Rekisteröidyn oikeus saada tutustua tietoihin ja rekisteröidyn pyyntöön vastaaminen
- Keywords
- tarkastusoikeus
- Year of case
- 2024
- Date of Issue
- Register number
- TSV/2929/2023
- Legal basis
- EU:n yleisen tietosuoja-asetuksen mukainen päätös
Apulaistietosuojavaltuutetun päätös
Asia
Rekisteröidyn oikeus saada tutustua tietoihin
Rekisterinpitäjä
Laivayhtiö
Vireillesaattajan vaatimukset perusteluineen
Vireillesaattaja on 25.5.2023 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on kysymys rekisterinpitäjän suorittamasta henkilötietojen käsittelystä. Vireillesaattaja on kertonut tehneensä rekisterinpitäjälle yleisen tietosuoja-asetuksen 15 artiklan mukaisen pyynnön saada tutustua tietoihin. Vireillesaattaja ei kertomansa mukaan ollut vastaanottanut vastausta pyyntöönsä kuukauden kuluessa pyynnön esittämisestä. Vireillesaattaja on niin ikään kertonut, että rekisterinpitäjä oli sittemmin kieltäytynyt toteuttamasta hänen pyyntöään.
Rekisterinpitäjältä saatu selvitys
Rekisterinpitäjältä on pyydetty asiassa selvitystä. Rekisterinpitäjä on antanut selvityksensä 20.12.2023.
Annetussa selvityksessä on todettu, että vireillesaattaja oli tehnyt pyynnön saada tutustua tietoihin 21.4.2023. Vireillesaattaja oli pyytänyt saada kaikki ne tietonsa, jotka liittyvät hänen 15.4.2023 Helsingistä alkaneeseen matkaansa [laivayhtiön] järjestyksenvalvonnan ja säilöönoton osalta. Lisäksi vireillesaattaja oli pyytänyt saada tiedon siitä, kenelle kysymyksessä olevia tietoja oli luovutettu ja milloin.
Annetussa selvityksessä on viitattu rekisterinpitäjän tarjoamaan tarkastuspyyntölomakkeeseen. Tässä lomakkeessa on kerrottu todetun seuraavasti:
Pyrimme vastaamaan tarkastuspyyntöösi mahdollisimman pian, kuitenkin enintään yhden (1) kuukauden kuluessa pyyntösi vastaanottamisesta. Mikäli pyyntösi aiheuttaa erityisiä toimenpiteitä, joita emme pysty selvittämään yhden (1) kuukauden sisällä, pidätämme oikeuden jatkaa määräaikaa tarvittaessa enintään kahdella (2) kuukaudella. Ilmoitamme mahdollisesta lisäselvitysajasta ja sen syistä yhden (1) kuukauden sisällä pyyntösi vastaanottamisesta. Pyrimme joka tapauksessa käsittelemään kaikki pyynnöt ripeästi ja niin pian kuin on kohtuullisesti mahdollista. Mikäli emme katso olevan tarpeellista ryhtyä toimenpiteisiin tietopyyntösi johdosta, ilmoitamme tästä sinulle yhden (1) kuukauden kuluessa pyyntösi vastaanottamisesta. Samalla kerromme pyynnöstä kieltäytymisen syyt sekä mahdolliset oikeussuojakeinosi.
Vireillesaattaja oli 15.4.2023 Helsingistä alkaneella matkallaan otettu laivalla säilöön turvallisuuden varmistamiseksi. Rekisterinpitäjän turvallisuushenkilöstö oli luovuttanut vireillesaattajan Ahvenanmaan poliisilaitokselle 16.4.2023. Tässä yhteydessä oli tehty myös rikosilmoitus. (Asian nimekkeenä on annetun selvityksen mukaan poliisilakiin perustuva kiinniotto.) Asian tutkinta on toukokuussa 2023 siirretty Ahvenanmaan poliisilaitokselta Lounais-Suomen poliisilaitokselle.
Vireillesaattaja itse oli puolestaan tehnyt rikosilmoituksen laivalla tapahtuneesta pahoinpitelystä Länsi-Uudenmaan poliisilaitokselle. Länsi-Uudenmaan poliisilaitokselta oli oltu 10.5.2023 yhteydessä rekisterinpitäjään ja pyydetty toimittamaan tutkinnan kohteena olevaan tapaukseen liittyvät kuva- ja videotallenteet sekä raportit. Kysymyksessä oleva materiaali oli pyynnön mukaisesti toimitettu poliisille. Tämä materiaali on annetun selvityksen mukaan pitänyt sisällään ne tiedot, joita vireillesaattajan pyyntö on koskenut.
Rekisterinpitäjän edustaja on annetussa selvityksessä kerrotun mukaan ollut yhteydessä Lounais-Suomen poliisilaitokseen sähköpostitse 25.5.2023 ja esittänyt vireillesaattajan asiaa koskevan tietopyynnön. Lukukuittausta lukuun ottamatta rekisterinpitäjä ei ollut vastaanottanut vastausta mainittuun tietopyyntöön.
Annetussa selvityksessä kerrotusti poliisin kantaa vireillesaattajan tekemään pyyntöön oli yritetty selvittää. Rikostutkinnasta vastaavaa henkilöä ei kuitenkaan ollut yrityksistä huolimatta tavoitettu. Näin ollen rekisterinpitäjä ei ollut saanut vastausta kysymykseen, olisiko poliisille toimitettuun materiaaliin kohdistuva pyyntö ollut mahdollista toteuttaa siten, että se ei olisi vaarantanut rikoksen selvittämistä. Näin ollen rekisterinpitäjä oli vastannut vireillesaattajan pyyntöön 25.5.2023 ja kertonut, että tehtyä pyyntöä ei vireillä olevan esitutkinnan takia voida toteuttaa. Samassa yhteydessä vireillesaattajaa oli suositeltu olemaan yhteydessä toimivaltaiseen poliisiviranomaiseen, joka voi arvioida pyynnön toteuttamisen vaikutukset rikoksen selvittämiseen.
Vireillesaattaja oli 18.6.2023 ollut uudestaan yhteydessä rekisterinpitäjään ja edelleen pyytänyt perusteluja sille, miksi hänen pyyntöään ei ollut toteutettu. Vireillesaattajalle oli vastattu 22.6.2023. Vireillesaattaja oli lisäksi 28.6.2024 rajannut pyyntöönsä koskemaan turvallisuus- ja säilöönottoraporttia. Vireillesaattajalle oli vastattu 29.6.2023 ja todettu, että pyyntöä ei vireillä olevan poliisitutkinnan takia voida toteuttaa.
Rekisterinpitäjä on tässä yhteydessä korostanut pyrkivänsä siihen, että rekisteröityjen pyynnöt toteutetaan kuukauden kuluessa tehdystä pyynnöstä. Nyt käsillä olevassa asiassa vastaamisen on kuitenkin todettu hieman viivästyneen siksi, että kysymys on ollut tavanomaista monimutkaisemmasta pyynnöstä. Asiaan on liittynyt vireillesaattajan irtaimen omaisuuden särkymiseen liittyvä korvausvaatimus ja useampi eri poliisilaitoksissa vireillä ollut rikosasia. Vireillesaattajaan liittyviä asioita on käsitelty rekisterinpitäjän organisaatiossa useammassa eri yksikössä (mm. korvausasiat, viranomaisyhteydenotot ja tietosuojavastaava). Lisäksi asian selvittämisen ajanjaksolle oli osunut kaksi arkipyhää, vapunpäivä (1.5.) ja helatorstai (18.5), jotka olivat vaikuttaneet asian selvittämisen aikatauluun.
Annetun selvityksen lopuksi on todettu, että vireillesaattajan pyyntöä ei ole edelleenkään toteutettu. Asia on edelleen vireillä poliisilla, eikä rekisterinpitäjä ole saanut poliisilta vastausta kysymykseen siitä, voidaanko tiedot luovuttaa rikoksen selvittämistä vaarantamatta. Poliisin on lisäksi todettu soveltanevan rekisterinpitäjänä yleisen tietosuoja-asetuksen sijaan rikosasioiden tietosuojalakia, mistä johtuen rekisterinpitäjä on pitänyt perusteltuna jättää asia poliisiviranomaisen ratkaistavaksi.
Rekisterinpitäjä on pitänyt mahdollisena, että toteuttaessaan vireillesaattajan pyynnön se olisi voinut vaikeuttaa poliisin työtä, ja mahdollisesti estänyt rikoksen puolueettoman tutkinnan. Rekisterinpitäjä on annetun selvityksen mukaan tehnyt asiassa intressipunninnan ja päätynyt siihen, että vireillesaattajan pyynnön toteuttamatta jättäminen on ollut tarkoituksenmukaisempaa kuin se, että poliisiin esitutkintaan kuuluvaa materiaalia luovutettaisiin ilman poliisin antamaa arviota asiasta, ja näin mahdollisesti estettäisiin tai vaikeutettaisiin rikoksen tutkintaa. Tästä syystä asiassa on pyritty selvittämään virkavastuulla toimivan poliisiviranomaisen kanta asiaan. Viimeisimmän yhteydenoton Länsi-Uudenmaan poliisilaitokselle on kerrottu tehdyn 15.12.2023.
Annetussa selvityksessä todetusti vireillesaattajan pyyntö voidaan toteuttaa, mikäli poliisi tai tietosuojaviranomainen katsoo näin voitavan tehdä ilman, että muut edut vaarantuvat. Tiedot voidaan myös toimittaa tietosuojavaltuutetulle tietosuojalain 34 §:n 4 momentin nojalla, mikäli tämä katsotaan asianmukaiseksi.
Koska asiaan liittyen oli tehty kaksi rikosilmoitusta, oli rekisterinpitäjä katsonut velvollisuudekseen ottaa huomioon tietosuojalain 34 §:n 1 momentin 1 kohdassa säädetyn ja rikoksen selvittämiseen liittyvät poliisin intressit. Koska rekisterinpitäjä ei ole pätevästi voinut arvioida tiedonluovutuksen vaikutuksia rikoksen selvittämiseen, on rekisterinpitäjä katsonut, että tietoja ei ole voitu luovuttaa edes osittain. Rekisterinpitäjän käsityksen mukaan tämän arvion voi tehdä vain poliisiviranomainen. Rekisterinpitäjä on katsonut, että edellä mainitusta johtuen tietopyynnöt tulisi osoittaa Lounais-Suomen ja/tai Länsi-Uudenmaan poliisilaitokselle, joissa asiat ovat vireillä.
Annetun selvityksen lopuksi on todettu, että asian käsittelyn yhteydessä rekisterinpitäjä on tarkastellut rekisteröidyn oikeuksien toteuttamiseen liittyviä käytäntöjään. Jatkossa rekisterinpitäjä pitää huolen siitä, että rekisteröityjen pyyntöihin vastataan säädetyssä kuukauden määräajassa. Mikäli asia osoittautuu monimutkaiseksi, ilmoitetaan siitä rekisteröidylle mahdollisimman pian ja kuitenkin viimeistään kuukauden määräajassa. Rekisterinpitäjä on pyytänyt saada ohjausta tietosuojalain 34 §:n 1 momentin 1 kohdan tulkintaan.
Vireillesaattajan vastine
Vireillesaattajalle on varattu mahdollisuus antaa asiassa vastine. Vireillesaattaja on antanut vastineensa 24.12.2023.
Vireillesaattaja on kertonut asian liittyvän sekä hänen tekemäänsä rikosilmoitukseen että rekisterinpitäjän tekemään poliisilakiperusteisen kiinnioton ilmoitukseen. Vireillesaattaja on kertonut, että Ahvenanmaan poliisi olisi ilmoittanut hänelle 16.4.2023, että häntä ei epäillä asiassa rikoksesta.
Vireillesaattaja on kertonut epäilevänsä, että järjestyksenvalvojat olisivat kirjanneet asiaan liittyviin asiakirjoihin paikkaansa pitämätöntä tietoa tapahtumien kulusta, minkä takia vireillesaattaja on pyytänyt saada tutustua sekä säilöönotto- että järjestyksenvalvontaraporttiin. Vireillesaattaja on katsonut, että säilöönottoraporttiin sisältyvä luettelo hänen omaisuudestaan ei voine vaarantaa poliisin esitutkintaa. Vireillesaattajan mukaan hänelle oli tarjottu säilöönottoraporttia silloin, kun hänet oli päästetty säilöstä. Tässä yhteydessä vireillesaattaja ei kuitenkaan ollut raporttia itselleen pyytänyt. Vireillesaattajan mukaan raporttia ei ole kirjoitettu poliisin esitutkintaa varten. Vireillesaattaja ei pidä mahdollisena, että hänen oikeutensa saada tutustua raporttiin lakkaa sen jälkeen, kun raportti on luovutettu poliisille. Vireillesaattaja on korostanut olevansa asiassa sekä asianosainen että asianomistaja. Vireillesaattaja on edelleen kertonut pyytäneensä järjestyksenvalvontaraporttia niiltä osin kuin se voidaan hänelle toisten henkilöiden oikeusturvaa ja poliisin esitutkintaa vaarantamatta hänelle antaa. Vireillesaattajan kertoman mukaan järjestyksenvalvontaraportti laaditaan laivan turvallisuuteen liittyvistä tapahtumista, vaikka asiassa ei poliisin esitutkintaa tehtäisikään. Lisäksi vireillesaattaja on kertonut pyytäneensä Ahvenanmaan poliisille luovutettua, häntä koskevaa raporttia.
Vireillesaattaja on kertonut pyytäneensä tietoja arvioidakseen vaatiako asiassa rangaistusta. Vireillesaattaja on niin ikään kertonut harkitsevansa toissijaisen syyteoikeutensa käyttämistä. Länsi-Uudenmaan poliisi on vireillesaattajan kertoman mukaan ilmoittanut vireillesaattajalle käsittelevänsä vireillesaattajan rikosilmoitusta keväällä 2024. Mikäli tapahtunutta pidettäisiin lievänä pahoinpitelynä, syyteoikeus voisi vireillesaattajan mukaan vanhentua ennen kuin hän saisi haltuunsa asiaan liittyvät asiakirjat. Tällä voisi olla vaikutusta vireillesaattajan mahdollisuuteen käyttää toissijaista syyteoikeuttaan.
Vireillesaattaja on edelleen tietopyynnöllään halunnut varmistaa sen, että tapahtumasta ei jäisi virheellisiä merkintöjä poliisin järjestelmiin. Vireillesaattaja on esittänyt, että mikäli tapahtumien kulusta on annettu poliisille väärää tietoa, saattaisi asiassa olla kysymys myös rikoslaissa säädetystä väärän todistuksen antamisesta viranomaiselle. Vireillesaattaja on kertonut tekevänsä vastuullista työtä, mistä johtuen asia on hänelle erityisen tärkeä.
Vastineessaan vireillesaattaja on edelleen korostanut, että hän ei ollut saanut vastausta pyyntöönsä kuukauden määräajassa. Hänelle ei ollut liioin ilmoitettu, että asian käsittelemiseen tarvittaisiin lisää aikaa. Vireillesaattaja on esittänyt, että hänen korvausvaatimuksensa liittyen kadonneisiin silmälaseihin ei voine olla peruste vastauksen viivästymiselle. Vireillesaattaja on esittänyt, että vastauksen viivästymistä ei voida perustella myöskään sillä, että asiaa on käsitelty useammassa yksikössä rekisterinpitäjän organisaatiossa.
Vireillesaattaja on edelleen katsonut, että hänen pyyntönsä olisi mahdollista toteuttaa ainakin osittain, esimerkiksi omaisuusluettelon osalta. Vireillesaattajan käsityksen mukaan hänelle voitaisiin toimittaa myös ne asiakirjat, joita ei ole laadittu poliisin esitutkintaa varten.
Sovellettavasta lainsäädännöstä
Yleisen tietosuoja-asetuksen ((EU) 2016/679) 12 artiklan 3 kohdassa säädetysti rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty 15–22 artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt.
Yleisen tietosuoja-asetuksen 12 artiklan 4 kohdassa säädetysti jos rekisterinpitäjä ei toteuta toimenpiteitä rekisteröidyn pyynnön perusteella, rekisterinpitäjän on ilmoitettava viipymättä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta rekisteröidylle syyt siihen ja kerrottava mahdollisuudesta tehdä valitus valvontaviranomaiselle ja käyttää muita oikeussuojakeinoja.
Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa säädetysti rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin.
Yleisen tietosuoja-asetuksen 15 artiklan 4 kohdassa säädetysti oikeus saada 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.
Tietosuojalain (1050/2018) 34 §:n 1 momentin 1 kohdassa säädetysti rekisteröidyllä ei ole yleisen tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta saada tutustua hänestä kerättyihin tietoihin, jos tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä.
Tietosuojalain 34 §:n 2 momentissa säädetysti jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne 1 momentin mukaan jäävät yleisen tietosuoja-asetuksen 15 artiklassa tarkoitetun oikeuden ulkopuolelle, rekisteröidyllä on oikeus saada tietää muut häntä koskevat tiedot.
Henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain (1054/2018) 1 §:n 1 momentin 1 kohdassa säädetysti tätä lakia sovelletaan toimivaltaisten viranomaisten käsitellessä henkilötietoja, kun kyse on rikosten ennalta estämisestä, paljastamisesta, selvittämisestä tai syyteharkintaan saattamisesta.
Henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 23 §:n 1 momentin 1 kohdassa säädetysti jokaisella on oikeus saada rekisterinpitäjältä tieto siitä, käsitelläänkö häntä koskevia henkilötietoja. Jos kyseisiä tietoja käsitellään, rekisteröidyllä on oikeus saada rekisterinpitäjältä käsiteltävät henkilötiedot ja kaikki tietojen alkuperästä käytettävissä olevat tiedot.
Henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 24 §:n 1 momentissa säädetysti rekisteröidyn tarkastusoikeutta voidaan kokonaan tai osittain lykätä tai rajoittaa tai se voidaan evätä siltä osin kuin se on välttämätöntä 28 §:ssä mainituilla perusteilla. Jos rekisteröidyn tarkastusoikeutta lykätään, rajoitetaan tai se evätään, rekisterinpitäjän on ilman aiheetonta viivytystä ilmoitettava siitä rekisteröidylle kirjallisella todistuksella. Myös lykkäämisen, rajoittamisen ja epäämisen perustelut on ilmoitettava, paitsi jos niiden ilmoittaminen vaarantaisi epäämisen tai rajoittamisen tarkoituksen.
Henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 28 §:n 1 momentin 1 kohdassa säädetysti rekisteröidyn oikeuksia voidaan rajoittaa 22 §:n 2 momentissa, 24 §:n 1 momentissa, 26 §:n 1 momentissa ja 35 §:ssä tarkoitetulla tavalla, jos se rekisteröidyn oikeudet huomioon ottaen on oikeasuhtaista ja välttämätöntä rikosten ennalta estämiselle, paljastamiselle, selvittämiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle aiheutuvan haitan välttämiseksi.
Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdassa säädetysti jokaisella valvontaviranomaisella on toimivaltuus määrätä rekisterinpitäjä tai henkilötietojen käsittelijä noudattamaan rekisteröidyn pyyntöjä, jotka koskevat tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttöä.
Oikeudellinen kysymys
Apulaistietosuojavaltuutettu arvioi ja ratkaisee vireillesaattajan asian edellä mainitusti yleisen tietosuoja-asetuksen ja tietosuojalain pohjalta. Asiassa ratkaistavana ovat seuraavat oikeudelliset kysymykset:
1) onko rekisterinpitäjä vastannut vireillesaattajan pyyntöön yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädetyn mukaisesti; ja
2) onko rekisterinpitäjällä toukokuussa 2023 ollut hyväksyttävä peruste evätä vireillesaattajan yleisen tietosuoja-asetuksen 15 artiklan nojalla esittämä pyyntö oikeudesta saada tutustua tietoihin.
Lisäksi asiassa on arvioitavana, onko asiassa käytettävä yleisen tietosuoja-asetuksen 58 artiklassa säädettyjä korjaavia toimivaltuuksia.
Apulaistietosuojavaltuutetun päätös ja perustelut
Päätös
Rekisterinpitäjä ei ole vastannut vireillesaattajan pyyntöön yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädetyssä kuukauden määräajassa.
Rekisterinpitäjällä ei ole toukokuussa 2023 ollut hyväksyttävää perustetta evätä vireillesaattajan yleisen tietosuoja-asetuksen 15 artiklan nojalla esittämää pyyntöä saada tutustua tietoihin.
Määräys
Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan nojalla määräyksen noudattaa vireillesaattajan yleisen tietosuoja-asetuksen 15 artiklan nojalla esittämää pyyntöä saada tutustua tietoihin.
Perustelut
Rekisteröidyn pyyntöön vastaamisesta
Yleisen tietosuoja-asetuksen 12 artiklassa on säädetty yksityiskohtaisista säännöistä rekisteröidyn oikeuksien käyttöä varten. Artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty 15–22 artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. Edelleen artiklan 4 kohdan mukaan, jos rekisterinpitäjä ei toteuta toimenpiteitä rekisteröidyn pyynnön perusteella, rekisterinpitäjän on ilmoitettava viipymättä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta rekisteröidylle syyt siihen ja kerrottava mahdollisuudesta tehdä valitus valvontaviranomaiselle ja käyttää muita oikeussuojakeinoja.
Euroopan tietosuojaneuvosto on antanut ohjeita rekisteröityjen oikeuksista, erityisesti oikeudesta saada tutustua tietoihin. (Ohjeet 1/2022 rekisteröityjen oikeuksista – oikeus tutustua tietoihin, versio 2.1 (hyväksytty 28. maaliskuuta 2023).) Mainituissa ohjeissa todetusti pyyntöön vastaamiseen kuluva aika on laskettava asetuksen (ETY, Euratom) N:o 1182/71 mukaisesti, mikä tarkoittaa, että määräaika pyynnön vastaamiseen alkaa pyynnön esittämispäivästä. (Neuvoston asetus (ETY, Euratom) N:o 1182/71, annettu 3 päivänä kesäkuuta 1971, määräaikoihin,päivämääriin ja määräpäiviin sovellettavista säännöistä.) Kuukausina ilmaistu määräaika päättyy määräajan viimeisen päivän kuluttua umpeen, joka järjestysnumeroltaan vastaa määräajan alkamispäivää. Jos tämän ajanjakson viimeinen päivä osuu viikonlopulle tai yleiselle vapaapäivälle, pyyntöön on vastattava viimeistään seuraavana työpäivänä.
Vireillesaattaja on tehnyt rekisteröidyn oikeutta koskevan pyynnön rekisterinpitäjälle 21.4.2023. Annetun selvityksen mukaan rekisterinpitäjä oli ryhtynyt toimenpiteisiin vireillesaattajan pyynnön johdosta. Rekisterinpitäjä oli pyrkinyt selvittämään poliisin kannan asiaan. Annetun selvityksen mukaan rekisterinpitäjän edustaja oli 25.5.2023 ollut sähköpostitse yhteydessä Lounais-Suomen poliisilaitokseen. Vaikka rekisterinpitäjän tiedusteluun ei ollut vastattu, oli vireillesaattajalle vastattu samana päivänä, eli 25.5.2023 ja kieltäydytty tietoja toimittamasta. Kiinnitettäköön tältä osin huomiota siihen, että poliisiin oli oltu yhteydessä vasta kolme vuorokautta sen jälkeen, kun vireillesaattajan pyyntöön olisi viimeistään tullut vastata.
Vastauksen viivästymistä on edellä mainitusti perusteltu sekä sillä, että asiaan liittyviä tietoja on käsitelty useammassa rekisterinpitäjän organisaation yksikössä, että sillä, että rekisterinpitäjä on pyrkinyt selvittämään poliisin kannan asiaan. Kiinnitettäköön tältä osin puolestaan huomiota siihen, että vaikka rekisterinpitäjä on pitänyt asiaa monimutkaisena, se ei kuitenkaan ollut ilmoittanut asiasta vireillesaattajalle eikä näin ollen ollut myöskään ilmaissut tarvitsevansa lisäaikaa pyynnön toteuttamiseksi. Sen sijaan, että rekisterinpitäjä olisi ilmoittanut tarvitsevansa lisäaikaa pyynnön toteuttamiseksi, rekisterinpitäjä oli evännyt vireillesaattajan pyynnön. Selvyyden vuoksi on tässä yhteydessä todettava, että tässä päätöksessä ei arvioida sitä, voidaanko nyt käsillä olevaa pyyntöä pitää monimutkaisena.
Koska rekisterinpitäjä ei ollut vastannut vireillesaattajan pyyntöön viimeistään 22.5.2023 (21.5.2023 on ollut sunnuntai), ei rekisterinpitäjä ole vastannut vireillesaattajan pyyntöön yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädetyssä kuukauden määräajassa.
Rekisteröidyn oikeudesta saada tutustua tietoihin
Yleisen tietosuoja-asetuksen 15 artiklassa on säädetty rekisteröidyn oikeudesta saada tutustua tietoihin. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä artiklassa erikseen luetellut tiedot.
Tietosuojalain 34 §:n 1 momentin 1 kohdassa säädetysti rekisteröidyllä ei ole yleisen tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta saada tutustua hänestä kerättyihin tietoihin, jos tiedon antaminen saattaisi haitata rikosten selvittämistä. Edelleen saman pykälän 2 momentissa säädetysti, jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne edellä mainitulla perusteella jäävät rekisteröidyn sanotun oikeuden ulkopuolelle, rekisteröidyllä on oikeus saada tietää muut häntä koskevat tiedot.
Tietosuojalain 34 §:n 1 momentin 1 kohdan osalta lain esitöissä on vain viitattu kumotun henkilötietolain (Henkilötietolaki (523/1999), kumottu tietosuojalailla (1050/2018).) 27 §:n 1 momentin 1 kohtaan ja todettu tämän rajoituksen edelleen olevan mahdollinen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d alakohdan nojalla. ( Ks. HE 9/2018 vp, s. 119.) Muuta lain esitöissä ei ole tästä rajoitusperusteesta nimenomaisesti todettu.
Henkilötietolain (Henkilötietolaki (523/1999), kumottu tietosuojalailla (1050/2018).) 27 §:n 1 momentin 1 kohdassa säädetysti henkilötietolain 26 §:ssä säädettyä tarkastusoikeutta ei ole ollut muun muassa silloin, jos tiedon antaminen on saattanut haitata rikosten selvittämistä. Henkilötietolakia koskevassa hallituksen esityksessä puolestaan on viitattu vuoden 1987 henkilörekisterilain (Henkilörekisterilaki (471/1987).) 12 §:n 1 momentin 1 kohdassa säädettyyn. (Ks. HE 96/1998 vp, s. 62.)
Henkilörekisterilain 12 §:n 1 momentin 1 kohdassa säädetysti henkilörekisterilain 11 §:ssä tarkoitettua tarkastusoikeutta ei ole ollut, jos tiedon antaminen on saattanut haitata rikosten selvittämistä. Henkilörekisterilakia koskevassa hallituksen esityksessä puolestaan on edelleen todettu, että henkilöllä ei olisi oikeutta saada tietoja, jos tiedon antaminen saattaisi haitata rikosten selvittämistä. Lain esitöissä on edelleen todettu, että mainittujen rajoitusten on todettu koskevan lähinnä viranomaisten rekistereitä. Rajoitusperusteen käytön on lisäksi todettu edellyttävän tapauskohtaista harkintaa. Edelleen on todettu, että tietyt rekisterit eivät sellaisenaan jäisi tarkastusoikeuden ulkopuolelle, ellei rajoituksista olisi nimenomaisesti säädetty erikseen. (Ks. HE 49/1986 vp, s. 36.)
Henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia (1054/2018, myöhemmin ”rikosasioiden tietosuojalaki”) sovelletaan muun muassa henkilötietojen käsittelyyn, jota poliisi suorittaa rikoksia selvittäessään. Tämän lain 23 §:ssä on säädetty rekisteröidyn tarkastusoikeudesta ja 24 §:ssä on säädetty rajoituksista tarkastusoikeuteen. Tässä yhteydessä on syytä korostaa, että rikosasioiden tietosuojalakia sovelletaan vain tiettyjen viranomaisten suorittamaan henkilötietojen käsittelyyn. Nyt käsillä olevan asian rekisterinpitäjä ei ole viranomainen. Edelleen on syytä korostaa, että silloin kun on kysymys esimerkiksi poliisin suorittamasta henkilötietojen käsittelystä ja tähän liittyvästä rekisteröidyn pyynnöstä saada tutustua tietoihin, ei rajoitusperuste tule automaattisesti sovellettavaksi. Kysymys on tapauskohtaisesta harkinnasta.
Kuten edellä on esitetty, tietosuojalain 34 §:n 1 momentin 1 kohdassa säädettyä rajoitusta edeltävä vastaavan sisältöisen rajoitus on lain esitöissä todetusti koskenut lähinnä viranomaisten rekistereitä. (Ks. HE 49/1986 vp, s. 36.) Selvyyden vuoksi on kuitenkin todettava, että tämä ei kategorisesti kuitenkaan tarkoita sitä, etteikö rajoitussäännöstä voitaisi soveltaa myös muuhun kuin viranomaisen suorittamaan henkilötietojen käsittelyyn. Rekisteröidyn oikeus saada tutustua tietoihin on kuitenkin pääsääntö, ja tähän oikeuteen kohdistuva rajoitus on puolestaan poikkeus pääsääntöön, mikä tarkoittaa, että rekisteröidyn oikeuden rajoittamisen on kussakin yksittäistapauksessa oltava perusteltua. Se, että henkilötietoja on luovutettu poliisille ei täten automaattisesti tarkoita, että tietosuojalain 34 §:n 1 momentin 1 kohdassa säädetty poikkeussäännös tulisi sovellettavaksi. Kysymys on tapauskohtaisesta harkinnasta.
Nyt käsillä olevaa asiaa arvioitaessa on kiinnitettävä huomiota siihen, että rekisterinpitäjä on perustellut kieltäytymistään ainoastaan viittaamalla tietosuojalain 34 §:n 1 momentin 1 kohdan olemassaoloon. Rekisterinpitäjä ei ole esittänyt, miten tiedon antaminen tässä konkreettisessa yksittäistapauksessa saattaisi haitata rikosten selvittämistä.
Annetun selvityksen mukaan rekisterinpitäjä on kuitenkin pyrkinyt selvittämään poliisin kannan asiaan. Rekisterinpitäjän edustaja on annetussa selvityksessä kerrotun mukaan ollut yhteydessä Lounais-Suomen poliisilaitokseen sähköpostitse 25.5.2023. Kiinnitettäköön sanotun osalta huomiota paitsi siihen, että poliisin kantaa on ryhdytty selvittämään vasta kolme vuorokautta sen jälkeen, kun vireillesaattajan pyyntöön olisi tullut vastata, myös siihen, että sähköpostitiedustelu on kerrottu lähetetyn ainoastaan Lounais-Suomen poliisilaitokselle, vaikka rekisterinpitäjä oli asiassa annetun selvityksen mukaan vastaanottanut asiaa koskevan asiakirjapyynnön jo 10.5.2023 Länsi-Uudenmaan poliisilaitokselta. Koska vireillesaattaja on tehnyt pyyntönsä 21.4.2023, olisi rekisterinpitäjä jo Länsi-Uudenmaan poliisilaitokselle vastatessaan voinut tiedustella poliisin kantaa nyt käsillä olevaan kysymykseen. Todettakoon lisäksi, että huolellisesti toimiva rekisterinpitäjä olisi jo tässä yhteydessä ollut yhteydessä sekä Lounais- että Länsi-Uudenmaan poliisilaitokseen. (Annetussa selvityksessä on kerrottu, että rekisterinpitäjä on toki ollut yhteydessä myös Länsi-Uudenmaan poliisilaitokseen. Viimeisimmän yhteydenoton Länsi-Uudenmaan poliisilaitokselle on kerrottu tehdyn 15.12.2023.) Ottaen huomioon, että asiassa on kysymys rekisteröidyn oikeudesta, jonka toteuttaminen on sidottu määräaikaan, olisi rekisterinpitäjä voinut sähköpostiviestin lisäksi yrittää tavoitella tutkinnanjohtajaa ja/tai tutkinnanjohtajia puhelimitse sekä tarvittaessa jättää hänelle myös soittopyyntöjä varmistaakseen sen, että poliisin kanta saadaan hankittua. Edellä tässä kappaleessa todetusta huolimatta rekisterinpitäjä ei kuitenkaan ole yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa tarkoitetulla tavalla jatkanut määräaikaa, vaikka rekisterinpitäjä on pitänyt tehtyä pyyntöä monimutkaisena.
Länsi-Uudenmaan poliisilaitokselta 10.12.2024 sähköpostitse saadun tiedon mukaan nyt kysymyksessä olevan asiakirjamateriaalin luovuttaminen vireillesaattajalle ei vaaranna rikoksen selvittämistä. Tämän on vahvistanut omalta osaltaan myös erikoissyyttäjä 10.12.2024 käydyssä puhelinkeskustelussa. (Lounais-Suomen poliisilaitokselle siirretty asia oli sittemmin siirretty erikoissyyttäjälle, joka toimi asiassa tutkinnanjohtajana.)
Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan nojalla määräyksen noudattaa vireillesaattajan yleisen tietosuoja-asetuksen 15 artiklan nojalla esittämää pyyntöä saada tutustua tietoihin. Apulaistietosuojavaltuutettu kiinnittää tältä osin huomiota yleisen tietosuoja-asetuksen 15 artiklan 4 kohdassa säädettyyn. Oikeus saada yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin. Selvyyden vuoksi on lopuksi vielä todettava, että apulaistietosuojavaltuutettu ei ole asiassa de facto arvioinut sitä, olisiko rekisterinpitäjä tosiasiallisesti voinut toteuttaa vireillesaattajan pyyntöä toukokuussa 2023, sillä apulaistietosuojavaltuutetun tiedossa ei ole, mikä poliisin kanta kysymykseen olisi ollut toukokuussa 2023. Apulaistietosuojavaltuutettu on sen sijaan tällä päätöksellä ottanut kantaa kysymykseen, onko rekisterinpitäjällä tuolloin ollut hyväksyttävää perustetta evätä vireillesaattajan pyyntö. Koska rekisterinpitäjä ei ole tuolloin tehnyt kaikkia kohtuullisesti tehtävissä olevia toimenpiteitä poliisin kannan hankkimiseksi, ei rekisterinpitäjällä ole toukokuussa 2023 ollut hyväksyttävää perustetta evätä vireillesaattajan yleisen tietosuoja-asetuksen 15 artiklan nojalla esittämää pyyntöä saada tutustua tietoihin.
Muutoksenhaku
Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen.
Valitusosoitus on liitteenä.
Tiedoksianto
Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.
Lisätietoja päätöksestä antaa asian esittelijä
Laura Varjokari, puh. 029 566 6771.