GDPR ja rekisteröidyn oikeudet: mitä voit oikeasti vaatia

Tietosuoja-asetuksesta puhutaan usein niin kuin se antaisi yhden ison oikeuden: oikeuden omiin tietoihin. Käytännössä oikeuksia on useita, ne toimivat eri tavalla ja ne purevat eri tilanteissa. Kun ihminen lähettää yritykselle viestin, jossa lukee "vaadin kaikki tietoni poistettavaksi", vastaus on usein kieltävä, vaikka ongelma olisi ollut ratkaistavissa jollain toisella oikeudella.

Tämä artikkeli on yleiskartta. Se kertoo, mitkä oikeudet ovat olemassa, mikä niistä sopii mihinkin tilanteeseen ja miksi käsittelyn oikeusperuste määrää lopputuloksen useammin kuin pyynnön sanamuoto. Teksti kuvaa, mitä laki vaatii, eikä ole oikeudellista neuvontaa yksittäiseen tapaukseen.

Rekisterinpitäjä päättää, käsittelijä vain toteuttaa

Ennen kuin mihinkään oikeuteen vetoaa, kannattaa tietää kenelle pyyntö kuuluu. Tietosuoja-asetus jakaa toimijat kahteen rooliin.

Rekisterinpitäjä päättää, mihin tarkoitukseen henkilötietoja käsitellään ja millä keinoilla. Verkkokauppa, työnantaja, taloyhtiö, urheiluseura ja terveysasema ovat rekisterinpitäjiä omissa asioissaan. Rekisterinpitäjä vastaa siitä, että käsittelyllä on peruste ja että sinun oikeutesi toteutuvat.

Henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän lukuun ja sen ohjeiden mukaan. Tyypillisiä käsittelijöitä ovat kirjanpitotoimisto, uutiskirjejärjestelmä, palkkahallinnon ohjelmisto ja konesalipalvelu. Käsittelijä ei saa päättää tietojen käyttötarkoituksesta eikä vastata pyyntöösi omin päin, vaan sen on ohjattava pyyntö rekisterinpitäjälle.

Ero näkyy heti käytännössä. Jos lähetät pyynnön uutiskirjeohjelmiston tehneelle yritykselle, se ei voi poistaa mitään ilman asiakkaansa ohjetta. Sama pätee monessa pilvipalvelussa: palvelu säilyttää tiedot, mutta joku toinen päättää niistä. Osoita pyyntö sille organisaatiolle, jonka kanssa sinulla on asiakassuhde tai muu tosiasiallinen suhde.

Kolmas mahdollisuus on yhteisrekisterinpitäjyys, jossa kaksi organisaatiota päättää käsittelystä yhdessä. Silloin niiden on kerrottava, kumpi hoitaa rekisteröidyn pyynnöt, mutta voit käyttää oikeuksiasi kumpaa tahansa kohtaan.

Yhdeksän oikeutta ja se, mihin kukin niistä puree

Alla oleva taulukko on artikkelin ydin. Se ei ole lain sanamuoto vaan käännös siitä, mitä oikeus tekee sinulle.

Kolme näistä käsitellään omina artikkeleinaan, koska niissä on paljon käytännön yksityiskohtia. Tarkastusoikeuden käyttö on selitetty artikkelissa tietopyyntö omista tiedoista, poiston edellytykset artikkelissa tietojen poistopyyntö ja markkinoinnin lopettaminen artikkelissa suoramarkkinoinnin kielto. Tässä artikkelissa niitä ei toisteta.

Oikeusperuste ratkaisee lopputuloksen useammin kuin pyynnön sanamuoto

Henkilötietoja saa käsitellä vain, jos käsittelylle on jokin asetuksessa lueteltu peruste. Perusteita on kuusi, ja juuri se, mikä niistä on valittu, määrää mihin oikeuksiin voit vedota. Tämä on koko aiheen tärkein yksittäinen asia, ja se jää julkisessa keskustelussa lähes aina mainitsematta.

Katso siis ensin palvelun tietosuojaselosteesta, millä perusteella juuri sinun tietojasi käsitellään. Jos peruste on suostumus, sen peruuttaminen on yksinkertaisin reitti: käsittelyn on loputtava jatkon osalta, eikä sinun tarvitse perustella mitään. Jos peruste on lakisääteinen velvoite, poistopyyntö ei etene, koska rekisterinpitäjä on velvollinen säilyttämään tiedon riippumatta siitä mitä sinä tai se itse haluatte.

Suostumuksen erityispiirre on, että sen peruuttamisen pitää olla yhtä helppoa kuin antamisen. Sama vaatimus koskee myös verkkosivujen suostumusikkunoita, ja siitä kerrotaan tarkemmin artikkelissa evästebannerin lukeminen.

Mitkä oikeudet eivät ole ehdottomia

Yleisin väärinkäsitys on, että rekisteröidyn oikeudet ovat ehdottomia ja rekisterinpitäjän on toteltava. Näin ei ole kuin harvassa kohdassa.

Lähes ehdoton on oikeus kieltää suoramarkkinointi. Kun vastustat markkinointia, käsittely on lopetettava eikä rekisterinpitäjä voi vedota omaan liiketoimintaetuunsa.

Ehdollisia ovat lähes kaikki muut. Poisto edellyttää, että jokin asetuksen luettelemista perusteista täyttyy, ja se väistyy muun muassa lakisääteisen säilytysvelvollisuuden, sananvapauden ja oikeusvaateiden edessä. Siirto-oikeus koskee vain tietoja, jotka olet itse antanut ja joita käsitellään suostumuksen tai sopimuksen perusteella automaattisesti. Vastustamisoikeus toimii oikeutetun edun ja julkisen tehtävän kohdalla, ja rekisterinpitäjä voi jatkaa käsittelyä, jos se osoittaa huomattavan tärkeän perusteen.

Myös tarkastusoikeudella on rajansa. Jäljennös ei saa loukata muiden oikeuksia, joten toisen henkilön tiedot peitetään, eikä oikeus ulotu liikesalaisuuksiin tai ohjelmiston lähdekoodiin. Sekään ei tarkoita, että pyynnön voisi ohittaa kokonaan: rajoitus koskee yksittäisiä kohtia, ei koko vastausta.

Kun poisto ei ole mahdollinen, kannattaa muistaa käsittelyn rajoittaminen. Se on välimuoto, jossa tiedot jäävät järjestelmään mutta niitä ei saa käyttää muuhun kuin säilyttämiseen ja oikeusvaateisiin. Se sopii esimerkiksi tilanteeseen, jossa kiistät tiedon oikeellisuuden ja asian selvittäminen kestää.

Automaattinen päätöksenteko ja profilointi

Kun päätös tehdään pelkän algoritmin tuottaman pisteytyksen perusteella ilman että kukaan ihminen arvioi sitä, ja päätöksellä on oikeudellisia tai vastaavalla tavalla merkittäviä vaikutuksia, sinulla on erityinen suoja. Tällaisia päätöksiä ovat esimerkiksi luoton epääminen tai automaattinen työhakemusten karsinta.

Pääsääntö on, että täysin automaattista päätöstä ei saa tehdä. Poikkeuksia on kolme: päätös on välttämätön sopimuksen tekemiseksi, se perustuu lakiin tai olet antanut siihen nimenomaisen suostumuksen. Silloinkin sinulla on oikeus saada ihminen arvioimaan päätös, esittää oma kantasi ja riitauttaa lopputulos.

Profilointi eli henkilön ominaisuuksien arviointi automaattisesti on eri asia kuin automaattinen päätös. Profilointi on sallittua yleisten sääntöjen mukaan, mutta siitä on kerrottava ja sitä voi useissa tapauksissa vastustaa. Mainosprofiilin tarkastelu ja nollaaminen on käytännön keino, joka on selitetty erikseen artikkelissa mainosprofiili.

Tässä kohdassa kannattaa pitää mielessä yksi rajaus. Oikeus ihmisen arviointiin ei tarkoita oikeutta saada tietää järjestelmän koko laskentakaava. Rekisterinpitäjän on kerrottava käsittelyn logiikka ymmärrettävällä tavalla ja se, mitkä seikat päätökseen vaikuttivat, mutta liikesalaisuudet ja tietoturvasyyt voivat rajata yksityiskohtia. Tekoälyä käyttävien palveluiden tietosuojakysymyksiä käsitellään laajemmin artikkelissa tekoäly ja tietosuoja.

Missä tietosuoja-asetus ei auta lainkaan

Osa pettymyksistä syntyy siitä, että asetukselta odotetaan asioita, joita se ei lupaa. Neljä rajausta kannattaa tuntea.

Henkilökohtainen ja kotitalouden toiminta jää ulkopuolelle. Kun tallennat naapurin nimen omaan puhelimeesi tai lähetät perheelle valokuvan, kyse ei ole asetuksen tarkoittamasta käsittelystä. Raja ei ole kuitenkaan absoluuttinen: jos kotitalon valvontakamera kuvaa jatkuvasti katua tai naapurin pihaa, toiminta voi ylittää kotitalouspoikkeuksen rajan.

Suoja koskee eläviä luonnollisia henkilöitä. Yrityksen y-tunnus, yleinen asiakaspalveluosoite tai muu puhtaasti organisaatiota koskeva tieto ei ole henkilötieto. Kuolleen henkilön tiedot eivät kuulu asetuksen soveltamisalaan, vaikka niitä voi koskea muu lainsäädäntö tai vaitiolovelvollisuus.

Anonymisoitu tieto ei ole enää henkilötietoa. Jos aineistosta on poistettu kaikki, mikä mahdollistaa tunnistamisen kohtuullisin keinoin, oikeudet eivät ulotu siihen. Pseudonymisoitu tieto sen sijaan on yhä henkilötietoa, koska se voidaan yhdistää sinuun avaimen avulla. Ero on käytännössä tärkeä, koska moni palvelu kutsuu anonyymiksi sellaista, mikä on vain pseudonymisoitua.

Oikeudet eivät ole omistusoikeus. Asetus ei tee tiedoista sinun omaisuuttasi, jota voisit myydä tai vaatia takaisin. Se antaa oikeuden vaikuttaa käsittelyyn ja saada siitä tieto. Tästä syystä palvelu voi jatkaa tiettyjen tietojen käsittelyä, vaikka vastustaisit sitä, jos sen peruste on painavampi.

Väärä työkalu on myös tavallinen ongelma. Jos riita koskee kaupan ehtoja, toimitusta tai rahoja, kyse on kuluttajansuojasta eikä tietosuojasta. Silloin oikea reitti on kuluttajaneuvonta ja tarvittaessa kuluttajariitalautakunta, ja pelisäännöt on kuvattu artikkelissa verkkokaupan peruutusoikeus.

Näin pyyntö etenee ja mihin valitat

1. Selvitä oikea rekisterinpitäjä. Katso tietosuojaseloste tai käyttöehdot. Jos kyse on konsernista, nimi voi olla eri kuin palvelun tuotenimi.
2. Nimeä oikeus, johon vetoat. Kirjoita selvästi kumpi on kyseessä: tarkastuspyyntö, oikaisu, poisto, rajoittaminen, vastustaminen vai suostumuksen peruuttaminen.
3. Käytä palvelun omaa lomaketta, jos sellainen on. Se on yleensä nopein reitti, koska pyyntö ohjautuu suoraan oikealle henkilölle.
4. Säilytä todiste pyynnöstä. Ota talteen lähetyspäivä, viestin sisältö ja mahdollinen asiointinumero.
5. Odota vastaus ja lue perustelu. Kieltävässä vastauksessa on kerrottava syy ja se, miten voit hakea asiaan muutosta. Määräajan pituus kannattaa tarkistaa tietosuojavaltuutetun toimiston sivuilta, koska se on säädetty asetuksessa.
6. Tee tarvittaessa valitus tietosuojavaltuutetun toimistolle. Valitus on maksuton, ja voit tehdä sen jos vastausta ei kuulu tai pidät sitä lain vastaisena. Toimisto voi antaa määräyksen tietojen poistamisesta tai käsittelyn kieltämisestä.

Valitus valvontaviranomaiselle ei ole ainoa reitti. Voit myös viedä asian tuomioistuimeen ja vaatia vahingonkorvausta, jos käsittelystä on aiheutunut vahinkoa. Nämä ovat rinnakkaisia keinoja, eikä toisen käyttö sulje toista pois.

Erikoistapaus on tietovuoto. Silloin ilmoitusvelvollisuus on rekisterinpitäjällä, ei sinulla, mutta voit silti käyttää tarkastusoikeutta selvittääksesi mitä tietoja sinusta oli mukana.

Näin valitset oikean oikeuden ongelmaasi

Käy tämä lista läpi ennen kuin kirjoitat pyynnön. Se säästää yhden turhan kierroksen.

• Et tiedä mitä sinusta on tallennettu. Käytä tarkastusoikeutta.
• Tieto on väärin. Pyydä oikaisua, älä poistoa. Oikaisu onnistuu myös silloin kun poisto ei onnistu.
• Haluat lopettaa markkinoinnin. Kiellä suoramarkkinointi. Tämä ei edellytä tilin poistamista.
• Et halua enää olla asiakas. Peruuta suostumukset ja pyydä poistoa, mutta varaudu siihen että osa tiedoista jää lakisääteisen säilytyksen ajaksi.
• Vaihdat palvelua ja haluat tietosi mukaan. Käytä siirto-oikeutta, ei poistoa. Poista vasta kun olet varmistanut että siirto onnistui.
• Asia on riidanalainen ja selvitys kestää. Pyydä käsittelyn rajoittamista, jolloin tiedot eivät katoa mutta niitä ei myöskään käytetä.
• Päätös tehtiin koneellisesti. Vaadi ihmisen tekemää arviointia ja perustelut.

Jos et ole varma kenelle pyyntö kuuluu, aloita siitä palvelusta, jonka kanssa asioit. Sen on kerrottava sinulle rekisterinpitäjän yhteystiedot, vaikka se itse toimisi vain käsittelijänä.