6.1 Lakisääteinen velvoite

Henkilötietojen käsittely tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan nojalla on lainmukaista, jos se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Lakisääteinen velvoite on henkilötietojen käsittelyperusteena suppeampi käsite kuin kunnan lakisääteinen tehtävä: lakisääteinen velvoite edellyttää, että toimijalle on tehtäväänsä liittyen säädetty nimenomaisia velvoitteita. 

Lakisääteisen velvoitteen tulee perustua Euroopan unionin tai kansalliseen lainsäädäntöön. Kyseeseen voivat tulla myös lakia alemman asteiset säännökset ja määräykset. Jotta lakisääteinen velvoite soveltuu käsittelyperusteeksi, WP29-tietosuojatyöryhmän tulkintaohjeiden 6/2014 (Lausunto direktiivin 95/46/EY 7 artiklan mukaisesta rekisterinpitäjän oikeutetun intressin käsitteestä WP217) mukaan myös kaikkien seuraavien edellytysten on täytyttävä:

• Velvoite on riittävän selvä sen edellyttämän henkilötietojen käsittelyn suhteen.
• Velvoite on sitova. Rekisterinpitäjällä ei saa olla valinnanvaraa sen suhteen, noudattaako se velvoitetta vai ei, eikä kohtuutonta harkinnanvaraa siinä, miten se noudattaa velvoitetta.
• Velvoite täyttää kaikki tietosuojalainsäädännön vaatimukset, mukaan lukien tarpeellisuus, oikeasuhteisuus ja käyttötarkoitussidonnaisuus.
• Säännöksessä viitataan nimenomaisesti käsittelyn luonteeseen ja tavoitteeseen.

Lakisääteisen velvoitteen käsittelyperustetta on tulkittava suppeasti. Jos edellä mainitut edellytykset eivät täyty, henkilötietojen käsittely ei voi perustua tähän käsittelyperusteeseen, vaan käsittelylle on löydettävä muu käsittelyperuste. Kuntien toiminnassa tämä peruste on usein tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta (yleinen etu tai julkisen vallan käyttö), koska kunnan toiminta tähtää lähtökohtaisesti yleiseen etuun. 

Euroopan unionin tuomioistuimen asiassa C-184/20 antaman ratkaisun 85 kohdan mukaan henkilötietojen käsittely voi perustua tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, jos käsittelyn tavoitteita ei voida kohtuullisesti saavuttaa yhtä tehokkaasti muilla toimenpiteillä, joilla loukataan vähemmän rekisteröidyn yksityiselämän kunnioitusta ja henkilötietojen suojaa koskevia oikeuksia. Lisäksi Euroopan unionin tuomioistuimen asiassa C-252/21 antaman ratkaisun 138 kohdan mukaan henkilötietojen käsittelyn tulee olla tosiasiallisesti tarpeen lakisääteisen velvoitteen noudattamiseksi ja käsittely on suoritettava täysin välttämättömän rajoissa.

Lakisääteisen velvoitteen sisältöä on käsitelty myös kansallisessa oikeuskäytännössä. Korkein hallinto-oikeus arvioi ratkaisussaan KHO 2025:29 henkilötietojen käsittelyperustetta sähköisellä opetusalustalla osana perusopetuksen järjestämistä. Ratkaisussa korkein hallinto-oikeus totesi, että perusopetuslain 4 §:n ja Opetushallituksen määräysten voidaan katsoa muodostavan selkeän ja täsmällisen perusteen sellaiselle henkilötietojen käsittelylle, joka on välttämätöntä opetusohjelman sovellusten käyttämiselle niiden tavanomaista käyttötarkoitusta vastaavalla tavalla. Tällaista henkilötietojen käsittelyä perusopetuksessa voidaan KHO:n mukaan pitää myös ennakoitavissa olevana. Korkein hallinto-oikeus ei kuitenkaan ottanut ensi asteena ratkaistavakseen, miltä osin kysymyksessä olleelta henkilötietojen käsittelyltä mahdollisesti puuttui tietosuoja-asetuksen mukainen peruste.

KHO 2025:29: Kaupunki oli ottanut perusopetuksessa käyttöön sähköisen opetusalustan. Kaupungin mukaan tähän liittyvä henkilötietojen käsittelyn peruste oli tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta, sillä käsittely oli tarpeen kaupungin lakisääteisen velvoitteen noudattamiseksi eli perusopetuksen järjestämiseksi.

Tietosuojavaltuutettu oli katsonut, että kaupungin esittämä käsittelyperuste ei tullut asiassa sovellettavaksi. Tietosuojavaltuutettu ei ollut katsonut perusopetusta koskevan sääntelyn voivan muodostaa kaupungille sellaista lakisääteistä velvoitetta, jonka noudattamiseen henkilötietojen käsittely sähköisellä opetusalustalla olisi voinut osaksikaan perustua. Hallinto-oikeus oli hylännyt kaupungin valituksen.

Korkein hallinto-oikeus katsoi, että perusopetusta koskeva sääntely voi sinänsä muodostaa kaupungille sellaisen lakisääteisen velvoitteen, jonka noudattamiseen henkilötietojen käsittely sähköisellä opetusalustalla voi lähtökohtaisesti perustua. Tietosuojavaltuutetun ja hallinto-oikeuden päätökset olivat siten virheellisiä siltä osin kuin ne olivat perustuneet toisenlaiseen lähtökohtaan. Muillakaan päätöksissä esitetyillä perusteilla ei ollut voitu katsoa, että tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta ei tule asiassa miltään osin sovellettavaksi.

Kun henkilötietojen käsittely perustuu rekisterinpitäjän lakisääteisen velvoitteen noudattamiseen, rekisterinpitäjällä on lähtökohtaisesti harkintavaltaa sen suhteen, millä käytännön järjestelyillä ja välineillä käsittely toteutetaan. Lainsäädäntö velvoittaa tunnistamaan käsittelyperusteen, mutta se ei yleensä yksityiskohtaisesti määritä, millä teknisillä ratkaisuilla tai menettelytavoilla käsittely suoritetaan. Tämän vuoksi rekisterinpitäjä voi lakisääteisen velvoitteenkin puitteissa pääsääntöisesti valita tarkoituksenmukaiset keinot, kunhan henkilötietojen käsittely on tarpeen velvoitteen toteuttamiseksi ja muita tietosuojalainsäädännön vaatimuksia noudatetaan. 

6.2 Yleistä etua koskevan tehtävän suorittaminen tai julkisen vallan käyttäminen

Henkilötietojen käsittely on lainmukaista tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan nojalla, jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi. Myös yleistä etua koskeva tehtävä tai julkinen valta on täytynyt antaa lailla tai muilla oikeudellisilla säännöksillä. Käsittelyperuste muistuttaa lakisääteistä velvoitetta, koska molemmissa käsittely nojaa lainsäädäntöön. 

Vaikka tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdassa erotellaan yleistä etua koskevan tehtävän suorittaminen ja julkisen vallan käyttäminen toisistaan, julkisen vallan käyttäminen ja yleistä etua koskevan tehtävän suorittaminen eivät ole läheskään aina tosiasiallisesti eroteltavissa toisistaan silloin, kun kyse on kuntien suorittamasta henkilötietojen käsittelystä. Kun kunnassa hoidetaan lailla säädettyjä tehtäviä, useimmiten kyse on yleisen edun toteuttamisesta. Näin on myös tilanteissa, joissa kunnassa käytetään julkista valtaa. Julkisen vallan käytössä voidaan siten katsoa olevan kyse myös yleistä etua koskevan tehtävän suorittamisesta. Sen sijaan yleistä etua koskevan tehtävän suorittaminen ei sisällä aina julkisen vallan käyttöä, vaan on sisällöltään laajempi.

WP29-tietosuojatyöryhmän tulkintaohjeiden 6/2014 (WP217) mukaan käsittelyperuste kattaa tilanteet, joissa rekisterinpitäjällä on yleiseen etuun liittyvä tehtävä tai julkista valtaa, mutta ei nimenomaista velvollisuutta käsitellä tietoja. Käsittelyperuste soveltuu sekä kunnan lakisääteisiin että yleiseen toimialaan kuuluviin tehtäviin, jos kunnalla on esimerkiksi harkintavaltaa palvelujen toteuttamistapaan ja laajuuteen. Jos kunnalle on säädetty tehtäväänsä liittyen myös nimenomaisia velvoitteita, käsittelyperuste on tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan lakisääteinen velvoite.

Tietosuojalain 4 § täydentää tietosuoja-asetuksen sääntelyä mahdollistamalla henkilötietojen käsittelyn tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaisesti silloin, kun se on tarpeen ja oikeasuhtaista viranomaisen yleisen edun mukaisessa toiminnassa. Säännöksen tarkoituksena on mahdollistaa viranomaisten toimesta tapahtuva henkilötietojen käsittely silloin, kun oikeutta käsittelyyn ei voida suoraan johtaa viranomaista koskevasta tehtävä- ja toimivaltasäännöksestä eikä mahdollisesta yksityiskohtaisemmasta erityissääntelystä (HE 9/2018 vp, s. 79).

Kunta voi käsitellä henkilötietoja yleisen edun perusteella esimerkiksi seuraavissa tilanteissa:

• Henkilötietoja käsitellään alun perin lakisääteisen velvoitteen noudattamiseksi, mutta kunta järjestää, hoitaa tai tuottaa palvelua laajemmin kuin mihin laki edellyttää. Ylimenevä käsittely perustuu yleiseen etuun.
• Henkilötietoja käsitellään kunnan vapaaehtoisissa tehtävissä, kunnan yleiseen toimialaan ja kunnan tehtäviin liittyen. 
• Kunta luovuttaa vapaaehtoisesti henkilötietoja toiselle rekisterinpitäjälle tämän julkisen valtaan kuuluvan tehtävän hoitamista varten.
• Kunta huolehtii tietyn julkisen palvelun järjestämisestä ja sillä on tulevaisuudessa tarve kehittää kyseistä palvelua. Palvelun kehittäminen perustuu yleiseen etuun, jos myöhempi käsittely on yhteensopivaa alkuperäisen käyttötarkoituksen kanssa ja siinä on kyse viranomaisen yleistä etua koskevan tehtävän suorittamisesta. (HE 9/2026 vp, s. 12)

Rajanveto lakisääteisen velvoitteen ja yleisen edun välillä riippuu tehtävän luonteesta. Rajanveto eri käsittelyperusteiden välillä voi kuntasektorilla olla hankalaa, ja on myös mahdollista, että käsittelylle tunnistetaan päällekkäiset käsittelyperusteet. Kunnassa palvelukokonaisuus voi esimerkiksi käsittää sekä kunnan sellaisia lakisääteisiä tehtäviä, joissa henkilötietoja käsitellään lakisääteisen velvoitteen tai yleisen edun perusteella, että näihin tehtäviin liittyviä vapaaehtoisia lisäpalveluja, joiden osalta käsittely nojaa puhtaasti yleiseen etuun.

Ohjaavia kysymyksiä lakisääteistä velvoitetta sekä yleistä etua koskevan tehtävän suorittamista ja julkisen vallan käyttämistä koskevien käsittelyperusteiden väliseen rajanvetoon: 

• Minkälaisesta kunnan tehtävästä on kyse?
• Säännelläänkö tehtävien yhteydessä nimenomaisesti henkilötietojen käsittelystä tiettyä tarkoitusta varten?
• Onko säännös velvoittava vai mahdollistava, ja kuinka laaja harkintavalta kunnalle jää tehtävän toteuttamisessa ja henkilötietojen käsittelyssä?

Kunnan julkisissa työvoima- ja yrityspalveluissa syntyvien tai käsiteltävien asiakastietojen kannalta keskeinen on 6 artiklan 1 kohdan c alakohdassa säädetty edellytys, jonka mukaan käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Sen sijaan kunnan vapaaehtoisissa, yleiseen toimialaan kuuluvissa työllistämistä tukevissa palveluissa henkilötietojen käsittely perustuu lähtökohtaisesti 6 artiklan 1 kohdan e alakohtaan. 

Julkisia asiakirjoja luovuttaessa henkilötietojen käsittely voi kuulua sekä 6 artiklan 1 kohdan c alakohdan että e alakohdan alaan. Kun julkisuuslain mukainen tietopyyntö koskee myös henkilötietoja ja kun henkilötietoja luovutetaan pyynnön esittäneelle henkilölle julkisuuslain nojalla, kyse on lakisääteisen velvoitteen noudattamisesta. Tietosuoja-asetuksen johdanto-osan 154 perustelukappaleen mukaan virallisten asiakirjojen julkisuutta voidaan pitää myös yleisenä etuna. 

6.3 Sopimus

Henkilötietojen käsittely on lainmukaista tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdan nojalla, jos käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. 

Sopimusta ei ole lähtökohtaisesti pidetty mahdollisena käsittelyperusteena viranomaistoiminnassa. (Ks. esim. HE 106/2026 vp, s. 13) Kunnan ja rekisteröidyn suhteessa on yleensä kyse julkisen vallan käytöstä ja hallintotoiminnasta, johon yleensä soveltuvat ohjeessa edellä mainitut käsittelyperusteet (lakisääteinen velvoite sekä yleistä etua koskevan tehtävän suorittaminen ja julkisen vallan käyttäminen) sopimusta paremmin.

WP29-tietosuojatyöryhmän tulkintaohjeiden 6/2014 (WP217) mukaan säännös kattaa ensinnäkin tilanteet, joissa käsittely on tarpeen sellaisen sopimuksen täyttämiseksi, jossa rekisteröity on osapuolena. Säännöstä on tulkittava suppeasti, eikä se kata tilanteita, joissa käsittely ei ole aidosti tarpeen sopimuksen täytäntöön panemiseksi vaan pikemminkin rekisterinpitäjän yksipuolisesti rekisteröidylle määräämää. On tärkeää määritellä sopimuksen tarkka tarkoitus eli sen sisältö ja perustavoite, koska tämän perusteella arvioidaan, onko tietojenkäsittely tarpeen sopimuksen täytäntöön panemiseksi. Toiseksi säännös kattaa myös käsittelyn, joka tapahtuu ennen sopimuksen tekemistä. Tämä kattaa sopimusta edeltävät suhteet, edellyttäen, että toimenpiteitä toteutetaan rekisteröidyn pyynnöstä eikä rekisterinpitäjän tai jonkin kolmannen osapuolen aloitteesta.

6.4 Suostumus

Suostumuksella voidaan tarkoittaa ainakin kolmea eri asiaa liittyen henkilötietojen käsittelyyn:

• Suostumus käsittelyperusteena
• Suostumus henkilötietojen käsittelyn suojatoimena
• Suostumus salassa pidettävien tietojen luovuttamiseen julkisuuslain näkökulmasta

Suostumuksella ei aina tarkoiteta varsinaista henkilötietojen käsittelyperustetta, vaan joskus sillä tarkoitetaan keinoa turvata rekisteröidyn asemaa tai mahdollistaa tietojen käsittely tilanteessa, jossa lainsäädäntö muuten rajoittaisi sitä. Näissä tilanteissa käsittely perustuu johonkin muuhun käsittelyperusteeseen, kuten lakisääteiseen velvoitteeseen, mutta rekisteröidyn suostumus toimii lisäsuojana tai rekisterinpitäjän näkökulmasta keinona vahvistaa rekisteröidyn suojaa ja määräysvaltaa henkilötietojen käsittelyssä. 

Kyse voi esimerkiksi olla tietojen luovuttamisesta tai käsittelystä tilanteessa, jossa lainsäädäntö vaatii erityisiä suojakeinoja käsittelyn mahdollistamiseksi, taikka tutkimus- tai kehittämistoiminnassa eettisestä tai menettelyllisestä suojasta. Näin käytettynä suostumus ei ratkaise henkilötietojen käsittelyn lainmukaisuutta, mutta toimii rekisteröidyn kannalta suojatoimena. 

Lisäksi julkisuuslaissa viitataan suostumukseen tietojen luovuttamisen yhteydessä. Julkisuuslain mukaan salassa pidettävä tieto voidaan pääsääntöisesti luovuttaa, jos se, jonka suojaksi salassapito on säädetty, antaa suostumuksensa. Tämä ei ole tietosuoja-asetuksen mukainen henkilötietojen käsittelyperuste, vaan peruste poiketa salassapitosäännöksestä. 

Valtiovarainministeriö on asettanut työryhmän selvittämään, millaisin oikeudellisin edellytyksin ja reunaehdoin suostumukseen perustuvia tiedonluovutuksia voitaisiin edistää. Työryhmä arvioi myös, tarvitaanko tätä varten muutoksia lainsäädäntöön. Lisätietoa: Valtiovarainministeriö: Työryhmä selvittää tiedon luovuttamiseen liittyvän suostumustenhallinnan oikeudellisia edellytyksiä 

Suostumus käsittelyperusteena

Suostumus ei lähtökohtaisesti tule kyseeseen tietosuoja-asetuksen mukaisena henkilötietojen käsittelyperusteena viranomaistoiminnassa.​ Tietosuoja-asetuksen johdanto-osan 43 perustelukappaleen mukaan suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa. Kunta ei siten pääsäännön mukaan käsittele henkilötietoja tehtäviinsä liittyen suostumuksen nojalla. 

Tietosuoja-asetus asettaa pätevälle suostumukselle useita vaatimuksia. Tietosuoja-asetuksen 4 artiklan 11 kohdan mukaan rekisteröidyn suostumuksella tarkoitetaan vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen. Suostumuksen edellytyksistä säädetään lisäksi tietosuoja-asetuksen 7 artiklassa. Säännöksen mukaan rekisteröidyllä on muun muassa oikeus peruuttaa suostumuksensa milloin tahansa, ja peruuttamisen on oltava yhtä helppoa kuin suostumuksen antaminen. Rekisterinpitäjän, joka käyttää suostumusta käsittelyperusteena, on pystyttävä osoittamaan, että annettu suostumus on pätevä. 

Kunnan kannalta suostumus voi poikkeuksellisesti soveltua käsittelyperusteena toiminnassa, joka ei ole kunnan ydintoimintaa eikä viranomaistoimintaa ja joka on aidosti vapaaehtoista rekisteröidylle. Suostumuksen antamatta jättäminen ei saa aiheuttaa haittaa rekisteröidylle.

On kuitenkin huomioitava, että suostumuksenkaan perusteella kunta ei voi käsitellä tietoja tarkoitukseen, joka on kunnan toimialan ulkopuolella eli tehtävään, johon kunnalla ei ole toimivaltaa. Kunta esimerkiksi ei voi viranomaisena harjoittaa kaupallista markkinointia, joten suostumuksellakaan kunta ei voi käsitellä tietoja markkinointitarkoituksiin. 

Lisätietoa: 

• Tietosuojavaltuutetun toimisto: Rekisteröidyn suostumus 
• Euroopan tietosuojaneuvosto: Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020 
• Kuntalehti: Onko markkinointi viranomaistoimintaa?

Suostumus suojatoimena

Suostumus voi toimia henkilötietojen käsittelyssä suojatoimena joko rekisterinpitäjän oman harkinnan perusteella tai lainsäädännön sitä edellyttäessä. Tietosuoja-asetus velvoittaa rekisterinpitäjää toteuttamaan asianmukaiset ja tehokkaat tekniset ja organisatoriset toimenpiteet, joilla varmistetaan henkilötietojen käsittelyn lainmukaisuus. Näiden velvoitteiden puitteissa rekisterinpitäjä voi tapauskohtaisesti käyttää suostumusta täydentävänä suojatoimena vahvistaakseen rekisteröityjen asemaa.

Kunnallisessa toiminnassa suostumuksen käyttö suojatoimena voi tulla kyseeseen esimerkiksi silloin, kun henkilötietoja käsitellään alkuperäisestä käyttötarkoituksesta poikkeavaan mutta sen kanssa yhteensopivaan tarkoitukseen tai kun henkilötietojen käsittelyssä otetaan käyttöön uusia tai kokeellisia teknologisia ratkaisuja.

Suojatoimena toimivasta suostumuksesta säädetään myös erityislainsäädännössä. Suojatoimena toimivaan suostumukseen ei sovelleta tietosuoja-asetuksen säännöksiä pätevän suostumuksen edellytyksistä. Suostumuksen antamisen ja peruuttamisen tapaa voidaan kuitenkin säännellä kansallisessa laissa (ks. esim. HE 102/2025 vp) 

Työvoimapalveluiden järjestämisessä annetun lain (380/2023) 116 §:n 4 momentissa säädetään palveluntuottajan oikeudesta saada salassapitosäännösten estämättä työvoimaviranomaiselta ja henkilöasiakasta koskevat tiedot, jotka ovat välttämättömiä palvelun tuottamiseksi ja toteuttamiseksi. Säännöksen mukaan asiakkaan terveydentilaa koskevien tietojen luovuttaminen palveluntuottajalle on mahdollista vain, jos asiakas antaa tietojen luovuttamiseen yksilöidyn kirjallisen suostumuksen. Lain perustelujen (HE 207/2022 vp) mukaan asiakkaan antamassa suostumuksessa olisi kyse suojatoimesta. Käytännössä tämä tarkoittaa, että palveluntuottajan oikeus käsitellä tietoja perustuu lain säännökseen, ei suostumukseen. 

Suostumus salassa pidettävien tietojen luovuttamiseen julkisuuslain näkökulmasta

Julkisuuslain 26 §:n mukaan viranomainen voi antaa salassa pidettävästä viranomaisen asiakirjasta tiedon, jos se, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, antaa siihen suostumuksensa. Suostumus voi siten toimia perusteena luovuttaa salassa pidettävää tietoa julkisuuslain nojalla. 

Vaikka julkisuuslain mukaan esimerkiksi toisen viranomaisen tiedonsaantioikeus voi perustua kohdehenkilön suostumukseen, ei suostumus lähtökohtaisesti sovellu vastaanottavan viranomaisen perusteeksi käsitellä henkilötietoja viranomaistoiminnassa tietosuoja-asetuksen mukaan. Julkisuuslain 16 §:n 3 momentin mukaan tietoja viranomaisen henkilörekisteristä saa lähtökohtaisesti antaa, jos luovutuksensaajalla on tietosuojalainsäädännön mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Henkilötietoja saa kuitenkin luovuttaa suoramarkkinointia ja mielipide- tai markkinatutkimusta varten vain, jos niin erikseen säädetään tai jos rekisteröity on antanut siihen suostumuksensa. Tämä tarkoittaa, että julkisuuslain 26 §:ssä tarkoitetun suostumuksen lisäksi luovutuksesta vastuussa olevan rekisterinpitäjän pitää lisäksi selvittää, minkä käsittelyperusteen perusteella luovutuksensaajalla on oikeus käsitellä pyydettyjä tietoja. 

Viranomaisten välisen tiedonvaihdon näkökulmasta lähtökohta on, että salassa pidettävien tietojen luovutuksista viranomaisten välillä tulee säätää laissa aina erikseen. Tietojen luovuttaminen suostumuksen perusteella on mahdollista vain rajatuissa tilanteissa, joissa tietojen luovuttaminen on asiakkaan edun mukaista – esimerkiksi jos tiedon luovuttaminen voisi edesauttaa jonkin palvelun tai etuuden saantia. Suostumuksen tiedon luovuttamiseen tulee täyttää tietosuoja-asetuksen mukaiset vaatimukset. Suostumusta ei tule käyttää laajasti salassa pidettävien asiakkaan tietojen luovuttamiseen viranomaisten välillä.

6.5 Oikeutettu etu

Tietosuoja-asetuksen mukaan oikeutettua etua koskevaa käsittelyperustetta ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä. Tietosuoja-asetuksen johdanto-osan 47 perustelukappaleen mukaan rajoituksen syynä on se, että lainsäätäjän tehtävä on vahvistaa lailla käsittelyperuste, joiden nojalla viranomaiset voivat käsitellä henkilötietoja. Oikeutetun edun mukainen käsittelyperuste jättää ”oikeutetun edun” määrittämisen yksittäiselle rekisterinpitäjälle. Pääsääntöisesti kuntien suorittama tietojenkäsittely liittyy niiden laissa säädettyihin tehtäviin ja toimivaltuuksiin. 

Euroopan tietosuojaneuvosto on 11.10.2024 julkaissut julkiselle kuulemiskierrokselle tulkintaohjeluonnoksen 1/2024 henkilötietojen käsittelystä oikeutetun edun perusteella (Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR). Lopullista, julkisen kuulemiskierroksen jälkeistä ohjetta ei ole tämän ohjeen kirjoitushetkellä julkaistu. Ohjeluonnoksessa on käsitelty lyhyesti sitä, missä määrin oikeutettu etu soveltuu viranomaisten suorittaman henkilötietojen käsittelyperusteeksi. Ohjeluonnoksen mukaan oikeutettuun etuun ei voi nojata käsittelyperusteena, jos käsittely liittyy viranomaisten lakisääteisten tehtävien hoitamiseen. Oikeutettuun etuun voidaan kuitenkin ohjeluonnoksen mukaan nojata poikkeuksellisissa ja rajatuissa tapauksissa, kun käsittely ei liity eikä kohdistu viranomaisen erityisten tehtävien hoitamiseen tai julkisen vallan käyttöön, vaan sellaisiin muihin toimintoihin, jotka ovat kansallisen oikeusjärjestelmän mukaan sallittuja ja laillisia. 

Tietosuoja-asetus ja Euroopan tietosuojaneuvoston ohjeluonnos jättävät mahdollisuuden käyttää kunnissakin oikeutetun edun käsittelyperustetta käsittelyyn, joka ei kuulu kunnan lakisääteisten tehtävien hoitamiseen. Kunnissa on tapauskohtaisesti arvioitava, missä määrin henkilötietojen käsittely liittyy kunnan lakiin perustuviin julkisiin tehtäviin. Käytännössä oikeutettu etu voi kuitenkin tulla kunnissa sovellettavaksi vain tietyin edellytyksin ja poikkeuksellisissa ja rajatuissa tilanteissa, joissa henkilötietojen käsittely perustuu esimerkiksi laissa säädettyjen tehtävien ulkopuolella tapahtuvaan tutkimustoimintaan, teknologian pilotointiin tai kokeiluihin taikka sisäisen hallinnon järjestämiseen.

Oikeutettu etu käsittelyperusteena edellyttää, että rekisteröidyn edut ja oikeudet huomioidaan erityisen tarkkaan. Yksityishenkilön edut ja oikeudet ovat lähtökohtaisesti suojatumpia kuin rekisterinpitäjän. Henkilötietoja ei saa käsitellä, jos rekisteröidyn edut tai oikeudet syrjäyttävät rekisterinpitäjän tai kolmannen osapuolen edun. Tällainen tilanne voi olla esimerkiksi silloin, kun rekisteröity on lapsi. Se, voidaanko etu katsoa oikeutetuksi, saadaan selville niin kutsutulla tasapainotestillä. Siinä rekisterinpitäjän tai kolmannen osapuolen etua punnitaan rekisteröidyn etuja ja oikeuksia vasten. Jos kunnassa harkitaan henkilötietojen käsittelyä oikeutetun edun perusteella, on käsittelyä huolellisesti arvioitava tasapainotestillä. Testistä on laadittava myös kirjallinen kuvaus, jolla tarvittaessa voidaan osoittaa, että toiminta on tietosuoja-asetuksen mukaista – esimerkiksi miksi yleistä etua koskevan tehtävän suorittamista ei tapauksessa katsottu asianmukaiseksi käsittelyperusteeksi. 

Lisätietoa: 

• Tietosuojavaltuutetun toimisto: Rekisterinpitäjän oikeutettu etu
• Christofi, Wauters & Valcke, Smart Cities, Data Protection and the Public Interest Conundrum: What Legal Basis for Smart City Processing? European Journal of Law and Technology, Vol 12 No.1 2021

6.6 Elintärkeä etu

Elintärkeää etuja koskevaan käsittelyperusteeseen voidaan kunnissa nojautua vain harvoissa erityistapauksissa. Näin voi olla esimerkiksi, jos henkilötietoja on käsiteltävä jonkun hengen suojaamiseksi. Tietosuoja-asetuksen perusteella tämän käsittelyperusteen soveltamisala on kuitenkin hyvin rajallinen ja peruste tulee sovellettavaksi vain, kun henkilötietojen käsittelyllä ei ole muuta ilmeistä käsittelyperustetta. Tietosuoja-asetuksen johdanto-osan 46 perustelukappaleen mukaan elintärkeä voisi soveltua käsittelyperusteeksi esimerkiksi epidemioiden ja niiden leviämisen seuraamiseksi tai humanitaarisissa hätätilanteissa, erityisesti luonnonkatastrofien ja ihmisen aiheuttamien katastrofien yhteydessä. Kyse voi olla myös esimerkiksi elintarvikkeiden hengenvaarallisesta myrkyllisyydestä varoittamisesta. (tietosuojavaltuutetun päätös dnro 2364/452/2011)