Valviran ja tietosuojavaltuutetun toimiston yhteinen ohjaus biopankkitoimintaa koskien

Julkaistu 20.7.2015  Päivitetty 7.4.2016

Sosiaali- ja terveysalan lupa- ja valvontavirasto (Valvira) ja tietosuojavaltuutetun toimisto ovat 7.7.2015 laissa säädetyn toimivaltansa puitteissa antaneet yhteisen ohjauksen koskien biopankkitoimintaa. Ohjaus koskee biopankkien henkilötietolain 36 §:ssä säädettyä ilmoitusvelvollisuutta henkilötietojen automaattisesta käsittelystä. Ohjaus koskee myös erityistä ilmoitusvelvollisuutta henkilötietojen siirrosta EU- ja ETA:n ulkopuolelle siten kuin henkilötietolain 5 luvussa säädetään sekä loogisen henkilörekisterin ja henkilötiedon käsitteitä.

Henkilötietolain (HetiL) 36 §:ssä säädetään rekisterinpitäjän ilmoitusvelvollisuudesta. Sen mukaan rekisterinpitäjän on ilmoitettava henkilötietojen automaattisesta käsittelystä tietosuojavaltuutetulle lähettämällä tälle rekisteriseloste. Henkilörekisteristä on aina laadittava rekisteriseloste (HetiL 10 §). Rekisterinpitäjällä on ilmoitusvelvollisuus tietosuojavaltuutetulle silloin, kun arkaluonteisten henkilötietojen käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä (HetiL 12 §:n 1 momentin 5 kohta). Kun biopankki on merkitty Valviran ylläpitämään valtakunnalliseen biopankkirekisteriin, biopankin näyte- ja tietorekisterin, koodirekisterin sekä suostumusrekisterin ylläpito perustuvat laissa säädetyn tehtävän toteuttamiseen eli biopankkilain (688/2012) 5 §:ssä tarkoitetun biopankkitutkimuksen palvelemiseen. Se kuinka rekisterien ylläpito on käytännössä järjestettävä, ilmenee yksityiskohtaisemmin biopankkilain 21 – 23 §: stä.

Mikäli biopankki ylläpitää muita henkilörekistereitä, kuten lähde- tai luovutusrekisteriä, niiden ylläpito perustuu puolestaan biopankkilain 39 §:ssä säädettyyn rekisteröidyn oikeuteen saada tietoja. Biopankkilain 39 §:n 1 momentin mukaan jokaisella on oikeus pyynnöstä saada tieto siitä, säilytetäänkö biopankkirekisteriin ilmoitetussa biopankissa häntä koskevia näytteitä, säilyttämisen perusteesta ja siitä, mistä häntä koskevia tietoja on saatu ja mihin hänestä otettuja näytteitä ja näytteisiin liittyviä tietoja on luovutettu tai siirretty biopankista.

Ilmoitusvelvollisuuden avulla tietosuojavaltuutettu valvoo henkilötietojen käsittelyä ilmoituksessa ja rekisteriselosteessa annettujen tietojen pohjalta. Ilmoituksen tekeminen ei ole rekisterinpidon tai toiminnan hyväksymis- tai lupamenettely. Rekisterinpitäjä vastaa henkilötietojen käsittelyn lainmukaisuudesta. Biopankkeja pyydetään lähettämään rekisteriselosteet yhteystietoineen tietosuojavaltuutetun toimiston kirjaamoon vapaamuotoisesti. Ilmoitus on tehtävä viimeistään 30 päivää ennen henkilörekisteriin talletettaviksi aiottujen henkilötietojen keräämistä ja tallettamista tai muuhun ilmoitusvelvollisuuden aiheuttavaan toimenpiteeseen ryhtymistä. Biopankkeja pyydetään viittaamaan ilmoituksessaan HetiL 36 §:n 4 momentissa säädettyyn velvoitteeseen eli tietojen käsittelyyn, joka johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Rekisteriseloste tulee pitää HetiL 10 §:n mukaisesti jokaisen saatavilla. Tietojen käsittelyn avoimuuden turvaamiseksi biopankkeja ohjataan pitämään rekisteriselosteet verkkosivuilla yleisön nähtävänä.

Lue koko ohjaus:

Liitetiedostot