Omadata – suostumusperusteinen henkilötietojen luovutus viranomaisen rekisteristä

Abstract

Omadata-termillä viitataan henkilötietojen uudenlaiseen käsittelyyn, jonka mukaan yksilö itse hallitsee omia tietojaan. Omadatassa yksilö asetetaan tiedonhallinnan keskiöön, jonka myötä hän voi itse suostumuksellaan antaa eri toimijoille luvan käsitellä omia henkilötietojaan. Tutkielmassa perehdytään tiedolliseen itsemääräämisoikeuteen, omadataan ja omadatan mukaisen mallin soveltamiseen julkisessa hallinnossa, erityisesti rekisterinpitäjän vastuun näkökulmasta. Painopisteenä tutkielmassa on selvittää, kuinka nykyinen yleislainsäädäntö mahdollistaa julkishallinnon toimijalle oikeuden siirtää henkilötietoja suoraan yksilön suostumuksella toiselle rekisterinpitäjälle. Tutkielman metodi on pääasiallisesti lainopillinen. Tutkielmassa käytetään esimerkkinä Yhteinen tiedon hallinta –hankkeessa rakenteilla olevaa suostumushallintarekisteriä. Yleisessä tietosuoja-asetuksessa yksilön tiedollista itsemääräämisoikeutta on vahvistettu aiemmasta. Asetuksen johdosta rekisteröidyllä on uusia oikeuksia, joiden myötä omadatan mukaista henkilötiedon hallintaa voidaan lainsäädännön nojalla jo osittain toteuttaa. Henkilötietojen luovuttamista viranomaisen rekisteristä säätelee yleislakina laki viranomaisten toiminnan julkisuudesta (621/1999) ja lisäksi asiaa koskettaa lukuisat erityislainsäädännön säädökset. Viranomaisella on korostunut velvollisuus huolehtia siitä, kenelle ja mihin tarkoitukseen henkilötietoja luovutetaan. Tämä korostunut velvollisuus ei tue omadata-mallia, jossa yksilön antaman suostumuksen jälkeen henkilötiedot tulisi luovuttaa suoraan ilman luovuttavan rekisterinpitäjän osuutta luovutuspäätökseen. Johtopäätöksenä voidaan todeta julkisuuslainsäädännön luovutussäännösten olevan ristiriidassa suhteessa omadata-mallin mukaiseen henkilötiedon luovutukseen. Julkisuuslain 13 §:n 2 momentti ja 16 §:n 3 momentti säätelevät viranomaisen velvollisuudesta selvittää tietyissä tilanteissa henkilötiedon saajan käsittelyperuste sekä tietojen suojaus. Mikäli julkishallinnon yhteinen suostumushallintarekisteri toteutuisi, olisi lailla säädettävä erikseen myös sen osalta, mitä henkilötietoja viranomainen voisi luovuttaa vain rekisteröidyn suostumuksen perusteella. Lisäksi tulisi erikseen säätää organisaatioiden välisten rajapintojen avaamisesta. Lainsäädännön muutosten tulisi sijoittua enemmänkin yleislainsäädäntöön erityislainsäädännön sijaan, jotta pirstaleisuus henkilötietojen käsittelyn sääntelyn suhteen ei kasvaisi enää nykyisestä.