Perustuslakivaliokunta lausui jälleen sote-uudistuksen tietosuojaongelmista – Voisiko sote kaatua juridiseen väärinkäsitykseen?

SoteViime vuotta leimannut tietosuojakiire pakotti Tietosuojauutiset.fi:n toimitustauolle. Asiakkaiden compliance-hankkeiden häntiä solmittiin ahkerasti vielä kesän ajan, ja kesälomille lompsittiinkin takit melkoisen tyhjinä (ja voin vakuuttaa, että laiturin nokassa pohdittiin ihan kaikkea muuta kuin tietosuojaa). Vaikka toukokuisen ”GDPR-päivän” jälkeen pahin tietosuojakiire hellittikin, työllistivät tietosuoja-asiat toimitustiimiä tiiviisti vielä loppuvuoden. Toimitustauko ehtikin yllättäen venähtää kuukausien mittaiseksi, mutta nyt Tietosuojauutiset.fi pyrkii palaamaan ruudun ääreen pohtimaan mielenkiintoisia tietosuojakysymyksiä tuttuun tapaan säännöllisen epäsäännöllisesti.

Kuulumisten jälkeen voidaankin siirtyä otsikossa mainittuun aiheeseen, eli sote-uudistuksen tietosuojaongelmiin, jotka perustuslakivaliokunta nosti esille viime perjantaina eduskunnan sosiaali- ja terveysvaliokunnalle antamassaan lausunnossa PeVL 65/2018 vp. Perustuslakivaliokunnan perjantainen lausunto koski kolmea sosiaali- ja terveysvaliokunnan mietintöluonnosta, joista kahdesta perustuslakivaliokunta löysi tietosuoja-asioiden osalta huomautettavaa.

Valinnanvapauslakiehdotusta (HE 16/2018 vp) koskevan mietintöluonnoksen osalta perustuslakivaliokunnan kritiikki kohdistuu useampaankin ongelmakohtaan, jotka ovat pitkälti samoja, kuin joihin perustuslakivaliokunta kiinnitti huomioita jo viime kesäkuussa antamassaan, samaa lakiehdotusta koskevassa lausunnossaan PeVL 15/2018 vp. Ensinnäkin perustuslakivaliokunta pitää lukuisten säädösviittausten vuoksi ongelmallisena sovellettavan lainsäädännön kokonaisuuden raskautta ja monimutkaisuutta, ja peräänkuuluttaakin keinoja selvittää sääntelyn soveltamisalan selkiyttämistä erityisesti suhteessa valinnanvapauslakiehdotuksen 76 §:ssä viitattuihin erityislakeihin. Toisekseen perustuslakivaliokunta kiinnittää huomiota henkilötietojen erityisryhmien laajamittaiseen käsittelyyn ylipäänsä, ja muun muassa edellyttää täsmennyksiä asiakassuunnitelmaan merkittyjen tietojen käsittelyä koskeviin säännöksiin sekä vaatii lakiehdotukseen lisättäväksi säännöksiä asiakastietojen käyttöoikeuksien määrittelystä.

Erityisesti Tietosuojauutiset.fi:n toimituksen mielenkiinnon kuitenkin herätti perustuslakivaliokunnan näkemys kapitaatiokorvauksen määräytymiseen liittyvästä profiloinnista, tarkemmin ottaen siitä, voidaanko kapitaatiokorvauksen laskemisen tarkoituksiin hyödyntää tietosuoja-asetuksessa tarkoitettua profilointia.

Valinnanvapauslakiehdotuksen 65 §:ssä esitetään säädettäväksi kiinteästä korvauksesta, joka maksetaan sosiaali- ja terveydenhuollon asiakkaan valinnanvapautensa perusteella valitsemalle palveluntuottajalle. Perustuslakivaliokunta kiinnitti jo kesäkuisessa lausunnossaan huomiota siihen, että mikäli tarkoituksena on, että palveluntuottajalle maksetaan jokaisesta suoran valinnan palveluntuottajan asiakkaaksi listautuneesta henkilöstä 65 §:n 3 momentissa mainittujen ominaisuuksien ja niitä koskevien painokertoimien perusteella laskettava yksilöllinen korvaus, perustuu sääntely henkilötietoja käyttämällä tapahtuvaan luonnollisen henkilön ominaisuuksien, muun ohella kyseisen henkilön terveyden, arviointiin. Tietosuojatermein puhutaan siis tietosuoja-asetuksessa tarkoitetusta profiloinnista.

Tietosuoja-asetuksen 22 artiklassa ilmaistun pääsäännön mukaan rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Kieltoa ei kuitenkaan sovelleta, jos profilointia muutoin tarkoittava päätös on hyväksytty unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa vahvistetaan myös asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi. Tietosuoja-asetuksen 22 artiklan mukaan tällaiset päätökset eivät kuitenkaan voi perustua erityisiin henkilötietoryhmiin, paitsi jos sovelletaan 9 artiklan 2 kohdan a tai g alakohtaa ja asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi on toteutettu.

Perustuslakivaliokunta katsoo perustellusti, että kapitaatiokorvauksen laskemista koskevilla säännöksillä voi olla rekisteröityä koskevia oikeusvaikutuksia tai ne voivat ainakin vaikuttaa rekisteröityyn vastaavalla tavalla merkittävästi: Koska kiinteän korvauksen yleiset perusteet ovat lainsäädännön tasolla yleisesti tiedossa, voi asiakaskohtaisen korvauksen suuruus aiheuttaa riskin asiakkaiden syrjivästä kohtelusta, esimerkiksi tutkimusten määräämisestä eri lailla riippuen korvauksen suuruudesta. Siten perustuslakivaliokunta on päätynyt arvioimaan sitä, voidaanko kapitaatiokorvauksen laskemisessa ylipäätään hyödyntää profilointia, ja ydinkysymykseksi on muodostunut erityisesti se, voidaanko kapitaatiokorvauksen laskemisessa hyödyntää henkilötietojen erityisryhmiin kuuluvia tietoja.

Koska valinnanvapauslain 65 §:n sääntely ei perustu asiakkaan suostumukseen, ei tietosuoja-asetuksen 9(2)(a) tässä tapauksessa sovellu. Perustuslakivaliokunta kuitenkin lausuu myös, että ”sen saaman selvityksen mukaan vaikutt[aa] ilmeiseltä, että asetuksen sääntelyn sisällön valossa myöskään artiklan g alakohta ei liene sovellettavissa ehdotettuun tietojen käsittelyyn”. Näiltä osin perustuslakivaliokunta viittaa kesäkuiseen lausuntoonsa PeVL 15/2018 vp, jossa se pyrki perustelemaan näkemystään hiukan tarkemmin. Kyseisessä lausunnossaan perustuslakivaliokunta katsoo, että g alakohdan soveltuvuutta tulee tulkita osana erityisiä henkilötietoryhmiä koskevan 9 artiklan sääntelyn kokonaisuutta, ja koska h alakohta mahdollistaa sellaisen kansallisen lainsäädännön antamisen, jossa säädetään henkilötietojen erityisryhmien käsittelystä terveys- tai sosiaalihuollollisen hoidon tai käsittelyn suorittamiseksi taikka terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten, tulisi ehdotettua käsittelyä arvioida ensisijaisesti juuri h alakohdan edellytysten valossa. Perustuslakivaliokunnan mukaan h alakohdassa nimenomaan terveys- ja sosiaalihuollon tarkoituksiin suoritettavalle käsittelylle asetettuja tiukempia edellytyksiä ei voida sivuuttaa sillä, että sääntelyä arvioidaan laajemmin käsittelyn ja tietosuoja-asetuksen 22 artiklassa säädetyin tavoin myös profilointiin perustuvat automatisoidut yksittäispäätökset sallivan g alakohdan valossa.

Perustuslakivaliokunta näyttäisi siis päätyneen linjaamaan, että koska 9 artiklan h alakohta mahdollistaa sellaisen kansallisen lainsäädännön antamisen, jossa säädetään henkilötietojen erityisryhmien käsittelystä sosiaali- ja terveydenhuollon tarkoituksia varten, g alakohtaan tällaista sääntelyä ei voitaisi perustaa, ja siten g alakohtaa ei voitaisi soveltaa sosiaali- ja terveydenhuollon piirissä tapahtuvan kapitaatiokorvauksen laskemisessa. Edelleen, koska automatisoituja yksittäispäätöksiä koskevassa 22 artiklassa ei mainita h alakohtaa merkittäviä vaikutuksia aiheuttavan profiloinnin mahdollistavana perusteena, ei profilointiin perustuvasta kapitaatiomaksusta voitaisi kansallisella lailla säätää.

Tällainen tulkinta kuitenkin tarkoittaisi käytännössä sitä, että kaikki kansallinen lainsäädäntö sosiaali- ja terveydenhuollon piirissä tapahtuvasta henkilötietojen erityisryhmien käsittelystä tulisi perustaa vain 9 artiklan h alakohtaan, ja siten kansallisella lailla ei voitaisi sallia muutakaan sellaista käsittelyä, joka tarkoittaisi vaikutuksiltaan merkittävää profilointia sosiaali- tai terveydenhuollon piirissä. Tietosuoja-asetuksen sääntelyn tällainen tulkinta ei siten sallisi myöskään esimerkiksi sellaisen kansallisen lainsäädännön antamista, joka mahdollistaisi esimerkiksi sellaisten terveydenhuollossa käytettävien lääkinnällisten laitteiden tai terveydenhuollon ratkaisujen käyttöä, joiden toiminta perustuu henkilön terveystiedoista tai muista henkilötietojen erityisryhmistä ilmenevien ominaisuuksien ennakointiin tai arvioimiseen, mikäli tällainen ennakointi tai arviointi vaikuttaisi rekisteröityyn merkittävästi.

On vaikea nähdä, että EU-lainsäätäjän tarkoituksena olisi ollut kokonaan estää merkittäviäkään vaikutuksia aiheuttavan profiloinnin hyödyntäminen sosiaali- ja terveydenhuollon piirissä, ja siten perustuslakivaliokunnan tulkinta herättää kysymyksiä. Tietosuojauutiset.fi:n toimituksen näkemyksen mukaisesti asiaa tulisikin tarkastella tietosuoja-asetuksen sääntelyn tavoitteet kokonaisuutena huomioiden. Esimerkiksi tietosuoja-asetuksen johdanto-osan perustelukappaleen 52 valossa ei voida tehdä johtopäätöstä siitä, että g alakohtaa ei voitaisi soveltaa myös sosiaali- ja terveydenhuollon piirissä toteutettavaan käsittelyyn. Lisäksi on huomattava, että perustuslakivaliokunnan logiikkaa soveltamalla voitaneen kyseenalaistaa myös tietosuojalain (1050/2018) 6 §:n 1 momentin 5-kohdan tietosuoja-asetuksenmukaisuus. Kyseisessä lainkohdassa säädetään sosiaalihuollon palveluntarjoajan palveluita järjestäessään tai tuottaessaan toteuttamasta henkilötietojen erityisryhmiin kuuluvien tietojen käsittelystä, ja tietosuojalakia koskevassa hallituksen esityksessä HE 9/2018 vp kyseisen lainkohdan on katsottu olevan mahdollinen asetuksen 9 artiklan 2 kohdan b ja g alakohdan nojalla.

Perustuslakivaliokunnan tulkintansa tueksi antamat perustelut jäävät jokseenkin heppoisiksi etenkin, koska perusteluissa ei lainkaan problematisoida linjauksen kauaskantoisempia vaikutuksia. Tietosuojakenttää vahvasti värittävä tulkintaepävarmuus voikin helposti johtaa liian ankaraan tai suorastaan kyseenalaiseen tietosuoja-asetuksen säännösten tulkintaan, jollaisena perustuslakivaliokunnan tulkintaa 9 artiklan 2 kohdassa mainituista henkilötietojen erityisryhmien käsittelyn sallivista perusteista ja niiden keskinäisistä suhteista voidaan pitää.