Kunnan ja yksityisen palveluntuottajan väliset sopimukset ja rekisterinpito

Sosiaalihuollon palvelun tuottajien on välillä hankalaa erottaa, onko kyseessä toimeksiantosopimus vai jokin muu sopimussuhde. Tämän vuoksi tietosuojavaltuutetulta pyydettiin neuvontaa rekisterinpidon selventämiseksi erilaisissa kunnan ja yksityisen palvelun tuottajan välisissä sopimuksissa ja vastausta pyydettiin seuraaviin kysymyksiin:

1) Onko sopimussuhteiden erottelun toimeksianto tai muuhun sopimukseen taustalla yksinkertaisesti se, sovitaanko kunnan viranomaistehtävän vastuuttamisesta yksityiselle palvelun tuottajalle vai ei? Vai perustuuko yksityisen palvelun tuottajan rekisteripitovastuu tässä tapauksessa johonkin muuhun tai muuhunkin seikkaan?

2) Onko kuntien yksityisistä palveluista asiakkaalle antama maksusitoumus yhtä kuin rahoitussopimus eli muu kuin toimeksiantosopimus?

3) Onko toimeksiantosopimus aina yksiselitteisesti nimeltään "toimeksiantosopimus" vai voiko sen nimetä jollain muulla sopimus-nimikkeellä? Jos voi, mitä muita nimiä toimeksiantosopimuksella voi olla?

4) Millaisia erilaisia ostosopimustyyppejä kunnan ja yksityisen palvelun tuottajan välillä ylipäätään voidaan solmia? Onko olemassa koontia kaikista erilaisista sopimusmalleista/-tyypeistä, joita kunnan ja yksityisen palvelun tuottajan välillä voidaan solmia? Tällainen listaus selventäisi erityisesti "muu kuin toimeksiantosopimus"-sopimustyyppejä.

Tietosuojavaltuutetun kannanotto

Tietosuojavaltuutetun toimivaltaan ei kuulu ottaa kantaa siihen, minkälaisia sopimuksia kuntien pitäisi tehdä. Sen sijaan toimivaltaani kuuluu neuvoa, mikä merkitys tehdyllä sopimuksella on henkilötietojen käsittelylle. Käytännön toiminnan helpottamiseksi kunnan ja yksityisen palveluntuottajan välisessä sopimuksessa tulisi yksityiskohtaisesti sopia myös henkilötietojen käsittelyyn ja rekisterinpitoon liittyvistä tehtävistä ja vastuista. On tärkeää, että kummallakin sopimusosapuolella on yhtäläinen käsitys mm. siitä, kuka on palvelun yhteydessä kerättävien asiakastietojen rekisterinpitäjä Henkilötietolain säännökset edellyttävät, että sosiaalihuollon asiakastietoja kerättäessä ja muutoin käsiteltäessä tulee olla tiedossa, kuka on kyseessä olevien tietojen rekisterinpitäjä. Rekisterinpitäjällä on mm. oikeus määrätä henkilörekisterin käytöstä ja rekisterinpitäjä vastaa henkilötietojen käsittelyn lainmukaisuudesta ja rekisteröidyn oikeuksien toteuttamisesta. Rekisterinpitäjä myös esim. päättää rekisterin tietojen luovuttamisesta ja huolehtii niiden arkistoinnista tai hävittämisestä.

Silloin jos kunta järjestää sosiaalihuollon palvelut hoitamalla ne itse, on kunnan kyseisistä palveluista vastaava toimielin, esim. sosiaalilautakunta, eri palvelujen yhteydessä muodostuvien henkilörekisterien rekisterinpitäjä. Kunta voi vaihtoehtoisesti myös esimerkiksi hankkia sosiaalihuollon palvelun yksityiseltä palveluntuottajalta.

Viranomaisen laatimana pidetään myös asiakirjaa, joka on laadittu viranomaisen antaman toimeksiannon johdosta ja viranomaiselle toimitettuna asiakirjana asiakirjaa, joka on annettu viranomaisen toimeksiannosta tai muuten sen lukuun toimivalle toimeksiantotehtävän suorittamista varten. Siten jos kunta tekee yksityisen palvelun tuottajan kanssa toimeksiantosopimuksen palvelun tuottamisesta, on kunnan asianomainen toimielin yksityisen palvelun tuottajan sopimuksen piiriin kuuluvien palvelujen yhteydessä kerättyjen asiakastietojen rekisterinpitäjä. Tällöin esim. sosiaalilautakunnalla on määräysvalta tietoihin ja mm. tietojen arkistointivastuu asiakassuhteen päättymisen jälkeen. Yksityinen palveluntuottaja kerää ja muutoin käsittelee asiakastietoja sopimuksessa sovitun mukaisesti.

Tehtävästä sopimuksesta pitäisikin selvästi ilmetä myös henkilötietojen käsittelyyn liittyvät sopimusosapuolten tehtävät ja vastuut.Henkilötietolain mukaan myös rekisterinpitäjän lukuun toimivan itsenäisen elinkeinon tai toiminnanharjoittajan on käsiteltävä henkilötietoja laillisesti ja noudatettava huolellisuutta ja hyvää tietojenkäsittelytapaa. Rekisterinpitäjän lukuun itsenäisenä elinkeinonharjoittajana toimivan on myös ennen tietojen käsittelyyn ryhtymistä annettava rekisterinpitäjälle asianmukaiset sitoumukset ja muutoin riittävät takeet henkilötietojen suojaamisesta. Nämä velvoitteet koskevat siten myös kunnan lukuun toimivaa yksityistä sosiaalihuollon palvelun tuottajaa. Mikäli kunnan toimielin ja yksityinen sosiaalihuollon palvelun tuottaja ovat tehneet muunlaisen sopimuksen kuin toimeksiantosopimuksen, on asiakastietojen rekisterinpitäjänä yksityinen palvelun tuottaja. Sopimusten tekemisestä saa lisätietoja Kuntaliiton vuonna 2007 laatimasta oppaasta, joka koskee sosiaali- ja terveydenhuollon palvelujen hankintaa ostopalveluna. Opas löytyy Kuntaliiton sivuilta. Kuntaliiton oppaassa asiaa on käsitelty myös henkilötietojen käsittelyn näkökulmasta. Myös tietosuojavaltuutetun toimiston sivuilta (http://www.tietosuoja.fi/4496.htm) löytyy mallisopimuksia, joita voidaan käyttää apuna sopimuksia tehtäessä. Asiaa on käsitelty myös toimistomme sosiaalihuoltoa sekä henkilötietojen käsittelyn ulkoistamista koskevissa esitteissä. Seuraavassa on vielä vastauksia alussa esitettyihin kysymyksiin. Korostan kuitenkin, että asiaa tulee arvioida tapauskohtaisesti.

1)Silloin kun on kyse kunnan järjestämisvelvollisuuden piiriin kuuluvasta sosiaalihuollon palvelusta, kunta voi halutessaan tehdä palvelun ostamisesta toimeksiantosopimuksen. Toimeksiantosopimuksen merkitys henkilötietojen käsittelylle tulee edellä mainitusta julkisuuslain säännöksestä, jonka mukaan silloin kun palvelua annetaan viranomaisen toimeksiannosta tai sen lukuun, ovat palvelun yhteydessä syntyvät asiakirjat viranomaisen asiakirjoja. Kuntaliiton edellä mainitun oppaan mukaan julkiset sosiaali- ja terveyspalveluiden hankinnat on pääsääntöisesti syytä tehdä toimeksiantosopimuksina (kunnan lukuun), koska tällöin ostajalle jää määräysvalta asiakastietojen käsittelystä.

2)Jos maksusitoumus annetaan esim. apteekkiin tai kauppaan, on kyseessä rahoitusjärjestely eikä toimeksiantosopimus. Jos se sen sijaan annetaan sosiaalihuollon palvelujen ostamista varten, asiaan tulee arvioida sen sisällön mukaan. Lisäksi esim. palvelusetelin käytössä voinee olla kyse rahoitusjärjestelystä. Kuntaliiton edellä mainitussa oppaassa todetaan, että järjestettäessä palveluja palvelusetelin avulla voi olla mahdollista, että kyse ei ole toiminnasta kunnan lukuun, mikäli palvelusetelin käyttöönottoa koskevissa päätöksissä tai mahdollisissa sopimuksissa ei lukuun toimimista selvästi todeta. (kts. lainmuutos lopussa)

3)Sosiaalihuollon palvelujen ostamisesta tehdyn sopimuksen sisältöä ei arvioida pelkästään sen nimen perusteella. Toimeksiantosopimuksen nimenä ei tarvitse välttämättä olla toimeksiantosopimus, vaan se voi olla joku muukin, esim.ostopalvelusopimus. Sopimuksen tekstistä pitää kuitenkin ilmetä, että sosiaalipalvelua tuotetaan kunnan toimeksiannosta tai sen lukuun.

4)Tietosuojavaltuutetun tiedossa ei ole, että kaikkia mahdollisia kunnan ja yksityisen palveluntuottajan välisiä ostosopimustyyppejä tai malleja olisi jossain erikseen lueteltu. Tietosuojavaltuutetun toimivaltaan ei edes kuulu ottaa kantaa siihen, minkälaisia sopimuksia kunta voi palvelun ostamisesta tehdä. Tähän asiaan voi ottaa kantaa esim. sosiaali-ja terveysministeriö. Tietosuojavaltuutettu antaa ohjausta vain siitä, mikä vaikutus tehdyllä sopimuksella on henkilötietojen käsittelyyn liittyviin rekisterinpidon vastuisiin.

Sovellettavat säännökset

Henkilötietolaki 3 § 4 k, 5 §, 32 §, 38 § 1mom.
Laki viranomaisten toiminnan julkisuudesta 5 § 2 mom.
Laki sosiaali- ja terveydenhuollon suunnittelusta ja valtionosuudesta 4 §

Huom! Lainmuutos 2-kohdan vastaukseen:
1.8.2009 voimaan tulleen sosiaali- ja terveydenhuollon palveluseteliä koskevan lain (569/2009) 11 §:n mukaan kunta on palvelusetelillä järjestettävässä palvelussa syntyvien potilas- ja asiakasasiakirjojen rekisterinpitäjä. Palvelun tuottajan tulee asiakirjoja käsitellessän noudattaa, mitä kunnan asiakirjojen käsittelystä säädetään.