henkilötietojen luovuttaminen - sosiaalitoimi - terveydenhuolto

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	14.11.2019
Diaarinumero:	5242/157/2018

ASIA
Hakija pyysi tietosuojavaltuutettua antamaan rekisteröidyn oikeuksia koskevan määräyksen, joka liittyi kieltoon luovuttaa tietoja terveydenhuollosta kuljetusyritykselle sekä automaattisen profiloinnin kieltoon. Hakijalle oli myönnetty omataksioikeus, mutta hän kielsi tietojensa antamisen kuljetuspalvelukeskuksen käyttöön. Hakija katsoi myös, ettei häntä ole informoitu tietojen käsittelystä tietosuoja-asetuksen edellyttämällä tavalla. Lisäksi hakija ilmoitti haluavansa rajoittaa tietojensa käsittelyä, kunnes rekisteripitäjä on arvioinut, onko tietojen käsittelyyn olemassa rekisteröidyn oikeudet syrjäyttävä perusteltu syy.

Rekisterinpitäjän selvityksen mukaan hakijaa koskevia tietoja ei ole luovutettu matkojen yhdistelyä varten, koska hän on sen kieltänyt. Hakija ei myöskään ole täyttänyt profilointilomaketta, jonka tietoja käytetään matkojen järjestelyyn sekä tarvittavan kuljetuksen tyypin (esim. invataksi) varmistamiseen. Kiellon vuoksi rekisterinpitäjä katsoi, ettei kuljetuspalvelua voitu toteuttaa.

TIETOSUOJAVALTUUTETUN PÄÄTÖS
Tietosuojavaltuutettu katsoo, että kuljetuspalvelun toteuttamisen yhteydessä asiakastietoja ei käsitellä tietosuoja-asetuksen 22 artiklan mukaisesti automaattisessa päätöksenteossa, kuten profiloinnissa. Lomaketta, jolle tiedot kuljetuspalvelun toteuttamista varten merkitään, kutsutaan profilointilomakkeeksi. Saadun selvityksen mukaan lomake täytetään yhdessä asiakkaan kanssa, eikä tietoja muutoinkaan käsitellä tietosuoja-asetuksen 22 artiklassa tarkoitetulla tavalla.

Tietosuojavaltuutettu katsoo, että kyseessä olevien tietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi (6 art. 1 c). Tämän vuoksi hakijalla ei ole tietosuoja-asetuksen 21 artiklan mukaista vastustamisoikeutta eikä tässä tapauksessa myöskään18 artiklan mukaista käsittelyn rajoittamisoikeutta. Tietosuojavaltuutetun kanta perustuu siihen, että rekisterinpitäjällä on laissa säädetty velvollisuus kyseessä olevan kuljetuspalvelun järjestämiseen ja tästä tehtävästä ja myös siihen liittyvästä tietojen käsittelystä on eri laeissa tarkasti säädetty.

Rekisterinpitäjän kuljetuspalvelua varten keräämät tiedot ovat sosiaalihuollon asiakastietoja, joiden käsittelystä säädetään useassa eri laissa. Saadun selvityksen mukaan kuljetuspalvelua toteuttavat toimivat rekisterinpitäjän toimeksiannosta ja sen lukuun. Tietosuojavaltuutettu katsoo, että kuljetuspalvelukeskus ja palvelun toteuttajat toimivat tietosuoja-asetuksen tarkoittamina henkilötietojen käsittelijöinä ja käsittelevät rekisterinpitäjän niille antamia asiakastietoja rekisterinpitäjän toimeksiannosta ja sen lukuun tehtyjen sopimusten mukaisesti. Kyse on sosiaaliviranomaisen laissa säädettyyn järjestämisvelvollisuuteen kuuluvaan kuljetuspalveluun liittyvästä tietojenkäsittelystä.

Tietosuojavaltuutettu toteaa, että rekisterinpitäjä voi julkisuuslain 26 §:n nojalla antaa sen järjestämisvelvollisuuden piiriin kuuluvien ja sen toimeksiannosta ja sen lukuun tuotettavien kuljetuspalvelujen toteuttamiseksi tarpeelliset asiakasta koskevat salassa pidettävät tiedot palvelujen tuottajille ilman asiakkaan suostumusta. Mikäli asiakas haluaa käyttää hänelle myönnettyjä kuljetuspalveluja, asiakasta koskevien tietojen antaminen kuljetuspalvelun tuottajille on välttämätöntä.

Hakija katsoi myös, ettei häntä ole informoitu tietojen käsittelystä tietosuoja-asetuksen edellyttämällä tavalla. Tietosuojavaltuutettu viittaa rekisterinpitäjän antamiin selvityksiin ja toteaa, että rekisterinpitäjän ilmoituksen mukaan asiakkaita on eri tavoin informoitu kuljetuspalveluista. Kuljetuspalveluohjeessa on kuvattu mm. se, minkälaisia tietoja asiakasprofiiliin merkitään kuljetuksen järjestämistä varten sekä kuljetuspalvelun tuottajiksi hyväksyttyjä autoilijoita koskevat tiedot.