Tietosuojaratkaisuja Suomen hallinto-oikeuksista – Potilastiedot ja lastensuojelu

Korkein hallinto-oikeus (KHO) antoi 26.3.2025 ratkaisun asiassa, joka käsitteli tietosuojavaltuutetun päätöstä Liikennevakuutuskeskuksen toiminnasta. KHO päätyi pitämään voimassa hallinto-oikeuden päätöksen todeten, että Liikennevakuutuskeskus on toiminut potilastietoja pyytäessään tietosuojalainsäädännön mukaisesti. Toisessa ratkaisussa Itä-Suomen Hallinto-oikeus käsitteli tietosuojaa lastensuojeluun liittyen. Siinä Hallinto-oikeus päätyi kumoamaan poliisin päätöksen ja totesi, että lastensuojeluviranomaisella on lakiin perustuva oikeus saada tehtävänsä kannalta olennaiset tiedot.

KHO:2025:23 – Tietosuoja, potilastiedot

Korkeimman hallinto-oikeuden (KHO) ratkaisu 2025:23 käsittelee henkilötietojen käsittelyä viranomaisen toimesta. KHO arvioi ratkaisussa, oliko tietosuojavaltuutettu voinut katsoa, että Liikennevakuutuskeskus on järjestelmällisesti toiminut yleisen tietosuoja-asetuksen käsittelyn kohtuullisuutta, tietojen minimointia sekä sisäänrakennettua ja oletusarvoista tietosuojaa koskevien säännösten vastaisesti hankkiessaan potilastietoja korvausasioiden ratkaisemiseksi ja sitä, millaisessa henkilötietojen käsittelyä koskevassa menettelyssä tietopyynnön kohteena olevien potilastietojen välttämättömyyttä arvioidaan.

Ratkaisussa KHO totesi, ettei sen saaman selvityksen perusteella ollut todettavissa, että Liikennevakuutuskeskus olisi järjestelmällisesti toiminut yleisen tietosuoja-asetuksen käsittelyn kohtuullisuutta, tietojen minimointia tai sisäänrakennettua ja oletusarvoista tietosuojaa koskevien säännösten vastaisesti hankkiessaan potilastietoja korvausasioiden ratkaisemiseksi. KHO piti siis voimassa hallinto-oikeuden päätöksen, jolla tietosuojavaltuutetun ja seuraamuskollegion päätökset kumottiin. KHO:lle ei ollut esitetty riittäviä todisteita siitä, että Liikennevakuutuskeskus on tehnyt järjestelmällisesti liian laajoja potilasasiakirjoihin kohdistuvia tietopyyntöjä. Lisäksi muita, kuin korvattavaksi haettavia hoitokäyntejä koskevia tietoja pyydettiin vain poikkeuksellisesti, jolloin tarpeellisuusarviointi tehdään tapauskohtaisesti. KHO:n mukaan tietosuojavaltuutetun väite, että liikennevahingon korvaamiseksi välttämättömät tiedot tulisi pyytää ensisijaisesti lausunnon muodossa ei perustu lakiin tai yleiseen tietosuoja-asetukseen.

KHO katsoi, että asiassa oli kysymys myös siitä, millaisessa menettelyssä potilastietojen välttämättömyyttä käsiteltävänä olevan korvausasian ratkaisemiseksi arvioidaan. KHO katsoi, että sekä potilastietoja pyydettäessä että niitä luovutettaessa on noudatettava yleisen tietosuoja-asetuksen henkilötietojen käsittelyä koskevia periaatteita ja liikennevakuutuslain tietojen välttämättömyyttä koskevaa vaatimusta. Tietopyyntö on siis  perusteltava ja sen on oltava mahdollisimman yksilöity ja selvä, jotta tietoja luovuttava taho voi arvioida täyttyvätkö tietojen luovuttamisen edellytykset. Tietopyynnön kohteena olevalla taholla on tällöin myös mahdollisuus pyytää Liikennevakuutuskeskukselta täsmällisempää tietopyyntöä ja perusteluja pyynnölle, jotta se kykenee omalta osaltaan arvioimaan pyydettyjen tietojen rajausta yleisen tietosuoja-asetuksen ja liikennevakuutuslain sääntelyn kannalta.

Itä-Suomen HAO 539/2025 – Tietosuoja, asiakirjajulkisuus, lastensuojelu

Valittaja oli pyytänyt asiakastietolain 64 §:n 1 momentin nojalla poliisin rekisteritiedot koskien tiettyjen perhehoitajien mahdollista väkivaltaisuutta ja päihteidenkäyttöä. Tietopyynnöillä pyydettiin vain tietoja, jotka olisivat välttämättömiä ja olennaisia lapsen edun ja suojelun näkökulmasta sekä sijaishuollon järjestämisen kannalta. Tietopyynnöt hylättiin poliisilaitoksella erityislakiin vedoten.  Lasten kanssa työskentelevien rikostaustan selvittämisestä annetun lain 5 §, jonka nojalla kunnan tai kuntayhtymän ennen toimeksiantosopimuksen tekemistä on mahdollista pyytää henkilöltä nähtäväksi ainoastaan rikosrekisterilain 6 §:n 2 momentissa tarkoitettu ote rikosrekisteristä. Poliisin mielestä se ei voi ottaa käyttöön rinnakkaista yleislakiin perustuvaa menettelytapaa. Hallinto-oikeus kuitenkin kumosi poliisilaitoksen päätöksen ja palautti asiat poliisilaitokselle tietopyynnössä pyydettyjen tietojen antamiseksi valittajalle.

Hallinto-oikeus perusteli päätöstään niin, että asiakastietolain 64 § 1 momentin säädetty viranomaisen tiedonsaantioikeus ei ole lain sanamuodon tai lainvalmisteluaineiston perusteella määritelty koskemaan ainoastaan sosiaali- tai terveydenhuollon asiakasta koskevia tietoja ja selvityksiä vaan sen sijaan tiedonsaantioikeus määrittyy sen mukaan, vaikuttavatko tiedot olennaisesti sosiaalihuollon asiakassuhteeseen ja ovatko ne välttämättömiä asiakassuhteen kannalta.  Lastensuojeluvirnaomaisen keskeinen tehtävä on varmistaa lapsen etu sijaishuoltopaikassa. Lastensuojeluviranomaisella on siis oikeus saada muilta viranomaisilta tehtävänsä kannalta välttämättömät salaisetkin tiedot, kunhan tietopyyntö kuvaa tiedontarpeen kuulumista tehtävään ja tietojen saannin välttämättömyyttä. Lasten perhehuoltajat olivat esittäneet rikosrekisteriotteet, mutta hyvinvointialue ei pitänyt niitä riittävinä vaan pyysi lisätietoa liittyen henkilöiden väkivaltaisuuteen ja päihteidenkäyttöön. Hyvinvointialue perusteli tietopyynnön tarvetta hallinto-oikeuden mielestä kattavasti. Hallinto-oikeus katsoi siis, että tiedot olivat välttämättömiä viranomaiselle sen laissa säädetyn tehtävän hoitamiseksi ja kumosi poliisilaitoksen päätökset.

Kuva: Unsplash/Pawel Czerwinski