Oikeutettu etu ja tasapainotesti (6(1)(f))

Yhdessä lauseessa: Oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta) on käyttökelpoinen käsittelyperuste vain, jos rekisterinpitäjä läpäisee kolmiosaisen testin – etu on todellinen ja laillinen, käsittely on välttämätöntä sen saavuttamiseksi, eivätkä rekisteröidyn edut ja perusoikeudet syrjäytä sitä – ja testin lopputulos on dokumentoitava etukäteen, koska osoitusvelvollisuus kaatuu rekisterinpitäjälle.

Oikeutettu etu on suostumuksen jälkeen käytetyin peruste ja samalla useimmin väärin käytetty. Tämä artikkeli kertoo, miten tasapainotesti tehdään niin, että se kestää tarkastuksen, ja missä tilanteissa peruste ei yksinkertaisesti toimi. Kansallinen konteksti: tietosuoja Suomessa.

Keskeiset huomiot

• Kolme vaihetta: tarkoitustesti, välttämättömyystesti ja tasapainotesti. Kaikkien on täytyttävä.
• Rekisteröidyn kohtuulliset odotukset (johdanto-osan 47 perustelukappale) ovat punninnan tärkein yksittäinen tekijä.
• Viranomaiset eivät voi käyttää oikeutettua etua tehtäviensä hoitamisessa (6 art. 1 kohdan viimeinen alakohta).
• Oikeutettu etu ei kelpaa erityisten henkilötietoryhmien käsittelyyn – 9 artikla vaatii oman perusteensa.
• 21 artiklan vastustamisoikeus on oikeutetun edun vastapaino; suoramarkkinoinnissa se on ehdoton eikä punnintaa tehdä.

Mitä oikeutettu etu tarkoittaa?

6 artiklan 1 kohdan f alakohdan sanamuoto on tiivis: käsittely on lainmukaista, jos se “on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi”.

Kaksi ominaisuutta erottaa sen muista perusteista. Ensinnäkin se on joustavin – sitä voi soveltaa tilanteisiin, joita lainsäätäjä ei ole ennakoinut. Toiseksi se on ainoa peruste, jonka soveltuvuus riippuu punninnasta: sopimusperuste joko on tai ei ole, mutta oikeutettu etu voi kaatua siihen, miten intrusiivinen käsittely on.

Unionin tuomioistuin on vahvistanut kolmiosaisen rakenteen useaan otteeseen, muun muassa asiassa C-13/16 (Rīgas satiksme). Asiassa C-621/22 (KNLTB, 4.10.2024) tuomioistuin täsmensi, että myös puhtaasti kaupallinen etu voi olla oikeutettu etu – edellyttäen että se on laillinen ja että punninta läpäistään. Kaupallisuus ei siis itsessään sulje perustetta pois.

Euroopan tietosuojaneuvoston suuntaviivat 1/2024 täsmentävät erityisesti kohtuullisten odotusten ja verkkoseurannan arviointia.

Vaihe 1: tarkoitustesti

Kysymys: mikä etu tässä tavoitellaan ja onko se oikeutettu?

Edun on täytettävä kolme ehtoa. Sen on oltava laillinen – ei lainvastainen eikä hyvän tavan vastainen. Sen on oltava riittävän täsmällinen: “liiketoiminnan kehittäminen” ei ole etu, “asiakaspoistuman ennakoiminen olemassa olevan asiakassuhteen säilyttämiseksi” on. Ja sen on oltava todellinen ja ajankohtainen, ei hypoteettinen tulevaisuuden tarve.

GDPR:n johdanto-osa tunnistaa nimenomaisesti useita oikeutettuja etuja:

Peruste­kappale	Tunnistettu etu
47	Suoramarkkinointi; rekisteröidyn ja rekisterinpitäjän merkityksellinen ja asianmukainen suhde
48	Konsernin sisäinen tiedonsiirto sisäisiin hallinnollisiin tarkoituksiin
49	Verkko- ja tietoturvallisuuden varmistaminen
50	Rikosten ja väärinkäytösten ehkäiseminen

Etu voi olla myös kolmannen osapuolen tai yleisen edun mukainen – esimerkiksi väärinkäytöstietojen jakaminen toimialan sisällä.

Yksi rajoitus on ehdoton: viranomaiset eivät voi nojata oikeutettuun etuun tehtäviensä suorittamisessa. 6 artiklan 1 kohdan viimeinen alakohta sulkee sen pois. Julkisen sektorin on käytettävä 6 artiklan 1 kohdan c tai e alakohtaa.

Vaihe 2: välttämättömyystesti

Kysymys: onko käsittely tarpeen tämän edun saavuttamiseksi?

“Tarpeen” tarkoittaa unionin oikeudessa enemmän kuin “hyödyllinen”. Testi on kaksiosainen: auttaako käsittely tosiasiallisesti tavoitteen saavuttamisessa, ja onko olemassa vähemmän yksityisyyteen puuttuvaa keinoa, jolla sama lopputulos saavutettaisiin?

Kolme käytännön kysymystä, jotka paljastavat ylimitoituksen:

• Voisiko tavoitteen saavuttaa vähemmillä tietokentillä? Jos poistumaennuste toimii viidellä muuttujalla, kahdenkymmenen kerääminen ei ole välttämätöntä.
• Voisiko sen saavuttaa aggregoidulla tai pseudonymisoidulla datalla? Jos kyllä, tunnistettavien tietojen käsittely ei ole välttämätöntä.
• Voisiko sen saavuttaa lyhyemmällä säilytysajalla? Välttämättömyys koskee myös aikaulottuvuutta – tästä lisää artikkelissa säilytyksen rajoittaminen.

Jos vastaus mihinkään näistä on kyllä, testi ei mene läpi sellaisenaan. Se ei tarkoita, että käsittely olisi kielletty – se tarkoittaa, että käsittelyä on kavennettava.

Vaihe 3: tasapainotesti

Kysymys: syrjäyttävätkö rekisteröidyn edut, perusoikeudet ja vapaudet rekisterinpitäjän edun?

Tämä on se vaihe, jossa arviot kaatuvat. Punninnassa otetaan huomioon:

Tietojen luonne. Mitä arkaluonteisempia tietoja, sitä painavampi on rekisteröidyn puoli. Vaikka erityiset henkilötietoryhmät onkin suljettu pois kokonaan, myös taloudellinen tilanne, sijaintitiedot ja käyttäytymisprofiilit painavat vahvasti.

Rekisteröidyn asema. Työntekijä, lapsi tai potilas on rakenteellisesti heikommassa asemassa. Johdanto-osan 38 perustelukappale korostaa lasten erityistä suojaa.

Käsittelyn vaikutus. Millaisia seurauksia rekisteröidylle voi aiheutua – taloudellisia, maineeseen liittyviä, syrjiviä? Yhdistetäänkö tietoja muihin lähteisiin? Onko käsittely jatkuvaa vai kertaluonteista?

Kohtuulliset odotukset. Johdanto-osan 47 perustelukappaleen mukaan ratkaisevaa on, “voiko rekisteröity kohtuudella odottaa henkilötietojen keräämisen ajankohtana ja niiden yhteydessä, että käsittelyä tähän tarkoitukseen mahdollisesti suoritetaan”. Tämä on punninnan tärkein tekijä. Testaa se rehellisesti: yllättyisikö tyypillinen asiakkaasi, jos hän lukisi tarkalleen mitä teet? Jos vastaus on kyllä, oikeutettu etu ei todennäköisesti kanna.

Lieventävät toimenpiteet. Punnintaa voi kallistaa omaan suuntaan konkreettisilla suojatoimilla: pseudonymisointi, tiukka pääsynhallinta, lyhyt säilytysaika, helppo kieltäytymismekanismi, poikkeuksellisen selkeä informointi. Nämä on kirjattava arvioon, koska ne ovat osa lopputulosta.

Käytännön esimerkki, jossa punninta ei kanna: käyttäytymiseen perustuva mainonta. Unionin tuomioistuin katsoi asiassa C-252/21 (Meta Platforms v. Bundeskartellamt, 4.7.2023), ettei personoidun mainonnan taloudellinen etu syrjäytä käyttäjien etuja, kun käsittely on laajaa ja käyttäjä ei voi kohtuudella odottaa sitä. Verkkoseurannassa evästeisiin liittyy lisäksi itsenäinen suostumusvaatimus sähköisen viestinnän sääntelystä – oikeutettu etu ei ohita sitä. Suostumuksen ehdot on käsitelty artikkelissa suostumus (7 art.).

Milloin oikeutettu etu ei kelpaa?

Tilanne	Miksi ei	Mitä sen sijaan
Erityiset henkilötietoryhmät (terveys, ammattiliitto, vakaumus)	9 artikla vaatii oman poikkeusperusteensa; oikeutettu etu ei ole sellainen	9 art. 2 kohdan peruste, usein nimenomainen suostumus
Viranomaisen lakisääteinen tehtävä	6 art. 1 kohdan viimeinen alakohta sulkee pois	6 art. 1 c tai e
Evästeet ja vastaava päätelaitteelle tallentaminen	Sähköisen viestinnän sääntely vaatii suostumuksen	Suostumus
Sähköinen suoramarkkinointi kuluttajalle	Sähköisen viestinnän palveluista annetun lain (917/2014) suoramarkkinointisäännökset	Suostumus tai olemassa olevaan asiakassuhteeseen perustuva poikkeus
Laaja profilointi ilman odotettavuutta	Punninta kaatuu kohtuullisiin odotuksiin	Suostumus tai käsittelyn kaventaminen

Erityisten henkilötietoryhmien osalta huomaa kaksitasoisuus: tarvitset sekä 6 artiklan perusteen että 9 artiklan poikkeuksen. Oikeutettu etu voi olla se 6 artiklan peruste, mutta se ei koskaan riitä yksinään.

Suoramarkkinointi ja 21 artiklan vastustamisoikeus

Johdanto-osan 47 perustelukappale toteaa, että henkilötietojen käsittelyä suoramarkkinointitarkoituksissa voidaan pitää oikeutetun edun mukaisena. Tämä lause on aiheuttanut enemmän väärinkäsityksiä kuin mikään muu GDPR:n johdanto-osan kohta.

Se ei tarkoita, että suoramarkkinointi olisi automaattisesti sallittua. Se tarkoittaa, että markkinointi voi olla oikeutettu etu, jonka jälkeen kaikki kolme testivaihetta on silti läpäistävä. Ja se tarkoittaa erityisesti, että kanava ratkaisee: postitse lähetettävä markkinointi voi nojata oikeutettuun etuun, mutta sähköpostiin, tekstiviestiin ja automatisoituihin puheluihin sovelletaan sähköisen viestinnän palveluista annetun lain suoramarkkinointisäännöksiä, jotka edellyttävät lähtökohtaisesti ennakkosuostumusta luonnolliselta henkilöltä.

21 artikla on oikeutetun edun rakenteellinen vastapaino:

• 21 artiklan 1 kohta: rekisteröity voi vastustaa oikeutettuun etuun perustuvaa käsittelyä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella. Rekisterinpitäjän on lopetettava käsittely, ellei se osoita huomattavan tärkeää ja perusteltua syytä, joka syrjäyttää rekisteröidyn edut. Todistustaakka kääntyy rekisterinpitäjälle.
• 21 artiklan 2 ja 3 kohta: suoramarkkinoinnin osalta vastustamisoikeus on ehdoton. Punnintaa ei tehdä, poikkeuksia ei ole, ja käsittely on lopetettava välittömästi.
• 21 artiklan 4 kohta: vastustamisoikeudesta on kerrottava selkeästi ja muusta tiedosta erillään viimeistään ensimmäisen yhteydenoton yhteydessä.

Hyväksytty vastustaminen johtaa usein myös poisto-oikeuteen: 17 artiklan 1 kohdan c alakohdan mukaan tiedot on poistettava, jos rekisteröity vastustaa käsittelyä eikä käsittelylle ole perusteltua syytä. Käytännön menettely on kuvattu artikkelissa oikeus tulla unohdetuksi, ja pyyntöjen käsittelyn hallinta artikkelissa tarkastusoikeus.

Näin dokumentoit tasapainotestin (LIA)

Oikeutetun edun arviointi (legitimate interests assessment, LIA) ei ole GDPR:ssä nimeltä mainittu asiakirja, mutta 5 artiklan 2 kohdan osoitusvelvollisuus tekee siitä käytännössä pakollisen. Ilman kirjallista arviota et voi osoittaa, että peruste oli olemassa ennen käsittelyn aloittamista – ja jälkikäteen laadittu arvio on valvontaviranomaiselle heikko todiste.

Minimirakenne:

1. Käsittelyn kuvaus: mitä tietoja, kenestä, mistä lähteestä, kuinka kauan.
2. Tarkoitustesti: mikä etu, kenen etu, miksi se on laillinen ja täsmällinen.
3. Välttämättömyystesti: miksi tämä käsittely, mitä vähemmän intrusiivisia vaihtoehtoja harkittiin ja miksi ne hylättiin.
4. Tasapainotesti: tietojen luonne, rekisteröidyn asema, vaikutukset, kohtuulliset odotukset ja perustelu.
5. Lieventävät toimenpiteet: konkreettiset suojatoimet.
6. Johtopäätös, päiväys ja hyväksyjä.
7. Katselmointiväli.

Arvio on kytkettävä käsittelytoimien selosteeseen, jossa 30 artiklan 1 kohdan b alakohta edellyttää käsittelyn tarkoitusten kuvausta, ja tietosuojaselosteeseen, jossa 13 artiklan 1 kohdan d alakohta velvoittaa nimeämään tavoitellut oikeutetut edut. Geneerinen maininta “käsittely perustuu oikeutettuun etuun” ei täytä tätä – edut on yksilöitävä. Korkean riskin käsittelyssä LIA kannattaa liittää osaksi vaikutustenarviointia eikä laatia erillisenä asiakirjana. Jos käsittelyyn liittyy siirto EU:n ulkopuolelle, tarvitaan lisäksi V luvun mukainen siirtoperuste – katso henkilötietojen siirrot EU:n ulkopuolelle.

Kun perusteita on kymmeniä eri käsittelytoimille, arviot vanhenevat huomaamatta. Käytännössä LIA:t kannattaa säilyttää samassa järjestelmässä kuin seloste ja katselmointikalenteri – tähän tietosuojaohjelmistot on rakennettu, ja ne pitävät myös perusteen ja informoinnin keskenään yhdenmukaisina. Valvontaviranomaisen linja Suomessa: tietosuojavaltuutettu. Säädöstekstin löydät EUR-Lexistä ja tulkinta-aineiston Euroopan tietosuojaneuvoston sivustolta.

Usein kysytyt kysymykset

Milloin oikeutettu etu on parempi peruste kuin suostumus?

Kun käsittely on rekisteröidyn kohtuullisesti odotettavissa ja sen keskeytyminen olisi ongelmallista. Suostumus on peruutettavissa milloin tahansa, joten se sopii huonosti käsittelyyn, jonka on jatkuttava – kuten väärinkäytösten estämiseen tai tietoturvaan. Suostumus taas on pakollinen evästeissä ja sähköisessä suoramarkkinoinnissa, eikä oikeutettu etu voi korvata sitä.

Onko tasapainotesti pakko kirjata ylös?

GDPR ei nimeä LIA-asiakirjaa, mutta 5 artiklan 2 kohdan osoitusvelvollisuus edellyttää, että pystyt osoittamaan perusteen olemassaolon. Käytännössä tämä tarkoittaa kirjallista arviota, joka on päivätty ennen käsittelyn aloittamista.

Voiko suoramarkkinoinnin perustaa oikeutettuun etuun?

Johdanto-osan 47 perustelukappale tunnistaa suoramarkkinoinnin mahdolliseksi oikeutetuksi eduksi, mutta kaikki kolme testivaihetta on silti läpäistävä. Sähköiseen suoramarkkinointiin sovelletaan lisäksi sähköisen viestinnän palveluista annetun lain säännöksiä, jotka edellyttävät luonnolliselta henkilöltä lähtökohtaisesti ennakkosuostumusta. Vastustamisoikeus on suoramarkkinoinnissa ehdoton.

Mitä tapahtuu, kun rekisteröity vastustaa käsittelyä?

Suoramarkkinoinnissa käsittely on lopetettava välittömästi ilman punnintaa. Muussa oikeutettuun etuun perustuvassa käsittelyssä rekisterinpitäjän on lopetettava käsittely, ellei se osoita huomattavan tärkeää ja perusteltua syytä, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet. Todistustaakka on rekisterinpitäjällä.

Kuinka usein tasapainotesti on päivitettävä?

Aina kun käsittelyn tarkoitus, tietoryhmät, säilytysaika, vastaanottajat tai teknologia muuttuu – ja muutoin vuosittaisena katselmointina. Vanhentunut arvio on osoitusvelvollisuuden näkökulmasta lähes yhtä heikko kuin puuttuva.

Yhteenveto

Oikeutettu etu on GDPR:n joustavin käsittelyperuste, mutta joustavuus maksetaan dokumentaatiolla. Kirjaa etu täsmällisesti, perustele välttämättömyys hylättyjen vaihtoehtojen kautta ja tee tasapainotesti rehellisesti kohtuullisten odotusten kriteeriä vasten – jos asiakkaasi yllättyisi, peruste ei kanna. Muista rajat: viranomaiset, erityiset henkilötietoryhmät, evästeet ja sähköinen suoramarkkinointi ovat sen ulottumattomissa. Ja varaudu 21 artiklaan: vastustamisoikeus kääntää todistustaakan, ja suoramarkkinoinnissa se on ehdoton.

Viimeksi tarkistettu: heinäkuu 2026.