Euroopan Unionin tietosuoja-asetus (GDPR) säätelee luonnollisten henkilöiden tietojen käsittelyä ja sitä tarkennetaan kansallisesti tietosuojalailla. Viranomaiset eivät joskus halua luovuttaa tietoja vedoten tietosuoja-asetukseen (GDPR) tai -lakiin.

Tiedonhankinnassa julkisuuslain nojalla on muistettava: viranomaistietojen julkisuudesta säätää julkisuuslaki (Tietosuojalaki 28 §). Henkilötietojen käsittelystä säätää tietosuojalainsäädäntö. Tietosuoja-asetus tai laki eivät siis salaa mitään, koska salaus on poikkeustoimi, jolla estetään tiedon päätyminen sivullisille lainsäädäntöön pohjautuvilla salausperusteilla (kuten JulkL 24 §). Tietosuojalainsäädäntö määrittelee, keillä ja miten on oikeus käsitellä viranomaisen henkilötietoja (käyttöperuste, tiedonluovutus ja säilytys).  Rikoksilla on oma tietosuojadirektiivi, jossa on pari uutta perustetta tietojen käsittelyyn: kansallinen erityislaki sekä viranomaisen valvonnassa.

Lyhyesti: henkilötietoja ovat lähes kaikki tiedot, jotka yhdistelemällä toisiin tietoihin voivat johtaa yksilön yksilöimiseen muista. Henkilötiedon ja tietosuojan kriteeri täyttyy helposti. Mutta henkilötietojen laillisia käsittelyperusteita on myös olemassa iso liuta, ja journalistiseen tarkoitukseen on olemassa omat poikkeuksensa. Tietosuoja-asetus ja tietosuojalaki eivät estä journalistista tiedonhankintaa, mutta asettavat sille vaatimuksia.

Lähtökohtaisesti tietosuoja ei ole tietopyynnön este, vaan lähinnä vain hidaste.

Henkilötiedot

Henkilötietoja ovat luonnollisen henkilön ja häneen liittyvät tiedot. Henkilötieto voi olla esimerkiksi kiinteistötunnus, osoite, psyykkinen tai geneettinen piirre. Myös virheellinen tieto voi olla tietosuojan suojaama henkilötieto! Oleellista on, voidaanko sen perusteella erottaa yksilö massasta. Esimerkiksi yksittäinen nimi Matti ei internetin tietomassassa ole henkilötieto, mutta jos puhutaan työpaikasta, jossa on vain yksi Matti, on tuo etunimi tässä kontekstissa henkilötieto. Tämän tietojen yhdistelemisen merkitys henkilötiedon muodostumiselle on rajoitettu siten, että tiedot on voitava yhdistää muihin kohtuullisilla ja laillisilla käytettävissä olevilla keinoilla.

Tietosuoja ei koske vainajia, mutta esimerkiksi potilastiedon luovutukselle on sen estävä määräaika menehtymisen jälkeen ja vainajaa koskevassa uutisoinnissa täytyy varoa esimerkiksi elossa olevien sukulaisten yksityiselämää loukkaavaa tiedon levittämistä.

Anonymisoitu tieto ei myöskään ole tietosuoja-asetuksen alaista tietoa. Pseudonymisointi puolestaan on, eli pseudonymisoinnissa tiedot on anonymisoitu siten, että tietojen käsittelijällä on edelleen hallussaan ”suojausavain” eli keino tunnistaa anonymisoidut yksilöt.

Erityiset henkilötietoryhmät

Tavalliset henkilötiedot, kuten nimi tai sähköpostiosoite, ovat helposti luovutettavissa esimerkiksi suullisesti. Ongelmallista on lähinnä niiden sähköinen käsittely massana. Mutta tietyt tiedot eli ”erityiset henkilötietoryhmät” ovat hyvin suojeltuja tietoja, joiden luovutukseen pitää olla melko vahvat oikeudet. Näitä on sallittua käsitellä journalistisiin tarkoituksiin, MUTTA tällöin on huolehdittava asianmukaisista suojatoimista! Lisäksi media on tietysti vastuussa julkaisemansa materiaalin laillisuudesta.

Erityisiä henkilötietoryhmiä ovat muun muassa:

• Rotu tai etninen alkuperä
• Poliittiset mielipiteet
• Uskonnollinen tai filosofinen vakaumus
• Ammattiliiton jäsenyys
• Geneettiset tai biometriset tiedot, jos yksiselitteinen tunnistaminen
• Terveyttä koskeva tieto
• Seksuaalista käyttäytymistä ja suuntautumista koskeva tieto

Näitä tietoja ei voi kiertää esimerkiksi käsittelemällä etnisyyttä tai puoluetta esimerkiksi vaatetuksen tai lehtitilausten kirjaamisella. Mutta esimerkiksi syke tai urheilusuoritus, eivät ole arkaluonteisia tietoja, ellei niitä yhdistetä muihin tietoihin (kuten jos ne kielivät sydänvaivasta).

Journalistisesti voi olla esimerkiksi tilanne, jossa pyydetään julkiseen virkaan haetun CV:tä ja tässä mainitaan kuuluminen puolueeseen, eikä hakijalla ole puolueessa julkista luottamustehtävää. Tällöin viranomainen voi tavalliselle tietopyytäjälle poistaa CV:stä tuon puoluetiedon, mutta periaatteessa journalistiseen tarkoitukseen tuo CV pitäisi saada sellaisenaan. Journalisti ei vain saa julkistaa puoluetaustaa, ellei sillä ole suurta yhteiskunnallista merkitystä.

Edellä mainittuja erityisiä henkilötietoryhmiä koskevat suojaukset voidaan ohittaa, mikäli kyseinen henkilö on itse tietoisesti saattanut seikan julkiseksi.

Tietosuoja-asetuksen asettamat velvoitteet viranomaiselle

Tietosuoja-asetus ei koske yksityisten henkilöiden omaan käyttöön keräämiä tietoja. Sen sijaan erilaisia organisaatioita se koskee, eli myös sitä mediaa, jolle työskentelet! Mediassasi pitäisikin olla tietosuojavastaavat ja muut aiheen asiantuntijat. Heidän tulisi hallita tarvittavat tietosuoja-asetuksen 99 artiklaa, tietosuojalain 38 pykälää sekä noin 800 muuta säädöstä lainsäädännössä.

Tietosuojan periaatteet ovat seuraavat, eli organisaation on huomioitava nämä tietosuojan käsittelyssään:

Käsittelyn lainmukaisuus: viranomaisen on varmistuttava siitä, että tämän hallussa olevia tietoja käsitellään oikealla tavalla. Tähän kuuluu sen varmistaminen, että tiedon pyytäjällä on lainmukainen peruste käsitellä tietoja SEKÄ että hän osaa käsitellä tietoja lainmukaisella tavalla.

Kohtuullisuus: henkilötietojen käsittelyssä huomioidaan rekisteröityjen edut ja odotukset

Läpinäkyvyys: henkilötietoihin liittyvä viestintä on selkeää, niistä voi aina kysyä ja rekisteröityjä informoidaan heidän oikeuksistaan ja tietojensa käytöstä.

Käyttötarkoitussidonnaisuus: kerättyjä henkilötietoja ei saa käyttää muuhun kuin mihin on ilmoitettu.

Tietojen minimointi: viranomaisella ei saa olla hallussaan enempää henkilötietoja kuin mitä välttämätöntä on. Tähän liittyy myös tarpeettomien henkilötietojen tuhoaminen.

Täsmällisyys: toiminnan pitää olla täsmällistä, henkilötietojen pitää olla hyvälaatuisia ja virheettömiä.

Säilytyksen rajoittaminen: henkilötietoja ei saa säilyttää miten sattuu vaan tietosuojasta on huolehdittava niin teknisin kuin organisatorisinkin keinoin.

Tiedon eheys ja luottamuksellisuus: henkilötietojen pitää olla hyvälaatuisia ja virheettömiä sekä hyvin suojattu.

Osoitusvelvollisuus: Viranomaisen on dokumentoitava toimintaansa, testattava ja kehitettävä sitä. Mikäli tietosuojavaltuutettu tarkastaa viranomaisen toiminnan, on tällä oltava toimintaa selittävät dokumentit olemassa jo etukäteen.

Journalistiseen tarkoitukseen pyydettyjä henkilötietoja koskee useat poikkeukset tietosuojalainsäädännössä, ja tämä on merkitty tietosuoja-asetuksen artiklaan 85 sekä lain pykälään 27. Tämän pykälän poikkeukset tietosuoja-asetukseen on merkitty seuraavaan .pdf-dokumenttiin: journalismiin sovellettavat tietosuoja-asetuksen artiklat.

Tiivistetysti voi sanoa, että journalistista uutismediaa ei koske mikään periaate, joka rajoittaa median sananvapautta. Esimerkiksi journalistien ei tarvitse minimoida tietojaan tai poistaa niitä välittömästi käytön jälkeen. Eikä rekisteröidyillä ole oikeutta poistaa tietojaan journalistien hallussa olevasta aineistosta.

Henkilötietojen pyytäminen julkisuuslain nojalla

Viranomaisen hallussa olevien henkilötietojen julkisuuden määrittää julkisuuslaki. Viranomaisen hallussa olevien henkilötietojen käsittelyä määrittelevät tietosuoja-asetus ja tietosuojalaki.

Mikäli pyydetyssä aineistossa on henkilötietoja, voi olla tarpeen todistaa journalistinen tarkoitus (JulkL 13.2 §) SEKÄ mahdollisesti tietosuojattu säilytys.

Tietosuojaongelmat tulevat siis vastaan erityisesti tietojen sähköisen käsittelyn myötä, joten esimerkiksi yksittäiset henkilötiedot voi saada vaivatta suullisesti joko kasvokkain tai puhelimitse, mutta suuren tietojoukon luovutus voi olla ongelmallista. Tässä tapauksessa vaihtoehtoja on kolme:

1. henkilörekitereihin tutustuminen paikan päällä,
2. henkilörekisterien tarkastelu teknisen rajapinnan kautta,
3. sähköisten tietojen luovutus kokonaisuudessaan journalistille.

Mikäli tiedot saa nähtäväksi, voi niitä mahdollisesti jäljentää – omia muistiinpanoja voi toki tehdä. Tietoturvasyistä tietopyytäjällä ei yleensä ole oikeutta käyttää itse viranomaisen järjestelmää tai kopioida tiedostoja viranomaisen järjestelmästä omille laitteille.

Tietojen antamisesta teknisen rajapinnan ja katseluyhteyden avulla säädetään julkisen hallinnon tiedonhallinnasta annetussa laissa. (9.8.2019/907) (JulkL 16.4 §)  Laki tulee voimaan 1.1.2020.

Periaatteessa journalistinen tarkoitus on helppo todistaa ja viranomaisen on neuvottava riittävässä tietoturvassa. Kaikki sujuu tietysti jouhevasti, jos molempien todistamiseen on olemassa jo hyvät käytännöt (sekä viranomaisella että mediallasi). Tietojenluovutus ei siis yleensä saisi olla mikään ongelma, vaan sen hoitaminen tietoturvallisesti on viranomaisen päänvaiva. Mutta mikäli mediasi ei kykene vakuuttamaan viranomaista riittävästä tietoturvasta, ei sen tarvitse luovuttaa pyytämiäsi tietoja.

Tietosuojalainsäädännön ja julkisuuslain välisiä ongelmakohtia

Tietosuojalainsäädäntö on laadittu eri näkökulmasta kuin julkisuuslainsäädäntö. Tietosuoja pyrkii lähtökohtaisesti suojelemaan yksilöitä, ja sen kohdatessa julkiseen valtaan liittyvät kysymykset voivat tilanteet olla vaikeita ratkoa.

Lähtökohtaisesti suurin ongelma on se, että vaikka julkisuuslain mukaan tietopyyntöjä pitäisi voida tehdä anonyymisti, on tietosuoja-asetuksen vuoksi henkilötietoja pyydettäessä aina ilmoitettava käyttöperuste ja oma henkilöllisyys, jotta viranomainen voi arvioida tiedonkäsittelyn asiallisuuden. Käyttötarkoitussidonnaisuus on siis ilmoitettava.

Toinen perusongelma on mutkikkaat ja kömpelöt tiedonluovutusproseduurit, jotka aiheuttavat erityisesti harmia esimerkiksi datajournalismille. Ongelma on nimenomaan tiedonluovutuksessa: periaatteessa lainmukaiset käsittelyoikeudet journalisteilla on, mutta käytännön tiedonluovutuksen kysymykset ovat vielä vasta kokeiluasteella.

Joitakin keskeisiä ongelmatilanteita, joihin ei ole vielä selkeitä vastauksia:

OMIEN TIETOJEN TARKASTUS: Eräs helposti sattuva julkisuuslain ja tietosuojalainsäädännön yhteentörmäys on, mikäli viranomainen tulkitsee sinun tekevän omien tietojesi tarkastamista tietosuojalainsäädännön nojalla eikä julkisuuslain mukaista tietopyyntöä. Tällöin käytössä on erilaiset proseduurit ja aikarajat.

SAAKO HENKILÖTIETOJA KUVATA?: Henkilötietolain aikaan yleisenä käytäntönä moni otti nähtäväksi saaduista henkilötiedoista valokuvia kännykkäkameralla henkilökohtaisina muistiinpanoina. Tämä oli sallitua toimintaa, ja esimerkiksi eduskunnan muutettua käytäntöjään siten, että tuhosi vierailijalistat päivittäin, kävivät avoimen tiedon aktivistit eduskunnassa valokuvaamassa tietoja. Nykyisen tietosuoja-asetuksen mukaan valokuvaaminen olisi sähköisen kopion valmistamista, mikä ei ole lainmukaista.

HENKILÖTUNNUSTEN LUOVUTUS: Henkilötunnukset ovat oleellinen keino yksilöidä ihmisiä uutistöitä varten. Ne eivät ole varsinaisesti salattavia tietoja. Ne on kuitenkin erikseen huomioitu tietosuoja-asetuksessa ja tietosuojalaissa. Mutta jälkimmäisessä ei ole tehty poikkeusta henkilötunnusten käytöstä journalistista käyttöä varten, vaikka esimerkiksi tieteelliseen käyttöön niitä saa! Tässä kansallinen lainsäädäntö voi olla ristiriidassa tietosuoja-asetuksen artiklan 85 kanssa.