ESAVI: Ostopalveluidenkin potilastiedot Kantaan

Etelä-Suomen aluehallintovirasto: Ostopalveluidenkin potilastiedot tulee viedä Kantaan, mutta vain erikseen järjestäjän kanssa sovitulla tavalla

Kuntoutusyrittäjät teki 2022 lopulla kantelun Helsingin ja Uudenmaan sairaanhoitopiiristä. Lue kantelua koskeva uutinen tästä. Ongelmana oli, että ostopalveluiden asiakastiedot, kuten kuntoutusyritysten laatimat potilastiedot, eivät välttämättä milloinkaan päätyneet Kantaan eli nykyiseen potilastiedovarantoon, vaikka laki sitä edellyttikin. Etelä-Suomen avi antoi asiaan nyt ratkaisunsa. Avin päätöksen voi lukea tästä.

Lyhyesti:

• Julkiset ostopalvelut kuuluvat julkiseen rekisterinpitoon. Yksityinen ei voi itse viedä julkiselle kuuluvia potilastietoja Kantaan, ellei julkinen toimija ole myöntänyt erillistä asiakas- tai palvelukohtaista ostopalvelun valtuutusta, jotta ostopalvelun tiedot siirtyvät Kantaan oikean rekisterinpitäjän alle.
• HUS, kuten moni muu julkinen järjestäjä, ei ole kiinnittänyt rekisterinpitokysymyksiin riittävästi huomiota, mikä on johtanut usein siihen, että yksityiset palveluntuottajat ovat jääneet rekisterinpitoasioissa omilleen, joka on altistanut rekisterinpitoon liittyville virheille ja lainsäädännön vastaisuuksille. Tietoja on saatettu viedä kantaan väärän rekisterinpitäjän nimen alle, tai tiedot eivät ole päätyneet Kantaan lainkaan.

Avin ratkaisu pähkinänkuoressa

• Ostopalveluiden potilastiedot olisi tullut tallentaa Kantaan jo vuoden 2022 lainsäädännön perusteella.
• HUS:n organisaatiossa on ollut ostopalveluiden osalta vaihtelevia käytäntöjä.
• HUS ei ollut ottanut ostopalvelun valtuutusta käyttöön, vaikka tekniset valmiudet sille alkaisivat olla HUS:n puolesta jo olemassa.
• HUS ei ole sopinut selkeästi palveluntuottajien kanssa siitä, miten ostopalveluiden potilasasiakirjat toimitetaan rekisterinpitäjälle, eli HUS:lle, viipymättä.
• HUS tunnistaa ongelman ja on sitoutunut kehittämään toimintaansa lain mukaiseksi myös ostopalveluiden osalta. Tästä syystä avi ei asettanut valvovana viranomaisena HUS:lle varsinaisia seuraamuksia.

Mitä tämä tarkoittaa kuntoutusyritysten näkökulmasta?

Palveluntuottaja ei saa viedä ostopalveluna (palvelusetelit, kilpailutus, suorahankinnat) tuotettuja potilastietoja Kantaan ilman erillistä asiakas- tai palvelukohtaista ostopalvelun valtuutusta. Myös palveluntuottajan potilastietojärjestelmältä edellytetään tukea ostopalvelun valtuutukselle.

Ostopalvelun valtuutus on otettu ensimmäistä kertaa terapioissa käyttöön tänä vuonna.

HUS on suuresta koostaan huolimatta varsin tyypillinen kuntoutuspalveluiden ostaja. Kuntoutusyrittäjien kokemuksen mukaan varsin usein hyvinvointialueella on tieto siitä, miten potilasasiakirjojen rekisterinpito tulisi lain mukaan toteuttaa, mutta käytännössä oikeat toimintamallit eivät aina siirry alueen tietohallinnosta ostopalveluita hallinnoiville käytännön tekijöille. Tämä johtaa siihen, että:

• Palveluntuottajat eivät saa tarvitsemiaan ohjeita ostopalveluiden potilasasiakirjojen käsittelystä. Ostopalveluiden tietoja saatetaan tallentaa lainvastaisesti Kantaan palveluntuottajan omalla nimellä.
• Potilasasiakirjat täytyisi toimittaa kokonaisuudessaan toimeksiantajalle viimeistään palvelun päätteeksi, mutta näin ei aina ohjeisteta toimimaan, ja käytännön toimintamallit vaihtelevat jopa alueiden sisällä.

Laillisia tapoja viedä ostopalveluiden tiedot Kantaan on käytännössä kaksi:

• Joko niin, että palveluntuottaja lähettää laatimansa tiedot ensin rekisterinpitäjälle vaikkapa salatulla sähköpostilla, ja järjestäjä vie sähköpostikansiostaan noukkimansa tiedot itse Kantaan omalla potilastiedojärjestelmällään. Tämä on käytännössä ainoa tapa toimia silloin, kun käytössä ei ole ostopalvelun valtuutusta tai yksitysellä palveluntuottajalla ei ole Kantaan liitettyä potilastietojärjestelmää. Vaihtoehtoisesti:
• Järjestäjä (kuten HUS) myöntää palveluntuottajalle asiakas- tai palvelukohtaisen ostopalvelun valtuutuksen, jonka avulla yksityinen palveluntuottaja voi viedä tiedot Kanta-palveluihin suoraan järjestäjän rekisterinpidon alle. Tietoja ei tarvitse lähettää sähköpostitse kenellekään, vaan tiedot löytävät aina oikean rekisterinpidon alle suoraan Kanta-yhteyden kautta. HVA:n tiedot tallentuvat HVA:n nimen alle ja esimerkiksi Kelan kuntoutusasiakkaiden tiedot tallentuvat palveluntuottajan nimen alle.Ilman ostopalvelun valtuutusta Kantaan viedyt tiedot menevät Kantaan yksityisen palveluntuottajan oman rekisterinpidon alle, kun lain mukaan ostopalveluna tuotetut potilastiedot pitäisi tallentaa Kantaan julkisen terveydenhuollon rekisterinpitäjän nimen alle.

Oikealla rekisterinpidolla on Kanta-palveluissa merkitystä, paitsi asiakastietolain näkökulmasta, myös käytännön toimien näkökulmasta. Hyvinvointialueella tulee aina olla pääsy järjestämisvastuulleen kuuluviin potilastietoihin: myös ostopalveluina tuotettuihin tietoihin. Käytännössä, jos tiedot on viety Kantaan väärällä (eli yksityisen palveluntuottajan omalla) nimellä, on asiakkaalla tai tämän edunvalvojalla mahdollisuus kieltää tietojen luovutus Kanta-palveluiden kautta edelleen toimeksiantajalle. Näin toimeksiantaja, eli hyvinvointialue voi menettää pääsyn omiin tietoihinsa.

Kuntoutusyrittäjät on laatinut järjestäjille suunnatun kuntoutuksen ostajan oppaan. Opas on vapaasti ladattavissa tästä linkistä. Opas ottaa kantaa myös potilastietojen käsittelyyn ja siihen liittyviin hyviin käytäntöihin.

Mitä jos olen jo ehtinyt tallentaa ostopalveluiden potilastietoja Kantaan ilman erillistä ostopalvelun valutuutusta?

Kuntoutuksen yksityisenä palveluntuottajana olet juridisesti rekisterinpitäjän eli hyvinvointialueen lukuun toimiva henkilötietojen käsittelijä. EU:n yleisen tietosuoja-asetuksen mukaan rekisterinpitäjän eli hyvinvointialueen on ohjeistettava henkilötietojensa käsittelijöitä.

Jos et ole saanut hyvinvointialueelta selkeitä ohjeita mm. ostopalveluiden tallentamisesta tai tallentamatta jättämisestä Kantaan, kysy niitä omalta alueelta. Voit halutessasi linkata tähän uutiseen tai Kuntoutuspalveluiden ostajan oppaaseen. Jo Kanta-arkistoon mahdollisesti väärän rekisterinpidon alle väärästä tai puutteellisesta ohjeistuksesta johten tallennettuja tietoja ei ole syytä ryhtyä omalla kustannuksella oikaisemaan, sillä syynä on ollut puutteellinen tai väärä ohjeistus, joka on kuulunut tietojen rekisterinpitäjän eli hyvinvointialueen vastuulle. Virheiden oikaisu on rekisterinpitäjän eli hyvinvointialueen vastuulla.

Kuntoutusyrittäjien mielestä olisi kohtuutonta vaatia yksityisiltä palveluntuottajilta jälkikäteen sellaista lainsäädännön noudattamista, jota rekisterinpitäjä ei ole itsekään osannut noudattaa tai määrätä noudatettavaksi.

Tärkeintä on, että virheellisiä toimintatapoja ei tulevaisuudessa enää jatkettaisi, ja että hyvinvointialueet heräisivät omaan rekisterinpitovastuuseensa ja ohjeistaisivat palveluntuottajia rekisterinpidosta lainsäädännön edellyttämällä tavalla, käyttäen joko salattua sähköpostia, tavallista postia, tai ostopalvelun valtuutusta.