Tarkastusoikeus - Terveydenhuolto

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	27.09.2023
Diaarinumero:	6629/163/21

Apulaistietosuojavaltuutetun päätös oikeutta saada tutustua tietoihin koskevassa asiassa

Asia

Rekisteröidyn oikeus tutustua itseään koskeviin magneettikuviin maksutta

Tietosuojavaltuutetun toimiston tietoon saatettu asia

Tietosuojavaltuutetun toimiston tietoon on 12.8.2021 saatettu havainto, jonka mukaan rekisterinpitäjä perisi maksun magneettikuvien jäljennöksien luovuttamisesta, kun rekisteröity pyytää tietoja yleisen tietosuoja-asetuksen 15 artiklan mukaisen oikeuden nojalla.

Rekisterinpitäjältä saatu selvitys

Tietosuojavaltuutetun toimisto on pyytänyt rekisterinpitäjältä selvitystä 21.9.2022 ja 4.11.2022 päivätyillä selvityspyynnöillä. Rekisterinpitäjä on antanut asiassa kirjallisen selvityksen 14.10.2022 ja 2.12.2022.

Rekisterinpitäjä toteaa 14.10.2022 annetussa selvityksessä, että asiakkaan pyytäessä magneettikuvia yleisen tietosuoja-asetuksen 15 artiklan perusteella ei kuvista pyydetä maksua. Rekisterinpitäjän mukaan arkiston kautta tilatut potilastiedot annetaan potilaalle kerran vuodessa ilmaiseksi potilaan vedotessa tarkastusoikeuteen. Rekisterinpitäjän mukaan, mikäli potilas tilaa esimerkiksi CD-tallenteen magneettitutkimuksista suoraan kuvantamisesta, tällöin ei vedota tarkastusoikeuteen ja tallenne on maksullinen.

Rekisterinpitäjältä on 4.11.2022 pyydetty selvitystä siitä, miten se on huomioinut yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaisen velvollisuuden helpottaa 15 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Rekisterinpitäjältä on pyydetty selvitystä siitä, millä tavalla tämä velvollisuus on huomioitu tilanteissa, joissa potilas pyytää itsestään otettuja magneettikuvia ilman viittausta yleisen tietosuoja-asetuksen 15 artiklaan.

Rekisterinpitäjä toteaa 2.12.2022 annetussa selvityksessä, että rekisterinpitäjän hinnastossa mainitaan, että tarkistusoikeuteen liittyvä materiaalin toimitus on ilmainen tietopyyntölomakkeen kautta tai kirjaamosta. Rekisterinpitäjän mukaan muutoin tilauksesta peritään maksu. Rekisterinpitäjä toteaa, että potilaan tehdessä tilausta suoraan ei olla erikseen kysytty onko kyseessä tarkastusoikeuteen liittyvä tilaus.

Sovellettava lainsäädäntö

Henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (yleinen tietosuoja-asetus). Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018).

Oikeudesta tutustua tietoihin säädetään yleisen tietosuoja-asetuksen 15 artiklassa. Oikeuden toteuttamisessa noudatettavasta menettelystä säädetään yleisen tietosuoja-asetuksen 12 artiklassa.

Yleisen tietosuoja-asetuksen 15 artiklan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkemmin luetellut muut tiedot henkilötietojen käsittelystä. Artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää.

Yleisen tietosuoja-asetuksen 15 artiklaan perustuvien tietojen ja toimenpiteiden lähtökohtaisesta maksuttomuudesta sekä perusteista maksun perimiselle säädetään yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa. Artiklankohdan mukaan kaikki yleisen tietosuoja-asetuksen 15 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset, tai rekisterinpitäjä voi kieltäytyä suorittamasta pyydettyä toimea. Näissä tapauksissa rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.

Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä.

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee asian yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta. Asiassa on ratkaistava

1. Onko rekisterinpitäjä perinyt maksun magneettikuvien jäljennösten antamisesta rekisteröidylle yleisen tietosuoja-asetuksen 15 artiklan nojalla siten, kuin yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa ja 15 artiklan 3 kohdassa säädetään

2. Onko rekisterinpitäjä helpottanut yleisen tietosuoja-asetuksen 15 artiklan mukaisen oikeuden toteuttamista yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaisesti

3. Onko apulaistietosuojavaltuutetun käytettävä yleisen tietosuoja-asetuksen 58 artiklan 2 kohdassa säädettyjä korjaavia toimivaltuuksia edellä esitettyjen kysymysten johdosta.

Apulaistietosuojavaltuutetun päätös ja perustelut

Maksun periminen, kun magneettikuvien jäljennökset on pyydetty yleisen tietosuoja-asetuksen 15 artiklan nojalla

Rekisterinpitäjän menettely maksun perimisestä silloin, kun pyyntö on esitetty nimenomaan yleisen tietosuoja-asetuksen 15 artiklan nojalla on ollut yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan ja 15 artiklan 3 kohdan mukainen. Näin ollen apulaistietosuojavaltuutetulla ei tältä osin ole tarvetta käyttää yleisen tietosuoja-asetuksen 58 artiklan 2 kohdassa säädettyjä korjaavia toimivaltuuksia.

Tarkastusoikeuden käyttämisen helpottaminen

Rekisterinpitäjä ei ole noudattanut toiminnassaan yleisen tietosuoja-asetuksen 12 artiklan 2 kohtaa, koska rekisterinpitäjä ei ole helpottanut yleisen tietosuoja-asetuksen 15 artiklan mukaisen rekisteröidyn tarkastusoikeuden käyttämistä. Näin ollen rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d-alakohdan mukainen määräys saattaa käsittelytoimet yleisen tietosuoja-asetuksen säännösten mukaisiksi sekä b-alakohdan mukainen huomautus. Rekisterinpitäjän on kerrottava rekisteröidyille mahdollisuudesta saada jäljennös itseä koskevista henkilötiedoista yleisen tietosuoja-asetuksen 15 artiklan nojalla.

Perustelut

Tässä päätöksessä arvioidaan rekisterinpitäjän yleistä toimintatapaa. Päätöksessä ei oteta kantaa rekisterinpitäjän toiminnan lainmukaisuuteen minkään yksittäisen rekisteröidyn pyynnön käsittelyn osalta.

Maksun periminen, kun magneettikuvien jäljennökset on pyydetty yleisen tietosuoja-asetuksen 15 artiklan nojalla

Nyt tarkasteltavana olevassa tapauksessa rekisterinpitäjä on perinyt magneettikuvien luovuttamisesta asiakkaalle maksun, mikäli asiakas on pyytänyt magneettikuvia muulla tavalla kuin tietopyyntölomakkeella tai suoraan kirjaamosta. Rekisterinpitäjä ei kuitenkaan ole perinyt maksua silloin, kun rekisteröity on osannut yksilöidä pyyntönsä perustuneen yleisen tietosuoja-asetuksen 15 artiklaan.

Yleisen tietosuoja-asetuksen johdantokappaleen 63 mukaan rekisteröidyn oikeus saada pääsy henkilötietoihin sisältää rekisteröidyn oikeuden saada pääsy omiin terveystietoihinsa, kuten terveystiedostoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkäreiden arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot. Rekisteröidyn tarkastusoikeuden voidaan katsoa lähtökohtaisesti kattavan esimerkiksi potilasasiakirjat, jotka ovat potilaslain (785/1992) 2 §:n mukaan potilaan hoidon järjestämisessä ja toteuttamisessa käytettäviä, laadittuja tai saapuneita asiakirjoja taikka teknisiä tallenteita, jotka sisältävät potilaan terveydentilaa koskevia tai muita henkilökohtaisia tietoja.

Rekisterinpitäjän mukaan, mikäli potilas tilaa esimerkiksi CD-tallenteen magneettitutkimuksista suoraan kuvantamisesta, tällöin ei vedota tarkastusoikeuteen ja tallenne on maksullinen. Rekisterinpitäjä ei ole selvityksessään perustellut tarkemmin, mihin lainkohtaan maksun periminen perustuu. Rekisteröidyn tekemän tietopyynnön toteuttamiseen liittyvästä työpanoksesta, materiaaleista tai postikuluista ei pääsääntöisesti ole mahdollista periä rekisteröidyltä maksua, vaan maksun perimisen tulee perustua yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ja 12 artiklan 5 kohdan mukaisiin syihin. Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan silloin, jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan mukaan silloin, jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti, jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset tai kieltäytyä suorittamasta pyydettyä toimea.

Edellä todetun perusteella apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjän velvollisuus toimittaa rekisteröidylle maksutta jäljennös käsiteltävistä henkilötiedoista kattaa myös terveydenhuollosta CD-levyllä annettavat magneettikuvat.

Saatujen selvitysten perusteella rekisterinpitäjä on toiminut maksun perimisen osalta yleisen tietosuoja-asetuksen 12 ja 15 artiklojen mukaisesti silloin, kun rekisteröity on yksilöinyt pyyntönsä perusteeksi yleisen tietosuoja-asetuksen 15 artiklan mukaisen oikeuden. Siksi apulaistietosuojavaltuutetulla ei ole tarvetta käyttää yleisen tietosuoja-asetuksen 58 artiklan 2 kohdassa säädettyjä korjaavia toimivaltuuksia siltä osin, kun arvioitavana on rekisterinpitäjän menettely niiden pyyntöjen osalta, jotka rekisteröity on esittänyt nimenomaan yleisen tietosuoja-asetuksen 15 artiklaan vedoten.

Tarkastusoikeuden toteuttamisen helpottaminen

Rekisterinpitäjä ei selvityksensä mukaan potilaan tehdessä tilausta suoraan erikseen kysy, onko kyseessä tarkastusoikeuteen liittyvä tilaus. Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Yleisen tietosuoja-asetuksen johdantokappaleen 63 mukaan rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen.

Apulaistietosuojavaltuutettu toteaa, ettei rekisteröidyn tarvitse osata itse vedota tiettyyn säännökseen saadakseen potilastiedot maksutta tarkastusoikeuden nojalla, vaan rekisterinpitäjällä on velvollisuus helpottaa tarkastusoikeuden toteuttamista ja informoida rekisteröityä siitä, miten potilastiedot voi saada maksutta. Rekisteröidyltä ei voida täten edellyttää esimerkiksi hinnastoon perehtymistä, jotta hän osaisi esittää tarkastusoikeutta koskevan pyynnön.

Edellä todetun perusteella apulaistietosuojavaltuutettu katsoo, ettei rekisterinpitäjä ole noudattanut toiminnassaan yleisen tietosuoja-asetuksen 12 artiklan 2 kohtaa, eikä rekisterinpitäjän menettely koskien rekisteröidyn informointia tarkastusoikeuden toteuttamisesta ole näin ollen ollut yleisen tietosuoja-asetuksen mukainen.

Rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d-alakohdan mukainen määräys saattaa käsittelytoimet yleisen tietosuoja-asetuksen säännösten mukaisiksi. Rekisterinpitäjä ei voi oletuksena periä maksua magneettikuvien toimittamisesta rekisteröidylle suoraan kuvantamisesta, vaan rekisterinpitäjän on kerrottava rekisteröidyille mahdollisuudesta saada jäljennös itseä koskevista henkilötiedoista maksutta yleisen tietosuoja-asetuksen 15 artiklan nojalla.

Rekisterinpitäjälle annetaan niin ikään yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b-alakohdan mukainen huomautus, koska rekisterinpitäjän menettely koskien rekisteröidyn informointia tarkastusoikeuden toteuttamisesta ei ole ollut yleisen tietosuoja-asetuksen mukainen.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään hallinto-oikeuteen.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.

Päätöksen on tehnyt apulaistietosuojavaltuutettu Heljä-Tuulia Pihamaa.

Päätös on lainvoimainen.

Apulaistietosuojavaltuutetun ohjaus

Rekisterinpitäjä toteaa 14.10.2022 antamassaan selvityksessä, että arkiston kautta tilatut potilastiedot annetaan potilaalle kerran vuodessa ilmaiseksi potilaan vedotessa tarkastusoikeuteen. Apulaistietosuojavaltuutettu kiinnittää rekisterinpitäjän huomiota siihen, että käytäntö, jonka mukaan potilastiedot saisi vain kerran vuodessa maksutta on henkilötietolain mukainen käytäntö. Apulaistietosuojavaltuutettu toteaa, ettei tätä voida pitää suoraan maksullisuutta määrittävänä aikarajana enää tietosuoja-asetuksen voimaantultua.

Yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan mukaan, jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset tai kieltäytyä suorittamasta pyydettyä toimea. Näissä tapauksissa rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus. Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan silloin, jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun.

Yleisen tietosuoja-asetuksen johdantokappaleen 63 mukaan rekisteröidyllä olisi oltava mahdollisuus käyttää tarkastusoikeutta kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Potilastietojen pyytämistä useammin kuin kerran vuodessa ei voida lähtökohtaisesti pitää kaikissa tapauksissa ilmeisen kohtuuttomana.

Rekisterinpitäjän on arvioitava, milloin tarkastuspyyntöjen katsotaan olevan ilmeisen kohtuuttomia tai toistuvia. Euroopan tietosuojaneuvoston ohjeen 01/2022 s. 54 mukaan rekisterinpitäjän tulisi kohtuuttomuutta arvioitaessa ottaa huomioon muun muassa

- kuinka usein tarkastettavaksi pyydettyjä tietoja muutetaan,
- tietojen laatu,
- tietojen käsittelyn tarkoitus,
- koskevatko ensimmäistä pyyntöä seuraavat pyynnöt samaa tietoa ja käsittelytoimia vai eri tietoja ja käsittelytoimia.

Tähän apulaistietosuojavaltuutetun ohjaukseen ei voi hakea valittamalla muutosta.