Mitä Suomen tietosuojalaki lisää tietosuoja-asetukseen?

Lyhyesti

Suomen tietosuojalaki täydentää yleistä tietosuoja-asetusta niissä kohdissa, joissa kansallinen laki saa täsmentää sääntöjä. Tietosuojalain 5 § asettaa Suomessa 13 vuoden ikärajan lapsen omalle suostumukselle tietyissä suoraan lapselle tarjotuissa palveluissa. Tietosuojalain 4 § täsmentää yleisen edun ja viranomaisen tehtävän perusteella tehtävää käsittelyä. Henkilötunnuksen osalta yleisen tietosuoja-asetuksen 4 artikla kertoo, että henkilötunnus on tunnistetieto, mutta tässä käsitellyt tietosuojalain kohdat eivät tee siitä ikärajan kaltaista erillistä lisäsääntöä.

Tietosuojalaki täydentää asetusta, mutta ei korvaa sitä

Yleinen tietosuoja-asetus antaa perussäännöt henkilötietojen käsittelyyn. Se määrittelee henkilötiedon, käsittelyn, rekisterinpitäjän ja henkilötietojen käsittelijän. Se säätää myös käsittelyn periaatteista, oikeusperusteista, rekisteröidyn oikeuksista ja henkilötietojen tietoturvaloukkauksista.

Rekisterinpitäjä on taho, joka päättää henkilötietojen käsittelyn tarkoituksen ja keinot. Kunta voi olla rekisterinpitäjä asiakasrekisterissä. Yritys voi olla rekisterinpitäjä henkilöstörekisterissä. Henkilötietojen käsittelijä taas käsittelee tietoja rekisterinpitäjän lukuun.

Yleisen tietosuoja-asetuksen 6 artikla antaa käsittelyn oikeusperusteet. Näitä ovat esimerkiksi suostumus, sopimus, lakisääteinen velvoite, yleistä etua koskeva tehtävä ja oikeutettu etu. Sama artikla sallii jäsenvaltion tarkentaa sääntöjä, kun käsittely perustuu lakisääteiseen velvoitteeseen tai yleistä etua koskevaan tehtävään.

Suomen tietosuojalaki toimii juuri tässä roolissa. Se ei avaa kaikkia henkilötietoja vapaaseen käyttöön. Se täsmentää tiettyjä tilanteita Suomessa.

Käytännön ero on tämä:

Kysymys	Pääsääntö tulee	Suomen lisäys tässä aiheessa
Mikä on henkilötieto?	Yleisen tietosuoja-asetuksen 4 artikla	Henkilötunnus näkyy asetuksen tunnistetietojen esimerkeissä
Milloin käsittely on lainmukaista?	Yleisen tietosuoja-asetuksen 6 artikla	Tietosuojalain 4 § täsmentää yleisen edun käsittelyä
Milloin lapsi voi antaa suostumuksen?	Yleisen tietosuoja-asetuksen suostumussäännöt	Tietosuojalain 5 § asettaa 13 vuoden ikärajan tietyssä tilanteessa
Miten erityisiä tietoja saa käsitellä?	Yleisen tietosuoja-asetuksen 9 artikla	Tietosuojalain 6 § säätää kansallisia tilanteita ja suojaavia toimia

Henkilötunnus on tunnistetieto, joten se on henkilötieto

Yleisen tietosuoja-asetuksen 4 artiklassa henkilötieto määritellään laajasti. Henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Sama kohta mainitsee henkilötunnuksen yhtenä tunnistetietona.

Arjessa tämä tarkoittaa, että henkilötunnus ei ole pelkkä tekninen numero. Se liittyy suoraan henkilöön. Kun organisaatio kerää, tallentaa, hakee, lähettää tai poistaa henkilötunnuksia, se käsittelee henkilötietoja.

Yleisen tietosuoja-asetuksen 5 artiklan periaatteet koskevat myös henkilötunnusta. Käsittelyn pitää olla lainmukaista, asianmukaista ja läpinäkyvää. Tietojen pitää rajautua siihen, mikä on tarpeellista. Tiedoilla pitää olla määritelty käyttötarkoitus.

Henkilötunnusta ei kuitenkaan mainita yleisen tietosuoja-asetuksen 9 artiklan erityisten henkilötietoryhmien luettelossa. Artikla koskee esimerkiksi terveystietoja, ammattiliiton jäsenyyttä, geneettisiä tietoja ja biometrisiä tietoja henkilön yksiselitteistä tunnistamista varten.

Tästä seuraa tärkeä käytännön ero. Henkilötunnus on suojattava henkilötieto. Se ei näiden lähteiden perusteella ole sama asia kuin erityinen henkilötietoryhmä. Jos organisaation työssä pitää erottaa tavallinen henkilötieto erityisestä henkilötietoryhmästä, henkilötunnus kuuluu ensin henkilötiedon tunnistamisen perusosaamiseen. Aihe jatkuu artikkelissa Mikä on henkilötieto ja milloin se lakkaa olemasta henkilötieto?.

13 vuoden ikäraja koskee lapsen suostumusta tietyssä palvelussa

Tietosuojalain 5 §:ssä säädetään Suomessa sovellettavasta ikärajasta. Säännös koskee tilannetta, jossa henkilötietoja käsitellään yleisen tietosuoja-asetuksen 6 artiklan suostumusperusteella. Lisäksi kyseessä on oltava tietoyhteiskunnan palvelu, jota tarjotaan suoraan lapselle.

Tässä tilanteessa lapsen henkilötietojen käsittely on lainmukaista, jos lapsi on vähintään 13-vuotias. Ikäraja tulee suoraan tietosuojalain 5 §:stä.

Tämä ei tarkoita, että 13 vuoden ikäraja ratkaisisi kaiken lasten henkilötietojen käsittelyn. Säännös koskee suostumusta ja suoraan lapselle tarjottua palvelua. Jos käsittely perustuu muuhun yleisen tietosuoja-asetuksen 6 artiklan oikeusperusteeseen, sama ikärajasääntö ei yksin ratkaise käsittelyn lainmukaisuutta.

Kunnassa tämä ero voi näkyä esimerkiksi niin, että lapsiin liittyviä tietoja käsitellään eri tehtävissä eri perusteilla. Yrityksessä ero voi näkyä lapsille suunnatussa palvelussa, jossa suostumus on valittu käsittelyn perusteeksi. Tällöin ikärajaa arvioidaan juuri suostumuksen näkökulmasta.

Lasten tietojen käsittelyn suostumuskysymystä käsitellään lisää artikkelissa Milloin lapsen henkilötietoihin tarvitaan huoltajan suostumus?.

Viranomaisen käsittelyssä korostuvat yleinen etu, tehtävä ja oikeasuhtaisuus

Yleisen tietosuoja-asetuksen 6 artikla sisältää perusteen, jossa käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi. Sama artikla sanoo myös, että oikeutettu etu ei koske henkilötietojen käsittelyä, jota viranomaiset tekevät tehtäviensä yhteydessä.

Tietosuojalain 4 § täsmentää tätä Suomessa. Se sallii henkilötietojen käsittelyn yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaisesti tietyissä tilanteissa.

Viranomaisen työn kannalta keskeinen kohta on tietosuojalain 4 §:n 2 kohta. Sen mukaan käsittely voi perustua yleistä etua koskevaan tehtävään. Tämä edellyttää, että käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi.

Tarpeellisuus tarkoittaa arjessa sitä, että tietoa tarvitaan tehtävän hoitamiseen. Oikeasuhtaisuus tarkoittaa, että käsittely ei saa mennä pidemmälle kuin tehtävä edellyttää. Jos asian ratkaisuun riittää yhteystieto, koko henkilöhistoria ei ole tarpeellinen vain varmuuden vuoksi.

Tietosuojalain 4 § kattaa myös muita yleisen edun tilanteita. Se mainitsee henkilön asemaa, tehtäviä ja niiden hoitoa kuvaavat tiedot julkisyhteisössä, elinkeinoelämässä, järjestötoiminnassa tai vastaavassa toiminnassa. Käsittelyn tavoitteen pitää silloinkin olla yleisen edun mukainen ja käsittelyn oikeasuhtaista.

Lisäksi 4 § mainitsee tieteellisen tai historiallisen tutkimuksen, tilastoinnin ja arkistointitarkoituksen. Näissäkin vaaditaan tarpeellisuutta, oikeasuhtaisuutta ja yhteyttä yleisen edun mukaiseen tavoitteeseen.

Oikeusperusteiden valintaa avataan lisää artikkelissa Millä perusteella henkilötietoja saa käsitellä?.

Erityiset henkilötietoryhmät tarvitsevat perusteen ja suojaavat toimet

Yleisen tietosuoja-asetuksen 9 artikla kieltää lähtökohtaisesti erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn. Näitä ovat esimerkiksi terveystiedot, ammattiliiton jäsenyys, uskonnollinen vakaumus, geneettiset tiedot ja tietyt biometriset tiedot.

Tietosuojalain 6 § määrittää tilanteita, joissa asetuksen 9 artiklan 1 kohdan kieltoa ei sovelleta. Näitä ovat esimerkiksi tietyt vakuutustoiminnan tiedot, lakiin perustuva käsittely, työoikeuteen liittyvä ammattiliittotieto, terveydenhuollon palveluntarjoajan käsittely, sosiaalihuollon palveluntarjoajan käsittely, tutkimus, tilastointi ja yleishyödyllinen arkistointi.

Tämä ei anna vapaata lupaa käsitellä arkaluonteisia tietoja. Sama tietosuojalain 6 § edellyttää asianmukaisia ja erityisiä toimia rekisteröidyn oikeuksien suojaamiseksi.

Laissa mainittuja toimia ovat muun muassa:

• mahdollisuus varmistaa jälkikäteen, kuka on tallentanut, muuttanut tai siirtänyt henkilötietoja
• henkilötietoja käsittelevän henkilöstön osaamisen parantaminen
• tietosuojavastaavan nimittäminen
• sisäiset toimet, joilla estetään pääsy henkilötietoihin
• pseudonymisointi eli tietojen käsittely niin, ettei henkilöä voi yhdistää tietoihin ilman erillisiä lisätietoja
• salaaminen
• käsittelyjärjestelmien luottamuksellisuuden, eheyden, käytettävyyden ja vikasietoisuuden varmistaminen
• teknisten ja organisatoristen toimien säännöllinen testaaminen ja arviointi
• tietosuojaa koskevan vaikutustenarvioinnin laatiminen yleisen tietosuoja-asetuksen 35 artiklan mukaisesti

Työn arjessa tämä tarkoittaa kahta asiaa. Ensin organisaation on tunnistettava, kuuluuko tieto erityiseen henkilötietoryhmään. Sen jälkeen on varmistettava, että sekä käsittelyn peruste että suojaavat toimet ovat olemassa.

Rajat ovat yhtä tärkeitä kuin lisäykset

Tietosuojalaki ei poista yleisen tietosuoja-asetuksen perusvelvoitteita. Rekisterinpitäjä vastaa edelleen siitä, että henkilötietoja käsitellään asetuksen 5 artiklan periaatteiden mukaan. Rekisterinpitäjän on myös pystyttävä osoittamaan tämä.

Ikäraja ei koske kaikkia lasten tietoja. Se koskee tietosuojalain 5 §:n mukaista suostumustilannetta. Jos käsittely perustuu esimerkiksi yleistä etua koskevaan tehtävään, arvio tehdään kyseisen perusteen mukaan.

Viranomaisen tehtävä ei myöskään oikeuta keräämään kaikkea mahdollista tietoa. Tietosuojalain 4 §:ssä ovat tarpeellisuuden ja oikeasuhtaisuuden vaatimukset. Ne rajaavat käsittelyä käytännössä.

Erityisiä henkilötietoryhmiä koskeva tietosuojalain 6 § ei riitä yksin. Säännös edellyttää suojaavia toimia. Osaaminen mainitaan laissa yhtenä suojaavana toimena, kun erityisiä henkilötietoryhmiä käsitellään.

Henkilötunnuksesta näissä lähteissä voidaan sanoa varmasti tämä: yleisen tietosuoja-asetuksen 4 artikla mainitsee sen tunnistetietona. Siksi henkilötunnuksen käsittely on henkilötietojen käsittelyä, kun se liittyy tunnistettuun tai tunnistettavissa olevaan henkilöön. Tässä käsitellyt tietosuojalain 4–6 § eivät lisää henkilötunnukseen erillistä ikärajan kaltaista sääntöä.

Mitä tämä tarkoittaa kunnan tai yrityksen arjessa?

Tietosuojalain lisäykset näkyvät parhaiten tavallisissa työtilanteissa. Työntekijä näkee asiakaslistan, oppilaan tiedot, työnhakijan asiakirjat, potilaan tai asiakkaan palvelutiedot, henkilöstöjärjestelmän rivin tai ilmoituksen siitä, että viesti on lähtenyt väärään osoitteeseen.

Organisaation pitää tunnistaa ainakin seuraavat perusasiat:

• milloin tieto on henkilötieto
• milloin henkilötunnus tekee henkilön tunnistamisen suoraksi
• mikä on käsittelyn oikeusperuste yleisen tietosuoja-asetuksen 6 artiklan mukaan
• milloin lapsen oma suostumus voi riittää tietosuojalain 5 §:n tilanteessa
• milloin viranomaisen käsittely perustuu yleiseen etuun tai julkiseen valtaan
• milloin tieto kuuluu yleisen tietosuoja-asetuksen 9 artiklan erityisiin henkilötietoryhmiin
• milloin rekisteröidyn pyyntö käynnistää määräajan
• milloin tapahtuma voi olla henkilötietojen tietoturvaloukkaus

Yleisen tietosuoja-asetuksen 12 artikla asettaa määräajan rekisteröidyn pyyntöihin vastaamiselle. Rekisterinpitäjän pitää antaa tiedot toimenpiteistä ilman aiheetonta viivytystä. Tiedot pitää antaa joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan jatkaa enintään kahdella kuukaudella tietyissä tilanteissa.

Yleisen tietosuoja-asetuksen 33 artikla asettaa henkilötietojen tietoturvaloukkauksen ilmoitukselle 72 tunnin määräajan siitä, kun loukkaus on tullut ilmi. Tämä koskee tilanteita, joissa ilmoitus valvontaviranomaiselle vaaditaan. 34 artikla koskee ilmoitusta rekisteröidylle, kun loukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille.

Siksi tietosuojalain kansalliset lisäykset eivät ole irrallinen lakitekninen asia. Ne liittyvät siihen, tunnistaako henkilöstö henkilötiedon, osaako se erottaa oikeusperusteet ja huomaako se tietoturvaloukkauksen ajoissa. Rekisteröidyn oikeuksista on lisää artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi. Loukkaustilanteista on lisää artikkelissa Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta.