4.6.2010

ASIA

Konkurssipesän edustaja otti yhteyttä tietosuojavaltuutetun toimistoon asiassa, joka koski
konkurssiin menneen säätiön hallussa olevia tutkimusrekistereitä sekä niiden siirtämistä Tampereen yliopistoon. Kysymys koski erityisesti käynnissä olevien tutkimusten tutkimusrekisterien siirtoa siten, että tutkimus voidaan saattaa loppuun. Tässä yhteydessä on kyse nimenomaan rekistereistä, joissa säätiö on ollut rekisterinpitäjänä. Pesän edustaja tiedusteli myös sitä, tuleeko rekisterien siirrolle hakea henkilötietolain 35 §:n mukainen Kansallisarkiston lupa?

TIETOSUOJAVALTUUTETUN VASTAUS

Käynnissä olevat tutkimushankkeet

Tietosuojavaltuutetun käsityksen mukaan siirron edellytykset riippuvat siitä, millä perusteella tutkimusrekisterissä olevia henkilötietoja käsitellään. Henkilötietoja voidaan
käsitellä tutkittavien itsensä antamilla suostumuksilla, mikä on ensisijainen tapa, kun tutkimusaineistoon tarvitaan tunnistettavia henkilöitä koskevia tietoja. Jos suostumusten hankkiminen ei ole mahdollista tietojen suuren määrän, tietojen iän tai muun sellaisen syyn vuoksi, tietojen käyttöön voidaan hakea viranomaislupaa. Viranomaislupaa haetaan, kun tutkimusaineistona halutaan käyttää esimerkiksi valtakunnallisten henkilörekisterien sisältämiä tietoja.

Tutkimusta varten tutkijoille muodostuu oma, tietolähteenä käytetystä henkilörekisteristä erillinen rekisteri. Pääsääntöisesti tutkimusrekistereitä on kolmenlaisia; 1) tutkimusrekistereitä, jotka perustuvat kokonaisuudessaan tutkittavien suostumuksella kerättyihin tietoihin 2) tutkimusrekistereitä, jotka sisältävät suostumuksella kerättyjen tietojen lisäksi rekisteritietoja viranomaisrekisteristä sekä 3) tutkimusrekistereitä, joiden tiedot on kerätty pelkästään eri rekistereistä viranomaislupien perusteella.

Suostumuksella kerätyistä tiedoista

Henkilötietojen käsittelyyn oikeuttavan suostumuksen on oltava henkilötietolain 3
§:n 1 momentin 7-kohdassa tarkoitetun tavoin vapaaehtoinen, yksilöity ja tietoinen.
Arkaluonteisten henkilötietojen osalta henkilötietolain 12 §:n 1 momentin 1 kohdan
mukaan suostumuksen tulee lisäksi olla myös nimenomainen. Henkilötietolain 24
§:ssä edellytetään, että rekisteröityjä informoidaan heidän henkilötietojensa
käsittelystä. Jotta tietojen keräämisen voidaan katsoa tapahtuneen asianomaisen
rekisteröidyn suostumuksella, suostumusta pyydettäessä rekisteröityä on tullut
henkilötietolain 24 §:n mukaisesti informoida kaikista suostumuksen antamisen
kannalta merkityksellisistä seikoista.

Myös laki lääketieteellisestä tutkimuksesta (488/1999) edellyttää 6 – 8 §:ien
mukaisesti tutkittavan suostumusta. Suostumuksen sisällöstä on tarkemmin
säädetty valtioneuvoston asetuksella (313/2004).

Tietosuojavaltuutetun saamien tietojen mukaan kysymys on tilanteesta, jossa alkuperäisen tutkimussuunnitelman mukaiset, kesken olevat tutkimukset pyritään saattamaan loppuun tilanteessa, jossa rekisterinpitäjän toiminta on päättynyt. Tutkimusrekisterien säilyttämisen tarpeellisuus perustuu siihen, että tutkimukset saadaan saatettua loppuun. Tämän tavoitteen saavuttamiseksi tutkimusrekisterien aktiivikäytön täytyisi yhä olla mahdollista. Henkilötietojen käsittelyperuste ei muutu, koska tarkoituksena on saattaa loppuun alkuperäinen tutkimushanke, johon nimenomainen suostumus on saatu. Tietosuojavaltuutetun saaman tiedon mukaan tutkimuksen tekemistä käytännössä jatkaisivat myös samat henkilöt, jotka sitä alun perinkin ovat tehneet ja joille suostumus kyseessä olevien henkilötietojen käsittelyyn on annettu. Tutkimushankkeet ovat valtuutetun saaman tiedon mukaan olleet pääsääntöisesti väitöskirjatöitä sekä julkaisuihin tähtääviä tieteellisiä artikkeleita.

Tietosuojavaltuutetun käsityksen mukaan kyseisessä poikkeustilanteessa rekisterinpitäjyyden uudelleenjärjestely voi olla mahdollista, jos henkilötietojen
käsittelyn asianmukaisuudesta sekä lainmukaisuudesta voidaan varmistua. Uudelleen järjestelyn edellytyksenä ovat 1) henkilötietojen käsittelyn tarkoitus ei muutu eli suostumuksella kerättyjä tietoja käytetään vain siihen tutkimustarkoitukseen, johon suostumus on saatu, 2) tutkimusrekisterissä olevien henkilötietojen salassa pidettävyys ei muutu ja 3) varmistutaan siitä, että tutkimusrekisteriin talletetut tiedot on suojattu henkilötietolain 5 §:ssä ja 32 §:ssä edellytetyllä tavalla. Tutkimuksen rekisterinpitäjä vastaa rekisterinpidon ja henkilötietojen käsittelyn laillisuudesta tutkimuksen jatkuessa sekä sen päätyttyä.

Henkilötietolain 5 §:n mukaan rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta. Sama velvollisuus on sillä, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun.

Henkilötietolain 32 §:n 1 momentin mukaan rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. Toimenpiteiden toteuttamisessa on otettava huomioon käytettävissä olevat tekniset mahdollisuudet, toimenpiteiden aiheuttamat kustannukset, käsiteltävien tietojen laatu, määrä ja ikä sekä käsittelyn merkitys yksityisyyden suojan kannalta.

Mitä arkaluonteisempaa tietoa rekisteri sisältää, sitä parempaa huolta sen suojauksesta on pidettävä. Rekisterinpitäjyyden uudelleen järjestelyn sekä tutkimusrekisterien siirron yhteydessä suojaustoimenpiteiden merkitys korostuu. Tutkimusrekisterin rekisterinpitäjän on varmistuttava kyseessä olevien arkaluonteisten henkilötietojen manuaalisen sekä automaattisen aineiston suojauksen asianmukaisuudesta sekä siitä, että aineiston suojaus täyttää edellä esitetyt henkilötietolain säännökset.

Koska rekisterinpitäjän muutos on olennainen, tulee suostumuksellaan tutkimukseen osallistuneita informoida tutkimuksen rekisterinpitäjän muuttumisesta sekä siitä, että suostumus on mahdollista peruuttaa. Myös tutkimusrekistereistä laaditut henkilötietolain 10 §:n mukaiset rekisteriselosteet on syytä päivittää siten, että tieto oikeasta rekisterinpitäjästä on kaikkien saatavilla. Muilta osin siirto ei tietosuojavaltuutetun näkemyksen mukaan anna aihetta huomautuksiin.

Niiden tutkimushankkeiden kohdalla, jotka eivät jatku ja joiden yhteydessä muodostunut henkilörekisteri ei enää ole aktiivikäytössä, tulee menetellä henkilötietolain 34 §:n mukaisesti. Henkilötietolain 34 §:n mukaan henkilörekisteri, joka ei ole enää rekisterinpitäjän toiminnan kannalta tarpeellinen, on hävitettävä, jollei siihen talletettuja tietoja ole erikseen säädetty tai määrätty säilytettäviksi tai jollei rekisteriä siirretä 35 §:ssä tarkoitetulla tavalla arkistoon.

Viranomaisluvalla saaduista tiedoista

Mikäli tutkimusrekisteriin on talletettu tietoja, jotka on saatu viranomaisen rekisteristä luvanvaraisesti, tietojen siirron mahdollisuus riippuu lupaehdoissa sovitusta. Esimerkiksi Terveyden ja hyvinvoinninlaitoksen lupaehtojen mukaan "Jos tutkimusta suorittavassa organisaatiossa tai rekisterinpitäjän osalta tapahtuu olennaisia muutoksia, niistä tulee ilmoittaa luvan myöntäjälle, joka harkitsee edellyttääkö muutos uutta lupaa.". Näin ollen rekisteritietoja sisältävien tutkimusrekistereiden osalta on oltava yhteydessä asianomaiseen lupaviranomaiseen.

Arkistoidut tutkimusrekisterit

Henkilötietolain 14 §:n 4 kohdan mukaan tieteellisen tutkimuksen tarkoituksessa käsiteltäviä henkilötietoja saa säilyttää vain niin kauan, kuin ne ovat tarpeellisia tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi.
Kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen tulosten varmistamiseksi, henkilörekisteri täytyy joko hävittää, siirtää arkistoitavaksi tai muuttaa anonyymiin muotoon.

Henkilötietolain 35 §:n 2 momentin mukaan henkilörekisteri, joka on tieteellisen
tutkimuksen kannalta tai muusta syystä merkityksellinen, voidaan siirtää korkeakoulun taikka tutkimustyötä lakisääteisenä tehtävänä suorittavan laitoksen tai viranomaisen arkistoon, jos kansallisarkisto on antanut siihen luvan. Kansallisarkisto voi antaa yhteisölle, säätiölle ja laitokselle luvan siirtää arkistoonsa omassa toiminnassa syntyneitä henkilörekistereitä, jotka täyttävät edellä mainitut vaatimukset. Kansallisarkiston on päätöksessään määrättävä, miten rekistereiden suojaus on järjestettävä sekä miten henkilötietojen käyttöä on valvottava.

Henkilötietolain 35 § koskee siis nimenomaan henkilörekisterin siirtoa arkistoon.
Yksityinen rekisterinpitäjä saa arkistoida henkilötiedot vain, jos kansallisarkisto antaa siihen tietosuojavaltuutettua kuultuaan henkilötietolain 35 §:n mukaisen luvan. Useimmiten henkilötietoja sisältävän tutkimusaineiston arkistointi edellyttää, että tutkimuksen tehnyt rekisterinpitäjä on viranomainen, joka voi arkistoida tiedot arkistolakia noudattaen.