Avoimista lähteistä hankittujen henkilötietojen käsittelyn oikeusperusteet

Seuraavaksi analysoidaan tietosuoja-asetuksen ja tietosuojalain perusteella henkilötietojen käsittelyä koskevat oikeusperusteet suhteessa tietoverkosta hankittaviin tietoihin. Tietosuoja-asetuksen 6 artik-lan 1 kohdan a alakohdan mukaan henkilötietojen käsittely voi perustua rekisteröidyn suostumukseen.

Tämä ei kuitenkaan kaikissa tilanteissa sovellu viranomaistoiminnassa suoritettavaan henkilötietojen käsittelyyn, koska viranomaisen ja rekisteröidyn välillä vallitseeselkeää epäsuhtaa. Vaikka suostu-muksen käyttö viranomaisten tietojenkäsittelyn laillisena perusteena ei ole täysin poissuljettua tieto-suoja-asetuksen perusteella, suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen

209Tolvanen, Matti –Kukkonen, Reima, Esitutkinta- ja pakkokeino-oikeuden perusteet. Alma Talent 2011, s. 349.

käsittelyssä, jossa rekisteröidyllä ei ole edellytyksiä antaa aidosti omaan tahtoonsa eli vapaehtoisuu-teen perustuvaa suostumustaan.²¹⁰ Tästä syystä rekisteröidyn suostumusta ei voida käyttää viran-omaistoiminnassa käsittelyn oikeusperusteena julkista valtaa käytettäessä.²¹¹ Suostumuksen käytön perustetta ei voida arvioida myöskään sillä, aiheutuuko hänelle jotain vaikutuksia suostumuksen an-tamatta jättämisestä.

Henkilötietojen käsittely voi perustua tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdassa vahvis-tettuun perusteeseen. Sen mukaan käsittely on lainmukaista, jos se on tarpeen rekisterinpitäjän laki-sääteisen velvoitteen noudattamiseksi. Henkilötietojen käsittely on myös lainmukaista, jos käsittely on tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan tarkoittamalla tavalla tarpeenyleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Tie-tosuoja-asetuksen 6 artiklan 3 kohdan ensimmäisen alakohdan mukaan käsittelyn ollessa tarpeen re-kisterinpitäjän lakisääteisen velvoitteen noudattamiseksi tai kun se on tarpeen yleisen edun vuoksi toteuttavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi, on käsittelyn pe-rustasta säädettävä joko unionin oikeudessa tai rekisterinpitäjän sovellettavassa jäsenvaltion lainsää-dännössä.²¹² Saman kohdan toisessa alakohdassa täsmennetään, miten näistä käsittelyn oikeusperus-teista on säädettävä. Tietosuoja-asetuksen 6 artiklan 2 kohdassa esitetään lisäksi vaatimus, jonka mu-kaan lainsäädännössä on tällöin määriteltävä täsmällisesti tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely. Käy-tännössä tämä tarkoittaa sitä, että lainsäädännössä on määriteltävä edellä kuvatuissa tilanteissa tapah-tuvalle tietojenkäsittelylle erityiset vaatimukset, joilla varmistetaan sen laillisuus ja asianmukaisuus.

Maahanmuuttohallintoon kuuluvien viranomaisten ulkomaalaisasioihin liittyvistä lakisääteisistä

vel-210 GDPR johdanto-osan 43 kohta ja WP259 rev.01: Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat.

Annettu 28.11.2017. Viimeksi tarkistettu ja hyväksytty 10.4.2018, s. 6.

211 Lisäksi on huomattava, että tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitettuun oikeutettuun etuun perustuva käsittely on rajattu viranomaisten käsittelyperusteiden ulkopuolelle (GDPR 6(1) toinen alakohta). Ks. myös Voutilainen, Tomi, Oikeus tietoon. Informaatio-oikeuden perusteet. Keuruu 2019, s. 150–151.

212 GDPR johdanto-osan 45 kohta.

voitteista säädetään ulkomaalaislaissa ja kansalaisuuslaissa. Viranomaiset voivat käsitellä henkilötie-toja näissä säädöksissä vahvistettujen tehtävä- ja toimivaltasäännösten perusteella.²¹³ Yleislaintasoi-sessa sääntelyssä yleisen edun mukaisesta ja julkisen vallan käytön yhteydessä tapahtuvasta henkilö-tietojen käsittelyn perusteista on säädetty kansallisessa lainsäädännössä tietosuojalain 4 §:ssä.

Ennen valmisteilla olevan maahanmuuttohallinnon henkilötietolain²¹⁴ säätämistä ja voimaantuloa ranomaisten käsittelyoikeuksia arvioitaessa avainasemassa on, kuvataanko nykylainsäädännössä vi-ranomaisten tehtävät ja toimivaltuudet siten, että käsittelyn oikeusperusta ja tarkoitus voidaan perus-tellusti siitä johtaa toiminnan tavoite huomioon ottaen.²¹⁵ Lisäksi on noudatettava yleisiä henkilötie-tojen käsittelyn periaatteita. Näin varmistetaan, että viranomaisessa tapahtuva henkilötiehenkilötie-tojen käsit-tely on lainmukaista ja asianmukaista.

Maahanmuuttohallintoon kuuluvien viranomaisten – Migrin, ulkoministeriön, poliisin ja Rajavartio-laitoksen – ulkomaalaisasioihin liittyvässä toimivallan laajuudessa on eroja, joten myös käsittelyoi-keudet saattavat vaihdella sen mukaan, missä viranomaisessa ulkomaalaisasia käsitellään.²¹⁶ Yleisenä velvoitteena on, että viranomainen huolehtii asian – oleskelulupa-, turvapaikka-, kansalaisuus-, maasta poistamis- tai viisumiasian – riittävästä ja asianmukaisesta selvittämisestä (hallintolain 31.1

§). Selvittämisvelvollisuuden laajuus on sidottu erityisesti selvityksen riittävyyttä ja asianmukaisuutta koskeviin vaatimuksiin sekä velvoitteeseen noudattaa selvittämisvelvollisuuden täyttämisen yhtey-dessä hallinnon yleisiä oikeusperiaatteita sekä huomioimaan selvittämisen yhteyyhtey-dessä myös tieto-suoja-asetuksen 5 (1) artiklassa säädetyt henkilötietojen käsittelyn periaatteet.

Henkilötietojen käsittelyn tarve voi sinänsä lähteä selvittämisvelvollisuutta koskevasta säännöksestä, mutta henkilötietojen käsittely viranomaistoiminnassa ei voi perustuayksinomaan selvittämisvelvol-lisuutta koskevaan säännökseen. Selvittämisvelvollisuuden laajuus ei ole myöskään vakio, vaan se vaihtelee sen mukaan, minkälaiseen lakisääteiseen tehtävään se liittyy. Viranomaisen on esimerkiksi

213 Ks. toimivaltaisista viranomaisista ulkomaalaisasioissa tämän esityksen luku 2.2.

214 Ks. myös HE 18/2019 vp.

215 TATTI-loppumietintö 2018, s. 33.

216 Ks. toimivallan jakautumisesta maahanmuuttohallintoon kuuluvien viranomaisten kesken tämän esityksen luku 2.2.

selvitettävä, täyttyvätkö ulkomaalaislain 36 §:ssä säädetyt yleiset oleskeluluvan myöntämisen edel-lytykset tai ulkomaalaislain 87.2 §:ssä tarkoitettu peruste jättää turvapaikka antamatta. Näin ollen viranomaistoiminnassa henkilötietojen käsittely voi perustua lakisääteisen velvoitteen noudattami-seen luettuna se yhdessä viranomaiselle osoitetun selvittämisvelvollisuuden ja siihen liittyvien vaati-musten ja rajoitusten kanssa.

Viranomaisen oikeus käsitellä henkilötietoja voi perustua myös tietosuojalain 4 §:ssä vahvistettuihin perusteisiin. Sen mukaan henkilötietoja saa käsitellä muun muassa, jos käsittely on tarpeen ja oikea-suhteista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. Lain esitöissä täsmennetään, että kyseisen säännöksen tarkoituksena on mahdollistaa viranomaisten toimesta tapah-tuva henkilötietojen käsittely silloin, kun oikeutta käsittelyyn ei voida suoraan johtaa viranomaista koskevasta tehtävä- ja toimivaltasäännöksestä eikä mahdollisesta yksityiskohtaisemmasta erityis-sääntelystä. Tarpeellisuusvaatimuksesta johtuen säännös mahdollistaa ainoastaan sellaisen henkilö-tietojen käsittelyn, joka olisi asianmukaisesti perusteltua viranomaisen tehtävien ja toimivallan kan-nalta. Lisäksi käsittelyn tulisi ollaoikeasuhtaista viranomaisen tehtävän suorittamiseksi. Käytännössä tämä aina edellyttää tapauskohtaista arviointia siitä, voidaanko kyseessä olevaa henkilötietojen käsit-telyä pitää oikeasuhtaisena käsittelyn tarkoitukset huomioon ottaen.²¹⁷ Mainitun oikeusperusteen so-veltaminen liittyy niihin tilanteisiin, joissa henkilötietojen käsittely ei ole suoraan yhdistettävissä vi-ranomaisen varsinaiseen lakisääteiseen tehtävään, mutta käsittelylle on muuten olemassa lakisäätei-nen perusteensa. Tällaiset tilanteet liittyvät esimerkiksi viranomaisen suunnittelu- ja selvitystehtä-viin.²¹⁸ Näin ollen kyseinen oikeusperuste ei voi tulla sovellettavaksi tilanteessa, joissa henkilötieto-jen käsittely liittyy viranomaisessa vireillä olevaan ulkomaalaisasiaan.

217 HE 9/2018 vp, s. 79.

218 Mts., s. 80; Voutilainen 2019, s. 153–154.

Osa arkaluonteisista henkilötiedoista kuuluu erityisiin henkilötietoryhmiin.²¹⁹ Tämä perustuu siihen, että tällaiset henkilötiedot ovat erityisen arkaluonteisia henkilön yksityisyyden ja muiden perusoi-keuksien ja -vapauksien kannalta.²²⁰ Tietosuoja-asetuksen 9 artiklan 1 kohdan mukaan henkilötieto-jen käsittely, josta ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filoso-finen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tai biometristen tietojen käsittely henki-lön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkihenki-lön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä. Iso osa ulko-maalaisasian selvittämisen ja ratkaisemisen kannalta merkityksellisistä tiedoista on näin ollen käsit-telykiellon piirissä. Haun suorittaminen esimerkiksi yksilön rotua tai etnistä alkuperää, poliittisia mie-lipiteitä taikka uskonnollisia tai filosofisia vakaumuksia ilmaisevilla hakuperusteilla merkitsee eri-tyisten henkilötietoryhmiin kuuluvien tietojen käsittelyä. Vaikka hakuperuste ei liittyisi erityisiin henkilötietoryhmiin, hakutulos voi pitää sisällään erityisiin henkilötietoryhmiin kuuluvia tietoja. Pe-rusteet poiketa erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelykiellosta vahvistetaan tieto-suoja-asetuksen 9 artiklan 2 kohdassa sekä tietosuojalain 6 §:n 1 momentissa.

Tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvia tietoja koskevaa käsittelykieltoa ei sovelleta, jos käsittely koskee henkilötietoja, jotkarekisteröity on nimenomaisesti saattanut julkisiksi. Kyse voi olla esimerkiksi henkilötiedoista, joita asianomainen on julkaissut omilla julkisilla verkkosivuillaan tai sosiaalisessa mediassa. Tähän oikeusperusteen so-veltamiseen voidaan katsoa liittyvän vaatimus siitä, että rekisteröity jokoitseon saattanut tiedot jul-kisiksi tai onomalla toiminnallaan myötävaikuttanutitseään koskevien tietojen julkaisemiseen. Sen täytyy perustua rekisteröidyn vapaaehtoiseen toimintaan ja tiedon tulee olla vapaasti saatavilla.²²¹

219 GDPR johdanto-osan 51 kohta. Perustuslakivaliokunnan lausuntokäytännöstä voidaan johtaa tulkintaa, jonka mukaan arkaluonteisen henkilötiedot käsite on kansallisesti laajempi kuin erityisten henkilötietoryhmien käsite siten, että erityiset henkilötietoryhmät sisältyvät arkaluonteisiin tietoihin. PeVL 1/2018 vp, PEVL 14/2018 vp ja PeVL 15/2018 vp. Ks. myös Voutilainen 2019, s. 171–172.

220 GDPR johdanto-osan 51 kohta jaKorpisaari, Päivi – Pitkänen, Olli – Warma-Lehtinen, Eija, Uusi tietosuojalainsää-däntö. Liettua 2018, s. 148.

221 Korpisaari – Pitkänen – Warma-Lehtinen 2018, s. 154.

Siihen, onko rekisteröity itse saattanut tietonsa julkisiksi, saattaa liittyä tulkinnanvaraisuutta. Esimer-kiksi osa Facebook-profiilin tiedoista ovat aina julkisia.²²² Muilta osin käyttäjä saa määrittää, kuka näkee tiedon.²²³ Voi olla myös niin, että sosiaalisen median tili (esimerkiksi Facebook-profiili) tai yksittäinen päivitys on vahingossa julkinen.²²⁴ Näin on niissä tilanteissa, joissa käyttäjä ei ole tosiasi-allisesti tarkoittanut saattamaan tiedot julkisiksi vaan ainoastaan omille ”kavereille”.

Tietoverkossa on saatavilla erilaista materiaalia, jotka on julkaistu joukkotiedotusvälineissä, kuten verkkojulkaisuissa. Tällaisessa toiminnassa henkilötietojen käsittelyn oikeusperusteena on journalis-tinen tarkoitus, jossa tapahtuvan henkilötietojen käsittelyn osalta sovellettavaksi eivät tule useimmat tietosuoja-asetuksessa säädetyt henkilötietojen käsittelyä koskevat säännökset. Esimerkiksi journa-listisessa tarkoituksessa tapahtuvaan henkilötietojen käsittelyyn ei sovelleta erityisiin henkilötieto-ryhmiin kuuluvien tietojen käsittelykieltoa. Tiedotusvälineissä julkaistua aineistoa ei välttämättä voida hyödyntää johonkin toiseen käsittelytarkoitukseen. Esimerkiksi maahanmuuttajan terveydenti-laa, vammaisuutta tai seksuaalista suuntautumista koskevat artikkelit verkkojulkaisussa eivät oikeuta käyttämään näitä tietoja johonkin toiseen käyttötarkoitukseen, ellei laissa ole nimenomaisesti sää-detty mahdollisuudesta käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja. Lisäksi on syytä huo-mata, että vaikka henkilö on itse julkaissut jonkin ehdottoman salassapidon piiriin kuuluvia tietoja, ei tiedot tällä perusteella viranomaisen asiakirjoissa muutu julkisiksi.²²⁵

Tietosuojalain 6 §:n 1 momentin 2 kohdan mukaan erityisiin henkilötietoryhmiin kuuluvia tietoja koskevaa käsittelykieltoa ei sovelletatietojen käsittelyyn, josta säädetään laissa tai joka johtuu vä-littömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Ensin mainittuun perusteen kohdalla vaati-muksena on, että erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä säädetään erikseen laissa. Esimerkiksi ulkomaalaisrekisterilain 6 §:ssä säädetäänarkaluonteisten henkilötietojen tallet-tamisesta ulkomaalaisrekisteriin. Ulkomaalaisrekisterilain 6.1 §:ssä säädetään eräiden rikostietojen

222 Facebook, Mitä ovat julkiset tiedot Facebookissa? Saatavissa osoitteesta: https://fi-fi.face-book.com/help/203805466323736 /luettu 27.5.2020.

223 Facebook, What audiences can I choose from when I share on Facebook? Saatavissa osoitteesta: https://www.face-book.com/help/211513702214269 /luettu 27.5.2020.

224 Korpisaari – Pitkänen – Warma-Lehtinen 2018, s. 154.

225 KHO 4.8.2009 t. 1861.

tallentamisesta ulkomaalaisrekisteriin. Ulkomaalaisrekisterilain 6.2 §:n mukaan muita henkilötieto-jen suojaa koskevassa lainsäädännössä tarkoitettuja arkaluonteisia henkilötietoja saa tallettaa, jos re-kisteröity on antanut siihen suostumuksensa tai jos tiedot tallettaminen on asian käsittelyn kannalta välttämätöntä.²²⁶ Arkaluonteisten henkilötietojen käsite perustuu aiemmin voimassa olleeseen henki-lötietojen suojaa koskevaan sääntelyyn. Perustuslakivaliokunnan lausuntokäytännön valossa voidaan todeta, että erityiset henkilötietoryhmän sisältyvät arkaluonteisiin henkilötietoihin.²²⁷

Toisen tietosuojalain 6.1 §:n 2 kohdassa mainitun perusteen osalta erityistä huomiota on kiinnitettävä siihen, että rekisterinpitäjän lakisääteinen tehtävä ei itsessään luo oikeutta käsitellä erityisiin henki-lötietoryhmiin kuuluvia tietoja, vaan erityisiin henkihenki-lötietoryhmiin kuuluvien tietojen käsittelyn tulee johtua välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Näin ollen edellytyksenä on, että rekisterinpitäjä ei voi suorittaa tehtäväänsä ilman erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyä.²²⁸ Viranomaisten kohdalla edellytyksenä on, että lakisääteisestä velvoitteesta ja siihen liit-tyvästä erityisiin henkilötietoryhmiin kuuluvien tietojenkäsittelyn tarpeesta säädetään laissa nimen-omaisesti sekä täsmällisesti ja tarkkarajaisesti.²²⁹

Viranomaistoiminnassa henkilötietojen – mukaan lukien avoimista lähteistä hankittujen tietojen – käsittely ei lähtökohtaisesti voi perustua yksinomaan rekisteröidyn antamaan suostumukseen. Viran-omaisen kohdalla tavanomaista on, että henkilötietojen käsittely on tarpeen viranViran-omaisen lakisäätei-sen velvoitteen noudattamiseksi. Käsittelylle on oltava peruste unionin oikeudessa tai rekisterinpitä-jään sovellettavassa jäsenvaltion lainsäädännössä. Voimassa olevan lainsäädännön valossa voidaan todeta, että maahanmuuttohallintoon kuuluvat viranomaiset voivat käsitellä henkilötietoja ulkomaa-laislaissa ja kansalaisuuslaissa vahvistettujen tehtävä- ja toimivaltasäännösten perusteella, jos tieto-jenkäsittely on tarpeen lakisääteisten velvoitteiden noudattamiseksi. Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn viranomaistoiminnassa ei tulisi perustua yksinomaan rekisteröidyn an-tamaan nimenomaiseen suostumukseen tai siihen seikkaan, että rekisteröity on mahdollisesti itse ni-menomaisesti saattanut ne julkisiksi. Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely voi perustua lakiin tai johtua välittömästi viranomaiselle laissa säädetystä tehtävästä. Voimassa olevan

226 Niissä tilanteissa, joissa käsittely perustuu rekisteröidyn suostumukseen, on varmistuttava erikseen siitä, että tieto-suoja-asetuksessa vahvistetut suostumuksen pätevyyden edellytykset täyttyvät. Ks. tietosuoja-asetuksen mukaisen suos-tumuksen pätevyyden edellytyksistä jäljempänä luku 3.5.2.

227 Voutilainen 2019, s. 172–173. Ks. myös PeVL 1/2018 vp ja PeVL 14/2018 vp.

228Ouli, Juuso – Voutilainen, Tomi, Oppimisanalytiikka ja opiskelijatietojen käsittely yliopistoissa. Edilex 2019/37, s.

45.

229 PeVL 14/2018 vp, s. 4–5 ja PeVL 51/2018 vp, s. 4–5 sekä 7.

lainsäädännön valossa voidaan todeta, että maahanmuuttohallintoon kuuluvat viranomaiset voivat käsitellä henkilötietoja ulkomaalaislaissa ja kansalaisuuslaissa vahvistettujen tehtävä- ja toimivalta-säännösten perusteella, jos tietojenkäsittely johtuu välittömästi laissa säädetystä tehtävästä.