Julkaisun etusivulle

8 Henkilötietojen jatkokäsittely uusiin tarkoituksiin

Avaa valikko

8 Henkilötietojen jatkokäsittely uusiin tarkoituksiin

8.1 Käyttötarkoitussidonnaisuus

Käyttötarkoitussidonnaisuus on yksi henkilötietojen käsittelyn keskeisistä periaatteista ja sillä on keskeinen merkitys henkilötietojen käsittelyn lainmukaisuuden arvioinnissa. Käyttötarkoitussidonnaisuudesta säädetään tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa, jonka mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Säännökseen sisältyy siis kaksi vaatimusta: yksi koskien henkilötietojen alkuperäisen keruun tarkoituksia ja toinen koskien kyseisten tietojen myöhempää ”jatkokäsittelyä” uusiin tarkoituksiin.

On hyvä huomata, että käsittelyn tarkoitus ei ole viranomaistoiminnassa yleensä vapaasti määritettävissä, vaan se perustuu pääsääntöisesti lakiin ja kuntien toiminnassa kunnan tehtäviin ja sallittuun toimintaan. Kunnan toimiala määräytyy kuntalain nojalla. Se, että henkilötietojen käsittelyssä noudatetaan tietosuojalainsäädäntöä, ei poista muun lainsäädännön vaatimuksia. Esimerkiksi tietopalvelujen kehittämisessä on arvioitava muun ohella valtiontukisääntelyn sekä kunnan toimialaa koskevien säännösten asettamat reunaehdot.

Lisätietoa: 

Tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään henkilötietojen käsittelystä muuhun kuin alkuperäiseen tarkoitukseen. Käsittely muuhun kuin alkuperäiseen tarkoitukseen on mahdollista rekisteröidyn suostumuksella, käsittelyn mahdollistavan lainsäädännön nojalla tai jos myöhempi käsittely on yhteensopivaa alkuperäisen käsittelyn tarkoituksen kannalta. 

Kun kyse on yhteensopivista tarkoituksista, rekisterinpitäjän tulee pystyä osoittamaan, että myöhempi käsittely on aidosti yhteensopivaa alkuperäisen käsittelyn tarkoituksen kanssa ja että rekisteröidyn tietosuoja toteutuu kaikilta osin asianmukaisesti. Käyttötarkoituksen yhteensopivuutta arvioitaessa on otettava huomioon ainakin seuraavat seikat:

  • henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet
  • henkilötietojen keruun asiayhteys erityisesti rekisteröityjen ja rekisterinpitäjän välisen suhteen osalta
  • henkilötietojen luonne, erityisesti erityisten henkilötietoryhmien käsittely
  • aiotun myöhemmän käsittelyn mahdolliset seuraukset rekisteröidyille
  • asianmukaisten suojatoimien, kuten salaamisen tai pseudonymisoinnin, olemassaolo.

Jos käsittely on alkuperäisen käsittelyn tarkoituksen kanssa yhteensopivaa, ei tietosuoja-asetuksen johdanto-osan 50 perustelukappaleen mukaan alkuperäisen käsittelyn oikeuttaneen käsittelyperusteen lisäksi tarvita muuta erillistä käsittelyperustetta. Kysymys henkilötietojen myöhemmän käsittelyn yhteensopivuudesta kyseisten tietojen alkuperäisen keruun tarkoitusten kanssa herää vain siinä tapauksessa, että mainitun myöhemmän käsittelyn tarkoitukset eivät ole samat kuin alkuperäisen keruun tarkoitukset.

Lisätietoa: 

Euroopan unionin tuomioistuin piti ratkaisussa C-77/21 käyttötarkoitusten yhteensopivuutta koskevan arvioinnin kannalta merkityksellisenä konkreettista, loogista ja riittävän läheistä yhteyttä henkilötietojen alkuperäisen keruun tarkoituksen ja kyseisten tietojen myöhemmän käsittelyn välillä ja totesi, että näin voidaan varmistaa, että kyseinen myöhempi käsittely ei poikkea rekisteröityjen myöhempää tietojen käyttöä koskevista perustelluista odotuksista.

Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan henkilötietojen myöhempi käsittely yleisen edun mukaisia arkistointitarkoituksia varten katsotaan suoraan yhteensopivaksi alkuperäisten käsittelytarkoitusten kanssa. Tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten tapahtuva käsittely on vastaavalla tavalla säädetty yhteensopivaksi alkuperäisten käyttötarkoitusten kanssa. Näissä tilanteissa käsittelyn erillistä yhteensopivuusarviointia ei tarvitse tehdä. Edellytyksenä kuitenkin on, että tietosuoja-asetuksen suojatoimia noudatetaan asianmukaisesti. Suojatoimina voi käyttää esimerkiksi salausta, pseudonymisointia tai henkilötietojen aggregointia tilastolliselle tasolle. 

Varhaiskasvatuksessa, perusopetuksessa, lukiokoulutuksessa ja ammatillisessa koulutuksessa henkilötietoja käsitellään kasvatuksen tai koulutuksen järjestämiseksi ja toteuttamiseksi. Tietosuoja-asetuksen perusteella rekisterinpitäjän omassa toiminnassa muodostuneita kasvatus- ja koulutustietoja voidaan käsitellä tilastokäyttötarkoituksiin, koska se on yhteensopivaa alkuperäisen käyttötarkoituksen kanssa. Tilastokäyttötarkoituksia varten tapahtuvassa käsittelyssä on huomioitava myös kansallisen tietosuojalain 31 §:n sääntely. 

Lisätietoa: 

8.2 Tietojen luovutukset

Myös henkilötietojen luovuttaminen on henkilötietojen käsittelyä. Henkilötietojen luovuttamisesta on kyse, kun tietoja annetaan rekisterinpitäjältä toiselle ja samalla rekisterinpitäjälle kuuluva määräysvalta päättää tietojen käsittelystä siirtyy. Tietojen luovuttaminen on yleensä tietojen myöhempää käsittelyä toisia, alkuperäisistä tarkoituksista poikkeavia tarkoituksia varten. Tietosuoja-asetuksen 6 artiklan 4 kohdan mukaan myöhempi käsittely ilman suostumusta tai nimenomaista lainsäännöstä, joka sallisi kyseisen myöhemmän käsittelyn, on sallittua vain, jos se on yhteensopivaa alkuperäisen käsittelyn tarkoituksen kanssa. 

Tietosuojavaltuutettu totesi ratkaisussaan dnro 5242/157/2018, että rekisterinpitäjä voi julkisuuslain 26 §:n nojalla antaa sen järjestämisvelvollisuuden piiriin kuuluvien ja sen toimeksiannosta ja sen lukuun tuotettavien kuljetuspalvelujen toteuttamiseksi tarpeelliset asiakasta koskevat salassa pidettävät tiedot palvelujen tuottajille ilman asiakkaan suostumusta. Mikäli asiakas haluaa käyttää hänelle myönnettyjä kuljetuspalveluja, asiakasta koskevien tietojen antaminen kuljetuspalvelun tuottajille on välttämätöntä.

Tietosuoja-asetuksen mukaan henkilötietojen käsittelijä ei saa käsitellä tietoja muutoin kuin rekisterinpitäjän ohjeiden mukaisesti. Henkilötietojen käsittelijä ei omasta aloitteestaan saa myöskään käsitellä henkilötietoja omiin tarkoituksiinsa, ellei lainsäädäntö tällaiseen käsittelyyn velvoita. Esimerkiksi tietojärjestelmien analytiikkatyökalujen käytössä tapahtuvat luovutukset on katsottu oikeuskäytännössä lainvastaisiksi, kun viranomaiset ovat luovuttaneet tietoja laajasti myös kaupallisiin tarkoituksiin ilman yhteensopivia käyttötarkoituksia tai tunnistettuja käsittelyperusteita. 

Apulaistietosuojavaltuutettu katsoi päätöksessään dnro 4672/161/22, ettei kirjastoilla ollut lainmukaista henkilötietojen käsittelyperustetta kirjaston sivustolla seurantateknologioiden kautta kerättyjen henkilötietojen jatkokäsittelylle, vaan ne olivat käsitelleet näitä henkilötietoja esimerkiksi verkkosivujen kehittämistarkoituksessa ilman lainmukaista käsittelyperustetta. Seurantateknologioiden tallentamisen ja käyttämisen osalta sovellettavaksi tuli sähköisen viestinnän palveluista annetun lain 205 §. Apulaistietosuojavaltuutettu muistutti, että viranomaisten on harkittava tarkkaan, millaista seurantateknologiaa niiden verkkosivustoilla on tarpeellista olla ja voitaisiinko viranomaisen verkkopalvelua mahdollisesti tarjota ilman muita kuin sivuston toiminnan kannalta välttämättömiä evästeitä. Apulaistietosuojavaltuutettu korosti, että viranomaisen verkkopalveluita olisi lähtökohtaisesti voitava käyttää ilman, että tietoja verkkosivuvierailusta päätyy esimerkiksi kaupalliseen käyttöön.

Tanskan tietosuojaviranomainen Datatilsynet katsoi Google Workspace for Education -opetusohjelman käyttöä koskeneessa ratkaisussaan 2023-431-0001, että kuntien käyttämä käsittelyperuste oli riittävä seuraavia tarkoituksia varten: palvelujen, kuten Google Workspacen, tarjoaminen, kyseisen palvelun parantaminen ja luotettavuuden varmistaminen, viestintä esimerkiksi kuntien kanssa sekä lakisääteisten velvoitteiden noudattaminen. Tanskan tietosuojaviranomainen kuitenkin katsoi, ettei Tanskan perusopetuslaissa ollut riittävää käsittelyperustetta seuraaviin tarkoituksiin: Google Workspace for Education ‑palvelun, ChromeOS‑käyttöjärjestelmän ja Chrome‑selaimen ylläpito ja kehittäminen, suorituskyvyn mittaaminen sekä uusien ominaisuuksien ja palvelujen kehittäminen ChromeOS‑käyttöjärjestelmään ja Chrome‑selaimeen. 

Lisätietoa: 

8.3 Digitalisaatio palveluiden järjestämisessä ja toiminnan kehittämisessä

Henkilötietojen käsittelyn lainmukaisuuden varmistaminen korostuu erityisesti tilanteissa, joissa kunta hyödyntää digitaalisia tietojen käsittelytapoja sekä uusia teknologioita. Kunnissa on tällaisia toimintoja suunniteltaessa huolellisesti arvioitava, onko käsittelylle löydettävissä lainmukainen käsittelyperuste ja täyttyvätkö sekä tietosuojalainsäädännön että muun soveltuvan lainsäädännön vaatimukset. 

Ennen henkilötietojen käsittelyn aloittamista on määriteltävä käsittelyn käyttötarkoitus sekä arvioitava, onko henkilötietojen käsittely kyseisessä tarkoituksessa lainmukaista. Henkilötietojen käsittelylle on lisäksi tunnistettava käsittelyperuste, vaikka tarkoituksena ei varsinaisesti olisi henkilötietojen käsittely, vaan esimerkiksi toiminnan tehostaminen tai jonkin ilmiön tutkiminen. Jos henkilötietojen käsittelylle ei ole käsittelyperustetta, käsittelyä ei voi toteuttaa.

Jos henkilötietoja käsitellään tietosuoja-asetuksen 6 artiklan 1 kohdan c tai e alakohdan perusteella, tietosuoja-asetus edellyttää muun muassa, että henkilötietojen käsittelyperusteena olevan lainsäädännön on oltava riittävän täsmällistä ja ennakoitavaa. Kuntien on näin ollen pystyttävä osoittamaan käsittelyperuste, joka on tarpeeksi tarkkarajainen: pelkät yleisluonteiset toimivaltasäännökset eivät välttämättä ole tähän riittäviä. Se, mitä tarkoitetaan riittävällä ennakoitavuudella, on arvioitava tapauskohtaisesti. 

Kunta osallistui Ruotsin tietosuojaviranomaisen (IMY) tarjoamaan testiympäristöön (ns. hiekkalaatikko, regulatory sandbox) arvioidakseen, miten tekoälypohjaista litterointipalvelua voidaan käyttää kunnan sosiaalipalveluissa toiminnan tehostamiseksi ja laadun parantamiseksi. Kunta oli ilmoittanut, että suunnitellun käsittelyn tarkoituksena on dokumentoida tehokkaasti ja oikeusturva huomioiden, mitä yksittäisiä henkilöitä koskevissa sosiaalipalveluasioissa ja muiden osapuolten kanssa käydyissä keskusteluissa ilmenee. IMY julkaisi huhtikuussa 2026 raportin dnro IMY-2026-6527, jossa kysymystä tarkasteltiin muun muassa käsittelyperusteiden näkökulmasta. 

IMY katsoi, että kyse on tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdassa tarkoitetusta yleistä etua koskevasta tehtävästä, koska dokumentointi on kunnalle pakollinen tehtävä. Koska dokumentointi tapahtuu yksittäisiä asioita koskevien päätösten valmistelun yhteydessä, käsittely voi IMY:n mukaan olla myös osa julkisen vallan käyttöä 6 artiklan 1 kohdan e alakohdan mukaisesti. IMY piti dokumentointivelvollisuutta lisäksi julkisoikeudellisena velvoitteena, minkä vuoksi myös 6 artiklan 1 kohdan c alakohtaa voidaan IMY:n mukaan soveltaa. IMY katsoi, että dokumentointivaatimukset, joita käsittelyllä pyritään täyttämään, ovat laajoja ja suhteellisen yksityiskohtaisia. IMY:n arvion mukaan käsittelyperuste on pääosin riittävän selkeä, täsmällinen ja ennakoitava, jotta se voi toimia suunnitellun henkilötietojen käsittelyn perustana. Oikeudellista perustaa ei siis edellytetä käytetylle teknologialle, vaan tehtävälle itselleen. 

Lisätietoa: 

Hollannissa tietosuojaviranomainen arvioi kaupungin menettelyä mitata kaupungin keskustan ruuhkaisuutta sensorien avulla. Katujen varsille oli asennettu sensoreita, jotka havaitsivat ohikulkijoiden matkapuhelimien Wi-Fi-signaaleja. Jokainen puhelin rekisteröitiin erikseen ja sille annettiin yksilöllinen tunnus. Tämän avulla voitiin mitata kadun ruuhkaisuutta laskemalla, kuinka monta puhelinta oli sensorin läheisyydessä tiettynä ajankohtana. Tietosuojaviranomainen katsoi ratkaisussaan, ettei kunta voinut perustaa henkilötietojen käsittelyä tietosuoja-asetuksen 6 artiklan 1 kohdan c tai e alakohtaan. Tietosuojaviranomaisen mukaan kuntien lainsäädännössä väljästi määritellyt tehtävät eivät muodostaneet riittävän täsmällistä ja selkeää perustaa tapauksessa arvioidulle henkilötietojen käsittelylle. Kunta oli viitannut käsittelyn perusteena kuntien laaja-alaiseen tehtäväkenttään. 

Lisätietoa: 

Kaikki uudet käyttötarkoitukset, käsittelytoimet ja uusien teknologioiden käyttöönotot on arvioitava kunnassa erikseen. Myös käyttötarkoitussidonnaisuuden periaate asettaa rajoituksia sille, miten henkilötietoja voidaan käsitellä. Arvioinnissa on varmistettava, että uusi käyttötarkoitus on linjassa kunnan alkuperäisten käyttötarkoitusten kanssa. Lisäksi on otettava huomioon muun muassa kuntalaisten kohtuulliset odotukset: mitä vähemmän kuntalaiset voivat perustellusti olettaa, että heidän henkilötietojaan käytetään myös muihin tarkoituksiin, sitä epätodennäköisempää on, että uutta käsittelyä voidaan pitää alkuperäisen käyttötarkoituksen kanssa yhteensopivana. Kuntalaisten kohtuulliset odotukset on arvioitava niin uusien teknologioiden käyttöönotossa kuin esimerkiksi suunnitellessa henkilötietojen yhdistämistä uusilla tavoilla. 

Käsittelyn on oltava tarpeellista ja oikeasuhtaista suhteessa tavoiteltuun tarkoitukseen, ja käsiteltävien tietojen määrän tulee rajoittua siihen, mikä on tarkoituksen kannalta välttämätöntä. Tarpeellisuusvaatimuksen osalta esimerkiksi Ruotsin tietosuojaviranomainen IMY on verkkosivuillaan todennut, että teknisten apuvälineiden käyttö sekä henkilötietojen automaattinen käsittely katsotaan nykyään pääsääntöisesti tarpeelliseksi. Käytännössä tarpeellisuusvaatimus voi erityisesti yleistä etua koskevan käsittelyperusteen yhteydessä muodostua varsin laajaksi, koska henkilötietoja ja käsittelyteknologioita voitaisiin käyttää lähes kaiken toiminnan optimointiin. Henkilötietoja ei saa käsitellä, jos käsittelyn tarkoitus on mahdollista toteuttaa anonyymeillä tiedoilla.

Lisätietoa: 

  • Ruotsin tietosuojaviranomainen IMY: Lawful grounds for personal data processing
  • Hollannin tietosuojaviranomainen Autoriteit Persoonsgegevens: Smart Cities. Investigation Report on the Protection of Personal Data in the Development of Dutch Smart Cities
  • Christofi, Wauters & Valcke, Smart Cities, Data Protection and the Public Interest Conundrum: What Legal Basis for Smart City Processing? European Journal of Law and Technology 2021
  • Koskinen, Knaapi-Junnila & Selkälä, Use of Personal Data in the Public Sector Under the Current EU Data Regulation and Beyond – the Need for Clarifying Legal, Practical and Ethical Bases 2025
  • Faisal, Applying the Purpose Limitation Principle in Smart-City Data-Processing Practices: A European Data Protection Law Perspective, Communication Law and Policy 2023 
Julkaisun etusivulle