Euroopan ihmisoikeustuomioistuimen päätös I. v. Finland (no. 20511/03)

(epävirallinen tiivistelmäkäännös)

Sairaalan potilastietojen käytön valvonta riittämätöntä;
Suomen valtio tuomittiin korvauksiin, koska se oli epäonnistunut ihmisoikeussopimuksen mukaisessa toimintavelvollisuudessaan hakijan yksityisyyden suojaamisessa

Tapahtumaseloste

Hakija oli töissä sairaalassa vuosina 1989-1994. Samaan aikaan hän oli hoidettavana kyseisessä sairaalassa positiivisen HIV -diagnoosin johdosta. Alkuvuodesta 1992 hänelle heräsi epäilyjä siitä, että työyhteisön jäsenet olivat tietoisia hänen sairaudestaan.

Hakijan vaatimuksesta lääninhallitus pyysi vuonna 1996 sairaalalta selvitystä kuka on hänen potilastietojaan käsitellyt. Sairaalan antaman selvityksen mukaan kyselijää tai edes sitä onko ylipäänsä hakijan tietoihin kohdistunut kyselyjä, ei kyetty selvittämään.

Vuonna 2000 hakija vaati sairaanhoitopiirin kuntayhtymää maksamaan vahingonkorvausta siitä, että rekisterinpitäjä oli epäonnistunut suojaamaan hänen tietojaan asiatonta käsittelyä vastaan. Käräjäoikeus hylkäsi vaatimuksen sillä perusteella, ettei esitetty näyttö tukenut riittävästi sitä, että potilastiedoissa olisi käyty laittomasti.

Hovioikeus ei muuttanut päätöstä, vaikka katsoikin, että hakijan kertomus työkavereiden vihjauksista ko. sairauteen olivatkin sinänsä uskottavia. Varmaa näyttöä ei kuitenkaan ollut siitä, että potilasrekisteriä olisi luvattomasti käsitelty.
Korkein oikeus ei antanut hakijalle valituslupaa.

Euroopan ihmisoikeustuomioistuimen arviointi

Ihmisoikeustuomioistuin (EIT) katsoi, että vaikka kyseisenä ajankohtana Suomessa oli lainsäädäntöä, jolla pyrittiin suojaamaan henkilötietoja asiatonta käsittelyä vastaan, ei lainsäädäntöä sovellettu riittävän tiukasti. Tämä näkyi ensinnäkin siinä, ettei jälkikäteen voitu riittävästi selvittää potilastietojen käyttöä vaan käyttöhistoriasta näkyi vain viisi viimeisintä kyselijää. Päätöksen mukaan tällainen käytäntö koski paperisia potilasasiakirjoja ("...was deleted once the file had been returned to the archives."). Toisaalta hovioikeus totesi, ettei tapauksen käsittelyn yhteydessä oltu kiistetty ("...it is not in dispute..."), että kyseisenä aikana ei olisi ollut sallittua se, että hoitoon osallistumaton henkilökunnan jäsen katsoo hakijan tietoja. Kolmanneksi EIT kiinnitti huomiota siihen, että sairaala oli ryhtynyt korjaaviin toimenpiteisiin kun epäilykset tietojen luvattomasta käsittelystä oli heränneet (muun muassa rajoittanut pääsyä potilastietoihin hoitoyksikkökohtaisesti), mutta katsoi, että nämä toimet eivät enää auttaneet hakijaa.

EIT:n mukaan hakija hävisi siviilikanteena nostamansa vahingonkorvausjutun, koska ei kyennyt pitävästi osoittamaan, että hänen terveydentilaa koskeva tieto olisi saatu laittomasti potilasrekisteristä. Tällaisessa todistustaakan jaossa jätetään huomioimatta tietoiset puutteet, joita oli potilasrekisterin pääsyn kontrollissa. Jos pääsyn kontrolli olisi ollut paremmin järjestetty, ei hakija olisi ollut näin epäedullisessa asemassa hakiessaan tietosuojallisia oikeuksiaan kotimaassaan. EIT:n mielestä oikeudellisesti merkittävää tässä on se, ettei tuomioistuimet Suomessa antaneet riittävää painoarvoa ("...not given due weight by the domestic courts."), että puutteellinen pääsyn kontrolli oli silloin voimassa olleen henkilörekisterilain 26 §:n vastainen.

Suomen hallitus ei selittänyt, miksi kyseisessä sairaalassa ei kansallista lakia noudatettu. EIT katsoi, että lainsäädännön mahdollistama vahingonkorvauksen hakeminen ei yksistään siitä yksityisyyden suojaamiseksi vaan se edellyttää käytännöllista ja tehokasta suojaa poissulkea mahdollisuudet luvattomaan käsittelyyn alun alkaen ("... exclude any possibility of unauthorised access occurring in the first place.").

Johtopäätöksiä

Merkittävin johtopäätös liittyy rekisterinpidon tietoturvaan. Ei riitä, että ylläpidetään henkilörekisteriä vaan rekisteröidyn tietosuojalliset oikeudet edellyvät kyseisen rekisterinpidon käytön rekisterinpitoa (käyttöoikeusjärjestelmä). Tässä rekisterin rekisterissä on työntekijät rekisteröityjä. Nykyään monessa yhteydessä puhutaan käytön lokittamisesta, mutta sen oikeudellinen merkitys on jäänyt hämäräksi. Tämän päätöksen myötä voidaan todeta, että kyseessä ei ole vain rekisterinpitäjän valvonnallinen väline vaan siihen on oikeus myös rekisteröidyllä tiedonkohteena hakiessaan tietosuojallisia oikeuksiaan.

Keskeinen lainsäädännön muutostarve liittyy siihen, että rekisteröidyn oikeuksista omien tietojen "lokitietoihin" tulisi saada yhtenäiset säännöt. Henkilötietolain tarkastusoikeussäännöstä on tulkittu siten, ettei tiedonkohteella ole sen perusteella oikeutta saada muita kuin itseään koskevia tietoja. Käyttöoikeushallinnossa rekisteröity on näissä tapauksissa tyypillisesti työntekijä. Julkisuuslakia on kuitenkin tulkittu siten, että asianosaisen tiedonsaantioikeus kattaa myös nämä käyttölokitiedot. Kun tämä säännös soveltuu vain julkishallintoon tulisi myös muussa henkilötietolain mukaan suojattavassa henkilötietojen käsittelyssä olla vastaavat säännökset. Ongelmana usein on se, että mistä rekisteröity voi saada tiedon, jotta ylipäänsä voisi ryhtyä rikos- tai vahingonkorvauprosessiin ja vaatia niissä oikeuksiaan.

Lisäksi voidaan todeta, että päätös vahvistaa sitä käsitystä, että henkilötietojen suojalla on myös organisaation sisäisiä vaikutuksia.

Lisätietoja: tietosuojavaltuutettu Reijo Aarnio, p. 040 520 7068

Englanninkielinen alkuperäispäätös kokonaisuudessaan

Mikäli ylläoleva suora linkki ei toimi, päätöksen voi etsiä hakutoiminnon avulla tuomioistuimen sivuilta

• valitse "search"
• rasti "judgments"
• kirjoita "text"-kohtaan sana "Finland"
• hakutuloslistan 2.sivulla on "Case of I v. Finland"