Potilastiedot kuuluvat osaksi erityisiä henkilötietoja ja ovat erityisen arkaluonteisia tietoja ihmisistä. Potilaalle kuuluu oikeus luottaa siihen, että hänen terveydentilaansa koskevia tietoja käsittelevät ainoastaan ne terveydenhuollon ammattilaiset, joilla on hoitosuhteeseen tai muuhun työtehtävään perustuva oikeus tietojen käyttöön. Oikeus perustuu kansallisesti sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annetun lain 4 §:n 2 momenttiin, jonka mukaan salassa pidettävää asiakastietoa sisältävää asiakirjaa taikka sen kopiota tai tulostetta ei saa näyttää eikä luovuttaa sivulliselle eikä antaa sivullisen nähtäväksi tai käytettäväksi1 ja Euroopan unionin tasolla yleiseen tietosuoja-asetukseen.2
Apulaistietosuojavaltuutetun 12.2.2026 antamassa päätöksessä arvioitiin hyvinvointialueen menettelyä tilanteessa, jossa useiden työntekijöiden epäiltiin käsitelleen potilastietoja ilman työtehtäviin liittyvää perustetta. Päätöksessä arvioinnin kohteena oli ennen kaikkea se, oliko hyvinvointialue rekisterinpitäjänä järjestänyt potilastietojen käsittelyn, ohjeistuksen ja valvonnan yleisen tietosuoja-asetuksen edellyttämällä tavalla.3
Apulaistietosuojavaltuutettu katsoi päätöksessään, ettei rekisterinpitäjän menettely täyttänyt henkilötietojen eheyttä ja luottamuksellisuutta, sisäänrakennettua ja oletusarvoista tietosuojaa eikä käsittelyn turvallisuutta koskevia vaatimuksia. Hyvinvointialueelle annettiin huomautus, ja se määrättiin toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet potilastietojen lainmukaisen käsittelyn varmistamiseksi.
Perusteeton käsittely oli laajaa ja pitkäaikaista
Potilastietojen luvattoman katselun kohteena olleet henkilöt olivat tehneet ilmoituksia Tietosuojavaltuutetun toimistolle tapahtuneesta. Myös hyvinvointialue oli tehnyt tietoturvaloukkausilmoituksen tapahtumiista. Ilmoituksissa tuotiin esille epäilyjä siitä, että useat kymmenet työntekijät olisivat käsitelleet potilaiden tietoja ilman hoitosuhdetta tai muuta työtehtäviin perustuvaa oikeutta. Tällainen peruste on lain mukaan oltava, jotta oikeus käsitellä tietoja syntyy.4
Erityisen ongelmalliseksi kuvattiin tilanteita, joissa hyvinvointialueen työntekijät olivat luvatta katsoneet samassa organisaatiossa työskentelevien henkilöiden potilastietoja. Rekisterinpitäjän oman ilmoituksen mukaan perusteeton käsittely oli osittain tahallista ja uteliaisuudesta johtuvaa. Toisaalta osa käsittelystä oli aiheutunut virheellisistä toimintatavoista, puutteellisista ohjeista sekä epäselvyyksistä potilastietojärjestelmän eri osien käyttämisessä.
Tietoturvaloukkauksen ilmoitettiin jatkuneen toukokuusta syyskuuhun 2023. Se tuli rekisterinpitäjän tietoon vasta potilaan tekemän selvityspyynnön perusteella. Tietosuojaviranomaisen antoi arvioinnissa painoarvoa tälle seikalle, sillä organisaation omat valvontamenetelmät eivät olleet havainneet kuukausia jatkunutta asiatonta käsittelyä, vaan ongelma paljastui rekisteröidyn aloitteesta.
Potilastietojen käsittely edellyttää asiallista yhteyttä
Potilastietoja ei saa käsitellä pelkästään siksi, että työntekijällä on teknisesti mahdollisuus päästä niihin. Käsittelyn tulee perustua työtehtävään, hoitosuhteeseen tai muuhun laissa hyväksyttyyn käyttötarkoitukseen. Tämä vaatimus perustuu sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annettuun lakiin.5 Potilastietojärjestelmään myönnetty käyttöoikeus ei ole yleinen lupa tarkastella järjestelmässä olevia tietoja, vaan käyttöoikeuksia saa käyttää vain siinä laajuudessa kuin työtehtävä edellyttää. Tietojen hakeminen ja katseleminen ovat tietojen katselua. Tietoja ei siten tarvitse kopioida, välittää ulkopuoliselle tai käyttää myöhemmin johonkin tarkoitukseen, jotta kyse olisi henkilötietojen käsittelystä.
Apulaistietosuojavaltuutetun päätöksessä havaittiin, että osa henkilöstöstä oli ymmärtänyt väärin potilastietojärjestelmän toimintoja. Jotkut työntekijät olivat käsittäneet esimerkiksi toiminnanohjausta koskevan järjestelmäosion erilliseksi varsinaisesta potilastietojärjestelmästä ja olettaneet, etteivät potilastietojen käsittelyä koskevat säännöt ulottuneet siellä näkyviin tietoihin samalla tavalla. Myös henkilökohtaisten käyttäjätunnusten asianmukaisessa käyttämisessä havaittiin puutteita.
Rekisterinpitäjä vastaa työntekijöidensä toiminnasta
Yleisen tietosuoja-asetuksen 5 artiklan mukaan rekisterinpitäjälle kuuluu osoitusvelvollisuus. Organisaation ei riitä ilmoittaa noudattavansa tietosuojasäännöksiä, vaan sen on pystyttävä osoittamaan, millaisilla toimilla vaatimusten toteutuminen on varmistettu.
Päätöksessä keskeisiä olivat tietosuoja-asetuksen 5, 25 ja 32 artikla. Asetuksen 5 artiklan 1 kohdan f alakohdassa säädetään eheydestä ja luottamuksellisuudesta. Henkilötietoja on käsiteltävä tavalla, joka suojaa niitä luvattomalta ja lainvastaiselta käsittelyltä asianmukaisten teknisten ja organisatoristen toimien avulla. Asetuksen 25 artikla puolestaan edellyttää sisäänrakennettua ja oletusarvoista tietosuojaa. Tietosuojan tulee olla osa järjestelmien, prosessien ja toimintatapojen suunnittelua eikä jälkikäteen lisättävä erillinen menettely. Oletusarvoisesti työntekijällä tulisi olla pääsy vain sellaisiin tietoihin ja toimintoihin, joita hänen tehtävänsä tosiasiallisesti edellyttää. Asetuksen 32 artiklan mukaan rekisterinpitäjän on toteutettava riskiä vastaava turvallisuustaso. Tämä tarkoittaa teknisiä ratkaisuja, kuten käyttäjien tunnistamista, käyttöoikeuksien rajaamista ja lokitietojen keräämistä ja organisatorisia toimia, kuten ajantasaisia ohjeita, henkilöstön koulutusta, sisäistä valvontaa ja havaittuihin väärinkäytöksiin puuttumista.
Apulaistietosuojavaltuutettu katsoi, että hyvinvointialueen ohjeissa, prosesseissa ja valvonnassa oli ollut olennaisia puutteita. Potilastietojen käsittelyä koskevien ohjeiden päivittäminen ja jalkauttaminen oli edelleen kesken, tietoturva ja -suojakulttuuria kuvattiin “kehitysvaiheessa” olevaksi ja käyttöoikeuspolitiikka oli julkaistu vuonna 2024, vaikka hyvinvointialue oli aloittanut toimintansa jo vuoden 2023 alussa.
Lokitietojen kerääminen ei yksin riitä
Terveydenhuollon tietojärjestelmissä käyttäjien tekemistä toimenpiteistä, kuten tietojen katselemisesta muodostuu lokitietoja. Niiden avulla voidaan jälkikäteen selvittää, kuka on katsellut tietoja, milloin se on tapahtunut ja mihin tietoihin käyttö on kohdistunut. Lokitietojen kerääminen itsessään ei kuitenkaan vielä tarkoita tehokasta käytön valvontaa. Jos lokitietoja tarkastetaan lähinnä potilaan tekemän selvityspyynnön tai jo ilmenneen väärinkäytösepäilyn perusteella, valvonta jää pistemäiseksi eikä ole kattavaa.
Hyvinvointialueen mukaan valvontaa toteutettiin ilmoitusten, pistokokeiden ja havaittujen tietosuojapoikkeamien perusteella. Organisaatiolla oli keskitetty lokienhallintajärjestelmä, mutta sen kattavuutta vasta laajennettiin. Tavoitteena oli kehittää automaattista valvontaa, jossa järjestelmä tunnistaisi ennalta määriteltyjen sääntöjen perusteella poikkeavaa käsittelyä. Päätöshetkellä tällaista teknistä valvontaa ei kuitenkaan ollut käytössä sellaisessa muodossa, joka olisi voinut havaita perusteetonta tietojen käsittelyä.
Apulaistietosuojavaltuutetun mukaan rekisterinpitäjällä on velvollisuus arvioida säännöllisesti tietojen suojaamisen tehokkuutta. Valvontaa voidaan kohdistaa käyttöoikeuksiin, lokitietoihin, ohjeiden noudattamiseen, koulutusten vaikuttavuuteen ja organisaation toimintatapojen toimivuuteen. Havaittuihin puutteisiin on myös reagoitava viivytyksettä. Päätöksen perusteella erityisesti arkaluonteisten henkilötietojen, kuten potilastietojen käsittelyssä pelkkä jälkikäteinen reagointi ei ole riittävää. Valvonnan tulee olla myös ennakoivaa.
Terveystietojen erityinen arkaluonteisuus
Yleisen tietosuoja-asetuksen 9 artiklassa terveystiedot on luokiteltu osaksi erityisiä henkilötietoryhmiä. Niiden käsittely voi aiheuttaa erityisen vakavia riskejä yksilön oikeuksille ja vapauksille. Potilastietoihin voi sisältyä tietoja esimerkiksi diagnooseista, mielenterveydestä, lääkityksestä, päihteiden käytöstä, seksuaaliterveydestä, toimintakyvystä ja henkilökohtaisista elämäntilanteista. Tällaisten tietojen joutuminen työtovereiden tai muiden sivullisten tietoon voi aiheuttaa sosiaalista haittaa ja psyykkistä kuormitusta.
Hyvinvointialue oli itse arvioinut vaikutusten vakavuuden korkeaksi ja todennut perusteettoman käsittelyn aiheuttaneen psyykkistä kuormitusta rekisteröidyille. Apulaistietosuojavaltuutettu piti rekisteröidyille aiheutuneita haittoja vakavina. Loukkauksen vakavuutta lisäsi se, että tietoja olivat käsitelleet henkilöt, jotka toimivat samassa työyhteisössä rekisteröityjen kanssa. Tällöin tietojen luottamuksellisuuden menettäminen voi vaikuttaa suoraan henkilön työympäristöön, ammatillisiin ihmissuhteisiin ja turvallisuuden kokemukseen.
Yksittäinen työntekijä ja organisaation vastuu
Potilastietojen perusteeton katselu voi johtaa yksittäisen työntekijän osalta rikosoikeudellisiin, vahingonkorvausoikeudellisiin ja työoikeudellisiin seuraamuksiin. Käsillä olevassa tietosuojaviranomaisen ratkaisussa ei kuitenkaan ratkaistu työntekijöiden mahdollista rikosvastuuta, vaan rekisterinpitäjälle kuuluvaa vastuuta.
Työntekijän tahallinen urkinta voi olla moitittavaa riippumatta siitä, miten hyvin organisaatio on ohjeistanut henkilöstöään. Vastaavasti työntekijän henkilökohtainen vastuu ei vapauta rekisterinpitäjää velvollisuudesta suunnitella järjestelmät ja toimintatavat siten, että asiattoman käsittelyn riskiä ehkäistään ja väärinkäytökset havaitaan. Tässä tapauksessa perusteeton käsittely oli osittain tahallista, mutta osittain seurausta myös puutteellisista ohjeista ja virheellisistä toimintamalleista. Kysymys ei siten ollut ainoastaan yksittäisten työntekijöiden sääntöjenvastaisesta toiminnasta. Organisaation omat puutteet olivat myötävaikuttaneet tilanteeseen.
Apulaistietosuojavaltuutettu painotti myös tapahtumien laajuutta ja kestoa. Kun useat kymmenet työntekijät olivat käsitelleet tietoja perusteettomasti useiden kuukausien aikana, menettelyä ei voitu pitää yksittäisenä tai satunnaisena virheenä. Laajuus osoitti, etteivät käytössä olleet suoja- ja valvontatoimet olleet riittävän tehokkaita.
Huomautus ja määräys korjaavista toimenpiteistä
Apulaistietosuojavaltuutettu totesi hyvinvointialueen rikkoneen yleisen tietosuoja-asetuksen eheyttä ja luottamuksellisuutta, sisäänrakennettua ja oletusarvoista tietosuojaa sekä käsittelyn turvallisuutta koskevia säännöksiä.
Rekisterinpitäjälle annettiin tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukainen huomautus. Lisäksi hyvinvointialue määrättiin 58 artiklan 2 kohdan d alakohdan nojalla toteuttamaan asianmukaiset organisatoriset ja tekniset toimenpiteet potilastietojen lainmukaisen käsittelyn varmistamiseksi.
Päätöksessä ei yksilöity tyhjentävästi sitä, millä teknisillä ratkaisuilla määräys oli toteutettava. Tämä on tietosuoja-asetuksen riskiperusteisen lähestymistavan mukaista: Rekisterinpitäjän tehtävänä on arvioida toimintansa riskejä ja toteuttaa toimenpiteitä niiden hallitsemiseksi.
Käytännössä vaatimukset voivat merkitä esimerkiksi käyttöoikeuksien tarkempaa rajaamista, lokivalvonnan automatisointia, työntekijöiden pääsyn säännöllistä tarkastamista, poikkeavan käytön hälytyksiä, yhtenäisiä ohjeita, pakollisia koulutuksia sekä nopeita ja dokumentoituja menettelyjä epäiltyjen väärinkäytösten selvittämiseksi.
- Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä | 703/2023 | Lainsäädäntö | Finlex ↩︎
- Asetus – 2016/679 – EN – GDPR – EUR-Lex ↩︎
- Potilastietojen perusteeton käsittely | 12.2.2026 | Tietosuojavaltuutettu | Finlex ↩︎
- Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä | 703/2023 | Lainsäädäntö | Finlex ↩︎
- Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä | 703/2023 | Lainsäädäntö | Finlex ↩︎
