Hammasklinikka on ja pysyy jokaisen laboratorioon lähetetyn potilastiedon rekisterinpitäjänä. Laboratorio puolestaan toimii tyypillisesti henkilötietojen käsittelijänä. Tämä perusjako määrittää kaiken muun: yleisen tietosuoja-asetuksen (GDPR) 28 artiklan mukaisen käsittelysopimuksen, tekniset suojaustoimet, tiukat määräajat tietoturvaloukkauksista ilmoittamiselle sekä skannausten säilytysajat. Jos yksikin näistä osa-alueista ontuu, kyseessä ei ole pelkkä hallinnollinen muotoseikka vaan suora lainsäädännöllinen riski.
Digitaaliset skannaustiedostot, potilaskuvat ja työmääräykset kuvaavat purentaa, hampaita ja leukoja, joten ne katsotaan arkaluonteisiksi terveystiedoiksi. GDPR:n 9 artikla kieltää tällaisten erityisten henkilötietoryhmien käsittelyn ilman erillistä poikkeusperustetta. Hoitosuhteessa sovelletaan 9 artiklan 2 kohdan h alakohtaa (terveydenhuollon poikkeus), joka edellyttää, että tietoja käsittelee salassapitovelvollinen ammattilainen tai että käsittely tapahtuu hänen vastuullaan. Koska laboratorion hammasteknikot toimivat klinikan ohjeistuksen alaisuudessa, lakisääteinen salassapitovelvollisuus on ulotettava heihin sitovasti ja kirjallisesti.
Kahdeksan kohdan tarkistuslista klinikan ja laboratorion tietovirroille
Tämän taulukon avulla arvioit klinikkasi ja laboratorion välisen tietosuojan tason kymmenessä minuutissa.
| Tarkistuskohde | Vastuutaho | Asianmukainen toteutus |
|---|---|---|
| Roolien määrittely | Klinikka ja laboratorio | Klinikka toimii rekisterinpitäjänä ja laboratorio käsittelijänä; roolit on kirjattu sopimukseen. |
| Käsittelysopimus (artikla 28) | Klinikka allekirjoittaa, laboratorio noudattaa | Sopimus kattaa toimeksiannon ohjeet, salassapidon, alihankintaketjun sekä tietojen hävittämisen tai palauttamisen. |
| Tietojen minimointi | Klinikka | Nimen tilalla käytetään tapauskoodia; syntymäaika ilmoitetaan vain, jos kojeen valmistus sitä ehdottomasti vaatii. |
| Suojattu tiedonsiirto | Molemmat | Aineisto siirretään salatun portaalin kautta – ei koskaan tavallisella sähköpostilla tai kuluttajatason pilvipalveluilla. |
| Alihankkijoiden luettelo | Laboratorio | Kaikki pilvi-, CAD- ja tekniset tukipalvelut on nimetty sijaintitietoineen. |
| Ilmoitusaika tietoturvaloukkauksissa | Molemmat | Sopimukseen on kirjattu käsittelijälle sitova ja nopea ilmoitusaika. |
| Säilytyssäännöt | Klinikka päättää | Skannauksille, kuville ja malleille on määritelty selkeä säilytysaika ja poistoprosessi. |
| Selosteet käsittelytoimista | Molemmat | Kumpikin osapuoli ylläpitää omaa dokumentaatiotaan käsittelytoimista. |
Kuka on rekisterinpitäjä ja kuka henkilötietojen käsittelijä?
Euroopan tietosuojaneuvoston (EDPB) mukaan rekisterinpitäjä on se osapuoli, joka päättää henkilötietojen käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä taas käsittelee tietoja ainoastaan rekisterinpitäjän lukuun eikä saa käyttää niitä omiin tarkoituksiinsa. Roolit määräytyvät aina tosiasiallisen toiminnan, eivät sopimuksessa käytettyjen nimikkeiden perusteella.
Käytännön tilaustyössä jako on yleensä selvä: Hammaslääkäri toteaa, että potilas tarvitsee retentiokojeen, ja määrittää sen rakenteen. Laboratorio tulostaa tai syvävetää kojeen suoraan työmääräyksen mukaisesti ja poistaa tiedostot valmistuksen jälkeen. Tämä on oppikirjaesimerkki käsittelijän roolista.
Rooliasetelma kuitenkin muuttuu välittömästi, jos laboratorio ryhtyy hyödyntämään saamiaan tietoja omassa toiminnassaan. Näin käy esimerkiksi silloin, jos skannauksia käytetään markkinoinnissa, suunnittelualgoritmien opettamisessa tai mallikirjaston luomisessa muille asiakkaille. Tällöin laboratoriosta tulee itsenäinen rekisterinpitäjä, joka tarvitsee toiminnalleen erillisen oikeusperusteen. Tämäntyyppinen toiminta on syytä kieltää sopimuksessa yksiselitteisesti.
Valvontaviranomaiset puuttuvat roolien hämärtymiseen herkästi. Esimerkiksi huhtikuussa 2026 Viron tietosuojavaltuutettu velvoitti hammasklinikan korjaamaan Invisalign-tapaustensa käsittelytapaa, koska vastuut kalvovalmistajan kanssa olivat jääneet epäselviksi ja potilaille annettu informaatio oli puutteellista. Viranomainen katsoi, että valmistaja toimi vähintäänkin yhteisrekisterinpitäjänä eikä pelkkänä käsittelijänä. Klinikan ja laboratorion kannattaakin sopia rooleista tarkasti ennen ensimmäisenkään työn tilaamista, ei vasta ongelmien ilmaannuttua.
Mitä 28 artiklan mukaisen käsittelysopimuksen tulee sisältää?
GDPR:n 28 artikla vaatii osapuolilta kirjallista käsittelysopimusta (DPA), joka voi olla myös sähköisessä muodossa. Asiakirjassa on määriteltävä käsittelyn kohde, kesto, luonne ja tarkoitus sekä käsiteltävät henkilötietotyypit ja rekisteröityjen ryhmät. Sopimuksen on velvoitettava laboratorio:
- käsittelemään tietoja ainoastaan klinikan antamien dokumentoitujen ohjeiden mukaisesti,
- varmistamaan, että kaikki tietoja käsittelevät työntekijät ovat sitoutuneet salassapitoon,
- huolehtimaan 32 artiklan mukaisista asianmukaisista tietoturvatoimista,
- käyttämään alihankkijoita vain klinikan etukäteen antamalla kirjallisella luvalla ja ilmoittamaan kaikista toimittajamuutoksista,
- avustamaan klinikkaa potilaiden rekisteröidyn oikeuksien toteuttamisessa (kuten tarkastus- ja poistopyynnöissä),
- poistamaan tai palauttamaan kaikki tiedot sopimussuhteen tai toimeksiannon päättyessä, ja
- sallimaan auditoinnit sekä tarjoamaan tarvittavat tiedot vaatimustenmukaisuuden osoittamiseksi.
Sopimuksesta kannattaa tarkistaa erityisen tarkasti alihankintaa koskevat ehdot. Jos laboratorio käyttää pilvitallennusta, etätukea hyödyntävää CAD-ohjelmistoa tai ulkoistaa 3D-tulostuksen, potilastiedot siirtyvät eteenpäin alihankintaketjussa. Mikäli sopimukseen sisältyy yleinen lupa alihankkijoiden käyttöön, klinikalla on aina oltava oikeus saada tieto muutoksista etukäteen sekä mahdollisuus vastustaa niitä.
Ovatko STL-tiedostot henkilötietoja?
Oikomishoidon STL-tiedostoja tulee poikkeuksetta käsitellä henkilötietoina. Tietosuoja-asetuksen piiriin kuuluvat kaikki tiedot, jotka liittyvät suoraan tai epäsuorasti tunnistettavissa olevaan luonnolliseen henkilöön. Tunnistettavuutta arvioidaan niiden keinojen mukaan, joita tietojen yhdistämiseen voidaan kohtuudella olettaa käytettävän. Vaikka pelkkä 3D-pintamalli ei aina sellaisenaan paljasta henkilöllisyyttä, tutkimukset ovat osoittaneet, että intraoraaliskannauksesta on mahdollista tunnistaa henkilö yksilöllisten anatomisten piirteiden perusteella. Kipsimallia puolestaan ei vastaavissa tulkinnoissa pidetä suoraan henkilötietona, vaikka molemmat kuuluvat potilasasiakirjoihin. Lisäksi digitaalisiin skannauksiin kytkeytyy käytännössä aina tiedostonimi, laitteen luomaa metatietoa tai työmääräys, jossa potilas mainitaan nimeltä.
Käsittelemme aihetta tarkemmin oppaassamme STL-tiedostot oikomisalalla: 3D-kolmioverkko (mesh) ei itsessään sisällä tunnistetietoja, joten arkistointijärjestelmän tehtävänä on liittää tiedosto oikeaan potilaskertomukseen. Tässä kohtaa pseudonymisointi osoittaa arvonsa.
Potilaan nimen korvaaminen tapauskoodilla pienentää tietosuojariskiä huomattavasti, ja EDPB kannustaa vahvasti tähän toimintatapaan. Pseudonymisointi ei kuitenkaan siirrä tietoja GDPR:n soveltamisalan ulkopuolelle. EDPB:n tammikuussa 2025 vahvistamien linjausten mukaisesti tiedot pysyvät henkilötietoina niin kauan kuin ne ovat lisätietojen avulla yhdistettävissä tiettyyn potilaaseen – vaikka koodiavain säilytettäisiin erillään. Käsittelysopimusta, suojaustoimia ja säilytysaikoja koskevat velvoitteet säilyvät siis ennallaan. Suurin käytännön hyöty näkyy vahinkotilanteissa: jos tiedosto tai sähköposti päätyy vääriin käsiin, sivullinen ei voi suoraan nähdä, kenen terveystiedoista on kyse.
Tietoturvatoimenpiteet, joita auditoinneissa vaaditaan
GDPR:n 32 artikla edellyttää riskejä vastaavia teknisiä ja organisatorisia toimenpiteitä: tietojen pseudonymisointia ja salausta, jatkuvaa luottamuksellisuutta ja eheyttä, kykyä palauttaa tietojen saatavuus vikatilanteissa sekä suojaustoimien säännöllistä testausta. Oikomislaboratorion arjessa tämä edellyttää seuraavia käytäntöjä:
- Tiedonsiirto ja vastaanotto: Tiedostot siirretään salatun asiakasportaalin kautta henkilökohtaisilla tunnuksilla. Työmääräyksiä ei lähetetä suojaamattomalla sähköpostilla yleisiin vastaanotto-osoitteisiin.
- Tuotantotilat: Suunnittelijoiden ja teknikoiden näytöillä näkyy vain tapauskoodi ja kojeen tyyppi, ei potilaan nimeä tai henkilötunnusta.
- Pääsynhallinta: Vain kyseisen kojeen valmistukseen osallistuvat henkilöt pääsevät käsiksi tiedostoihin. Työsuhteen päättyessä käyttöoikeudet katkaistaan välittömästi.
- Varmuuskopiointi: Varmuuskopiot pidetään salattuina, niiden palautus testataan säännöllisesti ja niihin sovelletaan samoja poistoaikoja kuin aktiiviseen tietokantaan.
- Testaus: Pääsyoikeuksien ajantasaisuus ja järjestelmien tietoturva tarkistetaan dokumentoidusti säännöllisin väliajoin.
Laadunhallintajärjestelmät luovat pohjan näiden vaatimusten täyttämiselle. Pohjoismaissa ja Baltiassa toimivat ammattilaboratoriot noudattavat usein lääkinnällisten laitteiden ISO 13485 -standardia, johon kuuluu saapuvan aineiston järjestelmällinen laadunvarmistus. Katsauksemme oikomislaboratorion laadunvalvonnasta kuvaa, mihin kohtaan prosessia tiedostojen vastaanottotarkastus asettuu. Juuri vastaanottovaiheessa on vaivatonta varmistaa, että saapuva tilaus sisältää ainoastaan tapauskoodin ilman turhia henkilötunnisteita.
Tietoturvaloukkauksesta ilmoittaminen: 72 tunnin määräaika
GDPR:n 33 artiklan mukaisesti rekisterinpitäjän on ilmoitettava henkilötietojen tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta, ellei loukkauksesta todennäköisesti aiheudu riskiä rekisteröityjen oikeuksille ja vapauksille. Määräajan ylittyessä viivästyksen syyt on perusteltava. Laboratorion on käsittelijänä ilmoitettava havaitsemastaan loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä.
Laissa ei ole asetettu käsittelijän ilmoitukselle kiinteää tuntirajaa, minkä vuoksi siitä on sovittava käsittelysopimuksessa. Yleinen ja suositeltava käytäntö on velvoittaa laboratorio ilmoittamaan loukkauksesta 24 tunnin kuluessa. Näin klinikalle jää riittävästi aikaa arvioida tapahtunutta, määrittää riskit ja laatia virallinen ilmoitus tietosuojavaltuutetulle 72 tunnin kokonaisajan puitteissa. Jos laboratorio viivyttelee ilmoituksen kanssa kaksi vuorokautta, klinikan mahdollisuudet toimia ajoissa vaarantuvat vakavasti.
Eroa havainnollistaa käytännön esimerkki: Helsinkiläinen klinikka tilaa kuukausittain 40 työtä tallinnalaiselta laboratoriolta. Laboratorion teknikko liittää skannaustiedoston ja työmääräyksen sähköpostiviestiin, joka lähtee vahingossa väärälle vastaanottajalle. Jos tilauksessa on käytetty tapauskoodia, ulkopuolinen näkee vain koodin, 3D-mallin ja kojetyypin. Ilman koodia näkyvissä ovat potilaan koko nimi ja henkilötiedot. Ensimmäisessä tilanteessa kyseessä on rajattu virhe, joka riskiarvion jälkeen voidaan katsoa vähäriskiseksi. Jälkimmäisessä tapauksessa kyseessä on arkaluonteisten terveystietojen vuoto, josta on tehtävä virallinen ilmoitus tietosuojavaltuutetulle. Itse inhimillinen erehdys on kummassakin sama, mutta seuraukset poikkeavat toisistaan täysin.
Pohjoismaiset tietosuojaviranomaiset suhtautuvat terveystietoihin ankarasti. Esimerkiksi Norjan tietosuojaviranomainen määräsi St. Olavs -sairaalalle 750 000 kruunun (noin 76 870 euron) sakon terveystietojen riittämättömistä suojaustoimista 32 artiklan perusteella. Käsittelijää ja tietoturvaa koskevat rikkomukset kuuluvat GDPR:n 83 artiklan 4 kohdan mukaisen alemman seuraamusmaksun piiriin (enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta). Vaikka Pohjoismaissa tai Baltiassa ei tiettävästi ole vielä määrätty sakkoja yksittäisille hammaslaboratorioille, viranomaisten tiukentuva linja koskee koko toimialaa.
Säilytysajat: kuinka kauan laboratorio saa säilyttää skannauksia?
GDPR:n säilytyksen rajoittamisen periaate velvoittaa poistamaan henkilötiedot heti, kun niitä ei enää tarvita siihen tarkoitukseen, jota varten ne kerättiin. Euroopan komission ohjeiden mukaan säilytysaikoja arvioitaessa on otettava huomioon lakisääteiset velvoitteet. Oikomislaboratoriossa törmää kaksi eri perusteista aikarajaa.
Ensimmäinen määräytyy lääkinnällisiä laitteita koskevan MDR-asetuksen mukaan. Yksilölliseen käyttöön valmistetuille laitteille laaditaan liitteen XIII mukainen vakuutus, jossa potilas yksilöidään nimen, koodin tai potilastunnuksen avulla. Valmistajan on säilytettävä tämä vakuutus vähintään 10 vuotta kojeen luovuttamisesta (implantoitavien laitteiden osalta 15 vuotta). Pelkkä numeerinen koodi täyttää MDR:n vaatimukset, mikä puoltaa osaltaan tapauskoodien käyttöä. Tämä 10 vuoden säilytysvelvoite koskee kuitenkin nimenomaan vaatimustenmukaisuusvakuutusta – ei kaikkia sen taustalla olevia skannauksia, valokuvia ja digitaalisia työtiedostoja. Perehdymme aiheeseen tarkemmin artikkelissamme oikomislaboratorion sääntelyvaatimuksista.
Toinen aikaraja liittyy laboratorion operatiiviseen toimintaan. Laboratoriot säilyttävät 3D-malleja usein siksi, että kadonneen retentiokojeen tilalle voitaisiin valmistaa nopeasti uusi tai kojetta voitaisiin muokata ilman uutta skannauskäyntiä. Vaikka tarve on ymmärrettävä, säilytysajan määrittelee aina rekisterinpitäjä eli klinikka, ei laboratorio. Klinikan on määritettävä säilytysaika, kirjattava se käsittelysopimukseen ja velvoitettava laboratorio tuhoamaan tai palauttamaan aineisto määräajan umpeuduttua. Digitaalisten potilasmallien säilyttämiselle ”varmuuden vuoksi” ilman takarajaa ei ole GDPR:n mukaista perustetta.
Kansainväliset tiedonsiirrot ja pilvipalvelut
Kun klinikka siirtää aineistoa toiseen EU- tai ETA-maahan (kuten Suomesta Viroon), tiedot pysyvät unionin sisällä, jolloin GDPR:n V luvun tiedonsiirtomekanismeja ei sovelleta suoraan toimeksiantoon. Piilevä riski liittyy kuitenkin laboratorion omaan alihankintaketjuun. Jos laboratorion käyttämä CAD-ohjelmisto, pilvipalvelu tai ohjelmistotuki toimii ETA-alueen ulkopuolelta ja pääsee käsiksi tiedostoihin, etäyhteys katsotaan tiedonsiirroksi kolmanteen maahan. EDPB:n ohjeistuksen mukaan näiden tiedonsiirtojen on täytettävä V luvun vaatimukset yleisten käsittelysääntöjen ohella.
Hyväksyttyjä tiedonsiirtoperusteita ovat Euroopan komission antama päätös tietosuojan riittävyydestä (kuten Yhdysvaltoihin sovellettava Data Privacy Framework -järjestely) tai komission mallisopimuslausekkeet (SCC), joiden liitteeksi on laadittava siirtoa koskeva vaikutustenarviointi (TIA). Schrems II -oikeuskäytännön mukaisesti tiedonsiirtäjän on selvitettävä kohdemaan viranomaisoikeudet ja otettava tarvittaessa käyttöön täydentäviä suojatoimia. Heinäkuussa 2026 EDPB kehotti komissiota arvioimaan Yhdysvaltain korkeimman oikeuden tuoreen linjauksen vaikutuksia Data Privacy Framework -sopimukseen, mutta järjestely on edelleen voimassa sellaisenaan. Klinikan kannattaa varmistaa laboratoriolta, mitä tiedonsiirtoperusteita sen ETA-alueen ulkopuoliset ohjelmistotoimittajat käyttävät ja toimivatko komission vakiolausekkeet toissijaisena oikeusperusteena.
Erityistilanteet ja poikkeukset
Seuraavissa tilanteissa tietosuojavaatimuksia tarkastellaan tavanomaisesta poikkeavasta näkökulmasta:
- Klinikan oma laboratorio tai konsernirakenne: Jos laboratorio toimii saman oikeushenkilön sisällä kuin klinikka, erillistä käsittelijäsuhdetta ei synny. Jos toimenpiteistä päättää useampi saman konsernin yhtiö yhdessä, kyse voi olla yhteisrekisterinpitäjyydestä, mikä vaatii GDPR:n 26 artiklan mukaisen sopimuksen.
- Laajamittainen tietojen käsittely: Tietosuojavastaavan nimeäminen on pakollista, jos ydintoimintaan kuuluu terveystietojen laajamittainen käsittely. Pienet klinikat tai paikalliset laboratoriot eivät yleensä ylitä tätä kynnystä, mutta kokonaisarviointi perustuu käsittelyn volyymiin ja kansallisiin suosituksiin. Laajamittainen terveystietojen käsittely vaatii poikkeuksetta tietosuojaa koskevan vaikutustenarvioinnin (DPIA).
- Seloste käsittelytoimista: GDPR:n poikkeus, joka vapauttaa alle 250 hengen yritykset pitämästä käsittelyselostetta, ei sovellu terveystietoja käsitteleviin organisaatioihin. Käsittelyseloste on siis laadittava työntekijämäärästä riippumatta.
- Kansallinen terveydenhuollon lainsäädäntö: Kansalliset säädökset, kuten Suomen asiakastietolaki ja Ruotsin Patientdatalagen, täydentävät GDPR:ää. Koska asetuksen 9 artiklan 4 kohta antaa jäsenmaille vapauden asettaa lisäehtoja terveystietojen käsittelylle, potilasasiakirjojen lakisääteiset säilytysajat on aina tarkistettava kansallisesta lainsäädännöstä ennen laboratorion säilytysaikojen määrittämistä.
Tämä artikkeli on yleisluonteinen katsaus eikä muodosta oikeudellista neuvontaa. Käsittelysopimukset ja tietosuojakäytännöt on aina syytä tarkistuttaa oman organisaation tietosuojavastaavalla tai juristilla.
Miten edetä käytännössä?
Käy nykyinen laboratoriosopimuksesi läpi tämän artikkelin kahdeksankohtaisen tarkistuslistan avulla. Tyypillisimmät puutteet liittyvät roolien epäselvyyteen, alihankkijoiden puutteelliseen listaamiseen, liian väljiin ilmoitusaikoihin sekä vanhentuneiden skannausten poistoprosessin puuttumiseen. Siirtyminen tapauskoodeihin ja salatun asiakasportaalin käyttöön tilausvaiheessa pienentää riskejä tehokkaammin kuin mikään yksittäinen ohjedokumentti.
Oppaamme klinikan ja laboratorion tiedonsiirrosta esittelee toimintatavat, joilla aineistot liikkuvat nopeasti, tietoturvallisesti ja ilman puutteita. Jos etsit kumppania, joka käyttää suojattua asiakasportaalia ja huolehtii tilausten järjestelmällisestä vastaanottotarkastuksesta, ota yhteyttä Nordicdensiin ja kysy, miten varmistamme töidesi vaatimustenmukaisen käsittelyn ja dokumentoinnin.
