TIETEELLINEN TUTKIMUS, TIETOSUOJAVALTUUTETUN OHJEET JA EU:N TIETOSUOJA-ASETUS. Reijo Aarnio tietosuojavaltuutettu TIETOSUOJAVALTUUTETUN TOIMISTO

Transkriptio

1 TIETEELLINEN TUTKIMUS, TIETOSUOJAVALTUUTETUN OHJEET JA EU:N TIETOSUOJA-ASETUS Reijo Aarnio tietosuojavaltuutettu

2 PERUSKYSYMYS juridinen kiista PIDÄ HAUSKAA POIKIEN KANSSA, KULTA!??

3 EVA 2010 Säädösten muutoksia tarvitaan etenkin tietoon (tietosuojasäännökset) ja julkisen vallan suoritteisiin (maksuperustelaki) kohdistuvan lainsäädännön osalta. Eri ministeriöiden ja valtion virastojen autonomia tai kunnallinen itsehallinto ei saa nousta esteeksi. Keinot tietosuojan periaatteiden toteuttamiseksi on tarvittaessa mietittävä uudestaan. Ratkaisu tietosuojan toteuttamiseksi ei enää voi olla tiedon lokeroiminen lukemattomiin erillisiin rekistereihin. (EVA:n marraskuussa 2009 julkaisema raportti Nykyaikaa etsimässä - Suomen digitaalinen tulevaisuus ) VTV 1998 Automaattiseen tietojenkäsittelyyn liittyvän teknologisen kehityksen mukanaantuomia hyötyjä ei hallinnon sisällä ole kyetty ulosmittaamaan sillä teholla, mihin voimassaoleva lainsäädäntö antaisi mahdollisuudet. Yhtenä keskeisistä syistä tähän ovat vaikuttaneet eri hallinnonalojen sisäisen erityislainsäädännön puutteellisuudet. Tietosuojaa koskeva laki on yleinen, ns. puitelaki. Jos varsinaisessa asiakohtaisessa lainsäädännössä on tietojenluovutusta koskeva säädös laadittu silmälläpitäen yhteistyön mahdollisuutta, ei tietosuojalaki ole esteenä viranomaisten eri tarkoitusta varten keräämien tietojen hyödyntämiselle muussa tarkoituksessa. (VTV:n tarkastuskertomus 8/1998 Tietosuoja ja viranomaisyhteistyö )

4 TIETOLÄHTEET? Kysymys: MISSÄ SÄÄDELLÄÄN REKISTERINPITÄJÄ-REKISTERINPITÄJÄ SUHTEESTA? oikeudesta saada.. HetiL 8 Vastaus: Ei ainakaan ensisijaisesti tietosuojalaissa

5 Henkilötietolaki (523/1999) 8:4 Käsittelyn yleiset edellytykset Oikeudesta saada tieto ja muusta henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä on voimassa, mitä viranomaisten asiakirjojen julkisuudesta säädetään.

6 HYVÄ TIEDONHALLINTATAPA JulkL 16.3 Viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen tai sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Henkilötietoja saa kuitenkin luovuttaa suoramarkkinointia ja mielipide- tai markkinatutkimusta varten vain, jos niin erikseen säädetään tai jos rekisteröity on antanut siihen suostumuksensa.

7 JulkL 28 Viranomaisen lupa salassa pidettävän asiakirjan saamiseen Viranomainen voi, jollei lailla toisin säädetä, antaa yksittäistapauksessa luvan tietojen saamiseen salassa pidettävästä asiakirjastaan tieteellistä tutkimusta, tilastointia taikka viranomaisen suunnittelu- tai selvitystyötä varten, jos on ilmeistä, ettei tiedon antaminen loukkaa niitä etuja, joiden suojaksi salassapitovelvollisuus on säädetty. Lupaa harkittaessa on huolehdittava siitä, että tieteellisen tutkimuksen vapaus turvataan. Jos asiakirjaan sisältyvät tiedot on annettu viranomaiselle sen suostumuksella, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, lupaa ei saa antaa vastoin suostumuksessa tiedon käytölle ja luovutukselle asetettuja ehtoja. Jos lupa tarvitaan usean saman ministeriön alaisen viranomaisen asiakirjasta, luvasta päättää ministeriö asianomaisia viranomaisia tarvittaessa kuultuaan. Edellä 1 momentissa tarkoitettu lupa voidaan antaa määräajaksi, ja siihen on liitettävä yleisen ja yksityisen edun suojaamiseksi tarpeelliset määräykset. Lupa voidaan peruuttaa, milloin siihen harkitaan olevan syytä.

8 Henkilötietolaki (523/1999) 8:1 Käsittelyn yleiset edellytykset 4) jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta;

9 HENKILÖREKISTERI 3 3k PRIVACY BY DESIGN HENKILÖTIETOLAKI JulkL JulkA 2 Arvioi oma toiminta 5-6 Rekisterinpitäjän (3 4 k) henkilötietojen käsittelyn kuvaus ja lainmukaisuuden arviointi Käsittelyn tarkoitus 3 3-k & 6 Oikeus käsitellä 8, 12, 13, Mistä henkilötiedot kerätään 8, 9, Luovutukset 8, (6 ) Ulkomaille siirrot Aloitus 2 Suunnittelu huolellisuus 5-6 Käyttötarkoitussidonnaisuus 7 Henkilötiedot 3 1 k, 9, Rekisteröidyn oikeudet Hävitä, arkistoi 12.2, 21, k Tietoturvallisuus 32 Ulkoistaminen k Vaitiolovelvollisuus 33 Rekisteriseloste 10 Informointivelvollisuus 24 Käytön hallinnointi 5 Nimeä vastuuhenkilö 5 Kouluta, ohjeista 5 Viranomaisilmoitukset 36-37

10 LUOTI -projekti TIETO- YHTEISKUNTA KANSALLINEN KILPAILUKYKY LUOTTAMUS ICT-KÄYTTÖ

11 TIETOSUOJA- VALTUUTETUN TOIMISTON OHJEISTUSTA

12 OHJEEN SISÄLLYSLUETTELO 1. YLEISTÄ 2. SELVITÄ, TULEEKO HENKILÖTIETOLAKI SOVELLETTAVAKSI TUTKIMUKSESSASI 3. ARVIOI KÄSITTELYN EDELLYTYKSET HENKILÖTIETOLAIN KANNALTA 4. MÄÄRITTELE REKISTERINPIDON VASTUUT 5. SUUNNITTELE JA KUVAA ETUKÄTEEN TUTKIMUKSESSA TARPEELLISTEN HENKILÖTIETOJEN KÄSITTELY 5.1 SUUNNITTELE MYÖS TIETOJEN SÄILYTTÄMISTARVE 6. NOUDATA HYVÄÄ TIETOJENKÄSITTELYTAPAA VARMISTA SUOJAAMISVELVOITTEIDEN JA MAHDOLLISTEN SALASSAPITOVELVOITTEIDEN NOUDATTAMINEN

13 OHJEEN SISÄLLYSLUETTELO, JATK. 7. SUUNNITTELE, MILLÄ TAVOIN TOTEUTAT REKISTERÖITYJEN OIKEUDET 8. LAADI TARVITTAESSA ORGANISAATIOLLESI TIETOSUOJAOHJEET 9. LAADI REKISTERISELOSTE 10. TEE TARVITTAESSA ILMOITUS TIETOSUOJAVALTUUTETULLE 11. SELVITÄ ETUKÄTEEN MAHDOLLISUUTESI SAADA TARVITTAESSA HENKILÖTETOJA ERI HENKILÖ- REKISTEREISTÄ JA ASIAKIRJOISTA 11.1 JOS KYSYMYKSESSÄ ON YKSITYINEN ORGANISAATIO 11.2 JOS KYSYMYS ON JULKL:n PIIRIIN KUULUVISTA VIRANOMAISISTA (MM. VALTION JA KUNNAN VIRANOMAISET, LAITOKSET) 12. MITEN SELVITÄT OIKEUTESI SAADA TIETOJA/ OIKEUTESI KÄSITELLÄ TIETOJA HENKILÖTIETOLAIN MUKAAN 13. OIKEUS SAADA KÄYTTÖÖN ERI TUTKIMUSREKISTERIEN TIETOJA

14 MUUTA TSV:N OHJEISTUSTA Tutkimusetiikkaan ja tietosuojaan liittyen Salassapidettävien henkilötietojen luovuttaminen henkilörekisteristä viranomaisen luvalla Henkilötietolain mukainen ilmoitusvelvollisuus ohjeita rekisterinpitäjälle Rekisteritutkimuksen tietosuojaopas tutkijoille ja tietopyyntöjä käsitteleville viranomaisille. Henkilötietojen käsittely suostumuksen perusteella + LOMAKE: Tieteellisen tutkimuksen rekisteriseloste Lisätietoja:

15 Euroopan parlamentin ja neuvoston direktiivi 95/46/EY annettu 24 päivänä lokakuuta 1995, yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 30) lisäksi, jotta henkilötietojen käsittely olisi laillista, käsittelyllä on oltava rekisteröidyn suostumus tai käsittelyn on oltava tarpeen rekisteröityä sitovan sopimuksen tekemiseksi tai täytäntöön panemiseksi, lain noudattamiseksi, yleistä etua koskevan tai julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi taikka tietyn henkilön perustellun edun vuoksi, sillä edellytyksellä, että rekisteröidyn etua tai oikeuksia ja vapauksia ei syrjäytetä; erityisesti kyseessä olevien etujen tasapainon varmistamiseksi, siten että tosiasiallinen kilpailu taataan, jäsenvaltiot voivat määritellä edellytykset, joiden mukaisesti henkilötietoja voidaan käyttää ja luovuttaa sivullisille yritysten ja muiden yhteisöjen laillisessa, tavanomaisessa liiketoiminnassa; jäsenvaltiot voivat myös määritellä edellytykset, joiden mukaisesti henkilötietoja voidaan luovuttaa sivullisille kaupallisiin tarkoituksiin tai hyväntekeväisyysjärjestön tai muiden, esimerkiksi luonteeltaan poliittisten, yhdistysten tai säätiöiden markkinointitarkoituksiin noudattaen säännöksiä, joilla annetaan rekisteröidylle mahdollisuus vastustaa häntä koskevien tietojen käsittelyä kustannuksitta ja tarvitsematta esittää perusteluja,

16 29 ARTIKLAN MUKAINEN TIETOSUOJATYÖRYHMÄ Lausunto 4/2007 henkilötietojen käsitteestä, Annettu 20. kesäkuuta 2007 I JOHDANTO Tietosuojatyöryhmä on tietoinen siitä, että henkilötietojen käsitettä on tarpeen tarkastella perusteellisesti. EU:n jäsenvaltioiden nykyisistä käytännöistä saatujen tietojen perusteella näyttää siltä, että jäsenvaltioissa ollaan hieman epävarmoja eräistä käsitteen tärkeistä aspekteista ja että niitä koskevat käytännöt vaihtelevat, mikä saattaa haitata nykyisten tietosuojapuitteiden asianmukaista toimintaa eri yhteyksissä. Tämä tietosuojasääntöjen soveltamisen ja tulkinnan kannalta keskeinen havainto vaikuttaa väistämättä syvästi useisiin tärkeisiin seikkoihin, ja se liittyy erityisen läheisesti esimerkiksi identiteetin hallintaan sähköisessä hallinnossa ja sähköisessä terveydenhuollossa sekä radiotaajuustunnisteiden (RFID) yhteydessä. Tietosuojatyöryhmän lausunnon tavoitteena on saada aikaan yhteinen tulkinta henkilötietojen käsitteestä, tilanteista, joissa kansallista tietosuojalainsäädäntöä sovelletaan, sekä siitä, miten sitä sovelletaan. Henkilötietojen käsitteen yhteisen määritelmän laatiminen merkitsee itse asiassa sen määrittelemistä, mitä tietosuojasääntöjen soveltamisalaan kuuluu ja mitä ei. Määrittelytyön seurauksena tietosuojatyöryhmä luonnollisesti haluaa antaa neuvoja kansallisten tietosuojasääntöjen soveltamisesta tietynlaisissa tilanteissa, joita ilmenee kaikkialla EU:ssa. Näin edistetään sääntöjen yhdenmukaista soveltamista, mikä on tietosuojatyöryhmän keskeisiä tehtäviä.

17 29 ARTIKLAN MUKAINEN TIETOSUOJATYÖRYHMÄ Lausunto 15/2011 suostumuksen määritelmästä, Annettu 13. heinäkuuta 2011 Lausunnossa analysoidaan perinpohjaisesti tietosuojadirektiivissä ja sähköisen viestinnän tietosuojadirektiivissä nykyisin käytettävää suostumuksen käsitettä. Lausunnossa annetaan 29 artiklan mukaisen tietosuojatyöryhmän (jäljempänä tietosuojatyöryhmä ) kokemusten pohjalta lukuisia esimerkkejä pätevästä ja pätemättömästä suostumuksesta. Siinä keskitytään olennaisiin seikkoihin, kuten käsitteiden tahdon ilmaisu vapaaehtoinen, yksilöity, yksiselitteinen, nimenomainen ja tietoinen jne. merkitykseen. Lisäksi lausunnossa selvennetään edelleen eräitä suostumukseen käsitteeseen liittyviä näkökohtia, kuten suostumuksen hankkimisen ajoitusta sekä vastustamista koskevan oikeuden ja suostumuksen välistä eroa.

18 TSV:n kannanottoja Tietosuojavaltuutetun ohjaus suostumuksen peruuttamisesta kliinisessä lääketutkimuksessa Suostumuksen pyytäminen ennalta määrittelemättömiin tutkimuksiin Tutkimusrekisterin siirto tutkimus

19 Kuka huolehtii tiedeyhteisön asioista? ReTki Rekisteritutkimuksen tukikeskus ReTki on tutkimusinfrastuktuuri, jonka tavoitteena on edistää kansallisten rekisterien tutkimuskäyttöä. ReTkiN toiminta jatkuu kansallisarkistossa ReTkin toiminta THL:ssä loppui THL:n vetäydyttyä ReTkin rahoittamisesta. ReTkin toiminta oli katkolla Toiminta jatkui elokuulta vuoden 2012 loppuun Kelan rahoituksella toimipaikkana Kansallisarkisto. Vuoden 2012 lopulla myönnetyn Akatemian tutkimusinfrastruktuurirahoituksen turvin ReTkin toiminnan jatkuminen Kansallisarkistossa on turvattu vuosille

20 SIVUJEN SISÄLTÖÄ: ETUSIVU AJANKOHTAISTA Uutiskirjeet REKISTERIT Rekisterit aakkosissa Rekisterit rekisterinpitäjän mukaan REKISTERITUTKIMUS Rekisteritutkimuksen kulku Tutkimussuunnitelman laatiminen Rekisteritietojen yhdistely LUVAT JA TIETOSUOJA Lupamenettelyt koonnostaulukkona Viranomaisten lupasivustot Suostumuksen tarpeellisuus Tutkimusetiikka ja tietosuojaa Lait PALVELUT JA TOIMINTA Esitysarkisto Etäkäyttö ReTki ESITTELY Asiakirjat Kansallinen tutkimusinfrastruktuuri YHTEYSTIEDOT Käyttöluvan hakeminen

21 Tutkimussuunnitelman laatiminen Laadi tutkimussuunnitelma, ennen kuin haet rekisteritietojen käyttölupia. Käyttölupa myönnetään yleensä vain tutkimussuunnitelmassa kuvattuun tarkoitukseen. Lisäksi on syytä huomata, että myös Henkilötietolain (14 ) mukaan henkilötietojen käsittelyn tieteellistä tutkimusta varten on perustuttava asianmukaiseen tutkimussuunnitelmaan. Sisällytä tutkimussuunnitelmaasi ainakin seuraavat osiot: 1. Tutkimuksen nimi, suunnitelmaversion päivämäärä 2. Tutkimusryhmän jäsenet (nimi, laitos, yhteystiedot) 3. Yhteenveto 4. Tutkimuksen tausta, tarkoitus ja merkitys 5. Käytettävät materiaalit ja menetelmät 1. Millaisia ja mistä rekistereistä ja muista lähteistä kerättyjä tietoja tutkimuksessa käytetään? - Huomaa, että jos tutkimuksessa kerätään myös lomaketietoa ja/tai veri- tai muita näytteitä, tutkittavilta on pyydettäväsuostumus. Suostumukseen pitää tällöin sisältyä myös suostumus siihen, että rekisteritietoja saadaan yhdistää muihin kerättäviin tietoihin 2. Millaisin menetelmin tutkimustiedot analysoidaan? 3. Miten vastuut tutkimuksen teossa on järjestetty? - Tärkeää etenkin, jos tutkimusryhmään kuuluu tutkijoita eri organisaatioista - Kuka päättää tietojen käytöstä? - Kenellä on pääsy mahdollisiin henkilötietoihin? - Liitteeksi kopiot esim. tehdyistä sopimuksista. 6. Julkaisusuunnitelma ja aikataulu 7. Kirjallisuusluettelo

22 Käyttöluvan hakeminen

23 Mitä? 1. Entiset tietosuojaperiaatteet säilyvät 2. Asetuksessa joitakin uusia asioita: - COMPLIANCE; ( sääntöjen noudattaminen ) - Asetuksessa mennään pitemmälle - ACCOUNTABILITY; TIETOTILINPÄÄTÖS - Tilintekokykyisyys eli osoita että noudatat lakeja - PRIVACY BY DESIGN; (ennakkoon suunnitteleminen) - Henkilötietolain 6 - PRIVACY BY DEFAULT; (oletusarvoinen ja sisäänrakennettu) - Nyt kun kuluttaja asioi rekisterinpitäjän kanssa niin huolehtii esim. oman s-postin tietoturvasta. - Asetuksella rekisterinpitäjä velvoitetaan rakentamaan tietoturvallinen suojattu palvelu (nyt jo esim. pankit)

24 Mitä? - DATA BREACH NOTIFICATION; (tietoturvaloukkauksista ilmoittaminen) - Rekisterinpitäjän ilmoitusvelvollisuus valvontaviranomaiselle ja asiakkaalle - mm. tietomurto ja henkilörekisteririkos - VALVONTAVIRANOMAISTEN ROOLIN VAHVISTAMINEN; (viranomaisten toimivalta muuttuu) - TSV:lle mahdollisesti sakottamisoikeus, josta valitustie ensin kansallisesti ja aina EY-tuomioistuimeen asti - RIGHT TO BE FORGOTTEN; (oikeus unohtaa) - Esim. Facebook tyyppiset palvelut; oikeus itse myötävaikuttaa, että tiedot poistetaan - Voi olla haasteellista toteuttaa - RIGHT TO DATA PORTABILITY (oikeus tietojen siirtoon) - Rekisteröidyn oikeus viedä tiedot palveluntarjoajalta toiselle (esim. kanta-asiakasjärjestelmät)

25 Tietosuojaviranomaisten suorittama lainvalvonta YHDENMUKAISUUSMENETTELY VALITUKSET ETUKÄTEIS- VALVONTA TARKASTUKSET TILIVELVOLLISUUS / TIETOTILINPÄÄTÖS OHJEISTUS- JA NEUVONTA- PYYNNÖT PIA TOIMIVALLAT?

26 KIITOS KUUNTELUSTA! Tiedon laatu = Toiminnan laatu LISÄTIETOJA: Tietosuojavaltuutetun toimisto