Henkilötietoja ja sähköistä viestintää? Verkkotunnistetietojen ja mobiililaitteen yksilöivien tunnisteiden tietosuojasääntely

Abstract

Tutkielman kohteena ovat verkkotunnistetietoihin ja mobiililaitetunnisteisiin kohdistuva tietosuojasääntely. Verkkotunnisteiden osalta tutkielmassa käsitellään tietosuoja-asetuksessa mainittuja verkkotunnisteita eli IP-osoitetta ja evästetunnisteita sekä muiden tunnisteiden osalta mobiililaitteen yksilöiviä tunnisteita. Tutkielma on oikeusdogmaattinen tutkimus, jonka tutkimusmenetelmät ovat sekä teoreettinen että käytännöllinen lainoppi. Tutkielman tavoitteena on systematisoida tarkastelun kohteena oleviin tunnisteisiin soveltuvaa tietosuojasääntelyä erityisesti henkilötietojen suojan ja sähköisen viestinnän näkökulmasta. Lisäksi tutkielman tavoitteena on selvittää ne edellytykset, joiden nojalla tällaisten tunnisteiden katsotaan olevan tietosuoja-asetuksen 4 artiklan mukaisia henkilötietoja.

Sähköisen viestinnän tietosuojasääntely täydentää tietosuoja-asetusta. Sähköisen viestinnän tietosuojadirektiivi on erityislaki suhteessa tietosuoja-asetukseen. Tietosuoja-asetus turvaa luonnollisten henkilöiden henkilötietojen suojan sekä henkilötietojen vapaan liikkuvuuden unionin alueella. Sähköisen viestinnän tietosuojadirektiivi puolestaan turvaa luottamuksellisen viestin suojan sekä luonnollisten että oikeushenkilöiden osalta. Siltä osin kuin sähköisessä viestinnässä on kyse henkilötietojen käsittelystä, tietosuoja-asetusta sovelletaan samanaikaisesti sähköistä viestintää koskevan sääntelyn kanssa. Tutkielman kohteena olevat tunnisteet voivat siten kuulua samanaikaisesti sekä tietosuoja-asetuksen että sähköisen viestinnän sääntelyn piiriin.

Verkkotunnistetiedot ja mobiililaitetunnisteet eroavat toisistaan ominaisuuksiltaan ja käyttötavoiltaan. Katson teknologianeutraliteettiin nojautuen, että tunnistekohtaisessa arvioinnissa ei ole tarkoituksenmukaista nojautua ainoastaan yksittäiseen tunnistetyyppiin, vaan ennemminkin siihen kokonaisuuteen, jossa tarkastelun kohteena olevaa tunnistetta käsitellään. Mitä enemmän sama taho käsittelee tai kerää erilaisia tunnistetietoja henkilön verkkoasioinnin seurauksena, sitä todennäköisempää on, että toiminnassa on kyse henkilötietojen käsittelystä. Toisaalta huomiota tulee kiinnittää – suhteellista lähestymistapaa painottaen – myös tunnisteita käsittelevän tai keräävän tahon rooliin sekä toiminnan tosiasialliseen tarkoitukseen.