Sosiaalihuollossa tietosuoja on asiakkaan perusoikeus

Digitalisoituvassa maailmassa olemme jo tottuneet siihen, että yksityistä toimintaamme seurataan liike-elämän tarpeisiin. Ruokaostokset tallentuvat kaupan tietokantaan, ja ostoskäyttäytymistä analysoidaan markkinointitarkoituksissa. Sosiaalihuollon asiakastietoja ei voi hyödyntää samoin periaattein.

Sosiaalihuollossa kyse on lakisääteisestä toiminnasta, jossa julkisen hallinnon velvollisuuksiin kuuluu käsitellä yksilön arkaluonteisiakin henkilötietoja. Viranhaltijatkin ovat sivullisia asioissa, joiden käsittelyyn he eivät osallistu.
Asiakkaan yksityiselämä on työntekijöiden sormenpäissä. Siksi sosiaalihuollon asiakkaan tietojen käsittelyn ehdottomana lähtökohtana on luottamuksellisuus.

Tietoisuus henkilötietojen suojaamisen tärkeydestä on kasvanut Euroopan Unionin yleisen tietosuoja-asetuksen voimaantulon myötä. Suomessa on kuitenkin jo pitkään säädelty henkilötietojen käsittelyä laeilla. Näitä on myös tarkennettu sosiaalihuoltoa koskevissa säädöksissä.

Miten asiakkaan tietosuoja on sitten tähän mennessä toteutunut? Ei aina hyvin, sillä asiakaspapereita on ajoittain päässyt vääriin käsiin inhimillisten erehdysten seurauksena. Eikä paperitulosteiden katoamisesta jää edes jälkiä.
Sähköiseen asiakastiedon hallintaan siirryttäessä tavoitteena onkin, että asiakkaan tietosuoja paranee ja henkilötietojen käsittelyä pystytään valvomaan aiempaa paremmin.

Kohti yhtenäistä toimintakulttuuria

Sosiaalihuollossa digitalisaatio tarkoittaa muun muassa valtakunnallisten tietojärjestelmäpalvelujen käyttöönottoa. Tarkoituksena on yhtenäistää valtakunnallisesti asiakastietojen sisältöjä, niiden käsittelyn käytäntöjä ja teknistä yhteensopivuutta.

Tärkein toiminnallinen tavoite on, että jokaisella sosiaalihuollon ammattilaisella on työssä tarvittavat asiakastiedot käytettävissään selkeässä ja ymmärrettävässä muodossa. Tämä on osa palvelujen laadun parantamista.

Johdolla on asiakastietolain mukaan velvollisuus huolehtia henkilöstön osaamisesta asiakastietojen käsittelyssä.

Hyvä asiakastietojen saatavuus ja ehdoton vaatimus tiedon suojaamisesta ovat yhdessä vaativa yhtälö. Siksi sosiaalihuollon Kanta-palvelujen käyttöönottoon liittyy vaatimuksia asiakastietojärjestelmien käytönhallinnalle. Kaikkien järjestelmien tulee täyttää samat vaatimukset siitä, miten asiakastiedot suojataan oikeudettomalta käytöltä.
Niin kauan kuin sosiaalihuollossa on käytetty asiakastietojärjestelmiä, niihin on annettu käyttöoikeuksia asiakastyötä tekevälle henkilöstölle.

Käyttöoikeuksien määrittelyn käytännöt ovat kuitenkin vaihdelleet suuresti eri kunnissa ja kuntayhtymissä. Esimerkiksi laitostyössä ohjaajilla ei aina ole ollut lainkaan pääsyä asiakastietojärjestelmään, mikä on vaikeuttanut riittävien tietojen saamista työn tekemiseksi.

Vuonna 2015 tuli voimaan laki sosiaalihuollon asiakasasiakirjoista

Laissa säädettiin ensimmäistä kertaa asiakastyötä tekeville velvollisuus dokumentoida työtä. Laki on siinäkin mielessä merkittävä, että sillä yhtenäistetään sekä dokumentoinnin tietosisältöjä että käyttöoikeuksien määrittelyä asiakastietoihin.

Asiakirjalain nojalla Terveyden ja hyvinvoinnin laitos on antanut määräyksen käyttöoikeuksien määrittelyn perusteista sosiaalihuollon asiakastietoihin. Käyttöoikeudet määritellään samoin perustein kaikkialla maassa.
Kun asiakas esimerkiksi vaihtaa paikkakuntaa, uusi sosiaalityöntekijä voi hakea häntä koskevia asiakastietoja valtakunnallisesta arkistosta.

Kun käyttöoikeudet on annettu yhtenäisten periaatteiden mukaan, ei tarvitse arvailla, mihin tarkoituksiin arkistoon tallennettua tietoa voidaan muualla käyttää.

Eri työtehtävissä on erilaiset tietotarpeet. Työntekijä, joka vastaa asiakkaan kokonaisvaltaisesta palvelutarpeen arvioinnista, tarvitsee laajemmat käyttöoikeudet kuin yksittäistä palvelua toteuttava palveluntuottaja.

Käyttöoikeusmääräyksessä annetaan esimerkkejä käyttäjärooleista ja niissä tarvittavien käyttöoikeuksien laajuudesta. Näin pyritään eroon käytännöistä, joissa tietojärjestelmiin räätälöidään käyttöoikeuksia paikallisesti lukuisin erilaisin variaatioin.

Käyttöoikeudet ovat vain yksi tietosuojan elementti

Käyttöoikeuksien lisäksi asiakastietojen käsittelyyn vaaditaan asiayhteys. Asiakastietojärjestelmä tarkastaa aina, että yksittäisen asiakkaan tietoja hakeva työntekijä työskentelee juuri siinä yksikössä, jossa asiakas asioi. Ja kaikissa vaiheissa työntekijältäkin vaaditaan harkintaa. Vain työssä tarvittavia henkilötietoja on lupa käsitellä.

Paperipinoista harvemmin etsitään sormenjälkiä, mutta sähköisessä ympäristössä kaikesta asiakastietojen käsittelystä jää jäljet. Lokitiedoston avulla on mahdollista seurata sitä, ketkä tietoja ovat käsitelleet tai katselleet ja milloin. Tarvittaessa pystytään siis selvittämään, onko tietoja käsitelty ilman työhön liittyvää todellista tarvetta.

Tämä voi kuulostaa pelottavaltakin. Mitä ammattilainen enää uskaltaa tehdä, jos kaikki voidaan jäljittää? On kuitenkin sekä asiakkaan että ammattilaisen etu, että asiakkaalle pystytään tarvittaessa osoittamaan, ketkä hänen henkilötietojaan ovat käsitelleet. Kun henkilötietojen käsittely on harkittua ja tehtäviin suhteutettua, ollaan oikealla tiellä.

Tietosuojaa koskevien kysymysten kanssa ei tarvitse jäädä yksin

Työssä voi tarvittaessa kääntyä oman organisaation tietosuojavastaavan puoleen.
Toimintayksikön johtajalla on asiakastietolain mukaan velvollisuus huolehtia henkilöstön osaamisesta asiakastietojen käsittelyssä.

Lisäksi Kansa-koulu-hanke ja sosiaalialan osaamiskeskukset ovat valmentaneet sosiaalialalle yli kaksituhatta kirjaamisvalmentajaa. Tiedätkö, kuka on sinun kirjaamisvalmentajasi?

Antero Lehmuskoski
Saija Siivonen

Kirjoittajat toimivat erikoissuunnittelijoina Terveyden ja hyvinvoinnin laitoksen Operatiivisen toiminnan ohjaus ‑yksikössä.

1. Sosiaalihuollon ammattilaisella tulee olla työssä tarvittavat asiakastiedot käytettävissään, jotta työtä voi tehdä.

2. Ammattilaisella on lupa käsitellä vain työssä tarvittavia asiakkaan henkilötietoja.

3. Asiakkaan palvelutarpeen arvioinnista vastaava ammattilainen tarvitsee laajemmat käyttöoikeudet kuin palveluntuottaja.

4. Lokitiedostoista voidaan seurata ja tarvittaessa osoittaa asiakkaalle, ketkä tietoja ovat käsitelleet ja milloin.

5. Tarvittaessa voidaan selvittää, onko tietoja käsitelty ilman työhön liittyvää todellista tarvetta.