18.03.2009 2/2009

Soveltamisala - Henkilötieto - Arkaluonteinen tieto - Tietosuojalautakunnan määräys

Tietosuojalautakunta kielsi tietosuojavaltuutetun vaatimuksen mukaisesti Memorium Oy:tä henkilötietolain vastaisesti käsittelemästä hautakivistä ilmeneviä henkilötietoja avoimessa tietoverkossa, jos henkilön kuolemasta on kulunut 25 vuotta tai vähemmän eikä rekisteröidyn tai hänen oikeudenomistajiensa suostumusta tietojen automaattiseen käsittelyyn ole hankittu.

Memorium Oy on valittanut päätöksestä Helsingin hallinto-oikeuteen.

ASIA
Henkilötietojen käsittelyn kieltämistä koskeva hakemus

HAKIJA
Tietosuojavaltuutettu

TIETOJEN KÄSITTELIJÄ
Memorium Oy

HAKEMUS
Tietosuojavaltuutettu pyytää, että tietosuojalautakunta kieltää henkilötietolain 44 §:n 1 momentin 1 kohdan nojalla Memorium Oy:tä käsittelemästä hautakivistä ilmeneviä henkilötietoja avoimessa tietoverkossa, jos henkilön kuolemasta on kulunut 25 vuotta tai vähemmän eikä vainajan oikeudenomistajien suostumusta tietojen automaattiseen käsittelyyn ole hankittu.

Hakemuksen perustelut

Asia on tullut vireille tietosuojavaltuutetun toimistossa yksityishenkilöiden yhteydenottojen perusteella. Yhteydenotoissa on tiedusteltu, onko internet-sivustolla osoitteessa www.lepopaikka.fi oleva tiedosto henkilötietolain mukainen.

Tietosuojavaltuutettu katsoo, että mainittujen henkilötietojen käsittely avoimessa tietoverkossa on vastoin henkilötietolain 2 luvusta ilmeneviä henkilötietojen käsittelyä koskevia yleisiä periaatteita.

Kyseessä on henkilötietoja koskeva hakupalvelu, jossa palvelun tarjoajalla ei ole henkilötietolain mukaisia edellytyksiä käsitellä ko. tietoja. Henkilötietolain mukaan henkilötiedolla tarkoitetaan kaikenlaisia luonnollista henkilöä tai hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Näin ollen kuolleitakin henkilöitä koskevat tiedot voivat olla henkilötietoja ainakin niin kauan kuin perheen jäseniä on elossa.

Väestötietolain 33 a §:n mukaan väestötietojärjestelmässä olevat henkilötiedot tulevat julkisiksi, kun henkilön kuolemasta on kulunut 25 vuotta. Näin ollen viranomaiselta, joka tässä tapauksessa toimii rekisterinpitäjänä, ei voi saada ilman lainmukaista perustelua esimerkiksi henkilön kuolinpäivää koskevaa tietoa. Nyt puheena olevassa Memorium Oy:n palvelussa nämä samat hautakivistä ilmenevät henkilötiedot saatetaan kenen tahansa automaattisesti käsiteltäviksi jopa ennen kuin vuottakaan on kulunut henkilön kuolemasta.

Tietosuojavaltuutettu katsoo, että hautakiven pystytyksen tarkoituksena on luoda kuolleen omaisen muistamiseen sopiva paikka hautausmaalle. Tietosuojavaltuutetun mielestä lienee selvää, että käyttötarkoitus muuttuu, jos ilman omaisten lupaa 25 vuotta uudempia kuolinpäiviä koskevat tiedot asetetaan avoimeen internet- verkkoon, jossa tietoja voi kuka tahansa käsitellä automaattisesti mihin tahansa tarkoitukseen.

Tietosuojavaltuutettu pyysi 20.8.2008 asiassa selvitystä Memorium Oy:ltä tiedustellen samalla, aikooko yhtiö ryhtyä toimenpiteisiin 25 vuotta ja sitä uudempien hautakivistä kerättyjen henkilötietojen automaattisen käsittelyn lopettamiseksi internetissä. Memorium Oy ilmoitti 5.9.2008 päivätyssä vastineessaan, ettei tietosuojavaltuutetun selvityspyyntö tule aiheuttamaan yhtiön taholla toimenpiteitä. Perusteluina yhtiö totesi, etteivät hautakuvissa olevat tiedot loukkaa vainajien eikä elävien suojaa millään tavoin, koska nimi, syntymäaika ja kuolinaika eivät ole arkaluonteisia tietoja. Yhtiön mukaan vain arkaluonteisten henkilötietojen esittäminen internetissä olisi kiellettyä.

KUULEMINEN

Memorium Oy:n vastine 6.1.2009

Tietosuojalautakunta on varannut Memorium Oy:lle tilaisuuden selityksen antamiseen tietosuojavaltuutetun hakemuksen johdosta.

Vastineessaan 6.1.2009 Memorium Oy toteaa, että Lepopaikka.fi sivustolla on 5.1.2009 julkaistu 84 241 hautamuistomerkin kuvaa. Sivustolla on hakupalvelun muodossa ainoastaan vainajan etunimet ja sukunimi sekä entiset sukunimet, jos ne on mainittu hautamuistomerkissä.

Memorium Oy toteaa, että henkilötietolakia ei sovelleta henkilörekistereihin, jotka sisältävät vain tiedotusvälineissä julkaistua aineistoa sellaisenaan. Lehdistö ja muu media on julkaissut kuolleiden henkilötietoja, kuvia hautakivistä sekä poismenneiden muistokirjoituksia aina. Ainoa asia tai tieto, mitä ei ole yleensä julkaistu jo lehdessä kuolinilmoituksen muodossa on hautamuistomerkin kuva.

Memorium Oy toteaa, että henkilötietojen suoja koskee pääsääntöisesti vain luonnollisia henkilöitä ja yhtiön käsityksen mukaan julkisella hautausmaalla olevat hautamuistomerkit ja niissä oleva tieto eivät kuulu suojan piiriin. Vastineessa viitataan vastineeseen liitettyyn tietosuojavaltuutetun toimiston diaesitykseen ja todetaan, että tietosuojavaltuutettu katsoo itsekin että yksityisyyden suojan tarve vähenee kun käsitellään kuolleiden tietoja. Lisäksi tietosuojavaltuutettu on tarkastanut ja hyväksynyt myös sukututkimusseuran Käytännesäännöt, jossa on mm. seuraava kohta "Perusoikeudet koskevat ainoastaan elossa olevia henkilöitä. Näin ollen myös henkilötietolain säädökset koskevat vain elävien henkilöiden yksityisyyden suojaa". Tämä jo hyväksytty Käytännesääntö on yhtiön mukaan ristiriidassa tietosuojavaltuutetun Lepopaikka.fi sivustoon ottaman kannan kanssa.

Memorium Oy katsoo, että jos omaiset haluaisivat, että hautamuistomerkki on tarkoitettu pelkästään omaisille ja lähipiirille, muistomerkki pystytettäisiin jonnekin muualle kuin julkiselle hautausmaalle. Hautausmaat ovat paikkoja, jossa kaikilla on oikeus kävellä, muistaa ja ottaa hautamuistomerkistä valokuvia.

Vastineessa viitataan muihin pohjoismaisiin vastaaviin sivustoihin ja todetaan, että kansainvälisiä sivustoja löytyy useamman miljoonan vainajan tietokannoista pieniin muutaman tuhannen vainajan tietokantoihin. Näissä kaikissa on vähintäänkin kohtalainen hakutoiminto.

Yhtiön saama palaute sivustosta on ollut pääasiallisesti positiivista ja omaiset ovat jopa soittaneet ja pyytäneet kiirehtimään muistomerkkien kuvauksia.

Memorium Oy katsoo, että sen sivusto tallentaa kulttuurihistoriallisesti merkittävää tietoa. Yhtiö haluaa toiminnallaan tallentaa katoavaa kulttuuriperintöä tuleville sukupolville.

Memorium Oy on liittänyt vastineeseensa tietoa Lepopaikka.fi-sivuston keskustelupalstalle ja sähköpostiin tulleesta positiivisesta palautteesta.

Tietosuojavaltuutetun selitys 17.2.2008

Tietosuojalautakunta on varannut tietosuojavaltuutetulle tilaisuuden selityksen antamiseen Memorium Oy:n vastineesta.

Selityksessään 17.2.2009 tietosuojavaltuutettu toteaa, että kysymyksessä ei ole tiedotusvälineissä jo julkaistua aineistoa sellaisenaan koskeva henkilötietojen käsittely, jota tarkoitetaan henkilötietolain 2 §:n 4 momentissa ja joka koskee vain henkilörekistereitä. Tietosuojavaltuutetun näkemyksen mukaan hautakiviä kuvaamalla ja näin saatuja henkilötietoja automaattisesti käsittelemällä ei välttämättä ole luotu lainkaan henkilörekisteriä, vaan kysymys on enemminkin lain 2 §:n 2 momentin mukaisesta automaattisesta käsittelystä. Sillä, onko samoja henkilötietoja joiltakin osin joskus käsitelty myös mediassa, ei ole asiassa mitään merkitystä.

Sukututkimusyhteisöjen käytännesääntöjen maininta siitä, että perusoikeudet koskevat ainoastaan elossa olevia henkilöitä, on tietosuojavaltuutetun mukaan yleisellä tasolla oleva oikeustieteessä yleisesti hyväksytty näkemys, eikä sille voi asiayhteydestään irrotettuna antaa sen enempää merkitystä ilman yksittäistapauksittain tapahtuvaa juridista tarkastelua. Tietosuojavaltuutettu katsoo, että edellä mainitun tulkinnan yhteydessä tulee aina erikseen harkittavaksi kuolleitten henkilöiden henkilötietojen käsittelyn mahdollinen vaikutus elossa olevien henkilöiden yksityisyydensuojaan.

TIETOSUOJALAUTAKUNNAN PÄÄTÖS JA PERUSTELUT

Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 2 §:n 1 kohdan mukaan tietosuojalautakunnan tehtävänä on käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi.

Henkilötietolain 44 §:n 1 kohdan mukaan tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta kieltää henkilötietolain tai sen nojalla annettujen säännösten ja määräysten vastaisen henkilötietojen käsittelyn.

Henkilötietolain 1 §:n mukaan lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä. Lain 2 §:n 1 momentin mukaan henkilötietoja käsiteltäessä on noudatettava, mitä henkilötietolaissa säädetään, jollei muualla laissa toisin säädetä.

Henkilötiedolla tarkoitetaan henkilötietolain 3 §:n 1 kohdassa kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskevaksi. Rekisteröidyllä tarkoitetaan pykälän 5 kohdan mukaan henkilöä, jota henkilötieto koskee.

Henkilötietojen käsittelyllä tarkoitetaan henkilötietolain 3 §:n 2 kohdassa henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä.

Henkilötietolain soveltaminen kuolleita koskeviin tietoihin

Henkilötietolaissa ei nimenomaan säädetä kuolleita henkilöitä koskevien tietojen käsittelystä. Lain soveltamiskäytännössä on kuitenkin katsottu, että henkilötiedon määritelmä sinänsä kattaa myös kuollutta henkilöä koskevat tiedot ja että henkilötietolain tarkoituksena on suojata henkilön itsensä lisäksi myös hänen muistoaan ja omaisiaan. Henkilötietolaki voikin tulla sovellettavaksi kuolleita henkilöitä koskevien tietojen käsittelyyn myös sillä perusteella, että kyseisten tietojen voidaan samalla katsoa koskevan tunnistettavissa olevia eläviä henkilöitä ja heidän yksityisyyttään. Henkilötietolain turvaaman yksityisyyden suojan tarpeen voidaan kuitenkin katsoa vähenevän, kun kysymys on tiedoista, jotka koskevat kauan sitten kuolleita. Arvioitaessa yksityisyyden suojan ajallista ulottuvuutta kuolleita koskevien tietojen osalta voidaan muussa lainsäädännössä olevia salassapitosäännöksiä pitää suuntaa-antavina. Yksityisyyden suojan tarvetta ja siten lain ajallista ulottuvuutta arvioitaessa on otettava huomioon myös käsiteltävien tietojen laatu.

Memorium Oy käsittelee Lepopaikka.fi sivustollaan vainajien nimi- sekä syntymä- ja kuolinaikatietoja. Hautamuistomerkissä voi edellä mainittujen tietojen lisäksi olla muitakin henkilötietoja kuten perhetietoja (puoliso, lapset) ja ammattia kuvaava tieto. Hautausmaatiedon perusteella on yleensä myös tehtävissä johtopäätöksiä siitä, missä henkilö on asunut ennen kuolemaansa. Memorium Oy:n käsittelemät tiedot saattavat olla myös henkilötietolaissa tarkoitettuja arkaluonteisia tietoja. Tällaisia voivat olla hautamuistomerkkeihin sisältyvät symbolit, jotka kuvaavat tai on tarkoitettu kuvaamaan vainajan uskonnollista vakaumusta sekä tieto hautausmaasta, jossa hauta ja hautamuistomerkki sijaitsevat (esim. evankelisluterilainen, katolinen tai ortodoksinen hautausmaa taikka baptistihautausmaa).

On lisäksi huomattava, että joissakin tapauksissa hautamuistomerkkiin on kaiverrettu valmiiksi myös vielä elossa olevien henkilöiden nimi- ja syntymäaikatietoja.

Memorium Oy:n oikeus käsitellä hautakivistä ilmeneviä henkilötietoja

Henkilötietolain 8 §:ssä säädetään henkilötietojen käsittelyn yleisistä edellytyksistä. Henkilötietoja saa pykälän 1 momentin mukaan käsitellä muun muassa rekisteröidyn yksiselitteisesti antamalla suostumuksella (1 kohta) taikka jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta (4 kohta). Arkaluonteisten henkilötietojen käsittelykiellosta säädetään henkilötietolain 11 §:ssä ja kieltoa koskevista poikkeuksista lain 12 §:ssä.

Asiassa saadun selvityksen mukaan Memorium Oy:llä ei ole hautakiveen merkityn henkilön (rekisteröidyn) tai hänen oikeudenomistajiensa yksiselitteisesti antamaa suostumusta tietojen käsittelyyn. Memorium Oy:n suorittamasta henkilötietojen käsittelystä ei myöskään säädetä laissa eikä käsittely johdu Memorium Oy:lle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta. Tämän vuoksi Memorium Oy:llä ei ole henkilötietolain mukaista oikeutta käsitellä hautakivistä ilmeneviä henkilötietoja. Mitä tulee erityisesti arkaluonteisten henkilötietojen käsittelyyn, vainajan oikeudenomistajien voidaan katsoa hautamuistomerkin pystyttämällä saattaneen vainajan uskonnollista vakaumusta koskevan tiedon julkiseksi henkilötietolain 12 §:n 1 momentin 2 kohdan mukaisesti.

Tietosuojalautakunta katsoo myös, päinvastoin kuin Memorium Oy, että kysymys ei ole henkilötietolain 2 §:n 4 momentissa tarkoitetusta henkilötietolain soveltamisalan ulkopuolelle jäävästä henkilörekisteristä, joka sisältää vain tiedotusvälineessä julkaistua aineistoa sellaisenaan.

Edellä mainituista syistä Memorium Oy:n suorittamaa hautakivistä ilmenevien henkilötietojen käsittelyä on pidettävä henkilötietolain vastaisena, jos henkilön kuolemasta on tietosuojavaltuutetun hakemuksen mukaisesti kulunut 25 vuotta tai vähemmän eikä rekisteröidyn tai hänen oikeudenomistajiensa suostumusta tietojen automaattiseen käsittelyyn ole hankittu.

Päätös

Tietosuojalautakunta kieltää tietosuojavaltuutetun vaatimuksen mukaisesti henkilötietolain 44 §:n 1 momentin 1 kohdan nojalla Memorium Oy:tä henkilötietolain vastaisesti käsittelemästä hautakivistä ilmeneviä henkilötietoja avoimessa tietoverkossa, jos henkilön kuolemasta on kulunut 25 vuotta tai vähemmän eikä rekisteröidyn tai hänen oikeudenomistajiensa suostumusta tietojen automaattiseen käsittelyyn ole hankittu.

SOVELLETUT SÄÄNNÖKSET

Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 2 § 1 kohta
Henkilötietolaki 1 §
Henkilötietolaki 2 § 1 mom
Henkilötietolaki 2 § 2 mom
Henkilötietolaki 2 § 4 mom
Henkilötietolaki 3 § 1 kohta
Henkilötietolaki 3 § 2 kohta
Henkilötietolaki 3 § 5 kohta
Henkilötietolaki 8 § 1 mom
Henkilötietolaki 44 § 1 mom

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.