Ajankohtaista sosiaalihuollon asiakastietojen käsittelystä Ylitarkastaja Marita Höök 23.09.2010

1. Ajankohtaista sosiaalihuollon asiakastietojen käsittelystä Ylitarkastaja Marita Höök 23.09.2010

2. ESITYKSEN SISÄLLÖSTÄ • Henkilötietolain (523/1999) keskeisiä periaatteita • Sosiaalihuollon asiakasrekisterit • Asiakkaiden henkilötietojen käsittelyyn liittyvät oikeudet Tietojen tarkastusoikeus Oikeus vaatia tiedon korjaamista Oikeus saada informaatiota henkilötietojen käsittelystä • Tietosuojavaltuutetun sosiaalihuoltoa koskevia kannanottoja Tietosuojavaltuutetun toimisto/Höök

3. Henkilötietolakia sovelle-taan sosiaalihuollossa 2 § • henkilötietojen käsittelyä koskeva yleislaki • toissijainen esim. sosiaalihuollon erityislainsäädäntöön nähden, mm. • Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista, sosiaalihuoltolaki • Lastensuojelulaki, toimeentulolaki ym. etuuslait • Henkilötietolakia sovelletaan kuitenkin täydentävästi sosiaalihuollossa • siinä on sellaisia henkilötietojen käsittelyä koskevia säännöksiä, joita muissa laeissa ei ole Tietosuojavaltuutetun toimisto/Höök

4. Henkilörekisterin käsite (3 §) • samaan henkilörekisteriin kuuluvat samaa käyttötarkoitusta varten kerätyt tiedot • toimeentulotukirekisteriin kuuluvat sekä asiakkaasta tietokoneella että asiakas-kansiossa olevat tiedot, esim. • asiakaskertomus • asiakasta koskevat päätösasiakirjat liitteineen • Asiakkaan tekemät hakemukset liitteineen • Erilaiset selvitykset ja lausunnot Tietosuojavaltuutetun toimisto/Höök

5. Sosiaalihuollon asiakas-rekistereitä ovat esim. • lasten päivähoidon rekisteri • lastensuojelun asiakasrekisteri • lastensuojeluilmoitusrekisteri • kuntaan sijoitettujen lasten rekisteri • toimeentulotuen rekisteri • päihdehuollon rekisteri • kasvatus- ja perheneuvonnan rekisteri • vammaispalvelun rekisteri jne. Tietosuojavaltuutetun toimisto/Höök

6. Lastensuojeluilmoitusten rekisteri (Lsl 25 b, 25 c §) • Lastensuojeluilmoitukset ja niiden aiheuttamat toimenpiteet • Varsinaiset ja ennakolliset lastensuojeluilmoitukset sekä pyynnöt lastensuojelun tarpeen kartoittamiseksi • Jos lastensuojelun asiakkuus ei ala, tiedot säilyvät vain ilmoitusrekisterissä • Jos asiakkuus alkaa, tiedot merkitään myös lastensuojelun asiakasrekisteriin. • Äidin tietoja talletetaan ao. sosiaalihuollon rekisteriin, jos hänelle annetaan palveluja ennakollisen lastensuojeluilmoituksen perusteella. • Kotisivuilla ratkaisut/sosiaalihuolto 2 kannanottoa Tietosuojavaltuutetun toimisto/Höök

7. Rekisterinpitäjä • oikeus määrätä henkilörekisterin käytöstä • tai rekisterinpito laissa säädetty tehtäväksi • jonka käyttöä varten rekisteri perustetaan • esim. • sosiaali- ja terveyslautakunta tai muu sosiaalihuollosta vastaava toimielin • sosiaalihuollon yksityinen palveluntuottaja • Terveyskeskus tai muu terveydenhuollon toimintayksikkö Tietosuojavaltuutetun toimisto/Höök

8. Kunnan yksityiseltä ostamat palvelut • Jos palvelua tuotetaan sosiaalihuollosta vastaavan toimielimen toimeksiannosta tai muutoin sen lukuun, se on rekisterinpitäjä • Tällöin toimielimellä on vastuu mm. tietojen arkistoinnista • Toimielin on rekisterinpitäjä palvelusetelillä hankittujen palvelujen osalta (palvelusetelilaki) • Tsv:n kannanotto kotisivuilla Tietosuojavaltuutetun toimisto/Höök

9. Kuntien yhteinen sosiaalipäivystys • Useat kunnat tuottavat sopimuksen perusteella toisilleen sosiaalipäivystystä toimeksiannosta • Asiakkaan kotikunta on hänen tietojensa rekisterinpitäjä • Sosiaalipäivystystä suorittavat saavat nähdä tietoja ja tehdä niihin merkintöjä kaikkien sopimuksen piirissä olevien kuntien osalta • Ei edellytä asiakkaiden suostumusta, koska toimitaan kuntien lukuun; ei luovutusta • Kannanotto tsv:n kotisivuilla Tietosuojavaltuutetun toimisto/Höök

10. Palvelujen järjestämisvastuun siirtyminen • kun palvelun järjestämisvastuu siirtyy esim. uudelle kunnalle, kuntayhtymälle, isäntäkunnalle • myös aktiiviset asiakastiedot saadaan siirtää • ei tarvita asiakkaan suostumusta, mutta informoitava asiasta • ”passiiviarkisto” arkistoitava arkistolain mukaisesti • Tsv:n kotisivuilla kaksi kannanottoa Tietosuojavaltuutetun toimisto/Höök

11. Potilastietoihin sovelltaan niitä koskevia säännöksiä • terveydenhuollon ammattihenkilön tulee laatia ja säilyttää potilasasiakirjat myös sosiaalihuollon yksikössä potilaan asemaa ja oikeuksia koskevan lain ja STM:n asetuksen (298/2009) mukaisesti • jos hän antaa tutkimusta ja hoitoa • ei koske esim. sosiaalihuoltoon saatuja lääkärintodistusjäljennöksiä Tietosuojavaltuutetun toimisto/Höök

12. Tsv:n kannanotto potilas-tiedoista sosiaalihuollossa • Potilastiedoilla ja sosiaalihuollon asiakastiedoilla on erilaiset tietojen säilyttämistä, salassapitoa ja luovuttamista koskevat säännökset, mm. • Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista • Laki potilaan asemasta ja oikeuksista • Potilastiedot on säilytettävä sosiaalihuollon rekisterissä omana osionaan • Tietosuojavaltuutetun aloite stm:lle 23.10.2009 lainsäädännön selkeyttämiseksi • Kannanotto tsv:n kotisivuilla Tietosuojavaltuutetun toimisto/Höök

13. Yhdistetty kotipalvelu ja kotisairaanhoito • kotipalvelussa syntyy sosiaalihuollon asiakastietoja ja kotisairaanhoidossa potilastietoja • Yhteinen rekisteri mahdollista asiakkaan informoinnin ja asiakkaan suostumuksen pohjalta • Sosiaalihuollon asiakastiedot ja potilastiedot oltava ”korvamerkittyinä” Tietosuojavaltuutetun toimisto/Höök

14. Yhdistetty kotihoito kokeilulain nojalla • Kokeilusta erityissäännökset sosiaali-huoltolaissa ja kansanterveyslaissa,2aluku • Koskee vain STM:n hyväksymiä kuntia • Tietojen luovuttaminen ja käsittely kokeilulain mukaisesti ilman suostumusta • Silti ”korvamerkittävä” sosiaalihuollon asiakastiedot ja potilastiedot Tietosuojavaltuutetun toimisto/Höök

15. Kasvatus- ja perheneuvolan rekisteri • Sisältää sosiaalihuollon asiakastietoja ja omana osionaan potilastietoja • Yhteisenä käyttötarkoituksena kasvatus- ja perheneuvonnan antaminen • Tietoja saa katsoa neuvolan sisällä työtehtävien edellyttämässä laajuudessa Tietosuojavaltuutetun toimisto/Höök

16. Terveyskeskuksen potilasrekisteriin • kuuluvat kaikki potilaan • tutkimus- ja hoitotiedot ja • myös siellä toimivan sosiaalityöntekijän merkinnät Tietosuojavaltuutetun toimisto/Höök

17. Tarpeellisuus- ja virheettö-myysvaatimus (9 §) • vain kyseistä käyttötarkoitusta varten tarpeelliset ja riittävät tiedot • ei kanteluita, tarkastuspyyntöjä ym. hallinnollisia asioita asiakasrekisteriin • Tiedot eivät saa olla virheellisiä, epätäydellisiä tai vanhentuneita kyseessä olevan henkilötie-tojen käsittelyn tarkoituksen kannalta ja ottaen huomioon käsittelyn merkitys rekisteröidyn yksityisyyden suojalle Tietosuojavaltuutetun toimisto/Höök

18. Velvollisuus merkintöjen tekemiseen (AsiakasL28 §) • tehtävä asiakirjaan merkintä, kun tietoja hankitaan ulkopuolisilta tai annetaan ulkopuolisille, esim. • kenelle, milloin ja mitä tietoja on annettu • millä perusteella tiedot on annettu • suostumus tai lainsäännös • kuka tiedot on antanut • vastaavasti potilastietoihin merkintä tietojen luovuttamisesta (stmA 21 §) Tietosuojavaltuutetun toimisto/Höök

19. Suostumuksesta (3,8,12 §) • Vapaaehtoinen, yksilöity, tietoinen tahdonilmaisu • arkaluonteisten tietojen osalta oltava nimenomainen; yleensä kirjallinen • potilaslain 13 §:ssä erityissäännöksiä potilastietojen osalta • Asiakastietoja ei saa lähettää suojaamat-tomassa sähköpostissa asiakkaan suostu-muksellakaan (EOA/TSV; kotisivuilla) Tietosuojavaltuutetun toimisto/Höök

20. Tekninen käyttöyhteys toiselle viranomaiselle • Sivistystoimelle sosiaalitoimen toimeentu-lotukitietoihin päivähoitopäätöstä varten • 2 eri lautakuntaa ja rekisterinpitäjää, luovutus • Asiakasmaksulain nojalla sivistystoimella tiedonsaantioikeus • Asiakkaan ensisijaisesti itse toimitettava tiedot • Tekninen käyttöyhteys (JulkisuusL 29 §) • Oikeuttaa, ei velvoita; harkittava onko perusteltua • Tarvitaan asiakkaan/laillisen edustajan suostumus • Tietoturvallisesti vain tarpeellisiin tietoihin Tietosuojavaltuutetun toimisto/Höök

21. Rekisteriselosteen laatimisvelvollisuus (10§) • laadittava rekisteriseloste jokaisesta henkilörekisteristä ja pidettävä se jokaisen saatavilla, esim. • ilmoitustaululla, asiakaskansiossa, palvelupisteessä • intranetissä, internetissä • rekisteriseloste ja asiakkaan informointi-tiedot voivat olla samassa(tietosuojaseloste) Tietosuojavaltuutetun toimisto/Höök

22. Rekisterinpitäjällä on informointivelvollisuus • Asiakkaalla ja potilaalla on oikeus saada informaatiota henkilötietojen käsittelystä (AsiakasL 13 §, 20-21 §, HetiL 24 §) • ennen kuin asiakas tai hänen edustajansa antaa sosiaalihuollon järjestäjälle ja toteuttajalle tietoja • ei, jos asiakasta on jo aiemmin informoitu • Malli sosiaalihuollon asiakkaiden informoimiseksi tsv:n kotisivuilla kohdassa oppaat Tietosuojavaltuutetun toimisto/Höök

23. Mistä pitää informoida • rekisterinpitäjä ja tarvittaessa myös tämän edustaja • miksi tietoja tarvitaan • mihin tietoja käytetään • mihin tietoja säännönmukaisesti luovutetaan • miten asiakas voi käyttää henkilötietolaissa tarkoitettuja oikeuksiaan Tietosuojavaltuutetun toimisto/Höök

24. Lisää informoitavaa • mistä muualta ja mitä asiakasta koskevia tietoja voidaan suostumuksesta riippumatta hankkia; asiakaslaki 20 § • Jos veroviranomaisilta ja Kelalta saadaan asiakkaasta tietoja teknisen käyttöyhteyden avulla (21 §) • tietojen salassapidettävyys • luovuttaminen suostumuksella tai nimenomaisen lainsäännöksen nojalla Tietosuojavaltuutetun toimisto/Höök

25. Erilaisia informointitapoja, esim. • Rekisteriseloste ja tarvittava lisäinformaatio (tietosuojaseloste) • Etuuden hakulomake • Informaatiota kansiossa tai ilmoitustaululla odotustiloissa • Kerrotaan, missä (lisä)informaatiota on saatavilla tai nähtävänä Tietosuojavaltuutetun toimisto/Höök

26. Jokaisella on tarkastusoikeus 26-28§ • asiakkaalla on oikeus tutustua itseään koskeviin henkilörekisteriin talletettuihin tietoihin ja saada niistä pyynnöstä jäljennökset • lisäksi lapsen huoltajalla on tarkastusoikeus lapsensa tietoihin • pyyntö esitettävä henkilökohtaisesti tai omakätisesti tai vastaavalla tavalla varmennetussa asiakirjassa Tietosuojavaltuutetun toimisto/Höök

27. Tarkastusoikeuden toteuttaminen (28 §) • tiedot on annettava ilman aiheetonta vii-vytystä tai kirjallinen kieltäytymistodistus, josta ilmenee kieltäytymisen syy • 3 kk:n kuluttua katsotaan kieltäytyneen • tiedot annettava ymmärrettävässä muodossa • maksuton kerran vuodessa Tietosuojavaltuutetun toimisto/Höök

28. Tarkastusoikeutta ei ole, jos (27 § 2k) • tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle tai jonkun muun oikeuksille; • esim. KHO 11.9.2003 2110, 3971/1/02: ei jäljennöksiä, koska psykologisen testin testipöytäkirjojen antamisesta jäljennöksinä testattavan käyttöön saattaisi aiheutua vakavaa vaaraa muiden testattavien henkilöiden oikeuksille. Oikeus nähdä ne ja saada lausunnosta jäljennös. Tietosuojavaltuutetun toimisto/Höök

29. Tietosuojavaltuutetun tutkittavaksi (28, 40 §) • Kieltäytymistodistuksen saatuaan tai ellei ole saanut pyytämiään tietoja kolmen kuukauden kuluessa, rekisteröity voi pyytää tietosuojavaltuutettua määräämään tiedot annettaviksi • Tietosuojavaltuutetun päätöksestä saa valittaa hallinto-oikeuteen ja sieltä korkeimpaan hallinto-oikeuteen Tietosuojavaltuutetun toimisto/Höök

30. Rekisterinpitäjällä tietojen korjaamisvelvollisuus 29 § • Oikaistava, poistettava tai täydennettävä rekisterissä oleva, käsittelyn tarkoituksen kannalta virheellinen, tarpeeton, puutteellinen tai vanhentunut henkilötieto • Korjattava oma-aloitteisesti tai rekisteröidyn vaatimuksesta • hetiL:n nojalla ei voida määrätä korjattavaksi viranomaisen päätöksiä ja annettuja lausuntoja Tietosuojavaltuutetun toimisto/Höök

31. Miten tieto korjataan • yliviivataan tai siirretään tausta-aineistoon ja merkitään oikea tieto • korjataan siten, että molemmat merkinnät myöhemmin luettavissa • lisätään rekisteröidyn näkemys asiasta • täysin tarpeettomat poistetaan • merkitään korjauksen tekijän nimi, asema, päiväys ja korjauksen peruste (STM:n asetus 298/2009 20 §) Tietosuojavaltuutetun toimisto/Höök

32. Kieltäytymistodistus (29 §) • Jos rekisterinpitäjä ei hyväksy tiedonkorjaamis-vaatimusta, annettava kirjallinen todistus • todistuksessa oltava myös kieltäytymisen syyt • Rekisteröity voi pyytää tietosuojavaltuutetulta tiedon korjaamista koskevaa määräystä • Tietosuojavaltuutetun päätöksestä saa valittaa hallinto-oikeuteen ja sieltä korkeimpaan hallinto-oikeuteen • Tietosuojavaltuutetun opas tiedon korjaamisesta kotisivuilla Tietosuojavaltuutetun toimisto/Höök

33. Palvelun antajan nimettävä tietosuojavastaava • Jokaisen sosiaali- ja terveydenhuollon palvelujen antajan nimettävä • tietosuojavastaava seuraa ja valvoo tieto-suojan toteutumista sosiaali- tai tervey-denhuollon palvelun antajan toiminnassa (L sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä 20 §) • Vastaavan johtajan annettava kirjalliset ohjeet henkilötietojen käsittelystä • Opas tsv:n kotisivuilla Tietosuojavaltuutetun toimisto/Höök

34. HENKILÖTIETOLAKI Rekisterinpitäjän (3 § 4 k) henkilötietojen käsittelyn kuvaus ja lainmukaisuuden arviointi YLEISLAKI / ERITYISLAKI JulkL JulkA 2 § Soshuoll. asiakasL 28§: merkintäasiakirjoihin esim. toimeentulotuki, päivähoito jne. Mistä henkilötiedot kerätään 8, 9, 12-20 § Arvioi oma toiminta 5-6 § Käsittelyn tarkoitus 3 § 3-k & 6 § Oikeus käsitellä 8, 12, 13, 14-20§ Luovutukset 8, 12-20 § (6§) Ulkomaille siirrot 22-23§ Henkilötiedot 3§ 1 k, 9, 12-20 § Hävitä, arkistoi 12.2 §, 21 §, 19.1 § 1k 34-35 § Kunta: - arkistoL - arkiston- muodostus- suunnitelma Aloitus Suunnittelu huolellisuus 5-6§ Käyttötarkoitus- sidonnaisuus 7§ HENKILÖREKISTERI 3§ 3k Rekisteröidyn oikeudet 24-29§ Informointi- velvollisuus 24§ Soshuoll. asiakasL 11.3§, 12-13§, 20.2§ ja 21.1§ Rekisteriseloste 10§ Tietoturvallisuus 32§ Ulkoistaminen 8.1§ 7-k Nimeä vastuu- henkilö 5§ Käytön hallinnointi 5§ Kouluta, ohjeista 5§ Vaitiolovelvollisuus 33 § TietosuojavastaavaSähk. asiakasL 20§mm. kirjalliset ohjeet Viranomaisilmoitukset 36-37§ Tietosuojavaltuutetun toimisto/Höök Soshuoll. asiakasL 14-15§

35. Tietosuojavaltuutetun ratkaisukäytäntöä ja oppaita • Lisätietoja www.tietosuoja.fi ja toimiston puhelinneuvonnasta • Tsv:n kotisivuilla oppaat kohdassa mm. • Erikseen kunnallista ja yksityistä sosiaalihuoltoa koskevat oppaat • Malli sosiaalihuollon asiakkaiden informoinnista • Sähköpostin käyttö sosiaalihuollossa • Ratkaisut/sosiaalihuolto kohdassa tietosuojavaltuutetun kannanottoja Tietosuojavaltuutetun toimisto/Höök