Henkilötietolaki ja laki viranomaisten toiminnan julkisuudesta

Henkilötietolain tarkoitus ja soveltaminen

Henkilötietolain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Henkilötietolailla Suomen lainsäädäntö on saatettu vastaamaan EU:n tietosuojadirektiivin vaatimuksia.

Henkilötietolakia sovelletaan henkilötietojen automaattiseen käsittelyyn sekä myös muuhun henkilötietojen käsittelyyn silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa. Laki ei koske henkilötietojen käsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa. Henkilötietolakia ei myöskään sovelleta henkilörekistereihin, jotka sisältävät vain tiedotusvälineessä julkaistua aineistoa sellaisenaan.

Henkilötieto ja henkilötietojen käsittely

Henkilötieto on henkilötietolaissa määritelty laajemmin kuin sitä edeltäneessä henkilörekisterilaissa. Aikaisempaa lakia tulkittiin niin, että tiedot, jotka liittyivät luonnolliseen henkilöön muussa ominaisuudessa kuin yksityishenkilönä, esimerkiksi ammatin- tai elinkeinonharjoittajana tai julkisessa tehtävässä, oli rajattu lain soveltamisalan ulkopuolelle. Henkilörekisterilakia ei sovellettu esimerkiksi tietoihin, jotka koskivat julkista virkaa tai tehtävää hoitavaa henkilöä tässä ominaisuudessa.

Henkilötietolain mukaan henkilötiedolla tarkoitetaan kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Määritelmä merkitsee lähtökohtaisesti kaikkien luonnolliseen henkilöön liittyvien tietojen kuulumista lain soveltamispiiriin.

Koska yksityiselämän suoja ja muut yksityisyyden suojaa määrittelevät perusoikeudet eivät ole ehdottomia, laki osoittaa sääntelemiltään osin yksityisyyden suojan ulottuvuutta. Yksityisyyden suojan sisältöön ja ulottuvuuteen vaikuttaa muun muassa se, minkälaisesta henkilötietojen käyttöyhteydestä on kysymys, mikä on rekisteröidyn ja rekisterinpitäjän välinen suhde, missä roolissa henkilö kulloinkin esiintyy ja onko hän itse antanut tietojaan julkisuuteen tai sallinut niiden julkistamisen. Keskeistä on, minkälaisessa roolissa eri osapuolet esiintyvät ja minkälainen alistumisvelvollisuus asemansa vuoksi voidaan tuossa tilanteessa katsoa olevan sillä, jonka henkilötietoja halutaan käyttää (esimerkiksi ammatin- tai elinkeinonharjoittaja).

Hallituksen esityksen 96/1998 mukaan esimerkiksi tiedot henkilön tehtävistä ja menettelystä yhteiskunnallisessa tai poliittisessa toiminnassa eivät välttämättä kuulu yhtä laajan yksityisyyden suojan piiriin kuin tiedot, jotka liittyvät luonnolliseen henkilöön yksityishenkilönä.

Edes henkilötietolain esitöistä ei ole saatavissa yksilöityä tai täsmällistä tietoa siitä, missä laajuudessa henkilötietolaki soveltuu ammatin- ja elinkeinonharjoittajiin nimenomaan näissä ominaisuuksissa. Vielä henkilötietotoimikunnan mietinnössä (KM 1997:9) henkilötieto määriteltiin "yksityistä luonnollista henkilöä…" koskevaksi (vrt. laissa "luonnollista henkilöä…"). Myöskään suoraan sovellettavia tietosuojaviranomaisten päätöksiä asiasta ei ole.

Mitkä ammatin- ja elinkeinonharjoittajia koskevat tiedot sitten kuuluvat henkilötietolain soveltamisalan piiriin. Laista sitä on hankala lukea ja vasta käytäntö tulee sen osoittamaan. Joka tapauksessa oikeushenkilöä koskeva tieto ei kuulu lain soveltamisalaan. Yrittäjän henkilöä koskevat tiedot ovat lain soveltamisalan rajamailla. Luonnollisesti myös tietojen käyttötarkoituksella on merkitystä.

Henkilötietolain mukaan henkilötietojen käsittely on sallittua esimerkiksi, jos se yksittäistapauksessa on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi (lähinnä terveydenhuollon piirissä) tai, jos se johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta.

Henkilötietojen käsittely on sallittua myös, jos kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista yleisesti saatavilla olevista tiedoista ja näitä tietoja käsitellään rekisterinpitäjän tai tiedot saavan sivullisen oikeuksien ja etujen turvaamiseksi (mahdollistaa esimerkiksi ammatin- ja elinkeinonharjoittajien luottotietojen käsittelyn) tai jos tietosuojalautakunta on antanut käsittelyyn luvan.

Henkilötietolain voimassa ollessa tietosuojalautakunta on mm. antanut luottolaitoksille luvan tallettaa asiakashäiriörekistereihinsä entisiä asiakkaitaan koskevia maksuviivästymistietoja (16/23.8.1999), kahdelle vuokra-asuntoyhtiölle luvan käsitellä yhteisen rekisterin avulla tietoja yhtiön vuokralaisista, joiden vuokrasuhde oli purettu tuomioistuimen lainvoimaisella tuomiolla ja henkilöistä, jotka olivat vuokrasuhteen perusteella velasta vastuussa toiselle hakijayhtiölle (21/8.11.1999) sekä Teknisten Kaupan Liitto ry:een kuuluville rakennuskonevuokraamoille määräaikaisen luvan ylläpitää sulkulistaa henkilöistä, jotka ovat jättäneet vuokraamansa koneen palauttamatta tai laiminlyöneet vuokranmaksunsa (1/31.1.2000).

Yleisesti saatavia tietoja ovat muun muassa oikeusrekisterikeskuksen pitämään liiketoimintakieltorekisteriin sekä konkurssi- ja yrityssaneerausrekisteriin ja kaupparekisteriin sisältyvät tiedot, jotka ovat julkisia. Voidaan katsoa, etteivät henkilön yksityisyyden suojaa turvaavat edut syrjäytä rekisterinpitäjän tai sivullisen intressejä, kun kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista tiedoista, jotka ovat yleisesti saatavilla. Siten esimerkiksi julkisia tietoja yrittäjän "konkurssialttiudesta" tai tiheästä yrityksensä nimen vaihtamisesta voitaneen käsitellä. Tosin tietosuojavaltuutetun toimistosta saadun tiedon mukaan nyt pohditaan jo sitä, pitäisikö ja missä määrin konkurssin aiheuttamisen syyllä olla vaikutusta sitä koskevan tiedon rekisteröintimahdollisuuteen.

Henkilötietolaissa henkilötietojen käsittely on määritelty laajasti. Se sisältää kaikenlaisen henkilötietojen keräämisen, tallettaminen, järjestämisen, käytön, luovuttamisen, säilyttämisen, muuttamisen, yhdistämisen, suojaamisen, poistamisen, tuhoamisen. Laista löytyvät muun ohella henkilörekisterin, rekisterinpitäjän, rekisteröidyn, sivullisen ja henkilöluottotiedon määritelmät.

Henkilötietolaki ja laki viranomaisten toiminnan julkisuudesta

Henkilötietolaki on läheisessä yhteydessä lakiin viranomaisten toiminnan julkisuudesta (julkisuuslaki). Henkilötietolaki ulottuu organisatorisesti niin viranomaisten kuin yksityistenkin toimesta tapahtuvaan henkilötietojen käsittelyyn. Henkilötietojen luovuttamisen yleiset edellytykset on määritelty henkilötietolain 8 §:ssä. Henkilötietolain 8.3 §:n mukaan oikeudesta saada tieto ja muusta henkilötietojen luovuttamisesta viranomaisten henkilörekistereistä on voimassa, mitä laissa viranomaisten toiminnan julkisuudesta on säädetty. Henkilötietolakia sovelletaan täydentävästi myös silloin, kun henkilötietojen käsittelystä säädetään erityislainsäädännössä.

Tietojen luovuttamiseen viranomaistoiminnassa sovelletaan henkilötietolain ohella julkisuuslakia. Julkisuuslain 24 §:ssä on yksityisyyden suojaamiseksi tarpeelliset viranomaisen hallussa olevien henkilötietojen luovutusrajoitukset. Luovutettaessa tietoja viranomaisten henkilörekistereistä on huomioon otettava julkisuusperiaate ja salassapitosäännökset.

Pääsääntöisesti kunnan viranomainen voi luovuttaa ainoastaan rekisteröityä koskevia julkisia henkilötietoja.

Arkaluonteisten tietojen käsittelykielto

Arkaluonteisten henkilötietojen käsittely on pääsääntöisesti kielletty. Arkaluonteisina tietoina pidetään henkilötietoja, jotka kuvaavat tai on tarkoitettu kuvaamaan:

1. rotua tai etnistä alkuperää;

2. henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista;

3. rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta;

4. henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia;

5. henkilön seksuaalista suuntautumista tai käyttäytymistä; taikka

6. henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia.

Edellä mainittu käsittelykielto ei kuitenkaan koske esimerkiksi tietojen käsittelyä, joka on tarpeen oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi, tai tietojen käsittelyä, josta säädetään laissa tai joka johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä.

Henkilötunnuksen käsittely

Lähtökohta on, että henkilötunnusta voidaan henkilötieto- tai muussa laissa määritellyn lisäksi käsitellä ainoastaan rekisteröidyn yksiselitteisesti antamalla suostumuksella.

Henkilötunnusta saa käsitellä luotonannossa tai saatavan perimisessä, vakuutus-, luottolaitos-, vuokraus- ja lainaustoiminnassa, luottotietotoiminnassa, terveydenhuollossa, sosiaalihuollossa ja muun sosiaaliturvan toteuttamisessa tai virka-, työ- ja muita palvelussuhteita ja niihin liittyviä etuja koskevissa asioissa.

Rekisterinpitäjän on huolehdittava siitä, että henkilötunnusta ei merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin.

Henkilötietojen käsittelyä koskevat yleiset periaatteet

Rekisterinpitäjä on velvollinen suunnittelemaan henkilötietojen käsittelyn (käsittelyn asiallisuus ja tarkoituksen määrittely ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi; mistä tiedot säännönmukaisesti hankitaan ja mihin luovutetaan), huolehtimaan siitä, että käsiteltävät tiedot eivät ole virheellisiä sekä käsittelemään henkilötietoja huolellisesti ja määritellyn käyttötarkoituksen mukaisesti.

Ns. musta lista yrittäjistä

Mahdollistaako henkilötietolain 8.8 § esimerkiksi sulkulistan pitämisen paikkakunnan yrittäjistä? Ns. mustan listan (kysymys eräänlaisesta luottotiedon ilmentymästä) laatiminen yrittäjistä edellyttänee tietosuojaviranomaisten lupaa. Toisaalta mainittu pykälä nimenomaisesti mahdollistaa yritysluottotietojen käsittelyn. Henkilöluottotieto puolestaan on määritelty yksityisen luonnollisen henkilön taloudellisen aseman, sitoumusten hoitokyvyn tai luotettavuuden arvioimisessa käytettäviksi tarkoitetuiksi henkilötiedoiksi eli käytännössä näitä ovat kuluttajien luottotiedot.

Kunnalla on luonnollisesti oikeus asiakassuhteen perusteella (esimerkiksi vuokralaisista) rekisteröidä (luotto)tietoja yrittäjistä. Eri asia sitten on, voiko tällaisesta rekisteristä luovuttaa tietoja ulkopuolisille. Toisaalta useamman kunnan yhteinen rekisteri saattaisi tulla kysymykseen.

Lisäksi huomioon on otettava henkilötietolain 6 luvun rekisteröidyn tiedonsaantioikeutta koskevat säännökset. Pääsääntöisesti rekisteröidylle on annettava tieto muun muassa rekisterinpitäjästä ja siitä, mitä varten tietoja on kerätty ja mihin tarkoitukseen niitä voidaan luovuttaa viimeistään silloin, kun tietoja ensimmäisen kerran luovutetaan.

Tietosuojaviranomaiset

Tietosuojavaltuutettu antaa henkilötietojen käsittelyä koskevaa ohjausta ja neuvontaa sekä valvoo henkilötietojen käsittelyä henkilötietolain tavoitteiden toteuttamiseksi. Tietosuojalautakunta käsittelee henkilötietojen käsittelyyn liittyviä lain soveltamisalan kannalta periaatteellisesti tärkeitä kysymyksiä. Molemmat käyttävät lisäksi päätösvaltaa tietosuoja-asioissa siten kuin henkilötietolaissa säädetään.

Sen lisäksi, mitä laissa on määritelty henkilötietojen käsittelyn sallittavuudesta, tietosuojalautakunta voi eräissä tapauksissa, lähinnä rekisteröidyn elintärkeän edun suojaamiseksi antaa määräajaksi tai toistaiseksi luvan henkilötietojen käsittelyyn. Lupa voidaan myöntää myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi edellyttäen, ettei tietojen tällainen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia.

Arkaluonteisten henkilötietojen käsittelyyn tietosuojalautakunta voi antaa luvan tärkeää yleistä etua koskevasta syystä.

Epäselvissä tapauksissa on hyvä ottaa yhteyttä tietosuojaviranomaisiin.

Toimialakohtaisten hyvän rekisteritavan mallien luomiseksi tietosuojavaltuutettu on käynnistänyt selvityshankkeita muun muassa terveydenhuollon, kunnallisen rekisterinpidon, kouluhallinnon, luottotietotoiminnan ja työelämän tietosuojakysymyksistä.

Hallitus on antanut esityksen laiksi yksityisyyden suojasta työelämässä (HE 75/2000). Laki ei kuitenkaan ole tullut vielä voimaan. Laissa on tarkoitus säätää yksityisyyden suojasta työelämässä ja sitä sovellettaisiin kaikkiin palvelussuhteisiin, siis myös virkasuhteisiin. Lain pääasiallinen sisältö tulisi olemaan, että työnantaja saisi käsitellä vain välittömästi työsuhteen kannalta tarpeellisia työntekijän henkilötietoja, eikä tästä tarpeellisuusvaatimuksesta voitaisi poiketa työntekijän suostumuksellakaan. Työnantajan olisi lisäksi kerättävä työntekijää koskevia henkilötietoja ensi sijassa työntekijältä itseltään.