Omien tietojen tarkastusoikeus terveydenhuollossa ja poliisissa

Abstract

Tietoyhteiskunnassamme hyödynnetään paljon henkilötietoja ja samaan aikaan ne nauttivat oikeudellisesta näkökulmasta perustusoikeudellista suojaa. Tietosuoja-asetuksen ((EU) 2016/679), joka tuli voimaan 2018, sinällään suoraa velvoittavuutta heikentää asetuksen laajuus ja direktiivinomainen kansallinen liikkumavara, minkä takia tietosuoja-asetusta on toistuvasti kuvattu monimutkaisesti. Suomessa oli ennen tietosuoja-asetuksen voimaantuloa voimassa yli 800 eri henkilötietoa koskevaa säädöstä, joita on sittemmin pyritty yksinkertaistamaan ja yhtenäistämään. Opinnäytetyön tavoitteena on tapaustutkimuksen avulla selvittää, miten tarkastusoikeutta on säännelty ja miten tarkastusoikeus toteutuu. Tarkastelussa keskitytään terveydenhuollon ja poliisin sääntelyyn.

Yleiseen tietosuoja-asetukseenkin kuuluvaa rekisteröidyn oikeutta tarkasteltiin lainopillisin metodein. Tarkastelun perusteella todettiin, että terveydenhuollon sääntely noudattelee yleisen tietosuoja-asetuksen periaatteita ja tietosuoja-asetuksen rekisterinpitäjää koskevat velvoitteet sekä rekisteröityä koskevat oikeudet ovat nähtävissä myös kansallisessa sääntelyssä. Monimutkainen ja pirstaleinen sääntely kuitenkin vaikeuttaa sääntelyn kokonaisuuden hahmottamista, joka omalta osaltaan heikentää rekisteröidyn oikeuksien toteutumista. Poliisin henkilötietojen käsittelyä koskeva sääntely on tiivistetty vain muutamaan säädökseen, ja tietosuoja-asetuksen periaatteet ovat näkyvillä sääntelyssä. Säädöksiin sisältyy kuitenkin useita abstrakteja käsitteitä, joiden ymmärtäminen vaatii toimialakohtaista perehtyneisyyttä. Tältä osin rekisteröidyn itsensä voi olla vaikea valvoa omien oikeuksiensa toteutumista.

Julkisen sektorin osalta ei kysymys ole niinkään käsiteltävien henkilötietojen sisällöstä, vaan siitä, kuka henkilötietoja käyttää. Tietosuoja-asetukseen sisältyvän tarkastusoikeuden tavoitteena oli mahdollistaa rekisteröidylle omien tietojen käytön valvonta. Pelkkää tietojen oikeellisuuden valvontaa ei voi pitää mielekkäänä, vaan tietosuoja-asetuksessa keskiöön nousee julkishallinnon osalta käyttötarkoitussidonnaisuus, jonka läpinäkyvyyttä selvitettiin tapaustutkimuksen avulla. Tapaustutkimuksessa havaittiin, ettei tarkastusoikeuden toteutuminen ole ongelmatonta, mutta yleinen kehityssuunta henkilötietojen käytön läpinäkyvyyden parantamiseksi vaikuttaa olevan positiivinen muun muassa lisääntyvän oikeuskäytännön sekä henkilötietojen tietosuojaan liittyvän yleisen valveutuneisuuden myötä.

Personal data is utilized considerably in our information society, whereas from the judicial point of view, personal data enjoys constitutional protection at the same time. The direct binding nature of the GDPR ((EU) 2016/679) as such is diluted by the extent of the Regulation and the national leeway of the Directive, which is why the GDPR has repeatedly been described as a complex entirety. Before the GDPR came into effect, there were more than 800 different statutes concerning personal data in effect in Finland. These statutes have since been sought to simplify and harmonise. The aim of this Bachelor’s thesis was to examine, with the help of a case study, how the right of access has been regulated and how the right of access becomes reality. The inspection focuses on health care and the police.

The legal doctrine was used as a research method to examine the rights of a data subject. These rights are also included in the GDPR. The main conclusions of the study are that the regulation of health care complies with the principles of the GDPR. The obligations of the GDPR concerning the registrar and the data subject’s rights are also evident in national regulations. However, complex and fragmented regulation weakens the conceptualization of the regulation as a whole, which in turn undermines the realisation of the rights of the data subject. For the police, the regulation has been condensed into only few statutes, and the principles of the GDPR are evident in the regulation. However, the regulations contain several abstract concepts requiring industry-specific familiarity. In this regard, it may be difficult for the data subject to monitor the realisation of their rights. For the public sector’s part, the question is not so much the content of the personal data being processed, but who uses that data. The purpose of the right of access included in the GDPR was to enable the data subject to monitor the use of their data.

The mere monitoring of the accuracy of the data cannot be considered meaningful, as the GDPR focuses on the purpose limitation of the public administration and its transparency. This was studied in this thesis with the help of a case study. The case study revealed that the implementation of the right of access is not without its issues, but the development towards improving the transparency of the use of personal data seems to be positive due to the increase in legal praxis and the awareness regarding personal data and data protection in general.