29.11.2009

ASIA
Terveyden- ja hyvinvoinninlaitos (THL) oli varannut tietosuojavaltuutetulle tilaisuuden tulla kuulluksi terveydenhuollon valtakunnallisista henkilörekistereistä annetun lain (556/1989, muut. 38/1993) 4 §:n 1 momentissa säädetyllä tavalla. Lausuntoa oli pyydetty tutkija H:n sekä eräiden muiden tutkijoiden hakemuksesta saada tietoja Terveyden ja hyvinvoinnin laitoksen ylläpitämästä hoitoilmoitusrekisteristä tutkimustaan varten. Suostumuksen pyytämisen yhteydessä tutkijat varasivat oikeuden kerättyjen DNA-näytteiden talletukseen ja käyttöön myöhempiin tutkimuksiin.

TIETOSUOJAVALTUUTETUN LAUSUNTO

DNA-näytteiden säilyttämisestä

Suostumuslomakkeessa pyydetään suostumusta DNA-näytteiden talletukseen (20 vuoden ajaksi) ja käyttöön mahdollisiin myöhempiin viranomaisten hyväksymiin lapsuus- ja nuoruusiän syövän myöhäishaittoja koskeviin tutkimuksiin. Epäselväksi jää, mitä tutkijat tällä tarkalleen ottaen tarkoittavat. Erityisen merkityksellistä asiassa on se, että näytteiden yhteydessä lienee tarkoitus säilyttää tutkittavia koskevia henkilötietoja, sekä se, että kyseiset näytteet kerätään tieteellisen tutkimuksen tarkoituksessa.

Suostumuksella kerättyjen tietojen käyttöä rajaa suostumuksen sisältö eli se, minkälaiseen käsittelyyn suostumus on annettu. Suostumuksen tulee täyttää laissa määritellyt kriteerit, että se voi toimia arkaluonteisten henkilötietojen käsittelyn perusteena.

Vaikka henkilötietolaki oikeuttaa keräämään ja muutoin käsittelemään henkilötietoja asianomaisen henkilön suostumuksella, suostumus ei kuitenkaan oikeuta käsittelemään henkilötietoja tarpeettomasti. Henkilötietolain 9 §:n mukaisesti "Käsiteltävien henkilötietojen tulee olla määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia (tarpeellisuusvaatimus)." Arvioitaessa henkilötietojen käsittelyn tarpeellisuutta huomiota tulee kiinnittää muun muassa siihen, millaista tietojen käsittelyä voidaan yleisesti ja objektiivisesti arvioituna pitää tarpeellisena kyseisen henkilötietojen käsittelyn tarkoituksen ja rekisterinpitäjän toiminnan kannalta. Tieteellisen tutkimuksen puolella käsittelyn tarpeellisuutta määrittää laadittu tutkimussuunnitelma. Henkilötietolain 12 §:n 2 momentin mukaan, arkaluonteiset tiedot on poistettava rekisteristä välittömästi, kun niiden käsittelylle ei ole lainmukaista käsittelyperustetta. Tieteellisessä tutkimuksessa henkilötietojen käsittelyä koskevan henkilötietolain 14 §:n mukaan henkilörekisteri tulee hävittää tai siirtää arkistoitavaksi tai sen tiedot on muutettava sellaiseen muotoon, ettei tiedon kohde ole niistä tunnistettavissa, kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi.

Ihmiseen kohdistuvaa lääketieteellistä tutkimusta säätelee laki lääketieteellisestä tutkimuksesta (488/1999). Tutkittavien suostumuksista säädetään kyseisen lain 6 – 8 §:ssä. Lain 6 §:n 5 momentin mukaan suostumusasiakirjan sisällöstä ja suullisesta suostumuksesta tutkimusasiakirjoihin merkittävistä tiedoista säädetään tarkemmin valtioneuvoston asetuksella. Lääketieteellisestä tutkimuksesta annetun asetuksen (968/1999) 3 §:ssä säädetään tarkemmin suostumusasiakirjan sisällöstä.

Lääketieteellisestä tutkimuksesta annetun lain ja asetuksen lisäksi tulee suostumuksen pyytämisen yhteydessä huomioida henkilötietolain asettamat vaatimukset informoinnille ja suostumukselle.

Henkilötietolain 24 §:ssä edellytetään, että rekisteröityjä informoidaan heidän henkilötietojensa käsittelystä. Informointivelvoite edellyttää rekisterinpitäjän huolehtivan siitä, että rekisteröity voi pääsääntöisesti henkilötietoja kerättäessä saada tiedon rekisterinpitäjästä ja tarvittaessa tämän edustajasta, henkilötietojen käsittelyn tarkoituksesta sekä siitä, mihin tietoja säännönmukaisesti luovutetaan, samoin kuin ne tiedot, jotka ovat tarpeen rekisteröidyn oikeuksien käyttämiseksi asianomaisessa henkilötietojen käsittelyssä.

Tutkimuksessa informointivelvoite tulee käytännössä noudatettavaksi aina kun tietoja osaksikin hankitaan suoraan tutkittavilta henkilöiltä (rekisteröidyiltä) haastatteluin, kyselyin tai muilla vastaavilla tavoilla. Tiedot hankitaan tällöin suostumuksella, minkä vuoksi informoinnissa tulee huomioida lisäksi suostumuksen pyytämiseen liittyvät vaatimukset.

Henkilötietolain 3 §:n 1 momentin 7 kohdan mukaan henkilötietojen käsittelyyn oikeuttavan suostumuksen on oltava vapaaehtoinen, yksilöity ja tietoinen. Arkaluonteisten tietojen osalta suostumuksen tulee olla myös henkilötietolain 12 §:n 1 momentin 1 kohdan mukaan nimenomainen. Jotta tietojen keräämisen voidaan katsoa tapahtuneen asianomaisen rekisteröidyn suostumuksella, suostumusta pyydettäessä rekisteröityä on tullut informoida vastaamisen vapaaehtoisuuden lisäksi kaikista suostumuksen antamisen kannalta merkityksellisistä seikoista. Tutkimukseen osallistumista harkitsevan on saatava muun muassa riittävästi informaatiota tutkimuksesta ja siitä, mitä tietoja sitä varten kerättäisiin muualta kuin häneltä itseltään sekä tietojen yhdistämisestä.

Asiassa on merkityksellinen myös kudoslain (101/2001) 20 §:n 2 momentti, jonka mukaan "Lääketieteellistä tutkimusta varten otettuja kudosnäytteitä saa luovuttaa ja käyttää muuhun kuin suostumuksessa tarkoitettuun lääketieteelliseen tutkimukseen vain tutkittavan suostumuksella. Jos tutkittava on kuollut, Sosiaali- ja terveysalan lupa- ja valvontavirasto voi kuitenkin perustellusta syystä antaa luvan tällaiseen tutkimukseen."

Edellä esitettyyn viitaten muun muassa informoidun, yksilöidyn ja nimenomaisen suostumuksen näkökulmasta suostumuslomakkeessa ehdotetun toimintatavan ei voida katsoa täyttävän voimassa olevan lainsäädännön asettamia vaatimuksia tieteellisen tutkimuksen yhteydessä tapahtuvalle henkilötietojen käsittelylle. Tietojen säilyttämisen tarpeellisuus lausunnon kohteena olevan tutkimushankkeen osalta jää myös esitetyn selvityksen perusteella epäselväksi niiltä osin, kuin näytteitä on tarkoitus säilyttää pitempään kuin henkilötietolain 14 §:n nojalla on mahdollista. Tutkijoiden on tarkistettava suunniteltua menettelytapaa ja varmistaa, että tutkimushankkeessa tapahtuva henkilötietojen käsittely täyttää lainsäädännön asettamat kriteerit. Rekisterinpitäjä vastaa henkilötietojen käsittelyn lainmukaisuudesta.