Rekisteröidyn oikeus tutustua tietoihin, joita rekisterinpitäjällä ei ole hallussaan
- Asiasanat
- tarkastusoikeus, työelämä
- Tapausvuosi
- 2025
- Antopäivä
- Diaarinumero
- TSV/12685/2024
- Säädösperusta
- EU:n yleisen tietosuoja-asetuksen mukainen päätös
Tietosuojavaltuutetun toimiston päätös
Asia
Rekisteröidyn oikeus tutustua häntä koskeviin tietoihin
Rekisterinpitäjä
Konsulttiyhtiö
Rekisteröidyn vaatimus perusteluineen
Rekisteröity on saattanut 18.12.2024 tietosuojavaltuutetun toimistossa vireille asian, joka koskee oikeutta tutustua häntä koskeviin tietoihin Euroopan parlamentin ja neuvoston yleisen tietosuoja-asetuksen ((EU) 2016/679) 15 artiklan nojalla.
Rekisteröity on esittänyt rekisterinpitäjälle tietojen saamista koskevan pyynnön 4.4.2024. Rekisteröity on pyytänyt rekisterinpitäjältä jäljennökset kaikista rekisterinpitäjällä olevista rekisteröityä koskevista tiedoista. Rekisteröity on erityisesti halunnut saada jäljennökset häntä koskevista työterveysneuvottelumuistioista päivämäärillä 21.2.2012 ja 5.6.2012.
Tietosuojavaltuutetun toimisto on selvittänyt rekisteröidyn tarkastusoikeutta koskevaa asiaa alun perin työterveyspalveluntarjoajan kanssa. (Asiatunnus TSV/3583/2023.) Asian selvittämisen yhteydessä on ilmennyt, että työterveyspalveluntarjoajan hallussa on kaksi rekisteröidyn työterveysneuvottelumuistiota. Rekisteröity on saanut jäljennökset kyseisistä työterveysneuvottelumuistioista työterveyspalveluntarjoajalta. Työterveyspalveluntarjoajan mukaan rekisteröidyn potilasasiakirjoista on ilmennyt, että työterveysneuvotteluita on lisäksi pidetty päivämäärillä 21.2.2012 ja 5.6.2012. Työterveyspalveluntarjoajalla ei kuitenkaan ole ollut hallussaan kyseisiä työterveysneuvottelumuistioita. Työterveyspalveluntarjoaja on todennut tietosuojavaltuutetun toimistolle antamassaan selvityksessä, että työterveysneuvottelumuistiot ovat laadittu ensisijaisesti työnantajan tarpeisiin, jolloin työnantaja on työterveysneuvottelumuistioiden ensisijainen rekisterinpitäjä.
Nyt tarkasteltavana olevassa asiassa rekisterinpitäjä on vastannut rekisteröidyn pyyntöön 8.4.2024. Rekisterinpitäjä on rekisteröidylle antamansa vastauksen mukaan toimittanut rekisteröidylle kaikki häntä koskevat tiedot. Rekisteröity on pyytänyt tietosuojavaltuutetun toimistoa tutkimaan, onko rekisterinpitäjä toteuttanut rekisteröidyn pyynnön kokonaisuudessaan.
Rekisterinpitäjältä saatu selvitys
Rekisterinpitäjältä on pyydetty asiassa selvitystä 29.1.2025. Rekisterinpitäjä on vastannut selvityspyyntöön 19.2.2025.
Rekisteröity on alun perin työskennellyt yritys A:ssa. Rekisterinpitäjän, eli yritys B:n mukaan se on ostanut vuonna 2014 yritys A:n liiketoiminnan. Nyt tarkasteltavana olevassa tapauksessa rekisteröidyn pyyntö saada tutustua tietoihin kohdistuu osittain yritys A:n toiminnassa alun perin syntyneisiin tietoihin, jotka ovat sittemmin siirtyneet yritys B:lle yrityskaupan myötä.
Rekisterinpitäjän mukaan se on vastaanottanut rekisteröidyn pyynnön 4.4.2024 ja rekisteröidylle on toimitettu 8.4.2024 kaikki häntä koskevat tiedot, jotka rekisterinpitäjällä on. Rekisterinpitäjän mukaan toimitetut tiedot ovat sisältäneet työsopimuksen, poissaolotietoja, lääkärintodistuksia sekä palkanmaksutietoja. Rekisterinpitäjä on myös selvittänyt, että rekisteröidyn saatua rekisterinpitäjän vastauksen 8.4.2024, on rekisteröidyn kanssa vielä käyty sähköpostikeskustelua rekisteröityä koskevista tiedoista. Rekisterinpitäjän mukaan se on tässä yhteydessä käynyt läpi myös arkistonsa varmistaakseen, ettei rekisteröityä koskevia tietoja ole arkistoitu virheellisesti. Rekisterinpitäjän mukaan virheellisesti arkistoituja tietoja ei löytynyt, vaan rekisteröidylle on toimitettu kaikki rekisterinpitäjällä olevat häntä koskevat tiedot.
Tietosuojavaltuutetun toimisto on selvityspyynnössään pyytänyt rekisterinpitäjää täsmentämään erityisesti, onko sen hallussa rekisteröityä koskevia työterveysneuvottelumuistioita päivämääriltä 21.2.2012 ja 5.6.2012. Rekisterinpitäjän mukaan rekisteröityä koskevia työterveysneuvottelumuistioita ei ole siirtynyt sen haltuun yrityskaupan myötä. Rekisterinpitäjän mukaan sillä ei näin ollen ole hallussaan kyseisiä työterveysneuvottelumuistioita. Rekisterinpitäjä on lisäksi viitannut siihen, että henkilötietoja on sallittua säilyttää vain niin kauan, kuin se on tarpeen tietojen käsittelyn tarkoitusta varten.
Rekisteröidyn vastine
Asiassa ei ole pyydetty vastinetta rekisteröidyltä hallintolain (434/2003) 34 §:n 2 momentin 5 kohdan perusteella. Asianosaisen kuuleminen on hallintolain 34 §:n 2 momentin 5 kohdan mukaisesti ilmeisen tarpeetonta, sillä selvitysten hankkiminen ei muuttaisi asian ratkaisutapaa. Asia voidaan ratkaista sovellettavan lainsäädännön, vakiintuneen käytännön sekä tietosuojavaltuutetun toimiston tietoon saatetun rekisteröidyn vaatimuksen sekä rekisterinpitäjän vastauksen ja selvityksen perusteella.
Sovellettava lainsäädäntö
Henkilötietojen käsittelystä säädetään yleisessä tietosuoja-asetuksessa. Yleistä tietosuoja-asetusta täsmentää tietosuojalaki (1050/2018). Oikeudesta tutustua tietoihin säädetään yleisen tietosuoja-asetuksen 15 artiklassa. Oikeuden toteuttamisessa noudatettavasta menettelystä säädetään yleisen tietosuoja-asetuksen 12 artiklassa.
Yleisen tietosuoja-asetuksen 15 artiklan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkemmin luetellut muut tiedot henkilötietojen käsittelystä. Artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista.
Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin .
Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaan tietosuojavaltuutetun toimisto voi määrätä rekisterinpitäjän tai henkilötietojen käsittelijän noudattamaan rekisteröidyn pyyntöjä, jotka koskevat yleiseen tietosuoja-asetukseen perustuvien rekisteröidyn oikeuksien käyttöä.
Työntekijää koskevien henkilötietojen käsittelystä säädetään lisäksi laissa yksityisyyden suojasta työelämässä (759/2004, työelämän tietosuojalaki). Työelämän tietosuojalain 3 §:n mukaan työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Tarpeellisuusvaatimuksesta ei voida poiketa työntekijän suostumuksella.
Oikeudellinen kysymys
Asia arvioidaan ja ratkaistaan yleisen tietosuoja-asetuksen ja sitä täsmentävän ja täydentävän tietosuojalain pohjalta.
Asiassa on kysymys siitä, onko rekisterinpitäjä evännyt rekisteröidyn yleisen tietosuoja-asetuksen 15 artiklan nojalla esittämän pyynnön saada tutustua itseään koskeviin tietoihin ilman laissa säädettyä perustetta. Jos on, asiassa on arvioitava, tuleeko rekisterinpitäjälle antaa yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukainen määräys noudattaa rekisteröidyn pyyntöä saada tutustua tietoihin.
Tietosuojavaltuutetun toimiston päätös ja perustelut
Rekisteröidyn vaatimus hylätään. Rekisterinpitäjälle ei anneta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaista määräystä noudattaa rekisteröidyn pyyntöä.
Perustelut
Nyt tarkasteltavana olevassa tapauksessa rekisterinpitäjä on todennut toimittaneensa rekisteröidylle kaikki rekisterinpitäjän hallussa olevat häntä koskevat tiedot. Rekisterinpitäjän mukaan tiedot se on vastaanottanut rekisteröidyn pyynnön 4.4.2024 ja tiedot on toimitettu rekisteröidylle 8.4.2024. Rekisterinpitäjä ei ole selvityksensä mukaan kieltäytynyt antamasta rekisteröidylle jäljennöksiä häntä koskevista tiedoista.
Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamassaan selvityksessä yksilöinyt, mitä tietoja rekisteröidylle on toimitettu (työsopimus, poissaolotietoja, lääkärintodistuksia sekä palkanmaksutietoja). Rekisterinpitäjä on kertonut, että tiedot on toimitettu sähköpostitse turvapostina. Rekisterinpitäjä on myös selvittänyt, että rekisteröidyn saatua rekisterinpitäjän vastauksen 8.4.2024, rekisteröidyn kanssa on vielä käyty sähköpostikeskustelua rekisteröityä koskevista tiedoista. Tämän yhteydessä rekisterinpitäjä on kertomansa mukaan vielä tarkistanut työntekijöitään koskevista tiedoista, että rekisteröityä koskevia tietoja ei löydy virheellisesti arkistoituna.
Tietosuojavaltuutetun toimisto katsoo, ettei asiassa saatu selvitys ole antanut aihetta epäillä rekisterinpitäjän kertomusta siitä, että sillä olisi hallussaan muita rekisteröidyn pyytämiä asiakirjoja, kuin mitkä on jo toimitettu rekisteröidylle. Asiassa saadun selvityksen perusteella ei tietosuojavaltuutetun toimiston näkemyksen mukaan ole myöskään aihetta epäillä sitä, että rekisterinpitäjä olisi jättänyt luovuttamatta rekisteröidylle jäljennöksiä joistakin rekisterinpitäjän hallussa olevista rekisteröityä koskevista tiedoista. Tietosuojavaltuutetun toimisto katsoo, ettei rekisteröidyn tarkastusoikeutta ole näin ollen evätty, vaan rekisterinpitäjä on toteuttanut rekisteröidyn tarkastuspyynnön. Rekisterinpitäjälle ei voida antaa määräystä rekisteröidyn oikeudesta saada tutustua sellaisiin tietoihin, joita rekisterinpitäjällä ei ole hallussaan.
Rekisteröity on lisäksi katsonut, että häntä koskevien työterveysneuvottelumuistioiden säilyttäminen olisi laiminlyöty, koska työterveysneuvottelumuistioita päivämäärillä 21.2.2012 ja 5.6.2012 ei löydy rekisterinpitäjältä.
Asiassa on otettava huomioon, että rekisteröidyn pyytämät työterveysneuvottelumuistiot ovat työterveyspalveluntarjoajan asiassa TSV/3583/2023 antaman selvityksen mukaan laadittu vuonna 2012. Yleisesti ottaen voidaan todeta, että työterveysneuvotteluista laaditut muistiot ovat ensisijaisesti työnantajan asiakirjoja. Silloin, kun työterveysneuvottelumuistiolla voi olla hoidollista merkitystä, voi työterveysneuvottelumuistio olla tarpeen liittää myös työterveyspalveluntarjoajan ylläpitämiin potilasasiakirjoihin. Potilasasiakirjoja koskee sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annetussa laissa (703/2023) määritellyt säilytysajat. Työnantaja saa kuitenkin säilyttää työntekijää koskevia tietoja ainoastaan niin kauan kuin se työelämän tietosuojalain 3 §:n mukaan on tarpeellista.
Nyt tarkasteltavana olevassa tapauksessa rekisteröityä koskevien tietojen rekisterinpitäjyys on vaihtunut yrityskaupan myötä. Rekisterinpitäjän tietosuojavaltuutetun toimistolle antaman selvityksen mukaan sille ei ole siirtynyt rekisteröityä koskevia työterveysneuvottelumuistioita. Rekisterinpitäjä on lisäksi todennut, ettei sillä ole tietoa kyseisten työterveysneuvottelumuistioiden olemassaolosta.
Asiassa on kiinnitettävä erityisesti huomiota siihen, että ennen rekisterinpitäjyyden vaihtumista laaditut rekisteröidyn pyytämät työterveysneuvottelumuistiot on laadittu jo vuonna 2012. Yleisesti ottaen työnantajalla on oikeus käsitellä vain työntekijän työsuhteen kannalta tarpeellisia henkilötietoja. Lisäksi yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan nojalla henkilötietoja voidaan säilyttää vain niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tietosuojavaltuutetun toimisto katsoo, ettei asiassa saatu selvitys ole antanut aihetta epäillä myöskään rekisterinpitäjän kertomusta siitä, ettei rekisterinpitäjä ole saanut yrityskaupan myötä haltuunsa rekisteröityä koskevia työterveysneuvottelumuistioita. Näin ollen tarkasteltavana olevassa tapauksessa ei nämäkään seikat huomioon ottaen ole tietosuojavaltuutetun toimiston arvion mukaan perusteita käyttää korjaavia toimivaltuuksia.
Yllä kuvatuilla perusteilla asiassa ei ole perusteita määrätä tietoja luovutettavaksi rekisteröidylle. Rekisterinpitäjälle ei anneta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaista määräystä noudattaa rekisteröidyn pyyntöä.
Muutoksenhaku
Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen.
Valitusosoitus on liitteenä.
Tiedoksianto
Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.
Lisätietoja tästä päätöksestä antaa asian esittelijä
Lotta Nyman, lotta.nyman(at)om.fi
Päätöksen on antanut ratkaisija, ylitarkastaja Niina Nieminen.
Päätös ei ole lainvoimainen.