Henkilötietojen täsmällisyys tarkoittaa, että tieto vastaa sitä, mitä sillä kuvataan, ja että ajantasaisuus riittää käsittelyn tarkoitukseen. Virheellinen toimitusosoite, väärälle henkilölle kohdistettu suoritus tai vanhentunut maksuhäiriömerkintä voivat johtaa aivan erilaisiin haittoihin. Siksi laadunhallinta alkaa tiedon käyttötarkoituksesta ja henkilölle aiheutuvista seurauksista.
GDPR:n 5 artiklan 1 kohdan d alakohta edellyttää täsmällisiä ja tarvittaessa päivitettyjä henkilötietoja sekä kohtuullisia toimia epätarkkojen tai virheellisten tietojen oikaisemiseksi tai poistamiseksi viipymättä. Velvoite ei synny vasta henkilön valittaessa. GDPR:n täsmällisyysperiaate.
Tässä oppaassa kuvitteellinen Reittikurssi Oy korjaa koulutusosallistujan tiedon, joka on levinnyt asiakasjärjestelmästä todistuksiin ja työnantajalle toimitettuun raporttiin. Esimerkin henkilöt, lukumäärät ja järjestelmähavainnot ovat keksittyjä. Tavoitteena on näyttää, miten yksittäisen kentän muuttamisesta päästään virheen syyn ja vaikutusten hallintaan.
Erota muototarkistus todellisesta oikeellisuudesta
Sähköpostiosoitteen tekninen muoto voi olla oikea, vaikka osoite kuuluisi toiselle henkilölle. Päivämäärä voi olla sallittua muotoa, mutta väärältä vuodelta. Kaksi järjestelmää voi sisältää saman tiedon ja olla silti yhtä aikaa väärässä, jos molemmat kopioivat saman virheellisen lähteen.
Reittikurssi tarkistaa ilmoittautumislomakkeessa pakolliset kentät ja näyttää käyttäjälle yhteenvedon ennen lähettämistä. Nimen kenttä hyväksyy ääkköset, välilyönnit ja yhdysmerkit. Yritys ei pakota todellista nimeä virheelliseen muotoon vain siksi, että vanha rajapinta odottaa yksiosaista sukunimeä. Jos rajapinta ei tue tarpeellista tietoa, tekninen rajoite käsitellään korjattavana puutteena.
Lomakkeeseen ei kuitenkaan lisätä henkilöllisyystodistuksen kopiota jokaisen kirjoitusvirheen varalta. Varmistuksen laajuus suhteutetaan tilanteeseen. Tietojen minimointi lomakkeissa auttaa valitsemaan, mitä tietoa tarvitaan tunnistamiseen ja mitä ei. Enemmän kerättyä tietoa ei automaattisesti tarkoita parempaa laatua.
Nimeä tiedon lähde ja päätä, kumpi järjestelmä määrää
Reittikurssin ilmoittautuminen siirtyy asiakasjärjestelmään, kouluttajan osallistujalistaan ja todistuspalveluun. Alkuperäisessä toteutuksessa jokainen järjestelmä voi päivittää nimen takaisin asiakasjärjestelmään. Tämä johtaa ongelmaan: korjattu tieto vaihtuu seuraavana yönä vanhaksi, kun todistuspalvelu lähettää oman kopionsa takaisin.
Yritys määrittelee kenttäkohtaiset vastuut. Osallistujan vahvistettu nimi ylläpidetään asiakasjärjestelmässä. Kurssin suoritusmerkintä syntyy kouluttajan hyväksymästä osallistumisesta. Todistuspalvelu käyttää näitä tietoja mutta ei ylikirjoita niiden lähdettä. Rajapinnalle kirjataan myös muutoksen aika ja tunniste, jotta vanhaa vientiä ei pidetä uutena päivityksenä.
Tietosuojavaltuutetun ohjeessa korostetaan tiedon oikeellisuuden varmistamista etenkin merkittäviä päätöksiä tehtäessä. Ohje neuvoo kirjaamaan toiselta rekisterinpitäjältä saadun tiedon lähteen, jotta virhe voidaan välittää myös alkuperäiselle lähteelle. Tietojen täsmällisyys, tietosuojavaltuutetun toimisto.
Järjestelmäkartoitukseen merkitään siksi tietokantojen lisäksi raportit, ladatut taulukot ja lähetyspalvelut. Pelkkä pääjärjestelmän tietue ei kerro kaikkia paikkoja, joissa virhe voi vaikuttaa. Reittikurssin kouluttajalla on esimerkiksi jo ladattu lista, jota rajapintakorjaus ei muuta.
Täytetty korjausketju yhdelle osallistujalle
Kuvitteellinen osallistuja Leena Koskela huomaa todistuksessaan toisen henkilön kurssimerkinnän. Asiakasjärjestelmässä on kaksi samannimistä henkilöä. Tuonti on yhdistänyt heidät nimen perusteella, vaikka ilmoittautumisten tunnisteet eroavat. Kyse ei siis ole vain todistuksen ulkoasuvirheestä.
| Vaihe | Reittikurssin havainto | Toteutettu päätös |
|---|---|---|
| Pyynnön vastaanotto | Henkilö kiistää hänelle merkityn suorituksen | Asia tunnistetaan henkilötiedon oikaisuksi ja mahdolliseksi laajemmaksi virheeksi |
| Lähteen selvitys | Kaksi ilmoittautumista yhdistetty samalla nimellä | Tietueiden automaattinen yhdistäminen keskeytetään |
| Oikean henkilön varmistus | Ilmoittautumistunniste ja henkilön aiempi asiointi erottavat tietueet | Tarpeettomia uusia asiakirjoja ei pyydetä |
| Pääjärjestelmän korjaus | Väärä suoritus liittyy väärään tunnisteeseen | Suoritus kohdistetaan oikeaan osallistumiseen |
| Johdettu aineisto | Todistus ja työnantajaraportti sisältävät saman virheen | Todistus korvataan ja raportin vastaanottajalle ilmoitetaan korjauksesta |
| Uusintatarkistus | Yöajo voisi palauttaa vanhan yhdistelyn | Korjattu tuontisääntö kokeillaan kahdella erillisellä tietueella |
Reittikurssi kertoo osallistujalle, mitä on korjattu ja mitkä vastaanottajatoimet ovat vielä kesken. Viestissä ei paljasteta toisen samannimisen henkilön muita kurssitietoja. Korjauksen toteuttaminen ei oikeuta laajentamaan tietojen luovutusta tarpeettomasti.
Yritys selvittää lisäksi, onko virheellinen raportti voinut vaikuttaa työnantajan päätökseen. Jos näin on, pelkkä oikean arvon lähettäminen ei välttämättä riitä käytännön haitan poistamiseen. Vastaanottajaa pyydetään tarkistamaan virheeseen perustuneet jatkotoimet. Rekisterinpitäjien omat vastuut arvioidaan niiden tosiasiallisen käsittelyn perusteella.
Hoida oikaisupyyntö viivyttelemättä
Tietosuojavaltuutetun ohjeen mukaan pyyntöön vastataan ilman aiheetonta viivytystä ja viimeistään kuukaudessa. Monimutkaisuus tai pyyntöjen määrä voi perustella enintään kahden kuukauden jatkon, josta ilmoitetaan perusteluineen ensimmäisen kuukauden aikana. Jos korjausta ei tehdä, kieltäytyminen perustellaan ja oikeussuojakeinoista kerrotaan. Oikeus oikaista tietoja.
Reittikurssi ei odota kuukauden päättymistä, kun selvä yhdistelyvirhe on jo varmistettu. Se korjaa käytössä olevan tiedon ja vastaa henkilölle työn edetessä. Oikaisuoikeuden toteutuksessa erotetaan varsinainen korjaus, täydentävä selvitys ja kiistetyn arvion käsittely. Jokaisen pyynnön lopputulos ei ole sama.
Jos henkilötietojen paikkansapitävyys kiistetään, 18 artiklan mukainen oikeus käsittelyn rajoittamiseen voi koskea tarkistukseen tarvittavaa aikaa. Rajoitetun tiedon käyttöä koskevat erilliset ehdot, eikä rajoitus tarkoita tietojen vapaata käyttöä selvityksen aikana. Ennen rajoituksen poistamista rekisteröidylle ilmoitetaan. Reittikurssin työjonossa epäselvä suoritus ei siksi lähde uuteen työnantajaraporttiin pelkän avoimen selvitysmerkinnän rinnalla.
Ilmoita korjauksesta vastaanottajille
GDPR:n 19 artikla edellyttää ilmoittamaan oikaisuista, poistoista ja käsittelyn rajoituksista vastaanottajille, joille tietoja on luovutettu, ellei tämä osoittaudu mahdottomaksi tai vaadi kohtuutonta vaivaa. Rekisteröidylle kerrotaan vastaanottajista hänen pyytäessään. Teknisen kopion sijainti ja oikeudellinen vastaanottaja on siten pystyttävä selvittämään.
Reittikurssin luettelossa on todistuspalvelu käsittelijänä ja osallistujan työnantaja raportin vastaanottajana. Kouluttajan paikallinen lista kuuluu myös korjaustyöhön. Yritys lähettää rajatun korjausviestin, jossa yksilöidään asianomainen raportti ja virheellinen tieto. Kokonaista uutta osallistujaluetteloa ei lähetetä kaikille aiemman virheen korjaamiseksi.
Vastaanottajan osoitteen puuttuminen ei johda automaattiseen merkintään ”kohtuuton vaiva”. Ensin selvitetään, mistä aiempi lähetys löytyy ja voidaanko vastaanottaja tunnistaa kohtuullisin toimin. Mahdollinen poikkeus perustellaan konkreettisesti. Osoitusvelvollisuuden dokumentaatioon tallennetaan toimet ja ratkaisematta jäänyt osa.
Historiallinen tieto ja nykyinen tieto palvelevat eri tarkoituksia
Osallistujan nykyinen sukunimi voidaan päivittää yhteystietoihin ilman, että vanha allekirjoitettu sopimus kirjoitetaan jälkikäteen uuden nimiseksi. Historiallinen asiakirja voi kuvata oikein tapahtumahetken tilannetta. Sen käyttäminen nykyisen nimen lähteenä voi silti olla virheellistä. Reittikurssi erottaa asiakirjan tapahtuma-ajan ja nykyisen asiointitiedon.
Samoin kouluttajan arvio on kirjattava arviointina, oikean henkilön lausumana ja oikeaan ajankohtaan. Jos arvio perustui väärän osallistujan suoritukseen, pelkkä merkintä ”henkilö on eri mieltä” ei korjaa alkuperäistä virhettä. Jos erimielisyys koskee asianmukaisesti kirjattua ammatillista arviota, korjauksen tai täydennyksen tarve arvioidaan käyttötarkoituksen mukaan eikä mielipidettä automaattisesti muuteta henkilön toivomaksi.
Nowak-ratkaisussa tuomioistuin erotti tutkintovastauksen sisällöllisen virheen henkilötiedon virheestä: tietosuoja ei anna mahdollisuutta kirjoittaa väärää koevastausta jälkikäteen oikeaksi. Sen sijaan toiselle henkilölle kohdistettu vastaus tai puutteellisesti tallennettu arvio voi olla oikaistava. Ratkaisu koski aiempaa tietosuojadirektiiviä ja havainnollistaa tarkoitussidonnaista arviointia. Nowak, C-434/16, 52–54 kohdat.
Mittaa virheen vaikutusta ja uusiutumista
Reittikurssi tarkistaa kaikki samalla tuontierällä yhdistetyt tietueet. Esimerkissä 180 ilmoittautumisesta kuudessa käytettiin riskialtista nimivertailua, ja kahdessa tiedot olivat tosiasiassa yhdistyneet väärin. Yritys erottaa epäillyt tapaukset vahvistetuista virheistä. Se ei ilmoita kuutta todettua henkilötietovirhettä vain siksi, että kuusi tapausta vaatii tarkastuksen.
Korjauksen onnistumista mitataan kolmella kysymyksellä: onko lähdetieto oikein, ovatko johdetut aineistot korjattu ja voiko seuraava tuonti palauttaa virheen? Yksittäinen onnistunut tallennus vastaa vain ensimmäiseen. Seurantaan lisätään myös niiden oikaisujen määrä, joissa virhe uusiutui, sekä aika, jonka epäselvä tieto oli päätöksenteon käytössä.
Automaattisessa päätöksenteossa virhe voi monistua nopeasti. Reittikurssi tarkistaa siksi tiedon lisäksi sen perusteella muodostetut pisteet ja valintatilat. Muutettu syöte ei välttämättä päivitä aiemmin laskettua arvoa, jos järjestelmä tallentaa tuloksen erilliseksi tietueeksi.
Estä laadun parantamisen muuttuminen tarpeettomaksi keruuksi
Yritys harkitsee henkilötietojen rikastamista ulkoisesta rekisteristä samannimisten erottamiseksi. Ensin arvioidaan, riittäisikö jo olemassa oleva ilmoittautumistunniste. Tässä esimerkissä riittää, joten laajempi ulkoinen haku hylätään. Samalla poistetaan käytöstä epävarma nimiyhdistely, joka ongelman aiheutti.
Käyttötarkoitussidonnaisuus ja säilytyksen rajoittaminen koskevat myös laadunhallinnan aineistoa. Korjauksen näyttöä varten tarvittava rajattu tapahtumamerkintä on eri asia kuin kaikkien vanhojen, virheellisten asiakaslistojen pysyvä säilyttäminen. Reittikurssi määrittelee, mitä näyttöä tarvitaan ja kuka sitä saa käyttää.
Varmuuskopioiden osalta palautusohjeeseen lisätään korjausten huomioiminen ennen palautetun aineiston ottamista käyttöön. Muuten oikein korjattu asiakasjärjestelmä voisi palata vanhaan virheeseen häiriön jälkeen. Tätä yhteyttä käsitellään palautumissuunnitelmassa, jotta tiedon saatavuuden palautus ei samalla palauta jo korjattua haittaa.
Anna jokaiselle tiedolle vastuullinen omistaja
Reittikurssissa asiakaspalvelu vastaanottaa pyynnön, koulutuspäällikkö varmistaa suoritustiedon, IT korjaa yhdistelyn ja prosessin omistaja tarkistaa vastaanottajaviestit. Tietosuojavastaava neuvoo oikeuksien ja riskien arvioinnissa. Tehtävää ei suljeta vain siksi, että se on siirretty toiselle tiimille.
Lopuksi osallistujalle kerrotaan ymmärrettävästi korjattu tieto, toteutetut toimet ja mahdolliset avoimet asiat. Organisaatiolle jää näyttö korjauksesta ja sen syystä. Näin täsmällisyys ei jää yleiseksi lupaukseksi tietosuojaselosteessa, vaan se näkyy tiedon keruussa, päivityksissä, päätöksissä ja korjausten jälkeisessä seurannassa.