Suostumus on yksi kuudesta käsittelyperusteesta, joilla henkilötietoja saa käsitellä. Yleisen tietosuoja-asetuksen (GDPR) 4 artiklan 11 kohdan ja 7 artiklan mukaan pätevä suostumus on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Suostumus ei ole “oletusarvoinen” käsittelyperuste: usein sopimus tai oikeutettu etu on osuvampi. Kun suostumusta kuitenkin käytetään, sen on täytettävä kaikki neljä ehtoa – muuten käsittely on lainvastaista. Tämä opas käy läpi pätevän suostumuksen ehdot, sen pyytämisen ja peruuttamisen sekä konkreettiset esimerkit oikeista ja vääristä muotoiluista.
Yhdistyksessä jäsenrekisterin ja muun toiminnan tietosuoja auttaa erottamaan jäsenyyden hoitamisen, tapahtumat ja vapaaehtoisen julkisuuden. Jäsenyyteen liittyviä tietoja ei pidä käsitellä yhden yleisen suostumuksen varassa.
Pätevän suostumuksen neljä ehtoa
Pätevä suostumus edellyttää neljää asiaa:
- Vapaaehtoisuus. Rekisteröidyllä on oltava aito valinta. Suostumus ei ole vapaaehtoinen, jos siitä kieltäytyminen aiheuttaa haittaa tai jos palvelun saaminen edellyttää suostumusta käsittelyyn, joka ei ole palvelun kannalta välttämätöntä (7 artiklan 4 kohta, “niputtamiskielto”). Myös vahva valta-asema, kuten työnantajan ja työntekijän suhde, heikentää vapaaehtoisuutta.
- Yksilöidyt. Suostumus on pyydettävä erikseen kuhunkin tarkoitukseen. Yksi rasti “hyväksyn kaiken” ei ole pätevä, jos käsittelyllä on useita eri tarkoituksia.
- Tietoisuus. Rekisteröidyn on tiedettävä vähintään rekisterinpitäjän henkilöllisyys, käsittelyn tarkoitukset, käsiteltävät tiedot ja oikeus peruuttaa suostumus.
- Yksiselitteisyys. Suostumus edellyttää selkeää aktiivista toimea. Valmiiksi rastitettu ruutu, vaikeneminen tai palvelun käytön jatkaminen eivät ole pätevä suostumus (johdanto-osan 32 kappale).
Työhönotossa huumausainetodistuksen pyytämisen edellytykset on arvioitava erikseen. Suostumuksen hankkiminen ei poista tehtävään, työpaikan menettelyihin ja käsiteltävän todistuksen sisältöön liittyviä lakisääteisiä rajoja.
Kun erityisten henkilötietoryhmien käsittely perustuu 9 artiklan 2 kohdan a alakohdan suostumukseen, sen on oltava nimenomainen ja koskettava yksilöityjä tarkoituksia; unionin tai jäsenvaltion laki voi silti estää käsittelykiellon poistamisen suostumuksella. Suostumus ei ole ainoa 9 artiklan poikkeus: käsittely voi täyttää muun kyseisessä artiklassa säädetyn poikkeuksen ehdot. Lisäksi tarvitaan 6 artiklan mukainen käsittelyperuste. Nimenomaisuus voidaan toteuttaa esimerkiksi erillisellä kirjallisella vahvistuksella, mutta yksi muoto ei yksin takaa suostumuksen pätevyyttä.
Osoitusvelvollisuus ja peruuttaminen
7 artiklan 1 kohta velvoittaa rekisterinpitäjän osoittamaan, että rekisteröity on antanut suostumuksen. Tämä tarkoittaa suostumuksen dokumentointia: kuka antoi suostumuksen, milloin, mihin tarkoitukseen ja minkä tekstin perusteella. Suostumuksen keräämisen kirjaaminen kannattaa tehdä osaksi järjestelmää, ei irrallisiin taulukoihin.
7 artiklan 3 kohta antaa rekisteröidylle oikeuden peruuttaa suostumus milloin tahansa, ja peruuttamisen on oltava yhtä helppoa kuin sen antaminen. Jos suostumus annettiin yhdellä napsautuksella, sen peruuttaminen ei saa edellyttää puhelinsoittoa tai lomakkeen täyttöä. Peruuttaminen ei vaikuta ennen sitä tehdyn käsittelyn lainmukaisuuteen, mutta peruuttamisen jälkeen käsittely on lopetettava, ellei muuta perustetta ole – ja tiedot voi jouduttava poistamaan oikeuden tulla unohdetuksi nojalla.
Muistin virkistykseksi: suostumus ei ole ainoa peruste. Jos käsittely on välttämätöntä sopimuksen täyttämiseksi, sopimus (6 artiklan 1 kohdan b alakohta) on parempi peruste kuin suostumus, koska se ei ole peruutettavissa samalla tavalla. Valitse peruste käsittelyn todellisen luonteen mukaan, älä pyydä suostumusta “varmuuden vuoksi”.
Suostumuksen peruuttamisen helppous on käytännössä usein laiminlyöty vaatimus. Jos suostumus annettiin verkkolomakkeella yhdellä napsautuksella, sen peruuttamisen on onnistuttava yhtä vaivattomasti – esimerkiksi selkeällä “peruuta tilaus” -linkillä tai käyttäjätilin asetuksista. Peruuttamisen piilottaminen monivaiheisen prosessin taakse tai sen edellyttäminen puhelimitse ei täytä 7 artiklan 3 kohtaa. Rakenna peruutusmekanismi siksi valmiiksi osaksi palvelua, älä erillisenä hallinnollisena prosessina. Huomaa myös, että suostumuksen on oltava erotettavissa muista asioista: jos se on upotettu pitkiin sopimus- tai käyttöehtoihin, se ei täytä vaatimusta selkeästi erotettavasta, ymmärrettävästä pyynnöstä (7 artiklan 2 kohta). Suostumus pyydetään omana, selkeänä toimenaan.
Esimerkkejä: oikein ja väärin
Uutiskirjeen tilaus – oikein: erillinen, valmiiksi rastittamaton ruutu: “Haluan tilata uutiskirjeen ja hyväksyn, että sähköpostiosoitettani käsitellään uutiskirjeen lähettämiseen. Voin peruuttaa tilauksen milloin tahansa jokaisen viestin lopussa olevasta linkistä.” Aktiivinen toimi, yksilöity tarkoitus, peruutusohje.
Uutiskirjeen tilaus – väärin: valmiiksi rastitettu ruutu tai ehto “tilaamalla palvelun hyväksyt markkinoinnin”. Ei aktiivista toimea, ei aitoa valintaa.
Verkkokaupan tilaus – oikein: toimitusosoitteen käsittely perustuu sopimukseen, ei suostumukseen – suostumusta ei pyydetä lainkaan tilauksen toimittamiseen. Erillinen suostumus pyydetään vain markkinointiin.
Tee vastaava erottelu koko verkkokaupan asiakastietojen käsittelyssä: ostaminen, asiakastili, toimitus, maksaminen ja markkinointi tarvitsevat omat perustellut ratkaisunsa.
Verkkokaupan tilaus – väärin: “Tilauksen tekeminen edellyttää suostumusta tietojen luovuttamiseen yhteistyökumppaneille.” Tämä niputtaa palvelun ja tarpeettoman käsittelyn (7 artiklan 4 kohta) eikä ole vapaaehtoinen.
Evästeet – oikein: evästebanneri, jossa “Hyväksy kaikki” ja “Hylkää kaikki” ovat yhtä näkyvästi esillä ja ei-välttämättömät evästeet ovat oletuksena pois päältä.
Evästeet – väärin: vain “Hyväksy”-painike, valmiiksi valitut seurantaevästeet tai “jatkamalla hyväksyt evästeet”. Kumpi lopputulos syntyy, riippuu pitkälti käytetystä työkalusta ja sen asetuksista — valintakriteerit on käyty läpi suostumustenhallinta-alustojen vertailussa.
Esirastitetut valintaruudut ovat toistuva ongelma myös Suomessa. Tietosuojavaltuutetun toimiston seuraamuskollegio määräsi marraskuussa 2024 Postille 2,4 miljoonan euron seuraamusmaksun OmaPosti-palvelun tietosuojapuutteista, joihin liittyi muun muassa esirastitettuja valintaruutuja ja palvelujen niputtamista; Helsingin hallinto-oikeus sittemmin kumosi maksun mutta piti voimassa informoinnin puutetta koskevan huomautuksen (tietosuoja.fi). Tapaus muistuttaa, että suostumuksen keräämisen tapaan kannattaa suhtautua vakavasti; sama ilmenee muistakin kotimaisista tietosuojaseuraamuksista.
Suostumus osana kokonaisuutta
Suostumus ei toimi tyhjiössä. Kun käytät suostumusta, varmista, että:
- käsittelyperuste on merkitty käsittelytoimien selosteeseen;
- suostumuksen ehdot kuvataan tietosuojaselosteessa;
- peruutus johtaa käsittelyn lopettamiseen ja tarvittaessa tietojen poistamiseen;
- suostumuslomakkeet on suunniteltu sisäänrakennetun tietosuojan periaatteen mukaan.
Suostumus erityistilanteissa: lapset, työsuhde ja tutkimus
Suostumuksen pätevyys arvioidaan tiukemmin tietyissä tilanteissa, joissa vapaaehtoisuus tai ymmärrys on heikentynyt.
Lapset. Kun tietoyhteiskunnan palveluja tarjotaan suoraan lapselle, 8 artikla edellyttää huoltajan suostumusta tai hyväksyntää, jos lapsi on alle ikärajan. GDPR:n oletusikäraja on 16 vuotta, mutta jäsenvaltiot voivat laskea sen 13 vuoteen. Suomen tietosuojalaissa (1050/2018) ikäraja on 13 vuotta. Alle 13-vuotiaan osalta suostumuksen antaa tai hyväksyy huoltaja, ja rekisterinpitäjän on kohtuullisin toimin varmennettava hyväksyntä.
Työsuhde. Työnantajan ja työntekijän välillä vallitsee valta-asema, joka heikentää suostumuksen vapaaehtoisuutta. Työntekijä ei useinkaan voi aidosti kieltäytyä ilman pelkoa haitasta. Siksi suostumus ei yleensä ole pätevä peruste työsuhteessa, vaan käsittely on perustettava esimerkiksi työsopimukseen, lakisääteiseen velvoitteeseen tai oikeutettuun etuun. Työelämän tietosuojasta on Suomessa lisäksi erityislaki (laki yksityisyyden suojasta työelämässä), joka rajoittaa muun muassa työntekijöiden valvontaa.
Tieteellinen tutkimus. Tutkimuksessa suostumus on yleinen mutta ei ainoa peruste. GDPR sallii joustoa: suostumus voidaan antaa tietyille tutkimusalueille, jos tutkimuksen tarkoitusta ei voida yksilöidä täysin keräysvaiheessa (johdanto-osan 33 kappale). Erityisiä henkilötietoryhmiä käsiteltäessä tarvitaan lisäksi 9 artiklan peruste, joka voi olla nimenomainen suostumus tai tutkimusta koskeva erityissäännös.
Kaikissa näissä tilanteissa pätee sama periaate: valitse peruste käsittelyn todellisen luonteen ja osapuolten aseman mukaan. Kirjaa valittu peruste käsittelytoimien selosteeseen, jotta se on johdonmukainen läpi organisaation.
Usein kysytyt kysymykset
Onko suostumus aina paras käsittelyperuste?
Ei. Suostumus on vain yksi kuudesta perusteesta, ja se on peruutettavissa milloin tahansa. Jos käsittely on välttämätöntä sopimuksen täyttämiseksi tai perustuu oikeutettuun etuun, nämä perusteet ovat usein osuvampia ja vakaampia. Suostumusta ei pidä pyytää “varmuuden vuoksi”, jos käsittelylle on muu peruste.
Kelpaako valmiiksi rastitettu ruutu suostumukseksi?
Ei. Yksiselitteinen suostumus edellyttää selkeää aktiivista toimea. Valmiiksi rastitettu ruutu, vaikeneminen tai palvelun käytön jatkaminen eivät ole pätevä suostumus. Tämä on vahvistettu sekä GDPR:n johdanto-osassa että unionin tuomioistuimen oikeuskäytännössä.
Miten suostumus peruutetaan?
Rekisteröity voi peruuttaa suostumuksen milloin tahansa, ja peruuttamisen on oltava yhtä helppoa kuin antaminen (7 artiklan 3 kohta). Peruuttaminen ei vaikuta sitä ennen tehdyn käsittelyn lainmukaisuuteen, mutta sen jälkeen käsittely on lopetettava, ellei ole muuta perustetta.
Mitä tarkoittaa niputtamiskielto?
7 artiklan 4 kohdan mukaan palvelun tarjoamista ei saa asettaa riippuvaiseksi suostumuksesta sellaiseen käsittelyyn, joka ei ole palvelun kannalta välttämätöntä. Esimerkiksi verkkokaupan tilausta ei saa edellyttää suostumusta tietojen luovuttamiseen markkinointikumppaneille – tällainen suostumus ei ole vapaaehtoinen.
Kuinka kauan suostumus on voimassa?
GDPR ei aseta suostumukselle kiinteää voimassaoloaikaa, mutta suostumus vanhenee, jos käsittelyn tarkoitus tai olosuhteet muuttuvat olennaisesti. Hyvä käytäntö on tarkistaa pitkäkestoiset suostumukset määräajoin ja pyytää uusi suostumus, jos alkuperäinen ei enää vastaa käsittelyä. Suostumuksen peruuttaminen päättää voimassaolon välittömästi.
Onko suostumus dokumentoitava?
Kyllä. 7 artiklan 1 kohta velvoittaa rekisterinpitäjän osoittamaan, että suostumus on annettu. Dokumentoi kuka antoi suostumuksen, milloin, mihin tarkoitukseen ja minkä tekstin perusteella. Ilman dokumentaatiota et voi osoittaa käsittelyn lainmukaisuutta, ja todistustaakka on rekisterinpitäjällä.
Yhteenveto
Suostumus on GDPR 7 artiklan mukainen käsittelyperuste, joka on pätevä vain, jos se on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Se edellyttää aktiivista toimea – valmiiksi rastitettu ruutu ei kelpaa – ja se on voitava peruuttaa yhtä helposti kuin antaa. Rekisterinpitäjän on kyettävä osoittamaan suostumus. Käytä suostumusta vain, kun se on osuvin peruste, dokumentoi se ja suunnittele suostumuslomakkeet huolellisesti. Esirastitetut ruudut ja palvelujen niputtaminen ovat toistuvia virheitä, joihin myös suomalainen valvonta on puuttunut.