2.9.2019

Henkilötietojen rekisterinpitäjästä ja käsittelijästä

Tiedustelu tietosuojavaltuutetulle

Tiedustelun lähettänyt kuntayhtymä on kehitysvammaisten erityishuoltoa koskevan lain (519/1977) 6 §:n 5 momentissa tarkoitettu erityishuollon kuntainliitto eli erityishuoltopiiri. Kaksikieliset kunnat ovat kuntayhtymän jäseniä ja kuntayhtymä tuottaa kunnille sosiaalihuollon palveluja kunnan tarpeen mukaisesti. Kuntayhtymä tuottaa palveluja myös muille kuin jäsenkunnille tarpeen mukaan.

Kuntayhtymä on saanut kunnilta tiedusteluja rekisterien omistajuudesta. Kysymykset ovat liittyneet nimenomaan sosiaalihuollon asiakasrekisteriin. Kuntayhtymä ei ole vielä löytänyt selkeää vastausta siihen, kuka on tietojen omistaja. Kyseessä on kuntayhtymä, mutta kuntalaisten sosiaalihuolto on kunnan vastuulla. Kuntayhtymä tuottaa osan kunnan sosiaalihuollon palveluista. Kuntayhtymä on myös velvollinen toteuttamaan kunnille asetetut vaatimukset, kuten tilastokeskuksen tilastoinnit. Kuntayhtymällä ja myös kunnan sosiaaliviranomaisilla on tarvetta asiakastietojen rekisteröinnille.

Kuntaliiton kuntayhtymälle antaman vastauksen mukaan kuntayhtymä on lähtökohtaisesti rekisterinpitäjä, jos se järjestää palveluja edellä mainitun lain 6 §:n mukaisesti. Jos kuntayhtymä sen sijaan tuottaa palveluja kyseisen lain 14 §:n mukaisesti, niin erityishuoltopiiri on lähempänä henkilötietojen käsittelijän roolia. Kuntayhtymä ei ollut saanut selkeää kuvaa siitä, onko se rekisterinpitäjä vai käsittelijä vai mahdollisesti molempia. Tämän vuoksi se tiedusteli myös tietosuojavaltuutetulta, milloin kuntayhtymä on rekisterinpitäjä ja milloin henkilötietojen käsittelijä.

Tietosuojavaltuutetun vastaus

Sosiaalihuoltolain (1301/2014) 14 §:n 1 momentin mukaan kunnallisina sosiaalipalveluina on järjestettävä mm. asumispalveluja ja laitospalveluja. Sen 2 momentin mukaan kunnallisina sosiaalipalveluina on huolehdittava myös kehitysvammaisten erityishuollosta sen mukaan kuin siitä lisäksi erikseen säädetään kehitysvammaisten erityishuollosta annetussa laissa (519/1977). Viimeksi mainitun lain 6 §:n mukaan erityishuollon järjestämiseksi maa jaetaan erityishuoltopiireihin. Erityishuoltopiiriin kuuluvat kunnat ovat jäseninä erityishuoltopiirin kuntaliitossa, jonka tulee järjestää kuntien velvollisuudeksi säädetty erityishuolto, mikäli tämän lain säännöksistä ei muuta johdu. Kyseisen pykälän 5 momentissa on vastaavanlainen erityissäännös kaksikielisten ja ruotsinkielisten kuntien osalta. Sen mukaan ne ovat lisäksi jäseninä erityishuollon kuntaliitossa, jonka tehtävänä on jäsenkuntiensa ruotsinkielisen väestön erityishuollon järjestäminen.

Edellä mainitun lain säännösten lisäksi asian arvioinnissa tulee ottaa huomioon Euroopan unionin yleisen tietosuoja-asetuksen (myöhemmin tietosuoja-asetus) säännökset asiasta. Sen 4 artiklan 7 kohdassa määritellään rekisterinpitäjä. Sen mukaan rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa jäsenvaltion lainsäädännössä. Tietosuoja-asetuksen 28 artikla koskee henkilötietojen käsittelijää, joka käsittelee henkilötietoja rekisterinpitäjän lukuun.

Rekisterinpitäjästä ja henkilötietojen käsittelijästä on säännöksiä sosiaalihuollon asiakasasiakirjoja koskevassa lain (254/2015; myöhemmin asiakasasiakirjalaki) 3 §:n 10 ja 11 kohdassa. Niissä on määritelty, mitä tarkoitetaan palvelunjärjestäjällä ja mitä palveluntuottajalla. Asiakasasiakirjalain 10 a kohdan mukaan palvelunjärjestäjä on sellainen palvelunantaja, jolla on viranomaisena velvollisuus huolehtia siitä, että asiakas saa hänelle lain tai viranomaisen päätöksen mukaan kuuluvan sosiaalihuollon palvelun tai etuuden. Saman lain 24 § koskee rekisterinpitäjän määräytymistä. Sen 4 momentin mukaan palvelunjärjestäjä rekisterinpitäjänä vastaa siinä määritellyistä asioista.

Asiakasasiakirjalain 3 §:n 11 kohdassa on määritelty palveluntuottaja. Se on kyseisen lain 11 a kohdan mukaan palvelunantaja, joka palvelunjärjestäjän asemassa tuottaa itse sosiaalipalvelua tai sosiaalihuoltoa tai b kohdan mukaan palvelunjärjestäjän kanssa tehdyn sopimuksen perusteella tuottaa sosiaalipalvelua tai sosiaalihuoltoa. Kyseisen lain 24 § :n 2 momentti koskee sitä, mistä palveluntoteuttaja vastaa ja että palveluntoteuttaja antaa sosiaalipalveluja palvelunjärjestäjän lukuun.

Tietosuoja-asetuksessa, mm. sen 24, 25 ja 28 artiklassa on tarkempia säännöksiä rekisterinpitäjän ja henkilötietojen käsittelijän vastuista ja niiden välisistä sopimuksista.

Rekisterinpitäjän määrittelemiseksi on siten viranomaisten kohdalla arvioitava, millä taholla on kyseessä olevien palvelujen järjestämisvastuu. Se viranomainen, jolla on jonkin palvelun järjestämisvastuu, on myös tämän palvelun antamisen yhteydessä kerättyjen asiakastietojen rekisterinpitäjä. Palvelunjärjestäjä rekisterinpitäjänä voi joko itse tuottaa kyseessä olevan palvelun tai ostaa sen joltain ulkopuoliselta, kuten esim. kuntayhtymältä.

Kehitysvammaisten erityishuollosta annetun lain 6 §:n mukaan jäsenkunnat siirtävät kyseisen lain mukaisen järjestämisvelvollisuutensa erityishuoltopiirin kuntaliitolle, jollei tämän lain säännöksistä muuta johdu. Kun kuntayhtymä toimii jäsenkuntiensa osalta myös tuottamiensa palvelujen palvelunjärjestäjänä, niin se on tältä osin edellä mainittujen lainsäännösten mukaan myös käsittelemiensä asiakastietojen rekisterinpitäjä sopimuksen piiriin kuuluvien palvelujen osalta.

Sosiaalihuoltolain mukaan kunnilla on sosiaalihuollon järjestämisvelvollisuus, kuten kuntayhtymäkin totesi. Lisäksi kehitysvammaisten erityishuoltoa koskevan lain 14 §:n mukaan myös kunta voi järjestää erityishuoltoa. Kunnan sosiaalihuollosta järjestämisestä vastaava toimielin on sen järjestämisvelvollisuuden piiriin kuuluvien palvelujen tuottamisen yhteydessä kerättyjen asiakastietojen rekisteripitäjä siitä riippumatta, tuottaako kunnan sosiaaliviranomainen kyseessä olevan palvelun itse vai ostaako se kyseisen palvelun ulkopuolisilta, vaikkapa kuntayhtymältä. Tällainen tilanne lienee kyseessä silloin, kun muut kuin kuntayhtymän jäsenkunnat ostavat kuntayhtymältä kehitysvammahuollon palveluja. Tällöin kuntayhtymä käsittelee tietoja kuntien sosiaaliviranomaisten lukuun eli toimii pelkästään palvelun tuottajana ja käsittelijän roolissa ja palvelun ostaneen kunnan sosiaaliviranomainen on kuntayhtymän tässä roolissa käsittelemien asiakastietojen rekisterinpitäjä.

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.