Henkilötietolain tarkoitus - käytännesääntöjen lähtökohta

[Veikko Leskelä]

Perustuslain 10 § säätää yksityiselämän suojasta ja henkilötietolaki samasta asiasta henkilötietoja käsiteltäessä.

Perustuslaki 10 §

Yksityiselämän suoja

Jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla.

Henkilötietolaki

1 luku 1 §: Lain tarkoitus

Tämän lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista.
'''''''''''''''''''''''''''''''''''''

Henkilötietolain tarkoitus on kaksijakoinen:

1. Toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä ja

2. Edistää hyvän tietojenkäsittelytavan kehittämista ja noudattamista.
___________________________

Keskustelussa on toistaiseksi enemmän painotettu yksityisyyden suojan näkökulmia kuin hyvän tietojenkäsittelytavan vaatimuksia.

Yksityisyyden suojan kysymykset ovat esillä henkilötietoja käsiteltäessä. Hyvä tietojenkäsittelytapa liittyy tietojen siirtoon, luovutukseen, suojaukseen ja lain tarkoittamaan muuhun henkilötietojen käsittelyyn.

Olennaista ovat luonnollisen - elävän - henkilön yksityisyyden suojaan ja hänen henkilötietojensa käsittelyyn liittyvät näkökulmat. Loukkaukset yksityisyyden suojaan nähden kun voivat tapahtua vain suhteissa luonnolliseen henkilöön ja hänen lähipiiriinsä.

Olennaista on myös hyvän tietojenkäsittelytavan kehittäminen ja noudattaminen.

Nämä kaksi näkökulmaa: henkilötietojen käsittely ja hyvä tietojenkäsittelytapa ovatkin henkilötietolain peruspilareita. Niitä tutkailemalla saadaan osviittaa henkilötietolain soveltamiseen ja noudattamisen paljon helpommin kuin pohtimalla, mikä on lain tarkoittamaa sukututkimusta ja mikä ei ole.

Kun henkilötietolaki tarkoittaa, että henkilötietojen käsittelyssä toteutetaan yksityisyyden suojaa ja että edistetään ja noudatetaan hyvää tietojenkäsittelytapaa, niin käytännesääntöjen keskeiset lähtökohdat on luotu.

Kaiken lain soveltamisen tulee lähteä lain tarkoituksen tuntemisesta.

[Veikko Leskelä]

Nämä kaksi näkökulmaa: henkilötietojen käsittely ja hyvä tietojenkäsittelytapa ovatkin henkilötietolain peruspilareita. Niitä tutkailemalla saadaan osviittaa henkilötietolain soveltamiseen ja noudattamisen paljon helpommin kuin pohtimalla, mikä on lain tarkoittamaa sukututkimusta ja mikä ei ole.


Henkilötietolain tarkoituksen asettaminen käytännesääntötyön taustalle näyttää tällä hetkellä sellaiselta näkökulmalta, jota lainsäätäjäkin on tarkoittanut 42 §:ää säätäessään.

[Veikko Leskelä]

Henkilötietolain tarkoitus on varteenotettava lähtökohta, josta käytännesääntöjenkin kirjoittaminen lähtee.

Ilman lain tarkoituksen peruspilareiden - henkilötietojen käsittelyn ja hyvän tietojenkäsittelytavan - huomioon ottamista ja sisäistämistä lain soveltaminen pysyy hämäränä sekä sukututkijoille että muille toimialan toimijoille.

Tässä on varmasti työsarkaa kenelle tahansa.

[Veikko Leskelä]

Alla vielä henkilötietolain tarkoituspykälän laajoista perusteluista silloidessa vuoden 1998 hallituksen esityksessä. Keskeiset suuntaviivat lain soveltamisen selkeyttämiseen löytyvät lihavoiduista ja muista kohdista ja onhan siinä lukemista.

Kun taustalla on kuitenkin perustuslain perusoikeussääntely ja tietosuojadirektiivi, niin lainsäätäjän tahtoahan tässä tutkaillaan ja yritetään noudattaa.
**********

Hallituksen esityksestä: 1 §. Lain tarkoitus.

Pykälä ilmaisee lain tarkoituksen. Säännöksen mukaan lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Lailla pyritään turvaamaan, ettei yksityiselämän suojaa tai muita yksityisyyden suojaa turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta henkilötietoja kerättäessä, talletettaessa, käytettäessä, siirrettäessä, luovutettaessa tai muutoin käsiteltäessä.

Tietosuojadirektiivin tavoitteisiin kuuluu turvata yksilöiden perusoikeudet ja -vapaudet, erityisesti heidän oikeutensa yksityisyyteen henkilötietojen käsittelyssä (1 artikla). Tämän samoin kuin perusoikeusuudistuksen vuoksi myös henkilötietolain keskeisenä tavoitteena olisi yksityiselämän suojan ja muiden yksityisyyden suojaa turvaavien perusoikeuksien toteuttaminen henkilötietoja käsiteltäessä.

Yksityisyyden suojaan kuuluu yksityiselämän suoja, josta säädetään hallitusmuodon 8 §:ssä. Pykälän 1 momentin mukaan jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Säännöksen perustelujen mukaan (HE 309/1993 vp, s. 52) yksityiselämän suojan lähtökohtana on, että yksilöllä on oikeus elää omaa elämäänsä ilman viranomaisten tai muiden ulkopuolisten tahojen mielivaltaista tai aiheetonta puuttumista hänen yksityiselämäänsä.

Yksityisyyden suojaan kuuluu myös oikeus tietää ja päättää itseään koskevien tietojen käytöstä. Yksilön oikeuksiin itseään koskeviin tietoihin vaikuttavat yksityiselämän suojan lisäksi muutkin perusoikeudet. Useiden perusoikeuksien perustana on henkilön itsemääräämisoikeus. Itsemääräämisoikeus henkilötietojen käsittelyssä merkitsee, että tietojen käsittelytoimien on ensisijaisesti perustuttava rekisteröidyn suostumukseen. Henkilötietolainsäädännön keskeisiä tehtäviä on osoittaa, missä tapauksissa tietojen käsittely on mahdollista ilman rekisteröidyn myötävaikutusta.

Pykälässä mainittaisiin yksityiselämän suoja osana yksityisyyden suojaa. Lakiin ei ehdoteta otettavaksi erillistä yksityisyyden suojan määritelmää. Pykälästä ilmenee kuitenkin, että oikeus yksityisyyden suojaan muodostuu yksityiselämän suojan lisäksi muistakin henkilötietojen käsittelyssä merkityksellisistä perusoikeuksista. Näitä ovat itsemääräämisoikeuden ja sitä ilmentävän henkilökohtaisen vapauden lisäksi esimerkiksi oikeus kunniaan. Jokaisella on oikeus tulla arvostetuksi oikeiden ja oleellisten tietojen perusteella. Yksilön tiedonsaantioikeuksien ja vaikutusmahdollisuuksien ulottumattomissa tapahtuva tietojen käsittely voi vaarantaa yksilön turvallisuutta ja saattaa hänet ihmisarvoa loukkaavan menettelyn kohteeksi. Arkaluonteisten tietojen käsittelykiellolla taas on selkeä yhteys oikeuteen yhdenvertaiseen kohteluun ja syrjintäkieltoihin.

Laki toteuttaisi osaltaan hallitusmuodon 8 §:n 1 momentin toimeksiantoa säätää henkilötietojen suojasta lailla. Koska yksityiselämän suoja ja muut yksityisyyden suojaa määrittelevät perusoikeudet eivät ole ehdottomia, laki osoittaa sääntelemiltään osin yksityisyyden suojan ulottuvuutta.

Yksityisyyden suojan sisältöön ja ulottuvuuteen vaikuttaa muun muassa se, mikä on rekisterinpitäjän ja rekisteröidyn välinen suhde, missä roolissa henkilö kulloinkin esiintyy ja onko hän itse antanut tietojaan julkisuuteen tai sallinut niiden julkistamisen. Esimerkiksi tiedot henkilön tehtävistä ja menettelystä yhteiskunnallisessa tai poliittisessa toiminnassa eivät siten välttämättä kuulu yhtä laajan yksityisyyden suojan piiriin kuin tiedot, jotka liittyvät luonnolliseen henkilöön yksityishenkilönä.

Tietosuojadirektiivin 1 artikla velvoittaa jäsenvaltiot turvaamaan direktiivissä säädetyllä tavalla yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen henkilötietojen käsittelyssä. Kun EU:n jäsenvaltiot harmonisoivat kansallista tietosuojalainsäädäntöään tietosuojadirektiivin edellyttämällä tavalla, kaikissa jäsenvaltioissa saavutetaan tietosuojan vastaava taso eivätkä jäsenvaltiot voi enää yksityisyyden suojaan vedoten estää henkilötietojen vapaata liikkuvuutta EU:n jäsenvaltioiden sisällä.

Vaikka ehdotetun lain keskeisenä tavoitteena on yksityisyyden suojaaminen, sen säännöksissä on pyritty yhteensovittamaan myös yhteiskunnan tietotarpeet. Säätämällä yksityisyyden suojasta henkilötietojen käsittelyssä luodaan mahdollisuudet yhteiskunnan tietohuollon järjestämiselle ja henkilötietojen vapaalle liikkuvuudelle tietosuojadirektiivin 1 artiklan edellyttämällä tavalla.

Myös tietosuojasopimus, johon Suomi on liittynyt, edellyttää, että henkilötietojen automaattisessa tietojenkäsittelyssä sopimuspuolen alueella jokaiselle yksilölle riippumatta hänen kansalaisuudestaan tai asuinpaikastaan turvataan hänen oikeutensa ja perusvapautensa ja erityisesti hänen oikeutensa yksityisyyteen (1 artikla). Ehdotettu laki sisältää ne yleiset säännökset yksityisyyden suojasta henkilötietoja kerättäessä, talletettaessa, käytettäessä, siirrettäessä, luovutettaessa ja muutoin käsiteltäessä, joita hallitusmuoto, tietosuojadirektiivi ja tietosuojasopimus edellyttävät.

Lain toiminnallisena tavoitteena on edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista henkilötietojen käsittelyssä ja toteuttaa siinä hyvään tietojenkäsittelytapaan perustuva yhtenäinen käytäntö. Nykyisen lain tavoitteena on muun ohella hyvän rekisteritavan toteuttaminen. Tämän velvoitteen muotoilua ehdotetaan sanonnallisesti tarkistettavaksi niin, että se ilmentäisi paremmin ehdotetun lain keskeistä sääntelyn kohdetta, henkilötietojen käsittelyä. Hyvän tietojenkäsittelytavan turvaaminen koostuu käytännössä pitkälti samoista keinoista, joilla pyritään hyvän rekisteritavan toteuttamiseen. Hyvän tietojenkäsittelytavan kehittämiseen ja edistämiseen kuuluu siten muun ohella se, että henkilötietoja käsiteltäessä varmistetaan, että käsittelyn tekninen toteuttaminen on asianmukaista ja että henkilötietoja käsittelevät perehdytetään henkilötietojen käsittelyyn sekä niihin säännöksiin ja velvoitteisiin, jotka on siinä otettava huomioon.

Nykyisen henkilörekisterilain tarkoituksena mainitaan 1 §:n 1 momentissa myös valtion turvallisuuden varmistaminen. Tämä maininta on jätetty pois ehdotetusta säännöksestä. Näin halutaan korostaa yksityisyyden suojaa lain keskeisenä tavoitteena. Myös nykyisen lain soveltamiskäytännössä yksityisyyden suojan turvaaminen ja henkilön oikeusturvan toteuttaminen henkilötietoja kerättäessä, talletettaessa, käytettäessä ja luovutettaessa ovat osoittautuneet lain keskeisiksi tavoitteiksi. Valtion turvallisuus on sen sijaan muiden suojattavien etujen rinnalla otettu huomioon lakiehdotuksen yksittäisissä säännöksissä. Valtion turvallisuus ei sisälly myöskään tietosuojadirektiivin 1 artiklaan, jossa ilmaistaan direktiivin tavoitteet.