21.4.2008

ASIA

Sosiaalitoimen tietojärjestelmätoimittajan asiakaskunnassa on meneillään lukuisia kuntaliitos- ja aluehankkeita. Järjestelmäntoimittaja tiedusteli, mitä tietoja voidaan siirtää "pohjalle" kussakin tapauksessa. Tiedustelussa todettiin lainsäädäntötyön ole­van asiassa kesken ja viitattiin tietosuojavaltuutetun isäntäkuntaa koskevaan kannanot­toon 22.2.2007, 150/49/2007.

TIETOSUOJAVALTUUTETUN VASTAUS

Henkilötietolaista ja arkistolaista

Kuntien ja muiden kunnallisten viranomaisten asiakastietojen käsittelyyn sovelletaan rinnakkain sekä henkilötietolakia että arkistolakia. Asiakirjahallinnossa tulee noudat­taa näiden kummankin lain säännöksiä. Molemmat lait koskevat sekä manuaalisessa muodossa että tietojärjestelmässä olevia tietoja. Sosiaaliviranomaisen asiakirjat ja tie­dot kuuluvat arkistoon. Lisäksi eri käyttötarkoituksia varten kerätyistä henkilötiedoista muodostuu myös henkilörekistereitä. Henkilötietolaki on henkilötietojen käsittelyä koskeva yleislaki, jota sovelletaan esimerkiksi sosiaalihuollon asiakastietojen käsitte­lyyn ellei arkistolaissa tai muussa erityislaissa muuta säädetä.

Arkistolaitokselle on säädetty toimivalta mm. ohjata ja kehittää arkistotointa ja määrä­tä pysyvästi säilytettävistä tiedoista. Tietosuojavaltuutettu ohjeistaa henkilötietolain mukaista henkilötietojen käsittelyä. Henkilötietolain säännökset koskevat täysimääräi­sesti asiakastietojen aktiivivaiheen käsittelyä. Siltä osin kuin on kyse jo kuolleiden henkilöiden tiedoista tai muutoin päättyneistä asiakassuhteista, perustuu sosiaaliviranomaisen asiakirjojen ja tietojen säilyttäminen arkistolakiin ja sen nojalla tehtyyn arkistonmuodostussuunnitelmaan sekä arkistolaitoksen antamiin ohjeisiin ja määräyksiin.

Organisaatiomuutoksia toteutettaessa tulee huolehtia kaikissa vaiheissa siitä, että myös tietosuoja turvataan henkilötietoja käsiteltäessä. Myös viranomaisten toiminnan julki­suudesta annetun lain 18 §:n mukaista hyvää tiedonhallintatapaa tulee noudattaa.

Kansallisarkisto ja maakunta-arkistot antavat tietojen arkistointia koskevaa ohjausta. Arkistolain 4 §:n mukaan arkistolaitoksen tehtävänä on mm. ohjata, kehittää ja tutkia arkistotointa. Kyseisen lain 6 §:n mukaan arkistoon kuuluvat asiakirjat, jotka ovat saa­puneet arkistonmuodostajalle sen tehtävien johdosta tai syntyneet arkistonmuodosta­jan toiminnan yhteydessä. Saman lain 8 §:n mukaan arkistonmuodostajan on määrättä­vä tehtävien hoidon tuloksena kertyvien asiakirjojen säilytysajat ja -tavat sekä ylläpi­dettävä niistä arkistonmuodostussuunnitelmaa. Arkistolaitos määrää, mitkä asiakirjat tai asiakirjoihin sisältyvät tiedot säilytetään pysyvästi.

Arkistolaitoksen vuonna 1996 laatiman kunnallista arkistotointa koskevan oppaan mu­kaan kuntien välisestä yhteistoiminnasta päätettäessä sovitaan samalla, missä säilyte­tään yhteistoiminnan tuloksena syntyvät pysyvästi säilytettävät asiakirjat. Oppaassa todetaan myös, että kun organisaation, esimerkiksi kunnan tai kuntayhtymän, toiminta lakkaa, ei sen arkistoa yhdistetä toimintoa jatkavan organisaation arkistoon. Toimintaa jatkavan velvollisuutena on säilyttää arkisto oma kokonaisuutena tai etsiä sille sopiva sijoituspaikka. Ohjeessa todetaan kuitenkin myös, että pitkän ajan tarvittavat asiakirja­kokonaisuudet, joita ei voida jakaa, voidaan kuitenkin pysyvästi jättää uudelle arkis­tonmuodostajalle. Toimintaa jatkavalle yksilölle jäävät myös asiakirjat, joiden perus­teella se tekee päätöksen asiassa, joka on pantu vireille lakkautetun organisaation aika­na.

Alussa mainittu tietosuojavaltuutetun isäntäkuntamallia koskeva kannanotto koski mahdollisuutta asiakastietojen siirtämiseen silloin, kun on kyse voimassa olevista asia­kassuhteista eli asiakirjojen aktiivivaiheen käsittelystä. Jos koko palvelujen järjestä­misvastuu siirtyy esimerkiksi isäntäkunnalle tai kuntayhtymälle, niin tällöin voidaan myös palvelun antamiseksi tarvittavat asiakastiedot siirtää. Myös arkistolaitoksen alussa mainitussa ohjeessa on todettu, että pitkän ajan tarvittavat asiakirjakokonaisuu­det, joita ei voida jakaa, voidaan pysyvästi jättää uudelle arkistonmuodostajalle. Arkis­tolaitoksen ohjeen mukaan toimintaa jatkavalle yksilölle jäävät myös asiakirjat, joiden perusteella se tekee päätöksen asiassa, joka on pantu vireille lakkautetun organisaation aikana.

Yksilöidyt kysymykset ja tietosuojavaltuutetun vastaukset

Miten kuntien tulisi toimia seuraavissa tilanteissa

Kysymys 1. Uusi kunta Arkistointiohjeiden mukaan aloitetaan "puhtaalta pöydältä". Koskeeko tämä myös tietojärjestelmiä sekä voidaanko pohjaksi siirtää suuremman kunnan asiakastiedot?

Tietosuojavaltuutetun vastaus: Uusi kunta on uusi oikeushenkilö, jolle siirtyy siihen liitetyille kunnille aiemmin kuulunut sosiaalihuollon palvelujen järjestämisvastuu. Jär­jestämisvastuun siirtymisen yhteydessä uudelle kunnalle voidaan siirtää sellaiset tietojärjestelmässä tai paperimuodossa olevat asiakastiedot, jotka ovat tarpeen asiakas­suhteiden yms. hoitamiseksi. Tiedot voidaan siirtää valtioneuvoston tai ministeriön kuntajakopäätöksen tekemisen jälkeen. Sen sijaan kuntien "passiiviarkistojen" säilyt­tämisestä tulee sopia arkistolaitoksen ohjeiden mukaisesti.

Kysymys 2. Kunta liitetään toiseen kuntaan. Arkistointiohjeiden mukaan voidaan jat­kaa voimassaolevilla tiedoilla. Päteekö tämä myös tietojärjestelmiin? Voidaanko siis lähteä siitä, että liitettävien kuntien asiakkaiden tiedot talletetaan järjestelmään ja pää­kunnan asiakkaiden tiedot jatkavat uuden kunnan tietojärjestelmässä?

Tietosuojavaltuutetun vastaus: Tilanne on vastaavanlainen kuin silloin, kun muodoste­taan uusi kunta. Myös uusi kunta muodostetaan jo olemassa olevista kunnista tai nii­den osista. Siten edellä oleva vastaus soveltuu tähänkin kohtaan. Uusi kunta tai sen asianomainen toimielin on arkistonmuodostaja ja myös henkilötietolain tarkoittama rekisterinpitäjä. Siten kahden toisiinsa liitetyn kunnan asiakastiedot saavat olla samas­sa tietojärjestelmässä siltä osin kuin asiakastiedot on ollut tarpeen palvelun antamisek­si siirtää. Tietojärjestelmässä kuitenkin eri käyttötarkoituksia varten kerätyt henkilötie­dot muodostavat omat erilliset henkilörekisterinsä. Liittyvän kunnan "passiiviarkiston" säilytyksestä tulee sopia arkistolaitoksen ohjeen mukaisesti.

Kysymys 3. Isäntäkuntamalli. Tietosuojavaltuutetun alussa mainitun isäntäkuntamal­lia koskevan kannanoton mukaan isäntäkunta on rekisterinpitäjä. Tytärkuntien asiakas­tiedot tulee "korvamerkitä" kunnittain, jotta on mahdollista eritellä ja palauttaa tiedot eri kuntiin yhteistyön mahdollisesti päättyessä. Voidaanko tytärkuntien asukkaiden tie­dot tallentaa isäntäkunnan järjestelmään ja isäntäkunnan asiakkaiden tiedot jatkavat tietojärjestelmässä vai onko aloitettava "puhtaalta pöydältä"?

Tietosuojavaltuutetun vastaus: Koska palvelujen järjestämisvastuu siirtyy isäntäkun­nalle, on tässä yhteydessä oikeus siirtää myös asiakassuhteiden hoitamiseksi tarvitta­vat tiedot tytärkunnista isäntäkunnan tietojärjestelmiin ja asianomaisiin rekistereihin. Tytärkuntien "passiiviarkistot" tulee säilyttää arkistolaitoksen ohjauksen mukaisesti. Sama koskee myös isäntäkunnan toiminnan yhteydessä syntynyttä "passiiviarkistoa".

Kysymys 4. Kuntayhtymät. Toimitaanko kuntayhtymien tietojen kanssa samoin kuin isäntäkuntamallissa eli suurimman kunnan tietojärjestelmään voidaan tallettaa muiden kuntien asukkaiden tiedot vai onko aloitettava "puhtaalta pöydältä"? Onko niin, että kuntayhtymä poikkeaa isäntäkuntamallista siten, että yhtymän purkautuessa on jatka­van kunnan velvollisuus säilyttää kuntayhtymän arkisto omana kokonaisuutenaan eli tietoja ei palauteta jäsenkuntiin yhtymän purkauduttua?

Tietosuojavaltuutetun vastaus: Kuntayhtymään kuuluvien kuntien palvelun antamises­sa tarvittavat asiakastiedot voidaan tallettaa yhteen tietojärjestelmään ja siellä käyttö­tarkoituksen mukaan eri rekistereihin. Sen sijaan kuntien "passiiviarkistojen" säilyttä­misestä tulee kuntaohjeen mukaan sopia. Myös kuntayhtymän purkautuessa sen "pas­siiviarkiston" säilyttämisestä tulee ohjeen mukaan sopia. Tällöinkin tietosuojavaltuute­tun käsityksen mukaan asiakassuhteen hoitamiseksi tarvittavat tiedot voidaan siirtää sille kunnalle tai muulle taholle, jolle kyseisten palvelujen järjestämisvastuukin siirtyy.

Sovelletut lainkohdat:
Henkilötietolaki (523/1999) 2 § 1 mom., 3 § 3 k, 5 §, 11 §, 12 § ja 38 § 1 mom.
Arkistolaki (831/1994) 1 §, 4 §, 6 § 1 mom. ja 8 §
Kuntalaki 76 § 1 ja 2 mom., 77 § 1 mom.
Kuntajakolaki (1196/1997) 11 §, 19 § ja 33 §