Laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä

Eduskunnan päätöksen mukaisesti säädetään:

1 luku. Yleiset säännökset

1 § Lain tarkoitus

Tämän lain tarkoituksena on edistää ja mahdollistaa sosiaali- ja terveydenhuollon tuottamien asiakastietojen ja asiakkaan itsensä tuottamien hyvinvointitietojen tietoturvallista käsittelyä terveydenhuollon ja sosiaalipalveluiden järjestämisen ja tuottamisen käyttötarkoituksissa. Lain tarkoituksena on myös edistää asiakkaan tiedonsaantimahdollisuuksia asiakastietojensa käsittelystä.

2 § Soveltamisala ja suhde muuhun lainsäädäntöön

Tässä laissa annetaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettua Euroopan parlamentin ja neuvoston asetusta EU 2016/679 (yleinen tietosuoja-asetus), jäljempänä tietosuoja-asetus, täydentävät ja täsmentävät säännökset, kun sosiaali- ja terveydenhuollon asiakastietoja ja asiakkaan itsensä tuottamia hyvinvointitietoja käsitellään sähköisesti terveydenhuollon ja sosiaalipalveluiden järjestämisen ja tuottamisen käyttötarkoituksissa. Tässä laissa säädetään myös hyvinvointitietojen käsittelystä henkilön omaa hyvinvointia edistettäessä. Jos tässä laissa säädetään toisin kuin tietosuojalaissa (1050/2018), sovelletaan tämän lain säännöksiä.

Siltä osin kuin asiakastietojen käsittelystä ei säädetä tässä laissa, säädetään siitä potilaan asemasta ja oikeuksista annetussa laissa (785/1992), jäljempänä potilaslaki, sosiaalihuollon asiakkaan asemasta ja oikeuksista annetussa laissa (812/2000), jäljempänä asiakaslaki, julkisen hallinnon tiedonhallinnasta annetussa laissa (906/2019), tietosuojalaissa, sosiaali- ja terveystietojen toissijaisesta käytöstä annetussa laissa (552/2019), viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999), jäljempänä julkisuuslaki, sähköisestä asioinnista viranomaistoiminnassa annetussa laissa (13/2003), vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009), digitaalisten palvelujen tarjoamisesta annetussa laissa (306/2019), väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetussa laissa (661/2009) sekä arkistolaissa (831/1994). Kielellisistä oikeuksista asiakastietojen käsittelyssä ja tämän lain mukaisia palveluja ja toimintoja järjestettäessä säädetään kielilaissa (423/2003). Terveydenhuollon laitteista säädetään eräistä EU-direktiiveissä säädetyistä lääkinnällisistä laitteista annetussa laissa (629/2010).

3 § Määritelmät

Tässä laissa tarkoitetaan:

1) asiakkaalla asiakaslaissa tarkoitettua sosiaalihuollon asiakasta sekä potilaslaissa tarkoitettua potilasta;

2) asiakasasiakirjalla asiakaslaissa ja sosiaalihuollon asiakasasiakirjoista annetussa laissa (254/2015), jäljempänä asiakasasiakirjalaki, tarkoitettua sosiaalihuollon asiakasasiakirjaa sekä potilaslaissa tarkoitettua potilasasiakirjaa;

3) sosiaalihuollon asiakastiedolla asiakasta koskevaa henkilötietoa, joka sisältyy asiakaslaissa ja asiakasasiakirjalaissa tarkoitettuun asiakirjaan;

4) potilastiedolla potilasta koskevaa henkilötietoa, joka sisältyy potilaslaissa tarkoitettuun potilasasiakirjaan;

5) asiakastiedolla 3 ja 4 kohdassa tarkoitettua sosiaalihuollon asiakastietoa ja potilastietoa;

6) tietojärjestelmällä tietojenkäsittelylaitteista, ohjelmistoista ja muusta tietojenkäsittelystä koostuvaa kokonaisjärjestelyä, jota valmistajan suunnittelemien ominaisuuksien mukaisesti on tarkoitettu käytettäväksi asiakastietojen sähköiseen käsittelyyn, asiakasasiakirjojen tallentamiseen ja ylläpitoon tai valtakunnallisiin tietojärjestelmäpalveluihin liittämiseen tai jolla sosiaali- ja terveydenhuollon ammattihenkilö voi hyödyntää hyvinvointitietoja;

7) palvelunantajalla sosiaali- ja terveyspalvelujen järjestäjää ja sosiaali- ja terveyspalveluntuottajaa;

8) palvelunjärjestäjällä palvelunantajaa, jolla on:

9) palveluntuottajalla palvelunantajaa, joka:

10) tietoturvallisuuden arviointilaitoksella sellaista yritystä, yhteisöä ja viranomaista, jonka Liikenne- ja viestintävirasto on hyväksynyt tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) perusteella suorittamaan tietoturvallisuuden arviointeja;

11) hyvinvointitiedolla henkilön itsensä tuottamia terveyttään ja hyvinvointiaan koskevia tietoja, jotka henkilö on tallentanut 12 kohdassa tarkoitettuun omatietovarantoon;

12) omatietovarannolla hyvinvointitietojen säilyttämistä ja käsittelemistä varten valtakunnallisiin tietojärjestelmäpalveluihin muodostettua keskitettyä sähköistä tietovarantoa;

13) hyvinvointisovelluksella yksityishenkilön käyttämää omatietovarantoon liittyvää sovellusta, jolla käsitellään hyvinvointitietoja, ja johon henkilö voi saada asiakastietonsa arkistointipalvelusta, reseptikeskuksesta ja tiedonhallintapalvelusta;

14) arkistointipalvelulla tietovarantoa, jossa säilytetään ja jonka avulla hyödynnetään asiakastietoa tai muuta sosiaali- ja terveydenhuollon kannalta tarpeellista tietoa ja johon hyväksytyt tietojärjestelmät voidaan liittää;

15) tiedonhallintapalvelulla valtakunnallista tietojärjestelmäpalvelua, jolla tuotetaan potilastiedon yhteenvetoja;

16) tahdonilmaisupalvelulla valtakunnallista tietojärjestelmäpalvelua, jolla ylläpidetään informointi-, luovutuslupa-, suostumus- ja kieltoasiakirjoja, muita terveyden ja sairaudenhoitoon ja sosiaalipalveluihin liittyviä tahdonilmauksia sekä muita sosiaali- ja terveysalan palveluihin ja asiakastietojen käsittelyyn liittyviä tahdonilmauksia;

17) tietojärjestelmäpalvelun tuottajalla tahoa, joka tarjoaa tai toteuttaa palvelunantajalle tietojärjestelmää, jossa käsitellään asiakas- tai hyvinvointitietoa, ja joka vastaa tietojärjestelmän valmistajana, valmistajan lukuun tai yhden tai useamman valmistajan puolesta tietojärjestelmälle asetetuista vaatimuksista;

18) tietojärjestelmän valmistajalla tahoa, joka on vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta;

19) välittäjällä palvelunantajan tietojärjestelmäpalvelujen tuottamisessa, tietojärjestelmien teknisen tai fyysisen käyttöympäristön toteuttamisessa tai valtakunnallisiin tietojärjestelmäpalveluihin liittymisessä käyttämää palveluntarjoajaa, jolla on tässä roolissa mahdollisuus nähdä salaamattomia asiakastietoja, esimerkiksi ylläpitotoimien yhteydessä; sekä

20) sertifioinnilla menettelyä, jolla todennetaan tietojärjestelmän tai hyvinvointisovelluksen täyttävän sitä koskevat tuotantokäyttöä varten vaadittavat olennaiset vaatimukset.

2 luku. Valtakunnallisten tietojärjestelmäpalvelujen rekisterinpito

4 § Valtakunnallisten tietojärjestelmäpalvelujen rekisterinpitäjä

Kansaneläkelaitos on omatietovarannon, luovutuslokirekisterin lokitietojen säilytyspalvelun ja sen omaan toimintaansa liittyvien käyttölokien rekisterinpitäjä. Kansaneläkelaitoksella ei kuitenkaan ole oikeutta käsitellä omatietovarantoon tallennettuja tietoja laajemmin kuin mitä omatietovarannon ylläpitoon kuuluvat tehtävät välttämättä edellyttävät tai luovuttaa niitä muihin kuin 13 §:n 2 momentin mukaisiin käyttötarkoituksiin siten kuin mainitussa momentissa säädetään.

Kukin sosiaali- ja terveydenhuollon palvelunantaja on toiminnassaan syntyneiden käyttölokien rekisterinpitäjä.

Kukin sosiaali- ja terveydenhuollon palvelunantaja ja Kansaneläkelaitos ovat sosiaali- ja terveydenhuollossa syntyneiden luovutuslokien ja tiedonhallintapalvelun sekä tahdonilmaisupalvelun yhteisrekisterinpitäjiä. Kansaneläkelaitos vastaa yhteisrekisterinpitäjänä tietojen käytettävyydestä ja eheydestä, tietosisältöjen muuttumattomuudesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 14 §:ssä säädetään. Tiedonhallintapalveluun koostettavia tietoja tallentavat ja tahdonilmaisupalveluun tietoja tallentavat palvelunantajat vastaavat tallennettavien tietojen oikeellisuudesta sekä muista rekisterinpitäjän velvoitteista. Kansaneläkelaitos toimii tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä.

Ammattilaisen käyttöliittymän käyttölokien yhteisrekisterinpitäjiä ovat terveydenhuollon ammattihenkilö ja Kansaneläkelaitos. Kansaneläkelaitos toimii käyttöliittymän käyttölokien yhteyspisteenä.

Reseptikeskuksen rekisterinpitäjästä säädetään sähköisestä lääkemääräyksestä annetun lain (61/2007) 18 §:ssä.

5 § Palveluntuottajan vastuut palvelunjärjestäjän lukuun toimittaessa

Kun palveluntuottaja antaa sosiaali- ja terveyspalveluja palvelunjärjestäjän lukuun, vastaa palveluntuottaja:

1) asiakastietojen kirjaamisesta ja tallentamisesta palvelunjärjestäjän lukuun;

2) käyttöoikeuksien antamisesta asiakastietoihin omassa organisaatiossaan;

3) henkilötietojen käsittelyn aktiivisesta ohjauksesta ja valvonnasta organisaatiossaan;

4) alkuperäisten asiakasasiakirjojen toimittamisesta palvelunjärjestäjälle viipymättä; sekä

5) tietosuoja-asetuksessa ja julkisuuslaissa säädettyjen asiakkaan oikeuksien toteuttamisesta yhdessä palvelunjärjestäjän kanssa.

Palvelunjärjestäjän ja palveluntuottajan on sovittava tarkemmin 1 momentin 4 kohdassa tarkoitettujen asiakasasiakirjojen toimittamisesta ja 5 kohdassa tarkoitettujen asiakkaan oikeuksien toteuttamisesta sekä muista tietosuoja-asetuksen 28 artiklassa tarkoitetuista seikoista.

3 luku. Valtakunnallisten sosiaali- ja terveydenhuollon tietojärjestelmäpalvelujen toteuttaminen

6 § Sosiaali- ja terveydenhuollon valtakunnalliset tietojärjestelmäpalvelut

Kansaneläkelaitoksen on järjestettävä asiakastietojen säilytystä ja käsittelyä varten seuraavat valtakunnalliset tietojärjestelmäpalvelut:

1) valtakunnallinen asiakastietojen arkistointipalvelu;

2) lokirekisterien säilytyspalvelu;

3) ammattilaisen käyttöliittymä sähköisen lääkemääräyksen käsittelyyn;

4) kansalaisen käyttöliittymä;

5) omatietovaranto;

6) tiedonhallintapalvelu;

7) tahdonilmaisupalvelu;

8) reseptikeskus;

9) lääketietokanta; sekä

10) kysely- ja välityspalvelu.

Lisäksi valtakunnallisten tietojärjestelmäpalvelujen toteuttaminen edellyttää koodistopalvelua ja rooli- ja attribuuttipalvelua. Sosiaali- ja terveysalan lupa- ja valvontaviraston on ylläpidettävä rooli- ja attribuuttitietopalvelua ja koodistoja, joiden avulla palvelunantajalle, apteekille, Kansaneläkelaitokselle ja Digi- ja väestötietovirastolle annetaan valtakunnallisten tietojärjestelmäpalveluiden käyttöä ja varmentamista varten sosiaali- ja terveydenhuollon ammattihenkilön ammatinharjoittamisoikeutta ja sen voimassaoloa koskeva tieto. Terveyden ja hyvinvoinnin laitos vastaa koodistopalvelun sisällöstä.

Digi- ja väestötietovirasto toimii sosiaali- ja terveydenhuollon ammattihenkilöiden ja muun henkilöstön, palvelunantajien sekä näiden palvelujen antamiseen osallistuvien organisaatioiden, niiden henkilöstön ja tietoteknisten laitteiden vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa tarkoitettuna varmentajana. Digi- ja väestötietovirastolla on oikeus saada tämän tehtävänsä hoitamiseksi Sosiaali- ja terveysalan lupa- ja valvontavirastolta sen ylläpitämästä sosiaali- ja terveydenhuollon ammattihenkilöiden keskusrekisteristä varmenteen myöntämiseen ja peruuttamiseen, varmenteeseen, varmenteen tekniseen alustaan ja varmenteen toimittamiseen tarvittavat tiedot.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus saada lakisääteisten tehtäviensä hoitamiseksi Digi- ja väestötietovirastolta tiedot sen 3 momentin nojalla myöntämistä varmenteista.

7 § Velvollisuus liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi

Palvelunantajan on liityttävä 6 §:n 1 momentin 1, 6, 7 ja 8 kohdassa tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi.

Yksityisen sosiaali- ja terveydenhuollon palvelunantajan on liityttävä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi, jos sillä on käytössään asiakas- ja potilastietojen käsittelyyn tarkoitettu tietojärjestelmä.

Muut sosiaali- ja terveysalan toimijat, joiden palveluita ja asiakastietojen käsittelyä koskevia tahdonilmauksia tallennetaan 6 §:n 1 momentin 7 kohdassa tarkoitettuun tahdonilmaisupalveluun, voivat liittyä tahdonilmaisupalvelun käyttäjäksi.

Ahvenanmaan maakunnan sosiaali- ja terveydenhuollon palvelunantaja voi liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi.

8 § Valtakunnalliseen arkistointipalveluun tallennettavat asiakirjat

Sähköisestä asiakasasiakirjasta saa olla valtakunnallisessa arkistointipalvelussa vain yksi alkuperäinen tunnisteella yksilöity kappale. Alkuperäisestä asiakirjasta voidaan palvelun toteuttamiseksi tai muusta perustellusta syystä tehdä toinen tallenne, josta on käytävä ilmi, ettei se ole alkuperäinen asiakirja.

Valtakunnallisiin tietojärjestelmäpalveluihin liittymisen jälkeen palvelunantajan tulee tallentaa asiakasasiakirjojen alkuperäiset kappaleet valtakunnalliseen arkistointipalveluun. Ennen liittymistä syntyneet asiakasasiakirjat voidaan tallentaa valtakunnalliseen arkistointipalveluun. Arkistointipalveluun voidaan tallentaa asiakasasiakirjojen lisäksi myös muita sosiaali- ja terveydenhuollon järjestämiseen ja tiedonhallintaan liittyviä asiakirjoja.

Sosiaalihuollon asiakasasiakirjojen säilytysajoista säädetään asiakasasiakirjalain 27 §:ssä. Potilasasiakirjojen säilytysajoista säädetään potilaslain 12 §:ssä.

9 § Valtakunnallisiin tietojärjestelmäpalveluihin liittyvien tietojärjestelmien ja asiakasasiakirjojen tietorakenteet

Tietojärjestelmien ja asiakasasiakirjojen tietorakenteiden tulee mahdollistaa sähköisten asiakasasiakirjojen ja asiakastietojen käyttö, luovuttaminen, säilyttäminen ja suojaaminen 6 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen avulla.

Terveyden ja hyvinvoinnin laitos antaa määräykset valtakunnallisten tietojärjestelmäpalvelujen toteutuksen edellyttämistä tietojärjestelmien asiakasasiakirjojen tietosisällöistä ja tietorakenteista sekä tietorakenteissa valtakunnallisesti hyödynnettävistä koodistoista.

10 § Asiakirjan sähköinen allekirjoittaminen

Asiakirjojen eheys, muuttumattomuus ja kiistämättömyys on varmistettava sähköisellä allekirjoituksella tietojen sähköisessä käsittelyssä, tiedonsiirrossa ja säilytyksessä.

Luonnollisen henkilön sähköisessä allekirjoittamisessa on käytettävä kehittynyttä sähköistä allekirjoitusta, josta säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93 EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014. Myös vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa säädetään sähköisestä allekirjoituksesta. Organisaation ja tietoteknisten laitteiden allekirjoituksessa on käytettävä luotettavuudeltaan vastaavaa sähköistä allekirjoitusta.

11 § Tiedonhallintapalvelu

Tiedonhallintapalvelu koostaa potilasasiakirjoista terveydenhuollon toteuttamisen kannalta keskeiset potilastiedot ja tuottaa niistä yhteenvetoja palvelunantajille potilaan hoidon toteuttamista varten. Keskeisiä potilastietoja, jotka tiedonhallintapalvelu voi koostaa, ovat diagnoosit ja käyntisyyt, riskit, laboratoriotulokset, rokotukset, toimenpiteet, lääkitystiedot, fysiologiset mittaukset ja toimenpidekoodistolla kirjatut kuvantamistutkimukset, toimintakykyyn liittyvät tiedot, ajanvaraustiedot sekä potilaslain 4 a §:n mukainen suunnitelma potilaan tutkimuksesta, hoidosta tai kuntoutuksesta tai muu vastaava suunnitelma. Tiedonhallintapalvelun kautta saa luovuttaa tietoja siten kuin 20 §:ssä säädetään. Tiedonhallintapalvelussa olevia tietoja saa käsitellä 15 §:ssä säädettyjen käyttövaltuuksien puitteissa.

12 § Tahdonilmaisupalvelu

Tahdonilmaisupalveluun on tallennettava tieto henkilölle annetusta tämän lain ja sähköisestä lääkemääräyksestä annetun lain mukaisista informoinneista sekä henkilön antamista asiakastietojen luovutusta koskevista luovutusluvista, suostumuksista ja kielloista.

Tahdonilmaisupalveluun voidaan tallentaa myös tieto:

1) muista kuin 1 momentissa tarkoitetuista henkilön terveyden- ja sairaanhoitoon tai sosiaalipalveluihin liittyvistä tahdonilmauksista;

2) muista kuin 1 momentissa tarkoitetuista henkilön sosiaali- ja terveysalan palveluihin ja asiakastietojen käsittelyyn liittyvistä tahdonilmauksista.

13 § Omatietovaranto

Henkilö voi tallentaa hyvinvointitietojaan omatietovarantoon hyvinvointisovelluksilla tai kansalaisen käyttöliittymän kautta ja hyödyntää niitä sieltä hyvinvointinsa edistämiseksi. Henkilöllä on oikeus päättää tietojensa käytöstä, muuttamisesta ja poistamisesta omatietovarannosta.

Henkilö voi antaa suostumuksen siihen, että palvelunantajalle voidaan luovuttaa omatietovarannossa olevia hyvinvointitietoja sosiaali- ja terveyspalvelujen toteuttamiseksi.

Hoitoon tai palveluun vaikuttavien tietojen kirjaamisesta asiakas- tai potilasasiakirjoihin säädetään potilaslaissa, asiakaslaissa ja asiakasasiakirjalaissa.

Henkilön omatietovarannossa olevat tiedot on säilytettävä, kunnes henkilö on poistanut ne omatietovarannosta tai enintään 5 vuotta henkilön kuolemasta.

14 § Kansaneläkelaitoksen vastuu valtakunnallisten tietojärjestelmäpalvelujen ylläpidossa