Toimintansa lopettaneiden tulee toimittaa potilastiedot Kelaan

Toimintansa lopettaneiden tulee toimittaa potilastiedot Kelaan

Velvoite perustuu 1.1.2024 uudistuneeseen asiakastietolakiin, jonka 16 § velvoittaa toimintansa lopettaneita palveluntuottajia siirtämään potilastietonsa Kansaneläkelaitoksen haltuun. Velvoite koskee kaikkia sosiaali- ja terveydenhuollon palvelunantajia.

Kela suosittelee, että asiakirjat käsiteltäisiin Kelan antamien erillisten ohjeiden mukaisesti. Aineisto voidaan kuitenkin toimittaa Kelalle myös siinä järjestyksessä, kuin se on toiminta-aikanakin järjestetty, kunhan asiakirjoissa on säädösten mukaiset merkinnät, kuten asiakkaan tunnistetiedot.

Valviran hyväksymän sähköisen potilastietojärjestelmän tuottaman arkistomateriaalin tulisi Kuntoutusyrittäjien näkemyksen mukaan olla riittävän selkeässä ja eheässä järjestyksessä jo sellaisenaan. Erillisiä kansilehtiä tai muita toimenpiteitä ei pitäisi sähköiseen tai paperiseen materiaaliin enää joutua tekemään.

Kelan sivut toimintansa lopettaneille löytyvät tästä linkistä.

Lakia muutettiin viime hetkellä eduskunnassa niin, että toimintansa lopettaneet toimittavat potilastiedot aina Kelaan

Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä 16 § 1. momentti

Kun palvelunantajan toiminta on päättynyt, on palvelunantajan rekisterinpidossa olevat asiakasasiakirjat, lokitiedot ja biologinen näytemateriaali siirrettävä sen hyvinvointialueen tai Helsingin kaupungin rekisterinpitoon, jonka alueella palvelunantajan kotipaikka on sijainnut. Toiminnan päätyttyä palvelunantajan on huolehdittava asiakirjojen toimittamisesta Kansaneläkelaitoksen säilytettäväksi ilman aiheetonta viivytystä. Jos toiminta on päättynyt palvelunantajan kuoleman tai konkurssin takia, asiakirjojen toimittamisesta vastaa kuolinpesä tai konkurssipesä. Päättyneen toiminnan asiakirjat on pidettävä erillään rekisterinpitäjän omasta potilasrekisteristä ja sosiaalihuollon asiakasrekisteristä.

Pitääkö tietoja käsitellä vielä jotenkin ennen niiden toimittamista Kelaan?

Kysymys nousee esille kun lukee Kelan ohjeita toimitettavien tietojen käsittelemiseksi. Kelan nykyinen ohje edellyttää esimerkiksi paperiasiakirjoihin lisättäväksi erillisiä kansilehtiä, joihin tulee potilaan nimi ja henkilötunnus. Kuntoutusyrittäjät on käynyt Kelan kanssa keskustelua aiheesta, ja Kela on ilmoittanut päivittävänsä ohjeitansa.

Tästä voisi aiheutua merkittäväkin työ. Onko yrittäjän tosiaan korvattava omat kansilehdet Kelan vastaavilla merkinnöillä? Kelan vastaus on lyhyesti, että ei ole, kunhan tiedot ovat henkilötietojen osalta muuten eheitä ja täsmällisiä. Myöskään sähköistä materiaalia ei ole syytä tulostaa, jos asiakirjojen alkuperäinen muoto on juurikin sähköinen muoto.

Myöskään muuta aineistoa kuin potilasasiakirja-aineistoa ei tule toimittaa Kelaan. Näin ollen yrityksen on itse säilytettävä esimerkiksi kirjanpitomateriaali koko kirjanpitolain edellyttämä määräaika.

Kulloinenkin rekisterinpitäjä vastaa ja määrää tiedoista

Sen jälkeen, kun palvelunantajan (kuten yksityisen terapiayrityksen) toiminta on kokonaan loppunut, eli aville tai Valviralle on annettu toiminnan lopettamisilmoitus, tulee hyvinvointialueesta ja Kelasta lain nojalla ja tietojen uusi yhteisrekisterinpitäjä. Lopettavan palveluntuottajan viimeiseksi rekisterinpitäjän teoksi jää enää tietojen pakkaaminen ja turvallinen toimittaminen Kelaan.

Tietojen siirtämisen jälkeen tietojen lakisääteinen rekisterinpitäjyys ja myös säilytysvastuu poistuvat lopettavalta yritykseltä. Mahdollisiin asiakkaiden tietopyyntöihin vastaa jatkossa Kela.

Tässä kohden tulee huomioida, että EU:n yleinen tietosuoja-asetus velvoittaa kaikkia henkilötietojen käsittelijöitä noudattamaan rekisterinpitäjän antamia ohjeita ja määräyksiä. Jos siis et ole itse joidenkin henkilötietojen osalta rekisterinpitäjä, joudut noudattamaan tietojen osalta tuon toisen rekisterinpitäjän määräyksiä. Käytännössä tällaisia rekisterinpitäjän määräyksiä voi siis antaa esimerkiksi hyvinvointialue omiin tietoihinsa liittyen.

Kelan tapauksessa kyse ei kuitenkaan ole uuden rekisterinpitäjän antamista määräyksistä, vaan yleisistä rekisterinpitoon liittyvistä ohjeista, jotka sinänsä sitoisivat lopettavaa yritystä muutenkin.

Toiminnan aikana olin rekisterinpitäjä itse maksavista ja Kelan kuntoutusasiakkaista itse, olenko nyt toiminnan loputtua omista tiedoistani henkilötietojen käsittelijä, kun toimitan tiedot Kelaan Kelan ohjeiden mukaisesti?

Kelan näkemyksen mukaan Kelan antamat tiedot ja ohjeistukset eivät ole rekisterinpitäjän käskyjä, vaan yleisiä tietojen siirtoon liittyviä toiveita ja ohjeita, joita kenen tahansa terveydenhuollon rekisterinpitäjän tulisi muutoinkin noudattaa. Käytännössä tällä tarkoitetaan erityisesti rekisterinpidon eheyttä ja täsmällisyyttä, sekä tietysti tietoturvallisuutta.

Toisin sanoen jos yrityksen rekisterinpidossa oli puutteita ennen tietojen siirtämistä Kelaan, tulee nuo puutteet joka tapauksessa korjata, oltiin tietoja sitten siirtämässä eteenpäin tai ei. Käytännössä yrityksen rekisterinpidossa asiakkaat tulee voida erottaa toisistaan luotettavasti ja täsmällisesti. Asiakasasiakirjojen sekoittumista keskenään ei sallita sen enempää omassa kuin Kelallekaan siirrettävässä potilasrekisterinpidossa.

Kelan kanssa ei siis laadita varsinaista henkilötietojen käsittelysopimusta, vaan Kelan kanssa laaditaan sopimus tai muu juridisesti sitova asiakirja, jolla todetaan tietojen siirto tapahtuvaksi ja sovitaan siirtoon liittyvistä yksityiskohdista. Tämä tehdään lähinnä lakisääteisten vastuiden selkiyttämiseksi. Kelan ja lopettavan yrityksen välille ei muodostu nykytietämyksellä perinteistä rekisterinpitäjä – henkilötietojen käsittelijä -suhdetta, vaan henkilötietojen siirto Kelaan on yksinkertaisesti lopettavan yrittäjän (rekisterinpitäjän) viimeinen rekisterinpitoonsa liittyvä käsittelytoimi.

Yhteenvetona, mitä voimme todeta toimintansa lopettaneiden, Kelan ja hyvinvointialueiden velvollisuuksista?

• Toimintansa lopettaneella sote-palveluntuottajalla on ehdottomasti velvollisuus siirtää toiminnan loputtua kaikki asiakastiedot Kansaneläkelaitoksen haltuun.
• Toimintansa lopettaneella ei ole erillistä lakiin kirjattua velvollisuutta käsitellä tietoja mitenkään. Laissa on velvollisuus vain toimittaa tiedot omalla kustannuksella Kelalle.
• Niin lopettavalla kuin jatkavallakin palveluntuottajalla on kuitenkin EU:n yleiseen tietosuoja-asetukseen, tietosuojalakiin (1050/2018) ja potilasasiakirjalainsäädäntöön (Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä 703/2023) perustuen velvollisuus pitää potilasrekisteri selkeästi ja eheästi ylläpidettynä niin, ettei potilastietojen keskinäistä sekoittumisen vaaraa ole. Jos tällainen vaara on, tulee puute korjata ennen tietojen toimittamista Kelaan.
• Tämä voi tarkoittaa ääritilanteessa sitä, että tietoihin täytyy lisätä henkilötunnuksellisia kansilehtiä tai tehdä rekisterinpitoon muita sisältömuutoksia, tai tiedoista täytyy poistaa sinne kuulumatonta materiaalia, kuten kirjanpitomateriaalia ja laskuja. Näin tulee toimia vain, jos potilasrekisterinpito ei muuten täytä lain vaatimuksia.
• Normaalisti ja hyvässä järjestyksessä kerättyä ja ylläpidettyä potilasrekisteriä ei ole tarpeen muokata erikseen Kelaa varten. Kelan tällä hetkellä antama ohjeistus on suunnattu erityisesti niitä tilanteita silmällä pitäen, kun rekisterinpito ei ole ollut lain edellyttämällä tasolla. Kela on ilmoittanut täsmentävänsä vielä ohjeistusta tietojen siirrosta: laki on ollut voimassa vasta reilun kuukauden.
• Tietojen toimittamisen jälkeen säilytysvastuu on jaetusti hyvinvointialueilla ja Kelalla. Kela vastaa lopettaneen yrityksen puolesta asiakkaiden mahdollisiin tietopyyntöihin.
• Yrittäjä voi tietojen siirron jälkeen keskittyä muihin asioihin.