Mitä asiakastietolaki vaatii sote-henkilöstön tietosuojaosaamiselta?

Lyhyesti

Asiakastietolaki vaatii, että sosiaali- ja terveydenhuollon henkilöstöllä on riittävä osaaminen asiakastietojen käsittelyssä. Lain 7 § kytkee osaamisen kirjallisiin ohjeisiin ja käytännön menettelytapoihin. Osaamisen pitää kattaa ainakin salassapito, käyttöoikeudet, luotettava tunnistaminen ja se, mitä tietoja työtehtävässä saa käyttää. Yleinen tietosuoja-asetus täydentää tätä vaatimusta henkilötietojen periaatteilla, rekisteröidyn oikeuksilla ja käsittelyn turvallisuudella.

Asiakastietolaki tekee osaamisesta johdon ja arjen velvoitteen

Asiakastietolain 7 § on henkilöstön tietosuojaosaamisen ydinkohta. Pykälä ei puhu vain ohjeista. Se vaatii myös osaamista.

Lain mukaan palvelunantajan vastaavan johtajan ja apteekkarin on annettava kirjalliset ohjeet asiakastietojen käsittelystä. Ohjeiden pitää koskea myös noudatettavia menettelytapoja. Samassa kohdassa heidän pitää huolehtia henkilökunnan riittävästä asiantuntemuksesta ja osaamisesta asiakastietojen käsittelyssä.

Työssä tämä tarkoittaa kahta asiaa.

Ensinnäkin organisaatiolla pitää olla kirjalliset toimintatavat. Ne kertovat, miten asiakas- ja potilastietoja käsitellään. Toiseksi henkilöstön pitää ymmärtää nämä toimintatavat. Pelkkä ohjekansio ei riitä, jos työntekijä ei osaa soveltaa sitä vastaanotolla, asiakaskäynnillä, puhelussa tai järjestelmässä.

Osaaminen ei ole vain juridiikkaa. Se on kykyä tunnistaa tavallinen riskitilanne. Esimerkiksi työntekijä näkee järjestelmässä tutun henkilön nimen. Osaaminen tarkoittaa, että työntekijä ymmärtää, ettei tietoihin saa mennä uteliaisuudesta. Työtehtävä ja annettava palvelu ratkaisevat, saako tietoa käsitellä.

Salassapito on pysyvä lähtökohta

Asiakastietolain 4 § sanoo suoraan: "Sosiaali- ja terveydenhuollon asiakastiedot ovat pysyvästi salassa pidettäviä." Arkikielellä tämä tarkoittaa, että asiakas- ja potilastiedot eivät muutu vapaasti kerrottaviksi ajan kulumisen vuoksi.

Sama pykälä kieltää näyttämästä, luovuttamasta tai antamasta sivullisen nähtäväksi salassa pidettävää asiakastietoa sisältävää asiakirjaa, kopiota tai tulostetta. Työssä tämä koskee myös ruudulla näkyvää tietoa, tulostetta työpöydällä ja keskustelua tilassa, jossa ulkopuolinen voi kuulla.

Sivullinen ei ole vain täysin ulkopuolinen henkilö. Asiakastietolain 4 § rajaa sivullisen sen mukaan, osallistuuko henkilö kyseisen palvelun järjestämiseen, toteuttamiseen tai siihen liittyviin tehtäviin. Sama työpaikka ei siis yksin riitä. Jos työntekijällä ei ole tehtävää kyseisen asiakkaan palvelussa, hän voi olla tiedon kannalta sivullinen.

Tämä on tärkeä ero käytännössä. Kunnan työntekijä, hyvinvointialueen työntekijä tai yksityisen palveluntuottajan työntekijä voi käsitellä paljon henkilötietoja. Silti oikeus tietoon syntyy tehtävästä, ei organisaation nimestä tai ammattinimikkeestä.

Käyttöoikeus perustuu työtehtävään ja välttämättömään tarpeeseen

Asiakastietolain 9 § määrittää, milloin asiakastietoja saa käyttää. Oikeuden käyttää asiakastietoja pitää perustua työtehtävään ja annettavaan palveluun. Henkilöllä saa olla oikeus käyttää vain työtehtävissään tarvitsemiaan välttämättömiä asiakastietoja.

Välttämätön tieto on arkinen mutta tiukka raja. Esimerkiksi ajanvarauksen hoitaja voi tarvita yhteystietoja ja ajanvaraukseen liittyviä tietoja. Hän ei välttämättä tarvitse kaikkia hoitomerkintöjä. Hoitava ammattilainen voi tarvita laajemmat tiedot, jos ne ovat tarpeen hoidon toteuttamisessa.

Asiakastietolain 9 § vaatii myös, että käsittelyn perusteena on tietoteknisesti varmistettu asiakas- tai hoitosuhde tai muu asiakkaan palvelun järjestämiseen ja toteuttamiseen liittyvä tehtävä. Tämä tarkoittaa, että järjestelmän ja toiminnan pitää tukea sitä, että tietoihin mennään oikeasta syystä.

Palvelunantajan ja apteekin pitää määritellä, mitä välttämättömiä asiakastietoja eri henkilöt saavat käyttää. Niiden pitää myös pitää rekisteriä käyttäjistä ja heidän oikeuksistaan käyttää asiakastietoja. Henkilöstön osaamiseen kuuluu siksi ymmärtää, että käyttöoikeus ei ole yleislupa. Se on sidottu tehtävään.

Osaamisen pitää kattaa myös henkilötietojen perusteet

Asiakastietolaki koskee sosiaali- ja terveydenhuollon asiakastietoja. Yleinen tietosuoja-asetus antaa laajemman kehyksen henkilötietojen käsittelylle.

Yleisen tietosuoja-asetuksen 4 artikla määrittelee henkilötiedot tiedoiksi, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Käytännössä nimi, henkilötunnus, yhteystieto ja potilaskertomuksen tieto ovat henkilötietoja, jos ne liittyvät ihmiseen.

Sama artikla määrittelee käsittelyn laajasti. Käsittelyä on esimerkiksi kerääminen, tallentaminen, haku, käyttö, luovuttaminen, poistaminen ja tuhoaminen. Työssä tämä tarkoittaa, että tietosuoja ei koske vain tietojen lähettämistä ulos. Myös tietojen katsominen ja hakeminen järjestelmästä on käsittelyä.

Yleisen tietosuoja-asetuksen 9 artikla koskee erityisiä henkilötietoryhmiä. Terveystiedot kuuluvat tähän kokonaisuuteen. Sosiaali- ja terveydenhuollossa työntekijä käsittelee usein tietoja, joiden väärä käyttö voi aiheuttaa ihmiselle erityistä haittaa.

Yleisen tietosuoja-asetuksen 5 artikla antaa periaatteet, jotka näkyvät sote-työssä joka päivä. Tietoja käsitellään tiettyä tarkoitusta varten. Tietoja käytetään vain tarpeellinen määrä. Tietojen pitää olla täsmällisiä. Tietoja pitää käsitellä turvallisesti.

Lisää perustasosta käsitellään artikkelissa Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?.

Mitä sote-henkilöstön pitää käytännössä osata?

Osaamisvaatimus muuttuu arjessa konkreettisiksi taidoiksi. Seuraava taulukko kokoaa ne velvoitteet, jotka nousevat asiakastietolaista ja yleisestä tietosuoja-asetuksesta.

Osaamisalue	Mihin säädös kytkee sen	Mitä tämä tarkoittaa työssä
Asiakas- ja potilastiedon tunnistaminen	Yleisen tietosuoja-asetuksen 4 artikla ja asiakastietolain 4 §	Työntekijä tunnistaa, milloin tieto liittyy asiakkaaseen tai potilaaseen ja on salassa pidettävä.
Salassapito	Asiakastietolain 4 §	Tietoa ei näytetä, kerrota tai luovuteta sivulliselle. Myös tutulle työntekijälle kertominen voi olla väärin, jos hän ei osallistu palveluun.
Käyttöoikeuden raja	Asiakastietolain 9 §	Tietoja käytetään vain työtehtävän ja annettavan palvelun perusteella. Uteliaisuus ei ole käsittelyperuste.
Luotettava tunnistaminen	Asiakastietolain 8 §	Asiakastietojen käsittelyssä osapuolet, edustajat, laitteet ja valtakunnalliset tietojärjestelmäpalvelut tunnistetaan luotettavasti.
Rekisteröidyn oikeudet	Yleisen tietosuoja-asetuksen 12–20 artikla	Asiakkaan pyyntö pääsystä tietoihin, oikaisusta tai muusta oikeudesta ohjataan organisaation menettelyn mukaan.
Turvallinen käsittely	Yleisen tietosuoja-asetuksen 32 artikla	Henkilötietoja käsitellään rekisterinpitäjän ohjeiden mukaisesti. Tämä koskee myös käyttöoikeuksia, järjestelmiä ja arjen suojaamista.

Yleisen tietosuoja-asetuksen 32 artikla on tärkeä henkilöstön kannalta. Sen mukaan rekisterinpitäjän ja henkilötietojen käsittelijän pitää varmistaa, että niiden alaisuudessa toimiva luonnollinen henkilö käsittelee henkilötietoja vain rekisterinpitäjän ohjeiden mukaisesti, ellei oikeus toisin vaadi. Työssä tämä tarkoittaa, että ohjeiden ymmärtäminen ja noudattaminen on osa tietoturvaa.

Rekisteröidyn oikeudet kuuluvat myös sote-osaamiseen

Sosiaali- ja terveydenhuollossa asiakas tai potilas voi kysyä omista tiedoistaan. Silloin henkilöstön pitää tunnistaa, että kyse ei ole tavallisesta palvelukysymyksestä. Se voi olla yleisen tietosuoja-asetuksen mukainen pyyntö.

Yleisen tietosuoja-asetuksen 12 artikla vaatii, että rekisterinpitäjä antaa rekisteröidylle tietoja tiiviisti, läpinäkyvästi, helposti ymmärrettävästi ja selkeällä kielellä. Sama artikla sisältää myös määräajan. Rekisterinpitäjän pitää antaa tieto tehdyistä toimista ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta.

Yleisen tietosuoja-asetuksen 15 artikla koskee oikeutta saada pääsy omiin henkilötietoihin. Asetuksen 16 artikla koskee virheellisten tietojen oikaisua. Asetuksen 17 artikla koskee tietojen poistamista. Asetuksen 18 artikla koskee käsittelyn rajoittamista. Asetuksen 20 artikla koskee tietojen siirtämistä järjestelmästä toiseen.

Henkilöstön ei tarvitse ratkaista jokaista pyyntöä itse. Sen pitää kuitenkin tunnistaa pyyntö ja ohjata se oikeaan menettelyyn. Muuten määräajat ja asiakkaan oikeudet voivat vaarantua.

Velvoite ei tarkoita rajatonta koulutusmuotoa tai yhtä valmista mallia

Asiakastietolaki ei tässä kohdassa määritä koulutuksen muotoa. Se ei sano, että osaaminen pitää hankkia tietyllä kurssilla, tietyllä kokeella tai tietyllä aikavälillä. Lain 7 § asettaa tavoitteen: henkilökunnalla pitää olla riittävä asiantuntemus ja osaaminen asiakastietojen käsittelyssä.

Tämä ei kuitenkaan kevennä velvoitetta. Koska yleisen tietosuoja-asetuksen 5 artikla sisältää osoitusvelvollisuuden, rekisterinpitäjän pitää pystyä osoittamaan periaatteiden noudattaminen. Osaamisen osoittaminen on siksi käytännön johtamiskysymys.

Velvoite ei myöskään tarkoita, että koulutus korvaa käyttöoikeuksien hallinnan. Asiakastietolain 9 § vaatii käyttöoikeuksien määrittelyä ja käyttäjärekisteriä. Koulutettu työntekijä tarvitsee silti vain ne oikeudet, joita työtehtävä edellyttää.

Velvoite ei anna lupaa käsitellä tietoja varmuuden vuoksi. Yleisen tietosuoja-asetuksen 5 artiklan tietojen minimointi ja asiakastietolain 9 §:n välttämättömyysraja ohjaavat samaan suuntaan. Tietoa käytetään vain, kun sille on työssä todellinen tarve.

Päätöksentekijälle kysymys on näytöstä, ei vain koulutuksesta

Sote-organisaation kannalta kysymys kuuluu lopulta näin: miten osoitetaan, että henkilöstö osaa käsitellä asiakas- ja potilastietoja lain edellyttämällä tavalla?

Asiakastietolain 7 § antaa perustan ohjeille ja osaamiselle. Asiakastietolain 4 § antaa salassapidon lähtökohdan. Asiakastietolain 8 § kytkee käsittelyn luotettavaan tunnistamiseen. Asiakastietolain 9 § rajaa käyttöoikeudet työtehtävään ja välttämättömään tarpeeseen. Yleinen tietosuoja-asetus täydentää kokonaisuutta henkilötietojen määritelmillä, periaatteilla, oikeusperusteilla, rekisteröidyn oikeuksilla ja turvallisella käsittelyllä.

Siksi sote-henkilöstön tietosuojaosaaminen ei ole erillinen hallinnon asia. Se on osa asiakas- ja potilasturvallista työtä. Jokainen turha katselu, väärä luovutus tai epäselvä käyttöoikeus voi rikkoa luottamusta. Riittävä osaaminen tekee rajan näkyväksi ennen kuin virhe tapahtuu.