Liikenteen turvallisuusvirasto Trafin Kuljettajatiedot-palvelun tietosuojaongelmat herättivät nukkuvan karhun. Moni ei pitänyt ajatuksesta, että omia tietojaan pääsisi katsomaan tuosta vain internetissä muutamalla hakusanalla.
Palvelu ei sinänsä paljastanut mitään merkittävän laajoja tietoja henkilöstä: lähinnä henkilön kotikunnan, syntymäajan (tietyissä tilanteissa) sekä ajokortin voimassaoloajan. On mielenkiintoista havaita, että tällaiset tiedot viranomaisen julkistamana koettiin ongelmalliseksi samaan aikaan, kun lähes vastaavat tiedot, ellei jopa enemmän, voi saada selville monesta ihmisestä pelkällä Google-haulla tai Facebookista.
Ongelmallista oli kuitenkin tietojen saatavuuden laajuus, palvelussa kun olivat kaikki. Siis aivan kaikki, sillä ilmeisesti tietokannassa oli näkyvillä myös sellaisten henkilöiden tietoja, joiden ei olisi pitänyt olla näkyvillä kenellekään. Alun perin tietokannan tarkoituksena on ollut palvella siten, että henkilön ajo-oikeuden eli sen onko ihmisellä ajokorttia tai ei (vai onko se “kuivumassa”) voisi tarkastaa sen kautta helposti. Taustalla ovat erilaiset liikennepalvelulain uudistukset, kuten esimerkiksi taksilupien helpottaminen.
Vertailu some-palveluihin ei kuitenkaan ole täysin reilua, koska esimerkiksi Facebookiin liitytään vapaaehtoisesti, ainakin osittain tietoisena siitä, miten tieto leviää verkossa. Viranomaisten rekisterissä ollaan, halusitpa tai et ja kun viranomainen päättää julkistaa tietoja rekisteristä, on loppujen lopuksi hyvin vähän, mitä kansalainen voi tällöin tehdä.
Julkisuuslaki puristuksissa
Viranomaisten toiminnan julkisuus on pohjoismaisen yhteiskunnan peruspilareita. Sen avulla vallankäyttö on jatkuvan tarkastelun kohteena ja siten ihmisillä on mahdollisuus paremmin arvioida, toimiiko viranomainen oikein ja kohdellaanko kansalaisia tasapuolisesti.
Yksityisyys on myös keskeinen tekijä pohjoismaisessa yhteiskunnassa, Suomessa jopa perustuslaillinen oikeus. Julkisuus ja yksityisyys ovat keskenään suuressa ristiriidassa: toisen periaatteen tarkoituksena on esteettä kertoa tietoja kaikille kun taas toisen tarkoituksena on antaa mahdollisimman paljon valtaa levittämisestä tiedon kohteena olevalle henkilölle.
Viranomaisten toiminnan lisäksi julkisuus koskee myös niitä yksityisiä ihmisiä, jotka ovat jollakin tavoin tekemisissä viranomaisen vallankäytön kanssa. Eli kun henkilö tuomitaan esimerkiksi rattijuopumuksesta tai kun henkilö hakee rakennuslupaa, tämä tieto julkaistaan. Se, miten laajasti tietoja saa levittää edelleen on toinen asia ja ymmärretään tässä yhteydessä yksityisyyden suojaksi.
Kaikki on julkista
Suomessa julkisuuslaki (eli laki viranomaisten toiminnan julkisuudesta ) sääntelee sitä, miten viranomaisten tulee asiakirjojaan kohdella suhteessa yleisöön. Lähtökohta kaikessa on että mikä tahansa asiakirja tai tieto, joka on viranomaisen hallussa on julkinen ellei laissa toisin määrätä. Eli koko lain lähtökohta on että kaikki on julkista. Asioiden salaaminen on poikkeus, jota on tulkittava kapeasti.
Viranomaisella on itsenäinen oikeus päättää, onko tieto julkinen vai ei. Esimerkiksi hankinta-asioissa monesti esiintyy ongelmia liikesalaisuuksien vuoksi. Jotkut toimijat jopa pelkäävät luovuttaa tietoja viranomaisille tarjouksissaan siinä pelossa, että ne paljastuisivat kilpailijoille. Käytännössä tosin liikesalaisuusmerkintöjä kunnioitetaan, mutta joskus viranomainen voi olla myös asiasta eri mieltä, esimerkiksi kilpailu- ja kuluttajavirasto on joskus hyvin kriittinen liikesalaisuuksien määrittelyissä.
Se, että tiedot ovat julkisia, eli vapaasti viranomaiselta saatavissa, ei vielä tarkoita, että niitä voisi vapaasti levitellä lehtien palstoilla tai edes viranomaisten verkkosivuilla. Oman näkökulmansa tähän tuo juuri tietosuojalainsäädäntö sekä rikoslain yksityiselämän suojaa koskevat oikeudet.
Suomalaisen viranomaisen hallussa olevien henkilötietojen julkisuutta on pohdittu tietosuojanäkökulmasta esimerkiksi verotietoja koskevissa Euroopan Unionin tuomioistuimen sekä ihmisoikeustuomioistuimen (sekä Suomen KHO:n) Veropörssi tai Satamedia –ratkaisuissa. Kysymys ei ollut ainoastaan siitä, saavatko tiedot olla julkisia ja saako niitä julkaista, vaan myös siitä voiko tällaisia verotietoja ylipäätään käsitellä journalistiseen tarkoitukseen. Esimerkiksi Euroopan ihmisoikeustuomioistuimessa käsiteltävänä oli Veropörssi-lehden SMS-palvelu, josta tekstiviestitse pystyi selvittämään kenen tahansa verotiedot.
Tapauksen arvioinnissa huomioitiin sitä, missä määrin toiminnan voitiin katsoa edistävän yhteiskunnallisesti kiinnostavaa keskustelua pikemmin kuin pyrkiä yhteiskunnallisesta keskustelusta irrallaan tyydyttämään yksittäisten henkilöiden uteliaisuutta. Tuomioistuimien mukaan henkilötietojen käsittelynä toimituksellista tarkoitusta varten ei kuitenkaan voida pitää tietojen sellaista käsittelyä, jossa toimituksellisessa tarkoituksessa muodostettu henkilörekisteri laajamittaisesti, lähes kokonaisuudessaan ja lähes sellaisenaan, vaikkakin eri osissa ja kunnittain, julkaistaan erillisinä luetteloina.
EUTI taas katsoi ns Google Spain -ratkaisussa (C-131/12), ettei hakukoneen ylläpito ole journalistiseen tarkoitukseen tapahtuvaa henkilötietojen käsittelyä. Verkkosivuston julkaisijan toiminta voi olla journalistisessa tarkoituksessa tapahtuvaa, mutta hakukoneen tulokset eivät.
Tässä onkin olennainen ero julkisuuden ja yksityisyyden suojan välillä. Henkilötieto voi olla julkinen tieto, mutta julkisenkin henkilötiedon käsittelyyn tarvitaan jokin lainmukainen peruste.
Viranomaisella velvollisuus julkaista ja suojella
Viranomaisen toimintaan ei suoraan sovellu henkilötietojen käsittely journalistisessa tarkoituksessa, mutta siitä voidaan vetää johtopäätöksiä siihen, miten laajasti henkilötietoja tulisi pitää nähtävillä verkossa ja miten helposti ne on oltava saatavilla. Saatavuutta voi “vaikeuttaa” esimerkiksi maksullisuudella tai pakollisella tunnistautumisella, jolloin kynnys “tiedustella huvin vuoksi” on korkeampi. Viranomaisella on myös velvollisuus suojata henkilötietoja.
Julkisuuslain näkökulmasta se, miksi tietoja haetaan, on täysin epärelevanttia. Julkisuuslain perusteella henkilötietoja tai mitä tahansa tietoja voi pyytää ja hakea myös “huvin vuoksi”. Tämä näyttää olevan asia, jota ei täysin ymmärretä Pohjoismaiden ulkopuolella ja joka aiheuttaa kummallisia ristiriitoja tietosuojan ja julkisuuden välillä. Moni asia, jonka suomalainen ymmärtää julkiseksi on saksalaiselle yksityistä.
Henkilötietojen osalta julkisuuslaissa on kuitenkin rajoitus: tietoja ei saa antaa (ainakaan mittavissa määrissä), jos tiedon vastaanottajalla ei ole lainmukaista perustetta henkilötietojen käsittelylle. Lisäksi esimerkiksi henkilötietoja saa luovuttaa suoramarkkinointia ja mielipide- tai markkinatutkimusta varten ainoastaan, jos niin erikseen laissa säädetään tai jos rekisteröity on antanut siihen suostumuksensa.
Esimerkiksi Helsingin yliopiston viestintäoikeuden professori Päivi Korpisaari katsoo, että verkkosivuilla oleva avoin haku on luovutusta kaikille:
2/2 Kun tiedot laitetaan nettiin, kyse on sähköisestä luovutuksesta, jossa kuka tahansa voi olla luovutuksensaaja. Miten silloin varmistutaan, onko käsittelylle lainmukainen peruste?! Yksittäin tietoja saa luovuttaa. Rajoitus koskee kopiota, tulostetta tai sähk. luovutusta.
Henkilökohtaisesti olen lähtenyt siitä ajatuksesta, että viranomaisen näkökulmasta henkilötietojen käsittelylle ei välttämättä joskus ole muuta perustetta kuin “julkisuusvelvollisuuden täyttäminen”. Samoin lienee myös luovutusperusteen kanssa, eli mielestäni henkilötietoja voi luovuttaa myös sähköisesti esimerkiksi verkkosivun kautta muille julkisuusvelvoitteen täyttämiseksi. Viranomaisella on kuitenkin tämän lisäksi erityinen velvollisuus huolehtia, että mikäli henkilötietoja kerätään jotain tiettyä tarkoitusta varten, tämä tarkoitus on lainmukainen. Avoimella verkkosivulla tästä varmistuminen lienee varsin vaikeaa.
Sähköiset palvelut haastavat julkisuuden
Julkisuuslaki ja moni muukin laki velvoittaa viranomaisia julkistamaan tietoja avoimesti. Keskeinen tehtävä julkisuuslaissa on myös tiedon saatavuus. Tietoja ei saisi tieten tahtoen haudata arkiston mappeihin ja väittää että ne ovat “saatavilla”. Julkisuusperiaate edellyttää, että tieto on helposti saatavilla ja viranomaisilla on jopa velvollisuus auttaa tietojen etsimisessä.
Sähköiset palvelut tekevät julkisuusperiaatteen noudattamisesta haastavaa. Toisaalta niiden avulla tietoja saadaan helposti kaikkien saataville. Toisaalta taas ongelmana on, että tietoja on liian helppo saada. Julkisuuslaki velvoittaa tiettyyn “helppouteen”, joka IT-projektia määriteltäessä helposti kääntyy siihen, että annetaan tieto kaikille.
Tietosuojavaltuutettu Reijo Aarnio totesikin Ylen uutisissa, että se, että joku on julkista, ei tarkoita, että sitä voi käsitellä miten huvittaa. Päinvastoin. Julkisuuslakikin edellyttää, että järjestelmät tehdään sellaisiksi, että niissä otetaan tietosuoja ja tietoturva riittävästi huomioon.
Tietosuojanäkökulmasta siis julkisuusperiaatteiden mukaisten tietojen saatavuutta tulisi rajoittaa. Ongelma ei kuitenkaan ole niin yksinkertainen kuin ehkä Aarnion lausunnosta voisi ymmärtää. Joskus henkilötiedon julkaisu on perusteltua, koska yksityisyyden suojaa vastassa on muita perusteita, kuten esimerkiksi julkisuuden tarve tai yhteiskunnallisen toiminnan läpinäkyvyys. Yksilöä ei suojata samalla tavoin kaikissa tilanteissa. Esimerkiksi tasavallan presidentin palkkion (vai palkan?) voi julkaista missä tahansa, mutta presidentin lääkärillä ei ole mitään velvollisuutta kertoa potilaansa terveyden tilasta, vaikka presidentti julkista virkaa hoitava henkilö onkin.
Vaikka olenkin tietosuojaan perehtynyt juristi, toivon silti hartaasti, että tietosuoja ei kuitenkaan hankaloita liikaa julkisuusperiaatteen toteutumista. Esimerkiksi virkamiehistä ja heidän toimistaan tulee saada tietoa jatkossakin, tietenkin yksityisyyden suojasta huolehtien. Huoleni on aiheellinen, sillä Journalistiliiton mukaan paine salata liikesalaisuuksien tai tietosuojan vuoksi on kasvamassa
Itse sain julkisuuslain periaatteista opetuksen henkilökohtaisesti aiemmassa ammatissani. Lain voimaantulon aikaan keskusteltiin paljon esimerkiksi siitä, että valtion virkamiesten palkat ovat julkisia. Olin tuolloin töissä lehdessä ja yritin selvittää erään kaupunginjohtajan palkkaa. Koska kaupunki oli asiassa hankala, otin yhteyttä lakia tuolloin valmistelemassa olleeseen oikeusministeriön virkamieheen, Anna-Riitta Walliniin. Hän vahvisti minulle, että kaupungin tuli kertoa kaupunginjohtajansa palkka. Julkisuusperiaatteen mukaisesti kysyin puhelinhaastattelussa myös Wallinia kertomaan palkkansa. Hän kertoi sen epäröimättä, kuin apteekin hyllyltä.
EDIT 13.12.2018: kirjoitusta päivitetty Journalistiliiton HS:n mielipidekirjoituslinkillä.
EDIT 17.12.2018: kirjoitusta korjattu alun tekstistä: palvelusta ei voinut tarkastaa ajo-oikeuden voimassaoloa vaan ainoastaan ajokortin voimassaolon.
Dataprotection.fi 