Tietosuojasääntely asiakas- ja potilastietojen käsittelyssä sote-uudistuksen näkökulmasta

Abstract

Tämän opinnäytetyön tavoitteena oli selvittää Euroopan unionin yleisen tietosuoja-asetuksen vaikutuksia asiakas- ja potilastietojen käsittelyyn sosiaali- ja terveydenhuollossa erityisesti sosiaali- ja terveydenhuollon palvelurakenteen uudistukseen liittyvän lainsäädännön näkökulmasta. Sosiaali- ja terveydenhuollossa käsitellään arkaluontoisia sekä yleisen tietosuoja-asetuksen 9 artiklan erityisiin henkilötietoryhmiin kuuluvia tietoja, mikä edellyttää rekisterinpitäjiltä huolellista tietojen käsittelyä rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Laajasta sosiaali- ja terveydenhuollon lainsäädäntöön perustuvasta suostumuksesta luopuminen on sote-uudistuksen eräs merkittävimmistä muutoksista niin yksilön kuin sote-palveluntarjoajien näkökulmasta, johon liittyy henkilötietojen tietosuojan lisäksi perusoikeudellisia kysymyksiä muun muassa rekisteröidyn tiedollisen itsemääräämisoikeuden turvaamisesta.

Opinnäytetyön teoreettinen viitekehys rakentuu vahvasti henkilötietojen käsittelyä sääntelevän Euroopan unionin ja kansallisen lainsäädännön, pääasiassa sosiaali- ja terveydenhuollon yleis- ja erityislainsäädännön ympärille. Työ etenee kronologisesti henkilötietojen suojaan läheisesti liittyvien perusoikeuksien, kuten yksityiselämän suojan kehityksen, sekä normihierarkian perusteiden ja tietosuojauudistuksen siivittämänä Euroopan unionin yleisen tietosuoja-asetuksen soveltamiseen, ja lopulta henkilötietojen käsittelyyn sosiaali- ja terveydenhuollossa sote-uudistuksen vaikutukset huomioiden.

Opinnäytetyön aihetta lähestyttiin oikeusdogmaattisesti lainopin sisäisestä näkökulmasta, mikä mahdollisti voimassa olevan henkilötietojen käsittelyä sääntelevän oikeuden ja sen sisällön tutkimisen Euroopan unionin ja Suomen kansallisen lainsäädännön näkökulmasta. Lisäksi aihetta lähestyttiin empiirisestä näkökulmasta hyödyntämällä lain esitöitä kuten hallituksen esityksiä, laillisuusvalvojien ratkaisuja sekä viranomaisten päätöksiä ja lausuntoja, oikeuskirjallisuutta sekä kansainvälisiä artikkeleita ja asiantuntijoiden kannanottoja.

Sote-uudistus on lainsäädännön näkökulmasta poikkeuksellisen laaja ja Suomen historian yksi merkittävimpiä uudistuksia sisältäen potilas- ja asiakastietojen käsittelyyn vaikuttavia säännöksiä, joiden tulee vastata EU:n yleisen tietosuoja-asetuksen vaatimuksia. Digitalisaatio sekä sote-palvelujärjestelmän integraatio edellyttävät rekisterinpitäjiltä tulevaisuudessa entistä enemmän toimenpiteitä henkilötietojen suojan ja rekisteröidyn oikeuksien turvaamiseksi valtakunnallisissa sosiaali- ja terveydenhuollon tietojärjestelmäpalveluissa.

The aim of this thesis was to examine the effects of the General Data Protection Regulation (EU) on processing client and patient data in health and social services especially from the viewpoint of the health and social services reform legislation. Health and social services deal with sensitive personal data, and data that belong under the Article 9 of the GDPR as special categories requiring careful data processing by the controllers to protect the rights and freedoms of the data subject. The abolition of extensive consent based on health and social services legislation is one of the most significant changes in the health and social services reform from the viewpoint of both the individual and the social and health care service providers, which in addition to data privacy, includes fundamental legal questions concerning safeguarding the right to informational self-determination of the data subject.

The theoretical framework is based on the European Union and national legislation regulating the processing of personal data, mainly around the health and social services general and special legislation. The thesis proceeds chronologically through the development of fundamental rights closely related to the protection of personal data, such as the protection of private life, the basis of the norm hierarchy and the data protection reform, to the application of the GDPR, and finally, the processing of personal data in health and social services, taking into account the effects of the health and social services reform.

The topic of this thesis was approached by using the legal dogmatic method, which enabled the examination of the current legislation regulating data processing from the viewpoint of European Union and Finnish national legislation. In addition, the topic was examined from an empirical point of view by utilizing the preliminary work on the law, such as government proposals, decisions of legality controllers, decisions and statements by the authorities, legal literature, international articles, and expert opinions.

From the legislative point of view, the health and social services reform is exceptionally extensive and one of the most significant reforms in Finland's history, including provisions affecting the processing of patient and client data, which must comply with the requirements of the GDPR. Digitalization and the integration of the health and social services system will require an increasing number of actions from the controllers in the future to safeguard the protection of personal data and the rights of the data subject in national social and health care information system services.