Hallinto-oikeudelta päätös Yliopiston Apteekille määrätystä seuraamusmaksusta – lakiuudistus julkisen sektorin seuraamusmaksuista lisäisi yhdenmukaisuutta

Helsingin hallinto-oikeus on 1.6.2026 antanut ratkaisun tietosuojavaltuutetun toimiston Yliopiston Apteekkia koskevasta päätöksestä ja kumonnut apteekille määrätyn seuraamusmaksun. Hallinto-oikeus piti pääosin voimassa huomautuksen verkkoapteekin tietosuojapuutteista, mutta katsoi, että on epäselvää, voidaanko Yliopiston Apteekille ylipäätään määrätä hallinnollinen seuraamusmaksu. Tietosuojavaltuutettu toteaa, että lakimuutos lisäisi selkeyttä ja tasavertaisuutta yksityisen ja julkisen sektorin välillä.

Nykylainsäädännön mukaan seuraamusmaksua tietosuojalainsäädännön rikkomisesta ei voida määrätä julkisen sektorin toimijoille. Yliopiston Apteekin omistaa Helsingin yliopisto. Hallinto-oikeus kuitenkin toteaa, että Yliopiston Apteekki toimii samoilla kilpailluilla markkinoilla kuin yksityiset toimijat. Tietosuojavaltuutettu kiinnittää huomiota siihen, että yksityiselle apteekille tai esimerkiksi säätiöpohjalta toimivalle yliopistolle seuraamusmaksu voidaan määrätä.  

Eduskunta arvioi parhaillaan lakiehdotusta hallinnollisen seuraamusmaksun ulottamisesta myös julkishallinnon toimijoihin. 

”Seuraamusjärjestelmän uudistus toisi johdonmukaisuutta, tasavertaisuutta ja selkeyttä vastaavanlaisiin tilanteisiin organisaatiosta riippumatta. Se myös edistäisi turvallisten tietojärjestelmien kehittämistä julkishallinnossa. Julkisella sektorilla käsitellään usein ihmisten arkaluonteisimpia tietoja”, tietosuojavaltuutettu Anu Talus korostaa.

Apteekilla oli puutteita verkkoapteekin seurantapalvelujen turvallisuudessa

Tietosuojavaltuutetun toimisto havaitsi, että Yliopiston Apteekin verkkoapteekissa oli ollut tietosuojapuutteita vuosina 2018–2022. Verkkoapteekkiasioinnista syntyneitä henkilötietoja oli välitetty sivustolla käytettyjen seurantapalveluiden kautta Googlelle ja Metalle. Apteekille määrättiin 1,1 miljoonan euron seuraamusmaksu ja sille annettiin huomautus puutteista henkilötietojen turvallisessa käsittelyssä kesäkuussa 2025.