Julkisuus ja tietosuoja viranomaistoiminnassa

Transkriptio

1 Julkisuus ja tietosuoja viranomaistoiminnassa lukuvuosi FM, HTT, IT-oikeuden dosentti Tomi Voutilainen Itä-Suomen yliopisto Oikeustieteiden laitos

2 Kurssin yleiskuvaus Kurssilla käsitellään Henkilötietojen käsittelyyn liittyviä oikeudellisia kysymyksiä viranomaistoiminnan kannalta Julkisuusperiaatetta ja sen toteuttamista viranomaistoiminnassa i i i Tiedonhallinnan kysymyksiä viranomaistoiminnassa

3 Alustava aikataulu ja sisältö Pe AU100 Säädöskartta Peruskäsitteet Rekisterinpitäjän velvollisuudet Ma AU100 Rekisteröidyn oikeudet Julkisuusperiaate ja sen toteuttaminen Ti AU100 Salassapito Asiakirjasalaisuus Vaitiolovelvollisuus Tietojen luovuttaminen

4 Johdanto

5 Vaatimukset Säädösvaatimukset Laki viranomaisten toiminnan julkisuudesta (621/1999) Asetus viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta (1030/1999) Henkilötietolaki (523/1999) Laki väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista (661/2009) Kirjallisuus: Julkisuusperiaate, 2008 (Mäenpää) Hyvä sähköinen hallinto, 2006 tai uudempi, luvut 3-6 (Voutilainen) Voutilainen, Yliopistojen asiakirjahallinnon oikeudellisia kysymyksiä, 2010 (Edilexartikkeli) Mäenpää, Liikesalaisuudet viranomaisen toiminnassa 2006 (Edilex-artikkeli)

6 Säädöskartta Sähköisen viestinnän tietosuojalaki Substanssilait Henkilötietolaki Laki yksityisyyden suojasta työelämässä Julkisuuslaki Arkistolaki

7 Esimerkkki tietosuojan säädöskartta sosiaali- ja terveydenhuollossa Laki yksityisyyden y yy suojasta työelämässä Sähköisen viestinnän tietosuojalaki Arkistolaki Potilasasiakirjaasetus

8 Oikeudenala - informaatio-oikeusoikeus

9 Keskustelua ja kysymyksiä k

10 Tietosuojan perusteet

11 Tietosuoja Henkilötietojen suoja Tietosuojalla tarkoitetaan mm. sitä, että henkilötietoja käsitellään lainmukaisesti yksilön perusoikeuksia kunnioittaen henkilötietoja käsittelee henkilöt, joilla on siihen laillinen oikeus Tietosuojalla tarkoitetaan yksityisyyden suojaamista henkilötietojen käsittelyssä. Tietosuoja <> salassapito

12 Tietosuoja Tietosuojan yleisiä perusperiaatteita ovat: tietojen keräämisen asianmukaisuus ja laillisuus sekä tietojen laatua koskevat vaatimukset arkaluonteisen tiedon rekisteröintikielto käyttötarkoitussidonnaisuuden periaate rekisterinpidon avoimuus ja rekisteröidyn osallistumisoikeuksia koskevat periaatteet

13 Henkilötietolaki

14 Henkilötietolain tarkoitus (HetiL 1 ) toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Oikeus tietoon Oikeus omaan tietoon Tiedollinen itsemääräämisoikeus

15 Henkilötietolain soveltamisala HetiL 2 Henkilötietoja käsiteltäessä on noudatettava, mitä henkilötietolaissa säädetään ellei erityislainsäädännöstä toisin johdu Henkilötietolakia sovelletaan henkilötietojen automaattiseen käsittelyyn sekä muuhun henkilötietojen käsittelyyn silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa.

16 Henkilötietolain soveltamisala (2 ) Henkilötietolaki ei koske henkilötietojen käsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa. Henkilötietolakia ei sovelleta henkilörekistereihin, jotka sisältävät vain tiedotusvälineessä julkaistua aineistoa sellaisenaan. Henkilötietojen käsittelyä toimituksellisia sekä taiteellisen tai kirjallisen ilmaisun tarkoituksia varten koskevat soveltuvin osin ainoastaan eräät henkilötietolain säännökset (1-4 ja 32, 39 :n 3 momentti, 40 :n 1 ja 3 momentti, 42, 44 :n 2 kohta, , 48 :n 2 momentti sekä 50 ja 51, jollei 17 :stä muuta johdu.)

17 Henkilötietolain soveltamisala (2 ) Henkilötietolakia i lki sovelletaan sellaiseen lli henkilötietojen käsittelyyn, jossa rekisterinpitäjän i i toimipaikka i ikk on Suomen alueella ll tai muutoin Suomen oikeudenkäytön piirissä. rekisterinpitäjällä ei ole toimipaikkaa Euroopan unionin jäsenvaltioiden alueella, mutta rekisterinpitäjä käyttää henkilötietojen käsittelyssä Suomessa sijaitsevia laitteita muuhunkin tarkoitukseen kuin vain tietojen siirtoon tämän alueen kautta. Rekisterinpitäjän on tällöin nimettävä Suomessa oleva edustaja.

18 Henkilötieto (HetiL 3 1k) Henkilötiedolla tarkoitetaan kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi

19 Henkilötietojen käsittely (HetiL 3 2 k) Henkilötietojen käsittelyllä tarkoitetaan henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä. Koskee siis kaikkea henkilötietoihin kohdistuvaa toimintaa

20 Henkilörekisteri (HetiL 3 3 k) Henkilörekisterillä tarkoitetaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta. k

21 Henkilörekisteri Looginen rekisteri i Looginen rekisterikäsite merkitsee, että samaan henkilörekisteriin luetaan kuuluviksi kaikki ne tiedot, joita käytetään samassa käyttöyhteydessä riippumatta siitä, miten ja mihin ne on talletettu. Looginen rekisterikäsite merkitsee myös sitä, että tietojenkäsittelyssä syntyviä lyhytaikaisia tiedostoja ja tallenteiden eri sukupolvia ei pidetä eri henkilörekistereinä silloin, kun ne ovat rekisterinpitäjän hallussa ja niitä käytetään määriteltyihin henkilötietojen käsittelyn tarkoituksiin

22 Kysymys Syntyykö kamera/videovalvonnasta y yy / henkilörekisteri?

23 Perustietovarantojärjestelmä t t j t ä Yhteiskunnan perustietojärjestelmät t j t ät Yhteiskunnan perusrekisterit Kiinteistöjärjestelmä Väestötietojärjestelmä Yritys- ja yhteisötietojärjestelmä Yhdistysrekisteri Huoneistotietorekisteri Rakennustietorekisteri Henkilötietorekisteri Saantorekisteri Kiinteistörekisteri Yhteiskunnan muut tietovarannot Lainhuuto- ja kiinnitysrekisteri Yritys- ja yhteisötunnusrekisteri Kaupparekisteri Säätiörekisteri Ennakkoperintärekisteri Työnantajarekisteri Alv-velvollisten rekisteri Perusrekistereitä hyödyntävät tietovarannot Muut tietovarannot

24 Rekisterinpitäjä (HetiL 3 4 k) Rekisterinpitäjällä tarkoitetaan yhtä tai useampaa: henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri i perustetaan t ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi ä rekisterinpito e on lailla a säädetty; HUOM! Tekninen rekisterinpitäjä

25 Rekisteröity henkilö (HetiL 3 5 k) Rekisteröidyllä henkilöllä tarkoitetaan sitä, jota henkilötieto koskee.

26 Henkilötietojen käsittelyssä sivullinen (HetiL 3 6 k) Sivullisella tarkoitetaan muuta henkilöä, yhteisöä, laitosta tai säätiötä kuin rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää tai henkilötietoja kahden viimeksi mainitun lukuun käsittelevää; Esim. Tutkija Henkilötietojen luovutuksen saaja

27 Hyvä henkilötietojen i käsittelytapa Hyvä tietojenkäsittelytapa Hyvä henkilötietojen käsittelytapa Henkilötietolaissa säädetään puitteet Myös muu tietosuojalainsäädäntö =l lain ja muun sen nojalla syntyneen tavan noudattaminen Käsite vakiintumaton voi tarkoittaa kaikkea tietojenkäsittelyä ja siihen liittyvää sääntelyä

28 Kysymyksiä ja keskustelua

29 Henkilötietojen käsittely

30 Käsittelyn yleiset edellytykset (HetiL 8 ) rekisteröidyn yksiselitteisesti antamalla suostumuksella; (suostumuksellak tarkoitetaan kik kaikenlaista li vapaaehtoista, yksilöityä kili ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn; ) rekisteröidyn toimeksiannosta tai sellaisen sopimuksen täytäntöönpanemiseksi, jossa rekisteröity on osallisena, taikka sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; jos käsittely yksittäistapauksessa on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi; jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle j y j y j p j laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta;

31 Käsittelyn yleiset edellytykset jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan (yhteysvaatimus); y Henkilötietojen luovuttaminen voi tapahtua vain, jos henkilötiedon luovuttaminen kuuluu tavanomaisena osana kysymyksessä olevan toiminnan i harjoittamiseen i edellyttäen, että tarkoitus, johon tiedot t luovutetaan, ei ole yhteensopimaton henkilötietojen käsittelyn tarkoituksen kanssa ja että rekisteröidyn voidaan olettaa tietävän henkilötietojen tällaisesta luovuttamisesta. jos kysymys on konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista ja näitä tietoja käsitellään kyseisen yhteenliittymän sisällä;

32 Käsittelyn yleiset edellytykset jos käsittely on tarpeen rekisterinpitäjän toimeksiannosta tapahtuvaa maksupalvelua, tietojenkäsittelyä tai muita niihin verrattavia tehtäviä varten; jos kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista yleisesti saatavilla olevista tiedoista ja näitä tietoja käsitellään rekisterinpitäjän tai tiedot saavan sivullisen oikeuksien ja etujen turvaamiseksi; tai jos tietosuojalautakunta on antanut käsittelyyn luvan (HetiL 43 :n 1 momentissa tarkoitettu )

33 Henkilötietojen käsittely erityisiä tarkoituksia varten

34 Tutkimus (HetiL 14 ) Historiallista tai tieteellistä tutkimusta varten saa henkilötietoja käsitellä yleisten edellytysten puuttuessa, jos kaikki seuraavat ehdot täyttyvät samaan aikaan: tutkimusta ei voi suorittaa ilman henkilön yksilöintiä koskevia tietoja ja jos rekisteröityjen suostumusta ei tietojen suuren määrän, tietojen iän tai muun sellaisen syyn vuoksi ole mahdollista hankkia; henkilörekisterin käyttö perustuu asianmukaiseen tutkimussuunnitelmaan ja tutkimuksella on vastuullinen johtaja tai siitä vastaava ryhmä; henkilörekisteriä käytetään ja siitä luovutetaan henkilötietoja vain historiallista tai tieteellistä tutkimusta varten sekä muutoinkin toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille (! ikä ja laatu) henkilörekisteri hävitetään tai siirretään arkistoitavaksi tai sen tiedot muutetaan sellaiseen muotoon, ettei tiedon kohde ole niistä tunnistettavissa, kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi.

35 Muita erityistä käyttötarkoituksia (HetiL 15 ) Tilastointi (HetiL 15 ) Viranomaisen suunnittelu- ja selvitystehtävät (HetiL 16 ) Henkilömatrikkeli (HetiL 17 ) Sukututkimus (HetiL 18 ) Suoramarkkinointi ja muut osoitteelliset lähetykset (HetiL 19 )

36 Kysymyksiä ja keskustelua

37 Tietosuoja eli henkilötietojen suoja Rekisterinpitäjän velvollisuudet ja rekisteröidyn oikeudet

38 Oikeushyvä tietoyhteiskunnassa? Tietosuoja- eli henkilötietodirektiivin johdanto 2 kohta: Tietojenkäsittelyjärjestelmät on tehty palvelemaan ihmistä; järjestelmiä käytettäessä on kunnioitettava yksilöiden perusoikeuksia k i ja -vapauksia ki heidän hidä kansalaisuudestaan tai asuinpaikastaan riippumatta, erityisesti oikeutta yksityisyyteen, y yy,ja osallistuttava taloudelliseen ja sosiaaliseen kehitykseen, kaupan kehittämiseen sekä yksilöiden hyvinvoinnin lisäämiseen.

39 Henkilötietojen käsittely

40 Rekisterinpitäjän i i velvollisuudet lli

41 Huolellisuusvelvoite (HetiL 5 ) Rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa toimiasiten, i i että rekisteröidyn yksityiselämän i ä suojaa ja muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta. Sama velvollisuus on sillä, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun (Tekninen rekisterinpitäjä).

42 Määrittelyvelvollisuus (HetiL 6 ) Henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Rekisterinpitäjän tulee määritellä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi: keräämistä tai muodostamista henkilörekisteriksi: Henkilötietojen käsittelyn tarkoitukset, se, mistä henkilötiedot säännönmukaisesti hankitaan se, mihin niitä säännönmukaisesti luovutetaan, on määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten i n rekisterinpitäjän rinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään.

43 Käyttötarkoitussidonnaisuus (HetiL 7 ) Henkilötietojen käsittelyn tulee perustua ennalta määriteltyä tarkoitusta varten. Myöhempää henkilötietojen käsittelyä historiallista tutkimusta taikka tieteellistä tai tilastotarkoitusta varten ei pidetä yhteensopimattomana alkuperäisten käsittelyn tarkoitusten kanssa.

44 Käsiteltävien tietojen laatuvaatimuksia (HetiL 9 ) Tarpeellisuusvaatimus: Käsiteltävien henkilötietojen tulee olla määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia Virheettömyysvaatimus: Rekisterinpitäjän on huolehdittava siitä, ettei virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja käsitellä laatuvaatimuksen taso riippuu sitä, mihin tietoja pp, j käytetään (oikeusturva)

45 Tietoturvallisuusvelvoite (HetiL 32 ) Rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. Toimenpiteiden toteuttamisessa on otettava huomioon käytettävissä olevat tekniset mahdollisuudet, toimenpiteiden aiheuttamat kustannukset, käsiteltävien tietojen laatu, määrä ja ikä käsittelyn merkitys yksityisyyden y yy suojan kannalta Vaitiolovelvollisuus Henkilörekisterin hävittäminen

46 Ilmoitusvelvollisuus (esim.) Rekisterinpitäjän on ilmoitettava henkilötietojen automaattisesta käsittelystä tietosuojavaltuutetulle lähettämällä tälle rekisteriseloste. Lisäksi rekisterinpitäjän on ilmoitettava tietosuojavaltuutetulle: henkilötietojen siirrosta Euroopan unionin jäsenvaltioiden alueen tai Euroopan talousalueen ulkopuolelle, jos tietoja siirretään eikä siirrosta ole laissa säädetty; sekä Automatisoidun päätöksentekojärjestelmän käyttöönotosta. Joka harjoittaa luottotietotoimintaa perimistoimintaa (elinkeinona) markkina- tai mielipidetutkimusta hoitaa toisen lukuun henkilöstön valintaan (soveltuvuusarviot) Ilmoitus on tehtävä riittävän ajoissa, kuitenkin viimeistään 30 päivää ennen henkilörekisteriin talletettaviksi aiottujen henkilötietojen keräämistä ja tallettamista tai muuhun ilmoitusvelvollisuuden aiheuttavaan toimenpiteeseen ryhtymistä.

47 Rekisteriselosteen laatimisvelvollisuus (HetiL 10 ) Rekisterinpitäjän on laadittava henkilörekisteristä rekisteriseloste. Rekisteriselosteen tulee sisältää: rekisterinpitäjän ja tarvittaessa tämän edustajan nimi ja yhteystiedot; henkilötietojen käsittelyn tarkoitus; kuvaus rekisteröityjen ryhmästä tai ryhmistä ja näihin liittyvistä tiedoista tai tietoryhmistä; mihin tietoja säännönmukaisesti luovutetaan ja siirretäänkö tietoja Euroopan unionin tai Euroopan talousalueen ulkopuolelle; sekä kuvaus rekisterin suojauksen periaatteista. Rekisterinpitäjän on pidettävä rekisteriseloste jokaisen saatavilla. Jos rekisteri on tietoverkossa tulisi selosteenkin löytyä tietoverkosta

48 Rekisteriselosteen laatimisvelvollisuus (HetiL 10 ) Velvollisuudesta voidaan poiketa, jos se on välttämätöntä valtion turvallisuuden, puolustuksen tai yleisen järjestyksen ja turvallisuuden vuoksi, rikosten ehkäisemiseksi s s tai selvittämiseksi s s taikka verotukseen tai julkiseen talouteen liittyvän valvontatehtävän vuoksi.

49 Tietojärjestelmäseloste Tietojärjestelmäseloste (JulkL k sekä JulkA 8 ) Sisältö (VM:n suositus): tietojärjestelmän nimi tietojärjestelmän vastuutaho tietojärjestelmän vastuuyksikkö ja vastuuhenkilö tietojärjestelmän käyttötarkoitus tietolähteet t t tiedot ovat vuosilta tai alkaen vuodesta tietojen päivitystiheys tietojen julkisuus/salassa pidettävyys julkiset tiedot tietoryhmittäin salassa pidettävät tiedot tietojärjestelmän julkinen osoite.

50 Informointivelvollisuus (HetiL 24 ) Rekisterinpitäjän on henkilötietoja kerätessään huolehdittava siitä, että rekisteröity voi saada tiedon rekisterinpitäjästä ja tarvittaessa tämän edustajasta, henkilötietojen käsittelyn tarkoituksesta sekä siitä, mihin tietoja säännönmukaisesti luovutetaan,,joka on tarpeen rekisteröidyn oikeuksien käyttämiseksi asianomaisessa henkilötietojen käsittelyssä. Tiedot on annettava henkilötietoja kerättäessä ja talletettaessa tai, jos tiedot hankitaan muualta kuin rekisteröidyltä itseltään ja tietoja on tarkoitus luovuttaa, viimeistään silloin kun tietoja ensi kerran luovutetaan. Ti j l ( i ll k k i Tietosuojaseloste = (suositellaan käytettäväksi sähköisissä palveluissa)

51 Informointivelvollisuus (poikkeukset) (HetiL 24 ) Informointivelvollisuudesta voidaan poiketa: jos rekisteröity on jo saanut tiedot; jos se on välttämätöntä ätö tä valtion turvallisuuden, puolustuksen tai yleisen järjestyksen ja turvallisuuden vuoksi, rikosten ehkäisemiseksi tai selvittämiseksi taikka verotukseen tai julkiseen talouteen liittyvän valvontatehtävän vuoksi; tai kerättäessä tietoja muualta kuin rekisteröidyltä itseltään, jos tietojen antaminen rekisteröidylle on mahdotonta tai vaatii kohtuutonta vaivaa taikka aiheuttaa rekisteröidylle tai tietojenkäsittelyn tarkoitukselle olennaista vahinkoa tai hi haittaa eikä talletettavia tietoja käytetä ärekisteröityä koskevaan päätöksentekoon taikka jos tietojen keräämisestä, tallettamisesta tai luovuttamisesta on nimenomaisesti säädetty.

52 Vaitiolovelvollisuus i l lli (HetiL 33 ) Jos rekisterinpitäjän lukuun toimivat tai sivulliset ovat saaneet tietää henkilötietojen käsittelyyn liittyviä toimenpiteitä suorittaessaan jotakin toisen henkilön ominaisuuksista, henkilökohtaisista oloista tai taloudellisesta asemasta, ei saa tämän henkilötietolain vastaisesti sivulliselle ilmaista näin saamiaan tietoja. HUOM! Erityislainsäädännössä on lukuisia vaitiolovelvollisuussäännöksiä ja hyväksikäyttökieltoja (JulkL, SVTSL jne )

53 Velvollisuus edistää rekisteröidyn Velvollisuus edistää rekisteröidyn oikeuksia

54 Rekisteritietojen hävittäminen (HetiL 34 ) Henkilörekisteri, i joka ei ole enää rekisterinpitäjän i i toiminnan i kannalta tarpeellinen, on hävitettävä, jollei siihen talletettuja tietoja ole erikseen säädetty tai määrätty säilytettäviksi tai jollei rekisteriä siirretä pysyvästi säilytettäväksi arkistoon. Asiakastietojen käyttäjien käyttöoikeustiedot ja lokitiedot tulee hävittää, kun ne eivät enää ole tarpeen asiakastietojen käytön ja luovutuksen lainmukaisuuden seuraamiseksi. (SoTeAsL 5.4 ) PotA 23.2 : hoidon järjestämistä vastaavan terveydenhuollon toimintayksikön i t ikö ja itsenäisesti ti ammattiaan harjoittavan terveydenhuollon ammattihenkilön huolehdittava siitä, että potilasasiakirjat ja muu vastaava materiaali hävitetään välittömästi ja siten, että sivulliset eivät saa niistä tietoa.

55 Rekisteröidyn oikeudet

56 Oikeus tulla informoiduksi (HetiL 24 ) Informointi itseään koskevasta henkilötietojen j käsittelystä (Käänteinen informointivelvollisuudelle)

57 Oikeus tarkastaa omat tiedot (HetiL ) Jokaisella on salassapitosäännösten estämättä oikeus tietää: mitä häntä ä koskevia k tietoja henkilörekisteriin ii on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja. Tiedon pyytäjän on esitettävä tarpeelliset seikat tiedon id etsimiseksi. i ki Lähinnä henkilötunnus Aikaväli tai asia

58 Oikeus tarkastaa omat tiedot (HetiL ) Rki Rekisterinpitäjän i i on ilmoitettava i rekisteröidylle id rekisterin säännönmukaiset tietolähteet sekä, mihin rekisterin tietoja käytetään ja säännönmukaisesti luovutetaan. Huom! Rekisteriseloste Silloin kun on kysymys automatisoidusta päätöksentekojärjestelmästä, k rekisteröidyllä id on oikeus saada tieto myös tietojen automaattiseen käsittelyyn liittyvistä toimintaperiaatteista.

59 Oikeus tarkastaa omat tiedot (HetiL ) Lähtökohtana maksuttomuus Rekisterinpitäjä saa periä tietojen antamisesta korvauksen vain, jos siitä, kun asianomainen edellisen kerran sai tarkastettavakseen rekisterin tiedot, on kulunut vähemmän kuin yksi vuosi. Perittävän korvauksen tulee olla kohtuullinen eikä se saa ylittää tiedon antamisesta aiheutuvia välittömiä kustannuksia. HUOM! Vrt Julkisuuslain asianomaisen HUOM! Vrt. Julkisuuslain asianomaisen tiedonsaantioikeus

60 Tarkastusoikeuden rajoitukset (HetiL ) Omien tietojen tarkastusoikeutta ei ole, jos: tiedon antaminen saattaisi vahingoittaa valtion turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä; tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka jonkun muun oikeuksille; rekisterissä olevia henkilötietoja käytetään yksinomaan historiallista tai tieteellistä tutkimusta taikka tilastointia varten; tai rekisterissä olevia henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi. Jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne jäävät tarkastusoikeuden ulkopuolelle, rekisteröidyllä on oikeus saada tietää muut hänestä talletetut tiedot.

61 Omien tietojen tarkastusmenettely (HetiL ) Tietojen pyytäjän on esitettävä kirjallinen tarkastuspyyntö rekisterinpitäjälle omakätisesti allekirjoitettuna tai sitä vastaavalla tavalla varmennettuna (sähköisenä) asiakirjana tai henkilökohtaisesti rekisterinpitäjän luona esittämällä henkilötodistus tai muuten henkilöllisyys todeten.

62 Omien tietojen tarkastusmenettely (HetiL ) Rekisterinpitäjän on ilman aiheetonta viivytystä varattava rekisteröidylle tilaisuus i tutustua hänen omiintietoihinsa i ihi tai annettava tiedot pyydettäessä kirjallisesti. Tiedot on annettava ymmärrettävässä muodossa. Jos rekisterinpitäjä kieltäytyy antamasta tietoja, hänen on annettava tästä kirjallinen todistus. Todistuksessa on mainittava myös ne syyt, joiden vuoksi tarkastusoikeus on evätty. Tarkastusoikeuden epäämisen veroisena pidetään sitä, että rekisterinpitäjä ei ole kolmen kuukauden kuluessa pyynnön esittämisestä antanut kirjallista vastausta rekisteröidylle. (huom! julkisuuslaki) R ki t röit i tt i ti t j lt t t Rekisteröity voi saattaa asian tietosuojavaltuutetun käsiteltäväksi.

63 Omien tietojen tarkastus terveydenhuollossa (HetiL ) Rekisteröidyn, joka haluaa tietää, mitä häntä koskevia tietoja on talletettu terveydenhuollon viranomaisen tai laitoksen, lääkärin tai hammaslääkärin taikka muun terveydenhuollon ammattihenkilön pitämään, terveydentilaa tai sairautta koskevia henkilötietoja sisältävään rekisteriin, tulee tehdä pyyntö tarkastusoikeutensa käyttämisestä lääkärille tai muulle terveydenhuollon ammattihenkilölle, joka huolehtii htii tietojen hankkimisesta rekisteröidyn suostumuksella ja antaa tälle tiedon rekisterissä olevista merkinnöistä

64 Oikeus korjauttaa itseään koskeva tieto (HetiL 29 ) Rekisterinpitäjän on ilman aiheetonta viivytystä oma-aloitteisesti tai rekisteröidyn vaatimuksesta: oikaistava, poistettava tai täydennettävä rekisterissä oleva, käsittelyn tarkoituksen kannalta virheellinen, tarpeeton, puutteellinen tai vanhentunut henkilötieto. Rekisterinpitäjän on myös estettävä tällaisen tiedon leviäminen, jos tieto voi vaarantaa rekisteröidyn yksityisyyden suojaa tai hänen oikeuksiaan.

65 Oikeus korjauttaa itseään koskeva tieto (poikkeustapauksissa) (HetiL 29 ) Jos rekisterinpitäjä ei hyväksy rekisteröidyn vaatimusta tiedon korjaamisesta, hänen on annettava asiasta kirjallinen todistus. Todistuksessa on mainittava myös ne syyt, joiden vuoksi vaatimusta ei ole hyväksytty. Rekisteröity voi saattaa asian tietosuojavaltuutetun käsiteltäväksi. Rekisterinpitäjän on ilmoitettava tiedon korjaamisesta sille, jolle rekisterinpitäjä on luovuttanut tai jolta rekisterinpitäjä on saanut virheellisen henkilötiedon. Ilmoitusvelvollisuutta ei kuitenkaan ole jos ilmoittaminen Ilmoitusvelvollisuutta ei kuitenkaan ole, jos ilmoittaminen on mahdotonta tai vaatii kohtuutonta vaivaa.

66 Oikeus kieltää henkilötietojen kl käsittely (HetiL 30 ) Rekisteröidyllä on oikeus kieltää rekisterinpitäjää käsittelemästä häntä itseään koskevia tietoja suoramainontaa, etämyyntiä muuta suoramarkkinointia markkina- ja mielipidetutkimusta id henkilömatrikkelia ja sukututkimusta varten.

67 Eräitä henkilötietojen käsittelyyn Eräitä henkilötietojen käsittelyyn liittyviä kysymyksiä

68 Henkilötunnuksen käsittely (HetiL 13 ) Henkilötunnusta saa käsitellä rekisteröidyn yksiselitteisesti antamalla suostumuksella tai, jos käsittelystä säädetään laissa jos rekisteröidyn yksiselitteinen yksilöiminen on tärkeää: laissa säädetyn tehtävän suorittamiseksi; rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi; tai historiallista tai tieteellistä tutkimusta taikka tilastointia varten. Henkilötunnusta saa käsitellä luotonannossa tai saatavan perimisessä, vakuutus-, luottolaitos-, vuokraus- ja lainaustoiminnassa, luottotietotoiminnassa, i i terveydenhuollossa, sosiaalihuollossa ja muun sosiaaliturvan toteuttamisessa tai virka-, työ- ja muita palvelussuhteita ja niihin liittyviä etuja koskevissa asioissa.

69 Henkilötunnuksen käsittely (HetiL 13 ) Henkilötunnuksen saa luovuttaa osoitetietojen päivittämiseksi tai moninkertaisten postilähetysten välttämiseksi suoritettavaa tietojenkäsittelyä varten,,jos henkilötunnus jo on luovutuksensaajan käytettävissä. Huomaa varovaisuusperiaate: i Rekisterinpitäjän on huolehdittava siitä, että henkilötunnusta ei merkitä tarpeettomasti henkilörekisterin i perusteella tulostettuihin tai laadittuihin asiakirjoihin. Henkilötunnus ei siis ole lähtökohtaisesti salassapidettävä tieto. (viranomaiskohtaisuus)

70 Arkaluonteisten tietojen käsittely (HetiL 11 ) Arkaluonteisten henkilötietojen käsittely on kielletty. Arkaluonteisina tietoina pidetään henkilötietoja, jotka kuvaavat tai on tarkoitettu kuvaamaan: rotua tai etnistä alkuperää; henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista; rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta; henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia; henkilön seksuaalista suuntautumista tai käyttäytymistä; taikka henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia.

71 (HetiL 12 ) Poikkeukset ark.luont. käsittelyn kiellosta tietojen käsittelyä, johon rekisteröity on antanut nimenomaisen suostumuksensa; sellaisen henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista koskevan tiedon käsittelyä, jonka rekisteröity on itse saattanut julkiseksi; tietojen käsittelyä, joka on tarpeen rekisteröidyn tai jonkun toisen henkilön elintärkeän edun suojaamiseksi, jos rekisteröity on estynyt antamasta suostumustaan; tietojen käsittelyä, joka on tarpeen oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi; tietojen käsittelyä, josta säädetään laissa tai joka johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä; tietojen käsittelyä historiallista tai tieteellistä tutkimusta taikka tilastointia varten; uskonnollista, poliittista tai yhteiskunnallista vakaumusta koskevien tietojen käsittelyä tällaista vakaumusta edustavien yhdistysten ja muiden yhteisöjen toiminnassa, jos tiedot koskevat näiden yhdistysten tai yhteisöjen jäseniä taikka henkilöitä, joilla on niihin säännölliset, yhdistysten ja yhteisöjen tarkoituksiin liittyvät yhteydet, eikä tietoja luovuteta sivullisille ilman rekisteröidyn suostumusta;

72 Poikkeukset ark.luont. käsittelyn kiellosta (HetiL 12 ) ammattiliittoon kuulumista koskevien tietojen käsittelyä ammattiyhdistysten ja niiden muodostaman liiton toiminnassa, jos tiedot koskevat näiden järjestöjen jäseniä taikka henkilöitä, joilla on järjestöihin säännölliset, järjestöjen tarkoituksiin liittyvät yhteydet, eikä tietoja luovuteta sivullisille ilman rekisteröidyn suostumusta; ammattiliittoon kuulumista koskevan tiedon käsittelyä, joka on tarpeen rekisterinpitäjän erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla; terveydenhuollon toimintayksikköä tai terveydenhuollon ammattihenkilöä käsittelemästä näiden tässä toiminnassa saamia tietoja rekisteröidyn terveydentilasta, sairaudesta tai vammaisuudesta tai häneen kohdistetuista hoitotoimenpiteistä taikka muita rekisteröidyn hoidon kannalta välttämättömiä tietoja; vakuutuslaitosta käsittelemästä vakuutustoiminnassa saatuja tietoja vakuutetun ja korvauksenhakijan terveydentilasta, sairaudesta tai vammaisuudesta taikka häneen kohdistetuista hoitotoimenpiteistä tai niihin verrattavista toimista taikka sellaisia tietoja vakuutetun, korvauksenhakijan tai vahingon aiheuttajan rikollisesta teosta, rangaistuksesta tai muusta rikoksen seuraamuksesta, jotka ovat tarpeen vakuutuslaitoksen vastuun selvittämiseksi; sosiaalihuollon viranomaista tai muuta sosiaalihuollon etuuksia myöntävää viranomaista, laitosta t tai yksityisten i t sosiaalipalvelujen l l tuottajaa tt käsittelemästä ä tä kyseisen viranomaisen, i laitoksen tai palvelujen tuottajan toiminnassaan saamia tietoja rekisteröidyn sosiaalihuollon tarpeesta tai hänen saamistaan sosiaalihuollon palveluista, tukitoimista tai hänelle myönnetyistä muista sosiaalihuollon etuuksista taikka muita rekisteröidyn huollon kannalta välttämättömiä tietoja; tai tietojen käsittelyä, johon tietosuojalautakunta on antanut 43 :n 2 momentissa tarkoitetun luvan.

73 Akl Arkaluonteisten tietojen käsittely käi (HetiL 12 ) Arkaluonteiset tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun käsittelylle ei ole enää perustetta. Perustetta ja käsittelyn tarvetta on arvioitava vähintään viiden vuoden välein, jollei laista tai tietosuojalautakunnan luvasta muuta johdu.

74 Henkilötietojen siirto Euroopan unionin ulkopuolelle (HetiL 5 luku) Henkilötietoja voidaan siirtää Euroopan unionin jäsenvaltioiden alueen tai Euroopan talousalueen ulkopuolelle ainoastaan, jos kyseisessä maassa taataan tietosuojan riittävä taso. Tietosuojan tason riittävyys on arvioitava ottaen huomioon tietojen luonne, suunnitellun käsittelyn tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, asianomaisessa maassa voimassa olevat yleiset ja alakohtaiset oikeussäännöt sekä käytännesäännöt ja noudatettavat turvatoimet.

75 Henkilötietojen i siirto Euroopan unionin i ulkopuolelle (HetiL 5 luku) Henkilötietoja voidaan siirtää Euroopan unionin jäsenvaltioiden alueen tai Euroopan talousalueen ulkopuolelle siltä osin kuin Euroopan yhteisöjen komissio on henkilötietodirektiivin mukaisesti todennut, että kyseisessä maassa taataan tietosuojan riittävä taso.

76 Henkilötietojen siirto Euroopan unionin ulkopuolelle (poikkeukset) rekisteröity on antanut yksiselitteisen suostumuksensa siirtoon; (HetiL 5 luku) siirto on tarpeen rekisteröidyn toimeksiannosta tai rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; siirto on tarpeen rekisterinpitäjän ja sivullisen välisen rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöönpanemiseksi; siirto on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi; siirto on tarpeen tai lain vaatima tärkeän yleisen edun turvaamiseksi tai oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi; siirto tehdään rekisteristä, josta yleinen tai erityisin perustein tapahtuva tiedonsaanti on nimenomaisesti säädetty; ( /986) rekisterinpitäjä antaa sopimuslausekkein tai muulla tavoin riittävät takeet henkilöiden yksityisyyden ja oikeuksien suojasta, eikä komissio ole henkilötietodirektiivin 3 artiklan ja 26 artiklan 3 kohdan mukaisesti todennut takeita riittämättömiksi; tai ( /986) siirto tapahtuu henkilötietodirektiivin 26 artiklan 4 kohdassa tarkoitettuja komission hyväksymiä mallisopimuslausekkeita käyttäen. ( /986)

77 Henkilörekisterin siirtäminen arkistoon (HetiL 35 ) Arkistolaitokseen tai siihen verrattavaan arkistoon siirrettyjen henkilörekistereiden käytöstä ja suojaamisesta sekä niissä olevien tietojen luovuttamisesta on voimassa, mitä erikseen säädetään. Ks, arkistolaki ja arkistolaitoksen i k ohjeet Arkistolaitoksen tai siihen verrattavan arkiston on kuitenkin henkilötietoja yksityisistä henkilörekistereistä luovutettaessa otettava huomioon, mitä tässä henkilötietolaissa säädetään henkilötietojen käsittelystä ja luovuttamisesta, jollei se henkilörekisteriin talletettujen tietojen ikä ja laatu huomioon ottaen ole rekisteröityjen yksityisyyden y yy suojan vuoksi ilmeisen tarpeetonta.

78 Henkilörekisterin siirtäminen arkistoon (HetiL 35 ) Henkilörekisteri, joka on tieteellisen tutkimuksen kannalta tai muusta syystä merkityksellinen, voidaan siirtää korkeakoulun taikka tutkimustyötä lakisääteisenä tehtävänä suorittavan laitoksen tai viranomaisen arkistoon, jos kansallisarkisto on antanut siihen luvan. Kansallisarkisto voi antaa yhteisölle, säätiölle ja laitokselle luvan siirtää arkistoonsa omassa toiminnassa syntyneitä henkilörekistereitä, jotka täyttävät edellä mainitut vaatimukset. Kansallisarkiston on päätöksessään määrättävä, miten rekistereiden suojaus on järjestettävä j sekä miten henkilötietojen käyttöä on valvottava. Kansallisarkiston on ennen tämän luvan antamista varattava Kansallisarkiston on ennen tämän luvan antamista varattava tietosuojavaltuutetulle tilaisuus antaa lausunto antamiseen.

79 Automatisoidut päätöksentekojärjestelmät (HetiL 31 ) Sellaisen rekisteröidyn tiettyjen ominaisuuksien arviointiin tarkoitetun päätöksen tekeminen, joka tapahtuu ainoastaan automatisoidun tietojenkäsittelyn perusteella ja josta aiheutuu rekisteröidylle oikeudellisia vaikutuksia tai joka muuten vaikuttaa häneen merkittävällä tavalla, on sallittu vain, jos: siitä on laissa säädetty; tai päätös tehdään sopimuksen tekemisen tai täytäntöönpanon yhteydessä edellytyksellä, että rekisteröidyn oikeuksien suojaaminen varmistetaan tai että päätöksellä täytetään rekisteröidyn sopimuksen tekemistä tai täytäntöönpanoa koskeva pyyntö. Rekisterinpitäjän on ilmoitettava tietosuojavaltuutetulle p j j automatisoidun päätöksentekojärjestelmän käyttöön-otosta (HetiL 36.2 )

80 Toimialakohtaiset käytännesäännöt (HetiL 42 ) Rekisterinpitäjät tai näitä edustavat yhteisöt voivat laatia toimialakohtaisia käytännesääntöjä tämän lain soveltamiseksi ja hyvän tietojenkäsittelytavan edistämiseksi sekä toimittaa laatimansa ehdotukset tietosuojavaltuutetulle. Tietosuojavaltuutettu voi tarkastaa, että käytännesäännöt ovat tämän lain ja muiden henkilötietojen käsittelyyn vaikuttavien säännösten mukaisia.

81 Liite esitteeseen Asiaa tietosuojasta 4/1999 Henkilötietolaki henkilötietojen käsittelyn ohjaajana. Kaavio on laadittu , tietosuojavaltuutetun toimisto. HENKILÖTIETOLAKI Henkilötietojen i käsittelyn kuvaus ja lainmukaisuuden i arviointi i i Arvioi ioma toiminta i Käsittelyn tarkoitus Oikeus käsitellä Luovutukset t 5,6 3 3-k,6 8,12,13 8, 12, luku 4. Luku Mistä tiedot kerätään Hävitä, arkistoi 9 34 Ulkomaille siirto 22,23 Aloitus Tiedot 9,13 Informointi 24 Rekisteröidyn muut oikeudet 24,25-29 Rekisteriseloste 10 Suunnittelu Käyttötarkoitussidonnaisuus huolellisuus 5,6 7 Saatavillapito 10 Tietoturvallisuus 32 Ulkoistaminen k Käsittelyn hallinta Huolellisuus 5 Nimeä vastuuhenkilö 5 Kouluta, ohjeista 5 Viranomaisilmoitukset 36,37

82 Tietosuojaviranomaiset

83 Tietosuojavaltuutettu (HetiL ) Tietosuojavaltuutetun tehtävänä on antaa henkilötietojen käsittelyä koskevaa ohjausta ja neuvontaa sekä valvoa henkilötietojen käsittelyä henkilötietolain tavoitteiden toteuttamiseksi ja käyttää päätösvaltaa siten kuin henkilötietolaissa säädetään. Tietosuojavaltuutetulla on oikeus salassapitosäännösten estämättä saada tiedot käsiteltävistä henkilötiedoista sekä kaikki tiedot, jotka ovat tarpeen henkilötietojen käsittelyn lainmukaisuuden valvonnassa. Tietosuojavaltuutetun on edistettävä hyvää Tietosuojavaltuutetun on edistettävä hyvää tietojenkäsittelytapaa sekä ohjein ja neuvoin pyrittävä siihen, että lainvastaista menettelyä ei jatketa tai uusita.

84 Tietosuojavaltuutettu Tarvittaessa tietosuojavaltuutetun on saatettava asia tietosuojalautakunnan päätettäväksi taikka ilmoitettava se syytteeseen panoa varten. Tietosuojavaltuutetun on edistettävä hyvää tietojenkäsittelytapaa sekä ohjein ja neuvoin pyrittävä ä siihen, että lainvastaista i menettelyä ei jatketa tai uusita. Tarvittaessa tietosuojavaltuutetun on saatettava asia tietosuojalautakunnan päätettäväksi taikka ilmoitettava se syytteeseen panoa varten. Tietosuojavaltuutetun on ratkaistava hänelle toimitettu rekisteröityä koskeva asia,joka koskee tarkastusoikeuden toteutumista tai tiedon korjaamista rekisteröity. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden t toteuttamisesta t tt t tai tiedon korjaamisesta.

85 Tietosuojavaltuutettu Tietosuojavaltuutettu voi antaa tarkempia ohjeita siitä, miten henkilötiedot on suojattava henkilötietojen laittomalta käsittelyltä.

86 Tietosuojavaltuutetun kuuleminen Asianomaisen viranomaisen on varattava tietosuojavaltuutetulle tilaisuus tulla kuulluksi valmisteltaessa lainsäädännöllisiä tai hallinnollisia uudistuksia, jotka koskevat henkilöiden oikeuksien ja vapauksien suojaamista henkilötietojen käsittelyssä. Virallisen syyttäjän on ennen tämän lain vastaista menettelyä läkoskevan k syytteen nostamista kuultava tietosuojavaltuutettua. Tuomioistuimen on tällaista asiaa käsitellessään ää varattava tietosuojavaltuutetulle ll tilaisuus i tulla kuulluksi.

87 Muita tietosuojavaltuutetun tehtäviä paikkatietojen käsittelyä; puhelinluetteloita ja muita tilaajaluetteloita sekä numerotiedotusta koskevien säännösten noudattamista; suoramarkkinointia koskevien säännösten noudattamista tiedonsaantioikeuksia ja vaitiolovelvollisuutta koskevien ää ö t d tt mi t p ikk ti t j lt säännösten noudattamista paikkatietojen osalta. luottotietojen käsittelyn valvonta Lex Nokian valvonta

88 Tietosuojalautakunta (HetiL 43-44) Tietosuojalautakunta käsittelee henkilötietojen käsittelyyn liittyviä lain soveltamisalan kannalta periaatteellisesti tärkeitä kysymyksiä ja käyttää päätösvaltaa tietosuoja-asioissa siten kuin henkilölaissa säädetään. Tietosuojalautakunnalla on oikeus salassapitosäännösten estämättä saada tiedot käsiteltävistä henkilötiedoista sekä kaikki tiedot, jotka ovat tarpeen henkilötietojen käsittelyn lainmukaisuuden valvonnassa. Lupakompetenssi henkilötietojen käsittelyn osalta erityistilanteissa Käsittelee muutaman tapauksen vuodessa

89 Tietosuojalautakunnan määräykset Tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta: kieltää tämän lain tai sen nojalla annettujen säännösten ja määräysten vastaisen henkilötietojen käsittelyn velvoittaa muissa kuin tarkastusoikeus- ja tietojen korjausasioissa asianomaisen määräajassa oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty määrätä rekisteritoiminnan lopetettavaksi, jos lainvastaiset toimet tai laiminlyönnit huomattavasti vaarantavat rekisteröidyn yksityisyyden suojaa tai hänen etujaan tai oikeuksiaan, k i jollei rekisteristä i ole laissa säädetty peruuttaa anatamansa luvan, kun edellytyksiä luvan myöntämiselle ei enää ole tai kun rekisterinpitäjä toimii luvan tai siihen liitettyjen määräysten vastaisesti.

90 Mi Muita viranomaisia ii Viestintävirasto Erityisesti viestintään liittyvä tietoturvallisuus Jaettu valvontavastuu t sähköisen viestinnän tietosuojalain t i osalta Valtionhallinnon tietoturvallisuuden johtoryhmä VAHTI Valtionhallinnon tietoturvallisuuden ohjeistaja Laaja tuotanto

91 Ylimmät laillisuusvalvojat l EOA (dn:o 677/4/03) henkilötunnuksen merkitseminen tarpeettomasti asiakirjoihin AOK (dn:o 947/1/02) suostumus henkilöä koskeviin rekisteritietoihin pääsemiseksi yhteispalvelupisteessä riittävä selvitys mihin suostumusta pyydetään aito valintaoikeus antaako suostumuksen vai ei EOA (dn:o 2324/2/04) tarpeettomien terveystietojen kerääminen ammattiopistoon hakevilta AOA (dn:o 2901/2/04) yksityisyyden suoja työvoimatoimiston koulutukseen ottamiseen liittyvässä haastattelussa

92 Ylimmät laillisuusvalvojat l AOA (dn:o 1151/2/03) salassa pidettävien tietojen luovuttaminen poliisin henkilörekisteristä AOA (dn:o 379/4/04) virheellinen merkintä tietojärjestelmässä huolellisuusvelvoite AOA (dn:o 1761/4/04) salassa pidettävien tietojen luovuttaminen toiselle viranomaiselle

93 Kysymyksiä ja keskustelua

94 Julkisuus ja tietosuoja viranomaistoiminnassa Jlki Julkisuusperiaatei

95 Julkisuusperiaatteen perusoikeudellinen ulottuvuus PL (asiakirjajulkisuus): j Viranomaisen hallussa olevat asiakirjat ja muut tallenteet ovat julkisia, jollei niiden julkisuutta ole välttämättömien syiden vuoksi lailla erikseen rajoitettu. Jokaisella on oikeus saada tieto julkisesta asiakirjasta ja tallenteesta. PL 21 2 (avoimuus) PL 21.2 (avoimuus) Käsittelyn julkisuus

96 Julkisuusperiaate lainsäädännössä Viranomaisten asiakirjat ovat julkisia, jollei lainsäädännössä erikseen toisin i säädetä. (asiakirjajulkisuus) j (JulkL ) Oikeudesta seurata eduskunnan täysistuntoa, valtuuston ja muiden kunnallisten toimielinten i t kokouksia k k sekä tuomioistuinten i t i t ja kirkollisten k toimielinten istuntoja säädetään erikseen. (JulkL 1.2 ) Asia käsitellään julkisesti, jos niin on säädetty tai erityisen säännöksen nojalla päätetty. (HaL 24.1 ) Asiakirjojen julkisuudesta ja asianosaisen tiedonsaantioikeudesta Asiakirjojen julkisuudesta ja asianosaisen tiedonsaantioikeudesta säädetään viranomaisten toiminnan julkisuudesta annetussa laissa. (HaL 24.2 )

97 Julkisuuslaissa säädetään (JulkL 2 ) Oikeudesta saada tieto viranomaisten julkisista asiakirjoista Viranomaisessa toimivan vaitiolovelvollisuudesta, Asiakirjojen salassapidosta Tietojen saantia koskevista yleisten ja yksityisten etujen suojaamiseksi välttämättömistä rajoituksista Viranomaisten velvollisuuksista julkisuuslain tarkoituksen toteuttamiseksi.

98 Julkisuuslain soveltaminen (JulkL 4 ) Viranomaisilla tarkoitetaan julkisuuslaissa: valtion hallintoviranomaisia sekä muita valtion virastoja ja laitoksia; tuomioistuimia ja muita lainkäyttöelimiä; valtion liikelaitoksia; kunnallisia viranomaisia; Suomen Pankkia mukaan lukien Rahoitustarkastus, Kansaneläkelaitosta sekä muita itsenäisiä julkisoikeudellisia laitoksia; Eläketurvakeskuksen ja Maatalousyrittäjien eläkelaitoksen asiakirjoihin lakia kuitenkin sovelletaan 2 momentissa säädetyllä tavalla; eduskunnan virastoja ja laitoksia; Ahvenanmaan maakunnan viranomaisia niiden huolehtiessa valtakunnan viranomaisille kuuluvista tehtävistä maakunnassa; lain tai asetuksen taikka viranomaisen päätöksen perusteella tiettyä tehtävää itsenäisesti hoitamaan asetettuja tt lautakuntia, ti neuvottelukuntia, ti komiteoita, toimikuntia, ik ti työryhmiä, toimitusmiehiä it i ja kunnan ja kuntayhtymän tilintarkastajia sekä muita niihin verrattavia toimielimiä. Se mitä viranomaisesta säädetään, koskee myös lain tai asetuksen taikka lain tai asetuksen nojalla annetun säännöksen tai määräyksen perusteella jlki julkista tehtävää hoitavia yhteisöjä, laitoksia, säätiöitä ja yksityisiä henkilöitä niiden käyttäessä julkista valtaa. Evankelis-luterilaisen kirkon asiakirjojen julkisuudesta säädetään erikseen.

99 Määritelmiä

100 Asiakirja (JulkL 5.1 ) Asiakirjalla tarkoitetaan kirjallisen ja kuvallisen esityksen lisäksi sellaista käyttönsä vuoksi yhteen kuuluviksi tarkoitetuista merkeistä muodostuvaa tiettyä kohdetta tai asiaa koskevaa viestiä, joka on saatavissa selville vain automaattisen tietojenkäsittelyn tai äänen- ja kuvantoistolaitteiden taikka muiden apuvälineiden avulla. Huom! Arkistolaki 6.2 :n asiakirjan määritelmä

101 Viranomaisen asiakirja (JulkL 5.2 ) Viranomaisen asiakirjalla tarkoitetaan viranomaisen hallussa olevaa asiakirjaa, jonka viranomainen tai sen palveluksessa oleva on laatinut taikka joka on toimitettu viranomaiselle asian käsittelyä varten tai muuten sen toimialaan tai tehtäviin kuuluvassa asiassa. Viranomaisen laatimana pidetään myös asiakirjaa, joka on laadittu viranomaisen antaman toimeksiannon johdosta, Viranomaiselle toimitettuna asiakirjana pidetään asiakirjaa, joka on annettu viranomaisen toimeksiannosta tai muuten sen lukuun toimivalle toimeksiantotehtävän suorittamista varten.

102 Sähköinen asiakirja (SAVL 4 ) sähköisellä viestillä tarkoitetaan sähköisellä tiedonsiirtomenetelmällä lähetettyä tarvittaessa kirjalliseen muotoon tallennettavissa olevaa informaatiota; ja sähköisellä asiakirjalla sähköistä viestiä, joka liittyy asian vireillepanoon, käsittelyyn tai päätöksen tiedoksiantoon.

103 Viranomaisen asiakirjoja eivät ole (JulkL 5.3 ) viranomaisen i palveluksessa l olevalle ll tai luottamushenkilölle hänen muun tehtävänsä tai asemansa vuoksi lähetettyä kirjettä tai muuta asiakirjaa; viranomaisen palveluksessa olevan tai viranomaisen toimeksiannosta toimivan i laatimia i muistiinpanoja taikka sellaisia i luonnoksia, joita laatija ei ole vielä antanut esittelyä tai muuta asian käsittelyä varten; viranomaisen sisäistä koulutusta, tiedonhakua tai muuta niihin verrattavaa sisäistä käyttöä varten hankittuja asiakirjoja; asiakirjaa, joka on annettu viranomaiselle yksityisen lukuun suoritettavaa tehtävää varten tai laadittu sen suorittamiseksi; viranomaiselle löytötavarana jäänyttä tai toimitettua asiakirjaa.

104 Asiakirja Viranomaisen asiakirja Muu asiakirja Julkinen asiakirja Ei-julkinen asiakirja Salassa pidettävä asiakirja

105 Asia vrt. asiakirja Asia on viranomaisen käsiteltäväkseen saama tai viranomaisen käsiteltäväkseen ottama jokin kokonaisuus, jonka johdosta viranomaisessa suoritetaan asiaan liittyviä tehtäviä, joiden lopputuloksena syntyy asiaa koskeva ratkaisu (mm. hallintopäätös, ohjesääntö, työjärjestys, yleisohjeen antaminen) Asia= viranomaisten tietyssä prosessissa käsittelemä kokonaisuus Perinteinen asiakirjapohjainen toimintaympäristö Sähköinen toimintaympäristö N kpl asiakirjoja Perinteinen asiakirjapohjainen toimintaympäristö N kpl asiakirjallisia tietokokonaisuuksia Sähköinen toimintaympäristö Asia Asia N kpl käsittelyvaiheita N kpl käsittelyvaiheita asiakirja asiakirja tieto Y tieto X

106 Viranomaisen asiakirjan julkiseksi tuleminen (JulkL 6 ) Jollei asiakirjan julkisuudesta taikka salassapidosta tai muusta tietojen saantia koskevasta rajoituksesta säädetä toisin erikseen lainsäädännössä, viranomaisen laatima asiakirja tulee julkiseksi, seuraavasti:

107 Viranomaisen asiakirja tulee julkiseksi (JulkL 6 ) Kun asiakirjan perusteella tehdään merkintä jatkuvasti ylläpidettävään diaariin ja muuhun luetteloon. (asiakirjarekisteri) Syyttäjän diaarin tiedot epäillyistä tulevat kuitenkin julkisiksi vasta, kun epäiltyä koskeva haastehakemus tai syyttäjän haaste on allekirjoitettu i tai sitä vastaavalla tavalla varmennettu taikka kun virallinen syyttäjä on päättänyt jättää syytteen nostamatta tai kun asia on jätetty sikseen;

108 Viranomaisen asiakirja tulee julkiseksi (6 ) Kun tarjous-, selvitys- ja lausuntopyyntö sekä esitys, ehdotus, aloite, ilmoitus tai hakemus liiteasiakirjoineen on allekirjoitettu tai sitä vastaavalla tavalla varmennettu; Paitsi: hankintaa ja urakkaa samoin kuin muuta tarjousten perusteella ratkaistavaa oikeustointa koskeva tarjouksen täydennyspyyntö ja tarjousasian käsittelyä varten laaditut selvitykset ja muut asiakirjat, kun sopimus asiassa on tehty ministeriöiden ja niiden hallinnonalaan kuuluvien virastojen ja laitosten t talousarvioehdotukset, t t kun valtiovarainministeriö i i i t iö on allekirjoittanut ensimmäisen kannanottonsa talousarvioehdotukseksi, ja tämän jälkeen ministeriöiden valtiovarainministeriölle lähettämät ehdotukset sekä muut talousarvioesityksen it valmistelua l varten laaditut t ja siihen sisällytetyt ehdotukset, kun esitys on annettu eduskunnalle;

109 Viranomaisen asiakirja tulee julkiseksi (JulkL 6 ) tutkimus ja tilasto sekä niihin verrattavissa oleva yleisesti merkittävän ratkaisun tai suunnitelman esillä olevia vaihtoehtoja, niiden perusteita ja vaikutuksia k i kuvaava itsenäisen kokonaisuuden k muodostava selvitys, silloinkin kun se liittyy muuten keskeneräiseen asiaan, kun se on valmis käyttötarkoitukseensa; k k

110 Viranomaisen asiakirja tulee julkiseksi (6 ) pöytäkirja tulee julkiseksi, kun se tarkastuksen jälkeen on allekirjoitettu tai sitä vastaavalla tavalla varmennettu, jollei sitä ole laadittu asian valmistelemiseksi l i i tai viranomaisen i sisäistä työskentelyä varten; tuomioistuimen päätös ja tuomio tulee julkiseksi, kun ratkaisu on annettu tai kun se on asianosaisen saatavissa; päätös, lausunto, toimituskirja ja viranomaisen sopimusosapuolena tekemä ratkaisu sekä niiden käsittelyä varten viranomaisessa laaditut muistiot, pöytäkirjat ja muut vastaavat aineistot tulevat julkiseksi, kun päätös, lausunto, toimituskirja it tai sopimus on allekirjoitettu it tt tai sitä vastaavalla tavalla varmennettu;

111 Viranomaisen asiakirja tulee julkiseksi (6 ) Komiteanmietintö, selvitys tai muu vastaava yleiseen jakeluun tarkoitettu asiakirja tulee julkiseksi, k kun se on viranomaisen hallussa jakelua varten. Muut asiakirjat tulevat julkiseksi, kun asia, jota se koskee, on siinä viranomaisessa käsitelty loppuun. Jos asiassa annetaan toimituskirja tai muu asiakirja, viranomaisen on huolehdittava mahdollisuuksiensa mukaan tarvittaessa siitä, että asianosainen voi saada asiakirjan sisällöstä tiedon ennen sen julkiseksi tulemista.

112 Viranomaiselle toimitetun asiakirjan julkiseksi tulo (JulkL 7 ) Viranomaiselle asian käsittelyä varten tai muuten sen toimialaan tai tehtäviin kuuluvassa asiassa toimitettu asiakirja tulee julkiseksi, kun viranomainen on sen saanut, jollei asiakirjan julkisuudesta taikka salassapidosta tai muusta tietojen saantia koskevasta rajoituksesta lainsäädännössä säädetä toisin. Asiantuntijalausunnot ja muut sellaiset asiakirjat, jotka on päätetty avata tiettynä ajankohtana tai tietyn määräajan jälkeen, tulevat julkiseksi, kun ne avataan siltä osin kuin ne ovat julksia. Viranomaiselle toimitetut hankinta-, urakka- ja muut tarjouskilpailun perusteella ratkaistavaa oikeustointa koskevat tarjoukset tulevat julkiseksi, kun sopimus on tehty. Julkisuus voi olla vain osittainen.