5.6.2009

ASIA
Kaikki lasten päivähoitoon liittyvät tehtävät on tähän asti hoidettu yhdessä sosiaalihuollon asiakastietojärjestelmässä, josta lähtee myös asiakkaille laskut ja sitä kautta tuotetaan myyntireskontraan tiedot tulleista suorituksista. Laskutusta suunnitellaan siirrettäväksi kaupungin keskitettyyn talouspalvelukeskukseen. Tarkoituksena on, että päivähoito- ja maksupäätökset tehtäisiin edelleen asiakastietojärjestelmässä ja sinne myös kerättäisiin tiedot lasten poissaoloista, jotka vaikuttavat laskutukseen. Kun aineisto olisi laskua vaille valmis, se siirrettäisiin kaupungin toiminnanohjausjärjestelmän laskutusosioon, jossa tuotettaisiin laskut ja hoidettaisiin kaikki rahaliikenteeseen liittyvät tehtävät kuten muistutuslaskut ja perintä. Tietosuojavaltuutetulta tiedusteltiin, koskeeko laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä tätä laskutusosuutta ja pitääkö laskutusjärjestelmän pystyä tuottamaan kyseisessä laissa määritellyt käyttäjä- ja luovutuslokirekisterit vai voidaanko laskujen tuottaminen katsoa puhtaasti taloushallinnon tehtäväksi.

HANKITTU SELVITYS
Sosiaali- ja terveysministeriössä työskentelevä työryhmä laatii ehdotusta sosiaalihuollon asiakirjojen säilytysajoista. Tässä yhteydessä ei ole tarkoitus määritellä laskutustietojen säilytysaikoja. Suomen Kuntaliitosta saadun tiedon mukaan kaikilla kunnan eri toimialoilla laskutustiedot on ymmärretty osaksi taloushallintoa ja kirjanpitoaineistoa eikä varsinaisen asiakasrekisterin tiedoiksi. Ministeriön alaisessa sosiaalihuollon tietoteknologiahankkeessa mm. määritellään eri sosiaalihuollon palveluissa kerättävät tiedot. Tämän työn yhteydessä ei ole määritelty laskutus- ja maksutietoja. Sosiaali- ja terveysministeriöstä saadun tiedon mukaan laskutustietoja ei pidetä potilasasiakirjoina tai sosiaalihuollon asiakirjoina, vaan ne kuuluvat taloushallintoon.

TIETOSUOJAVALTUUTETUN KANNANOTTO
Tietosuojavaltuutetun toimivaltaan ei kuulu antaa tiedustellussa asiassa oikeudellisesti sitovaa päätöstä, vaan yleistä neuvontaa.

Sosiaali- ja terveydenhuollon asiakastietojen sähköistä käsittelyä koskevan lain (sähköinen asiakaslaki) mukaan sosiaali- ja terveydenhuollon palvelujen antajan tulee kerätä asiakasrekisterikohtaisesti kaikesta asiakastietojen käytöstä ja jokaisesta asiakastietojen luovutuksesta seurantaa varten lokitiedot lokirekisteriin. Kyseinen laki koskee sosiaali- ja terveydenhuollon asiakastietojen sähköistä käsittelyä. Saman lain mukaan asiakastiedolla tarkoitetaan potilastietoa sekä asiakasta koskevaa tietoa, joka sisältyy asiakaslaissa tarkoitettuun asiakirjaan.

Saman rekisterin tietoja voi olla eri tietojärjestelmissä. Henkilötietolain mukaan henkilörekisterillä tarkoitetaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta.

Laskutuksen perusteena olevat tiedot, esimerkiksi lapsen poissaolotiedot ja maksun määräämiseen liittyvät tiedot, kuuluvat päivähoidon asiakasrekisteriin ja sosiaalihuollon asiakirjoihin. Niitä koskevat siten sähköisen asiakaslain lokitietoja koskevat vaatimukset.

Sosiaali- ja terveysministeriö on antanut asetuksen potilasasiakirjojen laatimisesta sekä niiden ja muun hoitoon liittyvän materiaalin säilyttämisestä (99/2001) sekä uuden asetuksen potilasasiakirjoista (298/2009). Näissä asetuksissa on yksityiskohtaiset määräykset potilasasiakirjoihin merkittävistä tiedoista ja säilytysajoista. Kyseisissä asetuksissa ei ole kuitenkaan ollenkaan mainittu laskutukseen liittyviä tietoja. Joten laskutukseen liittyvien tietojen ei ole asetuksia laadittaessa katsottu kuuluvan potilasasiakirjoihin. Koska sähköinen asiakaslaki koskee sekä potilastietoja että sosiaalihuollon asiakastietoja, ei tietosuojavaltuutetun käsityksen mukaan ole perusteita tulkita laskutus- ja kirjanpitotietojen asemaa eri tavoin näillä sektoreilla. Vastaavaa asetusta ei ole vielä olemassa sosiaalihuollon asiakirjojen osalta, mutta sellainen on valmisteilla. Sosiaalihuollon asiakirjojen säilytysaikoja koskevaan asetukseen ei kuitenkaan saadun tiedon mukaan ole tarkoitus ottaa mukaan laskutustietoja, sillä niiden on ymmärretty olevan osa taloushallintoa ja kirjanpitoaineistoa. Myöskään sosiaali- ja terveysministeriön alaisessa sosiaalihuollon tietoteknologiahankkeessa (www.tikesos.fi), jossa mm. määritellään eri sosiaalihuollon palveluissa kerättävät tiedot, ei ole määritelty laskutus-ja maksutietoja.

Arkaluonteisten henkilötietojen käsittelyn perusteena voi olla mm. laki tai laissa säädetty tehtävä ja käsittelyn tulee muutoinkin olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Sähköisessä asiakaslaissa säädetään asiakastietoje nsähköisestä käsittelystä ja mm. erityisestä suojausvelvoitteesta. Henkilötietojen käsittelyn tarkoitus, käsiteltävät tiedot ja käsittelyn oikeusperuste ilmenevät sosiaalihuoltoa koskevasta muusta lainsäädännöstä. Näissä laeissa tai esimerkiksi edellä mainitussa asetuksessa ei ole määräyksiä laskutuksesta. Tietosuojavaltuutettu katsoo, että rekisterinpitäjän toiminnan kannalta on olemassa asianmukainen peruste käsitellä henkilötietoja laskutusta varten. Laskutuksessa henkilötietojen käsittelyn tarkoitus on kuitenkin muu kuin sosiaalihuollon lainsäädännössä säädettyjen palvelujen ja etuuksien antaminen. Se, miten laskutus toimitetaan ja taloushallinnon funktiot toteutetaan, on eri kysymys kuin sähköisen asiakaslain soveltaminen.

Edellä mainituilla perusteilla tietosuojavaltuutettu katsoo, ettei sähköisen asiakaslain erityinen lokisäännös sellaisenaan sovellu taloushallinnon laskutus- ja kirjanpitotietoihin. Varsinaisen laskutus- ja kirjanpitoaineiston tiedot eivät ole sosiaalihuollon asiakirjoissa eivätkä kuulu päivähoidon rekisteriin. Siten niistä ei tarvitse kerätä sähköisessä asiakaslaissa mainittuja lokitietoja.

Tietosuojavaltuutettu huomauttaa kuitenkin, että laskutustarkoituksessakin tapahtuvaan henkilötietojen käsittelyyn sovelletaan henkilötietolain mukaista suojausvelvollisuutta. Laskutus- ja kirjanpitoaineistoa on myös käsiteltävä siten, että salassapitosäännöksiä noudatetaan, koska esimerkiksi laskuista usein ilmenee salassa pidettävä asiakassuhde. Kirjanpitoaineistoon sovelletaan kirjanpitolainsäädäntöä.

SOVELLETUT SÄÄNNÖKSET
Laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007)
2 § 1 mom., 3 § 4 k ja 5 §

Sosiaali- ja terveysministeriön asetus potilasasiakirjoista (298/2009) 1 §, 2 § ja samat
pykälät aiemmassa asetuksessa (99/2001)

Henkilötietolaki (523/1999) 3 §:n 3 kohta, 32 §, 33 §