7.3.2012

ASIA
Tietosuojavaltuutetulta pyydettiin kannanottoa asiassa koskien lääkärihelikopteritoimintaa harjoittavan Oy A:n oikeutta kerätä ja tallentaa toiminnan kohteena olevien potilaiden arkaluonteisia henkilötietoja. Viestin mukaan Oy A tallentaisi ja käsittelisi toiminnan kohteena olevista potilaista henkilötiedot ja arkaluonteisiksi katsottavia tietoja potilaan tilasta, hoidosta ja jatkohoitopaikasta. Kyseessä ei kuitenkaan ole potilasrekisteri eikä hoitokertomus, vaan hoitokertomustiedot tallentaa kukin sairaanhoitopiiri omiin järjestelmiinsä. Oy A vastaa lääkärityövoimaa lukuun ottamatta lääkäri- ja lääkintähelikopteritoiminnan pyörittämisestä ja varsinainen lentotoiminta ostetaan alihankintana lentoyhtiöltä.

TIETOSUOJAVALTUUTETUN KANNANOTTO
Koska tietosuojavaltuutetulla ei ole ennakollista lupa- tai kieltotoimivaltaa, hän totesi yleisenä ohjauksena seuraavaa:

Henkilötietolain 11 §:n mukaan arkaluonteisten henkilötietojen käsittely on kielletty. Arkaluonteisina tietoina pidetään henkilötietoja, jotka kuvaavat tai on tarkoitettu kuvaamaan henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia. Henkilötietolain 12 §:ssä on säädetty poikkeuksista arkaluonteisten henkilötietojen käsittelyn osalta. Lain 12 §:n mukaan arkaluonteisten henkilötietojen käsittelykielto ei estä mm. tietojen käsittelyä, johon rekisteröity on antanut nimenomaisen suostumuksensa tai terveydenhuollon toimintayksikköä tai terveydenhuollon ammattihenkilöä käsittelemästä näiden tässä toiminnassa saamia tietoja rekisteröidyn terveydentilasta, sairaudesta tai vammaisuudesta tai häneen kohdistetuista hoitotoimenpiteistä taikka muita rekisteröidyn hoidon kannalta välttämättömiä tietoja.

Terveydenhuoltolain (1326/2010) 39 §:n mukaan sairaanhoitopiirin kuntayhtymän on järjestettävä alueensa ensihoitopalvelu. Lain mukaan sairaanhoitopiirin kuntayhtymä voi järjestää ensihoitopalvelun alueellaan tai osassa sitä hoitamalla toiminnan itse, järjestämällä ensihoitopalvelun yhteistoiminnassa alueen pelastustoimen tai toisen sairaanhoitopiirin kuntayhtymän kanssa taikka hankkimalla palvelun muulta palvelun tuottajalta.

Sairaanhoitopiirillä on oikeus käsitellä potilastietoja henkilötietolain 12 §:n 1 momentin 10 kohdan perusteella. Sairaanhoitopiiri on ensihoitopalvelusta syntyvien potilastietojen rekisterinpitäjä ja vastaa näin ollen potilastietojen käsittelystä.

Henkilötietolain 8 §:n 1 momentin 8 kohdan mukaan henkilötietoja saa käsitellä jos käsittely on tarpeen rekisterinpitäjän toimeksiannosta tapahtuvaa maksupalvelua, tietojenkäsittelyä tai muita niihin verrattavia tehtäviä varten. Toimeksisaajan tulee toimia rekisterinpitäjän määräysten ja ohjeiden mukaisesti, toimeksisaaja ei voi määrätä rekisterin käytöstä eikä käyttää tietoja muihin kuin toimeksiantosopimuksessa sovittuihin laillisiin tarkoituksiin.

Tietosuojavaltuutettu totesi henkilötietojen käsittelyä koskevan lainsäädännön osalta, että rekisterinpitäjä määrää henkilötietojen käsittelystä. Toimeksisaajalla ei voi olla parempaa oikeutta rekisterinpitäjän lukuun suoritettavan henkilötietojen käsittelyn osalta kuin toimeksiantajalla, näin ollen toimeksisaaja voi käsitellä henkilötietoja ainoastaan toimeksiantosopimuksessa määrättyihin tarkoituksiin. Jos toimeksisaaja käsittelee henkilötietoja muutoin kuin toimeksiantosopimuksessa on sovittu tai alkaa tehdä itsenäisiä päätöksiä henkilötietojen käsittelyn osalta, voi toimeksisaajasta tulla rekisterinpitäjä, jonka tulee varmistua, että sillä on henkilötietolain mukainen oikeus käsitellä ko. henkilötietoja. Henkilötietolain 12 §:ssä on säädetty oikeudesta käsitellä arkaluonteisia henkilötietoja.