GDPR:n 6 artikla sisältää kuusi henkilötietojen käsittelyperustetta. Sopivaa perustetta ei valita koko asiakasrekisterille yhdellä kertaa, vaan tiettyä tarkoitusta ja käsittelyä varten. Sama sähköpostiosoite voi olla tarpeellinen tilausvahvistuksessa, vapaaehtoisen uutiskirjeen vastaanottajalistalla ja tietoturvatapahtuman selvityksessä. Näiden toimintojen perustelut eivät ole keskenään vaihdettavia.
Tässä oppaassa vertaillaan kaikki kuusi perustetta ja laaditaan kuvitteelliselle laitevuokraamolle täytetty päätöstaulukko. Tavoitteena on tunnistaa sekä sallittu käsittely että ne ominaisuudet, joiden käyttöönotto pitää jättää odottamaan. Käsittelyperusteen valinta tehdään ennen tietojen keräämistä ja näkyy myös ihmiselle annettavassa informaatiossa.
Kuusi perustetta yhdellä silmäyksellä
GDPR:n 6 artiklan mukaan vähintään yhden soveltuvan ehdon on täytyttävä. Taulukon esimerkit havainnollistavat perusteen logiikkaa; ne eivät ratkaise kaikkia samannimisiä toimintoja automaattisesti.
| Kohta | Peruste | Ratkaiseva kysymys |
|---|---|---|
| a | Suostumus | Voiko henkilö valita vapaaehtoisesti ja peruuttaa valintansa? |
| b | Sopimus tai henkilön pyytämä sopimusta edeltävä toimi | Onko käsittely objektiivisesti tarpeellinen tämän sopimuksen tai pyynnön toteuttamiseen? |
| c | Lakisääteinen velvoite | Mikä rekisterinpitäjää sitova EU:n tai jäsenvaltion oikeuden velvoite edellyttää käsittelyä? |
| d | Elintärkeät edut | Onko kyse henkilön tai toisen ihmisen elintärkeän edun suojaamisesta? |
| e | Yleinen etu tai julkisen vallan käyttö | Mihin soveltuvaan oikeudelliseen tehtävään käsittely perustuu? |
| f | Oikeutettu etu | Onko etu laillinen ja konkreettinen, käsittely tarpeellinen ja punninta hyväksyttävä? |
Peruste ei syrjäytä tietojen minimointia, säilytyksen rajoittamista, turvallisuutta tai rekisteröidyn oikeuksia. Jos tieto on tarpeeton, ”suostumus” ei ole yleinen keino kerätä sitä varmuuden vuoksi. Työelämässä kansallinen tarpeellisuusvaatimus voi lisäksi rajata käsittelyä suostumuksesta riippumatta.
Suostumus sopii todelliseen valintaan
Suostumuksen täytyy olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Organisaation pitää osoittaa se ja tarjota toimiva peruuttaminen. Tietosuojavaltuutetun käsittelyperusteita koskeva ohje korostaa valintaa ennen käsittelyn aloittamista ja perusteen vaikutusta henkilön oikeuksiin.
Kuvitteellisen Satamalaite Oy:n asiakas voi tilata uutiskirjeen erillisellä valinnalla. Vuokraus onnistuu myös ilman uutiskirjettä. Asiakas ei anna suostumusta kaikkeen henkilötietojen käsittelyyn vain hyväksymällä vuokrasopimuksen tai kuittaamalla tietosuojaselosteen luetuksi.
Jos yritys aikoo jatkaa toimintoa joka tapauksessa, myös kieltäytymisen tai peruuttamisen jälkeen, suostumus ei vastaa todellista työnkulkua. Tällöin soveltuvuus pitää ratkaista ennen aloittamista toisella perusteella, jos sellainen todella on olemassa. Suostumuksen ehdoissa käsitellään erikseen valinnan todentamista ja peruuttamista.
Sopimusperuste rajataan pyydettyyn palveluun
Sopimusperuste koskee sopimusta, jonka osapuoli rekisteröity on, sekä hänen pyynnöstään tehtäviä sopimusta edeltäviä toimia. Yritysten välinen sopimus ei sellaisenaan tee asiakkaan työntekijästä sopimuksen osapuolta. Yhteyshenkilön tietojen käsittely tarvitsee sen todelliseen tilanteeseen sopivan perusteen.
EDPB:n lopulliset suuntaviivat 2/2019 koskevat verkkopalvelujen sopimusperustetta. Ne erottavat objektiivisen tarpeellisuuden siitä, että käsittely on vain kirjoitettu sopimusehtoihin. Yrityksen liiketoimintamallin kannalta hyödyllinen profilointi ei tällä perusteella automaattisesti kuulu asiakkaan pyytämän palvelun toteuttamiseen.
Satamalaite tarvitsee vuokrauksen varaamiseen sovitut yhteystiedot, laitteen ja varausajan. Jos asiakas noutaa laitteen itse eikä osoitetta tarvita muuhun perusteltuun sopimusvaiheeseen, toimitusosoitetta ei kerätä toimitusperusteella. Asiakkaan kiinnostuksen ennustaminen selaushistoriasta on erillinen toiminto, vaikka yritys lisää sen käyttöehtoihin.
Ennen sopimusta henkilö voi pyytää tarjousta tiettyyn käyttöpaikkaan toimitettavasta laitteesta. Tarjouslaskelman tarpeelliset tiedot voivat kuulua sopimusta edeltävään käsittelyyn. Ostettu potentiaalisten asiakkaiden lista ei muutu tällaiseksi pyynnöksi sillä, että myyjä aikoo lähettää tarjouksia. Verkkokaupan täytetty tietosuojatapaus näyttää vastaavan eron tilauksen toimittamisen, asiakastilin ja markkinoinnin välillä.
Lakisääteinen velvoite yksilöidään
Peruste c edellyttää rekisterinpitäjää sitovaa oikeudellista velvoitetta. Asiakkaan sopimusvaatimus, konsernin ohje tai toimittajan vakioehto ei ole itsessään tällainen velvoite. Dokumentissa pitää näkyä soveltuva säännös ja se, miksi kyseiset tiedot tarvitaan velvoitteen täyttämiseen.
Kirjanpito on tästä käytännön esimerkki. Kirjanpitolain 2 luvun 10 § erottaa eri aineistojen säilytysajat. Tositteita koskeva vähintään kuuden vuoden aika lasketaan sen vuoden lopusta, jonka aikana tilikausi päättyi. Tätä aikaa ei siirretä kaikkien asiakasrekisterin tietojen säilytysajaksi.
Satamalaite säilyttää kirjanpidon tositteen lakisääteistä tarkoitusta varten, vaikka asiakas lopettaa uutiskirjeen. Yritys ei tämän vuoksi säilytä uutiskirjeen kiinnostusprofiilia tai markkinoinnin klikkaushistoriaa kirjanpitoaineistona. Säilytyksen rajoittaminen edellyttää tarkoitusten ja aineistojen erottamista myös teknisessä poistossa.
Elintärkeät edut ja yleistä etua koskeva tehtävä
Elintärkeä etu liittyy ihmiseen kohdistuvaan vakavaan vaaraan, ei yrityksen myynnin jatkuvuuteen. Äkillisessä hätätilanteessa tarpeellisten tietojen antaminen avun saamiseksi voi vaatia tämän perusteen arviointia. Sitä ei käytetä tavanomaisen asiakasprofiloinnin perusteluksi eikä kerätä kaikkea terveystietoa ennakoivasti mahdollisen onnettomuuden varalta.
Yleistä etua koskevalla tehtävällä tai julkisen vallan käytöllä pitää olla 6 artiklan 3 kohdan edellyttämä oikeudellinen perusta. Peruste e ei rajoitu automaattisesti julkisomisteisiin organisaatioihin, sillä myös yksityinen toimija voi hoitaa laissa perustettua tehtävää. Pelkkä palvelun yhteiskunnallinen hyöty ei kuitenkaan luo tällaista tehtävää.
Viranomainen ei voi käyttää oikeutettua etua omien tehtäviensä suorittamisen perusteena. Tämä rajaus koskee tiettyä toimintaa; perusteiden valintaa ei ratkaista pelkällä tietojärjestelmän tai yhtiömuodon nimellä. Satamalaitteen tavallista vuokraustoimintaa ei tässä esimerkissä perusteta julkisen vallan käyttöön.
Oikeutettu etu edellyttää kaikkien kolmen vaiheen arviointia
Peruste f voi koskea rekisterinpitäjän tai kolmannen osapuolen etua. Ensin yksilöidään laillinen, todellinen etu, sitten selvitetään käsittelyn tarpeellisuus ja lopuksi punnitaan vaikutukset ihmisiin. Lapsiin ja muihin heikommassa asemassa oleviin liittyvät näkökohdat vaativat huolellisuutta.
Satamalaitteen verkkopalvelun väärinkäytösten selvittäminen voi olla arvioitava etu. Kirjattavia tietoja ei silti valita rajoittamattomasti. Salasana tai asiakkaan koko viestin sisältö ei ole tarpeellinen epäonnistuneen kirjautumisen tapahtumarivissä. Lokituksen suunnittelu auttaa tunnistamaan käyttötarkoituksen tarvitseman aineiston.
Arvioinnissa huomioidaan myös vähemmän puuttuvat vaihtoehdot, käyttäjien odotukset, väärinkäytön haitat ja tehokkaat suojatoimet. Täysi oikeutetun edun tasapainotesti on tätä päätöstaulukkoa laajempi selvitys. Hyväksyttykään etu ei ohita sähköisen viestinnän suostumusvaatimuksia tai erityisten henkilötietoryhmien erillisiä ehtoja.
Täytetty päätöstaulukko Satamalaitteelle
Yritys käy toiminnot läpi ennen uuden varauspalvelun avaamista. Kuvitteelliset päätökset perustuvat tässä kuvattuihin rajauksiin; todellisessa yrityksessä tarvitaan omat sopimukset, sääntelyarvio ja näyttö toimenpiteistä.
| Tarkoitus | Päätetty peruste tai tila | Rajaus ja käytännön seuraus |
|---|---|---|
| Asiakkaan pyytämän vuokrauksen varaaminen | 6(1)(b), sopimus | Varaus ja tarpeellinen yhteydenpito; ei selausprofiilia |
| Vapaaehtoisen uutiskirjeen lähettäminen | 6(1)(a), suostumus | Erillinen valinta; peruutus pysäyttää tämän viestinnän |
| Kirjanpidon tositteen säilyttäminen | 6(1)©, kirjanpitolain velvoite | Rajattu talousaineisto erillään markkinoinnista |
| Epäonnistuneiden kirjautumisten selvittäminen | 6(1)(f), rajattu arvio dokumentoitu | Tilitunniste, aika ja tarpeellinen tapahtumatieto; vain turvallisuuskäyttö |
| Kaikkien asiakkaiden sijaintihistoria | Hylätty ehdotus | Vuokrauksen hoito ei edellytä jatkuvaa seurantaa |
| Ostetun yhteystietolistan sähköpostikampanja | Käynnistys odottaa selvityksiä | Vastaanottajat, lähde, käsittelyperuste ja Suomen viestintäsäännöt ratkaisematta |
Turvallisuuslokien hyväksyntä perustuu siihen, että rajattu tapahtuma auttaa selvittämään todellisia kirjautumisyrityksiä ja käyttäjään kohdistuvaa tilikaappauksen riskiä. Käyttö rajataan turvallisuustiimille, säilytys perustellaan selvitysprosessin kestolla ja vanhat tiedot poistetaan sovitusti. Lokista ei tehdä samalla asiakkaan kaupallista aktiivisuuspistettä.
Ostetun listan kohdalla myyjän vakuutus ”GDPR-yhteensopiva” ei ratkaise vastaanottajayrityksen vastuuta. Muualta kerättyihin tietoihin liittyy myös 14 artiklan informointi. Suomessa sähköisen yritysmarkkinoinnin ehdot pitää erottaa GDPR:n käsittelyperusteesta. Avoin kysymys kirjataan avoimeksi, eikä kampanjaa käynnistetä kokeeksi.
Peruste näkyy oikeuspyynnön käsittelyssä
Asiakas kirjoittaa: ”Peruutan suostumukseni tietojeni käyttöön.” Satamalaite tunnistaa suostumukseen perustuvan uutiskirjeen ja lopettaa sen. Se ei pyydä asiakasta uusimaan vuokrasopimusta eikä väitä kaikkien tietojen käsittelyn päättyneen. Jos pyyntö tarkoittaa myös poistamista, tämä oikeus arvioidaan erikseen.
Oikeutettuun etuun perustuvaa käsittelyä koskeva vastustamisoikeus on eri menettely kuin suostumuksen peruuttaminen. Suoramarkkinoinnin vastustamisessa käsittely lopetetaan ilman etupunnintaa. Sopimuksen perusteella käsiteltyihin automaattisiin tietoihin voi puolestaan liittyä siirto-oikeus artiklan muiden edellytysten täyttyessä.
Perusteen virheellinen valinta voi siis johtaa virheelliseen vastaukseen ihmiselle. Siksi asiakaspalvelun päätösohjeessa erotetaan uutiskirje, varaus, kirjanpito ja turvallisuus. Yksi ”asiakas poistettu” -painike ei välttämättä toteuta näiden kaikkien tarkoitusten oikeaa lopputulosta.
Muuttuva tarkoitus ja perusteen dokumentointi
Perustetta ei vaihdeta jälkikäteen toiseen vain pelastamaan pätemätöntä suostumusta tai kiertämään peruuttamista. Erillinen lakisääteinen säilytys on eri tarkoitus, jonka on pitänyt olla asianmukaisesti tunnistettu. Uuteen tarkoitukseen siirtyminen edellyttää omaa arviota ja tarvittavaa ennakkoinformointia.
Artiklan 6(4) yhteensopivuusarviossa huomioidaan sen soveltuessa tarkoitusten yhteys, keruun asiayhteys, tiedon luonne, seuraukset ja suojatoimet. Käyttötarkoitussidonnaisuuden opas käsittelee tätä erikseen. Erityiset tiedot vaativat lisäksi 9 artiklan poikkeuksen, vaikka 6 artiklan peruste olisi kunnossa.
Kirjaa päätökseen tarkoitus, tietoryhmät, peruste, perustelu, vastuuhenkilö ja arvioinnin muuttavat tapahtumat. Oikeusperusteen yhdistäminen käsittelytoimien selosteeseen on hyödyllistä osoitusvelvollisuudelle, vaikka se ei ole 30 artiklan 1 kohdan nimenomaisesti luettelema kenttä. Informaatiossa ja järjestelmän toiminnassa pitää näkyä sama todellinen ratkaisu.
Kun Satamalaite siirtää varauspalvelun ulkopuoliselle ylläpitäjälle, sen oma käsittelyperuste ei automaattisesti kata toimittajan itsenäisiä käyttötarkoituksia. Rekisterinpitäjän ja käsittelijän roolit ratkaistaan erikseen. Jos toimittaja haluaa käyttää varauksia oman mallinsa kouluttamiseen, tämä käyttötarkoitus jätetään hyväksymättä, kunnes rooli, peruste ja muut edellytykset on selvitetty.