1. Tietosuojavaltuutetun katsaus 2010 3

Katsaus toimintaan vuodelta 2010

2 Sisältö 1. Tietosuojavaltuutetun katsaus 2010 3 2. Tietosuojan vuosi 2010 2.1 Monipuolista yhteistyötä sidosryhmien kanssa 5 2.2 Vakiintunutta vaikuttamista kansainvälisissä tietosuojaelimissä 10 3. Tietosuojavaltuutetun toimiston resurssit, toiminta-ajatus ja arvot sekä yhteystiedot 14 4. Tietosuojaa koskevia ratkaisuja ja kannanottoja 2010 17 5. Tietosuojalautakunnan vuosi 2010 47 6.1 Katsaus vuoden 2010 toimintaan 6.2 Vuonna 2010 käsitellyt lupa-asiat 6.3 Vuonna 2010 käsitellyt määräysasiat 6.4 Vuonna 2010 annetut lausunnot 6.5 Lautakunnan kokoonpano 6. Dataombudsmannens översikt 2010 51 Tämä katsaus tietosuojavaltuutetun toimiston toimintaan 2010 on laadittu perinteisen vuosikertomuksen sijasta. Katsaus sekä vuoden 2010 toimintakertomus ovat luettavissa toimiston kotisivuilla osoitteessa www.tietosuoja.fi/tehtävät.

3 1. TIETOSUOJAVALTUUTETUN KATSAUS Tietosuojavaltuutetun toimiston 23. toimintavuonna käynnistyi yleisen tietosuojadirektiivin 95/46/EY kokonaisuudistus. Tämä lienee syynä siihen, ettei oikeusministeriön julkiseen hankerekisteriin ilmoittamaa henkilötietolain (523/1999) kokonaisuudistusta viety eteenpäin. Sen sijaan ns. Veropörssi-asian aiheuttama muutos toteutettiin henkilötietolakiin kumoamalla sen soveltamisalasäännöksessä ollut jo julkaistuja henkilötietoja koskenut poikkeus. Merkillepantavaa on, että samalla kun yleinen direktiivi ja sen nojalla voimaansaatettu henkilötietolaki ovat pitäneet pintansa niin hyvin, on sähköisen viestinnän tietosuojalakeja jouduttu uudistamaan samaan aikaan useita kertoja. Asian ongelmallisuus tuli ilmi muun muassa sähköisen viestinnän tietosuojalain seurantaryhmän julkaisemassa väliraportissa; muutamat kyselytutkimukseen vastanneet yhteisötilaajat kun ilmoittivat ottaneensa tuohon lakiin perustuvat yhteisötilaajille suodut oikeudet käyttöönsä huolehtimatta kuitenkaan esimerkiksi lakiin perustuvasta ennakkoilmoitusmenettelystä. Komissio julkaisi useita tietosuojan kannalta merkittäviä tiedonantoja. Toimintavuoden lopulla annetussa tiedonannossaan Kattava lähestymistapa tietosuojaan se jopa esitti kokonaan uuden oikeuden lanseeraamista, nimittäin oikeutta unohtaa. Tämä ehdotus liittyi kuitenkin lähinnä suostumuksen käyttöön sosiaalisessa mediassa. Kansalaisten tiedollinen itsemääräämisoikeus kun ei oikein näyttäisi toimivan riittävän hyvin heidän peruuttaessaan suostumuksensa. Uuteen direktiiviin, tai muuhun sen korvaavaan instrumenttiin, tullaan komission mukaan kirjaamaan velvoitteet noudattaa Privacy by Design ja Privacy by Default periaatteita. Suuri haaste, mutta samalla myös mahdollisuus rekisterinpitäjille tulee olemaan ns. todennettavuuden vaatimus (accountability). Komissio pohti myös tietoturvaloukkauksista ilmoittamisen tekemistä pakolliseksi. Yhteisen eurooppalaisen toimintamallin luomista identiteettivarkauksien varalle esitettiin. Tämä kysymys nousi esille sisäministeriön asettamassa identiteetinhallintaohjelma-työryhmän työssä. Keskeinen komission kiinnostuksen kohde on kansallisten tietosuojaviranomaisten rooli ja asema. Jo Lissabonin sopimus edellyttää meiltä itsenäisyyttä, mutta myös tosiasiallisia mahdollisuuksia toimia oikeusvaltioperiaatteen mukaan aktiivisesti perusoikeuksien käyttöä edistäen. Tähän toimintakykyymme kiinnitti myös eduskunnan apulaisoikeusasiamies huomionsa tehdessään toimintavuonna tarkastuksen toimistoomme. Tietosuojavaltuutetun toimisto pyrki reagoimaan ennakoivasti tähän toimintaympäristömme rajuun muutokseen. Suoritimme laajakantoisen toimistomme ohjausjärjestelmän uudistuksen. Yhdessä koko henkilöstön kanssa myös sitoutumisen varmistamiseksi uusimme toimintavuonna tahtotilaamme kuvaavan visiomme, aktiivista toimintaamme määrittävän toiminta-ajatuksemme, päätöksentekoamme varten vahvistetut arvot ja keinojamme osoittavat strategiamme. Toimintavuoteen mahtui monia uutiskynnyksen ylittäneitä tapahtumia, isoja tietomurtoja, valelääkäreitä ja myrkkyhoitajia, julkisen tiedon parempaan saatavuuteen tähtääviä hankkeita, mutta myös tietoturvan parantamista näinä Wikileaksin aikoina. Uusi tietoturva-

4 asetus neliportaisine luokitteluineen ohjaa hallinnon yksiköitä kohti parempaa tiedonhallintatapaa. Me koetimme osaltamme auttaa myös yksityisen sektorin toimijoita. Kiitän jälleen toimistomme henkilöstöä hyvin sujuneesta vuodesta. Helsingissä 27. päivänä kesäkuuta 2011 Tietosuojavaltuutettu Reijo Aarnio

5 2. TIETOSUOJAN VUOSI 2010 2.1 Monipuolista yhteistyötä sidosryhmien kanssa Tietosuojavaltuutetun toimiston toiminnan tulostavoitteet on vahvistettu oikeusministeriön tulosohjauksessa laaditussa tulossopimuksessa. Osa tavoitteista on määritelty sidosryhmittäin tärkeimpien yhteistyökumppanien ja hallinnonalakohtaisen yhteistyön mukaisesti. Keskeisimmät palvelukohtaiset tavoitteet koskivat oikeusturvapalveluita, kansainvälisiä asioita ja tarkastustoimintaa. Tietosuojavaltuutetun toimiston henkilötietolain soveltamiseen liittyvä ohjaus- ja valvontatehtävä on valtakunnallinen ja kattaa sekä julkisen sektorin että yksityisen sektorin rekisterinpitäjät ja rekisteröidyt. Valtuutetun ohjaus- ja valvontatoimivalta ulottuu henkilötietolain lisäksi erityislainsäädännön perusteella tapahtuvaan henkilötietojen käsittelyyn. Tulostavoitteiden mukaan tehtävien pääpaino oli ennaltaehkäisevässä toiminnassa. Vaikuttavuutta pyrittiin lisäämään yleisohjauksen oikealla kohdentamisella ja integroitumalla toiminnallisesti erilaisiin ryhmiin, toimikuntiin jne. Tietosuojavaltuutetun toimiston edustaja osallistui yhteensä noin 80 neuvottelukuntaan, työryhmään tai muuhun yhteistyöryhmään. Tietosuojavaltuutettu on kuulunut jäsenenä tai asiantuntijajäsenenä Arjen tietoyhteiskuntaohjelman tietoturvaryhmään, jonka mandaatti päättyi 28.2.2011, sekä valtion tietoturvallisuusasiain johtoryhmään. Toimiston edustajia on osallistunut useisiin valtion tietoturvallisuuden johtoryhmän alaisiin työryhmiin. Kansainvälisenä tietosuojapäivänä keskusteltiin tietoturvalain tarpeellisuudesta Tietosuojavaltuutetun toimisto ja Valtiontalouden tarkastusvirasto (VTV) järjestivät kansainvälisenä tietosuojapäivänä 28.1.2010 IT-foorumin eduskunnan Pikkuparlamentin Auditoriossa. Tilaisuuden puheenjohtajana toimi tietosuojavaltuutettu Reijo Aarnio. IT-foorumin aiheita olivat tietotilinpäätöksen kehittäminen ja sen tarkastaminen sekä ITtoiminnan ohjauksen tehostaminen ja sen vaikutukset tarkastustoimintaan. Alustajina foorumissa toimivat pääjohtaja, OTT Tuomas Pöysti, ylijohtaja Marjatta Kimmonen ja johtava tuloksellisuustarkastaja, HTT Tomi Voutilainen Valtiontalouden tarkastusvirastosta, erityisasiantuntija Jari Råman tietosuojavaltuutetun toimistosta, puheenjohtaja Tapani Tarvainen Effi ry:stä ja Oulun kaupungin vs. tietohallintojohtaja Juhani Heikka. Foorumissa ehdotettiin siirtymistä nykyaikaiseen tietojohtamiseen ja valtion vanhojen virastorakenteiden radikaalia muuttamista. Tämä tapahtuisi siten, että koottaisiin perusrekistereiden ja perustietovarantojen hallinta yhdelle viranomaiselle yhdistämällä useita nykyisiä valtion virastoja. Tilaisuuden lopuksi järjestettiin paneelikeskustelu aiheesta "Tarvitaanko Suomeen tietoturvalakia?" Paneelikeskusteluun osallistuivat toimitusjohtaja Ilkka Kananen Huoltovarmuuskeskuksesta, johtaja Timo Lehtimäki Viestintävirastosta sekä tietosuojavaltuutettu Reijo Aarnio ja pääjohtaja Tuomas Pöysti. Paneelikeskustelun puheenjohtajana toimi ylijohtaja Vesa Jatkola Valtiontalouden tarkastusvirastosta.

6 IT-foorumin johdosta annetussa lehdistötiedotteessa pääjohtaja Pöysti sanoi, että Suomi tarvitsee selkeän tietoturvallisuuslain ollakseen kilpailukykyinen. Tällä hetkellä käytössä on liian paljon ja liian hajanaista erityislainsäädäntöä. Sekavan mutta runsaan lainsäädännön ja ohjeistuksen opetteluun menee aikaa, ja aika maksaa. Esimerkiksi valtionhallinnon käytössä oleva VAHTI -ohjeistus on niin laaja, että organisaation yleisjohtaja ei voi sitä hallita, Pöysti painotti. Pääjohtajan mukaan tietoturvallisuussääntely olisi koottava johdonmukaiseksi kokonaisuudeksi ja virtaviivaistettava kilpailukyvyn tarpeisiin. Liiallista sääntelyä on varottava, koska se voi tukahduttaa teknologista kehitystä ja innovaatioita. Tietoturvaviikolla puhuttiin kuvista netissä ja nettikiusaamisesta Tietosuojavaltuutetun toimisto osallistui myös kansallisen tietoturvapäivän viettoon 9.2.2010 ja tietoturvaviikon toteutukseen 8.-13.2.2010. Seitsemännen kerran järjestetty Tietoturvapäivä on osa kansallista tietoturvallisuusstrategiaa. Tietoturvapäivä-hankkeen keskeisenä päämääränä on viestinnän keinoin kohentaa kansalaisten tietoisuutta internetin mahdollisuuksista sekä tietoturvauhista ja keinoista, joilla näiltä uhilta voidaan suojautua ja välttyä. Kaudella 2010 hankkeessa oli mukana 33 toimijaa ja sitä johti Viestintävirasto. Viime kaudella keskityttiin koulujen ja kotien tietoturvatietoisuuden edistämiseen. Tietoturvaviikon pääteemaksi otettiin Insafe-verkoston valitsema teema eli kuvien julkaisu netissä. Aiheesta teetettiin myös kyselytutkimus, jonka tulokset julkaistiin Tietoturvaviikolla. Tietoturvapäivä-hanke teetti kyselyn 9-15-vuotiaille lapsille ja nuorille heidän kuvienkäyttöja julkaisutottumuksistaan internetissä. Kyselyn tulosten perusteella vastaajista noin 10 % oli joskus katunut julkaisemaansa kuvaa ja samoin 10 % oli löytänyt itsestään ikäviä kuvia netistä. Myös nettikiusaamista käsiteltiin erityisesti syksyn 2009 aikana. Verkkosivujen kävijämäärät Tietoturvakoulu.fi:ssä olivat ajalla 1.9.2009 30.4.2010 eri kävijöitä 38 500 ja samalla aikavälillä tietoturvaopas.fi:ssä 21 200. Tietoturvakoulu.fi:ssä oli ajanjaksolla ollut keskimäärin 4 800 eri kävijää ja tietoturvaopas.fi:ssä 2 650. Sivulatauksia tietoturvaopas.fi:ssä oli samalla aikavälillä tehty noin 206 000 ja tietoturvakoulu.fi:ssä 442 000. Tämä kertoo siitä, että käyttäjiä oli todellisuudessa tilastotietoja enemmän. Tilastot eivät kerro todellisia kävijämääriä, sillä usein yhden ip-osoitteen takaa löytyy monta käyttäjää, etenkin kouluissa. Karkeasti arvioiden molemmilla sivustoilla on käynyt kauden aikana 150 000 200 000 henkilöä. TELLU:ssa käsiteltiin terveydenhuollon tietosuoja-asioita Tietosuojavaltuutetun johdolla toimii terveydenhuollon tietosuoja-asioiden asiantuntijaviranomaisten yhteistyöryhmä (TELLU). Ryhmään kuuluvat tietosuojavaltuutetun toimiston edustajien lisäksi sosiaali- ja terveysministeriön, Suomen Kuntaliiton, Terveyden ja hyvinvoinnin laitoksen, Sosiaali- ja terveysalan lupa- ja valvontaviraston (Valvira), Etelä-Suomen aluehallintoviraston, Kelan, Suomen Lääkäriliiton, Pohjois-Pohjanmaan sairaanhoitopiirin, Varsinais-Suomen sairaanhoitopiirin sekä Helsingin ja Tampereen kaupungin terveydenhuollon edustajat. Ohjausryhmä kuulee lisäksi tarvittaessa asiantuntijoita. TELLUN tarkoituksena on seurata ja käsitellä terveydenhuollon ajankohtaisia tietosuojakysymyksiä ja ongelmia. Keskeinen tavoite on kartoittaa, koordinoida, kommentoida ja ohjeistaa terveydenhuollon valtakunnallisiin ja muihin hankkeisiin liittyviä

7 tietosuojakysymyksiä sekä varmistaa viranomaisten ja muiden toimijoiden ohjauksen ja neuvonnan yhdenmukaisuus. Ryhmä toimii myös jäsentensä keskustelufoorumina ja tuottaa tarpeen mukaan omaa ohjausmateriaalia ja malleja. Kertomusvuonna TELLU kokoontui 5 kertaa. Käsiteltävinä asioina olivat mm. poliisin virkaapupyyntö lääkärille, valelääkäritoiminta, eresepti ja Reseptikeskuksen käyttöönotto, tietosuojavaltuutetun kesällä tekemä tarkastus (webropol-selvitys) noin 1700 terveydenhuollon organisaatiolle, tietosuojavastaavien järjestäytyminen ja yhteistyö (TIEVA ry:n pj Kirsi-Marja Remes), tunnistaminen terveydenhuollon sähköisissä ajanvarausjärjestelmissä, ns. "läheltä piti" -tilanteet, vaikuttavuusarviot, terveydenhuoltolaki, laki sosiaali- ja terveydenhuollon asiakastiedon sähköisestä käsittelystä sekä STM:n muut lainsäädäntökatsaukset joka kokouksessa. Tietosuojavaltuutettu teki 16.4.2010 (Dnro 1820/452/2006) aloitteen STM:lle tarvittaviin toimenpiteisiin ryhtymiseksi koskien potilasrekisteritietojen säilyttämistä ammatinharjoittajan kuolintapauksessa tai kun toimintayksikkö lopettaa toimintansa. Asiaa käsiteltiin ensin TELLU:ssa, jonka seurannassa oli myös tietosuojavaltuutetun 23.1.2009 (Dnro 1777/02/2009) tekemä lakialoite STM:lle sosiaalihuollon asiakas- ja potilastietojen käytön selkeyttämiseksi ja mahdollisiin tarvittaviin lainsäädäntötoimenpiteisiin ryhtymiseksi. TELLUn kokouksessa 16.12.2010 päätettiin, että tietosuojavaltuutettu tekee aloitteen STM:lle ja THL:lle tietosuojasäännösten selkeyttämiseksi terveydenhuollossa. Tavoitteena oli, että STM, THL, TSV ja TELLU laativat yhdessä Terveydenhuollon tietosuojan parhaat käytännöt listan. Sen avulla olisi tarkoitus pyrkiä toimintojen yhdenmukaisuuteen, potilasturvallisuuden parantamiseen, terveydenhuollon toimintayksiköiden henkilökunnan oikeusturvan parantamiseen ja terveydenhuollon tietosuojan laadun parantamiseen. Tämä aloite tehtiinkin seuraavana vuonna (TSV 3.2.2011, Dnro243/44/2011). TELLU oli myös järjestämässä seminaareja, joissa käsiteltiin ajankohtaisia terveydenhuollon asioita kuten sähköistä lääkemääräystä eli ereseptiä ja Reseptikeskusta, Kelan tulevaisuudessa teknisesti ylläpitämää sähköistä potilasarkistoa eli earkistoa, kansalaisen oikeutta selata näyttöpäätteensä kautta em. sähköisiä palveluja eli kansalaisen ekatselua sekä tietosuojavastaavan asemaa, tehtäviä ja toimenkuvaa: - Lääkäripäivät 11.1.2010, Helsinki - Terveydenhuollon valtakunnalliset ATK-päivät 25.-26.5.2010, Tampere - Kuntamarkkinat 15.-16.9.2010, Helsinki - TELLU-seminaari (16.11.) ja 17-18.11.2010, Lahti SOHVI keskittyi sosiaalihuollon tietosuojakysymyksiin Tietosuojavaltuutetun johdolla kokoontuvaan Sosiaalihuollon tietosuojan ohjausryhmään (SOHVI) kuuluu asiantuntijoita Suomen Kuntaliitosta, sosiaali- ja terveysministeriöstä, Sosiaaliturvan Keskusliitosta ja eri viranomaistahoilta sekä kunnista. Ryhmässä kuultiin ja keskusteltiin lainsäädännön uudistushankkeista, sosiaalialan tietoteknologiahankkeen (www.tikesos.fi) piirissä esiin nousseista tietosuojakysymyksistä ja hankkeen etenemisestä sekä muista ajankohtaisista sosiaalihuollon tietosuojakysymyksistä. Esillä oli mm. pakolaisten henkilötietojen käsittely, ennakolliseen lastensuojeluilmoitukseen liittyvä henkilötietojen käsittely ja teknisen käyttöyhteyden

8 avaamisen edellytykset. Ryhmä myös järjesti yksipäiväisen sosiaalihuollon tietosuojaseminaarin tietosuojavaltuutetun toimiston ja Suomen Kuntaliiton kanssa. Seminaariin osallistui noin 160 henkilöä, joista parikymmentä videoneuvotteluyhteyden avulla. TERTUSSA puhutti teletoiminnan kehittäminen Teletoiminnan tietosuojaryhmä (TERTTU) on toiminut vuodesta 2003 lähtien tietosuojavaltuutetun toimiston sekä Tietoliikenteen ja tietotekniikan keskusliitto FiCom ry:n johdolla. Ryhmän kokoonpanoon kuuluu teletoimialan yritysten ja toimialajärjestön edustajia. TERTTU käsittelee toimialalla kulloinkin ajankohtaisia kansallisia ja kansainvälisiä kysymyksiä sekä seuraa tietoyhteiskuntakehitystä myös yleisemmällä tasolla. Lisäksi ryhmän kokoukset mahdollistavat tietosuojavaltuutetun ohjaus- ja neuvontatyön. Kertomusvuonna TERTUSSA käsiteltiin ja seurattiin erityisesti teleyritysten tarjoaman mobiilivarmennepalvelun kehitystyötä. Vuoden lopulla lanseerattu mobiilivarmenne mahdollistaa tunnistautumisen ja allekirjoittamisen erilaisissa sähköisissä palveluissa. Tunnistautumisen ohella myös asiakasrekisteritietojen käsittelyn ns. lokittaminen oli keskeisesti esillä TERTUN kokouksissa. Luettelo- ja numerotiedotuspalveluiden osalta kokouksissa käsiteltiin tietosuojavaltuutetun toimistoon tulleisiin kansalaisyhteydenottoihin perustuneita teemoja, joilla oli yleistä merkitystä koko toimialan kannalta. Muuttuneiden oppimisympäristöjen luomat uudet haasteet lisäsivät OTON merkitystä Tietosuojavaltuutetun toimistossa kokoontui opetustoimen tietosuojan ohjausryhmä (OTTO), jonka työskentelyyn osallistuu viranomaisten ja järjestöjen ohella käytännön toimijoita erilaisista oppilaitoksista. Ryhmän toiminnan merkitys on korostunut vuosi vuodelta, koska oppilaiden henkilötietojen käsittelyyn oppilaitoksissa on tullut uusia haasteita oppimisympäristöjen muuttuessa. Oppilaitoksissahan käytetään yhä enenevässä määrin erilaisia sähköisiä käyttöliittymiä ja oppimisalustoja, jotka asettavat uudenlaisia haasteita myös henkilötietojen käsittelyn suunnittelulle. Yhtenä esimerkkinä ovat sähköiset reissuvihot, joihin kertomusvuonna tutustuttiin tarkemmin ryhmän kokouksissa. Henkilötietojen käsittelystä vastaa opetuksen järjestäjä rekisterinpitäjänä. Esimerkiksi perusopetuksessa rekisterinpitäjänä on kuntalain mukainen opetustoimen hallinnosta vastaava lautakunta. Oppilaitokset voivat käsitellä opetuksen järjestämiseksi tarpeellisia tietoja oppilaistaan ja opiskelijoistaan, mutta henkilötiedot tulee suojata ulkopuolisilta, joita ovat myös ne, jotka eivät tarvitse tietoja työtehtävissään. Arkaluonteisten ja salassa pidettävien tietojen suojaaminen on erityisen tärkeää. Henkilötietolain tarpeellisuus- ja asianmukaisuusvaatimus vaikuttavat henkilötietojen säilyttämiseen operatiivisessa toiminnassa. Arkistonmuodostamissuunnitelmassa määritellään, kuinka kauan tietoja säilytetään sen jälkeen, kun oppilas on päättänyt koulunkäyntinsä. OTON kokouksissa keskusteltiin henkilötietojen käsittelyn ohjaustarpeesta ja ohjauksen antamisesta esimerkiksi valtakunnallisina suositusten muodossa. Näin varmistettaisiin sekä hyvän tietojenkäsittelytavan toteutuminen että yhdenmukaisen käytännön aikaansaaminen ja siten oppilaiden ja opiskelijoiden yhdenvertaisuus henkilötietojen käsittelyssä.

9 Kun OTOSSA keskusteltiin sosiaalisen median käytöstä opetuksessa, pidettiin tärkeänä, että palvelun käyttöönottoa harkitseva tutustuu yhteisöpalvelun käyttöehtoihin, joissa kerrotaan, mihin käyttäjä sitoutuu. Suomalaisessa palvelussa olevasta rekisteriselosteesta ilmenee palvelussa kerättävien henkilötietojen käsittelystä vastuussa oleva taho, henkilötietojen käsittelyn tarkoitus ja mahdolliset säännönmukaiset luovutukset (henkilötietolaki HTL 24 ). Palvelun käyttäjän asemaan vaikuttaa se, minkä maan lainsäädäntöä henkilötietojen käsittelyyn sovelletaan (HTL 4 ) ja luovutetaanko henkilötietoja EU:n ulkopuolelle (HTL 5 luku). Esimerkiksi tietojen poistaminen palvelusta voi tuottaa ongelmia ja tietoja saatetaan käyttää käyttöehdoissa kerrotulla tavalla palvelun tuottajan omiin tarkoituksiin. Tietosuojavaltuutetun käsityksen mukaan koulutuksen järjestäjä ei voi velvoittaa opiskelijoita käyttämään sellaisia välineitä, joiden käyttöön liittyvä henkilötietojen käsittely ei täytä lain vaatimuksia. Opiskelijoille tulee laatia oppimisympäristön käytöstä pelisäännöt ja työnantajan tulee opastaa työntekijät hyvän tietojenkäsittelytavan noudattamiseen. Kertomusvuonna muuttuneesta lainsäädännöstä aiheutui henkilötietojen käsittelyn ohjaustarvetta. Perusopetuslakia muutettiin (642/2010) tavalla, joka selkeyttää muun muassa oppilashuoltotyön kirjaamista kouluissa, kun oppilashuoltoryhmissä käsitellään yksittäistä oppilasta koskevaa asiaa. Keskusteluissa oli laajemminkin esillä oppilaiden henkilötietojen käsittely erilaisissa oppilashuoltopalveluissa, joihin sisältyvät kouluterveydenhuolto sekä koulukuraattori- ja koulupsykologipalvelut. Lisäksi kertomusvuonna muutettiin nuorisolakia siten, että siinä säädetään etsivästä nuorisotyöstä (693/2010), jossa käsitellään tuen tarpeessa olevan nuoren henkilötietoja. OTON tavoitteena onkin omalta osaltaan tukea oppilaitoksia osallistumalla asiantuntemuksellaan koulujen ja oppilaitosten käyttöön suunnattujen tietosuoja-aiheisten materiaalien valmisteluun. Tietosuojavaltuutettu ja elinkeinoelämä tiivistivät yhteistyötä Kertomusvuonna syntyi myös uusi tietosuojaryhmä (MAISA), kun tietosuojavaltuutettu ja elinkeinoelämä tiivistivät yhteistyötä ja perustivat ryhmän käsittelemään ajankohtaisia markkinoinnin ja asiakkuuden tietosuojakysymyksiä. Digitaalinen markkinointi, sosiaalinen media ja yhä tietointensiivisempi asiakkuudenhallinta saavat koko ajan uusia kaupallisia muotoja. Yhä useammin niihin liittyy myös vahva tietosuojanäkökulma. MAISA -ryhmän perustivat Tietosuojavaltuutetun toimisto, Asiakkuusmarkkinointiliitto, IAB Finland ja Teleforum. Ryhmän tarkoitus on edistää hyvien tietosuojakäytäntöjen syntymistä ja tukea kaupallisen sektorin itsesääntelyä sekä parantaa tiedonvaihtoa eri sektoreiden välillä. Ryhmä tulee käsittelemään laajaa asiakirjoa. Käsiteltävien asioiden joukkoon mahtuvat mm. sosiaalisen median ilmiöt, asiakastietojen hyödyntäminen, sähköinen suoramarkkinointi, cloud computing, yksityisyyden suoja ja lähiteknologiat sekä paikkatiedon hyödyntäminen. Kaikkien itsenäisten toimijoiden yhteistyö tulee tehostamaan parhaiden ja samalla markkinoinnin kohteiden oikeusturvan huomioivien käytäntöjen luomiseen tähtäävää työtä. Tässä on toimialan etujärjestöjen tuhannen taalan paikka osoittaa tehokkuutensa totesi tietosuojavaltuutettu Reijo Aarnio asiaa koskeneessa lehdistötiedotteessa.

10 2.2 Vakiintunutta vaikuttamista kansainvälisissä tietosuojaelimissä Tietosuojavaltuutetun toimisto osallistui aktiivisesti pohjoismaisiin ja kansainvälisiin kokouksiin, mm. tietosuojadirektiivin 29 art. tietosuojaryhmän, Europolin yhteisen valvontaelimen ja muutoksenhakuelimen, Schengenin tietojärjestelmän yhteisen valvontaelimen ja tullitietojärjestelmän kokouksiin. EU:n tietosuojadirektiivin artikla 29:n tietosuojatyöryhmä Tietosuojadirektiivin (95/46/EC) 29 artiklaan perustuva EU:n jäsenvaltioiden tietosuojaviranomaisista koostuva tietosuojatyöryhmä kokoontui vuoden 2010 aikana 5 kertaa. Tietosuojatyöryhmä on riippumaton neuvoa antava asiantuntijaelin tietosuojaan liittyvissä kysymyksissä ja se on toiminnassaan itsenäinen. Työryhmän tavoitteena on mm. tutkia ja esittää tietosuojadirektiivin soveltamiseen ja tulkintaan liittyviä kysymyksiä. Se antaa tietosuojaan liittyviä lausuntoja ja suosituksia komissiolle. Tietosuojatyöryhmän alatyöryhmistä tietosuojavaltuutetun toimistolla oli vuonna 2010 edustaja ryhmässä Technology Subgroup. Vuonna 2010 tietosuojatyöryhmä käsitteli ja/tai antoi lausuntonsa seuraavista aiheista: Lausunto 1/2010 rekisterinpitäjän ja henkilötietojen käsittelijän käsitteistä (WP 169, 16.02.2010) Työohjelma 2010 2011 (WP 170, 15.02.2010) Lausunto 2/2010 käyttötottumuksia seuraavasta internetmainonnasta (WP 171, 22.06.2010) Report 01/2010 on the second joint enforcement action: Compliance at national level of Telecom Providers and ISPs with the obligations required from national traffic data retention legislation on the legal basis of articles 6 and 9 of the e-privacy Directive 2002/58/EC and the Data Retention Directive 2006/24/EC amending the e-privacy Directive (WP 172, 13.7.2010), ei julkaistu suomeksi) Lausunto 3/2010 tilivelvollisuuden periaatteesta (WP 173, 13.7.2010) Lausunto 4/2010 henkilötietojen käyttöä suoramarkkinoinnissa koskevista Euroopan suoramarkkinointiliiton (FEDMA) eurooppalaisista käytännesäännöistä (WP 174, 13.7.2010) Lausunto 5/2010 elinkeinoelämän ehdottamasta kehyksestä RFID sovellusten yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille (WP 175, 13.7.2010) FAQs in order to address some issues raised by the entry into force of the EU Commission Decision 2010/87/EU of 5 February 2010 on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46/EC (WP 176, 12.7.2010, ei julkaistu suomeksi) Lausunto 6/2010 henkilötietojen suojan tasosta Uruguayn itäisessä tasavallassa (WP 177, 12.10.2010) Lausunto 7/2010 matkustajarekisteritietojen (PNR) siirtoa kolmansiin maihin koskevasta kokonaisvaltaisesta lähestymistavasta annetusta komission tiedonannosta (WP 178, 12.11.2010)

11 Opinion 8/2010 on applicable law (WP 179, 16.12.2010, ei julkaistu suomeksi) Artikla 29 työryhmän kokouksiin osallistuu myös Euroopan tietosuojavaltuutettu, jona toimii Peter Hustinx. Euroopan tietosuojavaltuutettu on riippumaton valvontaelin, jonka tehtävänä on valvoa luonnollisten henkilöiden suojelemista henkilötietojen käsittelyssä ja tällaisten tietojen vapaata liikkuvuutta koskevien yhteisön säädösten soveltamista yhteisön toimielimiin. Europolin yhteinen valvontaelin Euroopan poliisivirasto (jäljempänä Europol) on Euroopan unionin lainvalvontaorganisaatio. Europolin tavoite on parantaa jäsenvaltioiden toimivaltaisten viranomaisten tehokkuutta ja yhteistyötä vakavan kansainvälisen järjestäytyneen rikollisuuden ja terrorismin ehkäisemisessä ja torjunnassa. Euroopan unionin neuvoston 6 päivänä huhtikuuta 2009 tekemä päätös Europolin perustamisesta (2009/371/YOS), korvaa Europolin oikeusperustana aikaisemmin olleen Europol-yleissopimuksen. Europol-päätöksen tavoitteena on yksinkertaistaa ja parantaa Europolin säädöskehystä, rahoittaa Europol unionin yleisestä talousarviosta ja luoda mahdollisuuksia muuttaa päätöstä tarvittaessa joustavasti. Europol-päätös tuli voimaan 2010 lukien. Tietosuojavaltuutetun toimisto osallistuu Europolin mukaisen yhteisen valvontaelimen toimintaan. Yhteisen valvontaelimen tehtävänä on valvoa Europolin toimintaa sen varmistamiseksi, että Europolin elinten käytössä olevien tietojen tallentaminen, käsittely ja käyttö eivät vaaranna rekisteröidyn oikeuksia. Vuonna 2010 valvontaelin valvontaelin toimeenpani mm. vuosittaisen laajan tarkastuksen Europolissa. Valvontaelin käsitteli lukuisia Europolin toimesta tapahtuvaan henkilötietojen käsittelyyn liittyviä kysymyksiä. mm. kolmansien maiden kanssa tehtävään tietojenvaihtoon liittyviä kysymyksiä, analyysitietokantojen toiminnassa noudatettavia menettelytapoja sekä tietojen hankintaan liittyviä asioita. Europolin yhteisen valvontaelimen muutoksenhakukomitea tutkii Europol-päätöksessä tarkoitetut rekisteröityjen oikeuksia koskevat asiat ja antaa asioissa lopullisen päätöksen. Komiteassa on yksi jäsen kustakin valtuuskunnasta. Muutoksenhakukomitean toimintaan vaikutti keskeisesti se, että kansalaisten vireille panemien muutoksenhakuasioiden määrä on lisääntynyt. Schengenin tietojärjestelmän yhteinen valvontaelin Schengenin säännöstön tarkoituksena on helpottaa henkilöiden vapaata liikkumista unionin jäsenmaissa, tästä syystä rajatarkastukset Euroopan unionin sisärajoilla on poistettu. Rajamuodollisuuksien sijaan viranomaisvalvonnan tukena on Schengenvaltioiden yhteinen tietojärjestelmä (SIS). Tietosuojavaltuutetun toimiston edustaja

12 osallistuu Schengen-yleissopimuksen mukaisen tietojärjestelmän yhteisen valvontaelimen toimintaan. Yhteisen valvontaelimen tehtävänä on mm. tutkia tietojärjestelmän käyttöön liittyviä oikeudellisia kysymyksiä. Valvontaelin käsitteli Schengenin tietojärjestelmän käyttöön liittyviä kysymyksiä, keskeisenä asiana oli mm. Schengenin tietojärjestelmän eri kuulutusluokkiin tehdyt yhteiset tarkastuksen ja niiden jatkotoimenpiteet. Tullitietojärjestelmän yhteinen valvontaelin Euroopan Unionin tullitietojärjestelmää koskevan säännöstön perusteella tullitietojärjestelmää valvoo yhteinen valvontaviranomainen, jossa tietosuojavaltuutetun toimiston edustaja on jäsenenä. Keskeisenä asiaryhmänä oli mm. yhteisen kattavan tarkastuksen valmistelu ja kansallisen ohjeistuksen selvittäminen ja arvioiminen. EURODAC-järjestelmän yhteinen valvonta Järjestelmä on perustettu Dublinin yleissopimuksen soveltamista varten. EURODACjärjestelmän avulla jäsenvaltiot voivat tunnistaa turvapaikanhakijat ja henkilöt, jotka on pidätetty heidän ylittäessään yhteisön ulkorajan luvatta. Sormenjälkiä vertaamalla jäsenvaltiot voivat tarkistaa, onko turvapaikanhakija tai jäsenvaltion alueella luvattomasti oleskeleva ulkomaalainen tehnyt jo hakemuksen toisessa jäsenvaltiossa tai onko turvapaikanhakija tullut unionin alueelle laittomasti. Järjestelmä koostuu Euroopan komission hallinnoimasta keskusyksiköstä, sähköisestä sormenjälkien keskustietokannasta sekä välineistä, joilla siirretään tietoja sähköisessä muodossa jäsenvaltioiden ja keskustietokannan välillä. Tietosuojavaltuutetun toimiston edustaja osallistui EURODAC-sormenjälkirekisterin valvontaan liittyvään yhteistyöhön. Yhteistyössä arvioidaan järjestelmän käyttöön liittyviä tietosuojakysymyksiä. Yhteistyössä valmisteltiin mm. yhteistä ns. tietojen poistoaikojen noudattamista koskevaa tarkastusta, joka toteutetaan jäsenmaiden tietosuojaviranomaisten toimesta vuoden 2011 aikana. Yhteistyö poliisi- ja oikeusasioissa WPPJ Tietosuojavaltuutetun toimisto osallistui poliisi- ja oikeusasioiden työryhmän toimintaan (Working Party on Police and Justice-WPPJ). Työryhmä käsittelee laaja-alaisesti poliisi- ja oikeusasioihin liittyviä tietosuojakysymyksiä. Työryhmän toiminta perustuu Euroopan tietosuojaviranomaisten kokouksessaan antamaan toimeksiantoon. Työryhmä käsitteli mm. poliisi- ja oikeusasioiden tietosuojan puitepäätöksen toimeenpanoon ja lainvalvontaviranomaisten tietojenvaihtoon liittyviä asioita.

13 Euroopan unionin tietosuojaviranomaisten esittelijäkokous Vuonna 2010 järjestettiin kaksi EU-esittelijäkokousta, ensimmäinen Brysselissä 18.-19.3. ja toinen Manchesterissä 20.-21.9. Brysselin kokouksen asialistalla olivat tieteellinen tutkimus, suoramarkkinointia koskevat kansalliset käytännesäännöt sekä liikenneasiat (kuten tietullit). Manchesterissä keskityttiin puolestaan tietosuojaviranomaisten omiin prosesseihin ja menettelytapoihin asioiden käsittelyssä. Tavoitteena oli jakaa hyviä käytäntöjä sekä tehostaa toimintatapoja esim. valitusten käsittelyssä ja tarkastusten tekemisessä. Tieteellisen tutkimuksen kokous Brysselissä Brysselissä järjestettiin 22. 23.11.2010 kansainvälinen konferenssi Privacy Scientific Research: from Obstruction to Construction, johon tietosuojavaltuutetun toimiston edustajat osallistuivat. Konferenssin tavoitteena oli luoda tietosuojaviranomaisten, lakiasiantuntijoiden, akateemikoiden sekä tutkijoiden välille dialogi, jonka pohjalta pyrittiin hahmottamaan tieteellisen tutkimuksen parhaat käytännöt yksityisyyden suojan näkökulmasta. Konferenssin teemana oli selvittää, kuinka tieteellistä tutkimusta voidaan toteuttaa tehokkaasti ottaen asianmukaisesti huomioon tietosuojalainsäädännön vaatimukset. Euroopan tietosuojavaltuutettujen kevätkokokous Euroopan tietosuojavaltuutettujen kevätkokous pidettiin Prahassa 29-30.4.2010. Kokous antoi seuraavat julkilausumat: Resolution on the use of body scanners for airport security purposes Resolution on the envisaged agreement between the European Union and the United States of America on data protection standarts in the area of police and judical co-operation in criminal matters Resolution on future development of data protection and privacy Resolution on set up of joint actions of awareness and education of youngsters at an European and international level Tietosuojan 31. maailmankokous 32. kansainvälinen tietosuojaviranomaisten maailmankokous pidettiin Jerusalemissa, Israelissa 27.-29.10.2010. Kokousta edelsi 25.-26.10.2010 OECD:n tietosuojakonferenssi The Evolving Role of the Individual in Privacy Protection: 30 years after the OECD Privacy Guidelines. Maailmankokous antoi 5 julkilausumaa: Accreditation Resolution Administrative Resolutions Resolution on International Conference Resolution on Improvement of the Conference Organizational Setup Resolution on Privacy by Design

14 3. TIETOSUOJAVALTUUTETUN TOIMISTON RESURSSIT, TOIMINTA-AJATUS JA ARVOT SEKÄ YHTEYSTIEDOT RESURSSIT Toimiston vakinaisten täytettyjen virkojen määrä oli vuoden 2010 lopussa 18. Toimistossa työskenteli lisäksi yksi oikeusministeriön virassa oleva henkilö, joka nimilautakunnan tehtävien ohella hoitaa tietosuojavaltuutetun toimiston ylitarkastajan tehtäviä. Osa vakinaista viroista jouduttiin pitämään budjettisyistä täyttämättä vuonna 2010. Henkilötyövuosien kokonaismäärä oli 22,80 htv, kun mukaan lasketaan myös harjoittelijat ja muut määräaikaisissa virkasuhteissa vuoden 2010 aikana työskennelleet. VAKITUINEN HENKILÖKUNTA 31.12. 2010 Aarnio, Reijo, tietosuojavaltuutettu Helén, Pirjo, tarkastaja Huhtiniemi, Heikki, ylitarkastaja Höök, Marita, ylitarkastaja Järvinen, Johanna, ylitarkastaja Kara, Eija, ylitarkastaja Karppinen, Lauri, IT -erityisasiantuntija (Ketomäki, Juhani, ylitarkastaja, OM) Kumpula, Elisa, toimistopäällikkö Laiho, Erna, osastosihteeri Lankinen, Hanna, ylitarkastaja Lehto, Anne, tietopalvelusihteeri Murtomäki, Mia, ylitarkastaja Partanen, Heikki, ylitarkastaja Pihamaa, Heljä-Tuulia, ylitarkastaja Puukka, Arja, ylitarkastaja Tamminen-Dahlman, Anne, ylitarkastaja Vuorivirta, Lauri, ylitarkastaja, Ylipartanen, Arto, ylitarkastaja

15 TOIMINTA-AJATUS JA ARVOT VISIO: Tietosuoja on menestystekijä TOIMINTA-AJATUS: Vapaus tehdä itsenäisesti, yhteisön voimaa hyödyntäen, ammattitaidolla, ennaltaehkäisevästi ja ohjaten. STRATEGIAT: 1) ennakointi ja priorisointi 2) osaaminen 3) informaatio-ohjaus 4) liittoutuminen Ennakointi ja priorisointi osana strategiaamme tarkoittaa, että tunnistamalla kehittämiskohteet sekä keskittymällä oikea-aikaisesti ja ennakoiden tärkeimpiin asioihin ja ilmiöihin vahvistamme kykyämme vaikuttaa oikeisiin ja merkittäviin asioihin. Osaaminen. Ilman osaamista toiminnaltamme putoaisi pohja pois. Informaatio-ohjauksen keinoin saavutamme tavoitteemme tietoyhteiskunnassa ja verkostoituneessa maailmassa. Liittoutuminen vahvistaa rajallisia voimavarojamme. Verkottuminen yhteiskuntaan sekä luotettavien ja tehokkaiden kumppanien kanssa toimiminen tehostaa toimintaamme ja sen vaikuttavuutta. ARVOT: 1) yhteisöllisyys 2) oikeudenmukaisuus ja riippumattomuus 3) ajanmukaisuus 4) luovuus 5) avoimuus ja ymmärrettävyys Yhteisöllisyys arvona tarkoittaa meidän kannaltamme samassa veneessä ollaan - ajattelutapaa. Tekemisemme vaikuttavat asiakkaidemme lisäksi aina myös muiden toimistossamme työskentelevien töihin, tuloksiin ja työviihtyvyyteen. Työkaveria ei jätetä pulaan. Oikeudenmukaisuus ja riippumattomuus kuvastavat arvoina asemaamme ja toimintamme perustetta. Jo meitä koskevista säädöksistä johtuu, että toimistomme tulee olla itsenäinen ja riippumaton. Toisaalta osana lainvalvontakoneistoa voimme perustaa päätöksemme vain lakiin. Ajanmukaisuus viestii siitä, että meidän tulee seurata turbulenssia, jossa lainsäädäntö elää jatkuvasti sekä vastata teknologisesta kehityksestä aiheutuviin haasteisiin. Nämä luovat haasteita osaamisellemme ja kyvyllemme ymmärtää ajassa liikkuvia ilmiöitä.

16 Luovuus on välttämätöntä sovitettaessa yhteen uusia ilmiöitä ja vanhaa lainsäädäntöä. Toisaalta tunnustettu tosiasia on, että näköpiirissä olevassa tulevaisuudessa toimistomme resurssit eivät kasva samaan tahtiin tehtäviemme ja niiden vaativuuden kanssa. Onnistuaksemme meidän tulee etsiä jokapäiväiseen lainvalvontatoimeemme liittyen luovia ratkaisua, joiden avulla varmistetaan yhteiskunnallinen vaikuttavuutemme. Avoimuus ja ymmärrettävyys ovat menestyksekkään toimintamme kulmakiviä. Sisäiset ja ulkoiset tiedonhallinta- ja viestintäjärjestelmät palvelevat paitsi omia, myös asiakkaittemme ja sidosryhmiemme tarpeita. Avoimuus ei kuitenkaan yksin riitä, vaan viestimme asiakkaillemme ja yhteiskunnan eri toimijoille tulee olla selkeä ja ymmärrettävä. YHTEYSTIEDOT Osoite: Postiosoite: Albertinkatu 25 A, 3. krs. PL 315, 00181 Helsinki Puhelin: vaihde: 010 36 66700 puhelinneuvonta: 0100 86205 neuvonta-aika: ma-ti klo 9.00-11.00 sekä 13.00-15.00 perj. klo 9.00 12.00 Telefax: 010 36 66735 Sähköposti: tietosuoja@om.fi kotisivu/internet: www.tietosuoja.fi

17 5. TIETOSUOJAA KOSKEVIA RATKAISUJA JA KANNANOTTOJA 2010 MITEN OPISKELIJOIDEN HENKILÖTIETOJA KÄSITELLÄÄN OPISKELIJAN VALMISTUTTUA? Dnro 775/41/2010 Asian kuvaus: Tietosuojavaltuutetulta tiedusteltiin, minkälaiset käytänteet olisivat hyviä tietosuojan kannalta koskien opiskelijoiden henkilötietojen poistamista opintohallintojärjestelmästä sen jälkeen, kun opiskelija valmistuu tai eroaa. Tietosuojavaltuutetun vastaus: Toimintaa koskevassa opetustoimen lainsäädännössä voi olla henkilötietojen käsittelyyn vaikuttavia säännöksiä. Sen lisäksi henkilötietojen käsittelyyn sovelletaan henkilötietolakia (HTL) yleislakina. Henkilötieto on määritelty lain 3 :n 1 kohdassa. Henkilötietojen käsittely tulee suunnitella. Käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään (6 ). Oppilaitoksissa käsitellään sekä hakijoiden että opiskelijoiden henkilötietoja ja tietojen käsittelyn on katsottu perustuvan lain 8.1 5 kohtaan. Lain 11 :ssä määriteltyjen arkaluonteisten tietojen (esim. terveydentilaa tai sairautta kuvaavat tiedot) käsittelyn edellytyksistä säädetään lain 12 :ssä. Samaan henkilörekisteriin kuuluvat käyttötarkoituksensa vuoksi yhteenkuuluvat merkinnät (3 3 kohta). Opiskelijavalinnassa hakijasta voidaan kerätä valinnan suorittamisen kannalta tarpeellisia henkilötietoja. Tiedot talletetaan valintarekisteriin. Koulutusta järjestettäessä opiskelijasta kerättävät tarpeelliset tiedot talletetaan opiskelijarekisteriin. Henkilötietojen käsittelystä vastaa lain 3 :n 4 kohdassa määritelty rekisterinpitäjä (koulutuksen järjestäjä). Henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta (6 ). Henkilötietolaki asettaa rekisterinpitäjille huolellisuusvelvoitteen (5 ), käyttötarkoitussidonnaisuuden vaatimuksen (7 ) sekä tietojen laatua koskevat vaatimukset (9 ). Rekisterinpitäjän tulee suojata tiedot asiattomalta pääsyltä ja laittomalta käsittelyltä (32 ). Koulun henkilökunnalle annetaan työtehtävien edellyttämät käyttöoikeudet ja käyttöoikeuksien käyttöä valvotaan säännöllisesti. Tietojen säilyttämistarvetta arvioitaessa tulee ottaa huomioon henkilötietolain 9.1, 12.2 ja 34, ellei erityisiä säännöksiä ja määräyksiä henkilötietojen säilyttämisestä ole. Esimerkiksi kunnan ja kuntayhtymän järjestämään opetukseen sovelletaan arkistolakia. Arkistonmuodostamissuunnitelmassa määritellään, kuinka kauan opiskelijoiden henkilötietoja säilytetään arkistossa sen jälkeen, kun tietoja ei ole enää tarpeen käyttää aktiivikäytössä päivittäisessä toiminnassa. Arkistolaitos on antanut oppaan Säilytysaikojen

18 määrittelyn periaatteiksi (Arkistolaitos 2005), jossa asiaa käsitellään tarkemmin. Oppaasta ilmenee, että passiivisessa säilytysvaiheessa olevaa tietoa ei käytetä enää hyväksi rekisterinpitäjän operatiivisessa toiminnassa. Passiivisessa säilytysvaiheessa olevien tietojen käyttöoikeudet täytyy rajoittaa siten, että vain arkistonhoidosta vastaavat henkilöt voivat käsitellä niitä. Tietoja hävitettäessä on toimittava siten, että hävitettävät tiedot eivät päädy ulkopuolisten käsiin. Tietojen arkistoinnin osalta tarkempaa neuvoa antaa arkistolaitos. SOSIAALIPALVELUJEN TARPEEN KARTOITUSTA JA ENNAKOLLISTA LASTENSUOJELUILMOITUSTA KOSKEVIEN HENKILÖTIETOJEN KÄSITTELY Dnro 2128/41/09 Tietosuojavaltuutetun saama tiedustelu: Sosiaalihuoltolain 40 a :n 2 momentin mukaan kunta on velvollinen järjestämään säännöksessä tarkoitetulle vanhuusväestöön kuuluvalle henkilölle pääsyn sosiaalipalvelujen tarpeen arviointiin. Samankaltainen säännös sisältyy myös vammaispalvelulain 3 a :ään. Palvelutarpeen arviointi on lopetettava henkilön sitä pyytäessä. Palvelutarpeen arviointi voi johtaa varsinaiseen asiakkuuteen ja palvelujen järjestämiseen. Asiaa koskevat päätökset tehdään aina hakemuksen perusteella. Palvelutarpeen arvioinnin yhteydessä viranomainen saa haltuunsa sen kohteena olevasta henkilöstä tietoja ja asiakirjoja. Viranomainen joutuu arvioimaan, missä kyseiset tiedot säilytetään ja miten ne järjestetään. On myös arvioitava, miten suhtaudutaan niihin asiakirjoihin, jotka on saatu ennen palvelutarpeen kartoituksen keskeyttämistä. Onko kysymys sosiaalihuollon asiakirjoista, vaikka varsinaista asiakkuutta asiassa ei ole syntynyt? Sosiaalihuollon asiakaslain 3 :ssä on määritelmät asiakkaasta, sosiaalihuollosta ja asiakirjasta. Säännöksessä tarkoitettuna asiakkaana pidetään henkilöitä, jotka hakevat ja käyttävät sosiaalihuollon palveluja tai saavat sosiaalihuollon etuuksia. Asiakkuus aktualisoituu tietyn toimenpiteen, hakemuksen, päätöksen, ilmoituksen tai palvelun kautta. Kyseisen lainkohdan perustelujen mukaan asiakkaita ovat myös ne, jotka saavat esimerkiksi palveluja koskevaa ohjausta tai neuvontaa. Määritelmä kattaa myös sellaiset asiakassuhteet, joissa asiakas omasta tahdostaan riippumatta tulee sosiaalihuollon piiriin. Sosiaalihuollon asiakaslaissa tarkoitettu asiakirja laaditaan lain tarkoittaman asiakkaan osalta. Säännöstä arvioitaessa on asiaa tietosuojavaltuutetulta tiedustelleen henkilön mukaan mahdollista lähteä siitä, että kysymys on sellaisista sosiaalihuollon asiakaslain tarkoittamista asiakirjoista, jotka koskevat asiakasta, vaikka varsinaista asiakkuutta ei olekaan syntynyt. Kysymys on kuitenkin ollut sosiaalihuoltolain tarkoittamien toimenpiteiden kohteena olleesta henkilöstä, jonka palveluntarvetta on jo aloitettu kartoittamaan. Henkilölle on voitu antaa yksityiskohtaista tai yleistä ohjausta esimerkiksi sosiaalihuollon palvelujärjestelmistä sosiaalihuollon asiakaslain 5 :n mukaisesti. Lastensuojelulain muutos, joka tuli voimaan 1.3.2010, sisältää säännöksen (25 c ) ns. ennakollisesta lastensuojeluilmoituksesta. Sen mukaan ilmoitusvelvollisen pitää tehdä ennakollinen lastensuojeluilmoitus ennen lapsen syntymää, mikäli on perusteltua syytä

19 epäillä lapsen tarvitsevan lastensuojelun tukitoimia välittömästi syntymänsä jälkeen. Sosiaaliviranomaisen on arvioitava ilmoituksen kohteena olevien henkilöiden sosiaalipalvelujen tarve. Lisäksi voidaan arvioida välittömästi lapsen syntymän jälkeen tarvittavat sosiaalipalvelut. Säännöksessä on nimenomaisesti mainittu, että lastensuojeluasia tulee vireille ja lastensuojelun asiakkuus alkaa vasta lapsen syntymän jälkeen siten kuin lastensuojelulain 26 :ssä säädetään. Asiaa tietosuojavaltuutetulta tiedustellut henkilö katsoi ennakollisen lastensuojeluilmoituksen osalta olevan selvää, että mikäli odottavalle äidille annetaan sosiaalipalveluja, on hän asiakaslain tarkoittama asiakas ja hänestä laaditut asiakirjat ovat sosiaalihuollon asiakasasiakirjoja. Sellainen tilanne on kuitenkin epäselvempi, jossa ennakollinen lastensuojeluilmoitus on tehty, mutta viranomainen ei ole sen johdosta ryhtynyt järjestämään odottavalle äidille palveluja tai tukitoimia. Tietosuojavaltuutetulta tiedusteltiin, voiko viranomainen ja onko siihen jopa velvollisuus, säilyttää ennakollisen lastensuojeluilmoituksen osalta asiakirjoja ja seurata tilannetta ainakin siihen asti kun lapsi syntyy. Mikäli lapsen äiti tai lapsi ei tarvitse lastensuojelulain mukaisia palveluja, ei säännöksen nimenomaisen maininnan mukaan lastensuojelun asiakkuuttakaan synny. Voidaanko asiakirjat tästä huolimatta säilyttää kunnan rekisterissä ja ketä mainitut asiakirjat (lähinnä ilmoitus) koskee, lapsen äitiä vai lasta? Tulisiko mainittu ilmoitus poistaa viranomaisen rekisteristä vai voidaanko se siirtää viranomaisen passiivirekisteriin? Jos ja kun viranomaiselle syntyy ennakollisen lastensuojeluilmoituksen perusteella vähintäänkin seurantavelvollisuus, muodostuuko ennakollisista lastensuojeluilmoituksista erillinen henkilörekisteri? Tietosuojavaltuutetun kannanotto: Henkilötietolaista ja sosiaalihuollon asiakaslaista Henkilötietolaki on henkilötietojen käsittelyä koskeva yleislaki, jota on sovellettava, jollei muualla laissa toisin säädetä. Tiedustelussa mainituissa sosiaalihuollon palveluissa kerätään henkilötietolain tarkoittamia arkaluonteisia henkilötietoja. Kyseisen lain mukaan arkaluonteisten henkilötietojen käsittely, esimerkiksi niiden kerääminen ja tallettaminen rekisteriin, on mahdollista mm. silloin, jos käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Lisäksi henkilötietolaki oikeuttaa sosiaalihuollon viranomaisen käsittelemään toiminnassaan saamiaan tietoja rekisteröidyn sosiaalihuollon tarpeesta tai hänen saamistaan sosiaalihuollon palveluista, tukitoimista tai hänelle myönnetyistä muista sosiaalihuollon etuuksista taikka muita rekisteröidyn huollon kannalta välttämättömiä tietoja. Sosiaalihuollon asiakaslaki on erityislaki, joka syrjäyttää henkilötietolain siltä osin kuin siinä on henkilötietojen käsittelystä säädetty. Sosiaalihuollon asiakaslaissa mm. määritellään, mitä tarkoitetaan asiakkaalla. Tietosuojavaltuutetun käsityksen mukaan edellä mainitut henkilötietolain säännökset oikeuttavat henkilöä koskevia tietojen keräämiseen ja tallettamiseen siinäkin tilanteessa, ettei henkilön katsottaisi olevan sosiaalihuollon asiakaslain määrittelemä asiakas.

20 Sosiaalipalvelun tarpeen arviointia koskevien henkilötietojen käsittelystä Sosiaalihuoltolain 40 a :n mukaan kiireellisissä tapauksissa sosiaalipalvelujen tarve on arvioitava viipymättä. Muissa tapauksissa kunta on velvollinen järjestämään 75 vuotta täyttäneelle pääsyn sosiaalipalvelujen tarpeen arviointiin määräajassa siitä kun hän itse tai muu säännöksessä mainittu taho on ottanut yhteyttä sosiaalipalveluista vastaavaan kunnan viranomaiseen palvelujen saamiseksi. Vastaava velvoite koskee vammaisetuuksista annetun lain 9 :n 3 momentin 3 kohdan mukaista eläkettä saavan hoitotukea saavalle. Tietosuojavaltuutetun käsityksen mukaan kyseessä on laissa säädetty tehtävä, joka antaa myös kunnan sosiaalipalveluista vastaavalle viranomaiselle oikeuden henkilötietojen käsittelyyn ja mm. niiden tallettamiseen. Tietojen avulla voidaan mm. valvoa ja seurata, onko yhteydenoton johdosta ryhdytty määräajassa lain edellyttämiin toimiin sekä minkälaiseksi sosiaalipalvelujen tarve on arvioitu. Jos saman henkilön osalta tulee myöhemmin yhteydenottoja muiltakin tahoilta, niin talletetuista tiedoista selviää aiempi tilanne. Koska tietojen käsittely perustuu laissa säädettyyn tehtävään, ei henkilötietolain kannalta ole estettä tietojen säilyttämiseen niissäkään tilanteissa, joissa palvelutarpeen arviointi on keskeytetty. Tietosuojavaltuutettu katsoo, että kyseisiä henkilöitä voidaan pitää myös sosiaalihuollon asiakaslain tarkoittamina sosiaalihuollon asiakkaina ja siten heitä koskevat tiedot ovat myös sosiaalihuollon asiakastietoja. Ennakollista lastensuojeluilmoitusta koskevien henkilötietojen käsittelystä Lastensuojelulain 25 c :n mukaan ennen lapsen syntymää ilmoitusvelvollisten henkilöiden on tehtävä ennakollinen lastensuojeluilmoitus, jos on perusteltua syytä epäillä, että syntyvä lapsi tulee tarvitsemaan lastensuojelun tukitoimia valittömästi syntymänsä jälkeen. Kiireellisessä tapauksessa on arvioitava viipymättä ennakollisen lastensuojeluilmoituksen kohteena olevien henkilöiden sosiaalipalvelujen tarve. Voidaan arvioida myös välittömästi lapsen syntymän jälkeen tarvittavat sosiaalipalvelut. Laissa ei ole määritelty, mihin ennakollinen lastensuojeluilmoitus ja sen käsittelyyn liittyvät tiedot tulisi tallettaa. Lastensuojelulain 25 b :ssä säädetään, että sosiaalihuollosta vastaavan toimielimen on pidettävä rekisteriä lastensuojeluilmoituksista ja ilmoitusten sijaan tehdyistä pyynnöistä lastensuojelutarpeen arvioimiseksi. Kyseisessä pykälässä ei ole säädetty siitä, että rekisteriin talletettaisiin myös ennakolliset lastensuojeluilmoitukset. Myös ennakollisten lastensuojeluilmoitusten tarkoituksena on lastensuojelu kuten muidenkin 25 b :ssä säädettyjen ilmoitusten. Hallituksen esityksen perustelujen (HE 225/2009vp) mukaan kyse olisi tilanteista, joissa ilmoittajalla olisi varmaa tietoa esimerkiksi lapsen äidin päihdeongelmasta, vakavasta mielenterveyden häiriöstä tai vapausrangaistuksesta. llmoitus voisi koskea myös muita sellaisia tilanteita, joissa on ilmeistä, että perhe tulee tarvitsemaan lastensuojelun tukitoimia heti synnytyksen jälkeen. Ennakollisen lastensuojeluilmoituksen tarkoituksena olisi ensisijaisesti turvata odottavalle äidille ja lapsen tulevalle perheelle riittävät tukitoimet jo raskausaikana. Ilmoitus antaisi