Tietosuoja Vili Lehdonvirta 6.4.2005
Sisällys 1. Mitä on tietosuoja? Määritelmä ja taustat 2. Tietosuojalainsäädäntö Direktiivit, Suomen lainsäädäntö Rekisterinpitäjän velvollisuudet, rekisteröidyn oikeudet 3. Tietosuojan erityiskysymyksiä Tietosuoja työelämässä Suoramarkkinointi ja spämmäys Henkilötietojen siirtäminen kolmansiin maihin
1. Mitä on tietosuoja?
Mitä on tietosuoja? Yksityisyyden suojan osa-alue, informational privacy Englanniksi data protection Suojaa henkilötietoja... henkilöä taikka hänen ominaisuuksiaan... kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään... koskeviksi (HeTiL 3 (1)) Asettaa velvollisuuksia henkilötietojen käsittelijöille ja myöntää oikeuksia yksityishenkilöille
Mitä on tietosuoja? Tiedollinen itsemääräämisoikeus, mm. Oikeus vaikuttaa siihen, miten omia henkilötietoja käytetään (esim. saako puhelinnumeron julkaista) Oikeus saada tieto henkilötietojen käytöstä Oikeus saada tietonsa korjatuiksi Kielto-oikeus (esim. suoramarkkinointikielto) Tietosuoja joskus vastakkain sananvapauden kanssa
Tietosuojan taustasta Tietosuoja on osa yksityisyyden suojaa Yksityisyys on yksi ihmisen perustarpeista?
Tietosuojan taustasta Lakiin perustuva yksityisyyden suoja ensimmäisen kerran sillä nimellä Yhdysvalloissa 1800-luvun lopulla Warren & Brandeis: The Right to Privacy (1890) Englantilaisessa lainsäädännössä jo aiemmin suoja mm. kotirauhan häirintää, kunnianloukkausta ja salassapitovelvollisuuden rikkomista vastaan Sittemmin yksityisyyttä ryhdytty pitämään ihmisoikeutena, esim. YK:n yleismaailmallinen ihmisoikeuksien julistus (1948) Nykyään tietosuojakin mainitaan useissa kansainvälisissä asiakirjoissa
2. Lainsäädäntö
Lainsäädäntö: direktiivit Tietosuojadirektiivi (95/46/EY) Harmonisoi suojan yhteisön sisällä Rajoittaa henkilötietojen siirtämistä yhteisön ulkopuolelle Sähköisen viestinnän tietosuojadirektiivi (2002/58/EY) Erityslaki televiestintäsektoria varten Sisältää tarkempia säädöksiä mm. paikkatiedoista, suoramarkkinoinnista
Lainsäädäntö: Suomen laki Perustuslain 10 Henkilötietolaki (1999) Toteuttaa tietosuojadirektiivin Henkilötietojen käsittelyn peruslaki Sähköisen viestinnän tietosuojalaki (2004) Toteuttaa sähköisen viestinnän tietosuojadirektiivin Laki yksityisyyden suojasta työelämässä (2004) Esim. työntekijän sähköpostin lukeminen Rikoslaki: viestintäsalaisuus yms. Ynnä muita: julkisuuslaki, potilaslaki, laki henkilötietojen käsittelystä poliisitoimessa, laki oikeudenkäynnin julkisuudesta yms.
Peruskäsitteitä HeTiL 3 : Tässä laissa tarkoitetaan: henkilötiedolla kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi henkilörekisterillä käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta rekisteröidyllä henkilöä, jota henkilötieto koskee rekisterinpitäjällä yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty henkilötietojen käsittelyllä henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä
Käsittelyn yleiset edellytykset Henkilötietoja saa käsitellä (kerätä, käyttää, jne.) ainoastaan, jos: (HeTil 8 ) rekisteröity on antanut yksiselitteisen suostumuksensa tietojensa käsittelyyn (esim. kyllä, haluan vastaanottaa tarjouksia... ) rekisteröidyn ja rekisterinpitäjän välillä on asiakassuhde, jäsenyys, tms. asiallinen yhteys rekisteröity on rekisterinpitäjän työntekijä ja tietoja käsitellään firman sisällä; tai käsittely johtuu rekisterinpitäjälle laissa säädetystä tehtävästä (esim. Kela) + muutamia muita
Rekisterinpitäjän velvollisuudet Henkilötietojen käsittelyn tulee olla asianmukaista rekisterinpitäjän toiminnan kannalta (HetiL 6 ) Kerättävien henkilötietojen käyttötarkoitus pitää määritellä etukäteen (HetiL 6 ) Henkilötietoja saa kerätä ja kerättyjä tietoja käyttää vain ennalta määriteltyihin tarkoituksiin (HetiL 7, 9 ) Henkilötietoja tulee käsitellä huolellisesti ja tietoturvasta on pidettävä huolta (HetiL 5, 32 ) Henkilörekisteri, joka muuttuu tarpeettomaksi, on hävitettävä (HeTiL 34 )
Rekisterinpitäjän velvollisuudet Esimerkiksi: Työnantaja saa kerätä vain työ- ja palvelussuhteen hoidossa tarpeellisia tietoja työntekijästä. Terveyskeskus voi kerätä ja tallettaa potilasrekisteriin vain potilaan hoidon järjestämisen ja toteuttamisen kannalta tarpeellisia tietoja. Oppilaitos voi kerätä ja tallettaa oppilasrekisteriin vain oppilassuhteen hoitamisessa tarpeellisia tietoja oppilaasta.
Arkaluonteiset henkilötiedot Arkaluonteisten henkilötietojen käsittely on pääsääntöisesti kielletty (HeTiL 11 ) rotu, etninen alkuperä poliittinen tai uskonnollinen vakaumus, ammattiliitto rikolliset teot ja rangaistukset terveydentila, sairaus, vammaisuus, hoitotoimenpiteet seksuaalinen suuntautuminen ja käyttäytyminen sosiaalihuollon tarve, saadut sosiaalihuollon palvelut Myös henkilötunnuksen käsittelyä rajoitettu (HeTiL 13 ) sallittu vain mikäli mikään muu yksilöintitieto ei riitä varottava ettei tulosteta tarpeettomasti asiakirjoihin tms
Rekisteriseloste (HetiL 10 ) Rekisterinpitäjän on laadittava henkilörekisteristä rekisteriseloste. Rekisteriselosteen tulee olla jokaisen saatavilla. Rekisteriselosteesta ilmenee ainakin: rekisterinpitäjän nimi ja yhteystiedot (rekisteriasioista vastaava henkilö) henkilötietojen käsittelyn tarkoitus rekisterin nimi ja mitä henkilötietoja siihen kerätään mihin tietoja säännönmukaisesti luovutetaan ja luovutetaanko Euroopan talousalueen ulkopuolelle kuvaus rekisterin suojauksen periaatteista Joskus harvoin tehtävä myös rekisteri-ilmoitus lähettämällä rekisteriseloste tietosuojavaltuutetulle.
Rekisteröidyn oikeudet Henkilötietolaki antaa rekisteröidylle joukon nimenomaisia oikeuksia: oikeus saada tieto käsittelystä (HeTiL 24 ) oikeus tarkastaa sisältääkö rekisteri itseä koskevia tietoja ja jos niin mitä (HeTiL 26 ) esitettävä allekirjoitettu tai muuten varmennettu pyyntö rekisterinpitäjälle rekisterinpitäjän vastattava kolmen kuukauden sisällä tarvittaessa asia tietosuojavaltuutetun käsiteltäväksi oikeus saada virheelliset tietonsa korjatuiksi (HeTiL 29 ) oikeus kieltää käsittely suoramarkkinointia, markkinaja mielipidetutkimusta, henkilömatrikkelia ja sukututkimusta varten (HeTiL 30 )
Poikkeuksia Henkilötietolaissa on runsaasti poikkeuksia eri pykäliin, mm. Tieteellinen tutkimus, jossa tarvitaan henkilötietoja ei tarvita rekisteröityjen suostumusta tai muuta yhteyttä, jos se on esim. tietojen suuren määrän vuoksi mahdotonta ei tarkastusoikeutta rekisteröidyllä Tilasto Henkilömatrikkeli Sukututkimus Luottotietorekisteri
Tietosuojavaltuutettu ja tietosuojalautakunta Tietosuojavaltuutettu on viranomainen, joka (HeTiL 9 luk) ohjaa, neuvoo ja valvoo henkilötietojen käsittelyä käyttää päätösvaltaa tarkastusoikeuden toteuttamista ja tiedon korjaamista koskevissa asioissa huolehtii toimialaansa kuuluvasta tiedotustoiminnasta huolehtii kansainvälisestä yhteistyöstä. Viranomaisen ja syyttäjän on kuultava tsv:n kanta. Tietosuojalautakunta käsittelee henkilötietojen käsittelyyn liittyviä periaatteellisesti tärkeitä kysymyksiä käyttää päätösvaltaa: voi mm. kieltää lain vastaisen henkilötietojen käsittelyn
3. Tietosuojan erityiskysymyksiä
Tietosuoja työelämässä Henkilötietolakia sovelletaan myös työpaikalla, kun työnantaja käsittelee työntekijöidensä henkilötietoja työnantaja saa kerätä vain työsuhteen hoidon kannalta tarpeellisia tietoja huolellisuusperiaate, tietoturvasta huolehtiminen arkaluonteisia tietoja saa lähtökohtaisesti käsitellä vain työntekijän suostumuksella työntekijällä tiedonsaantioikeus, tarkastusoikeus jne Lisäksi on olemassa erityinen laki yksityisyyden suojasta työelämässä sovelletaan kaikkiin työsuhteisiin, virkasuhteisiin ja niihin verrattaviin palvelussuhteisiin
Laki yksityisyyden suojasta työelämässä Huumausainetestit (3 luku) Työnantaja voi edellyttää työtä haettaessa ja työsuhteen aikana, jos tehtävän luonne sitä vaatii Työnantajan pitää informoida hakijaa ennalta Työnantajan nimeämä terveydenhuollon ammattihenkilö suorittaa Todistuksesta ilmenee, että testi on suoritettu ja että onko työntekijä käyttänyt huumausaineita muihin kuin lääkinnällisiin tarkoituksiin siten, että hänen työ- tai toimintakykynsä on heikentynyt. Asianomainen itse toimittaa todistuksen työnantajalle
Laki yksityisyyden suojasta työelämässä Henkilö- ja soveltuvuusarviointitestit (4 luku) Periaatteessa vain työntekijän suostumuksella Testin suorittajan oltava pätevä ja luotettava Arvion tulos toimitettava pyynnöstä myös työntekijälle Geneettistä tutkimusta ei saa edellyttää, eikä tietoa siitä, onko geneettinen tutkimus suoritettu
Laki yksityisyyden suojasta työelämässä Kameravalvonta (5 luku) Työnantaja saa käyttää kameravalvontaa mm. henkilöiden ja omaisuuden turvallisuuden varmistamiseen ja tuotantoprosessien valvomiseen Ensin täytyy kuitenkin selvittää, riittäisikö jokin muu vähemmän työntekijöiden yksityisyyttä loukkaava keino Kameravalvontaa ei saa käyttää tietyn työntekijän tai tiettyjen työntekijöiden tarkkailuun Kameravalvontaa ei saa käyttää käymälöissä, pukeutumistiloissa yms., eikä henkilökohtaisissa työhuoneissa, tietyin poikkeuksin (esim. arvoesineet) Tallenteiden käsittelyyn sovelletaan henkilötietolakia
Laki yksityisyyden suojasta työelämässä Työntekijän sähköposti (6 luku) Työntekijän poissaollessa sähköpostin voi avata ja lukea toinen henkilö työntekijän suostumuksella työpaikalla sovittujen pelisääntöjen mukaan Jos ei ole olemassa hyväksyttyjä pelisääntöjä, työnantaja voi silti tietyin edellytyksin tutustua viestien otsikkotietoihin löytääkseen mahdolliset viestit, jotka työnantajan on välttämätöntä saada tietoonsa Jos tällaisen viestin sisältöä ei voida selvittää esim. ottamalla yhteyttä viestin lähettäjään, voidaan tietyin edellytyksin viesti myös avata Avaamisesta täytyy toimittaa kirjallinen selvitys työntekijälle
Suoramarkkinointi ja spämmäys Henkilötietolaki antaa rekisteröidylle oikeuden kieltää tietojensa käsittely suoramarkkinointitarkoituksiin: ns. opt-out Suomen Suoramarkkinointiliitto SSML ylläpitää ns Robinson-rekisteriä kiellon tehneistä henkilöistä http://www.ssml-fdma.fi/main_pelisaannot_kielto.html Muut kuin SSML:n jäsenet saattavat kuitenkin jatkaa suoramarkkinointia, kunnes kielto esitetään suoraan heille Myös väestörekisterikeskusta, postia ja ajoneuvorekisteriä voi kieltää luovuttamasta tietoja suoramarkkinointiin Suoramarkkinoijan on mainittava osoitelähde
Suoramarkkinointi ja spämmäys Sähköpostiin ja tekstiviesteihin sovelletaan sähköisen viestinnän tietosuojalakia Tällöin suoramarkkinointiin tarvitaan luonnolliselta henkilöltä etukäteissuostumus: ns. opt-in Yrityksille mainostettaessa riittää opt-out Palvelun tarjoaja saa kuitenkin käyttää myynnin yhteydessä hankittuja yhteystietoja samanlaisten tuotteiden ja palveluiden mainostamiseen Asiakkaalle pitää antaa mahdollisuus kieltäytyä sekä tietoja kerättäessä että jokaisen mainosviestin yhteydessä, helposti ja maksutta
Suoramarkkinointi ja spämmäys Myös mm. kuluttajansuojalaki, rikoslaki soveltuvat. Pohjoismaiden kuluttaja-asiamiesten kannanotosta: http://www.cis.hut.fi/kaip/spam/sahkokauppa.html Markkinointiaineisto pitää selvästi merkitä sellaiseksi jo viestin otsikossa Kuluttajaa ei saa kehottaa lähettämään markkinointiaineistoa eteenpäin muille kuluttajille Elinkeinonharjoittaja ei saa lähettää markkinointiaineistoa yksityishenkilöiden väliseen viestintään tarkoitettuun järjestelmään (esim. uutisryhmät, foorumit), paitsi jos olosuhteista selkeästi ilmenee, että se on hyväksyttävää
Maailman suurimmat spämmääjät lähde: Sophos 7.4.2005
Maailman spämmiongelma Spämmäys kannattaa, koska vastaanottaja ja kolmannet osapuolet maksavat suurimman osan spämmäyksen kustannuksista Suomessa laki hillitsee spämmäystä tehokkaasti Suomen lait koskevat periaatteesssa myös ulkomaalaisia lähettäjiä, kun vastaanottaja on Suomessa Sähköisen viestinnän tietosuojadirektiivin ansiosta eurooppalainen spämmeri voi joutua vastuuseen Amerikkalainen tai korealainen spämmeri ei Yhdysvalloissa CAN-SPAM-laki purrut hieman Etelä-Korea lupailee kieltää spämmäyksen 2006
Henkilötietojen siirtäminen kolmansiin maihin Rekisterinpitäjät voivat siirrellä henkilötietoja Euroopan talousalueen (EU + Norja, Islanti ja Liechtenstein) sisällä samoilla edellytyksillä kuin Suomen sisällä Esim. monikansallisen firman työntekijätietokanta, asiakasrekisteri, markkinointitietokanta yms. Tietosuojadirektiivin 25 artikla edellyttää, että ETA:n ulkopuolelle (ns. kolmansiin maihin) henkilötietoja ei kuitenkaan saa luovuttaa, paitsi sellaisiin maihin, joissa henkilötiedoille voidaan taata riittävä tietosuojan taso
Henkilötietojen siirtäminen kolmansiin maihin Euroopan komissio tutkii ja määrittää kolmansien maiden tietosuojan tason riittävyyden Tähän saakka hyväksytty Sveitsi, Kanada, Argentina, Guernsey, Man-saari Yhdysvaltalaisyrityksiä varten luotu nk. Safe Harbor - järjestely Jos tietoja halutaan siirtää maahan, jota ei ole hyväksytty, täytyy riittävä tietosuojan taso taata sopimusteitse Tällöin tarvitaan ilmoitus tietosuojavaltuutetulle
Tämän hetken haasteita tietosuojan alalla Radio Frequency Identification RFID Saattaa lisätä yksityishenkilöiden seurantaa Passenger name record PNR Lentomatkustajien tiedot amerikkalaisviranomaisille Teletietojen tallentamisvelvollisuus Euroopan ministerineuvossa valmisteilla puitepäätös, joka velvoittaa jäsenmaat tallentamaan kaikesta Internet-liikenteestä erilaisia otsikko- ja osoitetietoja vähintään 6 kuukaudeksi Tietokannoissa näkyisivät jokaisen surffaamat sivut, sähköpostien otsikkotiedot jne. Tietojen käyttö rikosten torjuntaan, ehkä myös rikosten ennaltaehkäisyyn
Yhteenveto 1. Mitä on tietosuoja? Yksityisyyden suojaa, tiedollinen itsemääräämisoikeus 2. Tietosuojalainsäädäntö Henkilötietojen käsittelyn edellytykset: yksiselitteinen suostumus, asiallinen yhteys, laissa määritetty tehtävä ym. Rekisterinpitäjän velvollisuudet: käyttötarkoituksen määrittäminen ja noudattaminen, huolellisuus, rekisteriseloste, arkaluonteiset tiedot Rekisteröidyn oikeudet: informointi, tarkastus, korjaus, kielto 3. Tietosuojan erityiskysymyksiä Tietosuoja työelämässä: huumetestit, kameravalvonta, työntekijän sähköposti Suoramarkkinointi ja spämmäys: perinteiset kanavat opt-out, sähköiset kanavat opt-in, asiakkaille saa lähettää tarjouksia vastaavista tuotteista (opt-out) Henkilötietojen siirtäminen kolmansiin maihin: vain jos voidaan taata riittävä tietosuojan taso + ilmoitus tietosuojavaltuutetulle
Tapaus 1: Bodil Lindqvist Euroopan yhteisöjen tuomioistuin (ECJ) 6.11.2003
Tapaus 1: Bodil Lindqvist Lindqvist on ollut Alsedan (Ruotsi) seurakunnassa siivoojan toimensa lisäksi mukana rippikoulun ohjaajien koulutuksessa. Hän oli osallistunut tietojenkäsittelykurssiin, jossa hän oli joutunut muun muassa luomaan Internet- kotisivun. Vuoden 1998 lopulla Lindqvist oli perustanut kotonaan omalla tietokoneellaan Internet-kotisivuja, joiden avulla rippikouluun valmistautuvat seurakuntalaiset saisivat helposti tarvitsemiaan tietoja. Ruotsin kirkon Internetkotisivusta vastaava henkilö oli perustanut linkin näiden sivujen ja kotisivun välille.
Tapaus 1: Bodil Lindqvist Sivuilla oli tietoja Lindqvististä ja hänen 18 työtoveristaan seurakunnassa, heidän koko nimensä tai etunimensä. Lindqvist oli tämän lisäksi kuvaillut leikkisin sanakääntein työtovereidensa työtehtäviä ja harrastuksia. Useissa tapauksissa oli mainittu henkilöiden perhesuhteet, heidän puhelinnumeronsa ja muita tietoja. Lindqvist oli lisäksi ilmoittanut sivulla, että eräs hänen työtovereistaan oli loukannut jalkansa ja että hän oli tämän vuoksi osa-aikaisella sairaslomalla. Lindqvist ei ollut ilmoittanut työtovereilleen näiden sivujen olemassaolosta tai pyytänyt heidän suostumustaan. Hän poisti sivut heti kun sai tietää tiettyjen työtoveriensa olevan niitä vastaan.
Tapaus 1: Bodil Lindqvist Yleinen syyttäjä nosti syytteen Lindqvistiä vastaan Ruotsin tietosuojalain (personuppgiffslag 1998) rikkomisesta mm. arkaluonteisten henkilötietojen käsittely, henkilötietojen siirto kolmansiin maihin luvatta Göta hovrätt kysyi 23.2.2001 Euroopan yhteisöjen tuomioistuimelta mm.: Oliko kyseessä henkilötietojen käsittely Päteekö yksityistä käyttöä koskeva poikkeus Oliko jalan loukkaaminen arkaluonteinen tieto Oliko kyse henkilötietojen siirrosta kolmansiin maihin
Tapaus 1: Bodil Lindqvist Euroopan yhteisöjen tuomioistuin: Sitä, että Internet-kotisivulla viitataan henkilöihin ja yksilöidään heidät joko nimeltä tai muulla tavoin, kuten ilmoittamalla heidän puhelinnumeronsa tai antamalla tietoja heidän työsuhteestaan ja harrastuksistaan, on pidettävä... henkilötietojen käsittelynä. Tällainen... käsittely ei kuulu minkään... poikkeuksen alaan Mainintaa siitä, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla, on pidettävä... terveyteen liittyvänä henkilötietona.... henkilötietojen siirrosta kolmansiin maihin ei ole kyse silloin, kun... henkilö laittaa henkilötietoja Internetsivulle...
Tapaus 2: Aller Julkaisut Oy Korkein oikeus 23.3.2005
Tapaus 2: Aller Julkaisut Oy Kuluttaja oli vastaanottanut helmikuussa 2002 matkapuhelimeensa seuraavan tekstiviestin: Hei! Saanko lähettää sinulle Seiskan tarjouksen? Vastaa tähän viestiin sanoilla TARJOUS KYLLÄ (norm. hint. tekstiviesti) Kiitos! Nina / Seiskan asiakaspalvelu.
Tapaus 2: Aller Julkaisut Oy Kuluttaja-asiamies esitti markkinaoikeudessa, että tekstiviestit oli lähetetty kaupallisessa tarkoituksessa, pyrkimyksenä edistää tarjotun hyödykkeen myyntiä. Kysymys oli siten markkinoinnista. Tekstiviestiä ei saa käyttää suoramarkkinointiin ilman tilaajan ennalta antamaa suostumusta. Tällaista suostumusta Aller Julkaisut Oy ei ollut kuluttajalta saanut. Kuluttaja-asiamies vaati, että markkinaoikeus sakon uhalla kieltää Aller Julkaisut Oy:tä lähettämästä kaupallisia tekstiviestejä kuluttajille matkapuhelimiin, ellei kuluttaja ole ennakolta antanut tähän suostumuksensa.
Tapaus 2: Aller Julkaisut Oy Korkein oikeus: Kyseessä oli suoramarkkinointi tekstiviestitse kielletty ilman vastaanottajan ennakkosuostumusta Eli lupapyyntöspämmi on kiellettyä Mutta: jos Aller Julkaisut Oy on aikaisemmin saanut vastaanottajan matkapuhelimen yhteystiedon jonkin kustantamansa lehden myynnin yhteydessä, se voi... näitä yhteystietoja käyttämällä markkinoida mitä tahansa kustantamaansa lehteä matkapuhelimeen lähetettävällä televiestinnällä edellyttäen, ettei asiakas ole sitä kieltänyt. vastaava tuote = mikä tahansa lehti!?