Reforming electronic client data processing

Tämän lain tarkoituksena on edistää ja mahdollistaa sosiaali- ja terveydenhuollon tuottamien asiakastietojen ja asiakkaan itsensä tuottamien hyvinvointitietojen tietoturvallista käsittelyä hoidon ja sosiaalipalveluiden antamisen käyttötarkoituksissa. Lain tarkoituksena on myös edistää asiakkaan tiedonsaantimahdollisuuksia asiakastietojensa käsittelystä.

Tässä laissa säädetään sosiaali- ja terveydenhuollon asiakastietojen ja asiakkaan itsensä tuottamien hyvinvointitietojen sähköisestä käsittelystä terveydenhuollon ja sosiaalipalveluiden järjestämisen ja tuottamisen käyttötarkoituksissa. Tässä laissa säädetään myös hyvinvointitietojen käsittelystä kansalaisen oman hyvinvoinnin edistämisen tarkoituksessa.

Tässä laissa tarkoitetaan:

1) asiakkaalla sosiaalihuollon asiakkaan asemasta ja oikeuksista annetussa laissa (812/2000), jäljempänä asiakaslaki , tarkoitettua sosiaalihuollon asiakasta sekä potilaan asemasta ja oikeuksista annetussa laissa (785/1992), jäljempänä potilaslaki , tarkoitettua potilasta;

2) asiakasasiakirjalla asiakaslaissa ja sosiaalihuollon asiakasasiakirjoista annetussa laissa (254/2015), jäljempänä asiakasasiakirjalaki , tarkoitettua sosiaalihuollon asiakasasiakirjaa sekä potilaslaissa tarkoitettua potilasasiakirjaa;

3) asiakastiedolla potilasta koskevaa, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679, jäljempänä tietosuoja-asetus , 4 artiklan 1 kohdan mukaista henkilötietoa, joka sisältyy potilaslaissa tarkoitettuun terveydenhuollon potilasasiakirjaan sekä sosiaalihuollon asiakasta koskevaa henkilötietoa, joka sisältyy asiakaslaissa ja asiakasasiakirjalaissa tarkoitettuun sosiaalihuollon asiakasasiakirjaan;

4) palvelutapahtumalla terveydenhuollossa tapahtuvaa asiakaskontaktia, asiakaskäyntiä tai hoitojaksoa;

5) palvelutehtävällä asiakasasiakirjalain 3 §:n 4 kohdassa tarkoitettua palvelutehtävää;

6) tietojärjestelmällä ohjelmistoa, järjestelmää tai osajärjestelmää, joka valmistajan suunnittelemien ominaisuuksien mukaisesti on tarkoitettu käytettäväksi asiakastietojen sähköiseen käsittelyyn, asiakasasiakirjojen tallentamiseen ja ylläpitoon tai valtakunnallisiin tietojärjestelmäpalveluihin liittämiseen tai jolla sosiaali- ja terveydenhuollon ammattihenkilö voi hyödyntää hyvinvointitietoja;

7) tietojärjestelmän käyttöympäristöllä teknistä, organisatorista ja fyysistä ympäristöä, jossa yksi tai useampi palvelunantaja käyttää tietojärjestelmää tai tietojärjestelmäpalvelua sosiaali- ja terveyspalvelujen tuottamisessa ja asiakastietojen käsittelyssä;

8) palvelunantajalla sosiaali- ja terveyspalvelujen järjestäjää tai sosiaali- ja terveyspalveluntuottajaa;

9) palvelunjärjestäjällä palvelunantajaa, jolla on: a) viranomaisena velvollisuus huolehtia siitä, että asiakas saa hänelle lain tai viranomaisen päätöksen mukaan kuuluvan palvelun tai etuuden; tai b) yksityisenä palvelunantajana velvollisuus huolehtia siitä, että asiakas saa sopimuksen tai kuluttajansuojaa koskevien säännösten mukaisen, hänelle kuuluvan palvelun;

10) palveluntuottajalla palvelunantajaa, joka:a) palvelunjärjestäjän asemassa tuottaa itse sosiaali- tai terveyspalvelua; tai b) palvelunjärjestäjän lukuun tuottaa sosiaali- tai terveyspalvelua;

11) tietoturvallisuuden arviointilaitoksella sellaista yritystä, yhteisöä tai viranomaista, jonka Liikenne- ja viestintävirasto on hyväksynyt tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) perusteella suorittamaan tietojärjestelmien vaatimustenmukaisuuden arviointeja;

12) tietojärjestelmien yhteentoimivuudella kahden tai useamman tietojärjestelmän kykyä vaihtaa tietoja ja hyödyntää vaihdettuja tietoja;

13) hyvinvointitiedolla henkilön terveyttä ja hyvinvointia koskevia tietoja, jotka eivät sisälly asiakastietoihin ja jotka henkilö on tallentanut 14 kohdassa tarkoitettuun omatietovarantoon;

14) omatietovarannolla hyvinvointitietojen säilyttämistä ja käsittelemistä varten valtakunnallisiin tietojärjestelmäpalveluihin muodostettua keskitettyä sähköistä tietovarantoa;

15) hyvinvointisovelluksella yksityishenkilön käyttämää omatietovarantoon tai muihin valtakunnallisiin tietojärjestelmäpalveluihin liittyvää sovellusta, jolla käsitellään hyvinvointitietoja tai henkilön suostumuksella asiakastietoja;

16) arkistointipalvelulla tietovarantoa, jossa säilytetään ja jonka avulla hyödynnetään asiakastietoa tai muuta sosiaali- ja terveydenhuollon kannalta tarpeellista tietoa ja johon hyväksytyt tietojärjestelmät voidaan liittää;

17) tiedonhallintapalvelulla valtakunnallista tietojärjestelmäpalvelua, jolla ylläpidetään informointi-, suostumus- ja kieltoasiakirjoja- ja muita tahdonilmauksia sekä tuotetaan asiakastiedon yhteenvetoja;

18) tietojärjestelmäpalvelun tuottajalla tahoa, joka tarjoaa tai toteuttaa palvelunantajalle tietojärjestelmäpalvelua, jossa käsitellään asiakas- tai hyvinvointitietoa, ja joka vastaa tietojärjestelmän valmistajana, valmistajan lukuun tai yhden tai useamman valmistajan puolesta tietojärjestelmälle asetetuista vaatimuksista;

19) tietojärjestelmän valmistajalla tahoa, joka on vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta;

20) välittäjällä palvelunantajan tietojärjestelmäpalvelujen tuottamisessa, tietojärjestelmien teknisen tai fyysisen käyttöympäristön toteuttamisessa tai valtakunnallisiin tietojärjestelmäpalveluihin liittymisessä käyttämää palveluntarjoajaa, jolla on tässä roolissa mahdollisuus nähdä salaamattomia asiakastietoja, esimerkiksi ylläpitotoimien yhteydessä; sekä

21) sertifioinnilla menettelyä, jolla todennetaan tietojärjestelmän täyttävän sitä koskevat tuotantokäyttöä varten vaadittavat olennaiset vaatimukset.

Kansaneläkelaitos on valtakunnallisiin tietojärjestelmäpalveluihin kuuluvien tiedonhallintapalvelun, jäljempänä 12 §:ssä säädetyn omatietovarannon, luovutuslokirekisterin lokitietojen säilytyspalvelun ja sen omaan toimintaan liittyvien käyttölokien rekisterinpitäjä.

Kukin sosiaali- ja terveydenhuollon palvelunantaja on toiminnassaan syntyneiden käyttölokien rekisterinpitäjä.

Kukin sosiaali- ja terveydenhuollon palvelunantaja ja Kansaneläkelaitos ovat sosiaali- ja terveydenhuollossa syntyneiden luovutuslokien yhteisrekisterinpitäjiä. Kansaneläkelaitos vastaa jäljempänä 6 ja 13 §:ssä säädetyistä rekisterinpitäjän velvoitteista. Kansaneläkelaitos toimii tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä.

Ammattilaisen käyttöliittymän käyttölokien yhteisrekisterinpitäjiä ovat terveydenhuollon ammattihenkilö ja Kansaneläkelaitos. Kansaneläkelaitos toimii käyttöliittymän käyttölokien yhteyspisteenä.

Reseptikeskuksen rekisterinpitäjyydestä säädetään sähköisestä lääkemääräyksestä annetun lain (61/2007) 18 §:ssä.

Kun palveluntuottaja antaa sosiaali- ja terveyspalveluja palvelunjärjestäjän lukuun, vastaa palveluntuottaja:

1) asiakastietojen kirjaamisesta ja tallentamisesta palvelunjärjestäjän lukuun;

2) käyttöoikeuksien antamisesta asiakastietoihin omassa organisaatiossaan;

3) henkilötietojen käsittelyn aktiivisesta ohjauksesta ja valvonnasta organisaatiossaan;

4) alkuperäisten asiakasasiakirjojen toimittamisesta palvelunjärjestäjälle viipymättä; sekä

5) tietosuoja-asetuksessa ja viranomaisen toiminnan julkisuudesta annetussa laissa (621/1999), jäljempänä julkisuuslaki , säädettyjen asiakkaan oikeuksien toteuttamisesta yhdessä palvelunjärjestäjän kanssa.

Palvelunjärjestäjän ja palveluntuottajan on sovittava tarkemmin 1 momentin 4 kohdassa tarkoitettujen asiakasasiakirjojen toimittamisesta, 5 kohdassa tarkoitettujen tehtävien jakamisesta sekä muista tietosuoja-asetuksen 28 artiklassa tarkoitetuista seikoista.

Kansaneläkelaitoksen on järjestettävä asiakastietojen säilytystä ja käsittelyä varten seuraavat valtakunnalliset tietojärjestelmäpalvelut:

1) valtakunnallinen asiakastietojen arkistointipalvelu;

2) lokirekisterien säilytyspalvelu;

3) ammattilaisen käyttöliittymä sähköisen lääkemääräyksen käsittelyyn;

4) kansalaisen käyttöliittymä;

5) omatietovaranto;

6) tiedonhallintapalvelu;

7) reseptikeskus;

8) lääketietokanta; sekä

9) kysely- ja välityspalvelu.

Lisäksi valtakunnallisten tietojärjestelmäpalvelujen toteuttaminen edellyttää seuraavat valtakunnalliset palvelut:

1) koodistopalvelu; sekä

2) rooli- ja attribuuttipalvelu.

Sosiaali- ja terveysalan lupa- ja valvontaviraston on ylläpidettävä rooli- ja attribuuttitietopalvelua ja koodistoja, joiden avulla palvelunantajalle, apteekille, Kansaneläkelaitokselle ja Väestörekisterikeskukselle annetaan valtakunnallisten tietojärjestelmäpalveluiden käyttöä ja varmentamista varten sosiaali- ja terveydenhuollon ammattihenkilön ammatinharjoittamisoikeutta ja sen voimassaoloa koskeva tieto. Terveyden ja hyvinvoinnin laitos vastaa koodistopalvelun sisällöstä.

Väestörekisterikeskus toimii sosiaali- ja terveydenhuollon ammattihenkilöiden ja muun henkilöstön, palvelunantajien sekä näiden palvelujen antamiseen osallistuvien organisaatioiden, niiden henkilöstön ja tietoteknisten laitteiden vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009) tarkoitettuna varmentajana. Väestörekisterikeskuksella on oikeus saada näiden tehtäviensä hoitamiseksi Sosiaali- ja terveysalan lupa-, ja valvontavirastolta sen ylläpitämästä sosiaali- ja terveydenhuollon ammattihenkilöiden keskusrekisteristä varmenteen myöntämiseen ja peruuttamiseen, varmenteeseen, varmenteen tekniseen alustaan ja varmenteen toimittamiseen tarvittavat tiedot, jotka voidaan luovuttaa tietoturvallisen teknisen käyttöyhteyden välityksellä.

Sosiaali- ja terveysalan lupa-, ja valvontavirastolla on oikeus saada lakisääteisten tehtäviensä hoitamiseksi Väestörekisterikeskukselta tiedot sen tässä pykälässä mainituin perustein myöntämistä varmenteista. Tiedot voidaan luovuttaa teknisen käyttöyhteyden välityksellä.

Palvelunantajan on liityttävä 6 §:n 1 momentin 1, 6 ja 7 kohdassa tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi.

Yksityisen sosiaali- ja terveydenhuollon palvelunantajan on liityttävä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi, jos sillä on käytössään asiakas- ja potilastietojen käsittelyyn tarkoitettu tietojärjestelmä.

Ahvenanmaan maakunnan julkisen sosiaali- ja terveydenhuollon palvelujen antaja voi liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Tästä liittymisestä on kuitenkin säädettävä erikseen siten kuin Ahvenanmaan itsehallintolain HYPERLINK "https://www.finlex.fi/fi/laki/ajantasa/1991/19911144" \o "Ajantasainen säädös" (1144/1991) 32 §:ssä säädetään.

Sähköisestä asiakasasiakirjasta saa olla valtakunnallisessa arkistointipalvelussa vain yksi alkuperäinen tunnisteella yksilöity kappale. Alkuperäisestä asiakirjasta voidaan palvelun toteuttamiseksi tai muusta perustellusta syystä tehdä toinen tallenne, josta on käytävä ilmi, ettei se ole alkuperäinen asiakirja.

Valtakunnallisiin tietojärjestelmäpalveluihin liittymisen jälkeen palvelunantajan tulee tallentaa asiakasasiakirjojen alkuperäiset kappaleet valtakunnalliseen arkistointipalveluun. Ennen liittymistä syntyneet asiakasasiakirjat voidaan tallentaa valtakunnalliseen arkistointipalveluun. Arkistointipalveluun voidaan tallentaa asiakasasiakirjojen lisäksi myös muita sosiaali- ja terveydenhuollon järjestämiseen ja tiedonhallintaan liittyviä asiakirjoja.

Sosiaali- ja terveysministeriön asetuksella voidaan säätää milloin viimeistään ja missä laajuudessa 1 momentissa tarkoitetut alkuperäiset asiakirjat tulee tallentaa valtakunnalliseen arkistointipalveluun.

Tietojärjestelmien ja asiakasasiakirjojen tietorakenteiden tulee mahdollistaa sähköisten asiakasasiakirjojen ja asiakastietojen käyttö, luovuttaminen, säilyttäminen ja suojaaminen 7 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen avulla.

Palvelunantajan on luokiteltava erityistä suojausta edellyttävät asiakasasiakirjat ja asiakastiedot erillisellä vahvistuspyynnöllä suojattaviksi asiakastiedoiksi.

Sosiaali- ja terveysministeriö voi antaa asetuksen siitä, mitkä asiakasasiakirjat on luokiteltava erityistä suojausta edellyttäviksi.

Terveyden ja hyvinvoinnin laitos antaa määräykset valtakunnallisten tietojärjestelmäpalvelujen toteutuksen edellyttämistä tietojärjestelmien olennaisista vaatimuksista ja määrittää asiakasasiakirjojen tietosisällöt ja tietorakenteet sekä tietorakenteissa valtakunnallisesti hyödynnettävät koodistot.

Asiakirjojen eheys, muuttumattomuus ja kiistämättömyys on varmistettava sähköisellä allekirjoituksella tietojen sähköisessä käsittelyssä, tiedonsiirrossa ja säilytyksessä.

Luonnollisen henkilön sähköisessä allekirjoittamisessa on käytettävä kehittynyttä sähköistä allekirjoitusta, josta säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93 EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014. Myös vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa säädetään sähköisestä allekirjoituksesta. Organisaation ja tietoteknisten laitteiden allekirjoituksessa on käytettävä luotettavuudeltaan vastaavaa sähköistä allekirjoitusta.

Tiedonhallintapalvelu koostaa sosiaali- ja terveydenhuollon toteuttamisen kannalta keskeiset potilas tai asiakastiedot, joita palvelunantaja voi käyttää asiakkaan sosiaali- tai terveydenhuoltoa järjestettäessä tai tuotettaessa.

Tiedonhallintapalveluun on tallennettava tieto:

1) asiakkaalle annetusta informoinnista;

2) asiakkaan antamista asiakastietojaan koskevista kielloista;

3) muista asiakkaan terveyden- ja sairaanhoitoon tai sosiaalipalveluihin liittyvistä tahdonilmauksista; sekä

4) asiakkaan antamista asiakastietojaan koskevista suostumuksista.

Sosiaali- ja terveysministeriön asetuksella voidaan säätää siitä, mitkä ovat tiedonhallintapalvelun kautta näytettäviä keskeisiä tietoja.

Henkilö voi tallentaa hyvinvointitietojaan omatietovarantoon hyvinvointisovelluksilla tai kansalaisen käyttöliittymän kautta ja hyödyntää niitä sieltä hyvinvointinsa edistämiseksi. Henkilöllä on oikeus päättää tietojensa käytöstä, muuttamisesta ja poistamisesta omatietovarannosta.

Henkilö voi antaa suostumuksen siihen, että palvelunantaja saa käyttää omatietovarannossa olevia hyvinvointitietoja sosiaali- ja terveyspalveluja toteuttaessaan. Henkilö voi antaa suostumuksen myös hyvinvointitietojen hyödyntämiseen tutkimustarkoituksissa.

Henkilön omatietovarannossa olevat tiedot on säilytettävä, kunnes henkilö on poistanut ne omatietovarannosta tai 12 vuotta henkilön kuolemasta.

Valtakunnallisten tietojärjestelmäpalvelujen ja sinne talletettujen tietojen on oltava käytettävissä ympärivuorokautisesti. Tietojärjestelmäpalveluilla on oltava tarpeelliset varajärjestelmät toimintahäiriöiden ja poikkeusolojen varalle.

Kansaneläkelaitos vastaa

1) valtakunnallisten tietojärjestelmäpalvelujen edellyttämistä teknisistä määrittelyistä ja teknisistä ohjeista;

2) valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen asiakastietojen, hyvinvointitietojen ja muiden tietojen käytettävyydestä, eheydestä, muuttumattomuudesta, suojaamisesta, säilyttämisestä ja hävittämisestä;

3) vastuullaan olevien valtakunnallisten tietojärjestelmäpalvelujen toteutuksista siten, että asiakas- tai hyvinvointietoja ja muita valtakunnalliseen tietojärjestelmäpalveluihin tallennettuja tietoja luovutetaan siten kuin tässä laissa ja sosiaali- ja terveystietojen toissijaisesta käytöstä annetussa laissa ( / ) säädetään;

4) asiakas- ja hyvinvointitiedon käytön ja luovutuksen tallentumisesta lokirekisteriin;

5) koodistopalvelun tietoteknisestä toteuttamisesta;

6) valtakunnallisiin tietojärjestelmäpalveluihin liittyvästä tiedottamisesta väestölle.

Kansaneläkelaitoksella on oikeus:

1) saada Sosiaali- ja terveydenhuollon lupa- ja valvontavirastolta valtakunnallisiin tietojärjestelmäpalveluihin liittyvien lakisääteisten tehtävien hoitamiseksi tarvittavat tiedot sosiaali- ja terveydenhuollon ammattihenkilöistä;

2) käsitellä asiakas- ja hyvinvointitietoja siltä osin kuin valtakunnallisten tietojärjestelmänpalvelujen ylläpitoon kuuluvat tehtävät välttämättä edellyttävät;

3) päättää järjestelmän tietotekniseen toimintaan liittyvistä asioista, jollei tästä laista tai sen nojalla annetuista säännöksistä muuta johdu;

4) luovuttaa Kansaneläkelaitoksen rekisterinpidossa olevia asiakirjoja ja niiden lokitietoja asianosaisille organisaatioille seurantaa ja valvontaa varten;

5) suorittaa palveluidensa ja palveluissa säilytettävien tietojen käyttöön kohdentuvaa valvontaa tietoturvan lisäämiseksi;

6) salassapitovelvoitteiden estämättä saada Väestörekisterikeskukselta valtakunnallisia tietojärjestelmäpalveluita koskevien tehtävien hoitamiseksi tarvittavat tiedot.

Kansaneläkelaitos voi luovuttaa rekisterinpitäjänä tietoa valvonta- ja muille viranomaisille silloin, kun luovutuksensaajalla on tiedonsaantiin lakisääteinen oikeus. Kansaneläkelaitos voi laatia ja luovuttaa valtakunnallisten palveluiden ohjaamisesta, valvonnasta ja kehittämisestä vastaaville viranomaisille valtakunnallisissa tietojärjestelmäpalveluissa olevista tiedoista ja asiakirjojen kuvailutiedoista ja lokitiedoista yhteenvetoja, joilla on merkitystä valtakunnallisten palvelujen kehittämisessä, seurannassa tai raportoinnissa.

Valtakunnallisten tietojärjestelmäpalvelujen suojaamisessa noudatetaan, mitä julkisuuslain 36 §:ssä säädetään. Kansaneläkelaitos ei saa antaa valtakunnallisten tietojärjestelmäpalvelujen järjestämiseen liittyvien tässä laissa tarkoitettujen rekisterien eikä niihin liittyvien lokirekistereiden käsittelyä tai säilyttämistä ulkopuolisille.

Palvelunantajan on määriteltävä sosiaali- ja terveydenhuollon ammattihenkilön tai muun asiakastietoja käsittelevän henkilön oikeus käyttää asiakastietoja. Käyttöoikeus saadaan antaa vain kunkin ammattihenkilön ja muun asiakastietoja käsittelevän henkilön työtehtävissään tarvitsemiin välttämättömiin asiakastietoihin. Asiakastietojen käsittelyn perusteena on oltava tietoteknisesti varmistettu hoitosuhde tai asiayhteys.

Palvelunantajan on pidettävä rekisteriä asiakastietojärjestelmiensä ja asiakasrekisteriensä käyttäjistä sekä näiden käyttöoikeuksista.

Terveyden ja hyvinvoinnin laitos antaa määräykset niistä perusteista, joiden mukaisesti palvelunantajan on määriteltävä asiakastietoja käsittelevien henkilöiden käyttöoikeudet asiakastietoihin.

Palvelunantajan on annettava asiakkaalle tiedot hänen oikeuksistaan sekä hänen asiakastietoihinsa liittyvistä valtakunnallisista tietojärjestelmäpalveluista ja niiden yleisistä toimintaperiaatteista. Tiedot on annettava asiakkaalle viimeistään hänen ensimmäisen asiointinsa yhteydessä.

Terveyden ja hyvinvoinnin laitos vastaa asiakkaille annettavan informaation tietosisällöstä ja Kansaneläkelaitos vastaa informaatiomateriaalista.

Asiakastietojen sähköisessä käsittelyssä asiakas, palvelunantaja, muu asiakastietojen käsittelyn osapuoli ja näiden edustajat sekä tietotekniset laitteet on tunnistettava luotettavasti. Asiakastietoja käsittelevät henkilöt, palvelunantajat, tietotekniset laitteet ja valtakunnalliset tietojärjestelmäpalveluton tunnistettava todentamalla.

Sosiaali- ja terveysministeriön asetuksella voidaan säätää tarkemmin tunnistamisen ja todentamisen teknisistä keinoista. Ennen asetuksen antamista sosiaali- ja terveysministeriön tulee kuulla Väestörekisterikeskusta.

Asiakkaalla on oikeus kieltää sosiaalihuollon rekisterinpitäjää luovuttamasta itseään koskevia asiakastietoja toiselle sosiaalihuollon rekisterinpitäjälle valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Potilaalla on oikeus kieltää terveydenhuollon rekisterinpitäjää luovuttamasta häntä koskevia potilastietoja toiseen terveydenhuollon rekisteriin tai toiselle terveydenhuollon rekisterinpitäjälle valtakunnallisten tietojärjestelmäpalvelujen välityksellä. Huoltajalla ei ole oikeutta tehdä kieltoa alaikäisen huollettavansa puolesta.

Asiakas tai potilas voi kohdistaa kiellon kaikkiin sosiaali- ja terveydenhuollon asiakas- ja potilastietoihinsa. Sosiaalihuollossa kiellon voi kohdentaa palvelutehtävään tai yksittäiseen asiakasasiakirjaan. Terveydenhuollossa kiellon voi kohdentaa palvelutapahtumaan. Lisäksi kiellon voi kohdentaa julkiseen sosiaali- ja terveydenhuollon palvelunantajaan ja sen rekisteriin sekä työterveydenhuollon rekisteriin.

Kiellolla ei voi estää ammattihenkilön tai viranomaisen lakiin perustuvaa ja asiakkaan tahdonilmaisusta riippumatonta tiedonsaantioikeutta tietoon.

Potilaan terveydentilatietoja voidaan luovuttaa toiselle rekisterinpitäjälle kiellosta huolimatta, jos potilas on tajuton tai muutoin sellaisessa tilassa, ettei kykene arvioimaan kiellon merkitystä ja vaikutuksia ja sen mahdollista peruuttamista.

Sosiaalipalveluja annettaessa toiselle rekisterinpitäjälle ei saa luovuttaa voimassa olevan kiellon kohteena olevia asiakastietoja, jos kieltoa ei ole peruutettu, ellei asiakaslain 17—21 §:ssä tai muussa laissa toisin säädetä.

Kielto on voimassa toistaiseksi ja sen saa peruuttaa.

Asiakastietojen käsittelyä koskeva kiellon voi antaa valtakunnalliseen tietojärjestelmäpalveluun liittyneelle palvelunantajalle tai kansalaisen käyttöliittymän välityksellä. Palvelunantajan on toimitettava tieto annetusta kiellosta valtakunnalliseen tietojärjestelmäpalveluun viivytyksettä.

Kiellon vastaanottajan on annettava asiakkaan pyynnöstä hänelle tuloste kieltoasiakirjasta.

Kansaneläkelaitos määrittelee kieltoasiakirjan tietosisällön. Kieltoasiakirjasta on käytävä ilmi kiellon merkitys asiakastietojen käsittelyssä.

Terveydenhuollon potilastietoja saa luovuttaa 6 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen avulla toiselle terveydenhuollon rekisterinpitäjälle potilaan terveydenhuollon järjestämiseksi, tuottamiseksi ja toteuttamiseksi.

Potilasta koskevan tiedon luovutus toteutetaan valtakunnallisten tietojärjestelmäpalvelujen avulla terveydenhuollon rekisterinpitäjältä toiselle sen jälkeen, kun potilasta on informoitu 15 §:ssä tarkoitetulla tavalla ja hoitosuhteen olemassaolo potilaan ja luovutuspyynnön esittäjän välillä on tietoteknisesti varmistettu, ellei potilas ole kieltänyt tietojensa luovuttamista 17 §:n nojalla.

Henkilö voi antaa suostumuksen siihen, että hänen potilastietojaan voidaan luovuttaa sosiaalihuollon rekisterinpitäjälle sosiaalihuollon järjestämiseksi, tuottamiseksi ja toteuttamiseksi.

Potilastiedot voidaan luovuttaa potilaalle hyvinvointisovelluksen tai kansalaisen käyttöliittymän kautta. Saadakseen tiedot hyvinvointisovellukseen potilaan tulee ottaa hyvinvointisovellus käyttöön ja hyväksyä tietojen luovutus.

Sosiaalihuollon asiakastietoja saa luovuttaa 6 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen avulla toiselle sosiaalihuollon rekisterinpitäjälle asiakkaan sosiaalihuollon järjestämiseksi, tuottamiseksi ja toteuttamiseksi.

Luovutuspyyntöön perustuva asiakasta koskevan tiedon luovutus toteutetaan valtakunnallisten tietojärjestelmäpalvelujen avulla sosiaalihuollon rekisterinpitäjältä toiselle sen jälkeen, kun asiakasta on informoitu 15 §:ssä tarkoitetulla tavalla ja asiakassuhteen olemassaolo asiakkaan ja luovutuspyynnön esittäjän välillä on tietoteknisesti varmistettu, ellei asiakas ole kieltänyt tietojensa luovuttamista 17 §:n nojalla.

Henkilö voi antaa suostumuksen siihen, että hänen asiakastietojaan voidaan luovuttaa terveydenhuollon rekisterinpitäjälle terveydenhuollon järjestämiseksi, tuottamiseksi ja toteuttamiseksi.

Asiakastiedot voidaan luovuttaa asiakkaalle hyvinvointisovelluksen tai kansalaisen käyttöliittymän kautta. Saadakseen tiedot hyvinvointisovellukseen asiakkaan tulee ottaa hyvinvointisovellus käyttöön ja hyväksyä tietojen luovutus.

Valtakunnallisten tietojärjestelmäpalvelujen avulla voidaan välittää asiakirjoja sille sosiaali- ja terveydenhuollon ulkopuoliselle toimijalle, jota varten asiakirja on laadittu tai jolla on oikeus saada se lain nojalla. Asiakirjaan liitetty muu yksilöity asiakirja voidaan välittää samassa yhteydessä. Asiakasasiakirjojen välittäminen toteutetaan valtakunnalliseen tietojärjestelmäpalveluun kuuluvan kysely- ja välityspalvelun avulla.

Terveyden ja hyvinvoinnin laitos antaa määräykset siitä, mitkä asiakirjat saa välittää kysely-ja välityspalvelun avulla.

Henkilöllä on oikeus käsitellä toisen henkilön puolesta valtakunnalliseen tietojärjestelmäpalveluun talletettuja kyseistä henkilöä koskevia tietoja valtuutuksen tai holhoustoimesta annetun lain (442/1999) 29 §:n 2 momentin nojalla. Huoltajalla on oikeus käsitellä huollettavasta valtakunnalliseen tietojärjestelmäpalveluun talletettuja tietoja, ellei asiakaslain 11 §:n 3 momentista tai potilaslain 9 §:n 2 momentista muuta johdu.

Hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetun lain (571/2016) 10 §:n 1 momentin mukaan Väestörekisterikeskus vastaa asiointivaltuuspalvelujen välityspalvelusta.

Henkilö voi antaa tahdonilmauksia sekä hoitaa asiakkuuteensa ja asiakas- ja hyvinvointitietojensa hallinnointiin liittyviä asioita kansalaisen käyttöliittymällä.

Henkilölle voidaan näyttää tai toimittaa kansalaisen käyttöliittymän välityksellä valtakunnallisiin tietojärjestelmäpalveluihin hänestä tallennetut tiedot lukuun ottamatta sellaista tietoa, jota julkisuuslain 11 §:n 2 ja 3 momentin tai muun lainsäädännön mukaan asiakkaalla ei ole oikeutta saada. Lisäksi henkilölle voidaan näyttää käyttöliittymän välityksellä hänen tietojensa käsittelyä koskevat luovutus- ja käyttölokitiedot lukuun ottamatta luovutuksensaajan henkilötietoja.

Alaikäisen henkilön tiedot voidaan näyttää käyttöliittymän välityksellä hänen lisäkseen hänen huoltajalleen tai muulle lailliselle edustajalleen. Tiedot voidaan näyttää alaikäisen huoltajalle myös omatietovarantoon hyväksyttyjen hyvinvointisovellusten kautta. Tietojen näyttämisessä on otettava huomioon 2 momentissa säädetyn lisäksi, mitä potilaslain 9 §:n 2 momentissa ja asiakaslain 11 §:n 3 momentissa säädetään.

Henkilön tiedot voidaan näyttää käyttöliittymän välityksellä hänen valtuuttamalleen henkilölle.

Palvelunantajan on kerättävä lokitiedot asiakasrekisterikohtaisesti kaikesta asiakastietojen käytöstä ja luovutuksesta seurantaa ja valvontaa varten.

Käyttölokirekisteriin on tallennettava tieto käytetyistä asiakas- ja hyvinvointitiedoista, siitä palvelunantajasta, jonka asiakastietoja käytetään, asiakas- ja hyvinvointitietojen käyttäjästä, tietojen käyttötarkoituksesta ja käyttöajankohdasta sekä muista käytönvalvontaa ja seurantaa varten tarvittavista tiedoista.

Luovutuslokirekisteriin on tallennettava tieto luovutetuista asiakastiedoista, siitä palvelunantajasta, jonka asiakastietoja luovutetaan, asiakastietojen luovuttajasta, tietojen luovutustarkoituksesta, luovutuksensaajasta, luovutusajankohdasta sekä muista luovutusten valvontaa ja seurantaa varten tarvittavista tiedoista.

Kansaneläkelaitoksen on kerättävä seurantaa ja valvontaa varten 6 §:ssä tarkoitettuihin tietojärjestelmäpalveluihin tallennettujen ja niiden kautta luovutettujen tietojen luovutuslokitiedot, joista ilmenee luovutetut tietosisällöt, luovutuksen saaja ja luovutusajankohta muut tarvittavat tiedot sekä ammattilaisen käyttöliittymällä käsiteltyjen tietojen käyttölokitiedot. Edellä 6 §:ssä tarkoitettuun lokirekisterien säilytyspalveluun voidaan tallentaa palvelunantajan asiakasrekisteritietojen luovuttamista ja käyttöä koskevat lokitiedot.

Käyttöoikeus- ja lokitiedoista sekä tietojen vähimmäissäilytysajasta voidaan säätää tarkemmin sosiaali- ja terveysministeriön asetuksella. Terveyden ja hyvinvoinnin laitos voi antaa tarkempia määräyksiä lokirekistereihin tallennettavista tiedoista ja tietosisällöistä.

Asiakkaalla on oikeus saada asiakastietojensa käsittelyyn liittyvien oikeuksiensa selvittämistä tai toteuttamista varten palvelunantajalta kirjallisesta pyynnöstä kohtuullisessa ajassa tai viimeistään kahden kuukauden kuluessa lokirekisterin perusteella maksutta tieto siitä, kuka on käyttänyt tai kenelle on luovutettu häntä koskevia tietoja sekä mikä on ollut käytön tai luovutuksen peruste. Asiakkaalla on vastaava oikeus saada Kansaneläkelaitokselta tiedonhallintapalvelun, reseptikeskuksen, omatietovarannon lokitiedot, käytettyjen tai luovutettujen asiakas- ja hyvinvointitietojen lokitiedot sekä tiedot käyttö- ja luovutusajankohdasta siltä osin, kuin tiedot kuuluvat Kansaneläkelaitoksen rekisterinpitoon.

Asiakkaalla ei kuitenkaan ole oikeutta saada lokitietoja, jos sen, jolta niitä pyydetään, tiedossa on, että niiden antamisesta saattaisi aiheutua vakavaa vaaraa asiakkaan terveydelle tai hoidolle taikka jonkun muun oikeuksille. Myöskään kahta vuotta vanhempia lokitietoja ei ole oikeutta saada, jollei siihen ole erityistä syytä. Asiakas ei saa käyttää tai luovuttaa saamiaan lokitietoja edelleen muuhun tarkoitukseen kuin omien asiakastietojensa käsittelyyn liittyvien oikeuksiensa selvittämistä ja toteuttamista varten.

Jos asiakas pyytää uudestaan lokitietoja, jotka hän on jo saanut, palvelunantaja tai Kansaneläkelaitos voi periä lokitietojen antamisesta kohtuullisen korvauksen, joka ei saa ylittää tiedon antamisesta aiheutuvia välittömiä kustannuksia. Pääsystä lokitietoihin 23 §:ssä tarkoitetun katseluyhteyden avulla ei kuitenkaan saa periä maksua.

Jos palvelunantaja tai Kansaneläkelaitos katsoo, ettei lokitietoja saa antaa asiakkaalle, kieltäytymisestä on tehtävä kirjallinen päätös. Asiakkaalla on oikeus saattaa asia hallinto-oikeuden ratkaistavaksi.

Jos asiakas katsoo, että hänen asiakastietojaan on käytetty tai luovutettu ilman riittäviä perusteita, tietoja käyttäneen tai tietoja saaneen palvelunantajan tai Kansaneläkelaitoksen on annettava asiakkaalle pyynnöstä selvitys tietojen käytön tai luovuttamisen perusteista sekä esitettävä perusteltu käsityksensä siitä, onko tietojen käyttö tai luovuttaminen ollut asiallisesti perusteltua tai onko ilmennyt väärinkäyttöä. Jos palvelunantaja arvioi tietojen käsittelyn olleen lainvastaista, sen on oma-aloitteisesti ryhdyttävä tarvittaviin toimenpiteisiin.

Palvelunantajan on laadittava tietoturvaan ja tietosuojaan sekä tietojärjestelmien käyttöön liittyvä tietoturvasuunnitelma. Tietoturvasuunnitelmassa on selvitettävä, miten seuraavat asiakas- ja potilastietojen ja järjestelmien käsittelyyn liittyvät asiat varmistetaan:

1) henkilöillä, jotka käyttävät tietojärjestelmiä, on niiden käytön vaatima koulutus;

2) tietojärjestelmien yhteydessä on saatavilla niiden asianmukaisen käytön kannalta tarpeelliset käyttöohjeet;

3) tietojärjestelmiä käytetään tietojärjestelmäpalvelun tuottajan antaman ohjeistuksen mukaisesti;

4) tietojärjestelmiä ylläpidetään ja päivitetään tietojärjestelmäpalvelun tuottajan ohjeistuksen mukaisesti;

5) käyttöympäristö soveltuu tietojärjestelmien asianmukaiseen sekä tietoturvan ja tietosuojan varmistavaan käyttöön;

6) tietojärjestelmiin liitetyt muut tietojärjestelmät tai muut järjestelmät eivät vaaranna tietojärjestelmien suorituskykyä eivätkä niiden tietoturva- tai tietosuojaominaisuuksia;

7) tietojärjestelmiä asentaa, ylläpitää ja päivittää vain henkilö, jolla on siihen tarvittava ammattitaito ja asiantuntemus;

8) luokkaan A tai B kuuluvat tietojärjestelmät täyttävät käyttötarkoituksensa mukaiset 33 §:ssä säädetyt olennaiset vaatimukset; sekä

9) palvelunantajalla on suunnitelma siitä, miten omavalvonta järjestetään ja toteutetaan palvelunantajan toiminnassa.

Ennen liittymistään valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi on palvelunantajan tietoturvasuunnitelmassa selvitettävä, miten tietosuoja ja valtakunnallisten palvelujen tietoturvallisen käytön edellyttämät vaatimukset on varmistettu. Välittäjän on laadittava tietoturvasuunnitelma ja Kansaneläkelaitoksen on laadittava tietoturvasuunnitelma ylläpitämistään valtakunnallisista tietojärjestelmäpalveluista.

Terveyden ja hyvinvoinnin laitos voi tarvittaessa antaa tarkempia määräyksiä 1 ja 2 momentissa tarkoitetuista tietoturvasuunnitelmaan sisällytettävistä selvityksistä ja vaatimuksista ja tietoturvallisuuden todentamisesta.

Jokaisen sosiaali- ja terveydenhuollon palvelunantajan vastaavan johtajan on annettava kirjalliset ohjeet asiakastietojen käsittelystä ja noudatettavista menettelytavoista sekä huolehdittava henkilökunnan riittävästä asiantuntemuksesta ja osaamisesta asiakastietojen käsittelyssä. Kyseisen johtajan on myös huolehdittava, että 26 §:ssä tarkoitettu tietoturvasuunnitelma laaditaan ja sitä noudatetaan.

Tietosuojavastaavan nimittämisestä sekä tietosuojavastaavan asemasta ja tehtävistä säädetään tietosuoja-asetuksen 37 artiklassa.

Tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan on laadittava kuvaus tietojärjestelmän käyttötarkoituksesta ja siitä, kuinka tietojärjestelmä täyttää sitä koskevat olennaiset vaatimukset.

Sosiaali- ja terveydenhuollon tietojärjestelmät sekä hyvinvointisovellukset on jaoteltava käyttötarkoitustensa ja ominaisuuksiensa perusteella luokkiin A ja B. Luokkaan A kuuluvat:

1) Kansaneläkelaitoksen ylläpitämät valtakunnalliset tietojärjestelmäpalvelut;

2) valtakunnallisiin tietojärjestelmäpalveluihin liitettäviksi tarkoitetut asiakastietoja käsittelevät tietojärjestelmät ja tietojärjestelmäpalvelut;

3) valtakunnallisiin tietojärjestelmäpalveluihin talletettuja asiakastietoja käyttävät hyvinvointisovellukset;

4) muut käyttötarkoituksensa perusteella sertifioitavat tietojärjestelmät, tietojärjestelmäpalvelut tai välittäjien palvelut.

Muut kuin 2 momentissa tarkoitetut tietojärjestelmät, tietojärjestelmäpalvelut ja hyvinvointisovellukset kuuluvat luokkaan B.

Terveyden ja hyvinvoinnin laitos voi antaa määräyksiä tietojärjestelmien ja hyvinvointisovellusten luokkien määräytymisestä sekä käyttötarkoituksista ja palveluista, jotka edellyttävät sertifiointia. Terveyden ja hyvinvoinnin laitos päättää epäselvissä tilanteissa kuuluuko tietojärjestelmä luokkaan A tai B.

Tietojärjestelmäpalvelun tuottajan on ilmoitettava A tai B-luokkaan kuuluvasta tietojärjestelmästä Sosiaali- ja terveysalan lupa ja valvontavirastolle ennen sen ottamista tuotantokäyttöön. Ilmoituksessa on oltava tieto tietojärjestelmän valmistajasta ja käyttötarkoituksesta sekä 33 §:n mukainen selvitys käyttötarkoituksen mukaisten olennaisten vaatimusten täyttämisestä. Jos tietojärjestelmäpalvelun tuottaja on eri taho kuin valmistaja, ilmoituksessa on oltava tieto myös tietojärjestelmäpalvelun tuottajasta. Tietojärjestelmäpalvelun tuottajan on ilmoitettava tietojärjestelmän tuotantokäyttöön tarkoitetun version tuen päättymisestä tai siirtymisestä toiselle toimijalle.

Sosiaali- ja terveysalan lupa- ja valvontavirasto ylläpitää julkista rekisteriä sille ilmoitetuista sosiaali- ja terveydenhuollon tietojärjestelmistä. Rekisterissä on oltava tieto:

1) tuotantokäyttöön tarkoitetuista luokkaan A tai B kuuluvista tietojärjestelmistä, niiden käyttötarkoituksista sekä niiden täyttämistä olennaisista vaatimuksista;

2) luokkaan A kuuluvien tuotantokäyttöön hyväksyttyjen tietojärjestelmien yhteentoimivuuden testauksen tuloksista ja tulosten voimassaolosta; sekä

3) luokkaan A kuuluvien tuotantokäyttöön hyväksyttyjen tietojärjestelmien tietoturvallisuuden arvioinnista saadun vaatimustenmukaisuustodistuksen voimassaolosta.

Sosiaali- ja terveysalan lupa ja valvontavirasto voi antaa tarkempia määräyksiä ilmoituksen sisällöstä, voimassaolosta, ilmoituksen uudistamisesta ja rekisteriin merkittävistä tiedoista.

Luokkaan A kuuluvan tietojärjestelmän tai luokkaan A kuuluvan hyvinvointisovelluksen saa ottaa tuotantokäyttöön ja liittää valtakunnallisiin tietojärjestelmäpalveluihin sen jälkeen, kun tietojärjestelmä on sertifioitu.

Luokkaan A tai B kuuluvaa tietojärjestelmää ei saa ottaa tuotantokäyttöön, ellei siitä ole voimassa olevia tietoja sosiaali- ja terveysalan lupa- ja valvontaviraston ylläpitämässä rekisterissä tai luokkaan A kuuluvan tietojärjestelmän yhteentoimivuustestauksen hyväksynnän voimassaolo tai tietoturvallisuuden arvioinnin vaatimustenmukaisuustodistus on vanhentunut.

Tietojärjestelmäpalvelun tuottajan ja A-luokan hyvinvointisovelluksen valmistajan on seurattava ja arvioitava ajantasaisella järjestelmällisellä menettelyllä tietojärjestelmästä sen tuotantokäytön aikana saatavia kokemuksia. Tietojärjestelmän olennaisten vaatimusten merkittävistä poikkeamista on ilmoitettava kaikille järjestelmää käyttäville palvelujen antajille. Luokkaan A kuuluvien tietojärjestelmien merkittävistä poikkeamista on tietojärjestelmäpalvelun tuottajan ilmoitettava Kansaneläkelaitokselle ja Sosiaali- ja terveysalan lupa- ja valvontavirastolle, joka ilmoittaa tiedon tietoturvallisuuden arviointilaitokselle. Luokkaan A kuuluvien hyvinvointisovellusten merkittävistä poikkeamista tulee ilmoittaa Kansaneläkelaitokselle ja Sosiaali- ja terveysalan lupa- ja valvontavirastolle.

Tietojärjestelmäpalvelun tuottajan on seurattava tietojärjestelmien olennaisten vaatimusten muutoksia ja tehtävä tietojärjestelmiin muutosten edellyttämät korjaukset. Luokkaan A kuuluvan tietojärjestelmän tai luokkaan A kuuluvan hyvinvointisovelluksen olennaisista muutoksista on ilmoitettava tietoturvallisuuden arviointilaitokselle ja Kansaneläkelaitokselle. Vaatimustenmukaisuustodistus tai yhteentoimivuuden testaus on uudistettava, jos tietojärjestelmään tai hyvinvointisovellukseen tehdään merkittäviä muutoksia, tai olennaisia vaatimuksia on muutettu tavalla, joka edellyttää uutta sertifiointia.

Tietojärjestelmäpalvelun tuottajan on säilytettävä vaatimustenmukaisuutta koskevat ja muut valvonnan edellyttämät tiedot vähintään viisi vuotta tietojärjestelmän tuotantokäytön päättymisestä.

Terveyden ja hyvinvoinnin laitos voi antaa tarkempia määräyksiä siitä, mitkä ovat 1 momentissa tarkoitettuja merkittäviä poikkeamia ja miten niitä koskevat ilmoitukset tehdään.

Tietojärjestelmäpalvelun valmistaja on vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta riippumatta siitä, suorittaako se nämä toimet itse vai tekeekö joku muu ne sen lukuun. Hyvinvointisovelluksen valmistaja on vastuussa sovelluksen suunnittelusta ja valmistuksesta.

Tietojärjestelmäpalvelun tuottajan on laadittava kuvaus tietojärjestelmän käyttötarkoituksesta ja annettava tietojärjestelmän yhteydessä järjestelmän käyttäjälle yhteentoimivuuden, tietoturvallisuuden ja tietosuojan sekä toiminnallisuuden kannalta tarpeelliset tiedot ja ohjeet järjestelmän käyttöönotosta, tuotantokäytöstä ja ylläpidosta. Tietojärjestelmän mukana annettavien tietojen ja ohjeiden on oltava suomen-, ruotsin- tai englanninkielisiä. Tietojärjestelmää käyttävälle sosiaali- tai terveydenhuollon henkilöstölle tarkoitettujen tietojen ja ohjeiden on oltava suomen tai ruotsin kielisiä.

Tietojärjestelmän valmistajalla ja A-luokan hyvinvointisovelluksen valmistajalla on oltava laatujärjestelmä, jota sovelletaan tietojärjestelmän suunnitteluun ja valmistukseen tietojärjestelmän käyttötarkoituksen edellyttämällä tavalla.

Asiakastietojen käsittelyssä käytettävän tietojärjestelmän tai hyvinvointisovelluksen tulee täyttää yhteentoimivuutta, tietoturvaa ja tietosuojaa sekä toiminnallisuutta koskevat olennaiset vaatimukset. Vaatimusten on täytyttävä käytettäessä tietojärjestelmää sekä itsenäisesti että yhdessä muiden siihen liitettäviksi tarkoitettujen tietojärjestelmien kanssa.

Palvelunantajan käyttämien tietojärjestelmien on vastattava käyttötarkoitukseltaan palvelunantajan toimintaa ja täytettävä palvelunantajan toimintaan liittyvät olennaiset vaatimukset. Olennaiset vaatimukset voidaan täyttää yhden tai useamman tietojärjestelmän muodostaman kokonaisuuden kautta.

Tietojärjestelmä täyttää olennaiset vaatimukset silloin, kun se on suunniteltu, valmistettu ja toimii tietoturvaa ja tietosuojaa koskevien lakien ja niiden nojalla annettujen säännösten sekä yhteentoimivuutta koskevien kansallisten määrittelyjen mukaisesti. Toiminnallisuutta koskevat olennaiset vaatimukset täyttyvät, jos tietojärjestelmällä pystytään suorittamaan käyttötarkoituksen mukaisessa asiakas- ja potilastietojen käsittelyssä lakien ja niiden nojalla annettujen säännösten edellyttämät toiminnot. Luokkaan A kuuluvissa tietojärjestelmissä ja hyvinvointisovelluksissa olennaisten vaatimusten täyttäminen on todennettava sertifioinnilla. Tietojärjestelmäpalvelun tuottaja vastaa siitä, että tietojärjestelmä on sertifioitu.

Terveyden ja hyvinvoinnin laitos antaa tarkempia määräyksiä olennaisten vaatimusten sisällöstä ja siitä, mitkä olennaiset vaatimukset on täytettävä eri palveluissa käytettävissä tietojärjestelmissä. Lisäksi Kansaneläkelaitos voi antaa määräyksiä tässä laissa tai sähköisestä lääkemääräyksestä annetussa laissa tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin, liitettävien tässä laissa tarkoitettujen tietojärjestelmien yhteentoimivuuden todentamisessa noudatettavista menettelyistä.

Luokkaan A kuuluvan tietojärjestelmän vaatimustenmukaisuus on osoitettava tietojärjestelmäpalvelun tuottajan antamalla selvityksellä siitä, että järjestelmä täyttää käyttötarkoituksensa mukaiset toiminnallisuutta koskevat vaatimukset. Lisäksi luokkaan A kuuluvalle tietojärjestelmälle ja luokkaan A kuuluvalle hyvinvointisovellukselle on suoritettava sertifiointi. Sertifioinnin hyväksytty suorittaminen osoitetaan hyväksytyllä 35 § mukaisella yhteentoimivuuden testaamisella ja 36 §:n mukaisella tietoturvallisuuden arviointilaitoksen antamalla vaatimustenmukaisuustodistuksella.

Luokkaan B kuuluvan tietojärjestelmän vaatimustenmukaisuus on osoitettava tietojärjestelmäpalvelun tuottajan antamalla kirjallisella selvityksellä siitä, että tietojärjestelmä asianmukaisesti asennettuna, ylläpidettynä ja käytettynä täyttää käyttötarkoituksensa mukaiset olennaiset vaatimukset. Luokkaan B kuuluvan hyvinvointisovelluksen on täytettävä 4 momentin nojalla määrätyt hyväksymisedellytykset ja läpäistävä Kansaneläkelaitoksen koordinoima testaus.

Tietojärjestelmäpalvelun tuottaja vastaa luokkiin A tai B kuuluvan tietojärjestelmän olennaisten toiminnallisten vaatimusten arvioinnista. Tietojärjestelmäpalvelun tuottajan tulee vakuuttaa osana vaatimuksista annettavaa selvitystä, että järjestelmässä on toteutettu ne toiminnot, jotka selvityksen mukaisesti kuuluvat järjestelmän käyttötarkoitukseen.

Terveyden ja hyvinvoinnin laitos voi antaa määräyksiä vaatimustenmukaisuuden osoittamisessa noudatettavista menettelyistä ja annettavan selvityksen sisällöstä. Terveyden ja hyvinvoinnin laitos voi antaa määräyksiä myös omatietovarantoon liittyvien sovellusten hyväksymisedellytyksistä ja -menettelyistä.

Luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen on oltava yhteentoimiva valtakunnallisten tietojärjestelmäpalvelujen ja siihen liitettyjen muiden tietojärjestelmien kanssa. Yhteentoimivuus on osoitettava Kansaneläkelaitoksen järjestämässä yhteentoimivuuden testauksessa. Ennen yhteentoimivuuden testausta tietojärjestelmäpalvelun tuottajan on annettava Kansaneläkelaitokselle selvitys siitä, miten tietojärjestelmän toiminnallisuutta koskevat vaatimukset on toteutettu ja testattu. Yhteentoimivuuden testauksen ajankohdasta ja toteuttamisesta on sovittava Kansaneläkelaitoksen kanssa.

Tuotantokäyttöön otetun luokkaan A kuuluvan tietojärjestelmän on oltava mukana valtakunnallisiin tietojärjestelmäpalveluihin liitettävien muiden tietojärjestelmien yhteistestauksissa tietojärjestelmien keskinäisen yhteentoimivuuden varmistamiseksi. Kansaneläkelaitos päättää niistä tietojärjestelmistä, joiden tulee osallistua yhteentoimivuuden testaukseen. Yhteentoimivuuden testaukseen osallistuvien tietojärjestelmien tietojärjestelmäpalvelun tuottajat vastaavat itse testauksen niille aiheuttamista kustannuksista. Kansaneläkelaitos antaa yhteentoimivuuden testaukseen perustuvan puoltavan lausunnon yhteentoimivuutta koskevien vaatimusten täyttymisestä, kun ne on todennettu.

Edellä 1 momentissa säädetystä poiketen Kansaneläkelaitoksen ylläpitämille keskitetyille tietojärjestelmäpalveluille ei suoriteta erillistä yhteentoimivuuden testausta.

Luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen olennaisten tietoturvallisuusvaatimustenmukaisuuden arviointi suoritetaan tämän lain ja tietoturvallisuuden arviointilaitoksista annetun lain mukaisesti. Tämän lain mukaiseen tietoturvallisuuden arviointiin ei kuitenkaan sisälly tietojärjestelmäpalvelun tuottajan, valmistajan, hyvinvointisovelluksen valmistajan eikä käyttäjän toimitilojen arviointi eikä tarkastaminen. Vaatimustenmukaisuuden arviointi tehdään tietojärjestelmäpalvelun tuottajan tai hyvinvointisovelluksen valmistajan hakemuksesta.

Jos luokkaan A kuuluva tietojärjestelmä täyttää käyttötarkoituksensa mukaiset olennaiset tietoturvallisuusvaatimukset, tietoturvallisuuden arviointilaitoksen on annettava suorittamastaan vaatimustenmukaisuuden arvioinnista tuottajalle tai hyvinvointisovelluksen valmistajalle vaatimustenmukaisuustodistus sekä siihen liittyvä tarkastusraportti. Arviointi tai uudelleenarviointi on suoritettava tietojärjestelmän käyttötarkoitusta koskevien olennaisten vaatimusten tai järjestelmään tehtyjen muutosten laajuuden mukaisesti.

Tietoturvallisuuden arviointilaitos voi vaatia tietojärjestelmäpalvelun tuottajalta kaikki arvioinnin edellyttämät tiedot vaatimustenmukaisuustodistuksen laatimiseksi ja ylläpitämiseksi. Todistuksen antamiseen sovelletaan muutoin, mitä tietoturvallisuuden arviointilaitoksista annetun lain 9 §:ssä säädetään. Vaatimustenmukaisuustodistus on voimassa enintään viisi vuotta. Todistuksen voimassaoloa voidaan jatkaa enintään viideksi vuodeksi kerrallaan.

Jos tietoturvallisuuden arviointilaitos toteaa, ettei tietojärjestelmä tai hyvinvointisovellus ole täyttänyt tai ei enää täytä tässä laissa tai sen nojalla säädettyjä vaatimuksia tai että vaatimustenmukaisuustodistusta ei muutoin olisi tullut myöntää, laitoksen on kehotettava tietojärjestelmäpalvelun tuottajaa tai hyvinvointisovelluksen valmistajaa korjaamaan puutteet.

Arviointilaitos voi peruuttaa todistuksen määräajaksi tai kokonaan taikka myöntää sen rajoitettuna, jollei tietojärjestelmäpalvelun tuottaja tai hyvinvointisovelluksen valmistaja korjaa puutteellisuuksia arviointilaitoksen asettamassa määräajassa. Määräajan pituutta määritettäessä on otettava huomioon tietojärjestelmän korjaamiseksi tarvittava kohtuullinen aika.

Tietoturvallisuuden arviointilaitoksen on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle, Kansaneläkelaitokselle ja Terveyden ja hyvinvoinnin laitokselle tiedot kaikista myönnetyistä, muutetuista, täydennetyistä, määräajaksi tai kokonaan peruutetuista ja evätyistä vaatimustenmukaisuustodistuksista sekä 37 §:n mukaisista kehotuksista tai rajoituksista.

Tietoturvallisuuden arviointilaitoksen on pyydettäessä annettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle kaikki tarvittavat lisätiedot tietojärjestelmistä ja A-luokan hyvinvointisovelluksista, joille arviointilaitos on myöntänyt vaatimuksenmukaisuustodistuksen.

Sosiaali- ja terveydenhuollon asiakastiedon sähköisen käsittelyn ja siihen liittyvän tietohallinnon yleinen suunnittelu, ohjaus ja valvonta sekä päätöksenteko merkittävien tietohallintohankkeiden kokonaisrahoituksesta kuuluvat sosiaali- ja terveysministeriölle. Väestörekisterikeskuksen hoitaman varmennepalvelun yleinen ohjaus ja valvonta kuuluvat kuitenkin sosiaali- ja terveysministeriölle ja valtiovarainministeriölle yhteisesti.

Terveyden ja hyvinvoinnin laitos vastaa sosiaali- ja terveydenhuollon asiakastiedon sähköisen käsittelyn, siihen liittyvän tietohallinnon, 6 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen ja yhteisten hallinnonalakohtaisten tietovarantojen käytön ja toteuttamisen suunnittelusta, ohjauksesta ja seurannasta.

Sosiaali- ja terveysalan lupa- ja valvontavirasto sekä aluehallintovirasto toimialueellaan ohjaavat ja valvovat niille säädetyn toimivallan mukaisesti osaltaan tämän lain noudattamista.

Tietosuojan ja tietoturvan seurannan ja valvonnan toteuttamiseksi palvelunantajalla on oikeus saada Kansaneläkelaitokselta omien asiakasrekisteriensä lokitiedot, 11 §:ssä tarkoitetussa tiedonhallintapalvelussa olevien tietojen käsittelyyn liittyvät lokitiedot ja 12 §:ssä tarkoitetut kansalaisen omatietovarannon lokitiedot siltä osin kuin asianomaisen palvelujen antajan henkilökunta on katsellut ja käsitellyt asiakkaan tiedonhallintapalvelussa ja omatietovarannossa olevia tietoja, jos se on tarpeen asiakkaan asiakastietojen käsittelyn lainmukaisuuden selvittämiseksi.

Sosiaali- ja terveysalan lupa- ja valvontaviraston tehtävänä on valvoa ja edistää tietojärjestelmien vaatimustenmukaisuutta.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus tehdä valvonnan edellyttämiä tarkastuksia. Tarkastuksen suorittamiseksi tarkastajalla on oikeus päästä kaikkiin tiloihin, joissa harjoitetaan tässä laissa tarkoitettua toimintaa tai säilytetään tämän lain noudattamisen valvonnan kannalta merkityksellisiä tietoja. Tarkastusta ei kuitenkaan saa tehdä pysyväisluonteiseen asumiseen käytettävissä tiloissa. Lisäksi tarkastusta toteutettaessa on noudatettava, mitä hallintolain (434/2003) 39 §:ssä säädetään.

Tarkastuksessa on esitettävä kaikki tarkastajan pyytämät asiakirjat, jotka ovat tarpeellisia tarkastuksen toimittamiseksi. Lisäksi tarkastajalle on annettava maksutta hänen pyytämänsä jäljennökset tarkastuksen toimittamiseksi tarpeellisista asiakirjoista.

Tarkastuksesta on laadittava pöytäkirja, josta on toimitettava jäljennös 30 päivän kuluessa asianosaiselle. Tarkastus katsotaan päättyneeksi, kun tarkastuspöytäkirjan jäljennös on annettu tiedoksi asianosaiselle. Sosiaali- ja terveysalan lupa- ja valvontaviraston on säilytettävä tarkastuspöytäkirja kymmenen vuoden ajan tarkastuksen päättymisestä lukien.

Jos palvelunantaja havaitsee, että tietojärjestelmän olennaisten vaatimusten täyttymisessä on merkittäviä poikkeamia, sen on ilmoitettava asiasta tietojärjestelmäpalvelun tuottajalle. Jos poikkeama voi aiheuttaa merkittävän riskin asiakasturvallisuudelle, tietoturvalle tai tietosuojalle, on palvelunantajan, apteekin, tietojärjestelmäpalvelun tuottajan, valmistajan, Kansaneläkelaitoksen tai Terveyden ja hyvinvoinnin laitoksen ilmoitettava siitä Sosiaali- ja terveysalan lupa- ja valvontavirastolle. Myös muu taho voi ilmoittaa Sosiaali- ja terveysalan lupa- ja valvontavirastolle havaitsemistaan riskeistä.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus saada maksutta ja salassapitosäännösten estämättä valtakunnallisten tietojärjestelmien valvontaa varten välttämättömät tiedot valtion ja kunnan viranomaisilta sekä luonnollisilta ja oikeushenkilöiltä, joita tämän lain tai sen nojalla annetut säännökset ja päätökset valtakunnallisista tietojärjestelmistä koskevat.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus käyttää ulkopuolisia asiantuntijoita avustajina, kun arvioidaan tietojärjestelmän vaatimustenmukaisuutta. Ulkopuoliset asiantuntijat voivat osallistua tämän lain mukaisiin tarkastuksiin sekä tutkia ja testata tietojärjestelmiä, mutta eivät voi tehdä hallintopäätöksiä. Ulkopuolisella asiantuntijalla tulee olla tehtävien edellyttämä asiantuntemus ja pätevyys.

Ulkopuoliseen asiantuntijaan sovelletaan virkamiehen esteellisyyttä koskevia hallintolain säännöksiä sekä rikosoikeudellista virkavastuuta koskevia säännöksiä hänen suorittaessaan tässä laissa tarkoitettuja tehtäviä.

Ulkopuoliset asiantuntijat eivät saa luvatta ilmaista, mitä he asemansa, tehtävänsä tai työnsä vuoksi ovat saaneet tietää toisen terveydentilasta, sairaudesta tai vammaisuudesta taikka häneen kohdistuvista sosiaali- ja terveydenhuollon toimenpiteistä tai muista vastaavista seikoista. Vaitiolovelvollisuus säilyy tehtävän päättymisen jälkeen.

Jos sosiaali- tai terveydenhuollon tietojärjestelmäpalvelun tuottaja tai valmistaja, palvelunantaja, välittäjä taikka Kansaneläkelaitos on laiminlyönyt tässä laissa säädetyn velvollisuutensa, Sosiaali- ja terveysalan lupa- ja valvontavirasto voi määrätä velvollisuuden täytettäväksi määräajassa.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi tehdessään 40 §:n nojalla tietojärjestelmää koskevan valvonnan ja tarkastuksen samalla määrätä tietojärjestelmäpalvelun tuottajan tai valmistajan korjaamaan tuotantokäytössä olevia tietojärjestelmiä koskevat puutteet.

Jos tietojärjestelmä voi vaarantaa tietosuojan taikka asiakas- tai potilasturvallisuuden, tai toteuttaa puutteellisesti käyttötarkoituksen mukaiset olennaiset vaatimukset, eikä puutteita ole korjattu Sosiaali- ja terveysalan lupa- ja valvontaviraston asettamassa määräajassa, virasto voi kieltää tietojärjestelmän käytön, kunnes puutteet on korjattu. Lisäksi Kansaneläkelaitos voi sulkea yhteyden ylläpitämiinsä valtakunnallisiin tietojärjestelmäpalveluihin, jos niihin liitetty tietojärjestelmä tai sen käyttäjätaho vaarantaa valtakunnallisten tietojärjestelmäpalvelujen asianmukaisen toiminnan.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi velvoittaa tietojärjestelmäpalvelun tuottajan tai sen valtuuttaman edustajan tiedottamaan tietojärjestelmän tuotantokäyttöä koskevasta kiellosta tai määräyksestä asettamassaan määräajassa ja määräämällään tavalla.

Sosiaali- ja terveydenhuollon sähköistä tiedonhallintaa koskevien periaatekysymysten käsittelyä, 6 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen toteutusta sekä palvelujen käyttäjien tietojärjestelmien yhtenäistämistä ja kehittämistä varten on sosiaali- ja terveysministeriön yhteydessä sosiaali- ja terveydenhuollon sähköisen tietohallinnon neuvottelukunta. Neuvottelukunnan tehtävistä ja kokoonpanosta säädetään tarkemmin valtioneuvoston asetuksella.

Kansaneläkelaitoksen ja Väestörekisterikeskuksen hoitamien 6 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen käyttö on palvelujen antajille maksullista. Kunnallisen sosiaali- ja terveydenhuollon maksut peritään sairaanhoitopiireittäin sairaanhoitopiirin kuntayhtymältä. Kansaneläkelaitoksen perimät maksut säädetään valtion maksuperustelain (150/1992) 10 §:ssä säädetyn estämättä sosiaali- ja terveysministeriön asetuksella sellaisiksi, että ne vastaavat palvelujen hoidosta aiheutuvien kustannusten määrää. Maksujen tulee lisäksi turvata Kansaneläkelaitoksen palvelurahaston maksuvalmius. Väestörekisterikeskuksen suoritteista perittävistä maksuista säädetään valtion maksuperustelaissa ja sen nojalla.

Kansaneläkelaitoksen ja Väestörekisterikeskuksen tulee toimittaa vuosittain sosiaali- ja terveysministeriölle selvitys edellisen vuoden kustannuksista ja kustannuksiin vaikuttaneista tekijöistä sekä arvio seuraavan vuoden käyttömaksujen perustana olevista kokonaiskustannuksista.

Tietojärjestelmäpalvelun tuottaja vastaa vaatimustenmukaisuuden osoittamisen aiheuttamista kustannuksista. Kansaneläkelaitoksella on oikeus periä maksu 35 §:ssä tarkoitetusta yhteentoimivuuden testauksesta valtion maksuperustelain 6 §:n 1 momentissa tarkoitetun omakustannusarvon mukaisesti. Sosiaali- ja terveysalan lupa- ja valvontavirastolle 29 §:n mukaan tehtävän ilmoituksen rekisteröinti ja merkintä julkiseen rekisteriin on maksullinen. Maksusta säädetään sosiaali- ja terveysministeriön asetuksella ottaen huomioon, mitä valtion maksuperustelaissa ja sen nojalla maksuista säädetään. Tietoturvallisuuden arviointilaitoksen hyväksymisestä perittävistä maksuista säädetään tietoturvallisuuden arviointilaitoksista annetun lain 11 §:ssä.

Joka tahallaan tai törkeästä huolimattomuudesta rikkoo 16 §:ssä säädettyä tunnistamisvelvollisuutta, luovuttaa lokitietoja 25 §:n vastaisesti, luovuttaa asiakastietoja ilman 19—21 §:ssä edellytettyä asiakkaan suostumusta tai luovutuksen oikeuttavaa lain säännöstä taikka laiminlyö 15 §:ssä säädetyn informointivelvollisuuden ja siten vaarantaa asiakkaan yksityisyyden suojaa tai muutoin hänen oikeuksiaan, on tuomittava, jollei teosta muualla laissa säädetä ankarampaa rangaistusta, sosiaali- ja terveydenhuollon asiakastietojen käsittelyrikkomuksesta sakkoon.

Rangaistus tietomurrosta säädetään rikoslain (39/1889) 38 luvun 8 §:ssä ja rangaistus henkilörekisteririkoksesta rikoslain mainitun luvun 9 §:ssä. Salassapitovelvollisuuden rikkomisesta säädetään mainitun luvun 1 tai 2 §:ssä, jollei teko ole rangaistava mainitun lain 40 luvun 5 §:n mukaan tai siitä muualla laissa säädetä ankarampaa rangaistusta.

Poliisin antamasta virka-avusta säädetään poliisilaissa (872/2011).

Sosiaali- ja terveysalan lupa- ja valvontaviraston tämän lain nojalla antamaa määräystä tai tekemää päätöstä voidaan tehostaa uhkasakolla. Uhkasakosta säädetään uhkasakkolaissa (1113/1990).

Sosiaali- ja terveysalan lupa- ja valvontaviraston tämän lain nojalla tekemään päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa (586/1996) säädetään. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla korkeimpaan hallinto-oikeuteen vain, jos korkein hallinto-oikeus myöntää valitusluvan.

Sosiaali- ja terveysalan lupa- ja valvontaviraston tekemän tarkastuksen yhteydessä annettuun päätökseen saa vaatia oikaisua lupa- ja valvontavirastolta 30 päivän kuluessa tarkastuksen päättymisestä. Sosiaali- ja terveysalan lupa- ja valvontaviraston oikaisuvaatimuksen johdosta antamaan päätökseen saa hakea muutosta valittamalla siten kuin 1 momentissa säädetään.

Sosiaali- ja terveysalan lupa- ja valvontaviraston tämän lain nojalla tekemää päätöstä tai määräystä on muutoksenhausta huolimatta noudatettava, jollei muutoksenhakuviranomainen toisin määrää.

Tämä laki tulee voimaan päivänä kuuta 20 .

Lailla kumotaan sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annettu laki (159/2007).

Lain 7 §:n mukaista liittymisvelvoitetta valtakunnallisiin tietojärjestelmäpalveluihin 6 §:n 1 momentin 1 kohdan osalta sovelletaan julkisessa sosiaalihuollossa viimeistään 1.1.2023 ja yksityisessä sosiaalihuollossa viimeistään 1.1.2025. Lain 14 §:ää sovelletaan sosiaalihuollon asiayhteyden tietoteknisen varmistamisen osalta viimeistään 1päivänä tammikuuta 2021 tai viimeistään silloin, kun sosiaalihuollon asiakasasiakirjoja luovutetaan 6 §:n 1 momentin 1 kohdan mukaisesta arkistointipalvelusta.

Lain 17 §:ää sovelletaan viimeistään silloin, kun asiakasasiakirjoja luovutetaan 6 §:n 1 momentin 1 kohdassa mainitusta arkistointipalvelusta.

Lain 18 §:ää sovelletaan sosiaalihuollossa 1 päivänä tammikuuta 2021 lukien tai viimeistään silloin, kun sosiaalihuollon asiakasasiakirjoja luovutetaan 6 §:n 1 momentin 1 kohdan mukaisesta arkistointipalvelusta.

Lain 20 §:ää § sovelletaan viimeistään 1 päivänä tammikuuta 2021.

Asiakastietojen käsittelystä säädetään lisäksi sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa ( / ), jäljempänä asiakastietolaki , sosiaalihuollon asiakkaan asemasta ja oikeuksista annetussa laissa (812/2000), jäljempänä asiakaslaki , viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999), jäljempänä julkisuuslaki , hallintolaissa (434/2003), sähköisestä asioinnista viranomaistoiminnassa annetussa laissa (13/2003), vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista annetussa laissa (617/2009), väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista annetussa laissa (661/2009), arkistolaissa (831/1994) sekä potilaan asemasta ja oikeuksista annetussa laissa (785/1992).

Tässä laissa tarkoitetaan:

6) asiakastiedolla sosiaalihuollossa saatua henkilötietoa, joka on kirjattu tai on tämän lain mukaan kirjattava sosiaalihuollon asiakasasiakirjaan;

Asiakasasiakirjoihin kirjataan aina seuraavat perustiedot:

1) asiakirjan nimi;

2) asiakkaan nimi sekä henkilötunnus tai, ellei se ole tiedossa, hänet väliaikaisesti yksilöivä tunnus tai syntymäaika;

3) palvelunjärjestäjän, palveluntuottajan ja tarvittaessa palveluntoteuttajan nimi ja yksilöintitunnus;

4) asiakirjan laatijan tai kirjauksen tehneen henkilön nimi sekä virka-asema tai tehtävä toimintayksikössä;

5) asiakirjan laatimisen tai kirjaamisen ajankohta; sekä

6) mahdollinen tieto asiakkaan tai hänen laillisen edustajansa yhteystietoja koskevasta turvakiellosta.

Lisäksi asiakirjoihin kirjataan seuraavat asianosaisia koskevat perustiedot silloin, kun ne vaikuttavat asiakkaan palveluun tai asiakirjassa esitettyihin ratkaisuihin:

1) asiakkaan äidinkieli ja asiointikieli, yhteystiedot ja kotikunta;

2) jos asiakirja koskee alaikäistä asiakasta, hänen huoltajansa tai muun laillisen edustajansa nimi, yhteystiedot ja toimivalta sekä huoltajuudesta erotetun vanhemman mahdollinen tiedonsaantioikeus;

3) täysi-ikäiselle asiakkaalle määrätyn laillisen edustajan tai asiakkaan valtuuttaman henkilön nimi, yhteystiedot ja toimivalta; sekä

4) tarvittaessa asiakkaan omaisen, läheisen tai muun asiakkaan hoitoon tai huolenpitoon osallistuvan henkilön nimi, yhteystiedot ja rooli asiassa.

Kun asiakasta koskevia tietoja luovutetaan sivulliselle, tietojen luovuttajan on voitava todentaa:

1) mitä tietoja on luovutettu;

2) kenelle tiedot on luovutettu;

3) milloin tiedot on luovutettu;

4) kuka tiedot on luovuttanut;

5) luovutuksen perusteena oleva säännös tai suostumusta koskevat tiedot; sekä

6) käyttötarkoitus, johon tiedot on luovutettu.

Kun asiakasta koskevia tietoja saadaan muualta kuin asiakkaalta itseltään, tietojen vastaanottajan on voitava todentaa:

1) mitä tietoja on hankittu tai saatu;

2) keneltä tiedot on saatu;

3) milloin tiedot on saatu;

4) henkilö, joka tiedot on pyytänyt, jos ne on hankittu oma-aloitteisesti;

5) tiedon hankkimisen tai saamisen perusteena oleva säännös tai suostumusta koskevat tiedot; sekä

6) käyttötarkoitus, johon tiedot on hankittu tai saatu.

Sosiaalihuollon viranomaisen velvollisuudesta huolehtia asiakirjojen tallentamisesta säädetään asiakastietolain 7 §:ssä.

Sosiaalihuollon viranomaisen on tallennettava sosiaalihuollon henkilörekisteriin yksityisen henkilön palveluntarpeen selvittämiseksi tehdyt ilmoitukset ja pyynnöt sekä niiden käsittelyä koskevat tiedot sekä muut asiakasasiakirjat.

Kaikista henkilörekisteriin tallennettavista asiakasasiakirjoista on käytävä ilmi, mihin palvelutehtävään tai palvelutehtäviin se liittyy.

Sähköisesti tallennettujen asiakastietojen käyttöoikeuksista on säädetty asiakastietolain 14 §:ssä. Sosiaali- ja terveydenhuollon ammatillisen henkilöstön käyttöoikeudet sähköisesti tallennettuihin sosiaalihuollon asiakastietoihin on määriteltävä palvelutehtävittäin ja ottaen huomioon kunkin henkilön tehtävät.

Sosiaali- ja terveydenhuollon palvelunantajan asiakastietojen sähköisen käytön ja luovutuksen seurantaan liittyvistä lokitiedoista, käyttöloki- ja luovutuslokirekistereistä sekä niiden säilytysajoista säädetään asiakastietolain 24 §:ssä.

Sosiaalihuollon asiakirjat, jotka tallennetaan sähköisesti asiakastietolaissa tarkoitettuun valtakunnalliseen arkistointipalveluun, säilytetään pysyvästi.

Sen 22 §:n 1 ja 2 momenttia sovelletaan silloin, kun organisaatio liittyy valtakunnalliseen sosiaalihuollon arkistoon, kuitenkin viimeistään 1 päivästä tammikuuta 2023.

Tämä laki tulee voimaan päivänä kuuta 20 .

Tämän lain tarkoituksena on parantaa potilas- ja lääketurvallisuutta sekä helpottaa ja tehostaa lääkkeen määräämistä ja toimittamista toteuttamalla järjestelmä, jossa potilaan lääkemääräykset, voidaan tallettaa sähköisesti valtakunnalliseen reseptikeskukseen ja jossa reseptikeskukseen talletettujen lääkemääräysten perusteella voidaan lääkkeet toimittaa potilaalle hänen haluamanaan ajankohtana hänen valitsemastaan apteekista. Reseptikeskukseen talletetut lääkemääräykset mahdollistavat potilaan kokonaislääkityksen selvittämisen ja huomioon ottamisen lääkehoitoa toteutettaessa. Lisäksi reseptikeskukseen koottuja tietoja voidaan hyödyntää terveydenhuollon viranomaistoiminnassa.

Tässä laissa tarkoitetaan:

4) reseptikeskuksella tietokantaa, joka koostuu lääkkeen määrääjien tallentamista sähköisistä lääkemääräyksistä, apteekkien 12 §:ssä mainituin perustein tallentamista lääkemääräyksistä, ja sosiaali- ja terveydenhuollon palvelunantajien, 23 §:ssä mainituin perustein potilaille luovutettuja lääkkeitä koskevista tiedoista, lääkemääräyksiin liitetyistä toimitustiedoista ja lääkehoidon arviointiin liittyvistä merkinnöistä;

9) pro auctore -lääkemääräyksellä kirjallista lääkemääräystä, jolla lääkäri, hammaslääkäri, optikko tai suuhygienisti määrää ammattinsa harjoittamisen yhteydessä tarvittavaa lääkettä.

Potilaalle on annettava tiedot sähköisestä lääkemääräyksestä ja siihen liittyvistä potilaan oikeuksista ennen lääkemääräyksen laatimista. Lisäksi potilaalle tulee antaa tiedot sähköiseen lääkemääräykseen liittyvistä valtakunnallisista tietojärjestelmäpalveluista, niiden yleisistä toimintaperiaatteista sekä näiden tietojärjestelmäpalvelujen järjestäjästä.

Terveydenhuollon palvelujen antajan tulee antaa tiedot potilaalle henkilökohtaisesti kirjallisesti tai suullisesti. Tiedot voidaan antaa myös potilaan yksilöivän sähköisen palvelun välityksellä. Jos tiedot annetaan muulla tavalla kuin kirjallisesti, on potilaalla oltava mahdollisuus saada tiedot myös kirjallisena. Annetuista tiedoista tulee tehdä merkintä 16 a §:ssä tarkoitettuun tiedonhallintapalveluun.

Lääkemääräys on laadittava sähköisesti lukuun ottamatta pro auctore -lääkemääräystä ja lääkkeellisiä kaasuja, jotka voidaan laatia kirjallisesti sekä potilaskohtaisen erityisluvan edellyttäviä lääkevalmisteita koskevia lääkemääräyksiä, jotka voidaan laatia joko kirjallisesti tai sähköisesti. Jos sähköinen määrääminen ei ole teknisen häiriön vuoksi mahdollista, lääkemääräyksen saa tehdä myös kirjallisesti tai puhelinlääkemääräyksenä. Kirjallisen tai puhelinlääkemääräyksen voi tehdä myös apteekin pyynnöstä, jos apteekki ei pysty toimittamaan sähköistä lääkemääräystä teknisen häiriön takia. Lisäksi lääkemääräyksen voi laatia kirjallisesti tai puhelimitse, jos lääkehoidon tarve on kiireellinen eikä lääkemääräystä voi olosuhteiden poikkeuksellisuuden vuoksi tai muusta erityisestä syystä laatia sähköisesti.

Lääkemääräyksessä saa olla 1 momentissa tarkoitettujen tietojen lisäksi muuta lääkkeen määräämisen, käytön ja toimittamisen sekä lääkehoidon toteuttamisen ja seurannan kannalta merkityksellistä tietoa.

Väestörekisterikeskus vastaa varmennepalvelusta asiakastietolain 6 §:n mukaisesti. Sosiaali- ja terveysministeriön asetuksella annetaan tarkemmat säännökset siitä, miten lääkemääräyksen laatijan oikeus lääkkeen määräämiseen varmennetaan ja varmennepalvelu toteutetaan. Ennen asetuksen antamista sosiaali- ja terveysministeriön tulee kuulla Väestörekisterikeskusta siltä osin kuin asiassa on kysymys edellä tarkoitetusta Väestörekisterikeskukselle kuuluvasta tehtävästä.

Jos lääkkeen määrääjä päättää potilaalla jatkuvassa käytössä olevan lääkkeen käytön lopettamisesta, tulee tästä tallentaa merkintä reseptikeskukseen.

Sähköisen lääkemääräyksen korjaamisesta, mitätöimisestä, uudistamisesta ja uudistamisen estämisestä, sekä lääkkeen käytön lopettamismerkinnästä voidaan antaa tarkempia säännöksiä sosiaali- ja terveysministeriön asetuksella.

Apteekilla on oikeus saada tietoja reseptikeskukseen tallennetuista lääkemääräyksistä ja niiden toimitustiedoista niin pitkältä ajalta kuin se on apteekin tehtävien hoitamisen kannalta tarpeen, kuitenkin enintään 42 kuukautta lääkemääräyksen laatimisesta tai muun reseptikeskukseen tallennetun tiedon tallentamisesta.

Lääkkeen luovutuksen yhteydessä lääkkeen ostajalle on annettava kirjallinen selvitys toimitetusta lääkkeestä sekä tieto lääkemääräyksen toimittamatta olevasta osasta, jollei ostaja ilmoita, että hän ei halua selvitystä. Selvityksessä saa potilaan suostumuksella olla tiedot kaikista reseptikeskukseen tallennetuista potilaan lääkemääräyksistä. Jos lääkkeen noutaa joku muu kuin potilas itse tai hänen laillinen edustajansa, saadaan kaikki lääkemääräystiedot sisältävä selvitys antaa kuitenkin vain, jos potilas tai hänen laillinen edustajansa on antanut siihen valtuutuksen tai lääkkeen noutaja esittää valtuuttajan sairausvakuutuskortin ja potilasohjeen. Valtuutuksesta säädetään varallisuusoikeudellisista oikeustoimista annetussa laissa (228/1929). Valtuutuksen voi tehdä myös hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetussa laissa (571/2016) tarkoitetussa asiointivaltuutuspalvelussa tai asiakastietolain mukaisen kansalaisen käyttöliittymän kautta.

Jos lääkemääräys on annettu 5 §:n 1 momentissa tarkoitetun teknisen häiriön tai muun syyn takia kirjallisesti tai puhelimitse eikä lääkemääräystä ole tallennettu reseptikeskukseen, apteekin on tallennettava lääkemääräys ja siihen liittyvät toimitustiedot reseptikeskukseen lääkemääräystä toimitettaessa tai teknisen häiriön estäessä välittömän tallennuksen, niin pian kuin se on mahdollista. Samassa yhteydessä myös muiden kirjallisesti annettujen lääkemääräysten tiedot voidaan tallentaa reseptikeskukseen. Lääkemääräykseen merkityllä lääkkeen määrääjällä on hoitosuhteesta riippumatta oikeus hakea reseptikeskuksesta tiedot niistä apteekin tallentamista lääkemääräyksistä, joihin hänet on merkitty lääkkeen määrääjäksi. Sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä kirjallisen tai puhelinlääkemääräyksen ja sen toimitustietojen tallentamisesta reseptikeskukseen sekä hakutoiminnosta, jolla lääkkeen määrääjä voi saada tiedon apteekin tallentamista lääkemääräyksistä.

Reseptikeskuksessa olevia tietoja potilaan lääkemääräyksistä, niiden toimitustiedoista ja uudistamispyynnöistä saa luovuttaa terveydenhuollon ja sosiaalihuollon palvelunantajille ja lääkkeen määrääjälle potilaan terveyden- ja sairaanhoidon järjestämiseksi ja toteuttamiseksi. Potilas voi kuitenkin kieltää yksilöimiensä lääkemääräysten luovutuksen edellä tarkoitetuille tahoille ja apteekeille. Kiellon saa peruuttaa milloin tahansa. Kiellon sekä sen peruutuksen voi ilmoittaa mille tahansa sähköiseen lääkemääräykseen liittyneelle terveydenhuollon tai sosiaalihuollon palvelunantajalle. Kiellon sekä sen peruutuksen saa tehdä myös 17 §:ssä tarkoitetun käyttöliittymän välityksellä. Tieto potilaan antamasta kiellosta tallennetaan asiakastietolain 11 §:ssä tarkoitettuun tiedonhallintapalveluun.

Potilaan laillisella edustajalla, lähiomaisella tai muulla läheisellä ei ole oikeutta kieltää 1 momentissa tarkoitettujen tietojen luovutusta.

Jos alaikäinen potilas kykenee potilaan asemasta ja oikeuksista annetun lain (785/1992), jäljempänä potilaslaki , 7 §:n 1 momentissa tarkoitetulla tavalla ikänsä ja kehitystasonsa perusteella itse päättämään hoidostaan, hän voi päättää myös 1 momentissa tarkoitetun kiellon tekemisestä. Alaikäisen huoltajalla tai laillisella edustajalla ei ole oikeutta tehdä luovutuskieltoa. Potilaslain 9 §:n 2 momentissa tarkoitetulla alaikäisellä on lisäksi oikeus kieltää sähköisen lääkemääräyksen tietojen luovuttaminen huoltajalleen tai muulle lailliselle edustajalleen.

Sen estämättä, mitä 1 momentissa säädetään, saadaan luovuttaa:

5) hoitosuhteen jatkuessa reseptikeskukseen tallennetun asiakirjan laatineelle terveydenhuollon tai sosiaalihuollon palvelunantajalle tiedot palvelunantajan reseptikeskukseen tallentamista asiakirjoista ja niiden perusteella tehtyjen toimitusten toimitustiedoista;

6) terveydenhuollon tai sosiaalihuollon palvelunantajalle taikka terveydenhuollon ammattihenkilölle tietoja reseptikeskukseen tallennetuista lääkemääräyksistä ja niiden toimitustiedoista potilaslain 8 §:ssä tarkoitetuissa kiireellisissä tilanteissa; jos lääkemääräystietojen luovutus on kielletty 1 momentin mukaisesti, tietoja saa luovuttaa kiellosta huolimatta;

7) sähköisen lääkemääräyksen toiminnasta vastaavalle terveydenhuollon palvelujen antajan, Kansaneläkelaitoksen tai tietojärjestelmän toimittajan palveluksessa olevalle tekniselle henkilöstölle tietoja häiriö- ja virhetilanteiden selvittämisen edellyttämässä laajuudessa; sekä

8) valvonta-asiaan liittyviä selvityksiä varten reseptikeskukseen tallennetun asiakirjan laatineelle terveydenhuollon tai sosiaalihuollon palvelunantajalle tiedot toimintayksikön reseptikeskukseen tallentamista asiakirjoista ja niiden perusteella tehtyjen toimitusten toimitustiedoista.

Sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä kieltomenettelystä sekä 3 momentin 7 kohdassa tarkoitetun tiedonsaantioikeuden toteuttamisesta ja teknisen henkilöstön oikeuksien selvittämisestä.

Sähköisen lääkemääräyksen tiedot voidaan luovuttaa potilaalle asiakastietolain 3 § 15 kohdassa määritellyn hyvinvointisovelluksen tai kansalaisen käyttöliittymän kautta. Saadakseen tiedot hyvinvointisovellukseen potilaan tulee ottaa hyvinvointisovellus käyttöön ja hyväksyä tietojen luovutus.

Kiellon vastaanottajan on annettava asiakkaalle hänen pyynnöstään tuloste hänen tekemästään kiellosta. Tulosteesta on käytävä ilmi kiellon merkitys asiakastietojen käsittelyyn. Tulosteessa on oltava 4 §:ssä tarkoitetut tiedot kielletyistä yksilöidyistä lääkemääräyksistä sekä kiellon merkityksestä. Tulosteessa tulee olla selvitys siitä, että terveyden- ja sairaanhoitoa annettaessa ei voida käyttää voimassa olevan kiellon kohteena olevia tietoja, vaikka ne olisivat hoidon kannalta merkityksellisiä, jollei kieltoa peruuteta tai kieltoon ole tehty poikkeusta potilaslain 8 §:ssä tarkoitetun tilanteen varalta.

Kansaneläkelaitos määrittelee kieltoasiakirjan tietosisällön. Potilaan tehdessä kiellon 17 §:ssä tarkoitetun käyttöliittymän välityksellä hänelle on annettava vastaavat tiedot käyttöliittymän välityksellä.

Salassapitosäännösten ja muiden tietojen käyttöä koskevien säännösten estämättä Kansaneläkelaitos saa rekisterinpitäjänä luovuttaa reseptikeskuksesta pyynnöstä myös teknisen käyttöyhteyden avulla sen lisäksi, mitä muualla lainsäädännössä säädetään:

Kansaneläkelaitoksen oikeus saada reseptikeskuksessa olevia tietoja määräytyy sairausvakuutuslain (1224/2004) 19 luvun 1 §:n perusteella. Kansaneläkelaitos ei saa antaa tietoja edelleen sille muussa laissa säädetyn tiedonantovelvollisuuden tai tiedonanto-oikeuden perusteella.

Kansaneläkelaitos saa luovuttaa reseptikeskuksessa olevia tietoja tieteelliseen tutkimukseen viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 28 §:n mukaisesti. Luovutus edellyttää kuitenkin aina Terveyden ja hyvinvoinnin laitoksen lupaa.

Kansaneläkelaitos saa laatia ja luovuttaa yhteenvetoja reseptikeskuksessa olevista tiedoista, joilla voi olla merkitystä lääketurvallisuuden tai lääkehoidon hyötyjen ja kustannusten selvittämisessä.

Potilaan oikeudesta tutustua häntä itseään koskeviin reseptikeskuksessa oleviin tietoihin, on voimassa mitä Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679, jäljempänä tietosuoja-asetus , 15 artiklassa ja tietosuojalain 34 §:ssä säädetään.

Reseptikeskuksessa olevien virheellisten tietojen oikaisemisesta säädetään 10 §:ssä säädetyn lisäksi tietosuoja-asetuksen 16 artiklassa. Jos potilas tai hänen laillinen edustajansa vaatii tiedon oikaisua tietosuoja-asetuksen 16 artiklaan perustuen ja virheellinen tieto perustuu lääkkeen määrääjän tai lääkkeen toimittajan tekemään merkintään, on vaatimus oikaisemisesta osoitettava virheellisen merkinnän tehneelle henkilölle tai sille organisaatiolle, jonka palveluksessa virheen tehnyt henkilö on ollut virheen tehdessään.

Potilaalla on oikeus pyynnöstä saada lokitietojen perusteella tieto siitä, ketkä ovat käsitelleet ja katselleet häntä koskevia reseptikeskuksessa tai tiedonhallintapalvelussa olevia tietoja. Potilaalla ei kuitenkaan ole oikeutta saada lokitietoja, jos lokitietojen luovuttajan tiedossa on, että lokitietojen antamisesta saattaisi aiheutua vakavaa vaaraa potilaan terveydelle tai hoidolle taikka jonkun muun oikeuksille. Myöskään kahta vuotta vanhempia lokitietoja ei ole oikeutta saada, jollei siihen ole erityistä syytä. Potilas ei saa käyttää tai luovuttaa saamiaan lokitietoja edelleen muuhun käyttötarkoitukseen. Kansaneläkelaitoksen on annettava tiedot viivytyksettä. Tietojen antamisesta ei saa periä maksua. Jos potilas pyytää uudelleen tietoja, jotka hän on jo saanut, on hänellä oikeus saada tiedot vain, jos siihen on perusteltu syy hänen etujensa tai oikeuksiensa toteuttamiseksi. Kansaneläkelaitos saa periä uudelleen annettavista tiedoista maksun, joka ei saa ylittää tietojen antamisesta aiheutuvia kustannuksia.

Sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain 11 §:ssä tarkoitettuun tiedonhallintapalveluun tallennetaan tiedot potilaan tekemistä kielloista, informoinnista ja suostumuksista. Tiedonhallintapalvelun kautta voidaan näyttää tiedot reseptikeskuksessa olevista lääkemääräyksistä ja niiden toimitustiedoista siinä laajuudessa kuin tämän lain 13 §:ssä säädetään. Tietoja saa käyttää määrättäessä potilaalle lääkettä sekä järjestettäessä ja toteutettaessa potilaan terveyden- ja sairaanhoitoa.

Potilaalle annetaan kansalaisen käyttöliittymän avulla tiedot hänen reseptikeskukseen tallennetuista lääkemääräyksistä ja niihin liitetyistä korjaus- ja toimitusmerkinnöistä, tiedot kielloista sekä luovutuslokitiedot lukuun ottamatta luovutuksensaajan henkilötietoja sekä niitä luovutuslokitietoja, joita potilaalla ei 16 §:n 3 momentin mukaan ole oikeutta saada. Puolesta asioinnista sähköisissä asiointipalveluissa säädetään myös asiakastietolain 22 §:ssä.

Potilas voi lisäksi käyttöliittymän välityksellä:

2) antaa ja peruuttaa 13 §:ssä tarkoitetun kiellon; sekä

Kansalaisen käyttöliittymä tulee toteuttaa siten, että potilaan yksityisyyden suoja ei vaarannu. Alaikäisen potilaan tiedot saa luovuttaa käyttöliittymän kautta potilaan lisäksi hänen huoltajalleen tai muulle lailliselle edustajalleen. Tietojen luovutuksessa on tällöin otettava huomioon, mitä potilaslain 9 §:n 2 momentissa säädetään alaikäisen potilaan oikeudesta kieltää terveydentilaansa koskevien tietojen antaminen potilaan huoltajalle tai muulle lailliselle edustajalle. Tietojen saanti käyttöliittymän avulla ei saa vaikuttaa potilaan oikeuteen tutustua häntä itseään koskeviin tietoihin.

Reseptikeskus on Kansaneläkelaitoksen, apteekkien ja sähköisiä lääkemääräyksiä laativien toimintayksiköiden ja itsenäisten ammatinharjoittajien ja itsenäisten lääkkeen määrääjien yhteisrekisteri.

Kansaneläkelaitos vastaa reseptikeskuksessa olevien tietojen käytettävyydestä ja eheydestä, tietosisältöjen muuttumattomuudesta sekä tietojen säilyttämisestä ja hävittämisestä.

Sähköisiä lääkemääräyksiä laativa toimintayksikkö, itsenäinen ammatinharjoittaja ja itsenäinen lääkkeen määrääjä vastaavat reseptikeskukseen tallennettavan lääkemääräyksen tietojen oikeellisuudesta. Lääkkeen toimittanut apteekki vastaa reseptikeskukseen tallennettavien toimitustietojen oikeellisuudesta.

Kansaneläkelaitos vastaa tietosuoja-asetuksessa rekisterinpitäjälle säädetyistä muista kuin tässä laissa apteekeille ja sähköisiä lääkemääräyksiä laativille toimintayksiköille ja itsenäisille ammatinharjoittajille ja itsenäisille lääkkeen määrääjille asetetuista velvoitteista. Kansaneläkelaitos toimii lisäksi EU:n tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena rekisteröidyn yhteyspisteenä.

Reseptikeskukseen tallennetut asiakirjat ja niitä koskevat tiedot säilytetään reseptikeskuksessa 12 vuotta potilaan kuolemasta tai 120 vuotta potilaan syntymästä. Terveydenhuollon toimintayksiköiden ja apteekkien velvollisuudesta säilyttää tietoja lääkemääräyksistä säädetään erikseen.

Sähköisen lääkemääräyksen laadinnassa ja toimittamisessa käytettävät tietojärjestelmät ja niitä tukevat ohjelmistot sekä reseptikeskus ja lääketietokanta on ennen niiden käyttöönottoa tarkastettava tai arvioitava potilastietojen salassapidon, tietoturvan ja yhteentoimivuuden varmistamiseksi kuten asiakastietolain 6 ja 7 luvuissa säädetään.

Sähköisiä lääkemääräyksiä laativien toimintayksiköiden, apteekkien ja itsenäisten ammatinharjoittajien sekä Kansaneläkelaitoksen ja asiakastietojen välityspalvelun tuottajien on laadittava tietoturvasuunnitelma potilastietojen salassapidon ja tietoturvan varmistamiseksi, seurattava toimintaa ja ilmoitettava poikkeamista kuten asiakastietolain 26 ja 27 §:ssä säädetään.

Sosiaali- tai terveydenhuollon toimintayksikön potilaalle luovuttamia lääkkeitä koskevat tiedot saa tallentaa reseptikeskukseen. Näitä lääkkeitä koskevien tietojen tallentamisesta reseptikeskukseen sovelletaan muutoin, mitä tässä laissa säädetään sähköisestä lääkemääräyksestä. Sosiaali- tai terveydenhuollon toimintayksikkö vastaa potilaalle luovuttamiensa lääkkeitä koskevien tietojen oikeellisuudesta.

Muualla kuin Suomessa laadittu sähköinen lääkemääräys saadaan hyväksyä ja toimittaa Suomessa toimivassa apteekissa, vaikka lääkemääräys ei täyttäisi kaikkia tässä laissa sähköiselle lääkemääräykselle säädettyjä vaatimuksia. Hyväksymisen edellytyksenä on kuitenkin, että se täyttää Euroopan unionissa hyväksytyt tai Euroopan unionin jäsenvaltioiden ja Euroopan talousalueeseen kuuluvien valtioiden kesken sovitut vaatimukset ja lääkemääräys välitetään suomalaiseen apteekkiin lääkemääräyksen oikeellisuuden varmistavan ulkomaisen ja Suomen kansallisen yhteyspisteen kautta. Edellytyksenä lääkemääräyksen luovuttamiselle ulkomaille on, että luovutus tapahtuu Suomen ja vastaanottajamaan kansallisen yhteyspisteen kautta.

Sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä:

2) sähköisen lääkemääräyksen luovuttamisesta toisen valtion kansalliselle yhteyspisteelle; sekä

Sähköisen lääkemääräyksen ja tässä laissa tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen järjestämisen ja toteuttamisen yleinen suunnittelu, ohjaus ja valvonta kuuluvat sosiaali- ja terveysministeriölle. Sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain 6 §:ssä tarkoitetun Väestörekisterikeskuksen hoitaman varmennepalvelun yleinen ohjaus ja valvonta kuuluvat kuitenkin sosiaali- ja terveysministeriölle ja valtiovarainministeriölle yhteisesti.

Rekisterinpitäjän, terveydenhuollon toimintayksikön ja sosiaalihuollon toimintayksikön vastaavan johtajan sekä apteekkarin tulee antaa kirjalliset ohjeet asiakastietojen käsittelystä ja noudatettavista menettelytavoista sekä huolehtia henkilökunnan riittävästä asiantuntemuksesta ja osaamisesta potilastietoja käsiteltäessä. Lisäksi rekisterinpitäjällä, terveydenhuollon toimintayksiköllä, sosiaalihuollon toimintayksiköllä ja apteekilla on oltava seuranta- ja valvontatehtävää varten nimettynä tietosuoja-asetuksen 37 artiklan mukainen tietosuojavastaava.

Sähköisen lääkemääräyksen ja sen toimitustietojen tallentamisesta, tässä laissa tarkoitetusta varmentamisesta sekä reseptikeskuksen ja lääketietokannan tietojen käytöstä peritään palvelun tuottamisesta aiheutuvien kustannusten määrää vastaava maksu. Maksun tulee lisäksi turvata Kansaneläkelaitoksen palvelurahaston maksuvalmius. Maksun perii Kansaneläkelaitos. Kunnallisen terveydenhuollon maksut peritään sairaanhoitopiireittäin sairaanhoitopiirin kuntayhtymältä. Kansaneläkelaitoksen perimät maksut säädetään valtion maksuperustelain (150/1992) 10 §:n estämättä sosiaali- ja terveysministeriön asetuksella sellaisiksi, että ne vastaavat palvelujen hoidosta aiheutuvien kustannusten määrää. Sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain 6 §:ssä tarkoitetuista Väestörekisterikeskuksen suoritteista perittävistä maksuista säädetään valtion maksuperustelaissa ja sen nojalla.

Lain 23 a §:ää sovelletaan 1.1.2021 lukien.

Tämä laki tulee voimaan päivänä kuuta 20 .

Käytettäessä toisen terveydenhuollon toimintayksikön tietoja tietojärjestelmien välityksellä, on potilastietojen käyttöä seurattava sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain ( / ) 24 §:ssä edellytetyllä tavalla. Hoitosuhde potilaan ja luovutuspyynnön tekijän välillä on varmistettava tietoteknisesti.

Tämä laki tulee voimaan päivänä kuuta 20 .

Lastensuojeluilmoitukset talletetaan sosiaalihuollon asiakasasiakirjoista annetun lain 22 §:ssä tarkoitettuun sosiaalihuollon henkilörekisteriin.

Tämä laki tulee voimaan päivänä kuuta 20 .

Potilasasiakirjoihin sisältyvien tietojen luovuttamisesta valtakunnallisten tietojärjestelmäpalvelujen avulla säädetään sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa ( / ). Kansaneläkelaitoksen ylläpitämään reseptikeskukseen talletettujen lääkemääräysten tietojen luovuttamisesta säädetään sähköisestä lääkemääräyksestä annetussa laissa (61/2007).

Tämä laki tulee voimaan päivänä kuuta 20 .

Viraston tehtävänä on huolehtia:

1) terveydenhuollon ammattihenkilöistä annetussa laissa (559/1994), sosiaalihuollon ammattihenkilöistä annetussa laissa (817/2015), kansanterveyslaissa (66/1972), työterveyshuoltolaissa (1383/2001), erikoissairaanhoitolaissa (1062/1989), terveydenhuoltolaissa (1326/2010), mielenterveyslaissa (1116/1990), yksityisestä terveydenhuollosta annetussa laissa (152/1990), tartuntatautilaissa (1227,2016), terveydenhuollon järjestämisestä puolustusvoimissa annetussa laissa (322/1987), sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa ( / ), sähköisestä lääkemääräyksestä annetussa laissa (61/2007), sosiaalihuoltolaissa (1301/2014), yksityisistä sosiaalipalveluista annetussa laissa (922/2011), kehitysvammaisten erityishuollosta annetussa laissa (519/1977), terveydensuojelulaissa (763/1994), alkoholilaissa (1102/2017), tupakkalaissa (549/2016), geenitekniikkalaissa (377/1995), terveydenhuollon laitteista ja tarvikkeista annetussa laissa (629/2010) ja Vankiterveydenhuollon yksiköstä annetussa laissa (1635/2015) sille säädetystä lupahallinnosta, ohjauksesta ja valvonnasta;

Tämä laki tulee voimaan päivänä kuuta 20 .