LAUSUNTO TIETOSUOJAVALTUUTETUN TOIMISTO. Dnro 2420/03/2016. Sosiaali- ja terveysministeriö.

Transkriptio

1 TIETOSUOJAVALTUUTETUN TOIMISTO Dnro 2420/03/2016 LAUSUNTO Sosiaali- ja terveysministeriö SOSIAALI- JA TERVEYSMINISTERIÖN LAUSUNTOPYYNTÖ LUONNOKSESTA HALLITUKSEN ESITYKSEKSI EDUSKUNNALLE LAIKSI SOSIAALI- JA TERVEYSTIETOJEN TIETOTURVALLISESTA HYÖDYNTÄMISESTÄ SEKÄ ERÄIKSI SIIHEN LIITTYVIKSI LAEIKSI (STM011:00/2015) Lausuntopyyntö Sosiaali- ja terveysministeriö on pyytänyt tietosuojavaltuutetun lausuntoa luonnoksesta hallituksen esitykseksi eduskunnalle laiksi sosiaali- ja terveydenhuollon tietoturvallisesta hyödyntämisestä sekä eräiksi siihen liittyviksi laeiksi. Esityksessä ehdotetaan säädettäväksi uusi laki sosiaali- ja terveystietojen tietoturvallisesta hyödyntämisestä. Lisäksi ehdotetaan muutettavaksi lakia Terveydenja hyvinvoinnin laitoksesta, lakia potilaana asemasta ja oikeuksista sekä lakia sosiaalihuollon asiakkaan asemasta ja oikeuksista, sekä kumottavaksi laki terveydenhuollon valtakunnallisista henkilörekistereistä ja laki sosiaali- ja terveysalan tutkimus- ja kehittämiskeskuksen tilastotoimesta. Esityksen tarkoituksena on luoda ajanmukaiset ja yhdenmukaiset edellytykset sosiaalija terveydenhuollon palvelutoiminnassa syntyvien henkilötasoisten asiakastietojen sekä muiden terveyteen ja hyvinvointiin liittyvien henkilötietojen hyödyntämiselle tilastointiin, tutkimukseen, kehittämis- ja innovaatiotoimintaan, opetukseen, tietojohtamiseen, viranomaisohjaukseen ja -valvontaan sekä viranomaisten suunnittelu- ja selvitystehtäviin. Ehdotetuilla laeilla ja säännöksillä yhtenäistettäisiin sosiaali- ja terveydenhuollon asiakastietojen sekä muiden terveyteen ja hyvinvointiin liittyvien henkilötietojen hyödyntämistä ohjaava lainsäädäntökokonaisuus. Esityksessä ehdotetaan, että tällaisten tietojen käyttöluvat myöntäisi jatkossa keskitetysti yksi lupaviranomainen, että lupakäsittelyä varten luotaisiin sähköinen lupaportaali ja että luvan nojalla luovutettaville tiedoille luotaisiin tietoturvalliset sähköiset käyttöympäristöt ja PL 800 Ratapihantie tietosuoja@om.fi Helsinki 6. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

2 TIETOSUOJAVALTUUTETUN TOIMISTO 2/6 käyttöyhteydet. Esityksen keskeisenä tavoitteena on sujuvoittaa ja nopeuttaa olennaisesti tietojen käyttölupiin liittyvää käsittelyä ja keventää siihen liittyvää, rinnakkaisista lupamenettelyistä aiheutuvaa hallinnollista taakkaa. Esityksessä on otettu huomioon sosiaali- ja terveydenhuollon integraatio sekä digitalisaation voimakas vaikutus asiakastietojen sähköiseen käsittelyyn ja sen edellyttämiin tietosuoja- ja tietoturvavaatimuksiin. Samanaikaisesti tekninen kehitys on luonut uudenlaiset mahdollisuudet hyödyntää arkaluonteisia asiakastietoja ja yhdistää niitä sallituissa käyttötarkoituksissa muihin henkilötietoihin tavalla, joka aiempaa paremmin turvaa asiakkaiden yksityiselämän- ja luottamuksen suojan ja vahvistaa asiakkaan asemaa asiakastietojensa subjektina. Ehdotetuilla laeilla saatettaisiin tämän lainsäädäntöalueen säännökset vastaamaan alkaen sovellettavaan EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 vaatimuksia. Uudistusten on tarkoitus tulla voimaan vaiheittain alkaen. Tietosuojavaltuutetun lausunto Hallituksen esityksessä todetaan, että ehdotetuilla laeilla saatettaisiin tämän lainsäädäntöalueen säännökset vastaamaan alkaen sovellettavaan EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 vaatimuksia. Lakihankkeella on asiakkaiden ja potilaiden terveydentilaa ja hyvinvointia edistäviä hyväksyttäviä tarkoituksia sekä kaupallisia kehittämis- ja innovaatiotoimintaan liittyviä tavoitteita. Kyse on kuitenkin lähtökohtaisesti korkean riskin sisältävästä arkaluontoisien sote-tietojen käsittelystä, joka EU:n tietosuoja-asetuksen nojalla edellyttää kokonaisharkintaa ja punnintaa järjestelyltä. HE:n mukaan keskeisessä roolissa toimisi THL lupaviranomaisena ja palveluoperaattorina, joka mm. arvioisi käyttölupahakemuksia, keräisi ja yhdistelisi tietoja sekä luovuttaisi ne käyttöluvanhaltijan käsiteltäväksi tietoturvallista teknistä käyttöyhteyttä ja tietoturvallista sähköistä käyttöympäristöä hyödyntäen. Huomioitavaa kokonaisuuden kannalta on, että EU:n tietosuoja-asetus sisältää mahdollisuuksia kansalliseen liikkumavaraan (mm. rekisteröityjen oikeuksien rajoittaminen), jota oikeusministeriön TATTI-työryhmä arvio parhaillaan. Arvioin lakihanketta (HE-luonnos) EU:n tietosuoja-asetuksen 5 artiklan 1 kohdan tietosuojaperiaatteiden valossa. 1. EU:n yleisen tietosuoja-asetuksen tavoitteet ja kohde Euroopan parlamentin ja neuvoston asetus yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (EU 2016/679, yleinen tietosuoja-asetus) astui voimaan 24. päivänä toukokuuta Sitä aletaan soveltaa kansallisesti 25. toukokuuta Asetus vaikuttaa voimassa olevaan lainsäädäntöön suoraan. Se pätee yleisesti, on kaikilta osiltaan velvoittava ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa. Asetus korvaa Euroopan parlamentin ja neuvoston direktiivin yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (95/46/EY, henkilötietodirektiivi). Asetuksen tarkoituksena on päivittää ja nykyaikaistaa henkilötietodirektiivin periaatteet.

3 TIETOSUOJAVALTUUTETUN TOIMISTO 3/6 Asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan (1 art.). Henkilötietojen käsittelyä koskevat periaatteet on kirjattu asetuksen 5 artiklan 1 kohdassa. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia: a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi ( lainmukaisuus, kohtuullisuus ja läpinäkyvyys ); b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa ( käyttötarkoitussidonnaisuus ); c) henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään ( tietojen minimointi ); d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä ( täsmällisyys ); e) ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi ( säilytyksen rajoittaminen ); f) niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia ( eheys ja luottamuksellisuus ). 2. Riskin arviointi/ HE sosiaali- ja terveystietojen tietoturvallinen hyödyntäminen Asetuksen sääntelyssä on omaksuttu riskiperusteinen lähestymistapa. Yhtäältä tavoitteena on välttää vähäriskisten toimien ylisääntelyä ja toisaalta varmistaa rekisteröidyn suoja korkean riskin toiminnassa. Riskinä on asetuksen johdanto-osan kohdassa 75 mainittu muun muassa geneettisen tai terveyteen liittyvän tiedon käsittely, heikossa asemassa olevien yksilöiden, kuten lasten tiedon käsittely ja suuren henkilötietomäärän käsittely, joka koskee suurta määrää rekisteröityjä, sekä riskit voivat aiheutua henkilötietojen käsittelystä joka saattaa johtaa maineen vahingoittumiseen taikka salassapitovelvollisuuden alaisten henkilötietojen luottamuksellisuuden menetykseen.

4 TIETOSUOJAVALTUUTETUN TOIMISTO 4/6 Käsitykseni mukaan tämän HE:n mukaisissa toissijaisen käytön järjestelyissä ja henkilötietojen käsittelyssä ovat kohteena em. tiedot suurina määrinä ja ne koskevat suurta määrää rekisteröityjä (ks. HE 1 ja 2 ). Näin ollen käsitykseni mukaan on kyse korkea riskisestä, suuren määrän käsittävistä yksityisyyden ydinalueeseen kuuluvista arkaluontoisten henkilötietojen käsittelystä, jossa kohteena on suuri määrä rekisteröityjä. Rekisteröidyllä puolestaan on suhteellisen vähäiset mahdollisuudet osallistua, vaikuttaa ja valvoa omien henkilötietojensa käsittelyä. Yksittäisellä rekisteröidyllä on ainoastaan rajallisesti henkilötietolain mukaan tarkastusoikeus käsiteltäviin tietoihin (mm. tieteellinen tutkimus). Lakiluonnoksen HE:ssä todetaan lisäksi, että EU:n tietosuoja-asetuksen mukaan rekisteröidyn oikeus saada tietonsa poistetuksi ei koske arkistointi-, tutkimus- tai tilastointitietoja (17 artikla). Kansallisella lailla voidaan säätää poikkeuksia (23 artikla) myös rekisteröidyn oikeuteen saada tietoa (15 artikla), oikeuteen korjata tietoja (16 artikla), oikeuteen rajata tiedon käsittelyä (18 artikla) ja oikeuteen vastustaa tietojen käyttöä (21 artikla). Poikkeukset voivat koskea tiedon käsittelyä vain tutkimukseen, tilastointiin ja arkistointiin, jos ne estäisivät tiedon käsittelyn tavoitteen ja poikkeukset ovat tarpeen tavoitteen saavuttamiseksi. Arkistoinnin osalta poikkeuksia voidaan säätää myös rekisteröidyn oikeuteen siirtää tietonsa (20 artikla). Asetuksen 25 artiklassa erotellaan tietosuojan ennakkoon suunnitteleminen sekä sisäänrakennettu ja oletusarvoinen tietosuoja. Ennakkoon suunnittelemisessa tietosuoja on otettava huomioon jo suunnitteluvaiheessa ja henkilötietojen käsittelyyn liittyvät tekniset ja organisatoriset toimenpiteet on toteutettava niin, että rekisteröityjen oikeudet ja asetuksen noudattaminen toteutuvat. Oletusarvoinen ja sisäänrakennettu tietosuoja puolestaan tarkoittaa, että oletusarvoisesti vain kulloinkin tarpeellisia tietoja käsitellään ja rekisterinpitäjän on rakennettava tietoturvallinen ja suojattu palvelu. Lainvalmistelussa on otettava lähtökohtana huomioon arvioni suuren rekisteröityjen kohdejoukon suuresta määrästä yksityisyyden ydinalueeseen kuuluvien arkaluonteisten henkilötietojen käsittelyyn liittyvästä korkeasta riskistä, kun toissijaisia käyttötarkoituksia ja toimintamallikokonaisuutta arvioidaan asetuksen 25 artiklassa mainitun tietosuojaperiaatteiden tehokkaan toteutumisen kannalta. 3. Arviointia HE:n lakiluonnoksesta Mielestäni on hyvä, että valtakunnallisten terveydenhuollon rekistereiden rekisterinpitoa määritellään. Määrittelyyn vaikuttaa myös oikeusministeriön TATTItyöryhmän työ. Käsitykseni mukaan HE:n lakiluonnoksessa on kyse epäyhtenäisten käyttötarkoitusten yhteensovittamisesta. Arvioni mukaan HE:ssä ei ole EU:n tietosuoja-asetusta erityisesti resitaalien osalta riittävästi arvioitu. Lisäksi rekisterinpitäjän rooli voi synnyttää perustuslaillisia ongelmia, jos viranomainen joutuisi siirtämään toimivaltaansa THL:lle. Mielestäni hankkeessa kuvattu tekninen alusta tulisi arvioida HE:ssä tietoturvallisuuden täyttymisen osalta. Rekisteröidyn oikeuden ja toimintamallin henkilötietojen käsittelyn läpinäkyvyys on arvioitava suhteessa EU:n tietosuoja-asetukseen.

5 TIETOSUOJAVALTUUTETUN TOIMISTO 5/6 Yhteenvetona totean, että varsinaista punnintaa HE:n lakihankkeen ja EU:n tietosuojaasetuksen suhteen ei ole riittävästi tehty. Tällä hetkellä oikeusministeriön TATTItyöryhmä pohtii myös kansallisen liikkumavaran kysymyksiä, joilla tulee olemaan olennainen merkitys tämän HE:n lakiluonnoksen jatkotyölle. Lopuksi totean, että suuri osa niin sanotuista toissijaisista käyttötarkoituksista sisältyy EU:n tietosuoja-asetuksessa määriteltyihin käsittelyn tarkoituksiin. Tietosuojavaltuutettu Reijo Aarnio Ylitarkastaja Arto Ylipartanen Tietosuojavaltuutetun toimivalta 1. Henkilötietolain (523/1999) 38 :n 1 momentin mukaan tietosuojavaltuutettu antaa henkilötietojen käsittelyä koskevaa ohjausta ja neuvontaa sekä valvoo henkilötietojen käsittelyä tämän lain tavoitteiden toteuttamiseksi ja käyttää päätösvaltaa siten kuin tässä laissa säädetään. 2. Henkilötietolain 40 :n 1 momentin mukaan tietosuojavaltuutetun on edistettävä hyvää tietojenkäsittelytapaa sekä ohjein ja neuvoin pyrittävä siihen, ettei lainvastaista menettelyä jatketa tai uusita. Tarvittaessa tietosuojavaltuutetun on saatettava asia tietosuojalautakunnan päätettäväksi taikka ilmoitettava syytteeseen panoa varten. 3. Henkilötietolain 40 :n 2 momentin mukaan tietosuojavaltuutetun on ratkaistava asia, jonka rekisteröity on saattanut 28 ja 29 :n nojalla hänen käsiteltäväkseen. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden toteuttamisesta tai tiedon korjaamisesta. 4. Tietosuojavaltuutettu valvoo yksityisyyden suojasta työelämässä annetun lain (työelämän tietosuojalaki) (759/2004) 22 :n mukaan lain noudattamista yhdessä työsuojeluviranomaisten kanssa. 5. Sähköisen viestinnän tietosuojalain (516/2004) 32 :n mukaan tietosuojavaltuutetun tehtävänä on valvoa mm. lain 7 lukuun (26-29 ) sisältyvien suoramarkkinointia koskevien säännösten noudattamista.

6 TIETOSUOJAVALTUUTETUN TOIMISTO 6/6