Vakuutusyhtiön oikeus saada potilastietoja ja tietojen keräämisen laajuus (liikennevakuutus), KHO kumosi Tietosuojavaltuutetun päätöksen

Kyseessä on liikennevakuutusta koskeva ratkaisu, jolla vaikutusta myös työtapaturma- ja ammattitautivakuutuksessa. KHO 2025:23, 26.03.2025 Tietosuoja – Henkilötietojen käsittelyä koskevat periaatteet – Tiedonsaantioikeus korvausasian ratkaisemista varten – Potilastiedot – Tietopyyntö – Tietojen luovuttaminen – Välttämättömyysarviointi Korkein hallinto-oikeus katsoi, ettei asiassa saadusta selvityksestä ollut ilmennyt, että Liikennevakuutuskeskus olisi järjestelmällisesti toiminut yleisen tietosuoja-asetuksen käsittelyn kohtuullisuutta, tietojen minimointia tai sisäänrakennettua ja oletusarvoista tietosuojaa koskevien säännösten vastaisesti hankkiessaan potilastietoja korvausasioiden ratkaisemiseksi. Hallinto-oikeuden päätöstä, jolla se oli kumonnut tietosuojavaltuutetun ja seuraamuskollegion päätökset, ei siten lopputulokseltaan muutettu. Asiassa oli tietosuojavaltuutetun ja Liikennevakuutuskeskuksen esittämien näkökohtien vuoksi kysymys myös siitä, millaisessa menettelyssä potilastietojen välttämättömyyttä käsiteltävänä olevan korvausasian ratkaisemiseksi arvioidaan. Korkein hallinto-oikeus totesi, että sekä potilastietoja pyydettäessä että niitä luovutettaessa on noudatettava yleisen tietosuoja-asetuksen henkilötietojen käsittelyä koskevia periaatteita ja liikennevakuutuslain tietojen välttämättömyyttä koskevaa vaatimusta. Tietopyyntö on perusteltava ja sen on oltava mahdollisimman yksilöity ja selvä, jotta tietoja luovuttava taho voi arvioida täyttyvätkö tietojen luovuttamisen edellytykset. Tietopyynnön kohteena olevalla taholla on tällöin myös mahdollisuus pyytää Liikennevakuutuskeskukselta täsmällisempää tietopyyntöä ja perusteluja pyynnölle, jotta se kykenee omalta osaltaan arvioimaan pyydettyjen tietojen rajausta yleisen tietosuoja-asetuksen ja liikennevakuutuslain sääntelyn kannalta.