henkilötietojen luovuttaminen - opetusala

Säädösperusta:	Henkilötietolain mukainen päätös
Antopäivä:	15.03.2013
Diaarinumero:	2853/44/2012

ASIA

Millä edellytyksillä yliopisto voi luovuttaa lopputyötään tekevälle opiskelijalle muiden opiskelijoiden yhteystietoja. Tietoja pyydettiin lopputyöhön liittyvän kyselyn lähettämistä varten.

TIETOSUOJAVALTUUTETUN OHJAUS

Sovellettava lainsäädäntö

Kaikki tiettyyn henkilöön yhdistettävissä olevat tiedot ovat henkilötietoja (HTL 3 § 1 kohta). Henkilötietojen käsittelyyn sovelletaan toimintaa koskevaa lainsäädäntöä (esimerkiksi yliopistolaki) ja viranomaisten toiminnan julkisuudesta annettua lakia (julkisuuslaki) silloin, kun on kyse lain soveltamisalaan kuuluvasta toiminnasta (kts. julkisuuslain 4 § ja yliopistolain 30 §). Henkilötietolakia (HTL) sovelletaan henkilötietojen käsittelyyn yleislakina. Rekisterinpitäjä vastaa henkiltietojen käsittelystä (HTL 3 § 4 kohta).

Toimintaa koskevassa erityislainsäädännössä voi olla salassapitosäännöksiä. Keskeinen viranomaistoimintaan sovellettava salassapitosäännös on viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslaki) 24 §. Tietosuojavaltuutetun toimivaltaan ei kuulu ottaa kantaa siihen, mitkä tiedot ovat salassa pidettäviä. Tulee kuitenkin huomioida, että myös henkilön kuuluminen määrätyllä otantaperusteella valittuun kohderyhmään voi paljastaa salassa pidettävän tiedon.

Henkilötietojen luovuttaminen tutkimuksen tekemiseksi

Kun opiskelija tekee lopputyötään ja pyytää siinä tarkoituksessa henkilötietoja, kyse on henkilötietojen luovuttamisesta henkilörekisteristä, ellei tutkimuksen tekemisen voida katsoa tapahtuvan rekisterinpitäjän (esimerkiksi oppilaitoksen) oman toiminnan tarpeisiin toimeksiantosopimuksen perusteella (HTL 8.1 § 7 kohta). Jos rekisterinpitäjän toimintaan sovelletaan julkisuuslakia, henkilötietojen luovuttamisen edellytyksistä säädetään julkisuuslaissa (HTL 8.4 §). Julkisuuslain 16 §:n 3 momentissa säädetään siitä, millä edellytyksillä viranomaisen henkilörekisteristä voi luovuttaa julkisia henkilötietoja. Edellytyksenä on, että luovutuksen saajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Asiasta kerrotaan tarkemmin tietosuojavaltuutetun oppaassa Henkilötietojen luovuttaminen viranomaisten henkilörekistereistä (kts. lisätiedot). Salassa pidettävien tietojen luovuttamisen edellytykset ilmenevät julkisuuslain 7 luvusta.

Henkilötietoja voidaan käsitellä historiallista tutkimusta tai tieteellistä tutkimusta varten, kun henkilötietolain 14 §:ssä mainitut edellytykset täyttyvät. Edellytyksenä on, että tutkimusta ei voi suorittaa ilman henkilön yksilöintiä koskevia tietoja eikä rekisteröityjen suostumusta ole tietojen suuren määrän, tietojen iän tai muun sellaisen syyn vuoksi mahdollista hankkia. Henkilörekisterin käytön tulee perustua asianmukaiseen tutkimussuunnitelmaan ja tutkimuksella tulee olla vastuullinen johtaja tai siitä vastaava ryhmä. Edellytyksenä on myös, että henkilörekisteriä käytetään ja siitä luovutetaan henkilötietoja vain historiallista tai tieteellistä tutkimusta varten sekä muutoinkin toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille. Lisäksi henkilörekisteri tulee hävittää tai siirtää arkistoitavaksi tai sen tiedot muuttaa sellaiseen muotoon, ettei tiedon kohde ole niistä tunnistettavissa, kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi. Henkilötietolain velvoitteista kerrotaan tarkemmin tietosuojavaltuutetun toimiston oppaassa Tietosuoja ja tieteellinen tutkimus henkilötietolain kannalta

Kaikkien henkilötietolain 14 §:n 1 momentin edellytysten on täytyttävä yhtäaikaa, jotta henkilötietoja voidaan tämän pykälän nojalla käsitellä historiallista tai tieteellistä tutkimusta varten. Henkilörekisterin käyttö perustuu asianmukaiseen tutkimussuunnitelmaan. Tutkimussuunnitelma edellyttää rekisterin tietojen sitomista tiettyyn hankkeeseen. Käsite asianmukainen tutkimussuunnitelma sisältää myös vaatimuksen tutkimustehtävän, aineiston sekä menetelmien määrittelemisestä mahdollisimman yksilöidysti. Suunnitelmasta tulee käydä ilmi muun muassa se, mitä tietoja tutkimuksen suorittamiseen tarvitaan ja miten nämä tiedot ovat tarpeellisia tutkimuksen suorittamiseen, kun tutkimuksen suorittaminen ilman yksilötason tietoja ei ole mahdollista. Tärkeää on myös määritellä, miten tutkimusaineistoa käsitellään tutkimuksen aikana ja sen päätyttyä ja miten tutkimuksen tulokset julkaistaan sekä muut tietosuojakysymykset.

Henkilötietolaissa ei ole historiallisen ja tieteellisen tutkimuksen määritelmää. Lain esitöiden (HE 96/1998) mukaan niiden sisältö määräytyy samalla tavoin kuin ne yleensä ymmärretään. Lain esitöiden mukaan historiallinen tutkimus voi olla esimerkiksi tieteellistä tutkimusta edeltävää tutkimusta tai itsenäistä tutkimusta, joka ei täytä tieteellisen tutkimuksen kriteereitä.

Pykälässä tarkoitetun tieteellisen tutkimuksen on täytettävä yleisesti hyväksytyt tieteellisen tutkimuksen kriteerit. Opinnäytetyön tieteellisyyttä arvioitaessa kiinnitetään huomiota ohjaukseen tutkimuksen laadun ja vastuuhenkilön mukaan. Erityisesti arkaluonteisia tietoja sisältävän tutkimuksen on täytettävä myös yleisesti hyväksytyt tutkimuseettiset periaatteet. Salassa pidettäviä tietoja voi julkisuuslain 28 §:n mukaisesti luovuttaa viranomaisen luvalla, jos tutkimus katsotaan tieteelliseksi tutkimukseksi. Luovutukselle tulee asettaa sellaiset ehdot, jotka varmistavat tutkimuksen tieteellisyyden ja tietosuojan riittävän varmistamisen. Kts. Tietosuojavaltuutetun opas Salassa pidettävien henkilötietojen luovuttaminen viranomaisen henkilörekisteristä viranomaisen luvalla.

Opiskelijan opinnäytetyöhön liittyvä kyselytutkimus voi olla mahdollista rinnastaa mielipidetutkimukseen, jota ei ole määritelty henkilötietolaissa. Tällöin rekisteröidyn yhteystietojen luovuttaminen kyselyn lähettämiseksi edellyttää julkisuuslain 16.3 §:n mukaan rekisteröidyn suostumusta, jonka tulee olla rekisteröidyn tietoinen tahdon ilmaisu (HTL 3 § 7 kohta). Timo Konstarin julkaisussa Henkilörekisterilaki käsitellään mielipidetutkimuksen käsitettä (s. 136) seuraavasti. Yleensä mielipidetutkimuksella tarkoitetaan sellaista selvitystä, jonka suorittaminen tapahtuu tutkittavaan kokonaisuuteen verrattuna suhteellisen pientä joukkoa haastattelemalla. Tällä tavalla kerätyn tiedon avulla pyritään tekemään yleistäviä havaintoja laajemmasta tutkimuksen kohteena olevasta perusjoukosta. Mielipidetutkimuksen tulokset esitetään usein pelkkiä mielipidejakaumia kuvaavina yhteenvetoina. Varsinaisesta tieteellisestä asennetutkimuksesta ei mielipidekartoituksessa ole kysymys, vaan tarkoituksena on usein perinpohjaisuutta tavoittelematta nopeasti luoda katsaus ajankohtaisiin ja yleisöä kiinnostaviin kysymyksiin.

Tietoja luovuttava rekisterinpitäjä arvioi tapauskohtaisesti, minkälaisesta tutkimuksesta on kyse ja mihin tietojen luovuttamisen katsotaan perustuvan, sekä vastaa siitä, ettei tietoja luovuteta lainvastaisesti. Kts. Tietosuojavaltuutetun opas Tarkistuslista henkilötietojen luovutusmenettelyä suunniteltaessa huomioon otettavista asioista.

Henkilötietojen käsittely tutkimuksessa

Henkilötietolain velvoitteet koskevat myös tutkijaa, joka usein tutkimusrekisterin rekisterinpitäjänä vastaa henkilötietojen lainmukaisesta käsittelystä. Tutkimuksessa tarpeellisten henkilötietojen käsittely on suunniteltava etukäteen. Kts. Edellä esitetty sekä Tietosuojavaltuutetun toimiston oppaat Tietosuoja ja tieteellinen tutkimus henkilötietolain kannalta ja Henkilötietojen käsittely suostumuksen perusteella.

Tutkimuksessa informointivelvoite tulee käytännössä noudatettavaksi aina kun tietoja osaksikin hankitaan suoraan tutkittavilta henkilöiltä (rekisteröidyiltä) haastatteluin, kyselyin tai muilla vastaavilla tavoilla. Tiedot hankitaan tällöin suostumuksella, minkä vuoksi informoinnissa tulee huomioida lisäksi suostumuksen pyytämiseen liittyvät vaatimukset. Henkilötietolain 3 §:n 1 momentin 7 kohdan mukaan, henkilötietojen käsittelyyn oikeuttavan suostumuksen on oltava vapaaehtoinen, yksility ja tietoinen. Arkaluonteisten tietojen osalta suostumuksen tulee olla myös henkilötietolain 12 §:n 1 momentin 1 kohdan mukaan nimenomainen. Suostumuksella kerättyjen tietojen käyttöä rajaa suostumuksen sisältö eli se, minkälaiseen käsittelyyn suostumus on annettu. Suostumuksen tulee täyttää laissa määritellyt kriteerit, että se voi toimia henkilötietojen lainmukaisena käsittelyperusteena. Asianmukaisten suostumusten olemassaolo on ensiarvoisen tärkeää tutkimuksen lainmukaisuuden kannalta.

Informointivelvoite edellyttää rekisterinpitäjän huolehtivan siitä, että rekisteröity voi pääsääntöisesti henkilötietoja kerättäessä saada tiedon rekisterinpitäjästä ja tarvittaessa tämän edustajasta, henkilötietojen käsittelyn tarkoituksesta sekä siitä, mihin tietoja säännönmukaisesti luovutetaan, samoin kuin ne tiedot, jotka ovat tarpeen rekisteröidyn oikeuksien käyttämiseksi asianomaisessa henkilötietojen käsittelyssä (HTL 24 §). Jotta tietojen keräämisen voidaan katsoa tapahtuneen asianomaisen rekisteröidyn suostumuksella, suostumusta pyydettäessä rekisteröityä on tullut informoida vastaamisen vapaaehtoisuuden lisäksi kaikista suostumuksen antamisen kannalta merkityksellisistä seikoista.

Lisätietoja

Tietosuojavaltuutetun opas Henkilötietojen luovuttaminen viranomaisten henkilörekistereistä

Tietosuojavaltuutetun toimiston opas Tietosuoja ja tieteellinen tutkimus henkilötietolain kannalta

Henkilötietojen käsittely suostumuksen perusteella

Tietosuojadirektiivin 29 artiklan mukaisen tietosuojaryhmän (WP 187) Lausunto 15/2011 suostumuksen määritelmästä