18.9.2015

ASIA
Asia koski rekisterinpitoa opiskeluhuollon psykologipalveluissa. Suunnitelmissa oli siirtää opiskeluhuollon psykologipalveluiden asiakasrekisterin ylläpito Terveyskeskuksessa käytettävään tietojärjestelmään. Asiassa jäi epäselväksi, mikä organisaatio oli järjestämisvastuussa opiskeluhuollon psykologipalvelusta ja vastasi rekisterinpitäjänä henkilötietojen käsittelystä sekä millä perusteella rekisteriä suunniteltiin ylläpidettäväksi Terveyskeskuksessa. Kysymys koski sitä, voivatko koululääkäri- ja kouluterveydenhoitaja saada käyttöoikeuden psykologipalveluissa ylläpidettävään potilasrekisteriin.

TIETOSUOJAVALTUUTETUN VASTAUS
Henkilötietojen käsittelyyn sovelletaan toimintaa koskevaa erityislakia (esim. oppilas- ja opiskelijahuoltolaki) sekä henkilötietolakia (HeTiL) yleislakina. Henkilötietoja ovat kaikki luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavat merkinnät, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi (HeTiL 3 § 1 kohta). Arkaluonteiset tiedot on puolestaan määritelty henkilötietolain 11 §:ssä.

Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään (HeTiL 6 §). Henkilörekisteri ja rekisterinpidosta vastaava rekisterinpitäjä on määritelty yleislakina sovellettavassa henkilötietolaissa seuraavasti. Henkilörekisterillä tarkoitetaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään laissa mainituin tavoin (HeTiL 3 § 3 kohta). Rekisterinpitäjällä tarkoitetaan sitä organisaatiota, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty (HeTiL 3 § 4 kohta).

Opiskeluhuollon psykologipalveluista säädetään erityislakina sovellettavassa oppilas- ja opiskelijahuoltolaissa (opiskeluhuoltolaki). Oppilaitoksen sijaintikunta vastaa opiskeluhuollon psykologipalvelujen järjestämisestä alueellaan sijaitsevien esi- ja perusopetusta, lukiokoulutusta ja ammatillista peruskoulutusta antavien oppilaitosten opiskelijoille heidän kotipaikastaan riippumatta (opiskeluhuoltolain 9 § 2 momentti). Opiskeluhuoltolaissa mainituissa tilanteissa järjestämisvastuussa voi olla myös opetuksen järjestäjä.

Opiskeluhuoltoa toteuttavat terveydenhuollon ammattihenkilöt (muun muassa psykologit) kirjaavat opiskelijan yksilötapaamiset potilaskertomukseen ja muihin potilasasiakirjoihin, joiden käsittelystä säädetään potilaan asemasta ja oikeuksista annetun lain 12 §:ssä ja sen nojalla annetuissa säännöksissä (opiskeluhuoltolain 20 § 2 momentti). Kts. myös sosiaali- ja terveysministeriön asetus potilasasiakirjoista. Opiskeluhuollon psykologipalveluissa potilasasiakirjat tallennetaan potilasrekisteriin, jonka rekisterinpitäjänä toimii palvelun järjestänyt kunnan toimielin tai 10 §:ssä tarkoitetussa tapauksessa koulutuksen järjestäjä (opiskeluhuoltolain 21 § 2 ja 3 momentti). Opiskeluhuoltolaissa ei oteta kantaa siihen, mikä hallintokunta kunnassa toimii opiskeluhuollon psykologipalveluissa rekisterinpitäjänä. Kts. Tietosuojavaltuutetun oppaat Kunnat ja henkilötietolaki sekä myös Henkilötietojen käsittelyn ulkoistaminen, yhteiset tietojärjestelmät, verkottuminen ja niihin liittyvät sopimukset.

Koulu- ja opiskeluterveydenhuollon järjestämisestä vastaa oppilaitoksen sijaintikunta terveydenhuoltolaissa säädetyn mukaisesti (opiskeluhuoltolain 9 § 3 momentti). Terveydenhuoltolain 15 ja 16 §:n mukaisessa koulu- ja opiskeluterveydenhuollossa potilasrekisterin rekisterinpitäjänä on terveyskeskus (kansanterveyslain 15 §).

Samaan henkilörekisteriin kuuluvat kaikki sellaiset tiedot, joita käytetään saman lainsäädännössä määrätyn tehtävän hoitamiseen (looginen rekisterikäsite, HeTiL 3 § 3 kohta ja 6 §). Opiskeluhuollon psykologipalvelut sekä koulu- ja opiskeluterveydenhuollon palvelut kuuluvat opiskeluhuollon kokonaisuuteen (opiskeluhuoltolain 3 §), mutta niillä on eri tehtävät. Opiskeluhuollon psykologipalveluista säädetään opiskeluhuoltolain 7 §:ssä ja koulu- ja opiskeluterveydenhuollosta 8 §:ssä (kts. myös terveydenhuoltolaki). Käsitykseni mukaan opiskeluhuollon psykologipalveluissa ylläpidetään koulu- ja opiskeluterveydenhuollon palveluista erillistä asiakasrekisteriä, joka on potilasrekisteri potilastietojen osalta.

Henkilörekisterit ja niihin sisältyvät henkilötiedot tulee suojata ulkopuolisilta siten, että ulkopuoliset eivät pääse niihin käsiksi (HeTiL 32 §). Tietoturvavaatimukset korostuvat, jos käsitellään salassa pidettäviä tai arkaluonteisia tietoja. Asiakirjat tulee säilyttää lukituissa kaapeissa. Tietojärjestelmät suojataan työtehtävien perusteella myönnettävin käyttöoikeuksin ja käyttöoikeuksien käyttöä tulee valvoa. Kts. Tietosuojavaltuutetun antamat käytönvalvontaa koskevat ohjeet (esim. opas Lokitiedot henkilötietojen suojaamisen välineinä). Rekisterinpitäjää sitoo myös huolellisuusvelvoite (HeTiL 5 §).

Yleislakina sovellettavan viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslaki) mukaan salassa pidettäviä tietoja voi antaa vain, jos tiedon antamisesta tai oikeudesta tiedon saamiseen on laissa erikseen nimenomaisesti säädetty tai jos se, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, antaa siihen suostumuksensa (7 luku). Tietojen luovuttamista koskevaa asiaa on arvioitava tapauskohtaisesti.

Potilasasiakirjoihin sisältyvät tiedot ovat salassa pidettäviä (kts. muun muassa potilaan asemasta ja oikeuksista annetun lain 13 §). Tietosuojavaltuutetun käsityksen mukaan opiskeluhuollon psykologipalveluista voidaan luovuttaa koulu- ja opiskeluterveydenhuoltoon salassa pidettäviä potilastietoja vain laissa säädetyin edellytyksin (kts. Muun muassa potilaslain 13 § ja opiskeluhuoltolain 22 §-23 §). Koska kyse on terveydenhuollon erityislainsäädännöstä tarkempaa ohjausta potilasrekisterien ylläpidosta voi kysyä opiskeluhuoltolain valmisteluun osallistuneelta sosiaali- ja terveysministeriöltä. Neuvoa voi kysyä myös Terveyden- ja hyvinvoinnin laitokselta (opiskeluhuoltolain 24 §).