Lausunto Forssan kaupungille jätteenkuljetusrekisterin ja asiakasrekisterin yhteiskäytöstä. Tomi Voutilainen, professori

Transkriptio

1 Lausunto Forssan kaupungille jätteenkuljetusrekisterin ja asiakasrekisterin yhteiskäytöstä Tomi Voutilainen, professori

2 SISÄLLYS 1 Lausuntopyyntö Yleinen osa Henkilörekisteri Rekisterinpitäjä Viranomaisten toiminnan julkisuudesta annetun lain vaikutus tietojenkäsittelyyn Erityinen osa Viranomaisrekisterin ja asiakasrekisterin yhdistäminen Yhteisen rekisterin rakenne, salassa pidettävät tiedot ja tietosisältöä koskevat vaatimukset Henkilötietojen käsittelyyn liittyvistä toimista sopiminen Johtopäätökset... 12

3 1 Lausuntopyyntö Forssan kaupunki on pyytänyt minulta lausuntoa päivätyllä lausuntopyynnöllä, jossa pyydetään oikeudellista arviointia jätelain tulkintaan ja soveltamiseen liittyvistä kysymyksistä rekisterinpidon osalta. Arviota pyydetään mahdollisuudesta yhdistää jätelaissa tarkoitettua palvelutehtävää hoitavan jäteyhtiön Loimi-Hämeen Jätehuolto Oy:n (jäljempänä jäteyhtiö) perusmaksujen laskutusta ja muita yhtiön kuntavastuulliseen jätteeseen liittyviä tehtäviä varten ylläpitämä rekisteri sekä Forssan kaupungin jätelautakunnan ylläpitämä jätelain 143 :ssä tarkoittama jätteenkuljetusrekisteri. Lausuntopyynnön mukaan rekisterien yhdistämiseksi on vaihtoehto, jossa jäteyhtiö ylläpitää pohjatietoja ja jäteviranomainen seuraa rekisteriin kirjattuja tietoja. Forssan kaupunki pyytää arvioimaan: millaisin edellytyksin viranomaisrekisterin ja jäteyhtiön asiakasrekisterin voisi yhdistää ja onko yhdistäminen perusteltua? millainen rakenne yhteisellä rekisterillä voisi olla ja miten salassa pidettäviä rekisteritietoja tulisi käsitellä? voisiko yhteinen rekisteri sisältää tietoja, joita viranomaisen rekisterissä ei ole, mm. muistio-osio ja sopimustiedot, vai tulisiko koko rekisteri päivittää vastaamaan vain rekisteriselosteen mukaisia tietoja? 2 Yleinen osa Lausuntopyynnön mukaan viranomainen ei tallenna rekisteriinsä tallennettavaan ja siellä viisi vuotta säilytettävään vuosiraporttiin sitä, miltä kuljetusyrittäjältä sopimustieto on tullut. Lausuntopyynnössä tiedustellaan, tulisiko tämä tieto poistaa kokonaan mahdollisesta yhteisrekisteristä vai voisiko yhteinen rekisteri sisältää osioita, joista vain toinen toimija vastaa. Lausunto koostuu kahdesta osasta: yleisestä ja erityisestä osasta. Yleisessä osassa käsitellään henkilörekisterin muodostumista ja rekisterinpitoon liittyviä vastuita. Euroopan unionin yleinen tietosuoja-asetus (EU) 2016/679 tuli voimaan ja sitä aletaan soveltaa kaikissa EU:n jäsenvaltioissa Yleistä tietosuoja-asetusta sovelletaan pääosiltaan sellaisenaan, ellei kansallisesti ole käytetty asetuksen sallimaa liikkumavaraa. Toistaiseksi ei ole tiedossa, miten Suomi aikoo tätä liikkumavaraa käyttää, mutta tällä ei ole olennaista vaikutusta nyt lausuttavana olevaan rekisterinpitoon liittyen. Joka tapauksessa nykyisessä muodossa henkilötietolaki (523/1999) tullaan kumoamaan mennessä. Lausunnon erityisessä osassa on vastattu Forssan kaupungin esittämiin kysymyksiin rekisterinpitoon ja henkilötietojen käsittelyyn liittyen. 2.1 Henkilörekisteri Henkilötietolain 3 :n 3 kohdan mukaan henkilörekisterillä tarkoitetaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta. Henkilörekisterin tietosisällön määrittää se 1

4 käyttötarkoitus, jota varten henkilötietoja kerätään ja käsitellään rekisterinpitäjän toiminnassa. Tyypillisesti henkilörekisteri muodostuu viranomaistoiminnassa tietyn lakisääteisen tehtävän hoitamisen yhteydessä. Lisäksi laissa voi olla erikseen säädetty tietystä viranomaisen vastuulla olevasta henkilörekisteristä. Henkilörekistereitä muodostuu myös muun muassa palvelussuhteiden ja asiakassuhteiden hoitoon liittyvästä henkilötietojen käsittelystä. EU:n yleisen tietosuoja-asetuksen 4 artiklan 6 kohdan mukaan rekisterillä tarkoitetaan mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu. Käytännössä tietosuoja-asetuksessa oleva rekisterin käsite vastaa pääosiltaan henkilötietolaissa tarkoitettua henkilörekisterin käsitettä, koska rekisterinpitoon liittyvät vastuut tietyn tietojoukon osalta määräytyvät rekisterinpitäjän määrittämän käyttötarkoituksen tai jäsennyksen perusteella. Käyttötarkoitus määrittelee sitä, miten rekisteri on järjestetty ja mitä tietoja rekisteriin on kerätty sekä millä perusteilla tietoja voidaan rekisteristä hakea. Toisaalta rekisterin käsite laajenee tietosuoja-asetuksen myötä siten, että rekisteri muodostuu tietojoukosta, johon voidaan kohdistaa esimerkiksi henkilöperusteisia hakuja. Tietosuoja-asetuksen rekisterin käsitteellä ei ole nyt lausuttavana olevan henkilötietojen käsittelyn kannalta merkitystä. Yleisesti kunnassa henkilörekisterit muodostuvat kunkin viranomaistehtävän ja siihen liittyvän palvelutuotannon perusteella. Tietyn viranomaistehtävän hoitaminen tai palvelun tuottaminen muodostaa käyttötarkoituksen, jota varten henkilötietoja kerätään ja käsitellään henkilörekisteristä. Jätelain 32 :ssä on säädetty kunnan velvollisuudesta järjestää jätehuolto ja 33 :ssä on säädetty kunnan velvollisuudesta järjestää jätehuolto eräiltä osin toissijaisesti. Jätelain :ssä on säädetty tarkemmista vaatimuksista ja menettelyistä kunnan järjestämisvastuulla olevasta jätehuollosta. Jätehuollon järjestämistä varten kerättävät tiedot muodostavat siten henkilörekisterin. Jätelain 143 :ssä on säädetty erikseen jätteen kuljetuksia koskevasta rekisteristä (jäljempänä jätekuljetusrekisteri). Säännöksen mukaan rekisteriin merkitään jätelain 39.2 :ssä tarkoitetut tiedot, joita ovat kiinteistöt, joilta jätettä on noudettu, sekä jäteastioiden tyhjennyskerrat kiinteistöittäin ja jätelajeittain. Säännöksessä säädetään jätelajeittain annettavasta tiivistelmästä kiinteistöiltä kerätyn jätteen määrästä ja toimituspaikoista. Jätehuoltoon liittyy myös jätelain 78 :ssä säädetty jätemaksun perimistehtävät, jotka ovat osa jätehuollon toteuttamiseen liittyvää henkilötietojen käsittelyä. Jätemaksujen laskutuksessa käsiteltävät tiedot ovat kiinteässä yhteydessä muuhun kunnan järjestämän jätehuollon toteuttamiseen, joten ne kuuluvat käyttötarkoituksensa perusteella samaan henkilörekisteriin kuin muut jätehuollon toteuttamista koskevat tiedot. Käytännössä kysymys on asiakasrekisterin tiedoista. Jätelain 78 :n mukaan kunnan on perittävä jätelain mukaisesti järjestämästään jätehuollosta jätemaksua, jolla katetaan sille tehtävän hoitamisesta aiheutuvat kustannukset. Jätteen loppukäsittelystä perittävällä maksulla on katettava vähintään 21 :ssä tarkoitetut kustannukset. Kunta voi periä jätemaksua myös 93 :n 1 momentissa kunnan vastuulle säädetystä jäteneuvonnasta, 143 :ssä säädetyn rekisterin ylläpidosta ja muista vastaavista jätehuollon järjestämiseen liittyvistä tehtävistä aiheutuvien kustannusten kattamiseksi. Jossakin määrin jätelaissa jätehuoltoon liittyvien rekisterien tai rekisterin rakenne on jätetty epäselväksi. Jätelain 143 :ssä on säädetty erikseen jätteen kuljetuksia koskevasta rekisteristä ja siihen kuuluvista tiedoista. Säännöksestä ei ilmene varsinaisesti rekisteröinnin tavoitetta, vaikka perustuslakivaliokunnan vakiintuneen lausuntokäytännön mukaan henkilötietojen käsittelyä koskeviin laissa säätämisvaatimuksiin kuuluu henkilötietojen käsittelyn tavoitteesta säätäminen (PeVL 25/1998 vp ym.). Tässä tapauksessa rekisteröinnin tavoite onkin tulkittavissa siten, että 2

5 jätekuljetusrekisteriin tallennetaan jätteen kuljetuksia koskevat tiedot sen osoittamiseksi, että kunnan jätehuoltoviranomainen on järjestänyt kunnan jätehuollon jätelaissa säädetyllä tavalla. Samalla kunnan jätehuoltoviranomainen voi valvoa rekisterillään jätekuljetusten toteuttamista. Tästä seuraa, että jätekuljetusrekisteri muodostaa nimenomaisesti laissa säädettynä rekisterinä oman rekisterinsä ja käyttötarkoituksensa sekä jätehuollon toteuttamiseen liittyvässä toiminnassa syntyvistä tiedoista muodostuu jätehuollon toteuttamisen asiakasrekisteri. Jos jätekuljetusrekisteristä ei olisi omaa säännöstä, voitaisiin jätekuljetuksia koskevat tiedot ja asiakasrekisterin tiedot yhdistää yhteen ja samaan rekisteriin, koska niiden käyttötarkoitus on lakisääteisen jätehuollon toteuttaminen. 2.2 Rekisterinpitäjä Henkilötietolain 3 :n 4 kohdan mukaan rekisterinpitäjällä tarkoitetaan yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty. Kunnissa rekisterinpitäjä määräytyy siten, että rekisterinpitäjänä toimii se viranomainen, joka huolehtii tietyn tehtävän tai palvelun järjestämisvastuusta. Tietosuojavaltuutetun vakiintuneen tulkinnan mukaan kunnassa tällainen viranomainen on asianomainen lakisääteisestä tehtävästä vastaava toimielin, kuten lautakunta (ks. esimerkiksi TSV 150/49/2007; TSV 1583/41/2014; TSV 1037/41/2011). EU:n yleisen tietosuoja-asetuksen mukaan rekisterinpitäjällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. Käytännössä rekisterinpitäjä määräytyy lukien samoilla perusteilla kuin henkilötietolaissa. Tietosuoja-asetuksessa on määritelty myös henkilötietojen käsittelijän käsite, jolla tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. Henkilötietojen käsittelijän määritelmää ei ole henkilötietolaissa. Kuntalain (410/2015) 8 :ssä on säädetty kunnan järjestämisvastuusta. Säännöksen mukaan kunta voi järjestää sille laissa säädetyt tehtävät itse tai sopia järjestämisvastuun siirtämisestä toiselle kunnalle tai kuntayhtymälle. Lakisääteisessä yhteistoiminnassa järjestämisvastuu on kunnan puolesta toisella kunnalla tai kuntayhtymällä. Tehtävien hoidosta järjestämisvastuussa oleva kunta tai kuntayhtymä vastaa järjestettävien palvelujen ja muiden toimenpiteiden: 1) yhdenvertaisesta saatavuudesta; 2) tarpeen, määrän ja laadun määrittelemisestä; 3) tuottamistavasta; 4) tuottamisen valvonnasta; 5) viranomaiselle kuuluvan toimivallan käyttämisestä. Kunta vastaa tehtäviensä rahoituksesta, vaikka järjestämisvastuu on siirretty toiselle kunnalle tai kuntayhtymälle. 3

6 Järjestämisvastuu ei määritä sitä, miten palvelut pitää tuottaa. Tuotantotavasta päättäminen käsittää sen, tuotetaanko palvelu itse tai kuntien yhteistoiminnassa, vai hankitaanko se sopimusten perusteella muualta. Kuntalain 9 :ssä on säädetty palvelujen tuottamisesta. Säännöksen mukaan kunta tai kuntayhtymä voi tuottaa järjestämisvastuulleen kuuluvat palvelut itse tai hankkia ne sopimukseen perustuen muulta palvelujen tuottajalta. Julkisen hallintotehtävän kunta voi kuitenkin antaa muulle kuin viranomaiselle vain, jos siitä erikseen lailla säädetään. Kunnan tai kuntayhtymän hankkiessa laissa säädettyjä palveluja muulta palvelujen tuottajalta, sillä säilyy 8.2 :ssä tarkoitettu järjestämisvastuu. Tämän lisäksi palvelujen tuottajan vastuu palveluista määräytyy sen mukaan, mitä kuntalaissa tai muualla säädetään, sekä mitä kunta tai kuntayhtymä ja palvelujen tuottaja sopivat. Jätelain 32 :n mukaan kunnan on järjestettävä pykälässä mainittu jätehuolto. Säännöstä täydentää 33 :ssä säädetty jätehuollon järjestämisen toissijaisuutta koskeva velvollisuus. Jätelain 23.1 :n mukaan kunnalle kuuluvista jätelain mukaisista jätehuollon viranomaistehtävistä huolehtii kunnan määräämä kuntalaissa (365/1995) tarkoitettu toimielin (kunnan jätehuoltoviranomainen). Jätelaissa oleva viittaus kuntalakiin on vanhentunut. Nykyisin voimassa olevassa kuntalaissa (410/2015) kunnan toimielimistä on säädetty 6 luvussa. Käytännössä jätehuollon viranomaistehtävistä huolehtii asianomainen jätelautakunta, joka voi olla useamman kunnan yhteinen. Jätelain 23.2 :n mukaan jätehuoltoviranomaisena voi toimia myös kuntayhtymä. Säännöksen perusteluiden mukaan säännöksen tarkoituksena on erottaa jätehuollon viranomaistehtävät ja palvelutehtävät toisistaan siten, että viranomaistehtävistä vastaa aina jätehuoltoviranomainen (HE 199/2010 vp, s. 79). Säännöksen sanamuoto ja perustelut eivät tosin sulje pois sitä mahdollisuutta, että myös palvelutehtävät hoidetaan jätehuoltoviranomaisen toimesta. Jätelain 143 :n mukaan kunnan jätehuoltoviranomainen ylläpitää jätekuljetusrekisteriä. Jätehuoltoviranomainen on siten jätelain nojalla lakisääteisen rekisterin lakisääteinen rekisterinpitäjä. Rekisterinpito kuuluu jätehuoltoviranomaisen viranomaistehtäviin. Jätelain 23 :n perustelujen mukaan kunnan viranomaistehtäviä ei kunnan päätöksellä voida siirtää yksityisoikeudelliselle toimijalle, vaan jätehuollon viranomaistehtäviä hoitaa aina kunnan jätehuoltoviranomainen (HE 199/2010 vp, s. 79). Jätehuollon järjestäminen on kokonaisuudessaan perustuslain 124 :ssä tarkoitettu julkinen hallintotehtävä siltä osin kuin se on säädetty kunnan järjestämisvastuulle. Tämä julkinen hallintotehtävä on jaettu jätelaissa viranomaistehtäviin ja palvelutehtäviin, joista ensimmäistä ei voi hoitaa kuin viranomainen. Perustuslain 124 :n mukaan julkinen hallintotehtävä voidaan antaa muulle kuin viranomaiselle vain lailla tai lain nojalla, jos se on tarpeen tehtävän tarkoituksenmukaiseksi hoitamiseksi eikä vaaranna perusoikeuksia, oikeusturvaa tai muita hyvän hallinnon vaatimuksia. Jätelain 26 :n mukaan kunta voi järjestää kunnan jätehuoltoviranomaisen tehtävät siten kuin kuntalaissa säädetään: 1) hoitamalla toiminnan itse; 2) sopimuksin yhdessä muun kunnan kanssa; 3) olemalla jäsenenä toimintaa hoitavassa kuntayhtymässä. Siten kunta ei voi antaa jätehuoltoviranomaisen tehtäviä yksityisoikeudelliselle yhteisölle. Kuitenkin jätelain 43 :n mukaan kunta voi päätöksellään siirtää sille jätelaissa säädetyn jätteen vastaanoton, kuljetuksen ja käsittelyn, 82 :ssä tarkoitetun jätemaksujen laskutuksen ja 93.1 :ssä 4

7 tarkoitetun jäteneuvonnan sekä näihin välittömästi liittyvät hallinnolliset tehtävät, joihin ei sisälly julkisen vallan käyttöä, tätä varten perustetulle yhtiölle, jonka kunta yhdessä muiden kuntien kanssa omistaa. Kunta vastaa siitä, että siirretyt jätehuollon palvelutehtävät tulevat hoidetuiksi jätelain ja sen nojalla annettujen säännösten mukaisesti. Siten kunnalla säilyy järjestämisvastuu ja siihen liittyvät velvollisuudet myös palvelutehtävän osalta. Arvioitaessa rekisterinpitoon liittyviä vastuita, on otettava huomioon ensinnäkin se, että jätekuljetusrekisterin rekisterinpito on säädetty kunnan jätehuoltoviranomaisen viranomaistehtäväksi. Jätelaissa ei ole säädetty siitä, että jätekuljetusrekisterin ylläpitoa voitaisiin antaa tai ulkoistaa yksityisoikeudelliselle yhteisölle. Viranomaisen tehtäväksi säädettyyn rekisterinpitoon liittyvät tietojen tallennustehtävät ovat osa julkisen hallintotehtävän hoitamista. Perustuslakivaliokunta on katsonut, että esimerkiksi Verohallinnolle annettavien ilmoitusten ja muiden asiakirjojen vastaanotto, lajittelu sekä asiakirjojen ja niihin sisältyvien tietojen tallentaminen ovat verotukseen liittyviä avustavia tehtäviä, mutta kuuluvat julkisen hallintotehtävän hoitoon (PeVL 30/2012 vp). Tällaisen avustavan tehtävän antamisesta yksityisoikeudelliselle yhteisölle piti säätää erikseen laissa. Siten voidaan pitää kiistatta selvänä, että kunnan jätehuoltoviranomaisen tehtävänä on ylläpitää jätekuljetusrekisteriä, koska se on säädetty sille nimenomaiseksi viranomaistehtäväksi. Toisaalta rekisterinpitoon liittyviä tehtäviä kunnan jätehuoltoviranomainen ei voi antaa yksityisoikeudellisen yhteisön hoidettavaksi, koska tällaisen julkisen hallintotehtävän (rekisterin ylläpito) antamisesta yksityisoikeudelliselle yhteisölle ei ole säädetty jätelaissa tai muussakaan laissa. Kunta ei voi kuntalain nojalla antaa julkisia hallintotehtäviä yksityisen hoidettavaksi. Kunta voi antaa jätelain 43 :ssä luetellut tehtävät kunnan tai kuntien omistamalle yhtiölle. Näiden säännöksessä mainittujen palvelutehtävien hoitamisessa tapahtuu henkilötietojen käsittelyä hallinnollisia tehtäviä hoidettaessa sekä jätemaksujen laskutuksessa. Jätelain 84 :n mukaan kunnan jätemaksua koskevia säännöksiä sovelletaan myös silloin, kun kunta on siirtänyt jätehuollon järjestämiseen liittyvät palvelutehtävät tätä varten perustetulle 43 :ssä tarkoitetulle yhtiölle. Jätemaksulla saa kerätä enintään kohtuullisen tuoton pääomalle. Käytännössä näistä palvelutehtävien hoitamisesta syntyy tehtävää hoitavan yhtiön ylläpitämä asiakasrekisteri. Palvelutehtävää hoitava yhtiö ei ole palvelutehtävän hoitamisen yhteydessä muodostuvan henkilörekisterin rekisterinpitäjä, vaan yhtiö hoitaa palvelutehtävää kunnan lukuun kunnan antamana tehtävänä. Jätelaissa säädetyt palvelutehtävät on säädetty kunnan tehtäväksi, jotka kunta voi siirtää yhtiölle jätelaissa säädetyin osin. Jätelain 43 :n mukaan kunta kuitenkin vastaa siitä, että palvelutehtävä tulee hoidetuksi. Kunta voi järjestellä myös uudestaan jätehuollon palvelutehtäviä ja ryhtyä hoitamaan tehtävää itse. Rekisterinpitäjä on se, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä. Jätelaissa tarkoitetut palvelutehtävät on säädetty kunnan tehtäviksi, jotka kunta voi siirtää yhtiölle. Siten asiakasrekisteri on perustettu kunnalle säädetyn palvelutehtävän hoitamista varten, vaikka asiakasrekisteri ylläpitäisi maksujen laskutusta hoitava yhtiö. Henkilörekisterin käytöstä määrääminen ratkeaa viime kädessä sillä perusteella, voiko kunta päättää henkilörekisterin siirtämisestä toiselle palvelutehtävää hoitavalle yhtiölle tai itselleen, jos kunta päättäisi organisoida palvelutehtävän hoitamisen uudelleen. Jätelaissa tarkoitettu tehtävien siirtäminen yhtiölle ei tarkoita sitä, että yhtiö hoitaisi ikuisesti palvelutehtävää, vaan kysymys on hallintolain (434/2003) 3.1 :ssä tarkoitetun hallintosopimuksen perusteella hoidettavasta palvelutehtäväkokonaisuudesta. Mitään estettä ei ole myöskään sille, että kunta päätyisi hoitamaan 5

8 itse jätemaksujen laskutuksen, vaikka esimerkiksi jätteen kuljetus olisi annettu jätelain 43 :ssä tarkoitetulle yhtiölle. Koska kunnalla on jätemaksujen laskutukseen ja perintään liittyvän tehtävän organisoinnin osalta itsenäinen päätöksentekovalta ja koska palvelutehtävää hoitava yhtiö toimii hallintosopimuksen perusteella kunnalle säädetyn tehtävän hoitajana, voidaan päätyä siihen lopputulokseen, että jätehuollon asiakasrekisterin rekisterinpitäjänä toimii kunta ja nimenomaan kunnan asianomainen toimielin. Puolestaan jätehuollon palvelutehtäviä hoitava yhtiö on yleisen tietosuoja-asetuksen 4 artiklan 8 kohdan mukaisessa henkilötietojen käsittelijän asemassa. EU:n yleisen tietosuoja-asetuksen 26 artiklassa on säädetty yhteisrekisterinpitäjistä. Asetuksen 26 (1) artiklan mukaan, jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Ne määrittelevät keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin vastuualueen tietosuoja-asetuksessa vahvistettujen velvoitteiden noudattamiseksi, erityisesti rekisteröityjen oikeuksien käytön sekä 13 ja 14 artiklan mukaisten tietojen toimittamista koskevien tehtäviensä osalta, paitsi jos ja siltä osin kuin rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä määritellään rekisterinpitäjien vastuualueet. Järjestelyn yhteydessä voidaan nimetä rekisteröidyille yhteyspiste. Asetuksen 26 (2) artiklan mukaan järjestelystä on käytävä asianmukaisesti ilmi yhteisten rekisterinpitäjien todelliset roolit ja suhteet rekisteröityihin nähden. Järjestelyn keskeisten osien on oltava rekisteröidyn saatavilla. Asetuksen 26 (3) artiklan mukaan riippumatta järjestelyn ehdoista rekisteröity voi käyttää asetuksen mukaisia oikeuksiaan suhteessa kuhunkin rekisterinpitäjään ja kutakin rekisterinpitäjää vastaan. Tietosuoja-asetuksen 26 artiklassa tarkoitettu yhteisrekisterinpitäjyys tulee kysymykseen, jos useampi jätehuoltoviranomainen alkaisi yhdessä pitää jätekuljetusrekisteriä. Järjestelyä ei voida järjestää jätehuoltoviranomaisen ja palvelutehtävää hoitavan yhtiön välille, koska jätekuljetusrekisterin rekisterinpitäjyys on kansallisessa lainsäädännössä säädetty jätehuoltoviranomaiselle. Jos katsottaisiin, että palvelutehtävää hoitava yritys olisi itsenäinen rekisterinpitäjä jätehuollon asiakasrekisterin osalta, voitaisiin tällöin soveltaa kunnan jätehuoltoviranomaisen ja yhtiön rekisterinpitoon asetuksen 26 artiklan säännöksiä. Kuitenkin edellä on jo päädytty siihen, että kunta toimii lakisääteisen järjestämisvastuullaan olevan jätehuollon asiakasrekisterin rekisterinpitäjänä, koska se voi itsenäisesti päättää, miltä osin se siirtää palvelutehtäviä yhtiön hoidettavaksi tai se voi päättää myös palvelutehtävien uudelleen organisoimisesta. Tässä suhteessa tietosuoja-asetuksen 26 artiklan säännökset eivät voi tulla sovellettavaksi jätekuljetusrekisteriin tai jätehuollon asiakasrekisteriin. 2.3 Viranomaisten toiminnan julkisuudesta annetun lain vaikutus tietojenkäsittelyyn Jätelain 39.2 :n mukaan jätteen kuljettajan on vuosittain annettava tiedot kunnan jätehuoltoviranomaiselle kiinteistöistä, joilta jätettä on noudettu, sekä jäteastioiden tyhjennyskerroista kiinteistöittäin ja jätelajeittain. Kunnan jätehuoltoviranomainen voi pyytää toimittamaan tiedot neljännesvuosittain, jos tämä on toiminnan seuraamiseksi tarpeellista. Kuljettajan on lisäksi vuosittain annettava jätelajeittain tiivistelmä kiinteistöiltä kerätyn jätteen määrästä ja toimituspaikoista. Jätteen kuljetuksia hoitavien yrityksien näkökulmasta kiinteistöt, joista jätettä on noudettu, voisivat olla liikesalaisuuksia. Viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999, jäljempänä julkisuuslaki) ei ole liikesalaisuuden määritelmää. Julkisuuslain 24.1 :n 20 kohdan yksityiskohtaisissa perusteluissa (HE 30/1998 vp) todetaan, että liikesalaisuudella tarkoitetaan yleensä taloudellisluonteisia, lähinnä kaupankäynnin alaan kuuluvia yrityksen salaisuuksia. Liikesalaisuuteen sisältyy myös yrityskokemusten eli niin sanotun "knowhown" suoja. Tämä on kokemukseen perustuvaa taitoa tiedon hyväksikäytössä. Liikesalaisuus voi olla myös tekninen salaisuus. Jätekuljetusrekisteriin ilmoitettavat tiedot kuvaavat jätteen 6

9 3 Erityinen osa kuljettajan asiakassuhteen tietoja, jotka ovat liikesalaisuuksia, jos kunnan alueella on useita jätteen kuljettajia ja kysymys on kilpailutilanteesta. Jos jätteen kuljetus on järjestetty tai sitä hoitaa kunnan tai jätehuoltoviranomaisen alueella yksi toimija, eivät tiedot välttämättä ole liikesalaisuuksia. Julkisuuslain 26.3 :n mukaan viranomainen voi antaa salassa pidettävästä asiakirjasta tiedon toimeksiannostaan tai muuten lukuunsa suoritettavaa tehtävää varten, jos se on välttämätöntä tehtävän suorittamiseksi. Viranomaisen on ennakolta varmistuttava siitä, että tietojen salassapidosta ja suojaamisesta huolehditaan asianmukaisesti. Julkisuuslaki mahdollistaa sen, että salassa pidettäviä tietoja voi käsitellä myös viranomaisen lukuun toimiva. Säännös ei kuitenkaan mahdollista tietojenkäsittelytehtävien ulkoistamista, vaan tästä on säädettävä erikseen, jos tietojenkäsittely liittyy julkisen hallintotehtävän hoitamiseen. 3.1 Viranomaisrekisterin ja asiakasrekisterin yhdistäminen Forssan kaupungin jätelautakunta toimii jätelaissa tarkoitettuna jätehuoltoviranomaisena. Siten jätelautakunta toimii jätelain 143 :ssä jätekuljetusrekisterin rekisterinpitäjänä. Loimi-Hämeen Jätehuolto Oy hoitaa jätelaissa tarkoitettuja palvelutehtäviä, jotka yhteistoiminta-alueeseen kuuluvat kunnat (Akaa, Eura, Forssa, Huittinen, Humppila, Jokioinen, Koski Tl, Loimaa, Oripää, Punkalaidun, Sastamala, Somero, Säkylä, Tammela, Urjala ja Ypäjä) ovat siirtäneet jätelain 43 :n perusteella yhtiölle hoidettavaksi. Tässä suhteessa yhtiö toimii edellä mainittujen kuntien lukuun. Loimi-Hämeen Jätehuolto Oy:n osakassopimuksen ( ) mukaan sen tehtävänä on hoitaa sopijakuntien alueella niiden puolesta jätehuoltoa jätelain vaatimusten mukaisesti ja mahdollisimman taloudellisesti. Yhtiö järjestää alueella sellaisen jätteenkäsittelyn, jonka kunnat ovat jätelain mukaan velvollisia järjestämään. Sopimuksen mukaan yhtiö vastaa tarpeellisesta jätehuollon neuvonnasta ja tiedottamisesta osakaskunnissa. Osakassopimusta on muutettu vuosien vaihteessa siten, että kunta voi irtisanoa sopimuksen jätehuollon tehtävien antamisesta yhtiölle 6 vuoden irtisanomisajalla. Marraskuussa 2015 tehdyn uuden osakassopimuksen mukaan yhtiön tehtävänä on ensisijaisesti huolehtia osakkaina olevien kuntien jätehuollon palvelutehtävien järjestämisestä. Sopimuksessa viitataan jätelaissa määriteltyihin palvelutehtäviin, jotka voidaan antaa yhtiön tehtäväksi. Sopimuksen kohdassa 4 on määritelty tarkemmin yhtiön tehtävät. Muun muassa yhtiön palvelutehtäviin kuuluu jätehuollon suunnittelu, osakkaana olevien kuntien jätemaksujen laskutus sekä asiakasrekisterien ja tilastojen ylläpito, organisointi sekä hallinnolliset tehtävät, joihin ei sisälly julkisen vallan käyttöä. Osakassopimus on tehty kuntien ja yhtiön välille. Osakassopimus on hallintolaissa tarkoitettu hallintosopimus, koska se sisältää julkisen hallintotehtävän hoitoon liittyviä tehtäväjärjestelyjä. Kunnat ovat siis antaneet yhtiölle sopimuksessa mainitut jätelain mukaiset palvelutehtävät hoidettavaksi. Sen sijaan järjestämisvastuuta kunnat eivät ole voineet antaa yhtiölle. Jätelautakunnan osakassopimuksen (solmittu joulukuussa 2013-helmikuussa 2014) mukaan Forssan kaupungin jätelautakunta toimii isäntäkuntamallilla. Sopimuksen mukaan lautakunnan tehtävänä on huolehtia kunnalle jätelain ja sen nojalla annettujen säädösten ja määräysten mukaisista jätehuollon viranomaistehtävistä. Sopimuksen mukaan lautakunnan tehtävistä määrätään tarkemmin johtosäännössä. Sopimuksen mukaan Loimi-Hämeen Jätehuolto Oy:n tulee toimittaa vuosittain selvitys lautakunnalle lautakunnan toimintaan kerätyistä maksuista. Sopimuksen mukaan kunnan katsotaan eroavan lautakunnasta sillä hetkellä, kun sen kuuluminen LHJ:n toiminta-alueeseen ja jätehuollon palvelutehtävän luovuttaminen LHJ:lle päättyvät. Osakaskuntien 7

10 jätelautakunnan johtosäännön mukaan lautakunta toimii Forssan kaupungin lautakuntana isäntäkuntamallin mukaisesti. Forssan kaupungin hallintosäännön mukaan jätelautakunnan isäntäkuntana toimii Forssan kaupunki. Tietosuojavaltuutetun kannanoton (TSV 150/49/2007, ) mukaan isäntäkunta tai sen asianomainen organisaatio on kyseisessä toiminnassa henkilötietolain mukainen rekisterinpitäjä. Vanhassa kuntalaissa (365/1995) ei ollut erityisiä kuntien yhteisen elimen sopimukseen liittyviä sisällöllisiä vaatimuksia. Uuden kuntalain (410/2015) 52 :n mukaan yhteistä toimielintä koskevassa sopimuksessa on sovittava ainakin: 1) yhteisen toimielimen tehtävistä sekä tarvittaessa 8 :ssä tarkoitetun järjestämisvastuun siirtymisestä; 2) yhteisen toimielimen kokoonpanosta ja muiden kuntien oikeudesta valita toimielimen jäseniä; 3) kustannusten perusteista ja jakautumisesta; 4) sopimuksen voimassaolosta ja irtisanomisesta. Kuntalain mukaan sopimuksessa voidaan myös sopia siitä, ettei vastuukunnan kunnanhallituksella ole oikeutta ottaa yhteisen toimielimen päättämää asiaa käsiteltäväkseen. Forssan jätelautakuntaa koskevassa osakaskuntien sopimuksessa ei varsinaisesti määritellä jätelain mukaisen järjestämisvastuun siirtämisestä kunnilta lautakunnalle, vaan sopimuksen 7 kohdan ja jätelautakunnan johtosäännön 5 kohdan mukaan lautakunnan tehtävänä on huolehtia kunnalle jätelain ja sen nojalla annettujen säädösten ja määräysten mukaisista jätehuollon viranomaistehtävistä. Jätelaissa ei ole yksiselitteisesti määritelty mitä nämä viranomaistehtävät ovat. Toisaalta voidaan tulkita, että kuntalaissa tarkoitettu järjestämisvastuu ja siihen liittyvät tehtävät ovat viranomaistehtäviä. Jätelain 43.1 :n mukaan kunta vastaa siitä, että siirretyt jätehuollon palvelutehtävät tulevat hoidetuiksi jätelain ja sen nojalla annettujen säännösten mukaisesti. Tätä järjestämisvastuuseen kuuluvaa jätelaissa tarkoitettua tehtävää voidaan pitää viranomaistehtävänä ja siten jätelautakunnan osakassopimuksen ja johtosäännön perusteella tämä kuuluu jätelautakunnan tehtäviin. Jossakin määrin kuitenkin jää epäselväksi edelleen sopimuksista, ovatko kunnat siirtäneet järjestämisvastuun Forssan jätelautakunnalle vai ovatko kunnat siirtäneet jätelaissa osittain erittelemättömät viranomaistehtävät jätelautakunnalle. Nimittäin Loimi-Hämeen Jätehuolto Oy:n ja osakaskuntien välisessä tuoreimmassa sopimuksessa todetaan, että yhtiön tehtävänä on huolehtia osakkaina olevien kuntien vastuulle jätelain mukaan kuuluvista jätehuollon palvelutehtävistä, joita ovat mm. osakkaina olevien kuntien jätemaksujen laskutus, asiakasrekisterien ja tilastojen ylläpito. Sopimuksen sanamuodon mukaan kunnat olisivat antaneet asiakasrekisteriensä ylläpidon yhtiön tehtäväksi. Tällä perusteella kunnat olisivat rekisterinpitäjiä kunkin kunnan alueen asiakkaiden tietojen osalta. Kunnat ovat siirtäneet viranomaistehtävät Forssan jätelautakunnan hoidettavaksi nk. isäntäkuntamallin mukaisesti. Koska Forssan kaupungin jätelautakunta on organisoitu isäntäkuntamallin mukaisesti ja tietosuojavaltuutetun vakiintuneen tulkinnan mukaan isäntäkunnan asianomainen toimielin toimii rekisterinpitäjänä, vaikuttaa vahvasti siltä, että sopimustekstien tulkinnanvaraisuudesta huolimatta Forssan kaupungin jätelautakunta toimii asiakasrekisterinkin rekisterinpitäjänä, koska kunnat ovat siirtäneet jätehuollon viranomaistehtävänsä jätelautakunnalle ja toisaalta palvelutehtävää hoidetaan viranomaisen 8

11 lukuun. Forssan kaupunki on puolestaan osapuolena yhtiön osakassopimuksessa. Kunnan on huolehdittava, että palvelutehtävät hoidetaan jätelain mukaisesti siten kuin jätelain 43.1 :ssä on säädetty. Tämä valvontatehtävä on viranomaistehtävä, jonka kunnat ovat siirtäneet Forssan jätelautakunnalle. Edellä esitetyistä syistä jätelautakunta on myös jätehuollon asiakasrekisterin rekisterinpitäjä ja Loimi-Hämeen Jätehuolto Oy on henkilötietojen käsittelijä. Jäteyhtiön osakassopimuksessakin nimenomaan todetaan, että yhtiön tehtävänä on osakaskuntien asiakasrekisterien ylläpito, joka viittaa suoraan henkilötietojen käsittelyyn. Vaikka tällaista kirjausta ei olisikaan osakassopimuksessa, tapahtuu asiakasrekisterin ylläpito kunnan vastuulla olevan palvelutehtävän hoitamiseksi. Käytettävissä olevasta aineistosta ei ilmene, etteikö lautakunta voisi ottaa esimerkiksi laskutusta itselleen hoidettavaksi. Toisaalta jätelaissa ei ole säädetty siitä, että jos kunta päättää siirtää palvelutehtävänsä yhtiölle niin kunnan pitäisi siirtää palvelutehtävät kaikilta osin yhtiölle. Nähdäkseni sillä, että osakassopimus on tehty yhtiön ja kuntien välillä ei ole asiassa merkityksellinen, koska kunnat ovat puolestaan siirtäneen toisella sopimuksella viranomaistehtävät ja käytännössä myös järjestämisvastuun Forssan kaupungin jätelautakunnalle. Teoriassa jätekuljetusrekisteri ja asiakasrekisteri voitaisiin yhdistää, jos katsotaan, että kummankin rekisterin rekisterinpitäjä on jätelautakunta. Kuitenkin jätekuljetusrekisteristä on säädetty nimenomaisesti jätelain 143 :ssä. Tästä syystä yhdistämistä ei voida tehdä, vaan jätekuljetusrekisteri ja asiakasrekisteri on pidettävä erillään. Periaatteessa yhdistäminen voitaisiin kuitenkin tehdä siten, että jätehuollon käyttötarkoituksessa muodostettaisiin yksi rekisteri, joka koostuisi kahdesta osarekisteristä jätekuljetusrekisteri ja asiakasrekisteri. Estettä ei ole sille, että rekisterit olisivat samassa tietojärjestelmässä. Tällöin rekisterit eroteltaisiin tietojärjestelmässä käyttöoikeuksin. Loimi-Hämeen Jätehuolto Oy ei voi hoitaa mitään rekisterinpitoon liittyviä tehtäviä, jotka koskevat jätekuljetusrekisteriä, koska Loimi-Hämeen Jätehuolto Oy on osakeyhtiönä yksityisoikeudellinen yhteisö. Tällöin sille ei voida antaa jätelain 143 :n mukaiseen jätekuljetusrekisteriin liittyviä tehtäviä, jotka ovat julkisia hallintotehtäviä. Tehtävän antamista oikeuttavaa säännöstä ei ole jätelaissa eikä missään muussakaan laissa. Selvyyden vuoksi on myös syytä huomata, että katseluyhteyden avaaminen sivulliselle henkilörekisteriin, on teknisen käyttöyhteyden avulla tapahtuvaa henkilötietojen luovuttamista. Perustuslakivaliokunnan vakiintuneen kannanoton (ks. esimerkiksi PeVL 12/2002 vp) mukaan mahdollisuudesta luovuttaa henkilötietoja henkilörekisteristä teknisen käyttöyhteyden avulla, on säädettävä laissa (ks. myös KHO 2015:41). Koska jätekuljetusrekisteristä tietojen luovuttamisesta teknisen käyttöyhteyden avulla ei ole säädetty mitään, ei tietoja voida luovuttaa myöskään siitä teknisen käyttöyhteyden avulla. Lausuntopyynnön ja sen liitteenä olevan aineiston perusteella kuitenkin vaikuttaa siltä, ettei järjestelyssä ole ollut tarkoituksena sinällään avata teknistä käyttöyhteyttä jätekuljetusrekisteriin. Tietojen toimittaminen henkilörekisteriin on puolestaan sähköisen tiedonsiirtomenetelmän käyttöä, josta on säädetty sähköisestä asioinnista viranomaistoiminnassa annetussa laissa (13/2003). 3.2 Yhteisen rekisterin rakenne, salassa pidettävät tiedot ja tietosisältöä koskevat vaatimukset Kuten edellä on todettu, yhteistä rekisteriä ei voida perustaa, koska jätekuljetusrekisteri on lakisääteinen erillinen rekisteri ja toisaalta sen ylläpitoa ei voida antaa yksityisoikeudellisen yhteisön hoidettavaksi. Loimi-Hämeen Jätehuolto Oy voi hoitaa asiakasrekisterin ylläpitoon 9

12 liittyviä tehtäviä. Jos rekisterien tietosisällöt halutaan sisällyttää samaan alustaan tietojärjestelmään, voidaan tällainen toteuttaa, mutta sillä edellytyksellä, että käyttöoikeuksin rajoitetaan Loimi-Hämeen Jätehuolto Oy:n tietojenkäsittelyä jätekuljetusrekisteriin. Tietojärjestelmän teknisten käyttöoikeuksien hallinnointi pitäisi tällöin olla luonnollisesti jätelautakunnalla. Forssan jätelautakunnan jätteenkuljetusrekisterin rekisteriselosteen mukaan rekisteri sisältää jätelautakunnan toimialueen kiinteistönomistajien henkilötietoja, joita ovat kiinteistön omistajan/omistajien nimi, osoite, puhelinnumero ja henkilötunnus. Kiinteistön osoite, rakennustunnus, kiinteistörekisteritunnus, kiinteistön käyttötarkoitus, käytössäolokoodi, jätehuollon järjestämismuoto, kiinteistökohtaisen keräyksen tapahtumatiedot, mahdolliset viranomaispäätökset ja kuljetustiedot. Edellä mainituista tiedoista salassa pidettäviä voisivat olla julkisuuslain 24.1 :n 31 kohdassa säädetty tieto henkilön ilmoittamasta salaisesta puhelinnumerosta sekä samassa säännöksessä tarkoitetut yhteystiedot silloin, kun henkilöllä on turvakielto. Muilta osin rekisteriin ei sisälly julkisuuslain perusteella salassa pidettäviä tietoja ainakaan rekisteriselosteen perusteella. Tosin kuljetustiedot saattavat olla julkisuuslain 24.1 :n 20 kohdan nojalla salassa pidettäviä liikesalaisuuksina, jos rekisteriin kertyisi tietoja kilpailuilta markkinoilta. Turvakieltotietojen osalta on syytä huomioida, ettei näitä tietoja voida julkisuuslain 29.2 :n mukaan antaa kuin toiselle viranomaiselle. Toisaalta, jos tietoja käsittelisi jokin muu kuin viranomaisessa työskentelevä, voisi viranomaisen lukuun toimiva käsitellä näitä tietoja. Kuitenkaan nyt kysymyksessä olevassa tilanteessa tämä ei ole mahdollista. Lausuntopyynnössä myös tiedustellaan, voisiko yhteinen rekisteri sisältää tietoja, joita viranomaisen rekisterissä ei ole, mm. muistio-osio ja sopimustiedot, vai tulisiko koko rekisteri päivittää vastaamaan vain rekisteriselosteen mukaisia tietoja. Henkilörekisterin käsite kattaa kaikki ne tiedot, jotka on kerätty samaa käyttötarkoitusta varten. Henkilörekisteri muodostaa loogisen kokonaisuuden. Tästä syystä sillä, missä tietoja säilytetään, ei ole merkitystä, vaan eri tietojärjestelmissä, ohjelmistoissa taikka paperimuodossa oleva aineisto kuuluu samaan henkilörekisteriin, jos tietoaineiston käyttötarkoitus on sama. Jos muistio-osio ja sopimustiedot liittyvät henkilörekisterin käyttötarkoitukseen, kuuluvat ne kyseiseen henkilörekisteriin riippumatta siitä, missä niitä säilytetään. Luonnollisesti rekisteriseloste rekisterinpitoa kuvaavana asiakirjana on oltava ajantasainen ja kattava siten, että siitä ilmenee, mitä tietoja kussakin henkilörekisterissä säilytetään. Puolestaan, mitä aineistoa henkilörekisteriin kerätään, on arvioitava tilannekohtaisesti. Kerättävien tietojen on oltava henkilötietolain 6 :n mukaisesti asiallisesti perusteltuja rekisterinpitäjän toiminnan kannalta katsottuna. Lisäksi kerättävien tietojen on oltava henkilötietolain 9.1 :n mukaan määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia. Kun sopimustiedot liittyvät asiallisesti rekisterinpitäjän toimintaan ja niiden käyttötarkoitus on jätehuollon järjestäminen, kuuluvat ne jätekuljetusrekisteriin. Lausuntopyynnön perusteella sopimustiedoilla ei ilmeisesti tarkoiteta tässä yhteydessä niitä sopimustietoja, joita Loimi-Hämeen Jätehuolto Oy:n ylläpitämässä asiakasrekisterissä on. Tällaiset sopimukset liittyvät palvelutehtävän hoitamiseen. 4 Henkilötietojen käsittelyyn liittyvistä toimista sopiminen Koska Loimi-Hämeen Jätehuolto Oy:n osakassopimus ja jätelautakunnan osakassopimus on asiakasrekisterin tai asiakasrekisterien osalta jossakin määrin tulkinnanvarainen, on suositeltavaa, että tältä osin vastuita selkeytettäisiin siten, että järjestämisvastuu olisi selkeästi sopimuksessa määritelty jätelautakunnalle ja että jäteyhtiö toimii jätelautakunnan lukuun. 10

13 Henkilötietojen käsittelyyn liittyvän toiminnan järjestelyssä on huomioitava lakisääteiset vaatimukset, jotka koskevat rekisterinpitäjän lukuun tapahtuvaa henkilötietojen käsittelyä. Henkilötietolain 32.2 :n mukaan sen, joka itsenäisenä elinkeinonharjoittajana toimii rekisterinpitäjän lukuun, on ennen tietojen käsittelyyn ryhtymistä annettava rekisterinpitäjälle asianmukaiset selvitykset ja sitoumukset sekä muutoin riittävät takeet henkilötietojen suojaamisesta. Tällä tarkoitetaan sitä, että sopimuksessa on esitettävä riittävät vaatimukset siitä, millaisilla teknisillä ja organisatorisilla toimenpiteillä henkilötietojen suoja varmistetaan asiattomalta pääsyltä henkilötietoihin sekä vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. Käytettävissä olevasta aineistosta ei ilmene, miten kunnat tai jätelautakunta ovat varmistaneet sopimuksin jäteyhtiön kanssa, että jäteyhtiön ylläpitämän asiakasrekisterin suojaamisen on järjestetty henkilötietolain mukaisella tavalla. Tietosuoja-asetus tarkentaa niitä vaatimuksia, joita henkilötietojen käsittelyä koskevissa sopimuksissa on huomioitava. Tietosuoja-asetuksen 28 (2) artiklan mukaan henkilötietojen käsittelijä (kuten Loimi-Hämeen Jätehuolto Oy) ei saa käyttää toisen henkilötietojen käsittelijän (tarkoitetaan alihankkijoita) palveluksia ilman rekisterinpitäjän (jätelautakunnan) erityistä tai yleistä kirjallista ennakkolupaa. Kun kyse on kirjallisesta ennakkoluvasta, henkilötietojen käsittelijän on tiedotettava rekisterinpitäjälle kaikista suunnitelluista muutoksista, jotka koskevat muiden henkilötietojen käsittelijöiden (alihankkijat) lisäämistä tai vaihtamista, ja annettava siten rekisterinpitäjälle mahdollisuus vastustaa tällaisia muutoksia. Muun muassa tietojen säilyttäminen on henkilötietojen käsittelyä. Tästä syystä esimerkiksi erilaiset tietojärjestelmätoimittajat ovat käytännössä alihankkijoita suhteessa jätelautakuntaan. Tietosuoja-asetuksen 28 (3) artiklan mukaan henkilötietojen käsittelijän suorittamaa käsittelyä on määritettävä sopimuksella tai jäsenvaltion lainsäädännön mukaisella oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijää suhteessa rekisterinpitäjään ja jossa vahvistetaan käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen ryhmät, rekisterinpitäjän velvollisuudet ja oikeudet. Tässä sopimuksessa tai muussa oikeudellisessa asiakirjassa on säädettävä erityisesti, että henkilötietojen käsittelijä a) käsittelee henkilötietoja ainoastaan rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti, mikä koskee myös henkilötietojen siirtoja kolmanteen maahan tai kansainväliselle järjestölle, paitsi jos henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaaditaan, missä tapauksessa henkilötietojen käsittelijä tiedottaa rekisterinpitäjälle tästä oikeudellisesta vaatimuksesta ennen käsittelyä, paitsi jos tällainen tiedottaminen kielletään kyseisessä laissa yleistä etua koskevien tärkeiden syiden vuoksi; b) varmistaa, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus; c) toteuttaa kaikki 32 artiklassa vaaditut toimenpiteet; d) noudattaa 2 ja 4 kohdassa tarkoitettuja toisen henkilötietojen käsittelijän käytön edellytyksiä; e) ottaen huomioon käsittelytoimen luonteen auttaa rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään rekisterinpitäjän 11

14 velvollisuuden vastata pyyntöihin, jotka koskevat III luvussa säädettyjen rekisteröidyn oikeuksien käyttämistä; f) auttaa rekisterinpitäjää varmistamaan, että artiklassa säädettyjä velvollisuuksia noudatetaan ottaen huomioon käsittelyn luonteen ja henkilötietojen käsittelijän saatavilla olevat tiedot; g) rekisterinpitäjän valinnan mukaan poistaa tai palauttaa käsittelyyn liittyvien palveluiden tarjoamisen päätyttyä kaikki henkilötiedot rekisterinpitäjälle ja poistaa olemassa olevat jäljennökset, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä vaaditaan säilyttämään henkilötiedot; h) saattaa rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen tässä artiklassa säädettyjen velvollisuuksien noudattamisen osoittamista varten, ja sallii rekisterinpitäjän tai muun rekisterinpitäjän valtuuttaman auditoijan suorittamat auditoinnit, kuten tarkastukset, sekä osallistuu niihin. Forssan kaupungin jätelautakunnan on syytä ryhtyä toimenpiteisiin, jonka tuloksena laaditaan asiakasrekisteriä koskevasta tietojenkäsittelystä tietosuoja-asetuksen mukainen sopimus Loimi- Hämeen Jätehuolto Oy:n kanssa. Tässä yhteydessä on syytä huomioida myös se, että lautakunnan pitää antaa kirjalliset ohjeet henkilötietojen käsittelystä Loimi-Hämeen Jätehuolto Oy:n hoitaman asiakasrekisterin ylläpidosta siltä osin kuin asiakasrekisterin ylläpito liittyy lakisääteisten palvelutehtävien hoitamiseen. Jos katsotaan niin, että osakaskunnat olisivat asiakasrekisterin rekisterinpitäjiä, tulisi kuntien tehdä tällainen sopimus ja antaa kirjalliset ohjeet henkilötietojen käsittelystä. 5 Johtopäätökset Edellä on todettu, että jätekuljetusrekisteri on lakisääteinen rekisteri, jonka rekisterinpito on säädetty nyt kysymyksessä olevassa tapauksessa Forssan jätelautakunnan tehtäväksi. Jätekuljetusrekisterin rekisterinpitoon liittyvät tehtävät ovat julkisia hallintotehtäviä, eikä niitä voida antaa yksityisoikeudellisen yhteisön, kuten Loimi-Hämeen Jätehuolto Oy:n hoidettavaksi, koska tätä koskevaa nimenomaista säännöstä ei ole perustuslain 124 :n mukaisesti säädetty laintasoisissa säännöksissä. Jätehuollon asiakasrekisteri on puolestaan jätteenkuljetuksen ja siihen liittyvien jätemaksujen hoitamista varten perustettu rekisteri, joka voidaan hallinnollisena tehtävänä antaa yksityisoikeudellisen yhteisön hoidettavaksi osana muita palvelutehtäviä. Kysymys on siten kahdesta eri rekisteristä, jotka muodostuvat kahden eri tehtävän hoitamisen yhteydessä, vaikka sinällään käyttötarkoitus palvelee saman velvollisuuden toteuttamista. Rekistereitä ei voi siten yhdistää yhdeksi rekisteriksi, ellei tältä osin muuteta jätelakia. Teknisesti rekisterit voidaan sijoittaa samaan tietojärjestelmään, mutta tietojen saantia rekisterien välillä pitää rajoittaa käyttöoikeuksien avulla siten, että jätekuljetusrekisterin tietoihin Loimi-Hämeen Jätehuolto Oy:n työntekijöillä ei ole käyttöoikeuksia. Sen sijaan ei ole nähdäkseni estettä sille, että jätelautakunnalla olisi käyttöoikeudet asiakasrekisterin tietoihin, koska jätelautakunta on myös toimitettujen asiakirjojen perusteella asiakasrekisterin rekisterinpitäjä. Jätelautakunta vastaa viranomaistehtävien hoitamisesta, johon kuuluu jätelain 43.1 :n mukaisesti vastata siitä, että siirretyt jätehuollon palvelutehtävät tulevat hoidetuiksi jätelain ja sen nojalla annettujen säännösten mukaisesti. Tätä tukee myös käytettävissä olevat hallintosopimukset Forssan kaupungin ja muiden kuntien välillä sekä kuntien ja Loimi-Hämeen Jätehuolto Oy:n välillä. 12

15 Sopimusjärjestelyjä on suositeltavaa kehittää asiakasrekisterin ylläpidon osalta siten, että sopimusjärjestely pitää sisällään tietosuoja-asetuksen asettamat vaatimukset. Lisäksi henkilötietojen käsittelyä koskevaa ohjeistusta on syytä kehittää. Koska jätehuollon osalta rekisterinpito on monilta osin samanlaista suuressa osassa jätelautakuntia, on suositeltavaa, että jätehuollossa tapahtuvasta henkilötietojen käsittelystä laadittaisiin tietosuoja-asetuksen 40 artiklassa tarkoitetut käytännesäännöt, joista on säädetty myös vielä voimassa olevassa henkilötietolain 42 :ssä. Vantaalla Tomi Voutilainen julkisoikeuden professori, dosentti 13