Terveystutkimusten tietosuoja EU-Suomessa

Henkilörekisterilakia uudistetaan mm. EU:n tietosuojadirektiivin vuoksi. Olennaisia muutoksia aikaisempaan nähden ei ole tulossa, merkittävintä lienee, että henkilötietojen käsittelyä edellyttävä informointivelvoite laajenee.

Suomessa henkilörekisterilaki ja -asetus määrittelevät ne yleiset edellytykset, joiden mukaisesti henkilötietoja voidaan kerätä ja tallettaa henkilörekisteriin sekä millä tavoin tietoja voidaan käyttää, luovuttaa ja säilyttää sekä muutoin käsitellä. Lain säännökset velvoittavat myös tutkimustarkoituksessa muodostettavan henkilörekisterin rekisterinpitäjää.

Henkilörekisterilain tarkoituksena on varmistaa, ettei henkilötietoja kerätä ja käsitellä tarpeettomasti ja ettei kenenkään yksityisyyttä perusteettomasti loukata (hyvä rekisteritapa). Laki velvoittaa myös suojaamaan henkilörekisterin ja siihen sisältyvät tiedot. Henkilörekisterilain merkitys on käytännössä paljolti siinä, että se ohjaa säännöksillään suunnitelmallisuuteen ja huolellisuuteen henkilötietojen käsittelyssä.

Yksityisyysvaatimukset mukaan jo eettisiin toimikuntiin

Yksityisyyden varmistaminen kaikissa tutkimusvaiheissa kuuluu tutkimustoiminnan eettisiin periaatteisiin. Siksi henkilörekisterilain henkilötietojen käsittelyvaatimusten selvittäminen on osa tutkimuksen suunnittelua ja edellytettäisiin tehtäväksi aina siinä vaiheessa, kun tutkimuksia käsitellään eettisissä toimikunnissa.

Terveydenhuollon tutkimustoiminnassa henkilötietojen käsittelyyn vaikuttavat henkilörekisterilain lisäksi myös muussa lainsäädännössä olevat salassapitosäännökset. Nekin vaikuttavat tutkijoiden oikeuteen saada salassa pidettäviä tietoja rekistereistä ja velvoittavat tutkijaa pitämään salassa saamansa tiedot. Salassa pidettäviä tietoja voidaan luovuttaa ulkopuolisille ainoastaan rekisteröityjen suostumuksella tai tietyissä tapauksissa asianomaisen ministeriön luvalla.

Kymmenen vuotta vanhan henkilörekisterilain uudistuksen tulisi tapahtua 24.10.1998 mennessä. Mm. tutkimustoiminnan rekisterinpitoa koskevat tietosuojaan liittyvät vaatimukset määräytynevät yhä enemmän EU:n toimielimissä tehdyillä ratkaisuilla, suosituksilla ja käytännesäännöillä.

Tietosuojadirektiivi ei sinänsä aiheuta merkittäviä muutoksia nykyiseen henkilörekisterilakiin. Suomessa tieteellinen tutkimus oli ja tulee henkilötietolakiluonnoksen perusteella jatkossakin olemaan poikkeus lain pääsääntönä olevasta ns. yhteysvaatimusedellytyksestä. Yksilöityä tieteellistä tutkimustarkoitusta varten voidaan kerätä ja tallettaa myös lain tarkoittamia arkaluonteisia henkilötietoja, vaikkei yksityisen kansalaisen (rekisteröidyn) ja tietoja keräävän tutkijan tai tutkimusorganisaation välillä olisikaan asiallista yhteyttä, ts. sellaista asiakas- tai muuta vastaavaa suhdetta, jonka perusteella henkilö voi tietää, että hänestä kerätään tietoja.

Kansalaisella itsemääräämisoikeus

EU:n tietosuojadirektiivissä samoin kuin 13.2.1997 hyväksytyssä Euroopan neuvoston lääketieteellisten tietojen suojelemista koskevassa suosituksessa korostuvat aikaisempaa selvemmin kansalaisten itsemääräämisoikeus sekä erityisesti hänen oikeutensa saada tietää itseään koskevien tietojen käsittelystä ja vaikuttaa siihen. Tämä tarkoittaa mm. sitä, että tutkimuksessa tarvittavat tiedot tulee hankkia joko asianomaisen suostumuksella tai ilman tunnistetietoja, ellei henkilötietojen kerääminen esimerkiksi tietojen yhdistämiseksi ole välttämätöntä.

toisen palstan alkuun

Direktiivin pääsääntönä on, että rekisteröityjä tulee informoida heidän henkilötietojensa käsittelystä. Esimerkiksi henkilötietoja henkilöhaastatteluin tai -kyselyin keräävällä ja käsittelevällä tutkijalla/tutkimuslaitoksella tulee olemaan velvoite kertoa haastateltavalle henkilölle mm. tietojen keräämisen tarkoituksesta; siitä, kuka tietoja käsittelee, millä tavoin ja missä tarkoituksessa niitä käsitellään, mistä muualta häntä koskevia tietoja hankitaan samoin kuin vastaamisen vapaaehtoisuudesta.

Henkilön tiedettävä, mihin suostuu

Informointi on tähänkin mennessä kuulunut tutkimuksen eettisiin periaatteisiin, ja myös vaatimus informoidusta ja yksilöidystä suostumuksesta on sitä edellyttänyt: henkilön tulee voida tietää, mihin suostuu. Nyt informointivelvoitteesta säädetään kuitenkin nimenomaisesti uudessa henkilötietolaissa. Pelkästään rekisteripohjaisissa tutkimuksissa informointivelvoitteesta voitaisiin poiketa, jos tietojen antaminen rekisteröidylle olisi mahdotonta tai se vaatisi kohtuutonta vaivaa tai jos tietojen keräämisestä säädettäisiin nimenomaisesti laissa. Suostumus arkaluonteisten tietojen pyytämiseen tulee saada kirjallisena ja yksilöitynä. Nykyistä selvemmin direktiivi ja tuleva henkilötietolaki oikeuttavat käyttämään eri henkilörekistereitä tieteelliseen tutkimustarkoitukseen niiden varsinaisesta käyttötarkoituksesta riippumatta. Salassapitoa ja tietojen luovuttamista koskevat yleiset edellytykset vaikuttavat mahdollisuuksiin ja oikeuteen saada, käyttää ja luovuttaa tietoja. EU:n tietosuojadirektiivin tavoitteena on edistää tietojen vapaata liikkuvuutta unionin alueella. Tämä ei kuitenkaan merkitse, että salassa pidettäviä tietoja voitaisiin luovuttaa salassapitosäännöksistä poiketen. Tietojen luovuttaminen ulkomaille edellyttänee edelleen tietyissä tapauksissa ilmoitusta tietosuojavaltuutetulle, etenkin jos vastaanottajamaana on EU:n ulkopuolinen maa.

Vastuissa epäselvyyksiä

Tietosuojavaltuutetun käsittelemissä tutkimuslupa-asioissa ovat usein nousseet esille rekisterinpidon vastuisiin liittyvät epäselvyydet. Vastuiden määrittely on henkilötietojen käsittelyssä ja tietosuojan toteuttamisessa perusedellytys. Käytännössä esimerkiksi tutkimuslaitoksissa ja isoissa tutkimussairaaloissa saattaa olla epäselvää ja on myös voinut jäädä määrittelemättä, onko tietyn tutkimuksen rekisterinpitäjä ko. laitos vai siellä toimiva yksittäinen tutkija. Jos tutkimuslaitos on rekisterinpitäjä, sen toimivaltaisen johdon tai muun toimivaltaisen elimen tulisi tehdä päätös tutkimuksen toteuttamisesta ja siinä muodostuvan henkilörekisterin perustamisesta. Tässä tilanteessa on syytä edellyttää tutkimussuunnitelman osana selvitystä tietosuojaa koskevien vaatimusten täyttymisestä. Tutkimuslaitoksessa tai esimerkiksi sairaalassa toimiva, omaa tutkimusta tekevä henkilö on rekisterinpitäjä, joka myös vastaa rekisterinpidosta ja jolla on oikeus määrätä siitä. Tutkija on tällöin ulkopuolisen asemassa ko. laitoksen asiakirjoihin nähden siinäkin tapauksessa, että hän olisi työsuhteessa laitokseen. Toinen usein esiin tullut ongelma koskee usean eri organisaation yhteisesti toteuttamia tutkimuksia. Näissä tapauksissa on tärkeää määritellä rekisterinpitoon ja henkilötietojen eri käsittelyvaiheisiin, erityisesti salassapitoon, suojaamiseen ja säilyttämiseen sekä hävittämiseen, liittyvät vastuut. Sopimus yhteisestä projektista ei syrjäytä salassapitovelvoitteita. Tutkimukseen osallisten roolien selvittäminen kuuluu edellä mainitun informointivelvoitteen piiriin. EU:n tietosuojadirektiivin mukaan henkilörekisterillä voi olla useita rekisterinpitäjiä. Käytännössä tällöinkin kysymys on rekisterinpitoon liittyvien vastuiden määrittelystä. Huomioon on otettava myös salassapitovelvoitteet.

Maija Kleemola, tietosuojavaltuutetun toimisto

(09) 1825 7832, maija.kleemola@om.vn.fi