3.9.2013

ASIA
Organisaatio valmisteli avoimen datan suunnitelmaa, jonka perusteella arvioitaisiin sitä, mitkä tietovarannot voitaisiin avata julkiseen ja rajoituksettomaan käyttöön. Organisaatio otti yhteyttä tietosuojavaltuutetun toimistoon ja tiedusteli, mitä näkökohtia ja periaatteita tulisi huomioida henkilötunnisteellisen datan osalta avoimen datan suunnitemaa laadittaessa.

TIETOSUOJAVALTUUTETUN OHJAUS

Avoin data ja henkilötietojen käsittely

Tietosuojavaltuutettu totesi, että julkisten tietovarantojen avaamisen taustalla vaikuttaa Euroopan parlamentin ja neuvoston direktiivi 2003/98/EY, julkisen sektorin hallussa olevien tietojen uudelleenkäytöstä eli niin kutsuttu PSI-direktiivi. PSI-direktiivin johdanto-osan 21 kappaleessa sekä 1 artiklan 4 kohdassa todetaan, että "Tällä direktiivillä ei kajota eikä millään tavalla vaikuteta yhteisön ja kansallisen lainsäädännön säännösten mukaiseen yksilöiden suojelun tasoon henkilötietojen käsittelyssä eikä sillä muuteta direktiivissä 95/46/EY säädettyjä velvollisuuksia ja oikeuksia.". Direktiivillä 95/46/EY viitataan Euroopan parlamentin ja neuvoston yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettuun direktiiviin, joka on Suomessa saatettu voimaan henkilötietolailla (523/1999).

Edellä esitetyn vuoksi, henkilötietojen osalta avoimen datan suunnitelmissa on tärkeä tunnistaa henkilötietolain sekä muun tietosuojalainsäädännön asettamat reunaehdot henkilötietojen luovuttamisen osalta sekä havaita, ettei PSI-direktiiviin perustuvien avoimen datan suunnitelmien voida katsoa toimivan henkilötietojen luovutuksen lainmukaisena perustana. Suomen perustuslain 10 §:n 1 momentin mukaisesti henkilötietojen käsittelystä tulee säätää lailla. Henkilötietojen käsittelyä koskevan lainsäädännön tulee täyttää perustuslakivaliokunnan sekä hallintovaliokunnan sille asettamat vaatimukset. Eduskunnan perustuslakivaliokunta on lausunnoissaan (mm. PeVL 35/2008 vp), todennut, että henkilötietojen suojaa koskevan perusoikeussäännöksen kannalta tärkeitä sääntelykohteita ovat ainakin: rekisteröinnin tavoite, rekisteröitävien henkilötietojen sisältö, niiden sallitut käyttötarkoitukset mukaan luettuna tietojen luovutettavuus ja tietojen säilytysaika henkilörekisterissä sekä rekisteröidyn oikeusturva samoin kuin näiden seikkojen sääntelemisen kattavuus ja yksityiskohtaisuus lain tasolla. Hallintovaliokunnan, jonka toimialaan henkilötietokysymykset kuuluvat, linjanvedot henkilötietojen käsittelyn sääntelystä vastaavat perustuslakivaliokunnan edellä mainittua kantaa.

Viranomaisten tietojen luovutusta sääntelee yleislakina laki viranomaisten toiminnan (621/1999) eli julkisuuslaki, josta löytyvät muun muassa tietojen luovutuksen periaatteet sekä tiedon julkisuutta ja salassa pidettävyyttä koskevat säännökset. Tämän lisäksi tietojen luovutusta koskevia säännöksiä voi lyötyä erityislainsäädännöstä. Tietosuojavaltuutetun mielestä on tärkeää havaita, että PSI-direktiivin soveltamisalaan eivät kuulu sellaiset henkilötietoja sisältävät dokumentit, joiden avoimuutta kansallinen lainsäädäntö rajoittaa. Julkisuuslain 16 §:n 3 momentti mukaisesti "Viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen tai sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja". Käytännössä tämä tarkoittaa sitä, että henkilötietojen luovutuksen edellytyksenä on se, että luovutuksen saajalla on henkilötietolain (523/1999) mukainen oikeus käsitellä kyseisiä henkilötietoja. Luovutuksen saajan osalta lain mukaisen käsittelyperusteen (henkilötietolain 8 §, 12 § ja 4 luku) edellytetään lisäksi sitä, että henkilötietojen käsittely on rekisterinpitäjän toiminnan kannalta asiallisesti perusteltua (henkilötietolain 6 §), luovutetut tiedot ovat rekisterinpitäjän toiminnan kannalta tarpeellisia (henkilötietolain 9 §) sekä muidenkin tietosuojaperiaatteiden (mm. henkilötietolain 5 §, 7 §, 24 §, 32 § ja 33 §) toteutumista. Tämä koskee myös muita henkilötietolain soveltamisalaan kuuluvia henkilötietojen luovutustilanteita. Rekisterinpitäjä vastaa siitä, ettei tietoja luovuteta laittomasti.

Tietosuojavaltuutetun mukaan on tärkeää havaita, että vaikka jokin henkilötieto olisikin julkisuuslain nojalla julkinen tieto, se ei tarkoita sitä, että tieto voitaisiin saattaa PSI-direktiivin periaatteiden mukaisesti avoimesti ja vapaasti uudelleen käytettäväksi. Viranomaisen luovuttaessa henkilötietoja, luovutuksen reunaehdot määräytyvät julkisuuslain sekä mahdollisen erityislainsäädännön ja henkilötietolain mukaisesti.

Henkilötiedon käsite

Kun puhutaan henkilötietojen luovuttamisesta, on tärkeä tunnistaa, mitä henkilötiedolla tarkoitetaan. Henkilötietolain 3 §:n mukaan henkilötiedolla tarkoitetaan kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Henkilötietolain tarkoittamasta henkilötietojen käsittelystä sekä henkilörekisteristä on kysymys silloinkin, kun henkilön nimitietoja tai henkilötunnusta säilytetään erillään tai aineistoa analysoidaan ilman nimiä, jos viimeksi mainitut tunnistetiedot ovat koodin avulla kuitenkin yhdistettävissä aineistoon.

Henkilötietodirektiivin 29 artiklalla perustettu tietosuojatyöryhmä on henkilötietojen käsitteestä antamassaan lausunnossa 4/2007 todennut välillisen tunnistettavuuden osalta, että "Jos käytettävissä olevat tunnisteet eivät lähtökohtaisesti mahdollista henkilön tunnistamista, henkilö saattaa silti olla "tunnistettavissa", koska tieto yhdistettynä muihin tietoihin (joiden ei välttämättä tarvitse olla rekisterinpitäjän hallussa) mahdollistaa henkilön erottamisen muista.".

Pelkästään nimien ja muiden yksilöintitietojen poistaminen ei kaikissa tilanteissa johda kaikkien rekisteritietojen muuttumiseen anonyymeiksi. Kerättävä aineisto voi sisältää yksityiskohtaista tietoa rekisteröidystä (esim. harvinainen sairaus tai tarpeeksi tietotyyppejä) myös siten, että rekisteröidyt ovat mahdollisesti välillisesti tunnistettavissa, vaikka suoria henkilötunnisteita ei sisältyisikään henkilörekisteriin. Tärkeää on myös havaita, että henkilön tunnistaminen ei tarkoita välttämättä henkilön nimen selvittämistä, vaan henkilö voi olla tunnistettavissa myös muiden tietojen perusteella.

Tietosuojavaltuutetun huomautti, että henkilötietojen suojaa koskevat säännökset tulevat sovellettavaksi niin kauan, kun kyseessä olevat tiedot ovat palautettavissa tunnisteellisiksi tai muutoin välillisesti tunnistettavissa tiettyä henkilöä koskeviksi. Henkilötiedon käsitteestä ja erityisesti siitä, minkälaisia tietoja on katsottu henkilötiedoiksi, on saatavissa WP 29 4/2007 lausunnosta koskien henkilötiedon käsitettä, joka on löydettävissä osoitteesta:
http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_fi.pdf

Lopuksi

Avoimen dataan ja sen taustalla vaikuttavan PSI-direktiivin osalta WP 29 tietosuojaryhmä on 5.6.2013 julkaissut lausunnon "Opinion 06/2013 on open data and public sector information ("PSI") reuse". Lausunto on löydettävissä osoitteesta: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/index_en.htm

Tietosuojavaltuutettu ohjasi perehtymään edellä mainittuihin WP 29 laatimiin lausuntoihin, kun harkitaan sitä, minkälaista tietoa voidaan saattaa avoimen datan ja taustalla vaikuttavan PSI-direktiivin periaatteiden mukaisesti yleisesti saataville. Lisäksi tietosuojavaltuutettu ohjasi perehtymään tietosuojavaltuutetun toimiston sivuilta löydettävissä tietovarantojen analysoimisen ja luovutettavuuden arvioimisen kannalta seuraaviin merkityksellisiin oppaisiin: "Laadi tietotilinpäätös", "Henkilötietojen luovuttaminen viranomaisen henkilörekistereistä" sekä "Salassa pidettävien henkilötietojen luovuttaminen viranomaisen rekistereitä". Henkilötietolaki sekä muu ajantasainen tietosuojalainsäädäntö on löydettävissä osoitteesta www.finlex.fi.