Millä perusteella henkilötietoja saa käsitellä?

Lyhyesti

Henkilötietoja saa käsitellä vain, jos käsittelylle on yleisen tietosuoja-asetuksen 6 artiklan mukainen oikeusperuste. Tavallisimmat perusteet työssä ovat suostumus, sopimus, lakisääteinen velvoite ja oikeutettu etu. Julkisella sektorilla perusteina ovat usein myös yleinen etu ja julkisen vallan käyttö. Peruste ei ole jälkikäteen annettava selitys. Se valitaan käsittelyn tarkoituksen mukaan, ja siitä kerrotaan rekisteröidylle.

Ensin pitää tunnistaa henkilötieto ja käsittely

Oikeusperustetta tarvitaan vasta, kun kyse on henkilötiedoista ja niiden käsittelystä.

Yleisen tietosuoja-asetuksen 4 artikla määrittelee henkilötiedot tiedoiksi, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Käytännössä henkilötieto voi olla esimerkiksi nimi, henkilötunnus, sijaintitieto tai verkkotunnistetieto. Ratkaisevaa on, voiko tiedon yhdistää ihmiseen suoraan tai epäsuorasti.

Sama artikla määrittelee käsittelyn hyvin laajasti. Käsittelyä ovat esimerkiksi tietojen kerääminen, tallentaminen, säilyttäminen, käyttö, luovuttaminen, muuttaminen, poistaminen ja tuhoaminen. Siksi käsittely ei tarkoita vain tietojen analysointia. Myös asiakaslistan säilyttäminen, työntekijätiedon hakeminen järjestelmästä tai tiedon poistaminen on käsittelyä.

Rekisterinpitäjä on taho, joka määrittelee käsittelyn tarkoitukset ja keinot. Se päättää, miksi tietoja käsitellään ja miten se tehdään. Henkilötietojen käsittelijä taas käsittelee tietoja rekisterinpitäjän lukuun. Tätä rajaa käsitellään tarkemmin artikkelissa Rekisterinpitäjä vai käsittelijä: milloin tarvitaan käsittelysopimus ja mitä 28 artikla vaatii.

Jos henkilötietoa ei tunnisteta henkilötiedoksi, oikeusperustetta ei voi arvioida oikein. Aihe jatkuu artikkelissa Mikä on henkilötieto ja milloin se lakkaa olemasta henkilötieto?.

Kuusi oikeusperustetta määrittävät, milloin käsittely on lainmukaista

Yleisen tietosuoja-asetuksen 6 artikla sanoo, että käsittely on lainmukaista vain, jos vähintään yksi artiklan edellytyksistä täyttyy. Artikla sisältää kuusi perustetta.

Oikeusperuste	Milloin se sopii asetuksen mukaan	Mitä työn arjessa pitää ymmärtää
Suostumus	Rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten.	Suostumus ei ole yleislupa kaikkeen käsittelyyn. Se koskee tiettyä tarkoitusta.
Sopimus	Käsittely on tarpeen sopimuksen täytäntöön panemiseksi tai sopimusta edeltäviin toimiin rekisteröidyn pyynnöstä.	Pelkkä sopimussuhde ei riitä. Tiedon pitää olla tarpeen sopimusta varten.
Lakisääteinen velvoite	Käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.	Perusteen taustalla pitää olla velvoite, joka koskee rekisterinpitäjää.
Elintärkeät edut	Käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi.	Tämä peruste koskee ihmisen elintärkeitä etuja. Se ei ole tavallinen hallinnon tai liiketoiminnan peruste.
Yleinen etu tai julkinen valta	Käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi.	Tämä on tärkeä peruste viranomaistehtävissä ja julkisen vallan käytössä.
Oikeutettu etu	Käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, elleivät rekisteröidyn edut tai oikeudet syrjäytä niitä.	Etu pitää tunnistaa. Lisäksi pitää arvioida rekisteröidyn asema ja oikeudet.

Oikeusperuste ei yksin riitä. Yleisen tietosuoja-asetuksen 5 artikla edellyttää myös käsittelyn periaatteiden noudattamista. Tietoja pitää käsitellä lainmukaisesti, asianmukaisesti ja läpinäkyvästi. Niitä saa kerätä tiettyä tarkoitusta varten. Tietoja pitää olla vain tarpeellinen määrä. Niiden pitää olla täsmällisiä, ja niitä saa säilyttää vain tarpeellisen ajan. Turvallisuudesta pitää huolehtia.

Näitä periaatteita käsitellään tarkemmin artikkelissa Mitä tietosuoja-asetuksen kuusi periaatetta tarkoittavat työssä?.

Suostumus on lupa tiettyyn tarkoitukseen, ei varmuuden vuoksi otettava varokeino

Suostumus on usein tunnetuin käsittelyperuste. Se ei silti ole aina paras tai oikea peruste.

Yleisen tietosuoja-asetuksen 4 artikla määrittelee suostumuksen vapaaehtoiseksi, yksilöidyksi, tietoiseksi ja yksiselitteiseksi tahdonilmaisuksi. Arkikielellä tämä tarkoittaa, että henkilö tietää, mihin hän suostuu, ja ilmaisee hyväksyntänsä selvästi.

Yleisen tietosuoja-asetuksen 13 ja 14 artiklan mukaan rekisteröidylle on kerrottava oikeudesta peruuttaa suostumus milloin tahansa, jos käsittely perustuu suostumukseen. Peruuttaminen ei tee aiemmasta käsittelystä lainvastaista, jos käsittely oli lainmukaista suostumuksen perusteella ennen peruuttamista.

Suostumus sopii huonosti tilanteeseen, jossa henkilöllä ei käytännössä ole aitoa vaihtoehtoa. Asetus edellyttää, että suostumus on vapaaehtoinen. Jos käsittely on pakollista lain tai sopimuksen vuoksi, peruste pitää yleensä etsiä muualta kuin suostumuksesta.

Suostumus vaikuttaa myös rekisteröidyn oikeuksiin. Yleisen tietosuoja-asetuksen 17 artiklan mukaan tietojen poistaminen voi tulla kyseeseen, jos rekisteröity peruuttaa suostumuksen eikä käsittelylle ole muuta laillista perustetta. Yleisen tietosuoja-asetuksen 20 artikla liittää tietojen siirto-oikeuden tilanteisiin, joissa käsittely perustuu suostumukseen tai sopimukseen ja käsittely tehdään automaattisesti.

Sopimus ja laki vastaavat eri kysymykseen

Sopimusperuste koskee tilannetta, jossa henkilötietojen käsittely on tarpeen sopimuksen täyttämiseksi. Sama peruste kattaa myös sopimusta edeltävät toimet, jos ne tehdään rekisteröidyn pyynnöstä.

Sopimus ei siis tarkoita, että kaikkia sopimussuhteessa syntyviä tietoja saa käsitellä mihin tahansa tarkoitukseen. Peruste liittyy siihen, mitä sopimuksen täyttäminen vaatii. Jos tarkoitus muuttuu, myös oikeusperuste pitää arvioida uudelleen.

Lakisääteinen velvoite on eri asia. Silloin rekisterinpitäjä käsittelee tietoja, koska sen pitää noudattaa sille kuuluvaa lakisääteistä velvoitetta. Yleisen tietosuoja-asetuksen 6 artiklan mukaan tämän perustan on oltava unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

Sama koskee yleistä etua ja julkisen vallan käyttöä. Myös niiden perustan pitää olla unionin oikeudessa tai jäsenvaltion lainsäädännössä. Tämä on erityisen tärkeää kunnissa ja muissa viranomaistehtävissä.

Jos organisaatio kerää henkilötiedot suoraan rekisteröidyltä, yleisen tietosuoja-asetuksen 13 artikla edellyttää, että rekisteröidylle kerrotaan käsittelyn tarkoitukset ja oikeusperuste. Jos tietoja ei saada rekisteröidyltä, vastaava velvoite tulee 14 artiklasta. Aihe jatkuu rekisteröidyn pyynnöissä artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Oikeutettu etu vaatii etujen punnintaa

Oikeutettu etu on käsittelyperuste, jossa rekisterinpitäjän tai kolmannen osapuolen etua verrataan rekisteröidyn etuihin, perusoikeuksiin ja vapauksiin. Yleisen tietosuoja-asetuksen 6 artikla rajaa perustetta. Rekisteröidyn edut tai oikeudet voivat syrjäyttää rekisterinpitäjän edun. Artikla nostaa erikseen esiin tilanteen, jossa rekisteröity on lapsi.

Tämä tarkoittaa, että oikeutettua etua ei voi käyttää pelkkänä mukavuusperusteena. Ensin täytyy tunnistaa etu. Sen jälkeen täytyy arvioida, miksi käsittely on tarpeen juuri tämän edun toteuttamiseksi. Lopuksi täytyy arvioida rekisteröidyn asema.

Yleisen tietosuoja-asetuksen 13 ja 14 artikla edellyttävät, että rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut kerrotaan rekisteröidylle, jos käsittely perustuu oikeutettuun etuun. Pelkkä maininta oikeutetusta edusta ei siis riitä. Rekisteröidyn täytyy saada tietää, mikä etu on kyseessä.

Tärkeä rajoitus koskee viranomaisia. Yleisen tietosuoja-asetuksen 6 artiklan mukaan oikeutettua etua koskevaa perustetta ei sovelleta tietojenkäsittelyyn, jota viranomaiset tekevät tehtäviensä yhteydessä. Kunnassa tämä ohjaa arvioinnin usein lakisääteiseen velvoitteeseen, yleiseen etuun tai julkisen vallan käyttöön.

Erityiset henkilötietoryhmät tarvitsevat vielä lisäperusteen

Kaikki henkilötiedot eivät ole samanlaisia. Yleisen tietosuoja-asetuksen 9 artikla koskee erityisiä henkilötietoryhmiä. Niitä ovat muun muassa tiedot, joista ilmenevät rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys. Artikla kattaa myös geneettiset tiedot, biometriset tiedot henkilön yksiselitteistä tunnistamista varten, terveystiedot sekä tiedot seksuaalisesta käyttäytymisestä ja seksuaalisesta suuntautumisesta.

9 artiklan lähtökohta on kielto. Näitä tietoja saa käsitellä vain, jos jokin artiklan poikkeuksista soveltuu. Poikkeuksia ovat esimerkiksi nimenomainen suostumus tiettyä tarkoitusta varten, tietyt työoikeuden ja sosiaaliturvan tilanteet, elintärkeät edut, oikeusvaateet sekä tietyt terveys- ja sosiaalihuollon tarkoitukset.

Tämä tarkoittaa, että 6 artiklan oikeusperuste ei yksin ratkaise erityisten henkilötietoryhmien käsittelyä. Ensin tarvitaan 6 artiklan mukainen peruste. Lisäksi tarvitaan 9 artiklan mukainen poikkeus. Jos kyse on terveystiedoista, arvio on siksi tiukempi kuin tavallisen yhteystiedon kohdalla.

Oikeusperuste pitää kertoa ja pystyä osoittamaan

Yleisen tietosuoja-asetuksen 5 artiklassa säädetään osoitusvelvollisuudesta. Rekisterinpitäjä vastaa periaatteiden noudattamisesta. Sen on myös pystyttävä osoittamaan, että periaatteita noudatetaan. Tämä koskee myös sitä, että käsittelylle on valittu oikea oikeusperuste.

Läpinäkyvyys näkyy käytännössä tiedonantovelvoitteissa. Yleisen tietosuoja-asetuksen 13 artikla koskee tilannetta, jossa tiedot kerätään rekisteröidyltä. 14 artikla koskee tilannetta, jossa tiedot saadaan muualta. Molemmissa artikloissa mainitaan käsittelyn tarkoitukset ja oikeusperuste.

Jos käsittelyn tarkoitus muuttuu myöhemmin, arvio ei voi perustua vain alkuperäiseen ilmoitukseen. Yleisen tietosuoja-asetuksen 6 artikla edellyttää yhteensopivuuden arviointia, jos tietoja aiotaan käsitellä muuhun tarkoitukseen eikä käsittely perustu suostumukseen tai lakiin. Arvioinnissa huomioidaan muun muassa alkuperäisen ja uuden tarkoituksen yhteys, tietojen keruun asiayhteys, tietojen luonne, seuraukset rekisteröidylle ja suojatoimet.

Oikeusperuste vaikuttaa myös siihen, miten organisaatio vastaa rekisteröidyn oikeuksiin. Yleisen tietosuoja-asetuksen 12 artiklan pääsääntö on, että pyyntöihin vastataan ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa. Sama artikla sallii määräajan jatkamisen enintään kahdella kuukaudella, jos pyyntöjen monimutkaisuus ja määrä sitä edellyttävät.

Jos käsittelyyn liittyy henkilötietojen tietoturvaloukkaus, oikeusperuste ei poista ilmoitusvelvollisuuksia. Yleisen tietosuoja-asetuksen 33 artikla edellyttää ilmoitusta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa ilmitulosta. Ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Tästä on lisää artikkelissa Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta.

Mitä oikeusperuste ei ratkaise

Oikeusperuste ei tee käsittelystä automaattisesti sallittua muilta osin. Käsittelyn pitää edelleen noudattaa yleisen tietosuoja-asetuksen 5 artiklan periaatteita. Tietoja ei saa kerätä varmuuden vuoksi, jos ne eivät ole tarpeellisia tarkoitukseen.

Oikeusperuste ei myöskään poista rekisteröidyn oikeuksia. Rekisteröidyllä voi olla oikeus saada pääsy tietoihin 15 artiklan perusteella. Hänellä voi olla oikeus tietojen oikaisuun 16 artiklan perusteella, tietojen poistamiseen 17 artiklan perusteella ja käsittelyn rajoittamiseen 18 artiklan perusteella. Hänellä voi olla myös oikeus siirtää tiedot järjestelmästä toiseen 20 artiklan perusteella. Oikeuden sisältö riippuu tilanteesta ja käsittelyn perusteesta.

Oikeusperustetta ei pidä valita sen mukaan, mikä kuulostaa helpoimmalta. Jos käsittely perustuu lakiin, suostumusta ei pidä esittää pääasiallisena perusteena. Jos käsittely perustuu oikeutettuun etuun, etu pitää pystyä nimeämään ja kertomaan rekisteröidylle. Jos kyse on viranomaisen tehtävästä, oikeutettua etua ei voi käyttää tämän tehtävän käsittelyn perusteena.

Avoimeksi voi jäädä myös se, mitä kansallinen lainsäädäntö täsmällisesti edellyttää tietyssä käsittelyssä. Yleisen tietosuoja-asetuksen 6 artikla sallii jäsenvaltioille yksityiskohtaisempia säännöksiä lakisääteisen velvoitteen, yleisen edun ja julkisen vallan käytön tilanteissa. Siksi organisaation pitää tunnistaa myös se laki, johon käsittely käytännössä perustuu.