Asiantuntija pohtii: Minkälaista sääntelyä on työtapaturma- ja ammattitautivakuutuksen toimeenpanossa tarvittavien tietojen käsittelystä?

Johdanto

Henkilötietojen salassapito ja tietosuoja ovat otsikoita, joihin törmää päivittäin uutisvirrassa. Parin viime vuoden aikana on puhuttu paljon myös generatiivisesta tekoälystä. Siihen liittyy kielimalliteknologia ja siinä raaka-aineena on data, tieto. Puhutaan myös datasääntelystä ja siitä, mitä tiedolla ja erityisesti henkilötiedoilla saa tehdä.

Meillä on ollut sovellettavana vuodesta 2018 Euroopan unionin yleinen tietosuoja-asetus, jossa lähtökohtana on henkilötietojen käyttämisen tiukka sääntely ja henkilötietojen käyttötarkoitussidonnaisuus. Käyttötarkoitussidonnaisuus tarkoittaa sitä, että henkilötietoja saa käyttää niihin tarkoituksiin, jotka ovat yhteensopivia alkuperäisen käyttötarkoituksen kanssa. EU:ssa on tulossa vielä lisää tekoälyä ja datan käyttöä koskevaa sääntelyä. Myös kansallisesti on sääntelyä sääntöihin pohjautuvan automaation käyttämisestä viranomaisen päätöksenteossa.

Työtapaturma- ja ammattitautivakuutuksen toimeenpanossa kertyy runsaasti dataa, tietoa. Sitä kertyy sekä työnantajan vakuuttamasta työstä että työntekijän korvausasian käsittelystä. Merkittävä osa tiedoista on henkilötietoja, joiden käyttö on erittäin säänneltyä, perustellusta syystä. Työtapaturma- ja ammattitautilaki sisältää säännökset siitä, mitä tietoja on oikeus saada ja kenelle tietoja voidaan antaa ja mitä tiedonantamiseen liittyviä velvoitteita eri tahoilla on. Tässä kirjoituksessa kerrotaan työtapaturma- ja ammattitautilain tietosuojasäännöksistä.

Nykyisen sääntelyn tausta

Työtapaturma- ja ammattitautiriskin vakuuttamista ja toteutuneen riskin eli työtapaturmien ja ammattitautien korvaamista sääntelee erityislakina työtapaturma- ja ammattitautilaki. Se tuli voimaan 2016. Nykyistä lakia edelsi vuonna 1948 säädetty tapaturmavakuutuslaki. Tapaturmavakuutuslain ensimmäiset kattavat tietosuojasäännökset säädettiin 2002 voimaantulleilla lainmuutoksilla. Laissa oli ollut aikaisemminkin säännöksiä tietojen saamisesta ja antamisesta, mutta vuosituhannen vaihteen lakimuutoksen taustalla olivat uusi perustuslakimme ja sen edellytykset sääntelyn tarkkuudelle sekä EU:n tietosuojadirektiivi ja sen johdosta säädetty uusi kansallinen henkilötietolaki. Sosiaali- ja terveysministeriön lainvalmistelujohdolla uudistettiin kaikkien sosiaalivakuutuslakien säännökset tietojen saamisesta ja antamisesta, melko lailla yhdenmukaisen mallin mukaisesti.

Kun tapaturmavakuutuslaki korvautui vuonna 2016 voimaantulleella työtapaturma- ja ammattitautilailla vanhan lain tietosuojasäännökset siirrettiin melko sellaisenaan uuteen lakiin. Lain kokonaisuudistus oli niin iso urakka, että tietosuojasäännösten systemaattinen läpikäynti ei ollut mahdollista eikä siihen myöskään nähty tarvetta. Kun EU:n tietosuoja-asetus tuli sovellettavaksi vuonna 2018, silloin tehtiin välttämättömät muutokset kansalliseen lainsäädäntöön, mukaan lukien työtapaturma- ja ammattitautilaki.

Työtapaturma- ja ammattitautilain tietojen saamista ja luovuttamista koskevat säännökset

Työtapaturma- ja ammattitautilain (jäljempänä TyTAL) henkilötietojen käsittelyyn liittyviä säännöksiä voidaan luokitella seuraavin vakuuttamisen elinkaaren mukaisen vaihein:

Vakuutuksen ottaminen ja hoitaminen

• työnantaja-vakuutuksenottajan velvollisuus antaa tietoja vakuutusyhtiölle TyTAL 159, 160, 162 §:t
• vakuutusyhtiön oikeus saada tietoja vakuutusasiaa varten TyTAL 167, 179, 252, 253, 254, 260 §:t
• työnantaja-vakuutuksenottajan oikeus saada tietoja TyTAL 169, 170, 251 §:t
• vakuutusyhtiön oikeus antaa tietoja työnantaja-vakuutuksenottajalle TyTAL 251 §
• viranomaisen oikeus saada tietoja TyTAL 180, 255, 267 §:t

Korvausasian käsittely

• työntekijän/edunsaajan velvollisuus antaa tietoja TyTAL 110, 112, 128, 129, 130, 131, 132, 133, 134 §:t
• työnantajan velvollisuus antaa tietoja vakuutuslaitokselle TyTAL 111, 113, 252, 252, 253, 254 §:t
• työntekijää hoitavan terveydenhuollon velvollisuus antaa tietoja korvausasiaa käsittelevälle vakuutuslaitokselle TyTAL 41, 44, 45, 112, 252, 266 §:t
• vakuutuslaitoksen oikeus saada tietoja eri tahoilta TyTAL 119, 252, 253 §:t
• vakuutuslaitoksen velvollisuus antaa tietoja työntekijälle TyTAL 115, 119, 124 §:t
• vakuutuslaitoksen oikeus antaa tietoja työnantajalle TyTAL 125, 139, 252 §:t
• vakuutuslaitoksen oikeus antaa tietoja eri tahoille TyTAL 42, 45, 47, 113, 123, 126, 139, 140, 141, 142, 142 a, 143, 255 §:t
• yksityisen terveydenhuollon ilmoitusvelvollisuus vahingoittuneelle TyTAL 45 §

Vakuutusyhtiön ja vakuutuslaitoksen oikeus käsitellä tietoja TyTAL 205, 207, 255 §:t

Vakuutusyhtiön ja vakuutuslaitoksen yhteistyö muiden vakuutusyhtiöiden ja viranomaisten kanssa TyTAL 255, 255 a, 256, 257, 258, 260 §:t

Tapaturmavakuutuskeskus ja sen lakisääteiset tehtävät TyTAL 7, 113, 153, 154, 177, 178, 183, 184, 209, 212, 213, 235, 236, 255, 255 a, 256, 257, 258, 259, 260, 262 §:t

Tapaturma-asiain korvauslautakunta TyTAL 123, 226, 228, 261 §:t

Salassapitovelvoitteet TyTAL 248, 249, 255 §:t

TyTAL:n tietosuojasäännöksiä eli henkilötietojen käsittelyyn liittyviä säännöksiä löytyy melkein lain kaikista eri osista. Usein velvollisuus tiedon antamiseen on kytketty itse toimimisvelvollisuuteen, esimerkiksi TyTAL 41 § julkisen terveydenhuollon ilmoitusvelvollisuudesta. Merkittävää tietosuojasääntelyssä on se, että tiedon luovuttamisesta säännellään niin sanotusti yhteen suuntaan: riittää, että yhdellä toimijalla on oikeus saada tietoja, ei tarvita sitä, että tietoa luovuttavalla toimijalla olisi myös velvollisuus luovuttaa tietoa. Jonkun tahon velvollisuudesta antaa tietoja seuraa toiselle osapuolelle oikeus saada tieto.

TyTAL 35 luku sisältää tietojen antamista, saamista ja salassapitoa koskevat erityiset säännökset. Tämä luku vastaa aika lailla edeltävästä laista siirrettyä sääntelyä. Kannattaa tosiaan huomata se, että tiedon saantiin oikeuttavia ja tiedon luovuttamiseen velvoittavia säännöksiä löytyy muultakin laista.

TyTAL:ssa ei ole nimenomaisesti säädetty vakuutusyhtiön oikeudesta käsitellä vakuutus- ja korvausasian henkilötietoja. Juridinen peruste henkilötietojen käsittelyyn tulee EU:n tietosuoja-asetuksen 6 artiklasta, jossa luetellaan yhtenä käsittelyperusteena lakisääteinen tehtävä. TyTAL 205 § määrittelee työtapaturma- ja ammattitautivakuutusta toimeenpanevat vakuutusyhtiöt – tämän säännöksen perusteella vakuutusyhtiön lakisääteisenä tehtävänä on myöntää työtapaturma- ja ammattitautivakuutuksia ja käsitellä korvausasiaa ja myös käsitellä toimeenpanoon liittyviä henkilötietoja.

Henkilötietojen sääntelyssä huomattavaa on se, että tietojen saamista ja luovuttamista säännellään monessa eri säädöksessä, sekä kansallisessa lainsäädännössä että esimerkiksi EU:n tietosuoja-asetuksessa. Henkilön oikeus omiin henkilötietoihinsa ja niitä koskevat oikeudet, muun muassa tarkastusoikeus, säännellään EU:n suoraan sovellettavassa tietosuoja-asetuksessa. Työtapaturman ja ammattitaudin korvauskäsittelyssä työntekijällä on tämä oikeus, vaikkei siitä ole erillistä säännöstä TyTAL:ssa. Työtapaturma- ja ammattitautilaki ei siten tyhjentävästi sääntele kaikkea vakuutuksen toimeenpanoon liittyvää tietosuojaa, vaan on muistettava myös muuhun sekä kansalliseen erityislainsäädäntöön että EU-lainsäädäntöön perustuva oikeus saada tietoja. Tässä kirjoituksessa ei käsitellä EU:n tietosuoja-asetuksen tai kansallisen tietosuojalain sisältöä.

TVK on antanut Työtapaturmatieto.fi palvelussa julkaistun ohjeen tietosuojasäännöksistä ”TyTAL ja tietosuoja – oikeus saada ja luovuttaa tietoja(Avaa uuden ikkunan)” 21.9.2020

Vakuuttamista koskevat tietosuojasäännökset TyTAL:ssa ja niitä koskevat ohjeet

Vakuuttamiseen liittyviä menettelytapoja ja tietosuoja-asioita käsitellään TVK:n vuosittain päivittämässä Vakuutuskäsikirjassa(Avaa uuden ikkunan), joka julkaistaan Työtapaturmatieto.fi palvelussa.

Lisäksi työnantajan tiedonsaantioikeuksista on laadittu TVK:n Työtapaturmatieto.fi palvelussa julkaistu Asiantuntija pohtii -kirjoitus ”Miksi vakuutusyhtiö ei voi aina luovuttaa vahingoittunutta työntekijää koskevaa salassa pidettävää henkilötietoa työnantajalle(Avaa uuden ikkunan)?”

Vakuutuksen siirtomenettelystä on erikseen Työtapaturmatieto.fi palvelussa julkaistu ohje ”Siirtomenettelyohjeet 2024(Avaa uuden ikkunan)” 10.1.2024

Korvaamista koskevat tietosuojasäännökset TyTAL:ssa ja niitä koskevat ohjeet

Työtapaturman ja ammattitaudin korvauskäsittelyyn kuuluu eri vaiheita:

• korvausasian vireilletulo ja työnantajan velvollisuus tehdä vahinkoilmoitus TyTAL 14 luku, pykälät 110, 111, 112 §:t
• terveydentilatietojen saaminen terveydenhuollon yksiköltä TyTAL 41, 44, 45, 112, 252, 266 §:t
• välttämättömien tietojen saaminen eri tahoilta – työnantaja, tulorekisteri, muut viranomaiset TyTAL 252 §
• päätöksen antaminen työntekijälle itselleen ja tarpeen mukaan eri päätöksen antaminen työnantajalle sekä täyskustannusmaksusta hoitosektorille TyTAL 124, 125, 126 §:t
• tiedon antaminen korvauspäätöksen mukaisista etuuksista laissa määritellyille tahoille, mm. Kela, sairauskassat, eläkelaitokset, muut viranomaiset TyTAL 139, 140, 141, 142, 142 a, 143 §:t
• korvauspäätöksen antamisen viivästyminen ja asian siirtäminen TVK:n käsiteltäväksi TyTAL 153 ja 154 §:t

TVK:n Työtapaturmatieto.fi palvelussa on julkaistu seuraavat korvaamista koskevat TVK:n tai tapaturma-asiain korvauslautakunnan antamat ohjeet, joihin sisältyy myös henkilötietojen saamiseen ja antamiseen liittyvää ohjeistusta:

Takon ohje ” Työtapaturma- ja ammattitautilaki voimaan 1.1.2016 – uudet asetukset korvauslautakunnasta ja lausunnon pyytämisestä(Avaa uuden ikkunan)” 21.12.2015

Takon ohje ” Terveydentilatietojen toimittaminen vakuutuslaitoksille työtapaturma- ja ammattitautiasioissa ja tiedoista maksettavat korvaukset(Avaa uuden ikkunan) ”17.2.2016

Takon ohje ”Muutoksenhaun menettelytavat(Avaa uuden ikkunan)” 4.2.2019

Takon ohje ” Ammattitautien käsittelyohje(Avaa uuden ikkunan) (2020)” 16.11.2020

Takon ohje ” Päätösten antaminen ja perusteleminen työtapaturma- ja ammattitautiasioissa(Avaa uuden ikkunan)” 25.9.2023

TVK:n ohje ” Takautumisoikeus työtapaturma- ja ammattitautivakuutuksessa”(Avaa uuden ikkunan) 27.2.2019

TVK:n ohje ” Digitaaliset palvelut, tiedonhallinta ja sähköinen käsittely TyTA-toimeenpanossa(Avaa uuden ikkunan)” 23.12.2019

TVK:n ohje ”Korvauskäsittelyn käytännesäännöt(Avaa uuden ikkunan)” 20.10.2022

TVK:n ohje ”Oikaisumenettely, päätöksen poistaminen ja takaisinperintä(Avaa uuden ikkunan)” 2.11.2022

Onko TyTAL:n sääntely ajantasalla?

Työtapaturma- ja ammattitautilain tietosuojasäännökset ovat oman aikansa eli vuosituhannen vaihteen tuotos. Silloin uudistettiin kaikkien sosiaalivakuutuslakien tiedon saamista ja antamista koskevat säännökset. Pääpaino oli nimenomaan säännellä salassapidettävien henkilö- ja liikesalaisuustietojen saamista ja antamista.

Esimerkiksi tietojen toissijaisista käyttötarkoituksista ei tehty sääntelyä vielä lainkaan. Sen aika tuli myöhemmin ja ensimmäisiä sääntelykohteita tietojen toissijaisessa käyttämisessä ovat olleet terveydentilatiedot.

Muutoinkin työtapaturma- ja ammattitautilain henkilötietojen saamista ja luovuttamista koskevat säännökset ovat hajallaan lain eri osissa ja usein ne liittyvät toimimisvelvollisuuteen. Ottaen huomioon nykyisen tietosuojasääntelyn tulkinnan tarkkuus ja yksityiskohtaisuus voi esittää kysymyksen, onko sääntely kaikilta osin seurannut aikaa, sekä säädösympäristön ja sen tulkinnan muutoksia.

Sosiaaliturvan ja työtapaturma- ja ammattitautivakuutuksen toimeenpanossa olisi tarpeen käynnistää selvitystyö myös siitä, tarvitaanko henkilötietojen käsittelystä nykyistä tarkempaa sääntelyä ottaen huomioon myös toissijaiset käyttötarkoitukset. Toissijaiset käyttötarkoitukset liittyvät esimerkiksi sosiaaliturvan toimeenpanotoiminnan johtamiseen, kehittämiseen ja valvontaan. Ne liittyvät myös tekoälyyn ja sen hyödyntämiseen.

Lyhyesti kirjoittajasta

Kirsi Pohjolainen työskentelee TVK:ssa laki- ja lainsäädäntöasioista vastaavana juristina. Työtapaturmavakuutuksen lakiasioiden parissa hän on tehnyt työtä vuodesta 1997. Asiantuntija kirjoituksia syntyy erilaisista työtapaturma- ja ammattitautivakuutuksen ajankohtaisista teemoista.