Henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Nimi on selvä esimerkki, mutta määritelmä kattaa myös tunnisteen, arvion, tapahtumahistorian ja kuvan, kun ne voidaan yhdistää henkilöön. Tiedon julkisuus, tekninen muoto tai arkaluonteisuuden puuttuminen ei poista tätä yhteyttä.
Kun aineiston henkilötietoluonne on tunnistettu, arvioi erikseen automaattinen käsittely ja manuaalisen aineiston kuuluminen rekisteriin. Se ratkaisee osaltaan GDPR:n aineellisen soveltamisalan.
Käytännön ongelma syntyy usein aineistosta, jossa nimet on poistettu. Asiakasnumero säilyy, aikaleimat ovat tarkkoja ja vastaanottajalla on toinen taulukko samoista tapahtumista. Tällaisen aineiston luokittelu ei ratkea sarakkeiden nimillä. Tässä oppaassa tehdään luokittelu tiedon sisällön, tunnistamisen keinojen ja suunnitellun käytön perusteella sekä erotetaan henkilötieto erityisistä henkilötietoryhmistä.
Neljä kysymystä määritelmän soveltamiseen
GDPR:n 4 artiklan 1 kohdan määritelmää voi soveltaa neljän kysymyksen avulla. Onko kyse tiedosta? Liittyykö se henkilöön? Onko henkilö tunnistettu tai tunnistettavissa? Onko kyse luonnollisesta henkilöstä? Tietosuoja-asetuksen määritelmä ja johdanto-osan 26 perustelukappale muodostavat arvioinnin lähtökohdan.
”Tieto” ei tarkoita vain vahvistettua tosiasiaa. Asiakaspalvelijan arvio asiakkaan käyttäytymisestä, järjestelmän laskema todennäköisyys ja virheellinen merkintä voivat kaikki olla henkilötietoja. Muutoin juuri haitallinen väärä tieto jäisi suojan ulkopuolelle. Tiedon oikeellisuus ratkaistaan erikseen täsmällisyysperiaatteen avulla.
Yhteys henkilöön voi perustua sisältöön, tarkoitukseen tai vaikutukseen. Potilasmerkintä kertoo hänestä suoraan. Työntekijään yhdistetyn koneen käyttöloki voi palvella hänen suorituksensa arviointia, vaikka raakatieto näyttäisi koneen tapahtumalta. Riskipiste vaikuttaa henkilöön, jos sitä käytetään hänen palvelunsa hinnoitteluun tai hakemuksensa ratkaisemiseen.
Tunnistettavuus voi olla välillistä. Kaikkien yhdistämiseen tarvittavien tietojen ei tarvitse olla samassa tiedostossa. On tarkasteltava realistisia mahdollisuuksia yhdistää aineisto muihin tietoihin. Pelkkä väite siitä, ettei analyytikko tunne henkilöiden nimiä, ei ratkaise asiaa, jos hän voi hakea ne työnantajansa asiakasrekisteristä.
Luonnollinen henkilö tarkoittaa ihmistä. Oikeushenkilön tilinpäätöksen kokonaisluku ei tavallisesti ole tämän yrityksen henkilötieto. Sama asiakirja voi kuitenkin sisältää vastuuhenkilön nimen, allekirjoituksen tai yhteystiedon. Asetus ei koske kuolleita henkilöitä koskevia tietoja sellaisenaan, mutta asiakirjan tiedot voivat samalla koskea eläviä läheisiä. Myös muu lainsäädäntö voi rajoittaa asiakirjan käyttöä.
Suorat ja välilliset tunnisteet
Nimi, henkilötunnus ja henkilökohtainen yhteystieto ovat tavallisia tunnisteita. Nimi ei silti aina yksin yksilöi henkilöä: samalla nimellä voi olla monta ihmistä. Tietueen nimi, osoite ja asiakashistoria yhdessä voivat tehdä tunnistamisen selväksi. Suomessa henkilötunnuksen käsittelyyn ja luovuttamiseen liittyy lisäksi kansallinen erityissäännös, jota yleinen käsittelyperuste ei korvaa.
Välillisiä tunnisteita ovat esimerkiksi asiakasnumero, ajoneuvon rekisteritunnus, sijaintihistoria ja verkkopalvelun pysyvä käyttäjätunniste. Niiden arvioinnissa kysytään, mihin tietoihin tunniste voidaan yhdistää ja millaisin keinoin. Tietosuojavaltuutetun määritelmäohje antaa esimerkkejä sekä suorasta että välillisestä tunnistamisesta.
IP-osoitteessa olennaisia ovat käsittelytilanne ja käytettävissä olevat lisätiedot. Samaa yhteyttä voivat käyttää useat henkilöt, eikä osoite todista yksin tietyn henkilön tekoa. Silti osoite voi yhdessä tilitiedon ja ajankohdan kanssa liittyä tunnistettavaan käyttäjään. Tunnistettavuus ja havainnosta tehtävän johtopäätöksen luotettavuus ovat eri kysymyksiä.
Valokuva tai äänitallenne voi mahdollistaa tunnistamisen ilman tekstimuotoista nimeä. Myös tallenteen ympäristö, tapahtuma ja puheen sisältö voivat tunnistaa henkilön. Tiedostoon tallennettu sijainti tai kuvaajan nimi on arvioitava kuvasisällön lisäksi. Pelkkä kasvojen sumentaminen ei poista tunnistettavuutta, jos henkilö selviää muista yksityiskohdista.
Myös mielipide ja arvio voivat olla henkilötietoa
Unionin tuomioistuimen Nowak-ratkaisussa C-434/16 tutkittiin ammatillisen kokeen vastauksia ja tarkastajan kommentteja aikaisemman tietosuojadirektiivin perusteella. Tuomioistuin katsoi niiden liittyvän kokelaaseen sisältönsä, tarkoituksensa tai vaikutustensa kautta. Kommentti voi samalla koskea sen kirjoittanutta tarkastajaa. Sama tieto voi siis liittyä useaan ihmiseen.
Käytännössä rekrytoijan merkintä ”hakija ei perustellut projektiratkaisuaan” voi olla hakijan henkilötieto, vaikka merkintä on arvioijan mielipide. Arvioijan nimi voi olla hänen henkilötietonsa. Hakijan oikeuksien toteuttaminen ei tämän vuoksi tarkoita, että koko arviointiaineisto olisi automaattisesti luovutettava kaikille osapuolille muuttamattomana. Muiden oikeudet ja soveltuva oikeuden sisältö arvioidaan erikseen.
Luokittelussa ei pidä myöskään sekoittaa henkilötietoa salaisuuteen. Julkisen verkkosivun nimetty asiantuntija on edelleen tunnistettu henkilö. Tiedon kerääminen hakukoneella, tallentaminen myyntijärjestelmään ja käyttäminen kohdentamiseen ovat käsittelyä, joiden tarkoitus ja peruste on ratkaistava. Julkisuus ei tarkoita henkilön antamaa suostumusta kaikkiin uusiin käyttötapoihin.
Yrityksen tiedot ja työroolit
Yrityksen yleinen osoite, kuten info-osoite, ei yksin välttämättä liity tunnistettavaan ihmiseen. Sitä ei kuitenkaan voi luokitella kaikissa tilanteissa automaattisesti muuksi kuin henkilötiedoksi. Pienen yhden henkilön yrityksen osoite, viestin allekirjoitus tai asiakasrekisterin yhteyshenkilötieto voi yhdistää osoitteen tiettyyn henkilöön.
Nimetty työsähköpostiosoite, henkilön suora puhelinnumero ja hänen tehtävänsä sisältävä B2B-yhteystietue ovat tavallisesti henkilötietoja. Työrooli ei poista luonnollisen henkilön suojaa. Vastaavasti toiminimiyrittäjän kauppatapahtuma voi kertoa suoraan hänestä. Aineiston nimeäminen ”yritysdataksi” ei muuta sen sisältöä.
Kuvitteellinen ohjelmistoyritys tarkastelee asiakkaan yhteystietuetta, jossa on osakeyhtiön nimi, verkkolaskuosoite, yhteyshenkilön nimi ja tämän lomapäivien sijaisjärjestely. Yrityksen tunnistetiedot ja nimetyn henkilön tiedot erotetaan luokittelussa. Lomajärjestelyä ei siirretä markkinointiin, koska se on kerätty palvelun yhteydenpitoa varten eikä ole siihen tarpeellinen. Käyttötarkoitussidonnaisuus tulee arvioitavaksi henkilötietoluokituksen jälkeen.
Pseudonymisointi ja vastaanottajan näkökulma
Pseudonymisoinnissa tietoihin liittyminen tiettyyn henkilöön edellyttää erikseen säilytettävää lisätietoa, jota suojataan teknisin ja organisatorisin toimin. Jos yrityksellä on asiakasnumeron ja henkilön yhdistävä avain, numeroidut tapahtumat ovat sille edelleen henkilötietoja. Salattu aineisto ei myöskään muutu anonyymiksi vain siksi, ettei sitä näe ilman salausavainta.
Unionin tuomioistuin täsmensi vastaanottajan näkökulmaa ratkaisussa EDPS vastaan SRB, C-413/23 P, 4.9.2025. Ratkaisu koski EU:n toimielinten asetusta 2018/1725. Pseudonymisoitu tieto ei ole kaikissa tilanteissa ja kaikille henkilöille automaattisesti henkilötietoa, jos tunnistaminen on vastaanottajalle tosiasiallisesti estetty. Ratkaisevia ovat kohtuullisen todennäköisesti käytettävät keinot ja käsittelyn olosuhteet.
Samassa ratkaisussa tiedot keränneen rekisterinpitäjän informointivelvollisuus arvioitiin kuitenkin keräyshetkellä sen omasta näkökulmasta. Myöhempi pseudonymisointi tai vastaanottajan mahdollinen tunnistamiskyvyttömyys ei poistanut tätä aiempaa velvollisuutta. Myös edelleenluovutus toiselle taholle voi muuttaa tunnistamisen mahdollisuuksia.
Siksi pelkkä avaimen pidättäminen ei ole valmis perustelu käsittelysopimuksen, informoinnin tai siirtosääntöjen ohittamiselle. Selvitetään avaimen lisäksi muut aineistot, pääsyoikeudet, yhdistämismahdollisuudet ja luovutuksen todelliset osapuolet. Pseudonymisoinnin toteutus ja anonymisoinnin arviointi vaativat kumpikin oman näyttönsä. Täysin teoreettinen tunnistamisen mahdollisuus ja käytännössä kohtuullisen todennäköinen tunnistamiskeino eivät ole sama asia.
Täytetty luokittelu asiakaspalautteesta
Seuraava Siltapalvelun arvio on kuvitteellinen. Yritys haluaa toimittaa analyysikumppanille raportin asiakaspalautteesta. Alkuperäinen tiedosto sisältää palautteen, asiakasnumeron, tarkan käyntiajan ja toimipisteen. Nimet on poistettu, mutta yrityksen asiakasjärjestelmä yhdistää numerot henkilöihin.
| Aineisto | Havainto | Luokittelupäätös |
|---|---|---|
| Alkuperäinen palautetaulukko | Asiakasnumero yhdistyy yrityksen rekisteriin | Henkilötietoa yritykselle |
| Vapaa palaute | Teksti kertoo harvinaisesta tapahtumasta ja työntekijästä | Voi tunnistaa sekä asiakkaan että työntekijän |
| Käyntiaika ja toimipiste | Yksi asiakas kävi kyseisenä ajankohtana | Nimen poistaminen ei riitä |
| Kuukausittainen laaja yhteenveto | Ei tunnisteita eikä pieniä ryhmiä; yksittäiset tekstit poistettu | Anonymiteetti arvioidaan julkaistavan kokonaisuuden perusteella |
Ensimmäistä tiedostoa ei hyväksytä anonyymiksi. Analyysikumppanilla on jo palvelun ajanvaraustietoja, joten se voi yhdistää käyntiajan asiakkaaseen ilman yrityksen asiakasnumeroavainta. Pelkkä sopimuslause ”aineisto on anonyymi” ei vastaa todellista tilannetta.
Yritys muodostaa uuden raportin, jossa ajat yhdistetään kuukausitasolle, harvinaiset luokat yhdistetään suurempiin ja yksittäiset kertomukset poistetaan. Raportin arvioija tarkastelee myös aiemmin julkaistuja raportteja: kahden peräkkäisen version erotuksesta ei saa paljastua yhden asiakkaan vastaus. Valmistunut raportti ja alkuperäinen henkilötietoaineisto saavat eri käyttöoikeudet ja eri säilytysratkaisut.
Päätökseen kirjataan arvioitu vastaanottaja, aineiston versio, tunnistamisen reitit ja tehdyt muutokset. Jos raporttiin myöhemmin lisätään pieni toimipistekohtainen ryhmä tai rivitason vienti, aikaisempi hyväksyntä ei kata sitä. Osoitusvelvollisuuden dokumentointi auttaa säilyttämään juuri tämän päätöksen perustelut.
Erityiset henkilötietoryhmät ja muut lisärajoitukset
Kaikki henkilötiedot eivät kuulu 9 artiklan erityisiin ryhmiin. Niitä ovat muun muassa terveystiedot, geneettiset tiedot, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, rotua tai etnistä alkuperää koskevat tiedot sekä seksuaalista käyttäytymistä tai suuntautumista koskevat tiedot. Biometriset tiedot kuuluvat tähän ryhmään, kun niitä käsitellään henkilön yksiselitteistä tunnistamista varten.
Tavallinen valokuva ei siis automaattisesti ole erityinen biometrinen henkilötieto. Sen käyttö kasvojentunnistuksessa voi muuttaa arviointia. Kansalaisuus ei myöskään sellaisenaan ole sama asia kuin etninen alkuperä. Tietueen asiayhteys ja siitä tosiasiassa ilmenevät tiedot on tutkittava.
Erityisten henkilötietoryhmien käsittelyssä tarvitaan sekä 6 artiklan käsittelyperuste että soveltuva 9 artiklan poikkeus käsittelykiellosta. Rikostuomioita ja rikkomuksia koskevia tietoja säätelee erikseen 10 artikla. Luokittelu ”arkaluonteinen” ei yksin kerro, mitä oikeudellista säännöstä pitää soveltaa.
Mitä luokittelun jälkeen ratkaistaan?
Henkilötiedon tunnistaminen käynnistää soveltuvan käsittelyn arvioinnin. Se ei tarkoita, että jokainen asetuksen velvoite soveltuisi joka tilanteeseen samalla tavalla. Asetuksen aineellinen ja alueellinen soveltamisala, mahdolliset poikkeukset sekä yksittäisten artiklojen edellytykset ratkaistaan erikseen. Esimerkiksi tietosuojavastaavan nimeäminen, vaikutustenarviointi ja loukkauksesta ilmoittaminen eivät seuraa automaattisesti yhdestä nimestä tiedostossa.
Käytännön seuraavat päätökset ovat käsittelyn tarkoitus, 6 artiklan käsittelyperuste, tarpeelliset tiedot, vastaanottajat, säilytysaika ja suojaus. Luokittelun tärkein tulos on käyttökelpoinen raja: mitä aineistoa voidaan käyttää suunnitellussa tehtävässä, kenen näkökulmasta se on henkilötietoa ja mitä oletuksia päätös edellyttää. Epävarma tunnistettavuus selvitetään ennen kuin aineisto julkaistaan tai luovutetaan eteenpäin.