on selkeästi ymmärrettävä ja helppo tapa ylläpitää tiedot ajantasaisina valtakunnallisella lääkityslistalla.   

Lopettamismerkintää ei kuitenkaan käytettäisi tilanteissa, joissa lääke tilapäisesti halutaan tauottaa tai keskeyttää. Näissä tilanteissa tieto tauotuksesta tallennetaan reseptikeskukseen Terveyden ja hyvinvoinnin laitoksen määrittelyjen mukaisesti annostustietojen avulla.11 §. Apteekin tiedonsaantioikeus. Esityksessä ehdotetaan, apteekilla olisi oikeus saada reseptikeskuksesta tiedot valtakunnallisesta lääkityslistasta tai potilaan käyttöön määrätyistä lääkkeistä ja niihin liittyvistä merkinnöistä. Koska valtakunnallinen lääkityslista otetaan käyttöön vasta siirtymäajan jälkeen, tulee apteekin saada siirtymäaikana tiedot lääkemääräyksistä ja niihin liittyvistä merkinnöistä, joihin lääkityslista tulisi perustumaan. Tiedonsaantioikeus edellyttäisi potilaan tai hänen puolestaan toimivan pyyntöä. Pykälästä poistettaisiin vaatimus, että pyyntö pitäisi esittää suullisesti. Potilas tai hänen puolestaan toimiva henkilö voisivat esittää pyynnön myös muulla tavoin. Oleellista olisi, että tietojen käsittely perustuisi asiakkaan pyyntöön.  

Apteekin tiedonsaantioikeutta ehdotetaan muutettavaksi siten, että apteekilla olisi oikeus saada tiedot valtakunnallisesta lääkityslistasta tai vastaavat tiedot potilaan käyttöön määrätyistä lääkkeistä jokaisen lääkkeen toimituksen yhteydessä. Pykälän ensimmäisestä momentista kumottaisiin kohdat 1-3. Apteekilla on myös velvollisuus osaltaan huolehtia lääkehoidon turvallisuudesta, eikä tämä ole mahdollista ilman, että apteekki saa tarvittavat tiedot. Se, että apteekilla on näkyvyys lääkettä toimittaessaan myös muihin asiakkaan käytössä oleviin, antaa apteekin farmaseuttiselle henkilöstölle mahdollisuuden yksilöllisempään lääkeneuvontaan ja edistää näin rationaalisen lääkehoidon toteuttamista.  

Samoin väärinkäytettävien lääkkeiden osalta laajempi tiedonsaantioikeus helpottaisi lääkkeiden käytön kontrollointia ei-korvattavien pkv-lääkkeiden sekä pkv- ja huumausainelääkkeisiin kuulumattomien valmisteiden kohdalla. Lisäksi asiakas pyytää usein tietyn vaivan lääkkeitä ja näiden lääkkeiden lääkemääräykset saattavat olla vanhentuneita. Tällöin lääkityslistan mukainen käyttöön määrättyjen lääkkeiden näkeminen helpottaa tilanteen selvittämistä.  

Pykälän 3 momentissa apteekin tiedonsaantioikeuden kohde muutettaisiin tallennetuista lääkemääräyksistä valtakunnalliseen lääkityslistaan tai reseptikeskukseen tallennetuista potilaan käyttöön määrätyiksi lääkkeiksi. Apteekkien tiedonsaantioikeutta lääkitystä koskevan tiedon osalta yhdenmukaistettaisiin terveydenhuollon palvelunantajien kanssa. Muutoksella varmistettaisiin apteekille tarpeellinen tiedonsaanti potilaalla käytössä olevista lääkkeistä ja niihin liittyvistä lääkemääräyksistä.  

12 §. Lääkemääräyksen toimittaminen. Esityksessä täsmennetään, että lääkkeen ostajalle saataisiin antaa kooste, jossa saa potilaan suostumuksella olla tiedot potilaan valtakunnallisesta lääkityslistasta tai vastaavat tiedot lääkemääräyksistä. Selvityksestä potilas pystyisi näkemään käytössään olevan ajantasaisen lääkityksen sekä lääkkeistä laaditut lääkemääräykset. Selvityksessä voisi pyynnöstä olla tiedot myös lopetetuista lääkkeistä. Selvityksen antaminen edellyttäisi edelleen potilaan suostumusta. 

Pykälän 3 momenttiin lisättäisiin viittaus lain 7 §:n 2 momenttiin, jossa säädetään ammattioikeuden ja sen mahdollisten rajoitusten tarkistamisesta. 

13 §. Potilaan oikeus määrätä tietojen luovuttamisesta. Pykälän 1 momenttia muutettaisiin niin, että siinä käytettäisiin valtakunnallisen lääkityslistan käsitettä lääkemääräysten ja niihin liittyvien merkintöjen sijasta. Lisäksi 1 momentin kielto-oikeutta ehdotetaan muutettavaksi siten, että potilas saisi kieltää hänelle määrättyyn lääkkeeseen liittyvien tietojen luovuttamisen terveydenhuollon ja sosiaalihuollon palvelunantajille ja lääkkeen määrääjälle potilaan terveyden- ja sairaanhoidon järjestämiseksi ja toteuttamiseksi. Kiellon olisi kohdistuttava lääkkeeseen liittyviin tietoihin lääkemääräyksen sijasta, koska lääkemääräykset järjestäytyisivät reseptikeskuksessa peräkkäin jatkumoon. Kielto olisi voitava kohdistaa myös aikaisemmin määrättyyn lääkemääräykseen, jossa ei ole käytössä olevan lääkkeen tunnistetta ja joka ei kuulu jatkumoon. Lääkemääräykseen kohdistuva kielto ei olisi riittävä, koska potilaan aikaisemmat lääkemääräykset jäisivät näkyviin reseptikeskukseen. Vastaava muutos lääkemääräyksestä potilaalle määrättyyn lääkkeeseen liittyviin tietoihin tehtäisiin pykälän 3 momenttiin. Pykälän 1 momenttiin ehdotetaan lisättäväksi viittaus asiakastietolain 58 §:ään, joissa säädettäisiin kiellon antamisesta ja peruuttamisesta. 

Koska 13 §:n 4 momenttia ehdotetaan muutettavaksi kokonaisuudessaan, samassa yhteydessä esitetään momentin kohtien numeroinnin muuttamista. Palvelunantajan tiedonsaantioikeudesta potilaan kiellosta huolimatta säädetään voimassa olevan momentin 4 a kohdassa, jota ehdotetaan siirrettäväksi uudeksi 5 kohdaksi. Tästä muutoksesta johtuen momentin jäljempänä olevien kohtien numerointi muuttuu myös kohtien 6 ja 7 osalta. Niitä ehdotetaan uusiksi 7 ja 8 kohdiksi.  

Pykälän 3 viittaus potilaslain 9 §:n 2 momentista muutettaisiin asiakastietolain 51 §:ään, jossa säädettäisiin tilanteista, joissa alaikäisellä on oikeus käyttää kielto-oikeutta. 

Pykälän 4 momentin 2 kohdassa säädettäisiin pkv- ja huumausainelääkkeisiin liittyvistä merkinnöistä toimitustietojen sijasta. Pykälän 3 kohdassa toimintayksikkö muutettaisiin palvelunantajaksi.  

Pykälän 4 momentin 4 kohtaan lisättäisiin ”sekä 5 a §:n perusteella sairaanhoitajan, farmaseutin tai proviisorin reseptikeskukseen tallentamista”, jotta lääkkeen määrääjä saisi tiedon hoitosuhteesta riippumatta niistä lääkemääräyksistään, joihin sairaanhoitaja, farmaseutti tai proviisori olisi kirjannut annostusohjeen muutoksia. 

Pykälän 4 momentin ehdotettuun kohtaan 6 on lisäksi tehty kielellinen täsmennys.  

Pykälän 5 ja 6 momentti ehdotetaan kumottavaksi. Käyttöoikeudesta asiakastietoon sekä potilastietojen saamisesta hyvinvointisovelluksen kautta säädetään esitettävässä asiakastietolaissa. 

14 §. Kieltoasiakirja. Pykälään 1 momenttiin ehdotetaan viittausta asiakastietolain 58 §:n 3 momenttiin, jossa säädettäisiin kieltoasiakirjasta. Pykälän 1 momenttia ehdotetaan muutettavaksi siten, että kiellon kohteena olisi lääkemääräyksen lisäksi potilaalle määrätty lääke. Pykälässä säädettäisiin lisäksi siitä, että tulosteessa olisi luetteloitava lääkemääräykset ja lääkkeet, joista ei saa luovuttaa tietoja sekä tieto tehdyn kiellon merkityksestä. Muilta osin pykälä ehdotetaan kumottavaksi. 

16 §. Potilaan tiedonsaantioikeus ja reseptikeskuksessa olevien virheellisten tietojen oikaiseminen. Pykälä ehdotetaan kumottavaksi. Potilaan oikeudesta tutustua itseään koskeviin tietoihin ja tietojen oikaisusta säädetään tietosuoja-asetuksessa. Potilaan oikeudesta saada lokitietojen perusteella tiedot hänen tietojensa käsittelystä säädetään esitettävässä asiakastietolaissa. 

16 a §. Tahdonilmaisupalvelu. Pykälä ehdotetaan kumottavaksi asiakastietolain kanssa päällekkäisenä.  

17 §. Kansalaisen käyttöliittymä. Pykälä ehdotetaan kumottavaksi asiakastietolain kanssa päällekkäisenä. 

19 §. Tietojen säilyttäminen. Pykälä ehdotetaan kumottavaksi. 

20 §. Sähköisen lääkemääräyksen tietotekninen toteutus. Pykälä ehdotetaan kumottavaksi asiakastietolain kanssa päällekkäisenä. 

22 a §. Tietojärjestelmien ja ohjelmistojen hyväksyntä ja käyttöönotto. Pykälä ehdotetaan kumottavaksi asiakastietolain kanssa päällekkäisenä. 

22 b §. Tietoturvasuunnitelma. Pykälä ehdotetaan kumottavaksi asiakastietolain kanssa päällekkäisenä. 

23 §. Sosiaali- ja terveydenhuollossa luovutettavat lääkkeet. Pykälän 2 momentti ehdotetaan kumottavaksi. 

24 §. Ohjaus, seuranta ja valvonta. Pykälän 1 momentista poistettaisiin maininta Digi- ja väestötietoviraston hoitaman varmennepalvelun ohjauksen kuulumisesta sosiaali- ja terveysministeriön ja valtiovarainministeriön vastuulle yhteisesti. Muutos vastaa asiakastietolakiin ehdotettua muutosta. Pykälän 5 momentti ehdotetaan kumottavaksi. 

25 §. Maksut. Pykälä ehdotetaan kumottavaksi asiakastietolain kanssa päällekkäisenä. 

26 §. Rangaistus- ja viittaussäännökset. Pykälän otsikointia ehdotetaan muutettavan siten, että se olisi jatkossa Rangaistussäännökset. 

7.5  Laki sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain 11 ja 55 §:n muuttamisesta

11 §. Organisaatioiden vastuut palveluista. Pykälän 1 momentin 2 kohtaan tehtäisiin lakitekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

55§. Merkittäviin kliinisiin löydöksiin perustuvat oikeudet, velvoitteet ja toimenpiteet. Pykälän 5 momentti päivitettäisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.6  Laki kliinisestä lääketutkimuksesta annetun lain 2 ja 34 §:n muuttamisesta

2 §. Pykälän 2 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia, jäljempänä asiakastietolaki. 

34 §. Potilasta koskevien tietojen käyttö tutkimuksessa. Pykälän 1 momentissa olisi viittaus asiakastietolakiin, jonka 61 §:ssä säädetään tiedonsaantioikeudesta terveydenhuollon palvelunantajanpotilastietoihin kliinisen lääketutkimuksen toteuttamista varten. Palvelunantajalla tarkoitetaan julkista ja yksityistä organisaatiota, joka järjestää ja toteuttaa terveyspalveluja, esimerkiksi hyvinvointialuetta.  

Pykälän 2 momentin mukaan kliinisen lääketutkimuksen toimeksiantajalla, hänen edustajallaan, tutkijalla ja tutkimusryhmän sekä tutkimusta valvovan viranomaisen tai tutkimuksen perusteella myyntilupaa myöntävän viranomaisen jäsenellä olisi salassapitosäännösten estämättä ja sen estämättä, mitä sosiaali- ja terveystietojen toissijaisesta käytöstä annetussa laissa (552/2019 säädetään, oikeus saada Terveyden ja hyvinvoinnin laitokselta potilasta koskevat tiedot, jos tiedot ovat välttämättömiä tutkimukseen liittyvän tehtävän tai velvoitteen hoitamiseksi. Potilasta koskevat tiedot olisivat Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 5 §:n 1 momentin 1 kohdassa tarkoitettuja tietoja. 

Pykälän 3 momentin mukaan 1 ja 2 momentissa tarkoitettujen potilasta koskevien tietojen käsittelyssä käytettävien tietojärjestelmien tulisi täyttää tietoturvavaatimukset, joista säädetään lääketutkimusasetuksessa ja sekä tietosuoja-asetuksessa. Lääkealan turvallisuus- ja kehittämiskeskus antaisi tarkempia määräyksiä tietoturvavaatimuksista. Kliinisestä lääketutkimuksesta annetun lain 26 §:n mukaisesti Lääkealan turvallisuus- ja kehittämiskeskus vastaa kliinisten lääketutkimuksen ohjauksesta ja valvonnasta, joten määräyksen antaminen tietojärjestelmien tietoturvallisuutta koskevista vaatimuksista olisi yksi keino sen valvontaan liittyvien tehtävien toteuttamiseksi.  

7.7  Laki lääketieteellisestä tutkimuksesta annetun lain 21 c §:n muuttamisesta

21 c §. Potilasasiakirjoihin sisältyvien tietojen käyttö tutkimuksessa. Lain 21 c §:n otsikko muutettaisiin kuvaamaan sitä, että pykälässä säännellään potilasta koskevien tietojen käyttöä tutkimuksessa, ei vain potilasasiakirjoihin sisältyvien tietojen käyttöä. Uusi otsikko olisi potilasta koskevien tietojen käyttö tutkimuksessa. 1 momentissa olisi viittaus sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaan lakiin, jonka 61 §:ssä säädetään palvelunantajan oikeudesta luovuttaa potilastietoja lääketieteelliseen tutkimukseen.  

Pykälän 2 momentti olisi informatiivinen, ja sen mukaan palvelunantajalta saatujen potilastietojen käsittelyssä käytettävien tietojärjestelmien tulisi täyttää tietosuoja-asetuksen mukaiset tietoturvavaatimukset.  

Pykälän 3-5 momentti kumottaisiin, koska niiden sisältämä sääntely sisältyisi uuteen sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaan lakiin 

7.8  Laki Terveyden ja hyvinvoinnin laitoksesta annetun lain muuttamisesta

2 §. Tehtävät. Pykälän 1 momentin 4 b kohtaa täydennettäisiin siten, että Terveyden ja hyvinvoinnin laitoksen sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskeviin tehtäviin lisättäisiin maininta tietorakenteiden yhteensovittamisesta. Lisäksi uudeksi asiakastietojen käsittelyyn liittyväksi tehtäväksi esitetään valtakunnallisiin tietojärjestelmäpalveluihin tallennettavien tietojen ja tietorakenteiden oikeellisuuden seurantaa yhteistyössä Kansaneläkelaitoksen kanssa. Siten laitos voisi tehtävässään hyödyntää Kansaneläkelaitoksen toteuttamaa tietojen käsittelyä, mikä mahdollistaisi tiedon laadun ja oikeellisuuden varmistamiseen liittyvien tehtävien tehokkaan toteuttamisen ja päällekkäisten ratkaisujen välttämisen. Uusi tehtävä on tarpeen, jotta valtakunnallisiin tietojärjestelmäpalveluihin tallennettavien tietojen ja tietorakenteiden yhteentoimivuuden varmistamiseen saadaan uusia keinoja, jotta tietoja on mahdollista käsitellä eri käyttötarkoituksissa, joihin niitä lain mukaan saa käyttää. Terveyden ja hyvinvoinnin laitos voisi toteuttaa tehtävää ja kehittää siihen liittyviä menettelyjä resurssiensa puitteissa. Keskeinen käyttötarkoitus on Terveyden ja hyvinvoinnin laitoksen vastuulle kuuluvien tiedonkeruiden toteuttaminen, joissa tavoitteena on hyödyntää valtakunnallisiin tietojärjestelmäpalveluihin tallennettuja tietoja erillisten tiedonkeruiden sijasta. Lisäksi tietojen ja tietorakenteiden oikeellisuus, samoin kuin laatu ja kattavuus, on edellytyksenä tietojen hyödyntämiselle sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain (552/2019), jäljempänä toisiolaki, mukaisissa käyttötarkoituksissa. 

5 §. Oikeus saada ja käsitellä tietoja. Pykälän 1 momenttiin esitetään lisättäväksi 2 §:n 1 momentin 4 b kohta, johon liittyen tehtävien hoitamiseksi Terveyden ja hyvinvoinnin laitoksella olisi oikeus saada maksutta ja salassapitovelvoitteiden sekä muiden tietojen käyttöä koskevien rajoitteiden estämättä väestöä koskevia välttämättömiä tietoja. Siten laitoksella olisi oikeus saada käsitellä välttämättömiä tietoja, jotka liittyvät sille esitettävään tietojen ja tietorakenteiden oikeellisuuden seurantaan.  

Pykälän 1 momenttiin lisättäisiin Terveyden ja hyvinvoinnin laitoksen tiedonsaantioikeuksia niin, että ne mahdollistaisivat hyvinvointialueiden valmiuteen, varautumiseen ja tilannekuvaan liittyvien tietojen keräämisen. Terveyden ja hyvinvoinnin laitos kokoaisi ja välittäisi kyseiset tiedot valtionhallinnon käyttöön. Sosiaali- ja terveydenhuollon valmiudesta, valmiussuunnittelusta ja tilannekuvasta on säädetty sosiaalihuoltolain (136/2021) ja terveydenhuoltolain (135/2021) muutoksilla, joissa sosiaalihuollosta vastaavia viranomaisia ja sairaanhoitopiirejä on velvoitettu kokoamaan ja välittämään valmiutta kuvaavaa tilannekuvaa sosiaali- ja terveydenhuollosta. Lisäksi lain sosiaali- ja terveydenhuollon järjestämisestä (612/2021) 7 luvussa säädetään hyvinvointialueiden ja yhteistyöalueiden valmiuteen, varautumiseen ja tilannekuvaan liittyvistä tehtävistä.  

Sosiaali- ja terveysministeriö ja Terveyden ja hyvinvoinnin laitos ovat teettäneet esiselvityksen sosiaali- ja terveydenhuollon valtakunnallisen tilannekuvan ja valmiussuunnittelun jatkokehittämisestä (https://www.julkari.fi/handle/10024/143217). Sen pohjalta tehtyjen johtopäätösten mukaisesti toteutetaan sosiaali- ja terveydenhuollon palvelujärjestelmän ja THL:n yhteistä kyvykkyyttä tuottaa valtakunnallista tilannekuvaa pysyvärakenteisena ja häiriötilanteiden ennakointiin kykenevänä. Alueellisten tietojen lisäksi THL kokoaisi tiedot myös muilta viranomaisilta. Esityksen mukaisilla lisäyksillä tiedonsaantioikeuksiin varmistettaisiin Terveyden ja hyvinvoinnin laitoksen tiedonsaanti palvelujärjestelmän toiminnan lisäksi myös materiaalisesta valmiudesta ja lääkehuollon tilannekuvasta. Esityksellä tuettaisiin Covid 19-pandemian tilannekuvan kokoamiseksi käynnistettyjen käytäntöjen vakiinnuttamista ja laajentamista koskemaan kaikkia keskeisiä sosiaali- ja terveydenhuoltoa koskevia häiriötilanteita. 

Pykälän 1 momentin 1 kohtaan lisättäisiin uutena tiedonsaantioikeutena tilannekuvaa koskevat tiedot. Pykälän 1 momentin 1 kohdan k alakohtaa muutettaisiin niin, että se mahdollistaisi tietojen keräämisen myös terveydenhuollon laitteista ja tarvikkeista pelkän tuoteturvallisuuden lisäksi. Kohtaan lisättäisiin o alakohta, joka mahdollistaisi tiedonkeruun varautumiseen käytetyistä resursseista. 

Pykälän 1 momentin 2 kohdan alakohtaan b tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

Pykälän 1 momenttiin ehdotetaan lisättäväksi uusi 6 kohta, jonka perusteella Terveyden ja hyvinvoinnin laitoksella olisi oikeus saada hätäkeskustoiminnasta annetun lain (692/2010) 17 §:n mukaisia, Terveyden ja hyvinvoinnin laitoksen lakisääteisten tehtävien kannalta välttämättömät ensihoitoa ja sosiaalipäivystystä koskevat hätäkeskustietojärjestelmään tallennetut hälytys-, resurssi- ja tehtävätiedot. Tiedonsaantioikeus sisältäisi hätäkeskuslain 17 §:n 1 momentin 1 kohdan mukaiset ensihoidon ja sosiaalipäivystyksen tehtäviä suorittaviin yksiköihin liittyvät tiedot, 2 kohdan mukaiset ilmoituksen tekoaikaa ja –tapaa koskevat tiedot, 4 kohdan mukaiset ensihoidon ja sosiaalipäivystyksen tehtävän tai toimenpiteen vastaanottaneen yksikön tiedot aikoineen, 5 kohdan mukaiset ensihoidon ja sosiaalipäivystyksen tehtävään tai toimenpiteeseen liittyvän henkilön tiedot, liityntä asiaan ja kohteen yksilöintitiedot sijainti- tai paikkatietoineen sekä 6 kohdan mukaiset ensihoidon ja sosiaalipäivystyksen tehtävää tai toimenpiteitä koskevat tiedot sekä tehtävän käsittelyyn liittyvät riskinarvion tiedot. 

Voimassa olevan pykälän 1 momentin johdantokappaleen mukaisesti tietojen on oltava välttämättömiä Terveyden ja hyvinvoinnin laitoksen lakisääteisten tehtävien kannalta. Kyseiset lakisääteiset tehtävät liittyvät väestön hyvinvoinnin ja terveyden sekä niihin vaikuttavien tekijöiden ja liittyvien ongelmien tutkimiseen ja seurantaan sekä hyvinvoinnin ja terveyden edistämisen toimenpiteiden kehittämiseen ja edistämiseen, sosiaali- ja terveydenhuollon toiminnan tutkimiseen, seurantaan, arviointiin ja kehittämiseen ja alan tutkimuksen harjoittamiseen, alan tiedostojen ja rekisterien ylläpitämiseen ja tehtäväalueen tietoperustasta huolehtimiseen sekä alan laaturekisterien ylläpitämiseen.  

Lain 5 c §:n mukaan rekisterinpitäjällä, jonka rekisteritietoja Terveyden ja hyvinvoinnin laitoksen tiedonsaantioikeus koskee, on velvollisuus luovuttaa laitokselle 5 §:ssä tarkoitetut tiedot Terveyden ja hyvinvoinnin laitoksen tekemän päätöksen mukaisesti. Päätökseen saa vaatia oikaisua hallintolain (434/2003) mukaisesti, ja oikaisuvaatimukseen annetusta päätöksestä saa valittaa hallinto-oikeuteen. Myös tietosuojavaltuutetulla on oikeus vaatia oikaisua ja hakea muutosta päätökseen. Lain 5 d §:n mukaisesti laitoksella on velvoite neuvotella tiedonantajia edustavia organisaatioiden kanssa ja kuulla tietosuojavaltuutettua ennen tiedonantovelvollisuutta koskevan päätöksen tekemisestä, kun kyse on uudesta tiedonkeruusta tai olemassa olevan tiedonkeruun merkittävästä muutoksesta tai laajentamisesta. Neuvottelussa arvioidaan kerättävien tietojen tarpeellisuutta, tietosisältöjä ja niiden muutoksia sekä tietojen keräämistapaa ja tunnistetietojen tarpeellisuutta. 

Siten Terveyden ja hyvinvoinnin laitoksen olisi neuvoteltava Hätäkeskuslaitoksen kanssa ja kuultava tietosuojavaltuutettua ennen ehdotettavaa tiedonkeruuta koskevan päätöksen tekemistä ja tiedonkeruun aloittamista. Lisäksi Terveyden ja hyvinvoinnin laitoksen olisi tehtävä 5 c §:n mukainen päätös tiedonkeruun aloittamisesta. 

Voimassa oleva laki hätäkeskustoiminnasta (692/2010) mahdollistaa hätäkeskustietojärjestelmässä olevien tietojen luovuttamisen sosiaali- ja terveydenhuollon tietojen toisiokäyttöön vain sosiaali- ja terveysministeriölle toiminnan suunnittelu- ja kehittämistehtäviä sekä valvontatehtäviä varten. Terveyden ja hyvinvoinnin laitoksen lakisääteiset tehtävät edellyttävät kuitenkin kattavaa tietopohjaa myös ensihoidon ja sosiaalipäivystyksen hälytys-, tehtävä- ja resurssitiedoista. Ensihoidon ja sosiaalipäivystyksen organisaatiota ja yksikköjä koskevat tiedot ovat tarpeen esimerkiksi ensihoitokapasiteetin ja saavutettavuuden seurannan osalta. Hätäkeskustietojärjestelmässä oleva tieto sosiaalipäivystyksen ja ensihoitopalvelun resursseista, hälytyksistä ja tehtävistä on keskeistä tietoa sosiaali- ja terveyspalveluiden saatavuudesta ja saavutettavuudesta. Ensihoitopalvelun tieto on välttämätöntä esimerkiksi ensihoidon palvelutasopäätösten analysointiin ja palvelutasomekanismien kehittämiseen sekä sosiaali- ja terveydenhuollon palvelujärjestelmän arviointiin ja sitä koskevan tiedon tuottamiseen. Kun ensihoitoa koskevat resurssi-, tehtävä- ja hälytystiedot saataisiin yhdistettyä potilaiden jatkohoitoa koskeviin tietoihin, on mahdollista tuottaa tehtävätietojen ja tehtävien tavoittamisaikojen lisäksi välttämätöntä tietoa myös palveluketjujen toimivuudesta ja vaikuttavuudesta esimerkiksi potilaiden saaman terveyshyödyn näkökulmasta. Siten yhdistämällä hätäkeskustietojärjestelmään tallennettuja hätäilmoituksia ja ensihoidon yksiköitä koskevia tietoja potilasasiakirjojen potilastietoihin, saadaan tuotettua tietoa terveyspalvelujen vaikuttavuudesta niissä tilanteissa, joissa potilas on ohjautunut ensihoitoon hätäkeskukseen tehdyn ilmoituksen perusteella. Sen sijaan esimerkiksi tietoja hätäilmoituksen tekijästä tai hätäilmoituksen vastaanottaneesta henkilöstä ei voida pitää välttämättöminä Terveyden ja hyvinvoinnin laitoksen lakisääteisten tehtävien kannalta, joten tiedonsaantioikeus ei koske kyseisiä tietoja. Tiedonsaantioikeus koskisi vain ensihoitoon ja sosiaalipäivystykseen liittyviä tietoja, joten moniviranomaistehtävissä esimerkiksi poliisin riskiarviota ei olisi oikeus saada. 

5 a§. Tietojen luovuttaminen. Pykälän 1 momenttiin lisättäisi sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain (552/2019) lyhyeksi muodoksi toisiolaki. 

Pykälän 2 momentissa säädettäisiin, että Terveyden ja hyvinvoinnin laitos voisi toisiolain estämättä luovuttaa 5 §:n 1 momentin nojalla keräämiään hoitoilmoitusrekisteriin ja perusterveydenhuollon avohoidon hoitoilmoitusrekisteriin sisältyviä tietoja kliinisen lääketutkimuksen toteuttamista varten siten kuin kliinisestä lääketutkimuksesta annetun lain (983/2021, lääketutkimuslaki) 34 §:n 2 momentissa säädetään. Lisäksi momentissa säädettäisiin tietojen luovuttamiselle edellytyksistä, joita olisivat lääketutkimuslain 11 §:ssä tarkoitettu kliinistä lääketutkimusta koskeva päätös, ja että tutkittava ja tai hänen laillinen edustajansa on antanut suostumuksensa osallistua tutkimukseen siten kuin lääketutkimuslaissa säädetään. Kuitenkin jos kyse olisi ihmisille tarkoitettujen lääkkeiden kliinisistä lääketutkimuksista ja direktiivin 2001/20/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 536/2014 eli lääketutkimusasetuksen 35 artiklassa tarkoitetusta hätätilanteessa suoritettavasta tutkimuksesta, potilastietoja olisi oikeus saada ja käsitellä, jos 35 artiklassa säädetyt edellytykset tutkimuksen suorittamiselle täyttyvät.  

Muutos olisi tarpeen, jotta Terveyden ja hyvinvoinnin laitoksen sosiaali- ja terveydenhuollon organisaatioilta keräämiä, hoitoilmoitusrekistereihin sisältyviä tietoja voitaisiin luovuttaa käytettäväksi Suomessa tehtävässä merkittävässä lääketutkimuksessa. Tiedot täydentäisivät potilastietoja, joita kliinisen lääketutkimuksen toteuttamiseksi voi saada suoraan terveydenhuollon organisaatioilta. Lääketutkimusasetus edellyttää mahdollisuutta lähettää lääketutkimuksessa käytettävät tiedot tutkimuksen toimeksiantajalle, mitä toisiolaki ja sen vaatimukset tietoturvallisesta käyttöympäristöstä ei mahdollista.  

Pykälän 3 momenttia muutettaisiin niin, että Terveyden ja hyvinvoinnin laitos voisi antaa tiedot takaisin aineiston alkuperäiselle rekisterinpitäjälle tietojen toimittajan lisäksi. 

5 c §. Tiedonantovelvollisuus ja päätös tietojen keräämisestä. Pykälän 1 momenttiin lisättäisiin, että rekisterinpitäjällä ei olisi velvoitetta toimittaa Terveyden ja hyvinvoinnin laitokselle erikseen sellaisia tietoja, jotka Terveyden ja hyvinvoinnin laitos voisi saada valtakunnallisista tietojärjestelmäpalveluista. Muutoksella edistetään valtakunnallisten tietojärjestelmäpalvelujen hyödyntämistä Terveyden ja hyvinvoinnin laitoksen tiedonkeruissa ja vähennetään sosiaali- ja terveydenhuollon julkisten ja yksityisten palvelunjärjestäjien ja palveluntuottajien tietojen toimittamiseen liittyvää taakkaa. Myös sosiaali- ja terveydenhuollon ammattihenkilöiden asiakastietojen kirjaamiseen liittyvää taakkaa voidaan vähentää, kun Terveyden ja hyvinvoinnin laitos hyödyntäisi valtakunnallisia tietojärjestelmäpalveluita mahdollisimman kattavasti. 

5 j §. Tiedonkeruu valtakunnallisten tietojärjestelmäpalvelujen avulla. Lakiin ehdotetaan lisättäväksi uusi pykälä, jonka mukaisesti Terveyden ja hyvinvoinnin laitoksen olisi toteutettava 5 §:n 1 momentin 1 kohdan mukainen tiedonsaantioikeutensa sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavan lain 65 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen avulla, silloin kun kyse on 2 §:n 1-3, 4 ja 4 d kohdissa tarkoitettujen tehtävien hoitamista varten kerättävistä tiedoista. Velvoite koskisi siten tietoja, joiden kerääminen liittyy väestön hyvinvoinnin ja terveyden sekä niihin liittyvien tekijöiden tutkimiseen ja seurantaan (1), sosiaali- ja terveydenhuollon toiminnan tutkimukseen, seurantaan, arvioimiseen ja kehittämiseen (2), alan tutkimuksen harjoittamiseen (3) alan tiedostojen ja rekisterien ylläpitämiseen sekä laitoksen tehtäväalueen tietoperustasta ja sen hyödyntämisestä huolehtimiseen (4) sekä laaturekistereiden ylläpitämiseen (4 d). Tiedonkeruut voisivat siten liittyä sekä säännöllisiin tiedonkeruisiin että yksittäisiin tietotarpeisiin. Ainoastaan silloin, jos tiedot eivät olisi saatavilla valtakunnallisista tietojärjestelmäpalveluista, tiedot voisi kerätä muulla tavoin.  

Pykälän 1 momentissa säädettäisiin Terveyden ja hyvinvoinnin velvoitteesta toteuttaa tiedonkeruunsa valtakunnallisten tietojärjestelmäpalvelujen avulla. 2 momentin mukaan Terveyden ja hyvinvoinnin laitoksen olisi sovitettava yhteen tilasto- ja rekisteritoiminnassa käsittelemiensä tietojen tietorakenteen valtakunnallisiin tietojärjestelmäpalveluissa käytettävien asiakastietoja sisältävien asiakirjojen tietorakenteiden kanssa. Yhdenmukaiset tietorakenteet mahdollistavat tiedonkeruiden toteuttamisen valtakunnallisista tietojärjestelmäpalveluista. 

Pykälän toimeenpanoa varten voimaantulosäännökseen sisältyisi määräaika, jonka mukaisesti Terveyden ja hyvinvoinnin laitoksen tulisi toteuttaa uuden 5 j §:n mukainen valtakunnallisten tietojärjestelmäpalvelujen hyödyntämistä tiedonkeruissaan. 5 j §:n 1 momentin mukainen tiedonkeruiden toteuttaminen valtakunnallisista tietojärjestelmäpalveluista tulisi toteuttaa viimeistään 31.12.2029 mennessä. Nykyisten erillisten tiedonkeruiden toteuttaminen valtakunnallisten tietojärjestelmäpalvelujen avulla edellyttää riittävän pitkää siirtymäaikaa. Siirtymäaika mahdollistaa sekä nykyisissä tiedonkeruissa käytettävien tietorakenteiden määrittelyjen yhteensovittamisen eli harmonisoinnin, joka on Terveyden ja hyvinvoinnin laitoksen vastuulla, että tarvittavien muutosten toteuttamisen sosiaali- ja terveysalan palveluja järjestävien ja tuottavien organisaatioiden käyttämiin tietojärjestelmiin ja uusien tietojärjestelmäversioiden käyttöönotot. Tietorakenteiden harmonisoinnissa on mahdollistettava iteratiivista kehittämistä, eli siirtymäajan tulee mahdollistaa määrittelyjen kokeilu ja edelleen kehittäminen kokemusten perusteella. Toisaalta harmonisoinnissa olisi edettävä ripeästi, jotta esimerkiksi sosiaali- ja terveydenhuollossa käyttöönotettaviin uusiin tietojärjestelmiin ei tarvitsisi toteuttaa siirtymäkaudelle päällekkäisiä tiedonkeruita. Lisäksi siirtymäajan tulee mahdollistaa päällekkäinen tiedonkeruu tarvittavan ajan (arviolta kaksi vuotta), jotta laitos voi validoida valtakunnallisten tietojärjestelmäpalvelujen kautta saatavan tiedon laadun ja siten varmistaa tiedonkeruun jatkuvuuden ja turvallisen siirtymän käyttämään valtakunnallisia tietojärjestelmäpalveluja tiedon lähteen. Mahdolliset uudet tiedonkeruut tulisi lähtökohtaisesti pyrkiä toteuttamaan valtakunnallisten tietojärjestelmäpalvelujen avulla. 

7.9  Laki Kansaneläkelaitoksesta annetun lain 12 e §:n muuttamisesta

12 e§. Palvelurahasto. Pykälän 1 momenttiin lisättäisiin sosiaali- ja terveystietojen toissijaisesta käytöstä annettu laki (552/2019) sekä Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 5 § säädöksinä, joihin perustustuvista valtakunnallisiin tietojärjestelmäpalveluihin liittyvistä velvoitteista aiheutuvia Kansaneläkelaitoksen kustannuksia voitaisiin maksaa palvelurahastosta. Lisäksi palvelurahastosta voitaisiin maksaa myös muiden lakien perusteella aiheutuvien vastaavien velvoitteiden kustannuksia. Lähtökohtana olisi, että muiden lakien aiheuttamiin tehtäviin tulisi varata erillinen rahoitus valtion talousarvioon, ja rahoitus voitaisiin kanavoida valtakunnallisten tietojärjestelmäpalvelujen kehittämiseen palvelurahaston kautta. Rahoitusta voitaisiin kuitenkin kanavoida muullakin tavalla, esimerkiksi Kansaneläkelaitoksen toimintamenoista silloin, jos valtakunnallisiin tietojärjestelmäpalveluihin liittyvät tehtävät kytkeytyvät muihin Kansaneläkelaitoksen tehtäviin. 

2 momenttia täydennettäisiin siten, että palvelurahaston rahoitus perustuisi valtion talousarviorahoituksen ja valtakunnallisten tietojärjestelmäpalvelujen käyttäjiltä perittävien käyttömaksujen lisäksi valtakunnallisten tietojärjestelmäpalvelujen yhteentoimivuuden testaukseen osallistuvilta tietojärjestelmäpalvelujen tuottajilta perittäviin maksuihin.  

Lain voimaantulosäännöksessä todettaisiin, että Kansaneläkelaitoksessa oleva sosiaali- ja terveydenhuollon valtakunnallisiin tietojärjestelmäpalveluihin liittyvä käyttöomaisuus siirtyy osaksi palvelurahastoa esitettävän lain tullessa voimaan.  

7.10  Laki Sosiaali- ja terveysalan lupa- ja valvontavirastosta annetun lain 2 §:n muuttamisesta

2 §. Tehtävät. Pykälän 1 momentin 1 kohtaan tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.11  Laki väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetun lain 69 §:n muuttamisesta

69 §. Digi- ja väestötietoviraston tiedonsaanti- ja tarkastusoikeus. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.12  Laki sosiaali- ja terveydenhuollon järjestämisestä annetun lain 58 §:n kumoamisesta

58 §. Asiakas- ja potilastietojen rekisterinpito. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa potilaslain, asiakaslain, sosiaalihuollon asiakasasiakirjalain ja asiakastietolain sijasta viitattaisiin esitettävään lakiin. Pykälän 2 momentti kumottaisiin, koska vastaava sääntely sisältyisi sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaan lakiin. 

7.13  Laki sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisestä Uudellamaalla annetun lain 25 §:n muuttamisesta.

25 §. Asiakas- ja potilastietojen rekisterinpito.Pykälän3 momenttiin tehtäisiin tekninen muutos, jossa potilaslain, asiakaslain, sosiaalihuollon asiakasasiakirjalain ja asiakastietolain sijasta viitattaisiin esitettävään lakiin. 

7.14  Laki työterveyshuoltolain 18 ja 21 §:n muuttamisesta

18 §. Salassa pidettävien tietojen luovuttaminen. Pykälääntehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

21 §.Työterveyshuollon asiakirjojen laatiminen ja säilyttäminen. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia.Pykälän 2 momentti kumottaisiin. 

7.15  Laki työtapaturma- ja ammattitautilain 41 §:n muuttamisesta

41 §. Julkisen terveydenhuollon toimintayksikön ilmoitusvelvollisuus. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.16  Laki liikennevakuutuslain 56 §:n muuttamisesta

56 §. Julkisen terveydenhuollon toimintayksikön ilmoitusvelvollisuus. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia.  

7.17  Laki sosiaalihuoltolain 40 ja 41 §:n muuttamisesta

40 §. Ilmoitus muulle viranomaiselle asiakkaan tuen tarpeesta. Pykälän 3 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia (asiakastietolaki). 

41 §. Monialainen yhteistyö. Pykälän 3 momenttiin tehtäisiin tekninen muutos, jossa tietojen antamisen ja monialaiseen yhteistyöhön liittyvän kirjaamisen osalta viitattaisiin asiakastietolakiin asiakaslain sijasta.  

7.18  Laki terveydenhuollon ammattihenkilöistä annetun lain 16 §:n muuttamisesta

16 §.Potilasasiakirjojen laatiminen ja säilyttäminen sekä niihin sisältyvien tietojen salassapito. Pykälään tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.19  Laki Vankiterveydenhuollon yksiköstä annetun lain 5 ja 6 §:n muuttamisesta

5 §. Potilasrekisteri. Pykälään tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

6 §. Potilasrekisterissä olevien tietojen luovuttaminen. Pykälään tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.20  Laki hedelmöityshoidoista annetun lain 29 §:n muuttamisesta

29 §. Salassapito. Pykälään tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.21  Laki säteilylain 122 §:n muuttamisesta

122 §. Kuvantaminen lääkinnällisellä laitteella. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.22  Laki laiva-apteekista annetun lain 9 §:n muuttamisesta

9 §. Lääkepäiväkirja. Pykälän 3 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia 

7.23  Laki terveydenhuollon järjestämisestä puolustusvoimissa annetun lain 9 a §:n muuttamisesta

9 a §. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.24  Laki henkilötietojen käsittelystä Puolustusvoimissa annetun lain 35 §:n muuttamisesta

35 §. Oikeus saada terveyttä koskevia tietoja. Pykälän 1 momentin 2 kohtaan tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.25  Laki rajavartiolaitoksen hallinnosta annetun lain 32 §:n muuttamisesta

32 §. Sotilasvirassa palvelevan tai sotilasvirkaan pyrkivän potilasasiakirjoihin sisältyvien terveydellisiä rajoituksia koskevien tietojen ilmoittaminen. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. Rajavartiolaitoksen nimen kieliasu korjattaisiin nykyiseen vakiintuneeseen muotoonsa alkamaan isolla alkukirjaimella. Lisäksi maininta sisäasianministeristä muutetaan muotoon sisäministeri. 

7.26  Laki passilain 11 §:n muuttamisesta

11 §. Passin myöntäminen alaikäiselle. Pykälän 3 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.27  Laki tulotietojärjestelmästä annetun lain 13 §:n muuttamisesta

13 §. Tiedon käyttäjien oikeus saada tietoja tulotietojärjestelmästä. Pykälän 18 ja 19 kohtaan tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.28  Laki henkilötietojen käsittelystä Rikosseuraamuslaitoksessa annetun lain muuttamisesta

9 §. Sosiaalihuollon tietojen käsittely. Pykälän 1 momenttiin ja 2 momentin 1 kohtaan tehtäisiin tekniset muutokset, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia sosiaalihuollon asiakkaan asemasta ja oikeuksista annetun lain, sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain ja sosiaalihuollon asiakasasiakirjoista annetun lain sijasta Pykälän 3 momentissa viitattaisiin sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annetun lain 64 §:n 1 momenttiin sosiaalihuollon asiakkaan asemasta ja oikeuksista annetun lain 20 §:n 1 momentin sijasta. 

14§. Tietojen käsittelyyn oikeutetut. Pykälän 3 momenttiin tehtäisiin tekninen muutos, jossa lain nimi muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia.  

16 §. Oikeus saada tietoja muilta viranomaisilta ja tiedonantovelvollisilta. Pykälän 2 momentin johdantokappale päivitetään vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

31 §. Tietojen tarkistaminen ja poistaminen rekistereistä. Pykälän 5 momenttiin tehtäisiin tekninen muutos, jossa viitattava laki muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia sosiaali- ja terveydenhuollon asiakastietojen säh-köisestä käsittelystä annetun lain ja sosiaalihuollon asiakasasiakirjoista annetun lain sijasta. 

7.29  Laki oikeudenkäymiskaaren 17 luvun 12 §:n muuttamisesta

12 §. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia 

7.30  Laki avioliittolain 23 a §:n muuttamisesta

23 a §. Pykälään tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.31  Laki lapsen huollosta ja tapaamisoikeudesta annetun lain 11 a ja 16 §:n muuttamisesta

11 a §. Lapsen huollosta ja tapaamisoikeudesta päättäminen huostassapidonaikana. Pykälän 3 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

16 §. Selvityksen hankkiminen hyvinvointialueelta. Pykälän 5 momenttiin tehtäisiin tekninen muutos, jossa viittaus sosiaalihuollon asiakkaan asemasta ja oikeuksista annettuun lain 18:n 1 momenttiin ja 19 §:ään korjattaisiin viittaukseksi sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskevan lain 63 §:n 1 momenttiin, jossa säädetään oikeudesta antaa tieto salassa pidettävästä asiakirjasta tuomioistuimelle tai muulle viranomaiselle asiakkaan suostumuksesta riippumatta.  

7.32  Laki lapsen huoltoa ja tapaamisoikeutta koskevan päätöksen täytäntöönpanosta annetun lain 8 §:n muuttamisesta

8 §. Sovittelun aika, sovittelukertomus ja salassapidettävä tieto. Pykälän 4 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.33  Laki toimivallasta, sovellettavasta laista, toimenpiteiden tunnustamisesta ja täytäntöönpanosta sekä yhteistyöstä vanhempainvastuuseen ja lasten suojeluun liittyvissä asioissa tehdyn yleissopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta ja sopimuksen soveltamisesta annetun lain 9 §:n muuttamisesta

9 §. Salassa pidettävän tiedon antaminen. Pykälän 1 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.34  Laki nuoren rikoksesta epäillyn tilanteen selvittämisestä annetun lain 9 §:n muuttamisesta

9 §. Tiedonsaantioikeus. Pykälän 2 momenttiin tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia. 

7.35  Laki vanhemmuuslain 11 §:n muuttamisesta

11 §. Lastenvalvojan oikeus saada tietoja. Pykälään tehtäisiin tekninen muutos, jossa lain nimi ja säädösnumero muutettaisiin vastaamaan uutta sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettavaa lakia ja viranomaisen käsite muutettaisiin palvelunantajan käsitteeksi. 

10.1  Esityksen riippuvuus muista esityksistä

Esitys liittyy toimeentulotuesta annetun lain (1412/1997) ja hätäkeskustoiminnasta annetun lain (692/2010) sekä tulotietojärjestelmästä annetun lain (53/2018) muutoksiin sekä sosiaali- ja terveyspalveluiden valvontaa koskevaan lakiehdotukseen ja lääkehuollon kustannustehokkuuden parantamisen koskevaan lakiehdotukseen. 

Esitys sisältää muutosehdotuksia useisiin lakeihin, joita on hyväksytty muutoksia niin sanotun sote100 -kokonaisuuden yhteydessä (HE 56/2021) ja muutokset tulevat voimaan 1.1.2023. Tällaisia lakeja, joiden kanssa samoja lainkohtia esitetään muutettavaksi tässä yhteydessä ovat asiakaslain 27 §:n 1 momentti), potilaslain 2 §:n 4 kohta, Sosiaali- ja terveysalan lupa- ja valvontavirastosta annetun lain 669/2008 2 §:n 1 momentin 1 kohta, sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisestä Uudellamaalla annetun lain 615/2021 25 §:n 3 momentti sekä toimivallasta, sovellettavasta laista, toimenpiteiden tunnustamisesta ja täytäntöönpanosta sekä yhteistyöstä vanhempainvastuuseen ja lasten suojeluun liittyvissä asioissa tehdyn yleissopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta ja sopimuksen soveltamisesta annetun lain 435/2009 9 §. 

Sisäministeriö on valmistellut hätäkeskustoiminnasta annetun lain (hätäkeskuslaki) muuttamista. Esityksellä muutettaisiin hätäkeskustoiminnasta annetun lain säännökset henkilötietojen käsittelystä vastaamaan EU:n yleistä tietosuoja-asetusta. Esityksessä säädettäisiin henkilötietojen käsittelyn lainmukaisuusvaatimuksesta ja henkilötietojen rekisterinpitäjistä. Henkilötietojen rekisterinpitäjänä poliisin tietojen osalta toimisi Poliisihallitus, sosiaali- ja terveydenhuollon tietojen osalta hyvinvointialue, Helsingin kaupunki ja HUS -yhtymä, pelastustoimen tehtävätietojen osalta hyvinvointialue ja Helsingin kaupunki ja Rajavartiolaitoksen tietojen osalta Rajavartiolaitoksen esikunta. Hätäkeskuslaitos vastaisi rekisterinpitäjyydestä omien valvontatehtävien hoitamiseen sekä Hätäkeskuslaitoksen muiden tehtävien ja muiden viranomaisten avustamiseen liittyvien tietojen osalta. Tämän esityksen 8. lakiehdotuksessa ehdotetaan, että hätäkeskustietojärjestelmän sisältämiä sosiaalipäivystyksen ja ensihoidon hälytys- ja tehtävätietoja saisi luovuttaa Terveyden ja hyvinvoinnin laitokselle. Voimassa olevan hätäkeskuslain mukaan tietojen luovuttajan roolissa olisi Hätäkeskuslaitos, mutta hätäkeskuslain uudistuksen myötä luovutuksesta vastaisivat rekisterinpitäjinä hyvinvointialueet sekä Helsingin kaupunki ja HUS-yhtymä. 

Sosiaali- ja terveyspalveluiden valvontaa koskevassa lakiehdotuksessa säädetään valvontaviranomaisten tiedonsaantioikeudesta, johon liittyvää sääntelyä on myös tämän esityksen 2. lakiehdotuksessa (asiakaslaki). 

Toimeentulotuesta annettua lakia koskevassa muutosehdotuksessa esitetään sääntelyä asiakastietojen käsittelystä Kansaneläkelaitoksen vastuulle kuuluvassa perustoimeentulotuessa. Lakiehdotuksessa on useita viittauksia tämän esityksen mukaiseen lakiin. 

Valtiovarainministeriö on valmistellut muutosehdotukset tulotietojärjestelmästä annettuun lakiin siten, että siinä ehdotetaan muutettavaksi samoja 13 §:n 1 momentin 18 ja 19 kohtia kuin tässä esityksessä. Muutokset tulisi sovittaa yhteen eduskuntakäsittelyssä. 

Lääkehuollon kustannustehokkuuden parantamista koskevassa lakiehdotuksessa esitetään muutettavaksi useita lääkemääräyslain pykäliä. Osa muutoksista kohdistuu samoihin pykäliin kuin tässä lakiehdotuksessa, kuitenkin pykälien eri momentteihin tai kohtiin joten ehdotukset eivät ole keskenään ristiriidassa.  

10.2  Suhde talousarvioesitykseen

Esitys liittyy valtion talousarvioon vuodelle 2023 ja on tarkoitettu käsiteltäväksi sen yhteydessä. Esitys edellyttää rahoitusta valtakunnallisten tietojärjestelmäpalvelujen muutoksia varten momentille 33.01.25 yhteensä 10,58 milj. euroa vuosille 2023-2026. Rahoitustarpeet kuvataan tarkemmin luvussa 4.2.1.