21.4.2008
Henkilötietojen siirtäminen palvelujen järjestämisvastuun siirtyessä esimerkiksi uudelle kunnalle
Asiasanat: | henkilötieto henkilötietojen siirto kunta sosiaalitoimi |
---|---|
Säädösperusta: | Henkilötietolain mukainen päätös |
Diaarinumero: | 617/41/2008 |
ASIA
Sosiaalitoimen tietojärjestelmätoimittajan asiakaskunnassa on meneillään lukuisia kuntaliitos- ja aluehankkeita. Järjestelmäntoimittaja tiedusteli, mitä tietoja voidaan siirtää "pohjalle" kussakin tapauksessa. Tiedustelussa todettiin lainsäädäntötyön olevan asiassa kesken ja viitattiin tietosuojavaltuutetun isäntäkuntaa koskevaan kannanottoon 22.2.2007, 150/49/2007.
TIETOSUOJAVALTUUTETUN VASTAUS
Henkilötietolaista ja arkistolaista
Kuntien ja muiden kunnallisten viranomaisten asiakastietojen käsittelyyn sovelletaan rinnakkain sekä henkilötietolakia että arkistolakia. Asiakirjahallinnossa tulee noudattaa näiden kummankin lain säännöksiä. Molemmat lait koskevat sekä manuaalisessa muodossa että tietojärjestelmässä olevia tietoja. Sosiaaliviranomaisen asiakirjat ja tiedot kuuluvat arkistoon. Lisäksi eri käyttötarkoituksia varten kerätyistä henkilötiedoista muodostuu myös henkilörekistereitä. Henkilötietolaki on henkilötietojen käsittelyä koskeva yleislaki, jota sovelletaan esimerkiksi sosiaalihuollon asiakastietojen käsittelyyn ellei arkistolaissa tai muussa erityislaissa muuta säädetä.
Arkistolaitokselle on säädetty toimivalta mm. ohjata ja kehittää arkistotointa ja määrätä pysyvästi säilytettävistä tiedoista. Tietosuojavaltuutettu ohjeistaa henkilötietolain mukaista henkilötietojen käsittelyä. Henkilötietolain säännökset koskevat täysimääräisesti asiakastietojen aktiivivaiheen käsittelyä. Siltä osin kuin on kyse jo kuolleiden henkilöiden tiedoista tai muutoin päättyneistä asiakassuhteista, perustuu sosiaaliviranomaisen asiakirjojen ja tietojen säilyttäminen arkistolakiin ja sen nojalla tehtyyn arkistonmuodostussuunnitelmaan sekä arkistolaitoksen antamiin ohjeisiin ja määräyksiin.
Organisaatiomuutoksia toteutettaessa tulee huolehtia kaikissa vaiheissa siitä, että myös tietosuoja turvataan henkilötietoja käsiteltäessä. Myös viranomaisten toiminnan julkisuudesta annetun lain 18 §:n mukaista hyvää tiedonhallintatapaa tulee noudattaa.
Kansallisarkisto ja maakunta-arkistot antavat tietojen arkistointia koskevaa ohjausta. Arkistolain 4 §:n mukaan arkistolaitoksen tehtävänä on mm. ohjata, kehittää ja tutkia arkistotointa. Kyseisen lain 6 §:n mukaan arkistoon kuuluvat asiakirjat, jotka ovat saapuneet arkistonmuodostajalle sen tehtävien johdosta tai syntyneet arkistonmuodostajan toiminnan yhteydessä. Saman lain 8 §:n mukaan arkistonmuodostajan on määrättävä tehtävien hoidon tuloksena kertyvien asiakirjojen säilytysajat ja -tavat sekä ylläpidettävä niistä arkistonmuodostussuunnitelmaa. Arkistolaitos määrää, mitkä asiakirjat tai asiakirjoihin sisältyvät tiedot säilytetään pysyvästi.
Arkistolaitoksen vuonna 1996 laatiman kunnallista arkistotointa koskevan oppaan mukaan kuntien välisestä yhteistoiminnasta päätettäessä sovitaan samalla, missä säilytetään yhteistoiminnan tuloksena syntyvät pysyvästi säilytettävät asiakirjat. Oppaassa todetaan myös, että kun organisaation, esimerkiksi kunnan tai kuntayhtymän, toiminta lakkaa, ei sen arkistoa yhdistetä toimintoa jatkavan organisaation arkistoon. Toimintaa jatkavan velvollisuutena on säilyttää arkisto oma kokonaisuutena tai etsiä sille sopiva sijoituspaikka. Ohjeessa todetaan kuitenkin myös, että pitkän ajan tarvittavat asiakirjakokonaisuudet, joita ei voida jakaa, voidaan kuitenkin pysyvästi jättää uudelle arkistonmuodostajalle. Toimintaa jatkavalle yksilölle jäävät myös asiakirjat, joiden perusteella se tekee päätöksen asiassa, joka on pantu vireille lakkautetun organisaation aikana.
Alussa mainittu tietosuojavaltuutetun isäntäkuntamallia koskeva kannanotto koski mahdollisuutta asiakastietojen siirtämiseen silloin, kun on kyse voimassa olevista asiakassuhteista eli asiakirjojen aktiivivaiheen käsittelystä. Jos koko palvelujen järjestämisvastuu siirtyy esimerkiksi isäntäkunnalle tai kuntayhtymälle, niin tällöin voidaan myös palvelun antamiseksi tarvittavat asiakastiedot siirtää. Myös arkistolaitoksen alussa mainitussa ohjeessa on todettu, että pitkän ajan tarvittavat asiakirjakokonaisuudet, joita ei voida jakaa, voidaan pysyvästi jättää uudelle arkistonmuodostajalle. Arkistolaitoksen ohjeen mukaan toimintaa jatkavalle yksilölle jäävät myös asiakirjat, joiden perusteella se tekee päätöksen asiassa, joka on pantu vireille lakkautetun organisaation aikana.
Yksilöidyt kysymykset ja tietosuojavaltuutetun vastaukset
Miten kuntien tulisi toimia seuraavissa tilanteissa
Kysymys 1. Uusi kunta Arkistointiohjeiden mukaan aloitetaan "puhtaalta pöydältä". Koskeeko tämä myös tietojärjestelmiä sekä voidaanko pohjaksi siirtää suuremman kunnan asiakastiedot?
Tietosuojavaltuutetun vastaus: Uusi kunta on uusi oikeushenkilö, jolle siirtyy siihen liitetyille kunnille aiemmin kuulunut sosiaalihuollon palvelujen järjestämisvastuu. Järjestämisvastuun siirtymisen yhteydessä uudelle kunnalle voidaan siirtää sellaiset tietojärjestelmässä tai paperimuodossa olevat asiakastiedot, jotka ovat tarpeen asiakassuhteiden yms. hoitamiseksi. Tiedot voidaan siirtää valtioneuvoston tai ministeriön kuntajakopäätöksen tekemisen jälkeen. Sen sijaan kuntien "passiiviarkistojen" säilyttämisestä tulee sopia arkistolaitoksen ohjeiden mukaisesti.
Kysymys 2. Kunta liitetään toiseen kuntaan. Arkistointiohjeiden mukaan voidaan jatkaa voimassaolevilla tiedoilla. Päteekö tämä myös tietojärjestelmiin? Voidaanko siis lähteä siitä, että liitettävien kuntien asiakkaiden tiedot talletetaan järjestelmään ja pääkunnan asiakkaiden tiedot jatkavat uuden kunnan tietojärjestelmässä?
Tietosuojavaltuutetun vastaus: Tilanne on vastaavanlainen kuin silloin, kun muodostetaan uusi kunta. Myös uusi kunta muodostetaan jo olemassa olevista kunnista tai niiden osista. Siten edellä oleva vastaus soveltuu tähänkin kohtaan. Uusi kunta tai sen asianomainen toimielin on arkistonmuodostaja ja myös henkilötietolain tarkoittama rekisterinpitäjä. Siten kahden toisiinsa liitetyn kunnan asiakastiedot saavat olla samassa tietojärjestelmässä siltä osin kuin asiakastiedot on ollut tarpeen palvelun antamiseksi siirtää. Tietojärjestelmässä kuitenkin eri käyttötarkoituksia varten kerätyt henkilötiedot muodostavat omat erilliset henkilörekisterinsä. Liittyvän kunnan "passiiviarkiston" säilytyksestä tulee sopia arkistolaitoksen ohjeen mukaisesti.
Kysymys 3. Isäntäkuntamalli. Tietosuojavaltuutetun alussa mainitun isäntäkuntamallia koskevan kannanoton mukaan isäntäkunta on rekisterinpitäjä. Tytärkuntien asiakastiedot tulee "korvamerkitä" kunnittain, jotta on mahdollista eritellä ja palauttaa tiedot eri kuntiin yhteistyön mahdollisesti päättyessä. Voidaanko tytärkuntien asukkaiden tiedot tallentaa isäntäkunnan järjestelmään ja isäntäkunnan asiakkaiden tiedot jatkavat tietojärjestelmässä vai onko aloitettava "puhtaalta pöydältä"?
Tietosuojavaltuutetun vastaus: Koska palvelujen järjestämisvastuu siirtyy isäntäkunnalle, on tässä yhteydessä oikeus siirtää myös asiakassuhteiden hoitamiseksi tarvittavat tiedot tytärkunnista isäntäkunnan tietojärjestelmiin ja asianomaisiin rekistereihin. Tytärkuntien "passiiviarkistot" tulee säilyttää arkistolaitoksen ohjauksen mukaisesti. Sama koskee myös isäntäkunnan toiminnan yhteydessä syntynyttä "passiiviarkistoa".
Kysymys 4. Kuntayhtymät. Toimitaanko kuntayhtymien tietojen kanssa samoin kuin isäntäkuntamallissa eli suurimman kunnan tietojärjestelmään voidaan tallettaa muiden kuntien asukkaiden tiedot vai onko aloitettava "puhtaalta pöydältä"? Onko niin, että kuntayhtymä poikkeaa isäntäkuntamallista siten, että yhtymän purkautuessa on jatkavan kunnan velvollisuus säilyttää kuntayhtymän arkisto omana kokonaisuutenaan eli tietoja ei palauteta jäsenkuntiin yhtymän purkauduttua?
Tietosuojavaltuutetun vastaus: Kuntayhtymään kuuluvien kuntien palvelun antamisessa tarvittavat asiakastiedot voidaan tallettaa yhteen tietojärjestelmään ja siellä käyttötarkoituksen mukaan eri rekistereihin. Sen sijaan kuntien "passiiviarkistojen" säilyttämisestä tulee kuntaohjeen mukaan sopia. Myös kuntayhtymän purkautuessa sen "passiiviarkiston" säilyttämisestä tulee ohjeen mukaan sopia. Tällöinkin tietosuojavaltuutetun käsityksen mukaan asiakassuhteen hoitamiseksi tarvittavat tiedot voidaan siirtää sille kunnalle tai muulle taholle, jolle kyseisten palvelujen järjestämisvastuukin siirtyy.
Sovelletut lainkohdat:
Henkilötietolaki (523/1999) 2 § 1 mom., 3 § 3 k, 5 §, 11 §, 12 § ja 38 § 1 mom.
Arkistolaki (831/1994) 1 §, 4 §, 6 § 1 mom. ja 8 §
Kuntalaki 76 § 1 ja 2 mom., 77 § 1 mom.
Kuntajakolaki (1196/1997) 11 §, 19 § ja 33 §