Valintakoe G: Oikeustiede ja yhteiskuntatieteet
Mikä on henkilötieto ja milloin sitä saa käsitellä?
EU:n yleisen tietosuoja-asetuksen mukaan henkilötieto on mikä tahansa tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, kuten nimi, henkilötunnus, sijaintitieto tai verkkotunniste. Henkilötietoja saa käsitellä vain, jos käsittelylle on asetuksen 6 artiklan mukainen peruste, esimerkiksi suostumus, sopimus, lakisääteinen velvoite tai oikeutettu etu. Käsittelyn on lisäksi noudatettava asetuksen periaatteita.
Käsittelyperusteita on kuusi: suostumus, sopimuksen täytäntöönpano, lakisääteinen velvoite, elintärkeän edun suojaaminen, yleistä etua koskeva tehtävä tai julkisen vallan käyttö ja rekisterinpitäjän tai kolmannen oikeutettu etu. Suostumuksen on oltava vapaaehtoinen, yksilöity ja peruutettavissa, eikä se ole pätevä, jos kieltäytyminen ei ole todellinen vaihtoehto.
Käsittelyn periaatteita ovat muun muassa käyttötarkoitussidonnaisuus, tietojen minimointi, täsmällisyys, säilytyksen rajoittaminen ja tietoturva. Tietoa, joka on kerätty yhteen tarkoitukseen, ei saa käyttää siihen yhteensopimattomaan tarkoitukseen. Terveystiedot ja muut erityiset henkilötietoryhmät ovat lähtökohtaisesti käsittelykiellon piirissä.
Rekisteröidyllä on oikeus saada tietää, mitä tietoja hänestä käsitellään, oikeus pyytää virheellisten tietojen oikaisemista ja tietyin edellytyksin oikeus tietojen poistamiseen. Pseudonymisoitu tieto on edelleen henkilötietoa, jos henkilö on tunnistettavissa lisätietojen avulla, mutta aidosti anonymisoitu tieto ei ole (automaattinen päätöksenteko).
Kaava
Käsittelyperusteet (6 artikla): suostumus · sopimus · lakisääteinen velvoite · elintärkeä etu · yleinen etu tai julkinen valta · oikeutettu etu
Esimerkki
Kuntosali tallentaa asiakkaiden käynnit ja haluaa käyttää tietoja myös kumppaniyrityksen urheilujuomien markkinointiin. Asiakas ei saa kulkukorttia, ellei hän anna suostumusta molempiin. Onko suostumus pätevä?
- Käyntitiedot liittyvät tunnistettaviin asiakkaisiin, joten ne ovat henkilötietoja.
- Kulunvalvonta voi perustua sopimukseen, koska se on tarpeen palvelun toteuttamiseksi.
- Markkinointi kumppanille on eri tarkoitus. Jos kulkukorttia ei saa ilman suostumusta, suostumus ei ole vapaaehtoinen.
- Markkinointikäyttö tarvitsee erillisen ja vapaaehtoisen suostumuksen, jonka voi evätä menettämättä palvelua.
Tyypillinen virhe
Suostumusta pidetään aina varmana perusteena, vaikka se on peruutettavissa eikä ole pätevä, jos kieltäytyminen ei ole todellinen vaihtoehto. Toinen virhe on olettaa, ettei julkisesti saatavilla oleva tieto ole henkilötietoa: sen kerääminen uuteen tarkoitukseen on uutta käsittelyä.
Valintakokeessa G
Valintakokeen G aineistona voi olla säännösote tietosuoja-asetuksesta ja tapauskuvaus. Koe mittaa aineiston käsitteistön soveltamista (2026), ja käsittelyperusteen ja periaatteiden erottaminen auttaa arvioimaan, onko väitetty käsittely sallittua.
Missä kurssissa tämä opetetaan
SmartVK:n valintakoe G -kurssin luvussa 30: Teknologia, data ja oikeus. Katso kurssin sisältö.
Kysymyksiä
Onko IP-osoite henkilötieto?
Voi olla. Unionin tuomioistuin on katsonut, että myös dynaaminen IP-osoite voi olla henkilötieto, jos taholla on oikeudelliset keinot yhdistää se henkilöön lisätietojen avulla. Tunnistettavuus arvioidaan sen mukaan, mitä keinoja tunnistamiseen voidaan kohtuudella käyttää.
Kuka valvoo tietosuojaa Suomessa?
Suomessa tietosuojaa valvoo tietosuojavaltuutettu, jonka toimisto on itsenäinen viranomainen. Rekisteröity voi tehdä sille ilmoituksen, jos hän katsoo, että hänen henkilötietojaan käsitellään lainvastaisesti. Hallinnollisista seuraamusmaksuista päättää tietosuojavaltuutetun toimiston seuraamuskollegio, ja päätöksistä voi valittaa hallinto-oikeuteen.