GDPR:n tarkoittama automaattinen henkilötietojen käsittely ei edellytä tekoälyä, robottia tai koneen itsenäistä päätöstä. Tavallinen asiakastietojen tallentaminen tietokoneelle voi kuulua sen piiriin. Myös paperinen aineisto voi kuulua asetuksen soveltamisalaan, jos tiedot muodostavat rekisterin tai niiden on tarkoitus muodostaa rekisterin osa. Ratkaisevaa on käsittelyn todellinen toteutus, ei järjestelmän markkinointinimi.
Tämä opas erottaa kolme usein sekoittuvaa kysymystä: sovelletaanko GDPR:ää käsittelyyn, täyttyvätkö tietojen siirrettävyyden erityiset edellytykset ja onko kyse 22 artiklan tarkoittamasta automatisoidusta päätöksestä. Täytetty korjaamon esimerkki näyttää, miten sähköinen taulukko, paperikortisto ja suullinen tiedonanto arvioidaan eri näkökulmista.
Aloita henkilötiedoista ja käsittelytoimesta
Ensimmäinen kysymys on, liittyykö aineisto tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Varausnumero voi olla henkilötieto, jos se voidaan yhdistää asiakkaaseen käytettävissä olevilla tiedoilla. Pelkkä nimien poistaminen taulukosta ei siksi ratkaise soveltamisalaa. Henkilötiedon määritelmän käytännön rajaus auttaa arvioimaan tunnistettavuutta ennen teknisen toteutuksen luokittelua.
Käsittely tarkoittaa laajasti henkilötietoihin kohdistuvia toimia. Kerääminen, tallentaminen, järjestäminen, hakeminen, katselu, luovuttaminen ja poistaminen voivat kaikki olla käsittelyä. Tiedon passiivinen säilyttäminen palvelimella ei siis jää käsitteen ulkopuolelle sillä perusteella, ettei kukaan juuri nyt avaa tiedostoa. Vastaavasti tietojen näyttäminen ruudulta toiselle ihmiselle voi olla luovuttamista, vaikka uutta tiedostoa ei syntyisi.
Jos kyse on aidosti anonyymeistä varaosien kokonaismääristä, eikä tieto liity tunnistettavissa olevaan ihmiseen, GDPR:n henkilötietoja koskeva arvio ei lähtökohtaisesti kohdistu tähän aineistoon. Taustalla käytettyjen asiakastietojen anonymisointi on kuitenkin oma käsittelytoimensa. Anonymisoinnin arviointi tehdään tunnistamismahdollisuuksien perusteella, ei nimeämällä tiedosto tilastoksi.
Mitä 2 artikla sanoo automaattisesta käsittelystä?
GDPR:n 2 artiklan mukaan asetusta sovelletaan henkilötietojen käsittelyyn, joka on kokonaan tai osittain automaattista. Lisäksi se kattaa muun käsittelyn, kun henkilötiedot muodostavat rekisterin osan tai niiden on tarkoitus muodostaa rekisterin osa. Nämä ovat vaihtoehtoisia tapoja täyttää aineellisen soveltamisalan lähtökohta.
Osittainen automaatio riittää. Työntekijä voi kirjoittaa asiakkaan nimen käsin sähköiseen ajanvaraustaulukkoon ja päättää itse vapaan ajan valinnasta. Tallentaminen ja tietojen käsittely tietoteknisessä järjestelmässä kuuluvat silti arvioon. Ohjelman ei tarvitse laskea pisteitä, muodostaa ennustetta tai lähettää viestiä ilman ihmisen käskyä.
Myöskään taulukkolaskentatiedoston kaavojen poistaminen ei muuta asiakaslistaa automaattisesti paperiaineistoksi. Soveltamisalan kannalta olennaista ei ole, käytetäänkö laskentakaavoja, vaan henkilötietojen sähköinen käsittely. Sähköposti, tekstinkäsittelyasiakirja ja digitaalinen kuva voivat kukin sisältää henkilötietoja ja liittyä asetuksen kattamaan käsittelyyn.
Tästä ei kuitenkaan seuraa, että jokainen digitaalinen tiedosto kuuluisi GDPR:ään. Tiedoston pitää sisältää henkilötietoja, alueellisen soveltamisalan on täytyttävä ja mahdolliset soveltamisalan poikkeukset on otettava huomioon. Tekniikka ratkaisee yhden kysymyksen, ei koko oikeudellista arviota.
Paperirekisteri ei tarvitse virallista rekisterin nimeä
Asetuksen 4 artiklan 6 kohdan rekisteri on jäsennelty henkilötietojen joukko, josta tiedot ovat saatavilla tietyin perustein. Aineisto voi olla keskitetty, hajautettu tai jaettu toiminnallisin tai maantieteellisin perustein. Asiakkaan sukunimen mukaan järjestetyt työmääräyskortit ovat selvä käytännön esimerkki. Myös numerointi tai muu tosiasiallinen hakuperuste voi olla olennainen.
Unionin tuomioistuimen Jehovan todistajat -ratkaisu C-25/17 koski aiempaa tietosuojadirektiiviä. Siinä rekisterin käsitettä ei rajattu erityisiin kortistoihin tai nimiluetteloihin. Keskeistä oli tietojen jäsentely sellaisten perusteiden avulla, että henkilötiedot voitiin käytännössä löytää myöhempää käyttöä varten helposti. Ratkaisu auttaa ymmärtämään, miksi epämuodollinenkin paperijärjestely voi olla merkityksellinen.
Arvioinnissa ei siis riitä vastaus ”meillä ei ole rekisteriä”. Tarkista, miten työntekijä löytää asiakkaan edellisen käynnin tiedot. Jos haku onnistuu asiakasnumeron, nimen, osoitteen tai järjestelmällisen kansiojaon perusteella, kyse ei välttämättä ole irrallisista muistiinpanoista. Myös aikomus siirtää tiedot tällaiseen rekisteriin on huomioitava jo keräämisen vaiheessa.
Aidosti jäsentymättömän manuaalisen muistiinpanon arvio voi olla toinen. Päätelmä vaatii kuitenkin käsittelyketjun tarkastamista: aiotaanko lappu myöhemmin kuvata, kirjata järjestelmään tai liittää asiakkaan kansioon? Paperin lyhyt säilytysaika ei yksin tee siitä asetuksen ulkopuolista. GDPR:n ulkopuolelle jääminen ei myöskään ratkaise mahdollisia salassapitoa tai muuta toimintaa koskevia velvoitteita.
Suullinen kertominen voi olla rekisteritiedon käsittelyä
Suullisuus ei muodosta yleistä poikkeusta. Suomea koskevassa Endemol Shine Finland -ratkaisussa C-740/22 unionin tuomioistuin arvioi muun muassa henkilön rikostuomioita koskevien tietojen suullista luovuttamista tuomioistuimen rekisteristä. Suullinen luovuttaminen on käsittelyä, ja se kuuluu GDPR:n aineelliseen soveltamisalaan, kun tiedot sisältyvät rekisteriin tai niiden on tarkoitus muodostaa rekisterin osa.
Korjaamossa työntekijä voi esimerkiksi lukea asiakasrekisteristä puhelimessa asiakkaan kotiosoitteen ulkopuoliselle. Se, ettei vastaanottaja saa sähköpostia tai paperitulostetta, ei poista käsittelyn arviointia. Luovutuksen oikeusperuste, vastaanottajan oikeus tietoihin ja tietojen tarpeellisuus selvitetään erikseen. Rikostuomiotietoja koskevan oikeustapauksen erityisiä luovutusehtoja ei pidä sellaisinaan siirtää kaikkien korjaamotietojen säännöiksi.
Täysin tallentamaton keskustelu, jonka tietoja ei käsitellä automaattisesti eikä liitetä tai aiota liittää rekisteriin, on eri tilanne. Sen rajaus pitää tehdä tosiasioiden perusteella. Henkilötietojen kertominen muistista ei ole turvallinen kiertotie, jos kysymys tosiasiassa liittyy rekisterin tietojen hyödyntämiseen tai luovuttamiseen.
Täytetty arvio: Huoltolaatikko Oy
Kuvitteellinen Huoltolaatikko Oy korjaa kodinkoneita Suomessa. Se käsittelee asiakkaiden nimiä, yhteystietoja, laitetietoja ja korjaushistoriaa. Yritys käy läpi kuusi aineistoa ennen uuden ajanvarauspalvelun hankintaa. Esimerkin tavalliseen suomalaiseen yritystoimintaan sovelletaan GDPR:n alueellista soveltamisalaa, eikä kotitalouspoikkeus kata sen asiakaspalvelua.
| Aineisto tai toimi | Täytetty arvio | Käytännön päätös |
|---|---|---|
| Sähköinen ajanvaraustaulukko ilman kaavoja | Henkilötietojen osittain automaattista käsittelyä | Mukaan käsittelyn kartoitukseen ja käyttöoikeuksien hallintaan |
| Asiakkaan nimellä järjestetyt paperiset työmääräykset | Manuaalinen henkilötietorekisteri | Lukittava säilytys ja määritelty poistaminen |
| Työntekijän puhelimessa ottama kuva työmääräyksestä | Digitaalinen kopio henkilötiedoista | Siirto hyväksyttyyn paikkaan ja tarpeettoman puhelinkopion poistaminen |
| Asiakkaan osoitteen kertominen korjausrekisteristä kuljetusyhtiölle | Rekisteritiedon luovuttamista myös suullisesti | Varmista vastaanottaja, tarve ja sallittu luovutus |
| Varaosien yhteenlaskettu varastosaldo ilman henkilöyhteyttä | Esimerkin aidosti anonyymi tuotetieto | Ei henkilötietoa; erota asiakaskohtaisista tilauksista |
| Omistajan yksityinen ystävien yhteystietolista | Arvioitava erillään yrityksen asiakaslistasta | Ei siirretä markkinointiin kotitalouspoikkeukseen vedoten |
Kartoituksen tärkein havainto on puhelimen kuva. Yritys oli dokumentoinut ajanvaraustaulukon ja paperikansion, mutta unohtanut niiden välisen kopion. Kuva sisälsi asiakkaan nimen lisäksi kotiin pääsemistä koskevan vapaan tekstin. Yritys poistaa tarpeettoman kentän kuvauskäytännöstä ja järjestää työohjeen toimittamisen hyväksytyssä sovelluksessa.
Minimoinnin kenttäkohtainen arvio ratkaisee tässä, mitä kuljettaja todella tarvitsee. Järjestelmien ja riippuvuuksien kartoitus puolestaan auttaa näkemään paperin, puhelimen ja varsinaisen järjestelmän saman tietovirran osina.
Kotitalouspoikkeus ja alueellinen soveltamisala
Asetuksen 2 artiklan kotitalouspoikkeus koskee luonnollisen henkilön yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa. Yrityksen asiakaslistasta ei tule yksityistä, vaikka yrittäjä säilyttää sitä kotitietokoneellaan. Johdanto-osan 18 kappale erottaa henkilökohtaisen toiminnan ammatillisesta tai kaupallisesta yhteydestä. Poikkeuksen piiriin kuuluvaan toimintaan välineitä tarjoavien rekisterinpitäjien ja käsittelijöiden oma käsittely voi silti kuulua asetukseen.
Alueellista soveltamisalaa arvioidaan erikseen 3 artiklan perusteella. EU:ssa sijaitsevan toimipaikan toiminnan yhteydessä tapahtuva käsittely voi kuulua asetukseen riippumatta itse käsittelyn sijainnista. EU:n ulkopuolisten toimijoiden kohdalla esimerkiksi tavaroiden tai palvelujen tarjoaminen unionissa oleville henkilöille tai heidän käyttäytymisensä seuranta voi käynnistää oman arviointinsa. Pelkkä palvelimen maa ei ratkaise näitä kysymyksiä.
Asetuksessa on muitakin aineellisen soveltamisalan rajauksia, kuten toimivaltaisten viranomaisten rikosasioihin liittyvä käsittely omine sääntelyineen. Tavallinen yksityinen yritys ei voi vedota tähän vain siksi, että se selvittää epäiltyä väärinkäytöstä. Tarkoitus ja toimijan oikeudellinen asema pitää erottaa arkikielisestä nimityksestä ”tutkinta”.
Automaattinen käsittely ei tarkoita automaattista päätöstä
GDPR:n yleinen soveltuminen ei vielä ratkaise 22 artiklaa. Sen erityinen lähtökohtainen kielto liittyy päätökseen, joka perustuu pelkästään automaattiseen käsittelyyn ja jolla on henkilöä koskevia oikeusvaikutuksia tai vastaavalla tavalla merkittävä vaikutus. Tavallinen sähköinen ajanvarauslista ei sellaisenaan täytä kaikkia näitä edellytyksiä.
Jos korjaamo alkaisi hylätä asiakkaiden palvelupyyntöjä yksinomaan koneen muodostaman merkittävän riskiluokituksen perusteella, toiminta pitäisi arvioida uudelleen. Ihmisen nimellinen hyväksymisnappi ei välttämättä tee arvioinnista todellista ihmisen harkintaa. Automatisoitujen päätösten opas käsittelee 22 artiklan edellytykset, poikkeukset ja suojatoimet erikseen. Vaikka 22 artikla ei soveltuisi, käsittelyperuste, läpinäkyvyys ja tietoturva säilyvät tarpeellisina.
Myös 20 artiklan siirto-oikeudella on omat edellytyksensä. Se koskee säännöksen rajoissa henkilön toimittamia tietoja, kun käsittely perustuu suostumukseen tai sopimukseen ja suoritetaan automaattisesti. Kaikki GDPR:n kattamat paperirekisterit eivät siten automaattisesti kuulu tämän erityisen oikeuden piiriin. Tämä ei poista esimerkiksi tarkastusoikeuden arviointia.
Tee soveltamisarviosta toteutettava päätös
Huoltolaatikko kirjaa lopputulokseen henkilötiedot, käsittelytavan, rekisteriin kuulumisen, alueellisen yhteyden ja mahdollisen poikkeuksen. Jokainen päätelmä perustellaan yhdellä todellisella havainnolla: nimihaku paperikansiossa, sähköinen tallennus tai käytettävissä oleva yhdistämisavain. Epäselvän aineiston vastuuhenkilö selvittää käsittelyketjun ennen kuin sitä merkitään soveltamisalan ulkopuolelle.
Tämän jälkeen yritys määrittää käsittelyperusteen, rajaa käyttöoikeudet ja järjestää säilyttämisen sekä asiakkaiden oikeuspyynnöt. Soveltamisarvio liitetään käsittelytoimien selosteeseen soveltuvassa laajuudessa. Kun paperinen kortisto myöhemmin skannataan tai yksityinen yhteystieto siirtyy yrityskäyttöön, päätelmä tarkistetaan muuttuneen toiminnan perusteella.