Saako henkilötietoja luovuttaa tietopyynnön johdosta?

Sääntelypohja

Tietopyyntöön saattaa sisältyä pyyntö saada myös viranomaisen käsittelyssä olleita henkilötietoja. Tietosuojalain 28 §:n mukaan oikeuteen saada tieto ja muuhun henkilötietojen luovuttamiseen viranomaisen henkilörekisteristä sovelletaan, mitä viranomaisten toiminnan julkisuudesta säädetään.

Julkisuuslain 16.3 §:n mukaan viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen taikka sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, edellyttäen että luovutuksensaajalla on oikeus tallettaa ja käyttää kyseisiä henkilötietoja. Lisäksi laissa säädetään, että suoramarkkinointia sekä mielipide- tai markkinatutkimusta varten henkilötietoja saa luovuttaa ainoastaan, jos siitä on erikseen säädetty tai jos rekisteröity on antanut siihen suostumuksensa.

Henkilötietojen julkisuus tai salassapito ratkeaa julkisuuslain tai erityislain salassapitosäännösten perusteella. Tässä ohjeistuksessa käsitellään julkisten henkilötietojen luovutusten edellytyksiä ja niihin liittyviä menettelytapoja eri tilanteissa. Salassa pidettäviä henkilötietoja voidaan luovuttaa vain erikseen säädetyin edellytyksin. Käytäntö

Kun pyydetään tietoja, joihin sisältyy henkilötietoja, on ensin arvioitava luovutustapa. Jos tiedot annetaan suullisesti tai asiakirja annetaan viranomaisen luona nähtäväksi ja jäljennettäväksi taikka kuunneltavaksi, henkilötietoja saa luovuttaa, mikäli pyydetyt henkilötiedot eivät ole salassa pidettäviä.

Jos tiedot annetaan tulosteena, kopiona tai sähköisessä muodossa, viranomaisen on ensin selvitettävä, onko pyytäjällä tietosuojasääntelyn mukainen oikeus käsitellä kyseisiä henkilötietoja. Vaikka tietojen luovuttamiseen olisi oikeus, tietojen luovutus edellyttää myös tietosuojaperiaatteiden huomioimista.

Henkilötietoja saa aina käsitellä yksityiseen kotitalouskäyttöön, esimerkiksi omien oikeuksien selvittämiseksi tai valituksen tueksi. Tällaisessa tilanteessa julkiset henkilötiedot on luovutettava pyynnön esittäneelle yksityishenkilölle.

Myös journalistista tarkoitusta varten julkisia henkilötietoja saa käsitellä, joten viranomaisen on luovutettava julkiset henkilötiedot medialle. Tähän velvollisuuteen ei vaikuta henkilön oma ilmoitus siitä, että haluaa tietonsa pysyvän poissa julkisuudesta. 

Lisäksi viranomaisilla on oikeus käsitellä henkilötietoja lakisääteisissä tehtävissään. Julkiset henkilötiedot voidaan luovuttaa toiselle viranomaiselle tämän pyynnöstä. 

Jos tietoja pyydetään kaupalliseen käyttötarkoitukseen, tietojen luovuttamiseen on lähtökohtaisesti suhtauduttava pidättyvästi. Tietoja voidaan luovuttaa vasta sen jälkeen, kun pyytäjän oikeus käsitellä henkilötietoja on huolellisesti selvitetty. Esimerkiksi silloin, kun pyytäjällä on rekisteröityjen suostumus tai kun henkilöt ovat pyytäjän asiakkaita, tietojen luovuttaminen voi olla mahdollista.

Luovutettaessa henkilötietoja tiettyyn tarkoitukseen luovutuksensaajaa on syytä muistuttaa siitä, että luovutettuja tietoja saa käyttää vain pyydettyyn käyttötarkoitukseen. Kun tiedot annetaan pyydetyllä tavalla, hallintopäätöstä ei yleensä ole tarpeen tehdä. 

Pyytäjän käsittelyoikeuden selvittäminen

Jos viranomainen on epävarma pyytäjän oikeudesta käsitellä pyydettyjä henkilötietoja, kunnan viranomaisen tulee  pyytää tietopyynnön täydennyksenä, että pyytäjä ilmoittaa tarkemmin, mihin tarkoitukseen tai minkä säännöksen perusteella tämä aikoo henkilötietoja käsitellä. Henkilötietojen luovuttamisen edellytyksiä on perusteltua selvittää sitä kattavammin, mitä enemmän riskejä yksilölle henkilötietojen luovutuksesta voi aiheutua. Käsittelyn laajuuden lisäksi riskiin vaikuttavat muun muassa tietojen ja käsittelyn luonne, asiayhteydet ja tarkoitukset. Tiedot luovuttava viranomainen vastaa henkilötietojen luovutuksen laillisuudesta. 

Henkilötunnus

Henkilötunnus voidaan luovuttaa, jos pyytäjällä on oikeus käsitellä henkilötunnusta tietosuojalain 29 §:n mukaisesti. Henkilötietojen luovuttamistilanteissa on kiinnitettävä erityistä huomiota myös tietosuojalain 29.4 §:ään, jonka mukaan henkilötunnusta ei tule tarpeettomasti merkitä rekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin. Tämä tarkoittaa, että henkilötunnus on poistettava, peitettävä tai mustattava aina, kun se on mahdollista.