Potilastiedot - Ennakoiva terveydenhuolto

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	23.08.2022
Diaarinumero:	6482/186/2020

Apulaistietosuojavaltuutetun päätös

Asia: automatisoitujen yksittäispäätösten syntyminen

Rekisterinpitäjä on saattanut tietosuojavaltuutetun toimistossa vireille asian, joka koskee terveyshyötyarvio-nimisen työkalun käyttöönottoa. Rekisterinpitäjä saattoi asian vireille yleisen tietosuoja-asetuksen ((EU) 2016/679; jatkossa TSA) 36 artiklassa tarkoitettuna ennakkokuulemispyyntönä. Koska asiassa on kuitenkin ollut tarpeen arvioida suunnitellun henkilötietojen käsittelyn lainmukaisuutta, ei asiaa käsitelty ennakkokuulemispyyntönä, vaan valvonta-asiana.

Asiassa on kysymys potilastietojen käsittelystä terveyshyötyarvio-nimisen työkalun avulla. Kysymyksessä on rekisterinpitäjän kuvauksen mukaan digitaalinen tuotekalujen perhe, jonka avulla on mahdollisuus parantaa perusterveydenhuollon vaikuttavuutta ja lisätä potilaiden hyvinvointia. Terveyshyötyarvion tuottaman tiedon avulla voidaan tarkastella, toteutuuko potilaiden hoito Käypä hoito -suositusten ja muun tutkitun tiedon mukaisesti. Tarkoituksena on siirtyä ennaltaehkäisevämpään ja ennakoivaan toimintatapaan terveydenhuollossa.

Rekisterinpitäjän mukaan potilastietoja käsiteltäisiin kahteen käyttötarkoitukseen: sosiaali- ja terveystietojen toissijaisesta käsittelystä annetun lain 41 §:ssä tarkoitetun tietojohtamisen tarkoitukseen sekä potilaan hoitamiseen pseudonymisoitujen potilastietojen avulla. Kun tietoja käsitellään potilaan hoidon tarkoituksessa, tuottaa Terveyshyötyarvio tietoa, jonka avulla voidaan tunnistaa hoitovajeessa tai korkeassa riskissä olevia potilaita ja olla näihin yhteydessä hoidon toteuttamiseksi. Jälkimmäisenä mainittuun käyttötarkoitukseen viitataan tässä päätöksessä myöhemmin myös termillä potilastyö.

Tämä päätös koskee potilastietojen käsittelyä potilastyön käyttötarkoitukseen. Päätöksessä arvioidaan, muodostuuko TSA 22 artiklan mukaisia automatisoituja yksittäispäätöksiä, kun työkalua käytetään potilastyössä. Lainmukaisuuden arviointi rajoittuu kohdassa 3 määriteltyihin kysymyksiin, eikä suunnitellun käsittelyn lainmukaisuuteen oteta muilta osin tässä päätöksessä kantaa.

Ratkaistavat kysymykset

Apulaistietosuojavaltuutettu arvioi, muodostuisiko terveyshyötyarvio-työkalun käyttämisessä potilastyöhön TSA 22 artiklassa tarkoitettuja automatisoituja yksittäispäätöksiä

a) niiden potilaiden kohdalla, jotka poimitaan työkalun tuottaman arvion johdosta terveydenhuollon ammattihenkilön suorittamaan tarkempaan tarkasteluun, tai

b) niiden potilaiden kohdalla, joita ei poimita työkalun tuottaman arvion johdosta terveydenhuollon ammattihenkilön suorittamaan tarkempaan tarkasteluun.

Lisäksi apulaistietosuojavaltuutettu arvioi, onko asiassa tarpeen käyttää TSA 58 artiklan 2 kohdan mukaisia korjaavia toimivaltuuksia.

Asian selvittely

Rekisterinpitäjän asian vireillepanon yhteydessä antama kuvaus suunnitellusta henkilötietojen käsittelystä

Rekisterinpitäjän mukaan terveyshyötyarvio-työkalussa käsiteltäisiin pseudonymisoituja potilastietojärjestelmässä olevia potilastietoja. Pseudonymisoidut potilastiedot siirretään tietokantaan, jolloin niistä voidaan tehdä erilaisia analyyseja ja raportteja raportointityökalun avulla. Terveyshyötyarvio-työkalun avulla mitattaisiin hoidon vaikuttavuutta ja käyvän hoidon toteutumista.

Potilaan pseudonymisoitu tunniste voidaan purkaa potilastietojärjestelmässä, kun kyseessä olevan organisaation vastuulla oleva potilaan hoidon varmistaminen tai korjaaminen esimerkiksi selkeän hoitovajeen tai merkittävän riskin vuoksi sitä vaatii.

Terveydenhuollon ammattihenkilö voi avata asiakkaan sairauskertomuksen tarkistaakseen, mitä hoidon tarkentamiseksi olisi tehtävissä ja voi esimerkiksi tarvittaessa ottaa potilaaseen yhteyttä tarpeellisen hoidon antamiseksi tai riskitekijän korjaamiseksi. Potilastietojen lokivalvontaan kirjautuu, kuka ammattilainen on tietoja katsellut, ja ammattilainen kirjaa järjestelmään tietojen katselun syyksi ”hoidon järjestäminen / hoitosuunnitelman tarkistus THA-raportoinnin perusteella”. Rekisterinpitäjän mukaan käyttäjiä ohjeistetaan avaamaan pseudonymisoitu tunniste ja katsomaan potilaskertomustietoja vain siinä tapauksessa, että he aikovat olla potilaaseen yhteydessä potilasturvallisuuden edistämiseksi tai hoidon parantamiseksi.

Rekisterinpitäjä tuo esille, että terveyshyötyarvio-työkalun avulla suoritetaan yleistä profilointia, sillä asiakkaiden terveystietoja käsitellään automaattisesti sovelluksessa olevien sääntöjen avulla ja siten tehdään päätelmiä asiakkaan terveydentilasta ja hoidon tehostamisen tarpeesta. Rekisterinpitäjä toteaa, että terveydenhuollon ammattilainen ei päätä asiakkaan hoidosta pelkästään profiloinnin tuloksen perusteella, vaan tarkastelee asiakkaan kaikkia potilastietoja potilastietojärjestelmässä ja tekee vasta sen perusteella päätöksen siitä, mihin toimenpiteisiin ryhdytään. Profiloinnin avulla terveystietoja pystytään tarkastelemaan laajemmin ja tehokkaammalla tavalla kuin yksittäisissä potilaskohtaamisissa sairauskertomustietoa selaamalla, sillä laaja hoidon laadun arviointi manuaalityönä ei rekisterinpitäjän mukaan ole mahdollista.

Rekisterinpitäjä toteaa edelleen, että potilasta informoidaan automaattisen käsittelyn logiikasta ja käsittelyn mahdollisista seurauksista yleisesti kaupungin nettisivuilla. Yksittäistä potilasta informoidaan, kun ollaan häneen yhteydessä työkalun avulla tehdyn tietojen käsittelyn johdosta. Ensimmäisen yhteydenoton yhteydessä potilas voi kieltää työkalun käytön hänen hoidossaan jatkossa sekä yhteydenoton työkalun tuottaman arvion pohjalta. Kielto kirjataan potilastietojärjestelmään. Rekisterinpitäjän mukaan teknisesti ei kuitenkaan ole mahdollista estää asiakkaan tietojen tulemista mukaan terveyshyötyarvion eräajoon.

Rekisterinpitäjän toimittaman materiaalin mukaan käyttäjiä ohjeistetaan tarkastelemaan rekisteröidyn potilastietoja ennen yhteydenottoa, jotta hoitopäätökset tehdään aina ajan-tasaisimman tiedon perusteella. Työkalua käytetään potilaan hoidon arviointiin, hoitovajeiden tunnistamiseen ja hoidon suunnitteluun, ei suoraan hoitoon. Varsinaisen hoidon tarpeen terveydenhuollon ammattihenkilö miettii potilastietojärjestelmän tietojen pohjalta ja vasta sen jälkeen on mahdollista itse potilaan hoitaminen.

Tietosuojavaltuutetun toimistolle toimitettujen tietojen perusteella terveydenhuollon ammattihenkilö avaisi pseudonymisoituja tietoja työkalun esiin nostaman riskin perusteella.

Rekisterinpitäjän lisäselvitys

Tietosuojavaltuutetun toimisto on pyytänyt rekisterinpitäjältä lisäselvitystä terveyshyötyarvion käytöstä potilastyöhön. Rekisterinpitäjä on antanut pyydetyn selvityksen 30.10.2020.

Rekisterinpitäjää pyydettiin kuvaamaan, millä tavalla järjestelmää on tarkoitus hyödyntää potilastyössä. Rekisterinpitäjä on selvityksenään todennut, että työkalun avulla on tarkoitus etsiä suuressa riskissä olevia sekä paljon palveluja tarvitsevia potilaita, jotka hyötyisivät hoidosta, ja suunnata heille tarkoituksenmukaisia palveluja. Järjestelmän avulla ei rekisterinpitäjän mukaan evätä palveluja keneltäkään, vaan tarjotaan parempia palveluja niille, jotka eivät ole saaneet tarpeeseensa nähden riittäviä tai oikeita palveluja.

Rekisterinpitäjä toteaa edelleen, että terveyshyötyarvio-työkalua käytetään hoitotilanteiden jälkeen ja niiden välissä siten, että potilaan tiedot analysoidaan työkalun avulla, ja tuotetaan tiedoista pseudonymisoituja näkymiä ja listauksia, joista tunnistetaan hoitovajeita ja riskejä. Kaikki analysoitavat potilaskertomustiedot on tallennettu potilastietojärjestelmään aiempien hoitotilanteiden yhteydessä.

Rekisterinpitäjää pyydettiin myös kuvaamaan, millä tavalla profilointia suoritetaan, siihen liittyvää logiikkaa sekä sen merkitystä ja suunniteltuja seurauksia rekisteröidyille. Rekisterinpitäjä toteaa selvityksessään, että terveyshyötyarviossa on kyse terveydenhuollon ammattihenkilön työtä avustavasta työkalusta, ja tämän tulee aina arvioida potilaan tilanne ja hoito kokonaisuutena potilastietojärjestelmässä olevien tietojen perusteella sekä tarkastaa terveyshyötyarvion käyttösuosituksen oikeellisuus ennen toimenpiteisiin ryhtymistä.

Rekisteröidyille koituvia mahdollisia seurauksina rekisterinpitäjä tuo esille potilaiden hoitovajeen huomaamisen ja terveydenhuollon ammattihenkilön tekemän potilaan hoidon uudelleen arvioinnin ja siten potilasturvallisuuden parantumisen.

Rekisterinpitäjää pyydettiin niin ikään kertomaan, millä perusteilla se on katsonut, että kysymyksessä ei ole TSA 22 artiklassa tarkoitettu automatisoitu yksittäispäätös. Rekisterinpitäjä toteaa selvityksenään, että työkalu ei tee potilaiden hoitopäätöksiä, vaan päätöksen potilaan hoidosta tekee aina terveydenhuollon ammattihenkilö yhteisymmärryksessä potilaan kanssa. Näin ollen kyse ei rekisterinpitäjän käsityksen mukaan ole automaattisesta yksittäispäätöksestä, vaan WP251 rev.01 ohjeen sivulla 6 tarkoitetusta yleisestä profiloinnista.

Rekisterinpitäjä toteaa edelleen, että terveydenhuollon ammattihenkilö käyttää työkalua työnsä tukena ja pystyy erottamaan sääntöjen avulla pseudonymisoiduista potilastiedoista potilaita, joiden hoitoa tulisi täsmentää. Terveydenhuollon ammattihenkilö ei kuitenkaan tee päätöstä työkalun seulonnan perusteella, vaan tekee arvion potilaan hoidon täsmentämisestä tarkasteltuaan potilaan tietoja potilastietojärjestelmästä. Jos ammattihenkilö arvioi, että potilaan hoitoa tulisi täsmentää, ottaa hän potilaaseen yhteyttä ja tekee päätöksen potilaan hoidon täsmentämisestä yhteisymmärryksessä potilaan kanssa. Rekisterinpitäjä toteaa, että potilaalla on oikeus kieltää työkalun käyttö hoidossaan ja kielto kirjataan potilastietojärjestelmään. Hoito perustuu rekisterinpitäjän mukaan aina terveydenhuollon ammattihenkilön tekemään potilaan terveydentilan kokonaisarvioon, jossa huomioidaan kaikki potilastietojärjestelmässä olevat hoitoon vaikuttavat seikat, eikä pelkästään työkalun tuottamaa löydöstä tai suositusta potilaaseen kohdistuvasta hoitopäätöksestä.

Rekisterinpitäjä katsoo, että kysymys on yleisestä profiloinnista, koska olennaisessa roolissa on terveydenhuollon ammattihenkilön tekemä kokonaisvaltainen arvio potilaan tilanteesta potilastietojärjestelmän potilastietojen perusteella sekä potilaan kanssa käytävä keskustelu potilaan tilanteesta. Näin ollen kysymys ei rekisterinpitäjän mukaan ole automaattisesta yksittäispäätöksestä.

Sovellettava lainsäädäntö

Yleistä tietosuoja-asetusta sovelletaan henkilötietojen käsittelyyn yleissäädöksenä.

TSA 4 artiklan 4 kohdan mukaan profiloinnilla tarkoitetaan mitä tahansa henkilötietojen automaattista käsittelyä, jossa henkilötietoja käyttämällä arvioidaan luonnollisen henkilön tiettyjä henkilökohtaisia ominaisuuksia, erityisesti analysoidaan tai ennakoidaan piirteitä, jotka liittyvät kyseisen luonnollisen henkilön työsuoritukseen, taloudelliseen tilanteeseen, terveyteen, henkilökohtaisiin mieltymyksiin, kiinnostuksen kohteisiin, luotettavuuteen, käyttäytymiseen, sijaintiin tai liikkeisiin.

TSA 22 artiklan 1 kohdan mukaan rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

TSA 22 artiklan 2 kohdan mukaan 1 kohtaa ei sovelleta, jos päätös a) on välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täytäntöönpanoa varten; b) perustuu rekisterinpitäjään sovellettavaan unionin oikeuteen tai jäsenvaltion lainsäädäntöön, jossa vahvistetaan myös asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi; tai c) perustuu rekisteröidyn nimenomaiseen suostumukseen.

TSA 22 artiklan 4 kohdan mukaan edellä 2 kohdassa tarkoitetut päätökset eivät saa perustua TSA 9 artiklan 1 kohdassa tarkoitettuihin erityisiin henkilötietoryhmiin, paitsi jos sovelletaan 9 artiklan 2 kohdan a tai g alakohtaa ja asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi on toteutettu.

Tietosuojaviranomaisen korjaavista toimivaltuuksista säädetään TSA 58 artiklan 2 kohdassa. Kohdan a) alakohdan mukaan valvontaviranomainen voi varoittaa rekisterinpitäjää tai henkilötietojen käsittelijää siitä, että aiotut käsittelytoimet ovat todennäköisesti TSA:n säännösten vastaisia.

Ratkaisu

Automatisoituja yksittäispäätöksiä ei muodostu niiden potilaiden kohdalla, jotka poimitaan työkalun tuottaman arvion johdosta terveydenhuollon ammattihenkilön suorittamaan tarkempaan tarkasteluun.

Automatisoituja yksittäispäätöksiä todennäköisesti muodostuu niiden potilaiden kohdalla, joita ei työkalun tuottaman arvion johdosta poimita terveydenhuollon ammattihenkilön suorittamaan tarkempaan tarkasteluun.

Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle TSA 58 artiklan 2 kohdan a alakohdan mukaisen varoituksen. Suunnitellut käsittelytoimet ovat todennäköisesti TSA:n säännösten vastaisia, koska rekisterinpitäjä ei ole tunnistanut automatisoitujen yksittäispäätösten muodostumista, eikä siksi ole ottanut huomioon TSA 22 artiklassa säädettyä.

Perustelut

Automatisoitujen yksittäispäätösten käsite

TSA 22 artiklassa säädetään automatisoiduista yksittäispäätöksistä. Säännöksen mukaan rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen henkilötietojen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Automatisoituja yksittäispäätöksiä on mahdollista tehdä TSA 22 artiklassa määritellyissä tilanteissa.

Pelkästään automaattiseen käsittelyyn perustuvalla päätöksellä tarkoitetaan tilannetta, jossa päätöksentekoprosessiin ei osallistu ihmistä. Jos esimerkiksi automatisoitu prosessi tuottaa rekisteröityä koskevan suosituksen, jonka ihminen ottaa huomioon muiden tekijöiden kanssa lopullista päätöstä tehtäessä, ei kysymyksessä ole pelkästään automaattiseen käsittelyyn perustuva päätös.

Oikeusvaikutuksien syntymisellä tarkoitetaan sitä, että päätös vaikuttaa henkilön laillisiin oikeuksiin, tämän oikeudelliseen asemaan tai sopimusperusteisiin oikeuksiin. Myös muut rekisteröidyille koituvat vaikutukset aikaansaavat TSA 22 artiklan mukaisen automatisoitua päätöksentekoa koskevan sääntelyn soveltamisen, jos ne ovat vastaavalla tavalla merkittäviä.

Merkittävinä vaikutuksina voidaan pitää sellaisia, jotka ovat riittävän suuria tai huomattavia ollakseen huomionarvioisia. Tällaisia voivat olla esimerkiksi päätökset, jotka vaikuttavat merkittävästi henkilön olosuhteisiin, käyttäytymiseen tai valintoihin taikka vaikuttavat rekisteröityyn pitkäaikaisesti tai pysyvästi. Esimerkiksi päätöksellä, joka vaikuttaa henkilön mahdollisuuksiin saada terveydenhuoltopalveluja, on rekisteröidylle tällaisia merkittäviä vaikutuksia.

Automatisoitujen yksittäispäätösten muodostuminen niiden potilaiden kohdalla, jotka työkalun tuottaman arvion johdosta poimitaan terveydenhuollon ammattihenkilön suorittamaan tarkempaan tarkasteluun

Rekisterinpitäjä toimittamien tietojen mukaan terveydenhuollon ammattihenkilö käyttää työkalua työnsä tukena ja pystyy erottamaan sääntöjen avulla pseudonymisoiduista potilastiedoista potilaita, joiden hoitoa tulisi täsmentää. Apulaistietosuojavaltuutetun käsityksen mukaan tämä tapahtuu käytännössä poimimalla työkalun tuottaman arvion perusteella hoidon täsmentämisen tarpeessa olevia potilaita terveydenhuollon ammattihenkilön toteuttamaan tarkempaan arvioon.

Rekisterinpitäjän toimittamien tietojen mukaan terveydenhuollon ammattihenkilö ei tee päätöstä työkalun seulonnan perusteella, vaan hän tekee arvion potilaan hoidon täsmentämisestä tarkasteltuaan potilaan tietoja potilastietojärjestelmästä.

Kuten kohdassa 32 on todettu, pelkästään automaattiseen käsittelyyn perustuvana päätöksenä ei pidetä sitä, jos automatisoitu prosessi tuottaa rekisteröityä koskevan suosituksen, jonka ihminen ottaa huomioon muiden tekijöiden kanssa lopullista päätöstä tehtäessä. Rekisterinpitäjän toimittaman kuvauksen mukaan niiden potilaiden kohdalla, jotka poimitaan terveydenhuollon ammattihenkilön tarkasteluun, profiloinnin tulos otetaan huomioon yhtenä seikkana potilastietojen ohella. Lopullisen päätöksen hoidon täsmentämisestä sekä yhteydenotosta potilaaseen tekee terveydenhuollon ammattihenkilö.

Apulaistietosuojavaltuutettu yhtyy rekisterinpitäjän arvioon siitä, että profiloinnin johdosta tarkempaan tarkasteluun poimittavien potilaiden kohdalla TSA 22 artiklassa tarkoitettuja automatisoituja yksittäispäätöksiä ei synny. Tämä edellyttäen, että terveydenhuollon ammattihenkilöllä on aito mahdollisuus, kyky ja valtuudet tarvittaessa poiketa työkalun avulla saadusta suosituksesta.

Automatisoitujen yksittäispäätösten muodostuminen niiden potilaiden kohdalla, joita ei työkalun tuottaman arvion johdosta poimita terveydenhuollon ammattihenkilön suorittamaan tarkempaan tarkasteluun

TSA 22 artiklan soveltuminen edellyttää ensinnäkin, että päätökset syntyvät pelkästään automaattisen henkilötietojen käsittelyn perusteella.

Rekisterinpitäjän mukaan terveydenhuollon ammattihenkilö pystyy erottamaan työkalussa käytettävien sääntöjen avulla pseudonymisoiduista potilastiedoista potilaita, joiden hoitoa tulisi täsmentää. Apulaistietosuojavaltuutetun käsityksen mukaan tämä tapahtuu poimimalla työkalun tuottaman arvion perusteella hoidon täsmentämisen tarpeessa olevia potilaita terveydenhuollon ammattihenkilön toteuttamaan tarkempaan arvioon. Tällöin potilaat, jotka eivät työkalun tuottaman arvion perusteella ole hoidon täsmentämisen tarpeessa, jäävät poimimatta terveydenhuollon ammattihenkilön toteuttamaan tarkempaan arvioon. Näiden potilaiden kohdalla profiloinnin tulos jää apulaistietosuojavaltuutetun käsityksen mukaan lopulliseksi, eikä ihminen enää arvioi uudelleen kyseessä olevaa työkalun tuottamaa arviota.

Apulaistietosuojavaltuutettu katsoo, että niiden potilaiden kohdalla, joita ei poimita terveydenhuollon ammattihenkilön tarkempaan arvioon siksi, että profiloinnin perusteella tälle ei ole tarvetta, on kysymys pelkästään automaattiseen henkilötietojen käsittelyyn perustuvasta päätöksestä.

TSA 22 artiklan soveltuminen edellyttää toiseksi, että automatisoiduilla yksittäispäätöksillä on rekisteröityä koskevia oikeusvaikutuksia tai ne vaikuttavat häneen vastaavalla tavalla merkittävästi.

Varsinaisten oikeusvaikutusten olemassaolo edellyttäisi, että päätös vaikuttaisi henkilön laillisiin oikeuksiin, tämän oikeudelliseen asemaan tai sopimusperusteisiin oikeuksiin. Tällaisia voisivat olla esimerkiksi tietyn lakisääteisen etuuden tai oikeuden epäämistä koskevat päätökset. Rekisterinpitäjä on todennut, että keneltäkään ei evätä palveluita terveyshyötyarvio-työkalun tuottaman arvion perusteella. Apulaistietosuojavaltuutetun näkemyksen mukaan asiassa tarkoitetulla profiloinnilla ei todennäköisesti ole varsinaisia oikeusvaikutuksia rekisteröidyille.

TSA 22 artikla tulee sovellettavaksi myös, jos päätöksellä on oikeusvaikutuksia vastaavalla tavalla merkittäviä vaikutuksia rekisteröidylle. Apulaistietosuojavaltuutettu hyödyntää vaikutusten merkittävyyden arvioinnissa Euroopan tietosuojaneuvoston määrittelemiä kriteerejä . Näiden kriteerien mukaan rekisteröityyn kohdistuvien vaikutusten on oltava riittävän suuria tai huomattavia ollakseen huomionarvoisia. Päätöksen on voitava mahdollisesti joko vaikuttaa merkittävästi kyseisten henkilöiden olosuhteisiin, käyttäytymiseen tai valintoihin, vaikuttaa rekisteröityyn pitkäaikaisesti tai pysyvästi tai ääritapauksessa johtaa henkilöiden syrjäytymiseen tai syrjintään. Vaikutusten merkittävyyden arvioinnissa on lisäksi tarpeen ottaa huomioon tapauskohtaiset erityispiirteet, kuten yksityisyyteen puuttumisen aste profilointiprosessissa sekä rekisteröityjen odotukset ja toiveet.

Rekisterinpitäjän toimittamassa materiaalissa ei ole läpikäyty kaikkia niitä potilaiden terveyteen liittyviä tilanteita, joiden havaitsemiseksi työkalua on tarkoitus hyödyntää. Siksi myös apulaistietosuojavaltuutettu arvioi ennakoivaa toimintatapaa kokonaisuutena. On mahdollista, että kaikissa ennakoivaan terveydenhuoltoon sisältyvissä tilanteissa vaikutukset eivät ole toisiaan vastaavia. Vaikutukset sekä niiden merkittävyys on todennäköisesti erilaista riippuen esimerkiksi siitä, minkälaisia terveysriskejä tai hoidon täsmentämistarpeen tilanteita pyritään havaitsemaan sekä siitä, minkälaisiin toimenpiteisiin profiloinnin jälkeen on tarkoitus ryhtyä.

Vaikutusten merkittävyyteen vaikuttaa se, millä tavalla ennakoivan toimintatavan omaksuminen näkyy terveydenhuoltopalvelujen toteuttamisessa. Vaikutukset voivat todennäköisesti olla erilaisia lyhyellä ja pitkällä aikavälillä. Jos esimerkiksi algoritmi auttaa tehokkaasti havaitsemaan terveysriskissä olevia henkilöitä, on mahdollista, että profiloinnin tulos alkaa merkittävästi vaikuttaa hoitoon pääsemiseen. Samankaltainen vaikutus voi olla esimerkiksi, jos terveydenhuollon käytettävissä olevat resurssit pakottavat painottamaan terveyspalveluja selkeästi profiloinnin perusteella valituille potilaille.

Kuten edellä kohdassa 34 on todettu, merkittävinä vaikutuksina pidetään esimerkiksi sitä, että päätös vaikuttaa henkilön mahdollisuuksiin saada terveydenhuoltopalveluja. Rekisterinpitäjä on todennut lisäselvityksessään, että järjestelmän avulla ei evätä palveluja keneltäkään, vaan tarjotaan parempia palveluja niille, jotka eivät ole saaneet tarpeeseensa nähden riittäviä tai oikeita palveluja . Apulaistietosuojavaltuutettu katsoo, että merkittävien vaikutusten syntymisen kannalta ei ole välttämätöntä, että potilaalta aktiivisesti evättäisiin pääsy hoidon piiriin. Riittävää on, että profilointi tosiasiallisesti vaikuttaa potilaan mahdollisuuksiin saada terveydenhuoltopalveluja. Rekisterinpitäjän toimittamien tietojen perusteella potilas rajautuisi profiloinnin perusteella syntyvän arvion johdosta erityisten ennakoivien terveydenhuollon toimenpiteiden ulkopuolelle. Näin ollen apulaistietosuojavaltuutettu katsoo, että profiloinnin vaikutukset rekisteröidyille olisivat todennäköisesti vähintään joissakin ennakoivan terveydenhuollon tilanteissa merkittäviä.

Vaikka profilointi ei tämänhetkisten toimintatapojen mukaan kaikissa tilanteissa johtaisi merkittäviin vaikutuksiin rekisteröidylle, on mahdollista, että myöhemmin palveluiden muutoksen sekä algoritmien kehittymisen myötä näin olisi. Siksi rekisterinpitäjän on syytä jatkuvasti seurata sitä, millä eri tavoilla profilointi tosiasiassa vaikuttaa rekisteröityihin.

Merkityksellisyyden arvioinnissa on tarpeen ottaa huomioon myös yksityisyyteen puuttumisen aste. Käsiteltävät potilastiedot kuvaavat rekisteröidyn terveydentilaa. Profilointia tehtäisiin siten hyvinkin intiimien sekä yksityiskohtaisten terveydentilaa kuvaavien tietojen perusteella. Tämä korostaa merkityksellisyyttä.

Apulaistietosuojavaltuutettu katsoo, että profiloinnin myötä syntyvillä päätöksillä olisi hyvin todennäköisesti merkittävä vaikutus rekisteröidyn käyttäytymiseen ja olosuhteisiin, koska niiden perusteella valikoituisi rekisteröidylle aktiivisesti tarjottavia ennakoivia terveydenhuollon toimenpiteitä. Merkitystä rekisteröidyn käyttäytymisen, olosuhteiden ja valintojen kannalta olisi todennäköisesti myös sillä, että rekisteröity tulisi tietoiseksi siitä, että jotakin terveyteen liittyvää tilannetta (esimerkiksi sairastumisriskiä) ei häntä koskevien tietojen perusteella ole tunnistettu. Vaikutukset rekisteröidyn terveydentilaan voivat todennäköisesti ainakin joissakin tilanteissa olla pitkäaikaisia tai pysyviä.

Edellä esitetyillä perusteilla apulaistietosuojavaltuutettu katsoo, että TSA 22 artiklassa tarkoitettuja automatisoituja yksittäispäätöksiä voi todennäköisesti muodostua niiden potilaiden kohdalla, joita koskevia potilastietoja käsitellään työkalun avulla, mutta joiden kohdalla ei profiloinnin perusteella synny tarvetta terveydenhuollon ammattihenkilön suorittamalle tarkastelulle.

TSA 22 artiklan soveltumisen vaikutuksista

Apulaistietosuojavaltuutettu korostaa, että automatisoitujen yksittäispäätösten tekeminen ei ole mahdotonta, vaan TSA 22 artiklassa 2 ja 4 kohdissa on säädetty niistä edellytyksistä, joilla automatisoituja yksittäispäätöksiä voidaan tehdä. Apulaistietosuojavaltuutettu tunnistaa profiloinnin ja sen perusteella tehtävien ratkaisujen hyötypotentiaalin terveydenhuollon toiminnassa. On kuitenkin keskeistä huolehtia siitä, että menettelytavat rakennetaan ottamalla tasapainoisesti huomioon myös tietosuojasääntelystä sekä potilaiden yksityisyyden suojasta johtuvat näkökohdat.

Apulaistietosuojavaltuutetun varoitus

Rekisterinpitäjä on katsonut, että suunniteltu henkilötietojen käsittely ei johda TSA 22 artiklassa tarkoitettujen automatisoitujen yksittäispäätösten muodostumiseen. Apulaistietosuojavaltuutettu on edellä kuvatuilla perusteilla katsonut, että automatisoituja yksittäispäätöksiä todennäköisesti muodostuu sellaisten potilaiden kohdalla, joita ei profiloinnin johdosta poimita terveydenhuollon ammattihenkilön tarkasteluun.

Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle TSA 58 artiklan 2 kohdan a alakohdan mukaisen varoituksen. Suunnitellut käsittelytoimet olisivat todennäköisesti TSA:n säännösten vastaisia, koska rekisterinpitäjä ei ole tunnistanut automatisoitujen yksittäispäätösten todennäköistä muodostumista, eikä siten ole ottanut huomioon TSA 22 artiklassa säädettyä.

Rekisterinpitäjän on tarpeen ennen mahdollista käsittelytoimiin ryhtymistä varmistaa, että TSA 22 artiklan 2 ja 4 kohtien mukainen peruste automatisoitujen yksittäispäätösten tekemiselle on olemassa, kun profiloinnin perusteella määräytyvillä ratkaisuilla on oikeusvaikutuksia vastaavia merkittäviä vaikutuksia rekisteröityihin.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään hallinto-oikeuteen.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.

Päätös on lainvoimainen.