11.1 Rekisteröidyn oikeuksista poikkeaminen

Rekisteröidyn oikeuksien toteuttaminen on lähtökohta. Rekisterinpitäjä saa rajoittaa tai olla toteuttamatta rekisteröidyn oikeutta vain, jos rajoittamiselle on nimenomainen oikeudellinen peruste tietosuoja-asetuksessa, tietosuojalaissa tai muussa sovellettavassa lainsäädännössä tai jos oikeuden toteuttamisen edellytykset eivät täyty, esimerkiksi jos rekisteröidyn henkilöllisyyttä ei pystytä luotettavasti varmistamaan. Pelkkä pyynnön toteuttamisesta aiheutuva työmäärä, kustannus tai muu organisatorinen rasite ei oikeuta kieltäytymään pyynnön käsittelystä.

Jos rekisterinpitäjä kieltäytyy toteuttamasta pyynnön kokonaan tai osittain, sen on annettava rekisteröidylle perusteltu vastaus ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta. Samalla rekisteröidylle on ilmoitettava käytettävissä olevista oikeussuojakeinoista. Esimerkkivastaus löytyy tämän ohjeen liitteestä 4.

11.2 Muutoksenhakuosoitus

Mikäli rekisteröidyn oikeuksia koskeva pyyntö rajataan tai evätään, rekisteröidyllä on aina oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi. Jos asiassa on tehty hallintopäätös, on rekisteröidyllä sen lisäksi oikeus viedä asia hallinto-oikeuden ratkaistavaksi. Nämä keinot eivät ole toistensa poissulkevia ja voivat olla samaan aikaan käytössä. 

Rekisteröityä on informoitava oikeudesta saattaa asia tietosuojavaltuutetun käsiteltäväksi. Lisäksi, jos asiassa on tehty hallintopäätös, päätökseen on liitettävä valitusosoitus hallinto-oikeuteen. 

Ratkaisussaan 2020:72 KHO totesi seuraavasti: Jokaisella rekisteröidyllä on siten oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimessa, jos hän katsoo, että hänen mainittuun asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu mainittua asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä valitus valvontaviranomaiselle. 

Rekisteröidyllä on näin katsottava olevan oikeus myös valittaa viranomaisen asemassa olevan rekisterinpitäjän yleisen tietosuoja-asetuksen 15 artiklaa soveltaen tekemästä tiedonsaantioikeuden epäämistä koskevasta päätöksestä suoraan hallinto-oikeudelle. 

Näin ollen, kun tietosuoja-asetuksen mukainen pyyntö jätetään kokonaan tai osittain toteuttamatta, tulee rekisteröidylle kertoa, paitsi mahdollisuudesta valittaa asiasta tietosuojavaltuutetulle, myös mahdollisuudesta saada asiasta muutoksenhakukelpoinen päätös. Jos rekisteröity niin haluaa, tehdään pyynnön toteuttamatta jättämisestä hallintopäätös, johon liitetään valitusosoitus hallinto-oikeuteen.   

Huomioitava on, että rekisteröidyn oikeuksien toteuttaminen tietosuojasääntelyn nojalla ei vaadi rekisteröidyiltä oikeustoimikelpoisuutta, joten myös esimeriksi lapsi voi viedä asiansa tietosuojavaltuutetun käsiteltäväksi. Sen sijaan hallinto valituksen tekeminen edellyttää oikeustoimikelpoisuutta.

11.3 Muiden muutoksenhakuoikeus

Tietosuojalainsäädännön mukainen oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi on ainoastaan rekisteröidyllä tai rekisteröidyn puolesta toimivalla taholla. Hallintopäätöksestä saa valittaa paitsi rekisteröity itse myös muut asianosaiset asiassa. Asianosainen on henkilö, johon päätös on kohdistettu tai jonka oikeuteen, velvollisuuteen tai etuun päätös välittömästi vaikuttaa. Siten, jos rekisteröidyn pyynnön johdosta esimerkiksi luovutetaan myös toisen henkilön tietoja tai evätään pääsy toisen henkilön tietoihin, on tällä henkilöllä hallintopäätöksen johdosta myös valitusoikeus päätökseen. 

Viranomaisen on tilanteissa, joissa rekisteröidyin pyynnön johdosta myös muiden tietoja käsitellään ja mahdollisesti luovutetaan, huomioitava hallintolain säännöksiä asianosaisen oikeuksista. Jos pyynnön käsittely viranomaisessa vaikuttaa toisen henkilön oikeuksiin, etuihin tai velvollisuuksiin on viranomaisen kuultava tätä henkilöä asian valmisteluvaiheessa. Näissä tilanteissa on perusteltua viranomaisen oma-aloitteisesti tehdä myös myönteisestä rekisteröidyn tarkastusoikeuden toteutuksesta muutoksenhakukelpoinen hallintopäätös, jotta muiden asianosaisten oikeusturva voidaan turvata.

Lisätietoa: 

• Kuntaliitto: Muutoksenhakuopas 2025

11.4 Muutoksenhakuoikeus tietosuoja-asetuksen ja julkisuuslain törmäystilanteissa

Joskus voi olla epäselvää, viittaako viranomaiseen yhteydessä ollut henkilö tarkastusoikeuteen tietosuoja-asetuksen nojalla vai tietojen pyytämiseen julkisuulain perusteella. Tarvittaessa tietojen pyytäjää tulee neuvoa asiassa. Erityisesti jos pyynnöstä kieltäydytään, on pyytäjältä hyvä varmistaa, kumman lain nojalla hän on pyynnön tehnyt, mikäli asiasta on epäselvyyttä. Henkilöllä on myös oikeus esittää pyyntönsä sekä tietosuoja-asetuksen että julkisuuslain nojalla, jolloin viranomaisen, kuten yllä mainitussa ratkaisussa KHO 2020:72, tulee käsitellä pyyntöä sekä tietosuoja-asetuksen että julkisuuslain mukaisesti. 

11.5 Jatkovalitukset

Tietosuojavaltuutetun päätöksiin haetaan muutosta valittamalla hallinto-oikeuteen. Hallinto-oikeuden päätöksestä saa valittaa korkeimmalle hallinto-oikeudelle, jos korkein hallinto-oikeus myöntää valitusluvan.