Lyhyt vastaus
Tietosuojavaltuutetun toimisto arvioi henkilötietojen käsittelyä kerroksittain. Ensin tunnistetaan henkilötieto, käsittelytoimi, rekisterinpitäjä ja todellinen käyttötarkoitus. Sen jälkeen tarvitaan GDPR:n 6 artiklan käsittelyperuste, ja terveystiedolle, biometriselle tunnisteelle tai muulle erityiselle henkilötietoryhmälle lisäksi 9 artiklan poikkeus. Perusteen olemassaolo ei vielä riitä: käsittelyn on täytettävä kohtuullisuuden, läpinäkyvyyden, käyttötarkoitussidonnaisuuden, minimoinnin, täsmällisyyden, säilytysajan ja turvallisuuden periaatteet. Rekisterinpitäjän on pystyttävä näyttämään tämä toteen.
Julkisesta rekisteristä saatu tieto ei ole vapaasti uudelleenkäytettävää. Luovutustapa, vastaanottajan peruste, uusi tarkoitus, rekisteröidyn kohtuulliset odotukset ja erityislaki arvioidaan erikseen. Sähköinen kuluttajamarkkinointi vaatii yleensä ennakkosuostumuksen, ja suoramarkkinointia on aina voitava vastustaa. Tutkimus ei ole yleispoikkeus, vaan tarvitsee aidon tutkimustarkoituksen, oikeusperusteen ja GDPR:n 89 artiklan suojatoimet. Biometrinen tunnistaminen kohtaa kaksinkertaisen 6 ja 9 artiklan testin, ja lasten etu sekä ymmärrettävä informointi nostavat suojaustasoa.
Tietoturvaloukkauksessa viranomaisilmoitus tehdään mahdollisuuksien mukaan 72 tunnissa, ellei loukkaus todennäköisesti aiheuta riskiä. Korkean riskin tapauksessa myös ihmisille ilmoitetaan viipymättä. Kaikki loukkaukset dokumentoidaan. Tietosuojavaltuutettu voi antaa ohjausta, määräyksen, käsittelykiellon, huomautuksen tai yksityiselle toimijalle seuraamuskollegion määräämän hallinnollisen seuraamusmaksun.
Arvioinnin runko: tarkoitus, peruste, periaatteet ja näyttö
ja sitä täydentävä eivät anna lupaa kerätä tietoa ensin ja keksiä tarkoitusta myöhemmin. Rekisterinpitäjän on ennen käsittelyä määriteltävä, mitä tehdään, miksi, kenestä, kuinka kauan ja kenen kanssa. Tämän jälkeen valitaan kuhunkin tarkoitukseen sopiva 6 artiklan peruste: suostumus, sopimus, lakisääteinen velvoite, elintärkeä etu, yleinen etu tai julkinen valta taikka oikeutettu etu.
Oikeutettu etu vaatii tarpeen sekä rekisterinpitäjän ja rekisteröidyn oikeuksien punninnan. Viranomainen ei voi vedota oikeutettuun etuun hoitaessaan tehtäväänsä. Suostumuksen on puolestaan oltava vapaaehtoinen, yksilöity, tietoinen, yksiselitteinen, osoitettavissa ja peruutettavissa yhtä helposti kuin se annettiin. Sopimusperuste kattaa vain sen, mikä on objektiivisesti tarpeen sovitun palvelun toteuttamiseksi, ei kaikkia liiketoiminnalle hyödyllisiä lisäkäyttöjä.
Jokaisen perusteen rinnalla sovelletaan :
Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu.
—
Osoitusvelvollisuus näkyy käytännössä tietosuojaselosteina, käsittelytoimien selosteena, sopimuksina, säilytysaikoina, oikeutetun edun punnintana, suostumuslokina, tietoturvakontrolleina ja tarvittaessa vaikutustenarviointina. Jälkikäteen laadittu yleinen muistio ei korvaa ennen käsittelyä tehtyä arviota.
Julkinen rekisteri ei merkitse vapaata jatkokäyttöä
Tietosuojalain 28 § säilyttää viranomaisen henkilörekisterin tietojen luovutuksessa julkisuuslain ja erityislakien säännöt. Julkisuus ratkaisee, saako tiedon tietyllä tavalla; GDPR ratkaisee samalla, miten vastaanottaja saa sitä henkilötietona käsitellä. Verkkohaku, massaluovutus, rajapinta, luottotietopalvelu ja yksittäisen asiakirjan nähtäväksi antaminen voivat siksi johtaa eri arvioon.
Apulaistietosuojavaltuutetun ratkaisussa Traficom oli luovuttanut liikenneasioiden rekisteristä tietoja perintäyhtiölle rekisteröidyn luovutuskielloista huolimatta. Viranomainen ei pystynyt osoittamaan GDPR:n 6 artiklan 1 kohdan e alakohdan mukaista perustetta mahdollisesti salassa pidettävien tai luovutuskiellon alaisten tietojen luovuttamiseen. Huomautus korostaa, että rekisterin julkinen tehtävä ja vastaanottajan hyödyllinen tarkoitus eivät yksin muodosta täsmällistä toimivaltaa.
Toinen raja koskee sananvapautta. hyväksyi sanomalehtien rajatut verokoneet ainoastaan journalistisessa tarkoituksessa tapahtuvaksi käsittelyksi. Arvio perustui aineiston journalistiseen valintaan, esittämistapaan ja yhteiskunnalliseen keskusteluun verotuksesta ja tulonjaosta. Ratkaisu ei tee kaikista julkisista verotiedoista vapaata markkinointi- tai profilointiaineistoa, vaan soveltaa tietosuojalain 27 §:n erityistä sananvapauspoikkeusta tosiseikkoihin.
Suoramarkkinointi: kanava ja henkilötietojen peruste ovat eri kysymyksiä
Suoramarkkinoijan on läpäistävä kaksi testiä. Henkilötietojen kerääminen, kohdentaminen, luovutus ja estolistan ylläpito tarvitsevat GDPR-perusteen sekä läpinäkyvän informaation. Viestin lähettämisen sallittavuus määräytyy lisäksi 200–203 §:n mukaan.
Lain 200 §:n pääsääntö luonnolliselle henkilölle on selvä:
sähköpostiviestien, tekstiviestien, puheviestien, ääniviestien tai kuvaviestien avulla toteutettua suoramarkkinointia saa kohdistaa vain sellaisiin luonnollisiin henkilöihin, jotka ovat antaneet siihen ennalta suostumuksensa.
—
Rajattu kanta-asiakaspoikkeus sallii myynnin yhteydessä saadun yhteystiedon käytön saman myyjän omiin samanlaisiin tuotteisiin, jos kieltäminen oli helppoa kerättäessä ja jokaisessa viestissä. Muu, esimerkiksi osoitteellinen postimarkkinointi on sallittua, kunnes henkilö kieltää sen. Yhteisölle saa markkinoida, jollei tämä kiellä, mutta henkilökohtainen työosoite voi silti olla henkilötieto ja viestin on liityttävä vastaanottajan tehtävään.
GDPR:n 21 artiklan mukaan suoramarkkinointia koskeva vastustus on ehdoton: sen jälkeen tietoja ei saa enää käyttää markkinointiin. Suppea estolistamerkintä voidaan säilyttää juuri kiellon noudattamiseksi. Ostettu osoitelista, julkinen osakasluettelo tai yhteystiedon löytyminen verkosta ei itsessään osoita ennakkosuostumusta tai oikeutettua jatkokäyttöä.
Tutkimus: aito tarkoitus ja suojatoimet
Suomessa tietosuojalain 4 § sallii yleiseen etuun perustuvan henkilötietojen käsittelyn, kun se on tarpeen tieteellistä tai historiallista tutkimusta tai tilastointia varten ja oikeasuhtaista tavoitteeseen nähden. Tämä on mahdollinen 6 artiklan peruste, ei automaattinen luokitus. Erityisille henkilötietoryhmille tarvitaan lisäksi tietosuojalain 6 §:n ja GDPR:n 9 artiklan mukainen poikkeus sekä erityiset suojatoimet.
Tietosuojavaltuutetun kannanotossa terveystietojen luovutus jäi hyväksymättä, koska aineistosta ei voitu varmistua hankkeen aidosti tieteellisestä päätavoitteesta, vastuullisen johtajan pätevyydestä eikä lainmukaisesta perusteesta. Ratkaisu on annettu ennen GDPR:n soveltamisen alkua, mutta sen käyttötarkoitusta koskeva perusopetus säilyy: kaupallista, hallinnollista tai yksilöpäätöksiin tähtäävää hanketta ei nimetä tutkimukseksi vain lupahakemuksessa.
Nykyisen tietosuojalain 31 § edellyttää tutkimussuunnitelmaa, vastuuhenkilöä tai -ryhmää sekä sitä, etteivät henkilökohtaiset tiedot paljastu ulkopuolisille. Pseudonymisointi, käyttöoikeuksien rajaus, salaus ja tulosten anonymisointi ovat tavallisia GDPR:n 89 artiklan suojatoimia. Jos 9 tai 10 artiklan tiedoista tehtävässä tutkimuksessa poiketaan tietyistä rekisteröidyn oikeuksista, tarvitaan vaikutustenarviointi tai hyväksytyt käytännesäännöt; vaikutustenarviointi toimitetaan tällöin kirjallisesti tietosuojavaltuutetulle ennen käsittelyä. Tämä ei ole yleinen ennakkolupa hankkeelle.
Biometriset tiedot: malli ja varmennuskin voivat olla henkilötietoa
Kasvokuva ei aina ole 9 artiklan biometrinen tieto. Erityissuoja syntyy, kun fyysisistä, fysiologisista tai käyttäytymisominaisuuksista tuotetaan erityisellä teknisellä käsittelyllä tieto henkilön yksiselitteistä tunnistamista tai henkilöllisyyden varmistamista varten. Tällöin rekisterinpitäjä tarvitsee sekä 6 artiklan perusteen että 9 artiklan 2 kohdan poikkeuksen. Pelkkä helppous, petosten yleinen ehkäisy tai käyttäjän suostumuspainike ei välttämättä osoita välttämättömyyttä.
Ratkaisussa kaupunki käytti oppilaiden sormenjälkimalleja uimahallirannekkeen varmentamiseen. Apulaistietosuojavaltuutettu painotti lasten erityistä suojaa, viranomaisen ja lapsen välistä epäsuhtaa suostumuksen vapaaehtoisuudessa, minimointia, vaikutustenarvioinnin arvioimista, rekisterinpitäjän ja laitetoimittajan vastuiden määrittelyä sekä kaikkien rannekkeiden ja lukijalaitteiden mallien todennettavaa tuhoamista. Se, ettei sormenjäljen kuvaa tallennettu tai mallia nimetty palvelussa, ei yksin poistanut tietosuojavelvoitteita.
Lasten tiedot: 13 vuotta on vain yhden suostumustilanteen raja
määrää:
lapsen henkilötietojen käsittely on lainmukaista, jos lapsi on vähintään 13-vuotias.
—
Lause koskee vain suostumukseen perustuvaa tietoyhteiskunnan palvelua, joka tarjotaan suoraan lapselle. Alle 13-vuotiaan suostumuksen antaa tai valtuuttaa huoltaja, ja palveluntarjoajan on kohtuullisin keinoin varmistettava asia. Ikäraja ei koske esimerkiksi koulun lakisääteistä opetustehtävää eikä tee 13-vuotiaan kaikesta profiloinnista, markkinoinnista tai biometrisestä tunnistamisesta sallittua.
Arvioinnissa painavat lapsen etu, kehitystaso, tietojen arkaluonteisuus, palvelun pakollisuus, vanhemman rooli ja odottamattomat myöhemmät käyttötarkoitukset. Selosteen ja suostumuspyynnön pitää olla lapselle ymmärrettävä. Lapsiin kohdistuva profilointi tai markkinointi vaatii erityistä varovaisuutta, ja korkean riskin käsittely voi edellyttää vaikutustenarviointia.
Tietoturvaloukkaus: riski ratkaisee ilmoituksen, dokumentointi koskee kaikkia
Tietoturvaloukkaus voi olla luottamuksellisuuden menetys, tiedon luvaton muuttaminen tai saatavuuden häiriö. Rekisterinpitäjä arvioi viipymättä vaikutuksen ihmisille. mukaan loukkauksesta ilmoitetaan tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnissa, paitsi jos siitä ei todennäköisesti aiheudu riskiä oikeuksille ja vapauksille. Myöhästymisen syy perustellaan, ja tietoja voidaan täydentää vaiheittain.
Jos riski on todennäköisesti korkea, 34 artikla vaatii selkeän ilmoituksen myös asianomaisille ilman aiheetonta viivytystä, jollei esimerkiksi tehokas salaus tai jälkitoimi ole poistanut korkeaa riskiä. Jokainen loukkaus dokumentoidaan, myös se, josta ei ilmoiteta. Käsittelijä ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä; vastuu viranomais- ja rekisteröityilmoituksesta säilyy rekisterinpitäjällä.
valvontaviranomainen totesi puutteita turvallisuudessa, sisäänrakennetussa tietosuojassa, vaikutustenarvioinnissa, loukkauksen dokumentoinnissa sekä viranomaiselle ja rekisteröidyille ilmoittamisessa. Seuraamuskollegio määräsi vakavista ja pitkäkestoisista eheyden, luottamuksellisuuden ja ilmoitusvelvollisuuksien rikkomisista 608 000 euron seuraamusmaksun. Tapaus osoittaa, ettei 72 tuntia ala vasta julkisuudesta tai täydellisestä teknisestä varmuudesta, vaan siitä, kun rekisterinpitäjä on tullut tietoiseksi henkilötietojen loukkauksesta.
Menettely tietosuojavaltuutetun toimistossa
Rekisteröity voi ensin pyytää rekisterinpitäjältä pääsyä, oikaisua, poistoa, rajoitusta tai vastustamisen toteuttamista ja tehdä tämän jälkeen kantelun. Toimisto pyytää selvityksen ja arvioi tosiseikat, toimivallan, EU:n mahdollisen rajat ylittävän yhteistyön, oikeusperusteet ja dokumentoidut suojatoimet. Se ei neuvontapuhelussa hyväksy suunniteltua käsittelyä etukäteen; poikkeuksena on GDPR:n 36 artiklan ennakkokuuleminen, jos vaikutustenarvioinnin jälkeen jää korkea riski, jota rekisterinpitäjä ei pysty lieventämään.
Tietosuojavaltuutettu tai apulaistietosuojavaltuutettu voi määrätä oikeuksien toteuttamisesta, käsittelyn oikaisemisesta tai poistamisesta, rajoittamisesta, kiellosta tai ilmoituksesta. Hallinnollisen seuraamusmaksun määrää kollegio. Suomen tietosuojalain 24 § rajaa seuraamusmaksun ulkopuolelle muun muassa valtion ja kuntien viranomaiset, mutta niille voidaan antaa huomautuksia ja sitovia määräyksiä, ja muut vastuun muodot säilyvät.
Johtopäätös
Tietosuojavaltuutetun arvioinnissa mikään tunnussana ei ratkaise asiaa yksin. Suostumus ei korvaa vapaaehtoisuutta, julkisuus ei anna yleistä jatkokäyttölupaa, tutkimus ei poista käyttötarkoitusta, pseudonymisointi ei välttämättä tee tiedosta anonyymiä eikä tietomurron selvittäminen pysäytä ilmoitusaikaa. Kestävä käsittely yhdistää täsmällisen tarkoituksen, oikean 6 artiklan perusteen, mahdollisen 9 artiklan poikkeuksen, erityislain, rekisteröidyn kohtuulliset odotukset, tehokkaat suojatoimet ja ajantasaisen dokumentoinnin. Tämä rakenne kannattaa rakentaa ennen tiedon keräämistä ja testata uudelleen aina tarkoituksen, aineiston, vastaanottajan tai teknologian muuttuessa.
Lähteet
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.