29 ARTIKLA - TIETOSUOJATYÖRYHMÄ

29 ARTIKLA - TIETOSUOJATYÖRYHMÄ 5109/00/FI WP 39 Lausunto 2/2001 Kanadassa voimassa olevan henkilötietoja ja sähköisiä asiakirjoja koskevan lainsäädännön tarjoaman suojan riittävyydestä Annettu 26. tammikuuta 2001 Tietosuojatyöryhmä on perustettu direktiivin 95/46/EY 29 artiklan mukaisesti. Se on riippumaton tietosuojaa ja yksityisyyden suojaa käsittelevä neuvoa-antava elin, jonka tehtävistä on säädetty direktiivin 95/46/EY 30 artiklassa ja direktiivin 97/66/EY 14 artiklassa Sihteeristö toimii seuraavassa osoitteessa: Euroopan komissio, sisämarkkinoiden PO, yksikkö: Tiedon vapaa liikkuvuus ja tietosuoja Rue de la Loi 200, B-1049 Bruxelles/Wetstraat 200, B-1049 Bryssel - Belgia - Toimisto: C100-2/133 Internet: www.europa.eu.int/comm/dg15/en/media/dataprot/index/htm

TIETOSUOJATYÖRYHMÄ, joka on perustettu 24 päivänä lokakuuta 1995 annetulla Euroopan parlamentin ja neuvoston direktiivillä 95/46/EY 1 ottaa huomioon mainitun direktiivin 29 artiklan ja 30 artiklan 1 kohdan a alakohdan ja 3 kohdan, ottaa huomioon työjärjestyksensä ja erityisesti sen 12 ja 14 artiklan, on antanut tämän LAUSUNNON: Johdanto Julkisen sektorin käytössä olevia henkilötietoja on Kanadassa suojattu liittovaltion lainsäädännöllä vuodesta 1983, jolloin annettiin yksityisyyttä suojaava Privacy Act -laki. Laissa vahvistetaan säännöt, joita sovelletaan valtion viranomaisten keräämiin ja käyttämiin henkilötietoihin, sekä asianmukaista tietojenkäsittelyä koskevat toimintasäännöt, joita sovelletaan valtion viranomaisten suorittamaan henkilötietojen käsittelyyn. Laissa annetaan lisäksi liittovaltion tietosuojavaltuutetulle (Federal Privacy Commissioner) laajat toimivaltuudet yksityishenkilöiden tekemien valitusten tutkinnassa, valitusten tekemisessä sekä liittovaltion viranomaisten toiminnan lainmukaisuuden tutkinnassa. Useimmissa provinsseissa (lukuun ottamatta Prinssi Edwardin saarta) on voimassa samankaltaisia säännöksiä. Privacy Act -lakia tarkistetaan parhaillaan. Yksityissektoriin sovellettava henkilötietoja ja sähköisiä asiakirjoja koskeva laki (Personal Information and Electronic Documents Act) vahvistettiin 13. huhtikuuta 2000. Lakia sovelletaan yksityissektorin organisaatioihin, jotka keräävät, käyttävät tai luovuttavat henkilötietoja kaupallisen toiminnan yhteydessä. Laki tulee voimaan kolmessa vaiheessa: Vaihe 1: Lakia sovelletaan 1. tammikuuta 2001 alkaen kaikkiin organisaatioihin, jotka harjoittavat liitovaltion tasolla säänneltyä liike- tai muuta toimintaa. Sitä sovelletaan asiakkaiden ja työntekijöiden henkilötietoihin liittovaltion sääntelemillä yksityissektorin osa-alueilla, kuten lentoliikenteen, pankkitoiminnan, radio- ja televisiolähetystoiminnan, provinssien välisen liikenteen ja tietoliikenteen aloilla. Lakia sovelletaan lisäksi kaikkiin organisaatioihin, jotka luovuttavat korvausta vastaan henkilötietoja provinssin tai Kanadan ulkopuolelle. Vaihe 2: Lakia sovelletaan 1. tammikuuta 2002 lähtien vaiheessa 1 katettujen organisaatioiden ja toimintojen (liittovaltion sääntelyn alaisten yksityissektorin osa-alueiden ja provinssin ja/tai Kanadan ulkopuolelle luovutettavien henkilötie tojen) osalta myös yksityishenkilöiden terveystietoihin. Vaihe 3: Lain soveltamisalaa laajennetaan 1. tammikuuta 2004 lähtien siten, että siihen 1 EYVL L 281, 23.11.1995, s. 31, saatavana osoitteessa: http://europa.eu.int/comm/internal_market/en/media/dataprot/index.htm 2

kuuluvat kaikki organisaatiot, jotka keräävät, käyttävät tai luovuttavat henkilötietoja kaupallisen toiminnan yhteydessä provinssin sisällä siitä riippumatta, harjoittavatko kyseiset organisaatiot liittovaltion sääntelyn alaista toimintaa. Jos provinssissa annetaan säädöksiä, jotka olennaisilta osiltaan vastaavat liittovaltion lakia, provinssin vahvistaman lainsäädännön soveltamisalaan kuuluviin organisaatioihin, organisaatioryhmiin ja toimintoihin ei enää sovelleta liittovaltion lakia provinssin sisäisen toiminnan osalta. Henkilötietoja ja sähköisiä asiakirjoja koskeva laki (Personal Information and Electronic Documents Act) Lakiin liitetty luettelo-osa 1 (Schedule 1) sisältää Kanadan standardointiviranomaisen vahvistamat henkilötietojen suojaa koskevat säännöt (Model Code for the Protection of Personal Information), jotka hyväksyttiin Kanadan liittovaltion tason standardiksi vuonna 1996. Näitä säännöksiä on verrattu EY:n tietosuojadirektiivin tärkeimpiin säännöksiin ja vertailussa on otettu huomioon työryhmän antama lausunto "Henkilötietojen siirto EU:n ulkopuolisiin maihin: EU:n tietosuojadirektiivin 25 ja 26 artiklan soveltaminen" 2. Seuraavassa on esitetty tiettyjä kohtia, joihin työryhmä pyytää komissiota kiinnittämään huomiota. Lain soveltamisala Soveltamisalaan kuuluvat organisaatiot. Lain soveltamisalaan kuuluvat kaikki organisaatiot. Ensimmäisessä vaiheessa lakia sovelletaan organisaatioihin, jotka harjoittavat liittovaltion tasolla säänneltyä liike- tai muuta toimintaa. Lain kattamiin organisaatioihin kuuluvat yhdistykset, avoimet yhtiöt, yksityishenkilöt ja ammattiyhdistykset. Lisäksi laki sisältää luettelon (joka ei kuitenkaan ole tyhjentävä) lain soveltamisalaan kuuluvasta liittovaltion tasolla säännellystä toiminnasta. Vaikka useimmat liittovaltion tasolla säännellyt organisaatiot kuuluvat laissa vahvistetun määritelmän piiriin, kaikki organisaatiot eivät kuitenkaan ole liittovaltion sääntelemää toimintaa harjoittavia organisaatioita. Esimerkiksi vakuutusyhtiöt ja luotto-osuuskunnat (credit unions) eivät ole laissa tarkoitettuja liittovaltion sääntelemiä organisaatioita. 3 Kaupallinen toiminta. Lakia sovelletaan tietoihin, joita kerätään, käytetään ja luovutetaan kaupallisen toiminnan yhteydessä. Kaupallista toimintaa ovat kaikki luonteeltaan kaupalliset talous- ja muut toimet, kuten lahjoittaja- tai jäsenluettelojen tai muiden lahjoitusten keräämistä varten laadittujen luettelojen myyminen, vaihtokauppa tai vuokraus. Lakia ei siis sovelleta voittoa tavoittelemattomiin organisaatioihin eikä hyväntekeväisyysorganisaatioihin, ellei näillä ole kaupallista toimintaa. Lain soveltamisalaan eivät myöskään kuulu tapaukset, joissa organisaatio käyttää henkilötietoja ainoastaan journalismin, taiteen tai kirjallisuuden tarkoituksiin tai joissa tietoja käytetään yksinomaan henkilökohtaisiin tai kotitalouden tarpeisiin. Lain 2 WP12 työryhmä hyväksynyt asiakirjan 24. heinäkuuta 1998, saatavana osoitteessa: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm 3 Katso liittovaltion tietosuojavaltuutetun (Federal privacy Commissionner) julkaisema selvitys "Your privacy responsabilities A guide for businesses and organisations", s. 3 osoitteessa http://www.privcom.gc.ca 3

soveltamisalaan eivät myöskään kuulu organisaatiot, joihin sovelletaan liittovaltion tason Privacy Act -lakia. Arkaluonteiset tiedot: Työryhmä huomauttaa, ettei arkaluonteisia tietoja määritellä erikseen. Tietoja pidetään arkaluonteisina niiden kulloisenkin käyttöyhteyden mukaan. Laissa ei myöskään kielletä arkaluonteisten tietojen keräämistä. Luettelo-osan 1 (Schedule 1) kohdassa 4.3.4 vaaditaan kuitenkin organisaatioita ottamaan huomioon tietojen arkaluonteisuus silloin, kun päätetään, millainen suostumus tietojen keruun edellytykseksi olisi asetettava. Kohdan 4.3.6 mukaan organisaation "olisi" yleensä hankittava nimenomainen suostumus silloin, kun tietoja todennäköisesti pidetään arkaluonteisina. Lisäksi luettelo-osan 1 kohdan 4.7.2 mukaan keskimääräistä arkaluonteisemmat tiedot olisi suojattava muita tietoja paremmin. Työryhmä pitää toivottavana, että arkaluonteisia tietoja suojataan käsittelyn yhteydessä järjestelmällisesti mahdollisimman hyvin, ja se kehottaa Kanadan viranomaisia ja etenkin tietosuojavaltuutettua pyrkimään tähän tavoitteeseen. Laissa luetellaan useita erityistilanteita (kohdat 7(1), (2) ja (3)), joissa henkilötietoja (myös tietoja, jotka Euroopassa luokiteltaisiin arkaluonteisiksi) voidaan kerätä, käyttää ja luovuttaa ilman rekisteröidyn antamaa suostumusta. Tarkasteltuaan näitä poikkeuksia työryhmä katsoo, että ne ovat mainituissa erityisolosuhteissa perusteltuja. Työryhmä haluaa etenkin tuoda esille kohdat 7(1)(d), (2)(c.1) ja (3)(h.1), joiden mukaan henkilötietojen käyttö ja luovutus on sallittua ilman rekisteröidylle tehtävää ilmoitusta tai ilman rekisteröidyn antamaa suostumusta, jos kyseiset tiedot ovat julkisesti saatavilla ja jos niistä on erikseen säädetty asetuksissa. Kanadan teollisuusministeriön (Industry Canada) antamissa säännöksissä rajoitetaan tietojen toissijaiskäyttöä ja suojataan tämäntyyppinen tieto riittävällä tavalla 4. Terveystiedot: Lakia ei sovelleta "yksityishenkilön terveystietoihin" lain ensimmäisenä soveltamisvuonna (2.1) vaan vasta 1. tammikuuta 2002 alkaen. Yksityishenkilön terveystiedot määritellään seuraavasti (sekä elävän että kuolleen henkilön osalta): yksilön fyysistä ja psyykkistä terveyttä koskevat tiedot kaikkia yksityishenkilön käyttämiä terveyspalveluja koskevat tiedot tiedot, jotka koskevat veren, elinten tai muiden kehonosien luovutusta tai näiden tutkimusta tiedot, jotka on kerätty yksityishenkilölle tarjottujen terveyspalvelujen tarjonnan aikana, tai tiedot, jotka kerätään yksityishenkilölle tarjottavien terveyspalvelujen tarjonnan yhteydessä. Työryhmä korostaa, että Privacy Act -lakia sovelletaan kaikkiin julkisen terveydenhuollon organisaatioihin. Lisäksi suurin osa yksityisten organisaatioiden hallussa olevista yksityishenkilöiden terveystiedoista kuuluu henkilötietoja ja sähköisiä 4 Katso julkaisussa Part 1 of the Canada Gazette julkaistu "The regulations specifying publicly available information and investigative bodies" osoitteessa http://www.canada.gc.ca/gazette/part1/ 4

asiakirjoja koskevan lain (Personal Information and Electronic Documents Act) piiriin vasta vuodesta 2004, josta lähtien tätä lakia sovelletaan myös provinssin tasolla säänneltyihin kaupallisiin organisaatioihin, joilla on hallussaan suurin osa edellä mainituista tiedoista. Kanadan terveysministeriö (Health Canada) koordinoi yksityishenkilöjen terveystietojen suojaa käsittelevän liittovaltio-, provinssi- ja aluetason edustajista koostuvan työryhmän toimintaa. Työryhmä laatii parhaillaan päätöslauselmaa yksityishenkilöjen terveystietojen yhdenmukaisesta käsittelystä Kanadassa. Tämä päätöslauselma ei ole oikeudellisesti sitova, vaan siinä vahvistetaan joukko periaatteita, joiden noudattaminen on vapaaehtoista ja joiden tarkoituksena on suojata yksityishenkilön terveystietoja koko Kanadan alueella. Sitä sovelletaan sekä julkisen että yksityisen sektorin terveydenhuoltojärjestelmiin. Provinsseja ja alueita pyydetään tässä yhteydessä tarkastamaan yksityishenkilön terveystietojen suoja oman toimivaltansa alueella ja tarvittaessa antamaan säännöksiä ja/tai toteuttamaan toimenpiteitä, jotka ovat päätöslauselman mukaisia. Liitteenä on Kanadan teollisuusministeriön laatima selvitys Kanadassa tällä hetkellä voimassa tai käsiteltävinä olevien säädösten tilanteesta (liite 1). Työryhmä tukee kaikkia sellaisia toimia, joilla pyritään koko Kanadan tasolla sovellettavien, kattavien ja yhdenmukaisten terveystietoja koskevien sääntöjen luomiseen. Työntekijöitä koskevat tiedot Lakia sovelletaan alkuvaiheessa työntekijöiden henkilötietoihin ainoastaan niissä organisaatioissa, jotka keräävät, käyttävät tai luovuttavat henkilötietoja liittovaltion sääntelemän toiminnan yhteydessä. 1. tammikuuta 2004 lähtien lakia sovelletaan kaikkiin organisaatioihin siitä riippumatta, säännelläänkö niiden toimintaa liittovaltion tasolla. Henkilötiedot ovat määritelmään mukaan tietoja, jotka koskevat tunnistettavissa olevaa henkilöä, mutta niihin eivät kuulu tiedot organisaation työntekijän nimestä, asemasta, työpaikan osoitteesta tai puhelinnumerosta 5, joten tämäntyyppiset tiedot eivät kuulu lain soveltamisalaan. Jos kuitenkin edellä mainitut tiedot yhdistetään henkilötietoihin, laki tulee sovellettavaksi. Lakia sovelletaan lisäksi 1. tammikuuta 2001 alkaen tapauksiin, joissa henkilötietoja luovutetaan provinssin ulkopuolelle korvausta vastaan (silloin, kun kaupan kohteena ovat henkilötiedot). Työryhmä toteaa, että niihin erityistapauksiin, joissa työntekijöitä koskevia tietoja siirretään EU:sta Kanadaan, sovelletaan lakia 1. tammikuuta 2001 alkaen, jos tiedot koskevat Kanadan liittovaltion sääntelemän organisaation työntekijää tai jos tiedot siirretään kaupallisessa tarkoituksessa. Kaikissa muissa tapauksissa lakia sovelletaan 1. tammikuuta 2004 lähtien. Suhde provinssien lainsäädäntöön ja tietojen siirtäminen edelleen 5 Ks. lakikokoelma: Chapter 5, Part I, 2 (1). 5

Koska henkilötietoja ja sähköisiä asiakirjoja koskeva laki tulee voimaan vaiheittain ja koska se on vuorovaikutuksessa muun lainsäädännön kanssa, työryhmä haluaa kiinnittää komission huomion tapauksiin, joissa henkilötietoja siirretään Kanadan sisällä (esim. lain soveltamisalaan kuuluvan ja kuulumattoman organisaation välillä) tai Kanadan ulkopuolelle. Luettelo-osan 1 (Schedule 1) kohdan 4.1.3 mukaan organisaatio on vastuussa tiedoista, jotka se on siirtänyt kolmannelle osapuolelle käsittelyä varten. Organisaatio tarvitsee rekisteröidyn suostumuksen henkilötietojen hankkimiseen toiselta organisaatiolta, jos nämä tiedot hankitaan kaupallisen toiminnan yhteydessä. Organisaatio tarvitsee lisäksi suostumuksen näiden tietojen käyttämiseen tai luovuttamiseen toiselle organisaatiolle. Esimerkiksi jos vakuutusyhtiö haluaa luovuttaa tietoja toiselle organisaatiolle, se tarvitsee tähän rekisteröidyn suostumuksen siitä riippumatta, kuuluuko tiedot vastaanottava organisaatio lain soveltamisalaan. Kohdassa 4.1.3 säädetään lisäksi, että organisaation on sopimuksin tai muilla keinoin varmistettava tiedoille tarjoamaansa suojaa vastaava suoja kolmannen osapuolen suorittaman käsittelyn ajaksi. Työryhmä katsoo, että tietojen siirtäminen Kanadan ulkopuolelle edellyttää sellaisten sopimusten tai muiden sitovien ehtojen käyttöä, joilla tiedoille voidaan taata vastaavantasoinen suoja, ja se kehottaa Kanadan viranomaisia antamaan tätä koskevat ohjeet. Olennaisilta osiltaan vastaava sääntely. Jos provinssin tasolla säädetään laki, jonka katsotaan olennaisilta osiltaan vastaavan liittovaltion lakia, provinssin lain soveltamisalaan kuuluviin organisaatioihin tai toimintoihin ei enää sovelleta liittovaltion lakia provinssin sisäisen toiminnan osalta. Liittovaltion lakia sovelletaan kuitenkin edelleen kaikkeen provinssienväliseen ja kansainväliseen henkilötietojen keruuseen, käyttöön ja luovutukseen. Ennen kuin päätetään, millaista virallista menettelyä olisi noudatettava olennaista vastaavuutta arvioitaessa, Kanadan teollisuusministeriö on ilmoittanut, että se neuvottelee sidosryhmien ja provinssien hallintoyksiköiden kanssa menettelyistä, jotka soveltuisivat parhaiten lain sisältämän olennaista vastaavuutta koskevan säännöksen täytäntöönpanoon. Tärkeimmät kysymykset koskevat sitä, mikä taho voisi käynnistää menettelyn, millaisin kriteerein olennaista vastaavuutta olisi arvioitava ja miten kansalaiset voisivat osallistua menettelyyn. Kanadan teollisuusministeriö todennäköisesti julkaisee tammikuussa 2001 selvityksen, jossa esitetään ratkaisuvaihtoehdot näihin peruskysymyksiin. Päätelmät Edellä esitetyn perusteella työryhmä haluaa kiinnittää komission ja 31 artiklan mukaisen komitean huomion siihen, että lakia sovelletaan vain yksityissektorin organisaatioihin, jotka keräävät, käyttävät tai luovuttavat henkilötietoja kaupallisen toiminnan yhteydessä. Lisäksi laki tulee voimaan kolmessa vaiheessa, ja se pannaan kaikilta osin täytäntöön vasta vuonna 2004. Se suosittaa tämän vuoksi, että henkilötiedoista ja sähköisistä asiakirjoista annetun lain soveltamisalaan liittyvät rajoitukset ja lain voimaantuloaikataulu otetaan huomioon kyseisen lain mukaisen tietosuojan riittävyyttä arvioitaessa. 6

Työryhmä kehottaa lisäksi komissiota ja 31 artiklan mukaista komiteaa tarkastelemaan olennaista vastaavuutta koskevan päätöksen tekomenettelyä ja arvioimaan, onko kunkin provinssin lakien osalta erikseen vahvistettava, että niiden tarjoama tietosuoja on riittävä, vai voidaanko sama tavoite saavuttaa liittovaltion tason määräyksellä (Order in Council). Tämä koskee erityisesti Quebeciä, jossa on voimassa henkilötietojen suojaa yksityissektorilla koskeva laki "Loi sur la protection des reinsegnements personnels dans le secteur Privé". Työryhmä kehottaa lisäksi komissiota seuraamaan terveystietoihin liittyvää kehitystä ja tukee kaikkia aloitteita, joilla edistetään koko Kanadan tasolla sovellettavien sääntöjen johdonmukaistamista. Työryhmä suhtautuu myönteisesti Kanadan viranomaisten aloitteisiin, joiden tavoitteena on suojata arkaluonteisia tietoja mahdollisimman hyvin ja varmistaa, että Kanadan ulkopuolelle siirrettäville tiedoille taataan Kanadassa tarjottua suojaa vastaava suoja. Tehty Brysselissä 26. tammikuuta 2001 Työryhmän puolesta Puheenjohtaja Stefano RODOTA 7

Provinssien ja territorioiden tietosuojaa koskeva lainsäädäntö Liite 1 BRITTILÄINEN COLUMBIA Julkisen sektorin lainsäädäntö Tiedonsaantioikeutta ja yksityisyyden suojaa koskevaa lakia (Freedom of Information and Protection of Privacy Act) sovelletaan Brittiläisessä Columbiassa useimpiin provinssi- ja paikallishallinnon yksiköihin sekä riippumattomiin ammattialajärjestöihin. Tämän tyyppisiä julkishallinnon yksiköitä ovat ministeriöt, virastot, lautakunnat, julkiset yritykset (Crown corporations) sairaalat, kunnat, piirikunnat, paikallispoliisi, koulupiirit, yliopistot ja muut oppilaitokset sekä lukuisat ammattialajärjestöt kuten British Columbia College of Teachers, (opettajat) the College of Physicians and Surgeons, (lääkärit ja kirurgit) ja the Law Society of British Columbia (asianajajat). Laki takaa yksityishenkilöille tiettyjä tiedonsaantia ja yksityisyyden suojaa koskevia oikeuksia Brittiläisen Columbian viranomaisten keräämien tai niiden hallussa olevien tietojen osalta. Lain mukaan yksityishenkilöillä on kaksi pääasiallista oikeutta: oikeus päästä tutustumaan viranomaisten valvonnassa tai hallussa oleviin tietoihin ja varsinkin omiin henkilötietoihinsa sekä oikeus yksityisyyden suojaan viranomaisten valvonnassa tai hallussa olevien henkilötietojen osalta. Laissa on sääntöjä, joita viranomaisten on noudatettava, kun ne keräävät, käyttävät tai luovuttavat henkilötietoja. Yksityishenkilöillä on myös oikeus vaatia oikaisua henkilötietoihinsa, jos ne ovat heidän mielestään virheellisiä, ja heillä on oikeus vaatia tietosuojavaltuutettua (Information and Privacy Commissioner) tutkimaan asia, jos he katsovat, ettei heidän oikeuksiaan ole otettu huomioon. URL: http://www.oipcbc.org/bclaw.html Muu yksityisyyttä koskeva lainsäädäntö Brittiläisen Columbian provinssi julkaisi vuoden 1999 loppupuolella keskusteluasiakirjan Protecting Personal Privacy in the Private Sector, jossa käsitellään yksityisyyden suojaa julkisella sektorilla. Erityinen asiaa käsittelevä Information Privacy in the Private Sector -komitea on vastannut keskusteluasiakirjan herättämien mielipiteiden kuulemisesta. Komitea ei ole vielä julkaissut raporttiaan. Freedom of Information and Protection of Privacy Act -laki on provinssissa voimassa oleva yksityisyyttä julkisella sektorilla sääntelevä laki. Se kattaa julkisen sektorin rahoittamien terveydenhoitoalan organisaatioiden ja terveyspalvelujen tuottajien, myös terveysasemien, yliopistojen ja sairaaloiden, terveystiedot. Lain soveltamisen ulkopuolelle jäävät ainoastaan yksityiset lääkärit ja yksityiset terveysasemat. On kuitenkin odotettavissa, että yksityisen sektorin lainsäädäntöä, jonka pitäisi olla laajasti sovellettavissa erilaisiin tapauksiin, sovelletaan myös yksityiseen terveydenhuoltosektoriin. ALBERTA Julkisen sektorin lainsäädäntö 8

Albertassa tiedonsaantioikeutta ja yksityisyyden suojaa koskevaa lakia (Freedom of Information and Protection of Privacy Act) sovelletaan provinssin ministeriöihin, niiden osastoihin ja yksiköihin sekä virastoihin, lautakuntiin, komiteoihin ja julkisiin yrityksiin. Sitä sovelletaan paikallisviranomaisiin (opetus-, terveydenhoito- tai kunnallisviranomaiset), terveydenhoitoalan yksiköihin (sairaalat, hoitokodit, terveyslautakunnat, kunnalliset terveysviranomaiset jne.) ja koulutusalan yksiköihin (yliopistot ja muut oppilaitokset, tekniset oppilaitokset, koulut (charter schools) jne.). Tämän lain avulla valvotaan yksityisyyden suojan osalta sitä, miten viranomaiset keräävät henkilötietoja yksityishenkilöiltä, sekä säännellään sitä, miten viranomaiset voivat käyttää ja luovuttaa näitä tietoja. Se antaa yksityishenkilöille tiettyjen poikkeuksien rajoissa oikeuden päästä tarkistamaan viranomaisten hallussa olevia henkilötietojaan ja antaa mahdollisuuden vaatia tietojen oikaisemista. Siinä säädetään viranomaisten lain soveltamisen yhteydessä tekemien päätösten saattamisesta riippumattoman elimen arvioitavaksi ja valitusten ratkaisemisesta. URL: http://www.gov.ab.ca/foip/legislation/foip_act/index.cfm Muu yksityisyyttä koskeva lainsäädäntö Terveystietoja koskeva provinssin tason laki Bill 40, Health Information Act vahvistettiin joulukuussa 1999, mutta se ei ole vielä tullut voimaan. Pääasiassa lakia sovelletaan julkisin varoin rahoitettuun terveydenhuoltosektoriin, mutta se kattaa myös farmaseutit ja lääkärit riippumatta siitä kuka heille maksaa palkan. Tällä hetkellä lääkärit ja farmaseutit eivät kuulu minkään lain piiriin. Provinssin Freedom of Information and Protection of Privacy Act -laki kattaa tällä hetkellä provinssin terveysministeriön ja terveysviranomaiset, jotka kuuluvat viranomaisina lain piiriin. Kun uusi Health Information Act -laki tulee voimaan, terveysviranomaiset ja terveysministeriö ovat tämän lain alaisia aivan kuten lääkärit ja farmaseutit. SASKATCHEWAN Julkisen sektorin lainsäädäntö Tiedonsaantioikeutta ja yksityisyyden suojaa koskeva laki (Freedom of Information and Protection of Privacy Act) kattaa kaikki Saskatchewanin provinssihallinnon yksiköt, ylin toimeenpanoelin (office of Executive Council) ja kaikki ministeriöt ja muut virastot mukaan luettuna. Laki kattaa myös lautakunnat, komiteat, julkiset yritykset ja hallintoviranomaiset. Freedom of Information and Protection of Privacy Act -laki antaa rekisteröidyille mahdollisuuden saada tietoja viranomaisten valvonnassa tai hallussa olevista tiedoista tiettyjä poikkeuksia lukuun ottamatta. Laissa annetaan myös yksityisyyden suojan osalta säännöt viranomaisille siitä, miten nämä saavat kerätä ja käyttää henkilötietoja. URL: http://www.qp.gov.sk.ca/orphan/legislation/f22-01.htm Local Authority Freedom of Information and Protection of Privacy Act -laki antaa rekisteröidyille tiettyjä poikkeuksia lukuun ottamatta oikeuden saada käyttöönsä paikallisviranomaisten, kuten kunnan, koululautakunnan, sairaalan tai hoitokodin, 9

valvonnassa tai hallussa olevia tietoja. Laissa annetaan myös yksityisyyden suojan osalta paikallisviranomaisille säännöt siitä, miten nämä saavat kerätä ja käyttää henkilötietoja. Paikallisviranomaisia ovat maaseutu- ja kaupunkialueiden sekä pohjoisten alueiden kunnat, näiden lautakunnat ja komiteat. URL: http://www.qp.gov.sk.ca/orphan/legislation/l27-1.htm Muu yksityisyyttä koskeva lainsäädäntö Terveystietojen suojaa koskeva Saskatchewanin The Health Information Protection Act -laki vahvistettiin toukokuussa 1999, mutta se ei ole vielä tullut voimaan. Sitä sovelletaan sekä yksityiseen että julkiseen terveydenhuoltosektoriin. MANITOBA Julkisen sektorin lainsäädäntö Freedom of Information and Protection of Privacy Act -laki (FIPPA) takaa Manitoban asukkaille sekä muille oikeuden päästä tutustumaan viranomaisten rekistereihin tiettyjä poikkeuksia lukuun ottamatta ja oikeuden viranomaisten hallussa olevien henkilötietojen suojaan. FIPPA-laki sisältää säännökset, joita viranomaisten on noudatettava hallussaan olevien henkilötietojen suojaamisessa. Nämä säännöt sisältävät asianmukaisia toimintatapoja koskevat periaatteet (fair information practices). Säännöt kattavat henkilötietojen keruun, käytön tai luovuttamisen. Yksityishenkilöille taataan pääsy omiin henkilötietoihinsa ja heillä on myös oikeus vaatia niihin oikaisua. Myös avoimuuden ja vastuun periaatteita sovelletaan. Lain mukaan yksityishenkilöillä, jotka ovat huolestuneita tietyn organisaation tietosuojapolitiikasta tai -käytännöstä tai sen hallussa olevista tiedoista, olisi oltava mahdollisuus saattaa asia riippumattoman elimen käsiteltäväksi. Laissa määrätään myös mahdollisuudesta saattaa viranomaisten rekistereihin pääsyä ja henkilötietojen suojaa koskevat päätökset ja toimet Manitoban oikeusasiamiehen käsiteltäväksi. FIPPA-lakia sovelletaan Manitoban provinssihallinnon ministeriöihin ja viranomaisiin, ja se kattaa kaikki paikallisviranomaiset, koulupiirit, kunnan oppilaitokset, yliopistot, alueelliset terveysviranomaiset ja sairaalat. Terveystietoja koskevan Personal Health Information Act -lain piiriin kuuluvat rekisterit eivät ole FIPPA-lain alaisia. URL: http://www.gov.mb.ca/chc/fippa/actandregs/index.html Muu yksityisyyttä koskeva lainsäädäntö Provinssin The Personal Health Information Act -laki tuli voimaan vuonna 1997. Sitä sovelletaan yksityisen ja julkisen terveydenhoitoalan sektoreihin. ONTARIO Julkisen sektorin lainsäädäntö Freedom of Information and Protection of Privacy Act 10

Tiedonsaantioikeutta ja yksityisyyden suojaa koskevaa lakia (Freedom of Information and Protection of Privacy Act) sovelletaan Ontarion provinssin ministeriöihin ja virastoihin, lautakuntiin ja useimpiin komiteoihin, kunnallisiin oppilaitoksiin ja alueellisiin terveysviranomaisiin. Laki vaatii, että viranomaiset suojaavat rekistereissään olevia henkilötietoja. Laissa annetaan säännöt viranomaisille niiden valvonnassa tai hallussa olevien henkilötietojen keruusta, hallussapidosta, käytöstä tai luovuttamisesta. Jos yksityishenkilö katsoo, että lain piiriin kuuluva viranomainen on loukannut hänen yksityisyyttään, hän voi valittaa asiasta tietosuojavaltuutetulle (Information and Privacy Commissioner), joka voi ottaa valituksen tutkittavakseen. Laki antaa yksityishenkilölle myös oikeuden päästä tutustumaan hallintoviranomaisten hallussa oleviin tietoihin eli yleisimpiin rekistereihin ja yksityishenkilön omia tietoja sisältäviin rekistereihin. URL: http://www.ipc.on.ca/english/acts/prov-act.htm Municipal Freedom of Information and Protection of Privacy Act Municipal Freedom of Information and Protection of Privacy Act -lakia sovelletaan kunnallishallinnon yksiköihin, paikallisiin lautakuntiin, virastoihin ja komiteoihin. Lain piiriin voivat kuulua myös kaupungin kanslia, koululautakunta, terveyslautakunta, julkiset palvelut ja poliisi. Laki vaatii paikallishallinnon yksiköitä takaamaan rekistereissään olevien henkilötietojen suojan. Siinä olevat säännökset kattavat paikallishallinnon yksiköiden valvonnassa tai hallussa olevien henkilötietojen keruun, hallussapidon, käytön ja luovuttamisen. Jos yksityishenkilö katsoo, että lain piiriin kuuluva hallintoyksikkö on loukannut hänen yksityisyyttään, hän voi valittaa asiasta tietosuojavaltuutetulle (Information and Privacy Commissioner), joka voi ottaa valituksen tutkittavakseen. Laki antaa myös yksityishenkilölle oikeuden päästä tutustumaan kunnallisviranomaisten hallussa oleviin tietoihin eli yleisimpiin rekistereihin ja yksityishenkilön omia tietoja sisältäviin rekistereihin. URL: http://www.ipc.on.ca/english/acts/mun-act.htm Muu yksityisyyttä koskeva lainsäädäntö Ontariossa on parhaillaan käynnissä kuulemismenettely kahdesta yksityisyyttä koskevasta lakialoitteesta, joista toinen on Ontario Privacy Act -lakialoite ja toinen Personal Health Information Privacy Legislation for the Health Sector -lakialoite. Tällä hetkellä provinssissa selvitetään eri sidosryhmien näkemyksiä näistä lakialoitteista. QUEBEC Julkisen sektorin lainsäädäntö 11

Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels -lakia koskevat yksityiskohtaiset tiedot toimitetaan myöhemmin. URL: http://www.cai.gouv.qc.ca/loi.htm Muu yksityisyyttä koskeva lainsäädäntö Quebecin Act respecting the Protection of Personal Information in the Private Sector -laki ei ole sektorikohtainen, joten se kattaa yksityissektorin terveystiedot. Act respecting Access to documents held by public bodies and the protection of personal information -lakia sovelletaan julkiseen terveydenhuoltosektoriin. NEW BRUNSWICK Tarkempia lisätietoja julkisesta sektorista saadaan mahdollisesti jatkossa. Henkilötietojen suojaa koskeva laki (Protection of Personal Information Act) vahvistettiin vuonna 1998, ja se tuli voimaan 1. tammikuuta 2001. Laki koskee julkista sektoria ja kattaa henkilötiedot, joihin kuuluvat myös yksityishenkilöjen terveystiedot. Lakia sovelletaan seuraavantyyppisiin organisaatioihin: terveysministeriö, sairaalat, yliopistot ja laboratoriot (joiden kaikkien toiminta rahoitetaan New-Brunswickissa julkisin varoin). Lain soveltamisalaan eivät kuitenkaan kuulu terveyspalvelujen tuottajat, vaikka näiden toiminta rahoitettaisiin julkisin varoin. NOVA SCOTIA Julkisen sektorin lainsäädäntö Tiedonsaantioikeutta ja yksityisyyden suojaa koskevassa The Freedom of Information and Protection of Privacy Act -laissa taataan oikeus useimpien provinssihallinnon hallussa olevien tietojen saantiin, mutta lailla suojataan samalla myös niiden henkilöiden yksityisyyttä, jotka eivät halua henkilötietojaan julkisiksi. Yksityisyyden suojaa koskevat säännökset kattavat henkilötietojen keruun, käytön ja luovuttamisen. Laissa annetaan yksityishenkilöille lisäksi oikeus omien henkilötietojensa oikaisemiseen. Yksityishenkilöillä on lisäksi oikeus valittaa päätöksistä, jos pyydettyjä muutoksia ei tehdä. Lakia ei sovelleta lainsäädäntäelinten, kuntien eikä oppilaitosten hallussa oleviin tietoihin. URL: http://www.gov.ns.ca/govt/foi/act.htm Muu yksityisyyttä koskeva lainsäädäntö Provinssissa ei ole voimassa yksityissektorin hallussa olevia terveystietoja koskevaa lainsäädäntöä. Sen Freedom of Information and Protection of Privacy Act -laki kattaa julkisten laitosten, myös sairaaloiden, hallussa olevat henkilötiedot. Potilastietojen käsittelyyn sovelletaan kuitenkin provinssissa voimassaolevan sairaaloita koskevan Hospitals Act -lain kohtaa 71 (Section). 12

PRINSSI EDWARDIN SAARI Provinssissa ei ole yksityisyyttä suojaavaa lainsäädäntöä julkisella eikä yksityisellä sektorilla. Freedom of Information and Protection of Privacy Act -laki, joka olisi kattanut julkisen sektorin, hylättiin käsittelyvaiheessa, joten se ei tullut voimaan. NEWFOUNDLAND JA LABRADOR Provinssissa ei ole yksityisyyttä suojaavaa lainsäädäntöä julkisella eikä yksityisellä sektorilla. LUOTEISTERRITORIOT Luoteisterritorioissa on voimassa tiedonsaantioikeutta ja yksityisyyden suojaa koskeva Access to Information and Protection of Privacy Act -laki, joka kattaa julkisen sektorin hallussa olevat henkilötiedot, myös yksityishenkilöiden terveystiedot. Lakia sovelletaan hallintoelimiin ja terveyslautakuntiin (Health Board). Nämä lautakunnat ovat julkisen sektorin elimiä, jotka vastaavat Luoteisterritorioissa tuotettujen, klinikoiden sekä julkisten terveyskeskusten kautta tarjottujen terveyspalvelujen hallinnosta. Yellowknifen kaupungissa sijaitsevan sairaalan toiminnasta vastaa myös terveyslautakunta. Kaikki terveyslautakuntien alaiset organisaatiot ja niiden työntekijät kuuluvat lain soveltamisalaan. Yksityiset terveysasemat eivät tällä hetkellä kuulu lain soveltamisalaan, vaikka lääkärit laskuttavat territorioiden hallintoa palvelujen tuottamisesta. Territorion hallinto todennäköisesti ostaa nämä terveysasemat lähitulevaisuudessa. Vielä on kuitenkin epävarmaa, miten lakia tullaan niihin soveltamaan. Hallitus valmistelee tällä hetkellä Health Information Act -lain antamista. YUKONIN TERRITORIO Yukonin territorion Access to Information and Protection of Personal Information Act -laki kattaa kaikki julkisen sektorin organisaatiot ja niiden työntekijät, ja sen soveltamisalaan kuuluvat myös yksityishenkilöiden terveystiedot. Yukonin terveys- ja sosiaaliministeriön hallinnolla on kaksi tehtävää. Se toimii sekä Yukonin terveydenhuollon rahoittajana että alueellisena terveysviranomaisena (Regional Health Authority), joka tuottaa suoraan terveyspalveluja territorion asukkaille. Lain soveltamisalaan kuuluvat siis myös ne terveyspalvelujen tuottajat, jotka tuottavat terveyspalveluja ministeriölle. NUNAVUT Nunavutin territoriossa on voimassa Access to Information and Protection of Privacy Act -laki, joka kattaa julkisen sektorin hallussa olevat henkilötiedot (myös yksityishenkilöiden terveystiedot). Nunavutin Medical Care Act -laki kattaa terveyspalvelujen tuottajien hallussa olevat terveystiedot ja kaikki työntekijät, jotka osallistuvat lain soveltamisalaan kuuluvan toiminnan hallintoon. Laki kattaa kaikki hallintoelimet ja alueelliset yksiköt (Regional Offices). Alueyksiköt ovat julkisia laitoksia, jotka vastaavat Nunavutissa tuotettujen, klinikoiden sekä julkisten terveyskeskusten kautta tarjottujen terveyspalvelujen hallinnosta. Kaikki alueyksiköiden 13

alaiset organisaatiot (myös sairaalat) ja niiden työntekijät kuuluvat lain soveltamisalaan. Yksityiset terveysasemat eivät tällä hetkellä kuulu lain soveltamisalaan. 14