Arvioinnin lähtökohdat
(1) Hallituksen esityksen keskeisenä tavoitteena (s. 25) on selkiyttää ja yhtenäistää sosiaali- ja terveydenhuollon tiedonhallintaan liittyvää sääntelyä siten, että sääntely on soveltajille selkeää ja ymmärrettävää ja että sääntely on kokonaisuutena tietosuoja-asetuksen mukaista. Sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskeva keskeinen sääntely kootaan yhteen lakiin ja esityksen perustelujen mukaan (s. 26) saatetaan kokonaisuudessaan vastaamaan perustuslain ja tietosuoja-asetuksen vaatimuksia.
(2) Perustuslakivaliokunnalla ei ole huomauttamista sääntelyn tavoitteista. Valiokunta pitää kuitenkin sääntelyn tavoitteisiin nähden valitettavana, että sääntely on edelleen perustuslakivaliokunnan myötävaikutuksella (PeVL 4/2021 vp) säädetyn ja nyt jo kumottavaksi ehdotetun sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain tapaan verraten vaikeaselkoista ja osin jopa vaivalloista. Valiokunta kiinnittää tästä näkökulmasta erityistä huomiota hallituksen esityksen 1. lakiehdotuksen (jäljempänä myös asiakastietolakiehdotus) 2 §:n soveltamisalasäännökseen, jossa määritellään myös soveltamisen kannalta keskeistä suhdetta muuhun lainsäädäntöön.
(3) Perustuslakivaliokunta on varsin usein kiinnittänyt huomiota sääntelyn muodostumiseen sekavaksi ja vaikeasti hahmottuvaksi (ks. esim. PeVL 47/2006 vp, s. 2/I, PeVL 43/2006 vp, s. 2/I, PeVL 41/2006 vp, s. 2/I, PeVL 25/2005 vp, s. 5). Valiokunta on edellyttänyt, että sääntelyn kohderyhmän tulee kyetä ilman vaikeuksia soveltamaan säännöksiä (ks. esim. PeVL 60/2014 vp, s. 3/I). Valiokunta on korostanut myös, että sääntelyn selkeyteen on syytä kiinnittää erityistä huomiota perusoikeuskytkentäisessä sääntelyssä, joka koskee luonnollisia henkilöitä heidän tavanomaiseen elämäänsä kuuluvissa toiminnoissa (ks. esim. PeVL 51/2016 vp, s. 5, PeVL 45/2016 vp, s. 3). Vaikeaselkoisuudella on nyt käsillä olevassa sääntely-yhteydessä myös sosiaali- ja terveydenhuollon ammattihenkilöiden oikeusturvaa heikentävää merkitystä (ks. myös PeVL 4/2021 vp, kappale 13).
(4) Perustuslakivaliokunta on kiinnittänyt erityistä huomiota henkilötietojen käsittelyä koskevan sääntelyn raskauteen ja monimutkaisuuteen (ks. esim. PeVL 31/2017 vp, s. 4 ja PeVL 71/2014 vp, s. 3). Vaikka valiokunnan mielestä on selvää, että varsin merkittävä osa sääntelyn monimutkaisuudesta palautuu sovellettavaan EU:n tietosuojasääntelyyn, on sosiaali- ja terveysvaliokunnan syytä selvittää keinoja selkeyttää sääntelyä.
(5) Hallituksen esityksessä on kyse sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskevasta sääntelystä. Sosiaali- ja terveydenhuollossa käsitellään valtiosääntöisesti arkaluonteisina pidettäviä henkilötietoja, jotka koskevat esimerkiksi henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia ja henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia.
(6) Ehdotus on merkityksellinen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Ehdotettu sääntely on merkityksellistä myös EU:n perusoikeuskirjan kannalta. EU:n perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa jokaisen oikeus henkilötietojensa suojaan. Perustuslakivaliokunta on määritellyt hiljattain sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskevan sääntelyn valtiosääntöisen arvioinnin lähtökohtia arvioidessaan sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä ehdotettua lakia (PeVL 4/2021 vp). Valiokunta uusintaa tuolloin esitetyn arvion lähtökohdat niitä erikseen toistamatta.
(7) Hallituksen esityksen perusteluissa ja säätämisjärjestysperusteluissa lakiehdotuksia on tarkasteltu verraten seikkaperäisesti perusoikeuksien näkökulmasta. Perustuslakivaliokunta voi pääpiirteissään yhtyä esitettyihin johtopäätöksiin. Valiokunta ei ole valtiosääntöisen tehtävänsä puitteissa arvioinut kattavasti ehdotetun sääntelyn suhdetta EU-oikeuteen. Sosiaali- ja terveysvaliokunnan on syytä varmistua, että ehdotettu sääntely ei ole ristiriidassa EU:n tietosuoja-asetuksessa asetettujen vaatimusten kanssa. Valiokunnan mielestä tässä arviossa on syytä kiinnittää huomiota myös ehdotettujen tietosuojaan liittyvien oikeuksien käytännön toteutettavuuteen. Valiokunnan saaman selvityksen mukaan esimerkiksi kielto-oikeuden mahdollistaminen myös yksityisessä terveydenhuollossa organisaatiokohtaisesti korjaisi palvelutapahtumakohtaisen kiellon kohdentamisen menettelyllistä hankaluutta.
(8) Perustuslakivaliokunnan mielestä sääntely on sisällöltään pääosin asianmukaista. Valiokunta kiinnittää kuitenkin huomiota eräisiin tiedonsaantioikeuksiin, teknisen rajapinnan sääntelyyn sekä säilytysaikojen sääntelyyn.
Tiedonsaantioikeudet
(9) Asiakastietolain 8 luvussa säädetään tiedonsaantioikeuksista ja asiakastietojen luovuttamisesta asiakkaan lähiomaisille, palvelunantajille ja muille viranomaisille ja tahoille. Hallituksen esityksen säätämisjärjestysperusteluiden (s. 174) mukaan esityksessä henkilöiden yksityiselämän suojaa ja itsemääräämisoikeutta suojataan sosiaali- ja terveydenhuollon asiakastietojen salassapitoa ja vaitiolovelvollisuutta koskevalla sääntelyllä sekä asiakastietojen käsittelyä koskevalla sääntelyllä. Asiakas voi määrätä asiakastietojensa luovutuksesta sosiaali- ja terveydenhuollossa luovutuslupien ja -kieltojen avulla sekä potilaalle määrättyjä lääkkeitä koskevien kieltojen avulla.
(10) Perustuslakivaliokunta pitää tällaista lähtökohtaa edelleen perusteltuna yksityiselämän ja henkilötietojen suojan sekä asiakkaan itsemääräämisoikeuden kannalta. Valiokunta on painottanut, että sanottu lähtökohta ei estä säätämästä suostumusedellytykseen esimerkiksi potilaslain 13 §:ssä säädetyn kaltaisia poikkeuksia ja muita tiedonsaantioikeuksia (ks. tarkemmin PeVL 4/2021 vp). Valiokunnan mielestä sosiaali- ja terveysvaliokunnan on kuitenkin syytä varmistua luovutuslupaa ja suostumusta merkitsevän sääntelyn yhteensopivuudesta EU:n tietosuoja-asetuksen kanssa. Sääntelyä on myös syytä täydentää luovutusluvan määritelmällä.
(11) Tiedolliseen itsemääräämisoikeuteen ehdotetaan sanotun mukaisesti eräitä rajoituksia. Esimerkiksi asiakastietolakiehdotuksen 53 §:n 1 momentin mukaan sosiaali- ja terveydenhuollon yhteistä palvelua toteutettaessa palvelun toteuttamiseen osallistuvilla henkilöillä on oikeus saada ja käyttää palvelun toteuttamisen kannalta välttämättömiä asiakasasiakirjoja. Perustuslakivaliokunnan mielestä sanottu suostumusedellytyksestä erkaantuva tiedonsaantioikeus on esityksessä verraten niukasti perusteltu. Sosiaali- ja terveysvaliokunnan on syytä tarkastella ehdotetun tiedonsaantioikeuden välttämättömyyttä.
(12) Perustuslakivaliokunta on arvioinut viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan kannalta ja kiinnittänyt huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen (PeVL 15/2018 vp). Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta (ks. esim. PeVL 17/2016 vp, s. 2—3). Valiokunta on antanut erityistä merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan täsmällisyyttä ja sisältöä. Mikäli ehdotetut säännökset tietojen luovutuksesta ovat kohdistuneet myös arkaluonteisiin tietoihin, on tavallisen lain säätämisjärjestyksen käyttämisen edellytyksenä ollut sääntelyn täsmentäminen selostetun perustuslakivaliokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi (PeVL 38/2016 vp, s. 3). Valiokunta ei toisaalta ole pitänyt hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu välttämättömyyskriteeriin (ks. esim. PeVL 71/2014 vp, s. 3/I, PeVL 62/2010 vp, s. 4/I ja PeVL 59/2010 vp, s. 4/I).
(13) Perustuslakivaliokunta kiinnittää siten huomiota siihen, että vaikka tiedonsaantioikeudet on pääosin asianmukaisesti sidottu välttämättömyysedellytykseen, eivät sääntelystä kaikilta osin ilmene nimenomaisesti tietojen saantiin oikeutetut tahot tai tietojen antamiseen oikeutetut tahot. Esimerkiksi 54 §:n perusteluiden (s. 104) mukaan potilastietoja pykälän 4 momentin nojalla voidaan luovuttaa paitsi terveydenhuollon sisällä myös niille palvelunantajille, jotka tuottavat sosiaalipalveluita, joiden yhteydessä annetaan myös terveyspalveluita. Näitä palveluita ovat esimerkiksi kotihoito, hoiva- ja asumispalvelut sekä päihdehuollon laitos- ja kuntoutuspalvelut. Sosiaali- ja terveysvaliokunnan on syytä pyrkiä täydentämään sääntelyä.
(14) Asiakastietolakiehdotuksen 66 §:n 3 momentin 9 kohdan mukaan Kansaneläkelaitoksella ja 8. lakiehdotuksen 5 §:n 1 momentin mukaan Terveyden ja hyvinvoinnin laitoksella on tiedonsaantioikeus ja oikeus käsitellä asiakastietoja asiakirjojen teknisen laadunvalvonnan tarkoituksessa tietorakenteiden oikeellisuuden ja yhteentoimivuuden varmistamiseksi. Tarkoitus on verraten avoimesti määritelty. Sosiaali- ja terveysvaliokunnan on syytä täsmentää sääntelyä.
Alaikäisen oikeus kieltää tietojensa luovuttaminen huoltajalle
(15) Asiakastietolakiehdotuksen 51 §:ssä säädetään alaikäisen oikeudesta kieltää tietojensa luovuttaminen huoltajalle. Pykälän 1 momentissa säädetään voimassa olevan lain tavoin terveydenhuollon alaikäisen potilaan oikeudesta kieltää tietojensa luovutus silloin, kun alaikäinen ikäänsä ja kehitystasoonsa nähden kykenee päättämään hoidostaan. Pykälän 2 momentissa on vastaava, myös jo voimassa olevaan oikeuteen sisältyvä säännös sosiaalihuollon alaikäisen asiakkaan kielto-oikeudesta.
(16) Perustuslakivaliokunta kiinnittää huomiota siihen, että ehdotetun sosiaalihuoltoa koskevan 51 §:n 2 momentin mukaan alaikäinen ei voi kieltää tietojensa antamista huoltajalle, muulle lailliselle edustajalleen tai muulle tiedonsaantiin oikeutetulle henkilölle, jos tietojen antamatta jättäminen olisi selvästi alaikäisen edun vastaista. Vastaavaa rajausta ei sisälly 1 momentin säännökseen. Valiokunnan mielestä sosiaali- ja terveysvaliokunnan on syytä harkita myös terveydenhuoltoa koskevan 1 momentin säännöksen täydentämistä vastaavalla rajauksella.
(17) Hallituksen esityksen perusteluissa (s. 101) painotetaan ehdotetun sääntelyn osalta, että ammattihenkilön on varmistettava aina asiakastietoja kirjatessaan, että lapsi tietää ja ymmärtää, että tiedot näkyvät huoltajalle ja että hänellä iän ja kehitystason sen edellyttäessä on oikeus kieltää tietojen antaminen. Lapselle tulee myös kertoa, mitä seurauksia kiellosta voi olla. Lapsen kielto-oikeutta tulee kunnioittaa, mutta ammattihenkilöllä on velvollisuus keskustella ja ohjata lasta tällaisessa tilanteessa, erityisesti, jos hän arvioi, että tietojen salaaminen huoltajilta on lapselle haitallisempaa kuin tietojen antaminen huoltajalle.
(18) Perustuslakivaliokunta painottaa perusteluissa sanotun merkitystä. Sosiaali- ja terveysvaliokunnan on syytä kiinnittää erityistä huomiota tilanteisiin, joissa alaikäisen tietojen antaminen huoltajalle alaikäisen kiellosta riippumatta saattaa aiheuttaa alaikäiselle jopa alaikäiseen kohdistuvan fyysisen väkivallan uhan. Sosiaali- ja terveysvaliokunnan on siten syytä kiinnittää erityistä huomiota kielto-oikeudesta poikkeamisen määrittelyyn ja menettelyyn poikkeamista toteutettaessa.
Tekninen rajapinta
(19) Perustuslakivaliokunta kiinnittää huomiota asiakastietolain 57 §:n 1 momentin sääntelyyn teknisestä rajapinnasta. Säännöksen mukaan 53—55 §:ssä ja 64 §:ssä tarkoitetun tiedonsaantioikeuden saa toteuttaa teknisen rajapinnan avulla sen jälkeen, kun hoitosuhteen tai asiakassuhteen olemassaolo potilaan tai sosiaalihuollon asiakkaan ja luovutuspyynnön esittäjän välillä on tietoteknisesti varmistettu. Perustelujen (s. 109) mukaan tiedonsaantioikeuden toteuttaminen valtakunnallisten tietojärjestelmäpalvelujen avulla tapahtuu jo nykyisin teknisen rajapinnan avulla, vaikka asiasta ei ole ollut erityistä sääntelyä.
(20) Teknisen rajapinnan avulla tapahtuva tiedonsaantioikeus koskee 57 §:n 1 momenttiin säädettävän viittauksen mukaan myös 64 §:n 2 momentissa tarkoitettua tiedonsaantioikeutta rahalaitokselta. Mainitun säännöksen mukaisessa menettelyssä tiedon saaminen edellyttää rahalaitokselle tehtävää kirjallista pyyntöä, josta olisi tehtävä päätös. Ennen pyynnön tekemistä siitä olisi ilmoitettava asiakkaalle.
(21) Perustuslakivaliokunnan mielestä säännösten keskinäinen suhde ei ole selvä. Valiokunta on arvioidessaan hallituksen esitystä eduskunnalle laiksi pankki- ja maksutilien valvontajärjestelmästä ja eräiksi siihen liittyviksi laeiksi katsonut yksityiskohtaisten tilitietojen kuuluvan arkaluonteisina tietoina yksityiselämän suojan ydinalueelle. Valiokunnan arvion mukaan tuolloin ehdotetulla sääntelyllä oli tarkoitus perustaa valvontajärjestelmä, jonka puitteissa pankkisalaisuuden alaisia henkilötietoja olisi annettu useiden viranomaisten käyttöön ilman riittävää ennakollista kontrollia. Valiokunnan mielestä hallituksen esitykseen ei sisältynyt hyväksyttävästi perusteltua, perustuslain kannalta asianmukaista, täsmällistä ja tarkkarajaista sääntelyä esimerkiksi Kansaneläkelaitoksen tiedonsaantioikeudesta (PeVL 48/2018 vp, s. 7—8).
(22) Perustuslakivaliokunnan saaman selvityksen mukaan nyt ehdotetulla säännöksellä ei ole tarkoitettu tällaiseen järjestelmään rinnastuvaa teknisen rajapinnan käyttöä. Valiokunnan mielestä 57 §:n 1 momentin ja 64 §:n 2 momentin keskinäistä suhdetta on kuitenkin selkeytettävä ja täsmennettävä siten, että säännöksistä selkeästi ilmenee 64 §:n 2 momentissa viitatun menettelyn koskevan myös luovuttamista teknisen rajapinnan kautta. Tällainen selkeyttäminen ja täsmentäminen on edellytyksenä hallituksen esityksen 1. lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä.
Säilytysajat
(23) Perustuslakivaliokunnan mukaan tietojen pysyvä säilyttäminen ei ole henkilötietojen suojan mukaista, ellei siihen ole tietojärjestelmän luonteeseen tai tarkoitukseen liittyviä perusteita (ks. PeVL 31/2017 vp). Pysyvää säilyttämistä voi puoltaa esimerkiksi se, että tiedot ovat osin muuttumattomia tai hitaasti muuttuvia eikä niitä päivitetä pelkän ajan kulumisen vuoksi ja niiden pysyvä säilyttäminen on tarpeellista tehtävien hoitamiseksi (PeVL 54/2010 vp). Valiokunta on painottanut erityisesti arkaluonteisten tietojen säilytysajan rajaamista siihen, mikä on välttämätöntä sen tavoitteen saavuttamiseksi, jonka vuoksi tiedot on järjestelmään tallennettu (ks. esim. PeVL 31/2017 vp, s. 5, PeVL 13/2017 vp, s. 6). Valiokunta on esimerkiksi pitänyt viiden vuoden säilytysaikaa arkaluonteisten tietojen osalta pitkänä (PeVL 51/2018 vp, s. 16, PeVL 13/2017 vp, s. 6).
(24) Säilytysajoista ehdotetaan säädettäväksi asiakastietolain liitteessä. Asiakastietolakiehdotuksen 23 §:n säännöksen mukaan alkuperäisiä asiakasasiakirjoja sekä potilaan tutkimuksessa ja hoidossa syntyviä biologista materiaalia sisältäviä näytteitä ja elinmalleja on säilytettävä liitteessä tarkoitettu aika.
(25) Perustuslakivaliokunnan mielestä säilytysajoista säätäminen lain liitteessä ei ole tavanomainen ratkaisu. Sille ei kuitenkaan ole valtiosääntöoikeudellista estettä. Sosiaali- ja terveysvaliokunnan on varmistuttava erityisesti ehdotettujen pitkien säilytysaikojen välttämättömyydestä.