Administrative court dismissed appeal; data controller must move sensitive health data to secure environment per secondary use law.
Finland (FI)
Legislator summary
AI generatedThe Administrative Court dismissed the applicant's appeal against the Data Protection Authority's order to transfer sensitive health data to a secure environment. The applicant held licenses for scientific research on special categories of personal data, which are generally prohibited unless strict conditions are met. The court ruled that the secondary use law requires data to be processed in a security-approved environment, and the applicant failed to prove their current setup complied with these mandatory safety standards.
Legislator headnote
AI generatedLaki sosiaali- ja terveystietojen toissijaisesta käytöstä 18 §, 20 § 1 ja 3 mom., 25 § 1 mom., 38 § 2 mom.; The Data Protection Authority may require the transfer of data licensed under secondary use laws to a security-approved environment to ensure compliance with statutory safety requirements.
Keywords
AI generatedCited Legislation
AI generatedRelated Decisions
AI generatedFull text
Asiassa oli ratkaistavana muun ohella kysymys siitä, oliko sosiaali- ja terveysalan tietolupaviranomainen Findata (Tietolupaviranomainen) voinut velvoittaa valittajan siirtämään ennen sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain voimaantuloa myönnettyjen tietolupien voimassaolon jatkamista koskevan hakemuksen yhteydessä kyseisiä lupia koskevan tutkimusaineiston muutoshakemuksessa esitettyyn Sensitive Data Desktop -nimiseen tietoturvalliseen käyttöympäristöön.
Hallinto-oikeus hylkäsi valittajan valituksen.
Valittajan hakemus oli koskenut tietolupia, joiden perusteella hän voi käyttää sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettuja henkilötietoja tieteellistä tutkimusta varten. Mainituissa tiedoissa on kyse erityisiä henkilöryhmiä koskevista henkilötiedoista, joiden käsittely on yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan mukaan lähtökohtaisesti kiellettyä. Saman artiklan 2 kohdan j alakohdan ja johdantokappaleen 157 mukaan kyseisten tietojen käsittely on kuitenkin sallittua muun muassa tieteellistä tutkimusta varten edellyttäen, että jäsenvaltion lainsäädännössä asetettuja asianmukaisia edellytyksiä ja suojatoimia noudatetaan.
Toisiolain mukaisen sosiaali- ja terveystietojen toissijaisen käytön edellytyksenä on siten toisiolaissa säädettyjen tietoturvavaatimusten noudattaminen, joihin sisältyy muun ohella luovutettujen tietojen käsitteleminen tietoturvallisessa käyttöympäristössä. Vaikka toisiolaissa puhutaan käyttöympäristön käytön yhteydessä tietoaineiston luovuttamisesta, on edellä siirtymäsäännöksen perusteella toisiolakia tulkittava niin, että vaatimus tietoturvallisesta käyttöympäristöstä koskee myös aikaisemmin tietoluvan nojalla luovutettua aineistoa.
Toisiolain 20 §:n 1 ja 3 momentin mukaisesti tietoaineistoa voidaan käsitellä joko Tietolupaviranomaisen ylläpitämässä käyttöympäristössä tai toisiolain 25 §:n 1 momentin mukaisessa, arviointilaitoksen tietoturvalliseksi arvioimassa käyttöympäristössä. Koska valittaja ei ollut esittänyt selvitystä siitä, että hänen nykyisin käyttämänsä käyttöympäristö täyttäisi toisiolaissa säädetyt edellytykset tietoturvalliselle käyttöympäristölle, ei Tietolupaviranomainen ollut voinut sallia tietoaineiston käsittelyn jatkamista nykyisessä käyttöympäristössä. Valittajalla oli lisäksi ollut toisiolain mukaan vapaus valita aineistolleen sopiva, tietoturvallinen käyttöympäristö, ja Tietolupaviranomainen oli valittajan hakemuksen mukaisesti hyväksynyt tietoaineiston käsittelyyn Sensitive Data Desktop -nimisen käyttöympäristön.
Tietolupaviranomainen oli siten voinut edellyttää päätöksellä jatkettujen tietolupien nojalla luovutetun tietoaineiston siirtämisen Sensitive Data Desktop -nimiseen käyttöympäristöön. Tietoturvallisen käyttöympäristön edellyttämiselle oli lakiin perustuva hyväksyttävä peruste, minkä lisäksi sillä turvattiin toisen perusoikeuden eli perustuslain 10 §:ssä säädetyn yksityiselämän suojan toteutuminen, eikä Tietolupaviranomaisen päätös ollut Suomen perustuslain 16 §:n 3 momentin ja toisiolain 38 § 2 momentin vastainen. Sillä, miten tietoaineiston siirtäminen käytännössä toteutuu valittuun käyttöympäristöön, tai siirtämisen vaatimalla työmäärällä ja kustannuksilla, ei ollut merkitystä asiaa hallinto-oikeudessa arvioitaessa.
Sovelletut oikeusohjeet
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus), sellaisena kuin se on oikaistuna EUVL:ssä L 74, 4.3.2021 9 artikla 1 kohta ja 2 kohta j alakohta
Laki sosiaali- ja terveystietojen toissijaisesta käytöstä 18 §, 20 § 1 ja 3 mom., 25 § 1 mom., 38 § 2 mom. ja 60 § 1 mom.
Suomen perustuslaki 10 § ja 16 § 3 mom.
Hallintolaki 6 §
Asian ovat ratkaisseet hallinto-oikeustuomarit Timo Tervonen, Heli Mäki-Rautila ja Olli Rautsi.
Asian esittelevä jäsen Olli Rautsi.
Lainvoimainen.