Mikä on henkilötieto ja milloin se lakkaa olemasta henkilötieto?

Lyhyesti

Henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Näin se määritellään yleisen tietosuoja-asetuksen 4 artiklassa. Erityinen henkilötietoryhmä on 9 artiklan suojaama tieto, kuten terveystieto, ammattiliiton jäsenyys tai poliittinen mielipide. Tieto lakkaa olemasta henkilötieto vasta, kun sitä ei voi enää yhdistää henkilöön suoraan eikä epäsuorasti.

Henkilötieto syntyy, kun tieto voi johtaa ihmiseen

Henkilötieto ei tarkoita vain nimeä tai henkilötunnusta. Se voi olla mikä tahansa tieto, joka liittyy ihmiseen.

Yleisen tietosuoja-asetuksen 4 artikla mainitsee tunnistamisen esimerkkeinä nimen, henkilötunnuksen, sijaintitiedon ja verkkotunnistetiedon. Sama artikla mainitsee myös fyysiset, fysiologiset, geneettiset, psyykkiset, taloudelliset, kulttuuriset ja sosiaaliset tekijät.

Arjessa tämä tarkoittaa kahta eri tilannetta.

Ensimmäisessä henkilö näkyy tiedosta suoraan. Nimi palkkalistassa, asiakkaan sähköpostiosoite tai oppilaan yhteystieto kertoo, kenestä on kyse.

Toisessa henkilö löytyy epäsuorasti. Asiakasnumero, työntekijätunnus tai laitteen verkkotunniste voi näyttää yksin neutraalilta. Se muuttuu henkilötiedoksi, jos organisaatio voi yhdistää sen ihmiseen toisen järjestelmän tai lisätiedon avulla.

Luonnollinen henkilö tarkoittaa ihmistä. Osakeyhtiön tai kunnan y-tunnus ei ole henkilötieto, mutta yksityisen elinkeinonharjoittajan y-tunnus voi olla, koska se johtaa yhteen ihmiseen. Yhteyshenkilön nimi, työpuhelin tai työrooli voi olla henkilötieto samasta syystä.

Henkilötietoja käsitellään aina, kun niille tehdään jotakin. Yleisen tietosuoja-asetuksen 4 artiklan mukaan käsittelyä ovat esimerkiksi kerääminen, tallentaminen, säilyttäminen, käyttö, luovuttaminen, poistaminen ja tuhoaminen. Tämä kattaa sekä järjestelmässä tehdyn työn että manuaalisen työn.

Siksi henkilötietojen tunnistaminen on ensimmäinen käytännön kysymys. Jos tieto on henkilötieto, mukaan tulevat käsittelyn periaatteet, oikeusperuste, informointi, rekisteröidyn oikeudet ja henkilötietojen tietoturvaloukkauksen käsittely.

Erityiset henkilötietoryhmät ovat arkaluonteisia tietoja, joita käsitellään vain poikkeuksin

Kaikki henkilötiedot eivät ole samanlaisia. Yleisen tietosuoja-asetuksen 9 artikla erottaa erityiset henkilötietoryhmät. Niitä suojataan tavallisia henkilötietoja tiukemmin.

9 artiklan lähtökohta on kielto. Käsittely on kiellettyä, jos tiedoista ilmenee tai ne koskevat seuraavia asioita:

Tietoryhmä	Arkinen esimerkki työssä
Rotu tai etninen alkuperä	tieto, josta tätä voidaan päätellä henkilöstä
Poliittiset mielipiteet	tieto puoluepoliittisesta kannasta
Uskonnollinen tai filosofinen vakaumus	tieto uskonnolliseen yhteisöön liittymisestä
Ammattiliiton jäsenyys	tieto jäsenmaksun perinnästä palkanlaskennassa
Geneettiset tiedot	biologisesta näytteestä saatu yksilöllinen terveystieto
Biometriset tiedot henkilön yksiselitteistä tunnistamista varten	teknisellä käsittelyllä saatu tunniste, kuten sormenjälkitieto
Terveyttä koskevat tiedot	sairauspoissaolon syy tai työkykytieto
Seksuaalinen käyttäytyminen tai suuntautuminen	henkilön yksityiselämään liittyvä tieto

Biometrisiin tietoihin liittyy tärkeä raja. Yleisen tietosuoja-asetuksen 4 artiklan mukaan biometriset tiedot ovat henkilötietoja, jotka on saatu teknisellä käsittelyllä. Ne liittyvät fyysisiin tai fysiologisiin ominaisuuksiin tai käyttäytymiseen. 9 artiklan tiukempi sääntö koskee biometristen tietojen käsittelyä henkilön yksiselitteistä tunnistamista varten.

Erityinen henkilötietoryhmä ei tarkoita, että tietoa ei saa koskaan käsitellä. 9 artiklassa on poikkeuksia. Poikkeus voi liittyä esimerkiksi nimenomaiseen suostumukseen, työoikeuden tai sosiaaliturvan velvoitteisiin, elintärkeisiin etuihin, oikeusvaateeseen, tärkeään yleiseen etuun, työterveyteen, terveydenhuoltoon, kansanterveyteen, arkistointiin, tutkimukseen tai tilastointiin.

Käytännön ero on tämä. Tavallisen henkilötiedon käsittelylle tarvitaan 6 artiklan mukainen oikeusperuste. Erityisen henkilötietoryhmän kohdalla tarvitaan myös 9 artiklan mukainen poikkeus kieltoon.

Pseudonymisointi vähentää tunnistamista, mutta ei yleensä poista henkilötiedon luonnetta

Pseudonymisointi tarkoittaa, että henkilötietoa käsitellään niin, ettei sitä voi yhdistää tiettyyn henkilöön ilman lisätietoja. Yleisen tietosuoja-asetuksen 4 artikla edellyttää myös, että lisätiedot säilytetään erillään. Niitä pitää suojata teknisillä ja organisatorisilla toimilla.

Arkinen esimerkki on koodattu aineisto. Nimi poistetaan, ja tilalle tulee koodi. Koodiavainta säilytetään erillään. Ilman avainta aineistoa lukeva henkilö ei näe nimeä.

Pseudonymisointi on silti henkilötietojen käsittelyä. Tämä näkyy jo 4 artiklan määritelmästä. Siinä pseudonymisointi määritellään henkilötietojen käsittelyksi. Jos lisätieto voi palauttaa yhteyden ihmiseen, tieto kuuluu edelleen tietosuojan piiriin.

Tämä on tärkeä ero päätöksenteossa. Pseudonymisoitu aineisto voi olla paremmin suojattu. Se voi silti tarvita oikeusperusteen, käyttötarkoituksen, säilytysajan ja muut tietosuojan perusratkaisut.

Salaus toimii tietosuojan kannalta samalla tavalla. Yleisen tietosuoja-asetuksen 34 artikla mainitsee salauksen suojatoimena. Sen avulla tieto voidaan muuttaa muotoon, jota luvaton henkilö ei ymmärrä. Jos rekisterinpitäjä voi palauttaa tiedon ymmärrettäväksi ja yhdistää sen ihmiseen, tieto on yhä henkilötieto.

Tieto lakkaa olemasta henkilötieto vasta, kun henkilöä ei voi enää tunnistaa

Kysymys ei ratkea sillä, onko nimi poistettu. Ratkaisevaa on, voiko ihmisen tunnistaa suoraan tai epäsuorasti.

Yleisen tietosuoja-asetuksen 4 artiklan määritelmä asettaa rajan. Jos tieto ei enää liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, se ei ole henkilötieto. Jos yhteys voidaan palauttaa tunnisteen, sijaintitiedon, verkkotunnisteen tai muun tekijän avulla, kyse on edelleen henkilötiedosta.

Esimerkiksi pelkkä nimen poistaminen asiakaslistasta ei riitä, jos asiakasnumero löytyy toisesta järjestelmästä. Myös lyhyt tekstikatkelma voi olla henkilötieto, jos siitä käy ilmi, kuka henkilö on.

Ryhmätilasto voi olla eri asia. Jos tieto kuvaa vain ryhmää eikä siitä voi tunnistaa yksittäistä ihmistä, se ei enää täytä henkilötiedon määritelmää. Silloin ratkaisee tunnistamisen mahdollisuus, ei taulukon muoto.

Yleisen tietosuoja-asetuksen 5 artikla liittyy samaan rajaan. Sen mukaan henkilötietoja saa säilyttää muodossa, josta rekisteröity on tunnistettavissa, vain niin kauan kuin se on tarpeen käsittelyn tarkoitusten toteuttamiseksi. Tätä kutsutaan säilytyksen rajoittamiseksi.

Poistaminen ei ole sama asia kuin se, että tieto lakkaa olemasta henkilötieto. 17 artikla antaa rekisteröidylle tietyissä tilanteissa oikeuden saada henkilötietonsa poistetuksi. Kun tieto poistetaan, sitä ei enää käsitellä. Jos tieto vain muutetaan tunnistamattomaksi, arvio kohdistuu siihen, voiko henkilöä enää tunnistaa.

Miksi rajan tunnistaminen vaikuttaa koko tietosuojatyöhön

Kun tieto on henkilötieto, siihen sovelletaan yleisen tietosuoja-asetuksen 5 artiklan periaatteita. Tietoa on käsiteltävä lainmukaisesti, asianmukaisesti ja läpinäkyvästi. Tiedot on kerättävä tiettyä tarkoitusta varten. Niitä saa olla vain tarpeellinen määrä. Niiden on oltava täsmällisiä. Niitä on säilytettävä rajatusti. Niitä on suojattava asianmukaisesti.

6 artikla lisää vaatimuksen oikeusperusteesta. Käsittely on lainmukaista vain, jos jokin artiklassa mainituista edellytyksistä täyttyy. Näitä ovat esimerkiksi suostumus, sopimus, lakisääteinen velvoite, elintärkeät edut, yleinen etu tai julkisen vallan käyttö sekä oikeutettu etu. Viranomaisten tehtävissä oikeutettu etu ei sovellu 6 artiklan mukaan.

13 ja 14 artikla koskevat informointia. Rekisteröidylle on kerrottava muun muassa rekisterinpitäjän tiedot, käsittelyn tarkoitukset, oikeusperuste, vastaanottajat ja säilytysaika tai sen määrittämiskriteerit. Jos tietoja ei saada rekisteröidyltä, 14 artikla sisältää myös määräajan. Tiedot on annettava kohtuullisen ajan kuluessa, mutta viimeistään kuukauden kuluessa henkilötietojen saamisesta.

12–20 artikla koskevat rekisteröidyn oikeuksia. Rekisteröity voi esimerkiksi pyytää pääsyä tietoihin, oikaisua, poistamista, käsittelyn rajoittamista ja tietojen siirtämistä järjestelmästä toiseen. Näistä käytännön tilanteista kerrotaan lisää artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

33 ja 34 artikla koskevat henkilötietojen tietoturvaloukkausta. Jos henkilötietoja tuhoutuu, häviää, muuttuu tai niitä luovutetaan luvatta tai niihin päästään luvatta, kyse voi olla henkilötietojen tietoturvaloukkauksesta. 33 artiklan mukaan rekisterinpitäjän on ilmoitettava valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus on tullut ilmi. Ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Tästä jatkaa artikkeli Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta.

Mitä määritelmä ei yksin ratkaise

Henkilötiedon määritelmä ei kerro, saako tietoa käsitellä. Se kertoo vasta, kuuluuko tieto yleisen tietosuoja-asetuksen piiriin. Sen jälkeen tarvitaan käsittelyn tarkoitus, oikeusperuste ja tarvittaessa 9 artiklan poikkeus.

Erityinen henkilötietoryhmä ei ole sama asia kuin kaikki luottamuksellinen tieto. Liikesalaisuus, budjettiluku tai tekninen suunnitelma voi olla luottamuksellinen ilman, että se on henkilötieto. Siitä tulee henkilötietoa, jos se liittyy tunnistettuun tai tunnistettavissa olevaan ihmiseen.

Julkinen tieto voi silti olla henkilötieto. Jos työntekijän nimi on verkkosivulla, se liittyy edelleen tunnistettuun ihmiseen. Julkisuus ei poista tietosuojan peruskysymyksiä.

Yleisen tietosuoja-asetuksen 4 artikla ei anna teknistä testiä sille, milloin tunnistaminen ei enää ole mahdollista. Siksi organisaation pitää arvioida omat järjestelmänsä, lisätietonsa ja tiedon yhdistämisen mahdollisuudet. Arvio voi muuttua, jos uutta lisätietoa tulee käyttöön.

9 artikla jättää myös tilaa kansallisille lisäehdoille. Sen mukaan jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön lisäehtoja geneettisten tietojen, biometristen tietojen tai terveystietojen käsittelyyn. Siksi erityisiä henkilötietoryhmiä koskeva työ ei pääty asetuksen yleissäännön lukemiseen.

Päätöksentekijän tarkistuslista henkilötiedon tunnistamiseen

Organisaatio voi tunnistaa henkilötiedot samoilla kysymyksillä jokaisessa palvelussa ja prosessissa.

• Liittyykö tieto ihmiseen eikä vain organisaatioon, laitteeseen tai asiaan?
• Näkyykö henkilö suoraan nimen, henkilötunnuksen tai yhteystiedon perusteella?
• Voiko henkilö löytyä epäsuorasti tunnisteen, sijainnin, verkkotunnisteen tai muun lisätiedon avulla?
• Onko tieto 9 artiklan erityistä henkilötietoryhmää?
• Onko tieto pseudonymisoitu, ja missä lisätieto säilytetään?
• Voiko tieto muuttua tunnistettavaksi, jos se yhdistetään toiseen järjestelmään?
• Onko määritelty, miksi tietoa kerätään ja kuinka kauan sitä säilytetään tunnistettavassa muodossa?
• Onko henkilöstö koulutettu tunnistamaan tavallinen henkilötieto, erityinen henkilötietoryhmä ja henkilötietojen tietoturvaloukkaus?

Tarkistuslista ei korvaa oikeusperusteen arviointia. Se auttaa löytämään tilanteet, joissa tietosuojasääntöjä aletaan soveltaa. Suurin riski syntyy usein juuri rajatapauksista. Tieto näyttää tekniseltä, mutta se voidaan yhdistää henkilöön. Tai tieto näyttää tavalliselta, mutta se paljastaa terveyden, vakaumuksen tai ammattiliiton jäsenyyden.