Tietosuojalinjaukset vaikuttavat myös kuntiin
Ida Sulin on johtava juristi Kuntaliitossa. Hän toimii myös julkisoikeuden työelämäprofessorina Helsingin yliopistossa. Kuva: Kuntaliitto
Vuoden 2025 alkupuolella Korkein hallinto-oikeus (KHO) on antanut useita tietosuojaan liittyviä päätöksiä. Uudet linjaukset vaikuttavat kuntien toimintaan esimerkiksi ostolaskujen avaamisessa ja tietojen luovutustilanteissa journalistisiin tarkoituksiin. Nyt onkin hyvä hetki ottaa kynä ja paperia esille: tiivistän KHO:n päätöksistä oleellisimmat uudet linjaukset tietosuojasta, jotka kuntien kannattaa huomioida.
Mikä on tietosuoja-asetuksessa tarkoitettu henkilötieto? Tapauksessa KHO 2025:14 käsiteltiin toiminimitietoja koskevaa tietopyyntöä. Tietopyyntö koski mm. eräisiin lupa-asiakirjoihin sisältyviä tietoja turkistarhojen toiminnanharjoittajien nimistä ja Y-tunnuksista.
Korkein hallinto-oikeus katsoi, että yhtiömuotoisten toiminnanharjoittajien nimet ja Y-tunnukset eivät ole henkilötietoja. Sen sijaan yksityisten elinkeinoharjoittajien tapauksissa toiminnanharjoittajan nimi ja Y-tunnus ovat henkilötietoja.
KHO:n kanta asiassa tarkoittaa, että myös kuntien toiminnassa tulisi suhtautua toiminimiyrittäjien tietoihin henkilötietoina. Esimerkiksi ostolaskujen avaamisessa sääntönä on, ettei henkilötietoa avata. Toiminimitaustaisten ostolaskuja ei voi avata siten, että tietoja toiminnanharjoittajasta tai y-tunnuksesta näkee laskun mukana. Kuntaliitto on ohjeistanut asiasta aiemmin kuntien ja kuntayhtymien ostolaskudatan avaamisen ohjeessa.
Onko tietojen käsittely mediassa journalistiseen tai muuhun tarkoitukseen pohjaavaa? Tapauksessa KHO 2025:15 yksityishenkilö oli pyytänyt omien tietojensa poistamista median verokoneista. KHO arvioi, että journalistisessa käsittelyssä rekisteröidyllä ei ole oikeus vaatia omien tietojensa poistamista.
KHO on käsitellyt journalistista tarkoitusta verotietojen yhteydessä jo vuonna 2009. Tuolloin KHO katsoi päätöksessään KHO:2009:82, että Veropörssi-lehdessä tapahtunut verotustietojen käsittely ja julkaiseminen ei vastannut journalistista tarkoitusta ja että se oli silloisen henkilötietolain vastaista.
Nyt esillä olevassa asiassa KHO totesi päätöksessään, että verokoneiden tarkoituksena oli tiedonvälitys yleisölle, mikä on journalistista toimintaa. Tuomioistuin korosti, että tällaisilla tiedoilla on merkitystä yhteiskunnallisessa keskustelussa, esimerkiksi verotuksen oikeudenmukaisuuden arvioinnissa. Lisäksi KHO huomioi, että julkisten verotietojen julkaiseminen tiedotusvälineissä on vakiintunut osa suomalaista avoimuuskulttuuria. Näin ollen KHO katsoi, että henkilötietojen käsittely verokoneissa tapahtui ainoastaan journalistisessa tarkoituksessa, eikä oikeutta tietojen poistamiseen siten tullut sovellettavaksi.
Onko Liikennevakuutuskeskuksella oikeus saada arkaluonteisia henkilötietoja hyvinvointialueilta? Kuntien toiminnalle Liikennevakuutuskeskuksen oikeus saada ja käsitellä hyvinvointialueilta arkaluonteisia tietoja (ml. potilastietoja) on melko vierasta. Päätöksessä KHO 2025:23 sovelletaan tietosuojasääntelyn lisäksi vakuutuslainsäädäntöä.
Huomionarvoista on, että KHO otti asiassa kantaa myös tietopyynnön luonteeseen tilanteessa, jossa luovutuksensaajalla lain nojalla on oikeus saada ja käsitellä tiettyjä henkilötietoja välttämättömyyskriteerin perusteella. Erityisesti koska kyse on arkaluonteisista tiedoista, KHO korosti, että tietopyyntö on perusteltava ja sen on oltava mahdollisimman yksilöity ja selvä, jotta myös tietoja luovuttava taho voi arvioida täyttyvätkö tietojen luovuttamisen yleisessä tietosuoja-asetuksessa ja erityislaissa säädetyt edellytykset. Vastaavaa linjausta voi soveltaa esimeriksi suhteessa sivistystoimessa kertyneisiin arkaluonteisiin henkilötietoihin.
Ida Sulin
Kirjoittaja on johtava juristi Kuntaliitossa. Hän toimii myös julkisoikeuden työelämäprofessorina Helsingin yliopistossa.
Lue myös:
