Potilaan oikeudesta tarkastaa omat tietonsa

Euroopan tietosuojaneuvosto antoi ohjeita rekisteröidyn tarkastusoikeuden toteuttamisesta – tässä Kuntoutusyrittäjien poimintoja ohjeesta

Euroopan Unionissa sovelletaan yhtenäisesti yleistä tietosuoja-asetusta. Yhtenevän soveltamisen kannalta on tärkeää, että asetusta luetaan ja noudatetaan koko Unionin alueella samalla tavalla. Yhtenäistä lain soveltamista koordinoidaan, ja tietosuoja-asetuksen osalta yhteinen eurooppalainen viranomainen on Euroopan Tietosuojaneuvosto, joka on julkaissut kolme ohjetta.

Euroopan tietosuojaneuvoston ohjeista voi lukea suomeksi tietosuojavaltuutetun toimiston uutisesta.

Lisätietoja rekisteröidyn oikeuksista löytyy tietosuojavaltuutetun toimiston rekisteröidyn oikeudet -sivulta.

Olen kuntoutusyrittäjä, mitä minun tulee ohjeista tietää?

Ohjeet ovat luonteeltaan nykytilaa täsmentäviä. Varsinainen lainsäädäntö eli EU:n yleinen tietosuoja-asetus ei ole olennaisesti matkan varrella muuttunut. Tietopyynnöistä julkaistu uusi ohje täällä (toistaiseksi vain englanniksi).

Kun saat rekisteröidyltä (tai keneltä tahansa muulta tämän puolesta toimivalta) terveystietoja koskevan tietopyynnön, huomioi seuraavat seikat:

• Mikäli tietojen pyytäjän tunnistamiseen on käytettävissä salasanalla ja käyttäjätunnuksella suojattu järjestelmä, jonka tunnukset on annettu vain pyytäjän henkilökohtaiseen käyttöön, ohjaa rekisteröityjä esittämään tietopyyntö sitä kautta. Näin erityisesti mikäli on mahdollista, ettei tietopyynnön esittäjä ole asiakas itse. Tällainen järjestelmä voi olla esimerkiksi asiakkaan ja yrityksen väliseen viestinvaihtoon tarkoitettu jo olemassa oleva järjestelmä. Tällaista järjestelmää ei ole pakko hankkia, mutta sellaista on hyvä käyttä, jos sellainen jo on. Rekisteröidyt tulisi myös ohjata käyttämään tätä yhteydenottokanavaa.
• Tietopyyntö voidaan esittää joko nimenomaisesti EU:n tietosuoja-asetukseen tai lainsäädäntöön viitaten, mutta riittävää on, että rekisteröity ilmaisee millä tahansa menetelmällä halunsa tutustua häntä koskeviin tietoihin, eikä yhteydenotto vaikuta satunnaiseen osoitteeseen lähetetyltä.
• Tietopyyntöjen esittämiseen tulisi olla luonteva väylä. Tällainen väylä voisi olla esimerkiksi yrityksen kotisivuilla oleva sähköpostiosoite tai suojattu yhteydenottolomake. Jos tietopyyntö saapuu muualle kuin rekisteröidyille annettuihin yhteydenottoväyliin, ei tietopyyntöön tarvitse vastata.
• Jos tietopyyntö saapuu kuitenkin rekisteröidyn omalle terapeutille tai muulle tutulle työntekijälle, eikä yhteydenotto vaikuta muutoinkaan satunnaiselta, tulee tietopyyntö käsitellä asianmukaisesti.

Täytyykö rekisteröidyn henkilöllisyys tarkistaa?

Jos yhteydenotto tapahtuu aktiivisen asiakassuhteen jälkeen sellaisesta väylästä, jota kautta asiakkaan tunnistaminen on epävarmaa (eli asiakkaan sijaan tietopyynnön saattaa esittääkin joku muu), tulisi asiakas tunnistaa esimerkiksi kuvallisella henkilöllisyystodistuksella.

Rekisteröidyn voi pyytää todentamaan henkilöllisyytensä järjestämällä rekisteröidyn kanssa joko kasvokkaisen tapaamisen tai etävideotapaamisen, jossa asiakas esittää henkilöllisyystodistuksensa tai jossa asiakkaan esittämä henkilöllisyystodistus varmennetaan.

Henkilöllisyyden tarkastustoimien tulee olla suhteessa asiakkaasta kerättyihin henkilötietoihin. Käytännössä terveystietoja koskevat tietopyynnöt ovat henkilön turvallisuuden kannalta haavoittuvia, joten henkilöllisyyden erillinen varmistamisen on perusteltua, mikäli kysyjän henkilöllisyyttä on syytä vähänkään epäillä.

Parasta olisi, jos tietopyynnöille olisi viestintäväylä, johon asiakas voi tunnistautua sähköisesti joko verkkopankkitunnuksilla tai mobiilivarmenteella. Toisaalta vain rekisteröidyn henkilökohtaisessa käytössä olevat muut salasanasuojatut tunnukset voivat olla riittävän turvallinen väylä tietopyynnön esittämiseen, jollei rekisteröidyn henkilöllisyyttä ole jälleen syytä epäillä.

Rekisteröidyn identiteetti voidaan selvittää myös soittamalla tai muuten ottamalla yhteyttä tähän ja kysymällä tietoja, joita vain rekisteröity voi tietää. Näitä tietoja voivat olla yrityksen rekisteriin merkitty kotiosoite, puhelinnumero ja kenties viimeisimmät käyntipäivät. Kysymyksiä esittäessä täytyy huomioida, ettei kysyjälle tule paljastaneeksi mitään tietoja asiakkaasta itsestään. Tämä voi olla haastavaa, sillä jo terveydenhuollon asiakkuus itsessään on salattava tieto.

Mahdolliset tarpeettomaksi jääneet kopiot henkilöllisyystodistuksista tai kopiot muista vain tarkistusta varten kerätyistä henkilötiedoista on hävitettävä heti, kun rekisteröity on tunnistettu. Periaatteena on, että rekisteröidystä ei kerätä eikä hänestä käsitellä kuin ehdottoman tarpeellisi tietoja niin kauan kuin on tarpeen. Tunnistamisen jälkeen ei välttämättä ole tarvetta säilyttää esimerkiksi henkilöllisyystodistuksen kopiota, jolloin se on hävitettävä.

Mitä tietoja rekisteröidyllä on oikeus saada?

1. Tieto siitä, käsitelläänkö juuri hänen henkilötietojaan.

2. Kopio kaikista hänestä kerätyistä henkilötiedoista. Jos tiedot pyydetään sähköisesti, tulee tiedot lähtökohtaisesti myös toimittaa sähköisesti, ellei rekisteröity toisin pyydä.

3. Lisäksi seuraavat tiedot, jotka tyypillisesti löytyvät myös yrityksen tietosuojaselosteesta:

• Käsittelyn tarkoitus
• Mitä tietoja hänestä käsitellään (esim. terveystietoja)
• Tietojen vastaanottoryhmät (tyypillisesti Kela, vakuutusyhtiöt, yrityksen puolesta toimiva potilastietojärjestelmä ja alihankkijat)
• Tietojen aiottu käsittelyaika (potilasasiakirja-asetuksen tai lain käsittelyaika)
• Tieto siitä, että henkilöllä on oikeus pyytää häntä koskevia tietoja korjattavaksi, mikäli ne ovat vääriä.
• Oikeutta omien henkilötietojen poistamiseen tai oikeutta vastustaa omien henkilötietojen käsittelyä ei terveydenhuollossa ole, sillä tietojen käsittely perustuu lakiin.
• Oikeutta rajoittaa tietojen käsittelyä: 1.1.2024 alkaen asiakastietolaissa on myös todettu, ettei asiakkaalla ole myöskään oikeutta vaatia tietojensa käsittelyä rajoitettavaksi, mikäli tietojen käsittelyn rajoittamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille. Käytännössä vaaraa voisi aiheutua erityisesti rekisteröidyn terveydelle.
• Oikeudesta valittaa tietojen käsittelystä tietosuojavaltuutetun toimistolle.
• Tiedot tavanomaisista tietolähteistä, jos tietoja ei ole kerätty rekisteröidyltä itseltään (esimerkiksi Kanta-palvelut).
• Kohdistuuko tietoihin automaattista päätöksentekoa tai profilointia (tyypillisesti ei).

Voiko tietojen tarkastamisesta periä maksua?

Ensimmäisestä tietojen tarkastuspyynnöstä ei voi periä maksua. Jos tarkastettava uusii tietopyyntönsä, voi häneltä vaatia työn kuluja vastaavan maksun.

Mitä tietoja rekisteröidylle tulee antaa?

Lähtökohtaisesti rekisteröidylle on toimitettava kopio kaikista tiedoista, joita hänestä on rekisterinpitäjän hallussa. Jos rekisteröity nimenomaisesti itse rajaa tietopyyntöään koskemaan esimerkiksi jonain tiettynä kalenterivuotena tai kuukautena syntyneitä tietoja, voidaan rekisteröidylle luovuttaa vain pyydetyt tiedot.

Jos tietoja on todella paljon ja esimerkiksi useilta eri toimialoilta (terveystietoja, hyvinvointitietoja, muita mahdollisia tietoja), voi rekisterinpitäjä kysyä rekisteröidyltä ennen tietopyyntöön vastaamista, haluaako hän vielä täsmentää tietopyyntöään. Täsmennyspyynnön yhteydessä on annettava rekisteröidylle ohjeita siitä, miten hän voisi tietopyyntöään mahdollisesti halutessaan täsmentää.

Miten pyydetyt tiedot voidaan toimittaa?

Erityisesti suojatut tiedot, kuten potilastiedot ja muut terveystiedot, on suojattava myös silloin kun ne toimitetaan rekisteröidylle. Käytännössä tämä tarkoittaa sitä, että potilastietoja ei saa lähettää rekisteröidylle salaamattomalla sähköpostiyhteydellä. Jos kuntoutusyrityksellä ei ole käytettävissä erillistä salattua ja suojattua sähköpostiyhteyttä, tulee tiedot lähettää rekisteröidylle muulla tavoin, esimerkiksi salatulla USB-muistitikulla. Tällöin USB-muistitikku on toimitettava tikun seurannan mahdollistavalla lähettipalvelulla (kuten pakettipalvelut) ja muistitikusta erikseen on toimitettava rekisteröidylle ohjeet muistitikun avaamiseksi. Rekisteröidylle voi myös kertoa mahdollisuudesta noutaa tiedot yrityksen toimipisteestä, mutta tähän ei saa häntä velvoittaa.

Sähköisessä muodossa olevat tiedot tulisi lähtökohtaisesti toimittaa rekisteröidylle sähköisesti, ellei paperikopiota erikseen pyydetä.

Mitä jos tietopyynnön esittää rekisteröidyn sijaan jokin kolmas taho, esimerkiksi vakuutusyhtiö tai lapsen vanhempi?

Lasten osalta vanhemmilla on oikeus pyytää niitä tietoja, joihin vanhemmilla olisi muutoinkin pääsy. Käytännössä tämä tarkoittaa sellaisia lapsesta kerättyjä terveystietoja, joiden luovuttamisesta lapsi ei ole itse vielä riittävän kyvykäs päättämään.

Ulkopuolisten tahojen osalta, kuten vakuutusyhtiöiden, on esitettävä lakiin perustuva syy sekä perustelut tietopyynnölle. Vaihtoehtoisesti tietopyynnölle voi olla myös rekisteröidyn kirjallinen suostumus. Suullinen suostumus ei riitä, jos tietopyynnön esittäjä on jokin muu taho kuin terveydenhuollon palveluntuottaja.

Jos tietopyyntö koskee kuollutta henkilöä, ei EU:n tietosuoja-asetusta sovelleta. Potilaan asemasta ja oikeuksista annetussa laissa on säädetty kolmansien osapuolten (rajatusta) oikeudesta potilastietoihin. Vastaavat säännökset ovat 1.1.2024 voimaan tulevassa asiakastietolaissa.

Mitä jos tiedot eivät kuulu minun rekisterinpitooni, vaan jonkun muun?

Jos asiakastietojen rekisterinpitäjä on jokin muu taho, kuten hyvinvointialue tai terveydenhuollon palveluiden toimeksiantaja jolle suoritetaan alihankintaa, on tietopyyntö ohjattava sellaisenaan eteenpäin. Henkilötietojen käsittelijä ei saa omatoimisesti vastata rekisterinpitäjän puolesta tietopyyntöihin. Näin ollen käsittelijän on välitettävä pyyntö rekisterinpitäjälle ja tarvittaessa avustettava rekisterinpitäjää rekisteröidyn oikeuksien toteuttamisessa.