Tietosuoja huomioitava koronaviruksen torjuntatoimien yhteydessä

Tietosuojaviranomaiset ovat julkaisseet tarkentavia ohjeistuksia henkilötietojen käsittelyyn liittyen koronaviruspandemian leviämisen estämiseksi. Tietosuojavaltuutetun toimiston mukaan henkilötietoja voidaan käsitellä koronaviruksen torjumiseksi, kunhan käsittely on tarpeellista ja oikeasuhtaista. Saman linjauksen on antanut myös Euroopan tietosuojaneuvosto. Tietosuojalainsäädäntö ei estä kansanterveyteen liittyviä toimia ja tartuntatautien ehkäisemistä, mutta lainsäädännön asettamat vaatimukset on huomioitava henkilötietojen käsittelyssä myös koronavirusta torjuttaessa.

Henkilötietojen käsittely koronaviruksen torjumiseksi

Henkilötietojen käsittelyssä lähtökohtana on, että käsittelyn on aina oltava oikeasuhtaista ja tarpeellista. Terveystiedot kuuluvat EU:n yleisen tietosuoja-asetuksen mukaan erityisiin henkilötietoryhmiin ja niiden käsittely on lähtökohtaisesti kiellettyä. Erityisiin henkilötietoryhmiin kuuluvia henkilötietoja saa käsitellä vain, mikäli tietosuoja-asetuksessa tai kansallisessa lainsäädännössä on säädetty poikkeus käsittelykiellosta.  

Koronaviruspandemiaa koskevia anonyymejä tilastotietoja voidaan kuitenkin antaa julkisuuteen, mikäli annettujen tietojen perusteella ei yksittäistä henkilöä voida tunnistaa. Anonyymien tietojen käsittelyyn ei sovelleta tietosuojalainsäädäntöä. Henkilötietoja ovat kuitenkin lähtökohtaisesti kaikki sellaiset tiedot, joista tietty henkilö on suoraan tai epäsuorasti tunnistettavissa. Tämän vuoksi tilastotietojen julkistamisen yhteydessä tulee arvioida huolellisesti, että sinänsä anonyymin tiedon tai tiettyjen tietojen yhdistelmän perustella ei ole mahdollista tunnistaa tiettyä henkilöä.

Työntekijöiden henkilötietojen käsittely koronavirustapauksissa

Tieto työntekijän koronavirustartunnannasta on terveystieto, ja työelämän tietosuojalainsäädännön nojalla työnantaja on vaitiolovelvollinen työntekijän terveystiedoista. Mikäli työntekijällä todetaan koronavirustartunta, työnantaja ei saa kertoa tästä työpaikalla tai työpaikan ulkopuolelle. Työnantaja voi kuitenkin ilmaista yleisellä tasolla, että työntekijä on estynyt hoitamasta työtehtäviään. Sallittua on myös yleisellä tasolla informoida muita työntekijöitä siitä, että henkilöstössä on mahdollinen tai vahvistettu koronavirustartunta. On kuitenkin muistettava, että varsinaiseen karanteeniin henkilön voi määrätä tartuntatautilain nojalla vain asianomainen lääkäri.

Terveystiedoksi ei kuitenkaan katsota tietoja siitä, että työntekijä on palannut matkalta, joka on suuntautunut riskialueeksi luokiteltavalle alueelle, eikä myöskään se, että työntekijä on karanteenissa, mikäli karanteenin syystä ei anneta yksilöityjä lisätietoja.

Työntekijöiden terveystietoja saavat ylipäätäänkin käsitellä vain ne henkilöt, joiden työtehtäviin sellaisen tietojen käsittelyn voidaan katsoa kuuluvan, eli esimerkiksi henkilöstöhallinnon asianomainen työntekijä Työnantaja on velvollinen etukäteen määrittelemään ne työtehtävät, joihin sisältyy terveystietojen käsittelyä tai nimeämään ne henkilöt, joiden työtehtäviin työntekijöiden terveystietojen käsittely kuuluu. Terveydentilaa koskevat tiedot on säilytettävä erillään muista henkilötiedoista, ja ne on poistettava välittömästi, kun niiden säilyttämiselle ei ole enää perustetta.

Lyhyesti

• Tietosuojalainsäädäntö mahdollistaa henkilötietojen käsittelyn koronaviruksen leviämisen estämiseksi. Tällainen käsittely koskee ensisijaisesti toimivaltaisia kansanterveysviranomaisia ja joiltakin osin myös muita toimijoita, kuten työnantajia. Terveysviranomaiset voivat käsitellä henkilötietoja epidemian yhteydessä ja sen leviämisen seuraamiseksi kansallisen lainsäädännön ja siinä vahvistettujen edellytysten mukaisesti. Konkreettisena esimerkkinä tällaisesta käsittelystä on esimerkiksi tartunnan jäljittämiseksi tarvittavien tietojen käsittely ja tartuntatautirekisteri. Työnantajilla käsittely voi perustua esimerkiksi työturvallisuuteen liittyvien lakisääteisten velvollisuuksien noudattamiseksi, huomioiden kuitenkin yllä mainitut reunaehdot.
• Tietosuoja-asetusta ja muuta tietosuojalainsäädäntöä on noudatettava henkilötietojen käsittelyssä koronavirukseen liittyvissä tilanteissa.
• Henkilötietojen käsittelyssä lähtökohtana on aina käsittelyn tarpeellisuus ja käsittelylle on oltava laillinen käsittelyperuste.
• Työnantajalla on vaitiolovelvollisuus työntekijän terveystiedoista.
• Koronaviruspandemiaa koskevia tilastotietoja voidaan antaa julkisuuteen, mikäli annettujen tietojen perusteella yksittäistä henkilöä ei voida tunnistaa.

Lisätietoja tarjolla muun muassa seuraavissa paikoissa:

Euroopan tietosuojaneuvoston lausunto: Statement on the processing of personal data in the context of the COVID-19 outbreak

Tietosuojan maailmankokouksen puheenjohtajiston lausunto: Statement by the GPA Executive Committee on the Coronavirus (COVID-19) pandemic

Tietosuojavaltuutetun toimiston artikkeli

Varautuminen koronavirukseen

Edilexin artikkeli tartuntatautipäivärahasta

TTL toimintaohje

THL ajankohtaistatietoa koronaviruksesta

Lisätiedot: Ville Kukkonen, Associate, puh. +358 40 745 6784, [email protected]