Valtuutus Oy Apotti Ab:lle, sopimusehtojen neuvottelu ja mallisopimuslausekkeiden päivittäminen tietosuojalainsäädännön edellyttämällä tavalla

Toimialajohtaja päätti allekirjoittaa liitteessä 1 (Valtuutus Oy Apotti Ab:lle) olevan luonnoksen mukaisen valtuutuskirjeen ja antaa Oy Apotti Ab:lle (Apotti) valtuutuksen neuvotella sopimusehdot tietosuojalainsäädännön edellyttämällä tavalla ja tekemään päivitetyn mallisopimuslausekkeiden mukaisen sopimuksen sekä siihen liittyvän tietosuojasopimuksen Helsingin kaupungin sosiaali- ja terveystoimialan puolesta Epicin kanssa niiden henkilötietojen osalta, joiden osalta Helsingin kaupunki on rekisterinpitäjä.

Helsinki ja viisi muuta hankintarenkaan jäsentä ovat 21.4.2016 allekirjoittaneet hankintasopimuksen asiakas- ja potilastietojärjestelmän hankkimisesta Epic Systems Corporationilta (Epic). Hankintasopimuksen mukaan varsinaiset sopimukset järjestelmän toimituksesta ja siihen liittyvistä palveluista Epicin kanssa tekee hankintarenkaan jäsenten sidosyksiköksi perustettu Oy Apotti Ab (Apotti). Helsinki on erikseen tehnyt Apotin kanssa palvelusopimukset, jonka perustella Helsinki saa Epicin toimittaman asiakas- ja potilastietojärjestelmän Apotilta palveluna.

Apotin ja Epicin välisten toimitus- ja palvelusopimusten mukaan Epic ei lähtökohtaisesti sopimuksen perusteella käsittele henkilötietoja. Joissain yksittäistilanteissa sekä järjestelmän toimituksen että jatkuvien palveluiden aikana sopimuksen toteuttaminen saattaa kuitenkin edellyttää esimerkiksi sellaista katseluoikeutta järjestelmään, jonka yhteydessä Epicille saattaa näkyä henkilötietoja. Koska Epic tuottaa osan palvelutuotannostaan Yhdysvalloista käsin, tiedonsiirto edellyttää nykyisen henkilötietolain ja tulevan tietosuoja-asetuksen menettelyiden noudattamista, käytännössä Euroopan komission mallisopimuslausekkeiden sopimuksen tekemistä rekisterinpitäjän ja Epicin välillä.

Apotti ja Epic ovat keskinäisessä suhteessaan tehneet mallisopimus-lausekkeiden mukaisen sopimuksen. Kyseistä sopimusta on kuitenkin tarpeen päivittää siltä osin, kuin se koskee sellaisia henkilötietoja, joiden osalta Helsinki on rekisterinpitäjä. Tämä voidaan toteuttaa siten, että Helsinki valtuuttaa Apotin neuvottelemaan sopimusehdot tietosuojalainsäädännön edellyttämällä tavalla ja tekemään päivitetyn mallisopimuslausekkeiden mukaisen sekä siihen liittyvän tietosuojasopimuksen Helsingin puolesta Epicin kanssa niiden henkilötietojen osalta, joiden osalta Helsinki on rekisterinpitäjä.