Mikä on lapsen suostumuksen ikäraja Suomessa?

Suomessa ikäraja on 13 vuotta. Raja koskee tilanteita, joissa henkilötietoja käsitellään suostumuksen perusteella ja lapselle tarjotaan suoraan tietosuojalain 5 §:ssä tarkoitettua tietoyhteiskunnan palvelua.

Tarvitaanko huoltajan suostumus aina, kun käsitellään lapsen henkilötietoja?

Ei. 13 vuoden ikäraja koskee vain käsittelyä, joka perustuu suostumukseen tietosuojalain 5 §:ssä tarkoitetussa tilanteessa. Jos käsittely perustuu esimerkiksi lakisääteiseen velvoitteeseen tai yleistä etua koskevaan tehtävään, tämä erityinen huoltajan suostumusta koskeva sääntö ei ratkaise, onko käsittely lainmukaista.

Voiko 13-vuotias antaa itse suostumuksen henkilötietojen käsittelyyn?

Kyllä. Suomessa 13-vuotias voi antaa suostumuksen itse, kun kyse on tietosuojalain 5 §:n tilanteesta: käsittely perustuu suostumukseen ja palvelu tarjotaan suoraan lapselle.

Mitä lapselle pitää kertoa ennen suostumusta?

Yleisen tietosuoja-asetuksen 12, 13 ja 14 artikla edellyttävät, että henkilötietojen käsittelystä annetaan selkeää tietoa. Lapselle pitää kertoa ymmärrettävästi ainakin, kuka on rekisterinpitäjä, mihin tarkoitukseen tietoja käsitellään ja mikä on käsittelyn oikeusperuste. Lisäksi hänelle pitää kertoa säilytysaika, oikeudet ja se, voiko suostumuksen peruuttaa.

Milloin lapsen henkilötietoihin tarvitaan huoltajan suostumus?

Q: Milloin huoltajan suostumus tarvitaan lapsen henkilötietojen käsittelyyn?

Huoltajan suostumus tai valtuutus tarvitaan, kun henkilötietojen käsittely perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaiseen suostumukseen. Lisäksi palvelu tarjotaan suoraan lapselle, ja lapsi on Suomessa alle 13-vuotias.

Suomessa ikäraja on 13 vuotta. Se koskee kuitenkin vain tiettyjä lapsille tarjottavia palveluja, joissa henkilötietojen käsittely perustuu suostumukseen.

Lyhyesti

Suomessa lapsen henkilötietojen käsittelyyn tarvitaan huoltajan suostumus tai valtuutus vain rajatussa tilanteessa. Näin on silloin, kun käsittely perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaiseen suostumukseen, palvelu tarjotaan suoraan lapselle ja lapsi on alle 13-vuotias. Tietosuojalain 5 § asettaa Suomen ikärajaksi 13 vuotta. Jos käsittely perustuu muuhun oikeusperusteeseen, kuten lakisääteiseen velvoitteeseen tai yleistä etua koskevaan tehtävään, huoltajan suostumusta koskevaa sääntöä ei sovelleta.

Suomen ikäraja on 13 vuotta tietyssä suostumustilanteessa

Yleisen tietosuoja-asetuksen 8 artikla antaa pääsäännön lapsen suostumuksesta. Sääntö koskee tilanteita, joissa tietoyhteiskunnan palvelua tarjotaan suoraan lapselle. Asetuksessa ikäraja on 16 vuotta. Sama artikla sallii jäsenvaltion säätää alemmasta iästä, mutta ei alle 13 vuoden.

Suomi on käyttänyt tätä mahdollisuutta. Tietosuojalain 5 §:n mukaan lapsen henkilötietojen käsittely on lainmukaista, jos lapsi on vähintään 13-vuotias. Tämä koskee tilanteita, joissa käsittely perustuu suostumukseen ja tietoyhteiskunnan palvelua tarjotaan suoraan lapselle.

Tässä yhteydessä huoltajalla tarkoitetaan henkilöä, jota yleisen tietosuoja-asetuksen 8 artikla kutsuu vanhempainvastuunkantajaksi.

Tilanne	Suomen sääntö
Lapsi on vähintään 13-vuotias, käsittely perustuu suostumukseen ja palvelu tarjotaan suoraan lapselle	Lapsi voi antaa suostumuksen itse tietosuojalain 5 §:n tilanteessa.
Lapsi on alle 13-vuotias samassa tilanteessa	Huoltajan suostumus tai valtuutus tarvitaan.
Käsittely ei perustu suostumukseen	13 vuoden ikäraja ei ratkaise käsittelyn lainmukaisuutta.
Palvelua ei tarjota suoraan lapselle	Tämä erityinen lapsen suostumusta koskeva sääntö ei yksin sovellu.

Käytännön ero on tärkeä. Organisaatio ei voi päätellä kaikesta lapsiin liittyvästä henkilötietojen käsittelystä, että huoltajan suostumus aina riittää tai aina tarvitaan. Ensin ratkaistaan käsittelyn oikeusperuste.

Huoltajan suostumusta tarvitaan vain, kun kaikki ehdot täyttyvät

Yleisen tietosuoja-asetuksen 8 artikla ja tietosuojalain 5 § toimivat yhdessä. Suomessa tarvitaan huoltajan suostumus tai valtuutus, kun kaikki seuraavat kohdat täyttyvät:

kyse on lapsen henkilötiedoista
organisaatio käsittelee henkilötietoja suostumuksen perusteella
suostumus on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukainen oikeusperuste
palvelu tarjotaan suoraan lapselle
lapsi on alle 13-vuotias

Henkilötieto tarkoittaa yleisen tietosuoja-asetuksen 4 artiklan mukaan tietoa, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Lapsen nimi, henkilötunnus, sijaintitieto ja verkkotunniste voivat siis olla henkilötietoja, jos lapsi voidaan tunnistaa niiden avulla.

Käsittely tarkoittaa samassa artiklassa monenlaista tekemistä henkilötiedoilla. Tietojen kerääminen, tallentaminen, käyttö, luovuttaminen, muuttaminen ja poistaminen ovat käsittelyä. Siksi ikäraja voi tulla vastaan jo lomakkeella, jossa lapselta pyydetään tietoja palvelun käyttöä varten.

Rekisterinpitäjä on taho, joka päättää henkilötietojen käsittelyn tarkoitukset ja keinot. Kunta, yritys tai yhdistys voi olla rekisterinpitäjä, jos se päättää, miksi lapsen tietoja kerätään ja miten niitä käytetään. Henkilötietojen käsittelijä taas käsittelee tietoja rekisterinpitäjän lukuun.

Lisää henkilötiedon tunnistamisesta löytyy artikkelista Mikä on henkilötieto ja milloin se lakkaa olemasta henkilötieto?.

Suostumus ei ole sama asia kuin mikä tahansa lupa

Yleisen tietosuoja-asetuksen 4 artiklan mukaan suostumus on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu. Arkikielellä tämä tarkoittaa, että henkilö ymmärtää, mihin hän suostuu. Suostumus ei voi olla epämääräinen yleislupa kaikkeen mahdolliseen käyttöön.

Jos käsittely perustuu suostumukseen, yleisen tietosuoja-asetuksen 13 ja 14 artiklat edellyttävät myös tietoa oikeudesta peruuttaa suostumus. Suostumuksen peruuttaminen ei tee aiemmasta käsittelystä automaattisesti lainvastaista, jos käsittely oli siihen asti lainmukaista suostumuksen perusteella. Samaa suostumusta ei kuitenkaan voi käyttää enää jatkossa.

Suostumus on vain yksi yleisen tietosuoja-asetuksen 6 artiklan oikeusperusteista. Muita perusteita ovat esimerkiksi sopimus, lakisääteinen velvoite, elintärkeät edut, yleistä etua koskeva tehtävä tai julkisen vallan käyttö sekä oikeutettu etu. Oikeutettu etu vaatii erityistä harkintaa, jos rekisteröity on lapsi. Viranomaiset eivät voi käyttää oikeutettua etua perusteena käsittelylle, jota ne tekevät tehtäviensä yhteydessä.

Jos henkilötieto kuuluu yleisen tietosuoja-asetuksen 9 artiklan erityisiin henkilötietoryhmiin, tilanne on tiukempi. Tällaisia tietoja ovat esimerkiksi terveystiedot, geneettiset tiedot ja biometriset tiedot henkilön yksiselitteistä tunnistamista varten. Artiklan lähtökohta on käsittelykielto, josta voi poiketa vain artiklassa mainituilla perusteilla.

Tietosuojan kuudesta periaatteesta on lisää artikkelissa Mitä tietosuoja-asetuksen kuusi periaatetta tarkoittavat työssä?.

Lapselle pitää kertoa käsittelystä ymmärrettävästi

Yleisen tietosuoja-asetuksen 12 artikla edellyttää, että rekisterinpitäjä antaa käsittelyä koskevat tiedot tiiviisti, läpinäkyvästi, helposti ymmärrettävästi ja selkeällä kielellä. Artikla korostaa tätä erityisesti silloin, kun tiedot on tarkoitettu lapselle.

Tämä on oma velvoitteensa. Se ei katoa, vaikka huoltaja antaisi suostumuksen. Lapsen pitää silti saada ymmärrettävä kuva siitä, mitä hänen tiedoilleen tehdään.

Yleisen tietosuoja-asetuksen 13 artikla koskee tilannetta, jossa henkilötiedot kerätään lapselta itseltään. Silloin kerrotaan muun muassa:

rekisterinpitäjän yhteystiedot
tietosuojavastaavan yhteystiedot, jos sellainen on
käsittelyn tarkoitukset
käsittelyn oikeusperuste
vastaanottajat tai vastaanottajaryhmät
säilytysaika tai sen määrittämiskriteerit
rekisteröidyn oikeudet
oikeus tehdä valitus valvontaviranomaiselle
tieto automaattisesta päätöksenteosta ja profiloinnista, jos niitä on

Yleisen tietosuoja-asetuksen 14 artikla koskee tilannetta, jossa henkilötietoja ei saada lapselta itseltään. Silloin kerrotaan myös, mistä henkilötiedot on saatu, jos artikla sitä edellyttää.

Lapsi on rekisteröity samalla tavalla kuin aikuinen. Rekisteröidyllä on oikeus saada pääsy tietoihin, pyytää oikaisua, pyytää poistamista ja pyytää käsittelyn rajoittamista. Tietyissä tilanteissa hänellä on myös oikeus siirtää tiedot järjestelmästä toiseen. Yleisen tietosuoja-asetuksen 12 artiklan mukaan pyyntöön vastataan ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan jatkaa enintään kahdella kuukaudella, jos pyynnöt ovat monimutkaisia tai niitä on paljon.

Rekisteröidyn oikeuksista on lisää artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Rekisterinpitäjän pitää tarkistaa huoltajan suostumus kohtuullisesti

Yleisen tietosuoja-asetuksen 8 artikla ei tarkoita, että organisaatio voi vain ilmoittaa tarvitsevansa huoltajan suostumuksen. Artiklan mukaan rekisterinpitäjän pitää tehdä kohtuulliset toimet, joilla se tarkistaa huoltajan antaneen suostumuksen tai valtuutuksen. Tarkistuksessa otetaan huomioon käytettävissä oleva tekniikka.

Säädös ei määrää yhtä pakollista menetelmää. Se jättää rekisterinpitäjän arvioitavaksi, mikä kyseisessä palvelussa on kohtuullista. Arvioon vaikuttaa, mitä tietoja käsitellään, mihin niitä käytetään ja millainen riski käsittelystä voi aiheutua lapselle.

Yleisen tietosuoja-asetuksen 5 artikla lisää tähän osoitusvelvollisuuden. Rekisterinpitäjä vastaa periaatteiden noudattamisesta ja sen pitää pystyä osoittamaan noudattaminen. Siksi organisaation päätökset oikeusperusteesta, ikärajasta, huoltajan suostumuksesta ja lapselle annettavasta tiedosta eivät ole vain juristin muistioita. Ne ovat osa näyttöä siitä, että käsittely on suunniteltu oikein.

Jos henkilötietojen tietoturvaloukkaus tapahtuu, yleisen tietosuoja-asetuksen 33 artikla edellyttää ilmoitusta valvontaviranomaiselle ilman aiheetonta viivytystä. Ilmoitus pitää tehdä mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus on tullut ilmi. Ilmoitusta ei vaadita, jos loukkauksesta ei todennäköisesti aiheudu riskiä ihmisten oikeuksille ja vapauksille. Lapsiin liittyvissä palveluissa nopea tunnistaminen ja sisäinen ilmoittaminen ovat siksi käytännössä tärkeitä.

Aihe jatkuu artikkelissa Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta.

Milloin 13 vuoden sääntö ei ratkaise asiaa

13 vuoden ikäraja ei ole yleinen vastaus kaikkeen lapsen tietosuojaan. Se koskee vain tietosuojalain 5 §:ssä rajattua tilannetta. Organisaatio voi silti käsitellä lapsen henkilötietoja muulla yleisen tietosuoja-asetuksen 6 artiklan mukaisella oikeusperusteella, jos peruste sopii tilanteeseen.

Tässä syntyy usein virhe. Huoltajan suostumusta ei pidä lisätä varmuuden vuoksi kaikkeen lapsia koskevaan käsittelyyn. Jos käsittely perustuu lakisääteiseen velvoitteeseen, suostumus ei ole käsittelyn varsinainen oikeusperuste. Jos käsittely perustuu yleistä etua koskevaan tehtävään tai julkisen vallan käyttöön, perustan on oltava unionin oikeudessa tai jäsenvaltion lainsäädännössä yleisen tietosuoja-asetuksen 6 artiklan mukaan.

Yleisen tietosuoja-asetuksen 8 artikla ei myöskään muuta yleistä sopimusoikeutta. Artiklan mukaan se ei vaikuta jäsenvaltioiden yleiseen sopimusoikeuteen. Tällaisia ovat esimerkiksi säännöt sopimuksen pätevyydestä, tekemisestä tai vaikutuksista suhteessa lapseen. Henkilötietojen käsittelyn suostumus ja sopimuksen pätevyys ovat siis eri asioita.

Ikäraja ei myöskään poista muita tietosuojaperiaatteita. Henkilötietoja pitää käsitellä lainmukaisesti, läpinäkyvästi ja tiettyä tarkoitusta varten. Tietoja pitää kerätä vain tarpeellinen määrä. Tietojen pitää olla täsmällisiä, säilytysajan rajattu ja turvallisuuden asianmukaista.

Päätös alkaa oikeusperusteesta, ei lomakkeen ikäkysymyksestä

Kun organisaatio suunnittelee lapsille tarjottavaa palvelua, ensimmäinen ratkaiseva kysymys on oikeusperuste. Jos oikeusperuste on suostumus, seuraavaksi arvioidaan tietosuojalain 5 §:n ikäraja. Jos lapsi on alle 13-vuotias, tarvitaan huoltajan suostumus tai valtuutus.

Jos oikeusperuste on jokin muu, suostumuksen ikäraja ei yleensä ratkaise asiaa. Silloin arvioidaan, täyttyvätkö valitun oikeusperusteen edellytykset. Lisäksi arvioidaan, saako lapsi ymmärrettävät tiedot käsittelystä.

Työssä tämä näkyy usein näin:

markkinointi, palvelun käyttö ja yhteydenpito voivat olla eri käsittelytarkoituksia
jokaiselle tarkoitukselle tarvitaan oma oikeusperuste
lapselle annettu tietosuojateksti ei saa olla aikuisten sopimustekstin kopio
huoltajan rooli pitää kuvata, jos lapsi on alle 13-vuotias suostumustilanteessa
peruutus, poistopyyntö ja oikaisupyyntö pitää pystyä käsittelemään

Lapsen henkilötietojen käsittelyssä ikäraja on siis vain yksi osa päätöstä. Sen rinnalla kulkevat oikeusperuste, selkeä informointi, rekisteröidyn oikeudet, tietojen minimointi ja osoitusvelvollisuus.