18.1.2023

Varhaiskasvatuksen asiakkaiden informointi henkilötietojen käsittelyn tarkoituksesta ja käsittelyn oikeusperusteesta

Apulaistietosuojavaltuutetun huomautus

Asia

Varhaiskasvatuksen asiakkaiden informointi henkilötietojen käsittelyn tarkoituksesta ja käsittelyn oikeusperusteesta, kun henkilötietoja kerätään kyselylomakkeilla

Tietosuojavaltuutetun toimiston tietoon saatettu asia

Asia koskee asiakkaiden informointia henkilötietojen käsittelyn tarkoituksesta ja käsittelyn oikeusperusteesta, kun henkilötietoja kerätään kyselylomakkeilla.

Tietosuojavaltuutetun toimiston tietoon on tullut 23.04.2020, että rekisterinpitäjän varhaiskasvatuksen asiakkaille olisi lähetetty koronapandemian alettua kyselylomake ja tiedote lapsen hoidon järjestämisestä kotona. Kyselyssä kerrotaan, että henkilötietojen käsittely perustuu suostumukseen, mutta tietosuojavaltuutetun toimistolle toimitetun materiaalin perusteella on voinut jäädä epäselväksi, onko kyselyyn vastaaminen vapaaehtoista vai pakollista. Yhteydenoton mukaan päivähoitopaikassa olisi kerrottu, että kysely tulee palauttaa.

Lisäksi henkilötietojen käsittelyn tarkoitus on voinut jäädä asiassa epäselväksi ja samalla siten myös se, millä edellytyksillä lapsi voi edelleen osallistua varhaiskasvatukseen. Tietosuojavaltuutetun toimistolle toimitetussa lomakkeessa todetaan tietojen käsittelyn oikeusperusteesta ja tarkoituksesta seuraavaa:

”Kyselyssä kysyttyjen henkilötietojen käsittely perustuu suostumukseen, jonka annat vastaamalla tähän kyselyyn. Kyselyyn antamiasi henkilötietoja käsitellään vain tarvittaessa. Käsittelyyn osallistuu sen yksikön esimies, jonka yksikön toimintaan kuuluvan lapsen päivähoidosta tai esiopetuksesta on kysymys. Lisäksi tietoja käsittelevät maksujen vuoksi varhaiskasvatuksen toimistosihteerit.”

Yhteydenoton mukaan asiakkaille annettiin kyselylomakkeen mukana tiedote ”Tiedote varhaiskasvatuksen arkeen vaikuttavista toimenpiteistä koronaviruspandemian hillitsemiseksi”. Tietosuojavaltuutetun toimistolle toimitetun tiedotteen kohdassa 1 todetaan seuraavaa:

“Varhaiskasvatuksen toimintayksiköt ja niiden yhteydessä järjestettävä esiopetus pidetään toiminnassa. Tällä turvataan yhteiskunnan toiminnan kannalta kriittisten alojen -- työntekijöiden lasten pääsy varhaiskasvatukseen ja mahdollistetaan vanhempien työssäkäynti.

Myös perhe- tai yksilökohtaiset erityiset syyt voivat puoltaa päivähoitopaikan järjestämistä. Päiväkodinjohtajat ja perhepäivähoidon ohjaajat huolehtivat siitä, että kaikkien perheiden mahdollisuudet hoitaa lapsi kotona kartoitetaan.

Tulee kuitenkin huomioida, että ne huoltajat, joiden on mahdollista järjestää lapsen hoito kotona, menettelevät niin.

Esiopetusta järjestetään lähiopetuksena niille lapsille, joiden huoltajien ei ole mahdollista järjestää lapsen hoitoa kotona. --

Varhaiskasvatuksessa käynnistetään valmistelu maksuhyvityskäytäntöjen muuttamiseksi. Tarkoitus on, että lapsen päivähoitomaksua hyvitetään lapsen poissaolopäiviltä silloin, kun palvelun järjestäjä esittää lapsen hoidon järjestämistä kotona poikkeusolojen, lakon, ylityökiellon tai muun vastaavan syyn vuoksi. Laskutustiedot välitetään sisäisesti, eikä huoltajilta edellytetä mitään toimia asiassa.”

Rekisterinpitäjän selvitys

Rekisterinpitäjältä on pyydetty selvitystä asiassa 11.01.2022 päivätyllä selvityspyynnöllä. Rekisterinpitäjä on vastannut tietosuojavaltuutetun toimiston selvityspyyntöön 18.03.2022. Rekisterinpitäjän selvityksen mukaan lomakkeeseen vastaaminen on ollut toivottavaa, mutta vapaaehtoista. Tietojen saaminen on rekisterinpitäjän mukaan ollut varhaiskasvatuksen järjestäjän kannalta välttämätöntä. Huoltajille suunnattu kysely oli hyvin poikkeuksellisessa tilanteessa ainoa vaihtoehto saada kerättyä tiedot siitä, kuinka monen lapsen päivähoito järjestettäisiin kotona. Vastaamisen vapaaehtoisuuden olisi rekisterinpitäjän mukaan voinut ilmaista selkeämmin.

Rekisterinpitäjä toteaa lisäksi, että päiväkotien henkilökunnalle on annettu yleisellä tasolla ohjeistusta henkilötietojen käsittelystä, mutta tässä nimenomaisessa asiassa ei ole annettu erikseen ohjeistusta.

Rekisterinpitäjän mukaan henkilötietojen käsittelyn oikeusperuste on ollut lakisääteinen velvoite. Henkilötietojen käsittelyn tarkoitus on rekisterinpitäjän mukaan ollut selvittää lapsen hoidon järjestämistä kotona. Rekisterinpitäjä toteaa, että henkilötietoja on kysytty, jotta on voitu tarvittaessa varmistaa myös lapsen ikä ja saada tarvittavat tiedot mahdollisimman nopeasti nopeaa reagointia vaatineessa tilanteessa. Lapsien vanhempien tavoittaminen saattoi olla ongelmallista, koska lapsia oli jo jäänyt paljon pois hoidosta. Maksuhyvitysten vuoksi rekisterinpitäjän piti kuitenkin saada poissaolotiedot. Rekisterinpitäjä toteaa, että lapsen ikä olisi voitu kysyä monivalintakysymyksellä, jolloin henkilötunnusta ei olisi tarvinnut kysyä.

Rekisterinpitäjän mukaan vastaajia on informoitu siitä, että kerättäviä tietoja käsittelevät vain tarvittaessa yksikön esimies ja maksuhyvityksiä käsittelevät toimistosihteerit. Käsittelyn tarkoitusta olisi voinut täsmentää.

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee asian tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta. Asiassa on ratkaistava

1. onko asiakkaita informoitu läpinäkyvästi kyselyssä henkilötietojen käsittelyn tarkoituksesta ja oikeusperusteesta (vastaamisen vapaaehtoisuudesta)

2. onko apulaistietosuojavaltuutetun käytettävä TSA 58 artiklan 2 kohdassa säädettyjä korjaavia toimivaltuuksia edellä esitettyjen kysymysten johdosta.

Sovellettavasta lainsäädännöstä

Henkilötietojen käsittelystä säädetään yleisessä tietosuoja-asetuksessa. Yleistä tietosuoja-asetusta täsmentää tietosuojalaki (1050/2018).

TSA 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista. TSA 5 artiklan 1 kohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (”lainmukaisuus, kohtuullisuus ja läpinäkyvyys”).

TSA 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.

TSA 13 artiklan 1 kohdan c alakohdan mukaan kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle tiedot henkilötietojen käsittelyn tarkoituksesta sekä käsittelyn oikeusperusteesta.

Apulaistietosuojavaltuutetun päätös

Rekisterinpitäjälle annetaan TSA 58 artiklan 2 kohdan b alakohdan mukainen huomautus, koska rekisterinpitäjä ei ole tietosuoja-asetuksen edellyttämällä tavalla informoinut asiakkaita henkilötietojen käsittelyn tarkoituksesta ja käsittelyn oikeusperusteesta.

Perustelut

Informointi henkilötietojen käsittelyn tarkoituksesta

Edellä mainitun TSA 13(1) c artiklan mukaan kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle tiedot henkilötietojen käsittelyn tarkoituksesta. TSA 12(1) artiklan mukaan kyseiset tiedot on toimitettava tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. TSA 5(1) artiklan mukaan henkilötietoja on käsiteltävä läpinäkyvästi.

Tietosuoja-asetuksen johdantokappaleen kohdan 39 mukaan luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin sekä selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä.

Tietosuojavaltuutetun toimistolle toimitetun materiaalin perusteella asiassa on voinut jäädä epäselväksi henkilötietojen käsittelyn tarkoitus ja samalla siten myös se, millä edellytyksillä lapsi voi edelleen osallistua varhaiskasvatukseen. Lomakkeella tai sen mukana toimitetussa tiedotteessa ei ole informoitu läpinäkyvästi siitä, että henkilötietoja käsitellään sen kartoittamiseksi, kuinka moni lapsi tarvitsee päivähoitoa. Rekisterinpitäjän mukaan poissaolotietoja tarvittiin maksuhyvitysten käsittelemiseksi. Lomakkeen mukana lähetetyssä tiedotteessa on ohjeistettu asiakkaita järjestämään lapsiensa hoito kotona, mikäli mahdollista, mutta siinä ei ole nimenomaisesti kerrottu, mikä merkitys vastauksella on (voidaanko lapsen päivähoito evätä lomakkeen vastausten perusteella). Tietosuojavaltuutetun toimistolle toimitettujen materiaalien valossa ei ole selvää, onko henkilötietojen käsittelyn tarkoitus ollut selvittää lasten hoidon järjestämistä kotona, maksuhyvitysten käsittely vai molemmat.

Edellä mainitut seikat huomioiden apulaistietosuojavaltuutettu katsoo, ettei henkilötietojen käsittelyn tarkoituksesta ole informoitu tietosuoja-asetuksen edellyttämällä tavalla riittävän läpinäkyvästi. Siksi rekisterinpitäjälle annetaan TSA 58 artiklan 2 kohdan b alakohdan mukainen huomautus.

Informointi henkilötietojen käsittelyn oikeusperusteesta

TSA 13(1) c artikla velvoittaa rekisterinpitäjää informoimaan käsittelyn oikeusperusteesta. Myös käsittelyn oikeusperusteesta on informoitava rekisteröityjä TSA 12(1) mukaisesti.

Tietosuojavaltuutetun toimistolle toimitetussa lomakkeessa lukee, että kyselyssä kysyttyjen henkilötietojen käsittely perustuu suostumukseen, jonka henkilö antaa vastaamalla kyseiseen kyselyyn. Henkilötietojen käsittely voi tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaan perustua rekisteröidyn suostumukseen yhtä tai useampaa erityistä tarkoitusta varten. Suostumuksen tulee kuitenkin olla tietosuoja-asetuksen 4 artiklan 11 kohdan mukaan vapaaehtoinen ja tietoinen tahdonilmaisu (kts. myös tietosuoja-asetuksen 7 artikla sekä tietosuoja-asetuksen johdanto-osan kohdat 42 ja 43). Tietoisen suostumuksen antamiseksi rekisteröidyn olisi tiedettävä tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta.

Rekisterinpitäjän vastauksen mukaan henkilötietojen käsittelyn peruste on ollut lakisääteinen velvoite, jota rekisterinpitäjä ei ole selvityksessään täsmentänyt. Rekisterinpitäjän vastauksen mukaan kyselyyn vastaaminen on ollut vapaaehtoista, mutta samalla rekisterinpitäjä toteaa, että tietojen saaminen on ollut varhaiskasvatuksen järjestäjän kannalta välttämätöntä. Tietosuojavaltuutetun toimiston saaman yhteydenoton mukaan olisi päivähoitopaikassa kuitenkin kerrottu, että kysely tulee palauttaa päivähoitoon.

Asiakkaalla on voinut olla vaikea arvioida sitä, voiko hän jättää vastaamatta kyselyyn, vaikka vastaajalle on kerrottu, että vastaaminen on vapaaehtoista, koska henkilötietojen käsittelyn oikeusperuste on voinut jäädä epäselväksi. Nyt käsiteltävänä olevassa tapauksessa varhaiskasvatuksen asiakkaille on voinut jäädä epäselväksi, perustuiko henkilötietojen käsittely suostumukseen vai lakisääteiseen velvoitteeseen. Näin ollen käsittelyn oikeusperusteesta ei ole informoitu tietosuoja-asetuksen edellyttämällä tavalla läpinäkyvästi. Sen vuoksi rekisterinpitäjälle annetaan TSA 58 artiklan 2 kohdan b alakohdan mukainen huomautus.

Tässä päätöksessä ei oteta kantaa siihen, mikä on henkilötietojen käsittelyn oikeusperuste.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään hallinto-oikeuteen.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.

Asian on esitellyt tarkastaja Emmi Iivonen.

Asian on ratkaissut apulaistietosuojavaltuutettu Heljä-Tuulia Pihamaa.

Päätös ei ole lainvoimainen.

Apulaistietosuojavaltuutetun ohjaus

Henkilötietojen käsittelystä informointi

Apulaistietosuojavaltuutettu kiinnittää rekisterinpitäjän huomiota siihen, että TSA 13(2) e artiklan mukaan rekisterinpitäjän on informoitava rekisteröityjä siitä, onko henkilötietojen antaminen lakisääteinen vaatimus sekä onko rekisteröidyn pakko toimittaa henkilötiedot ja tällaisten tietojen antamatta jättämisen mahdolliset seuraukset. Lakisääteinen velvoite voi perustua vain Euroopan unionin tai jonkin jäsenvaltion lakiin. Rekisterinpitäjän tulisi selkeästi esittää, mitkä tiedot ovat pakollisia ja mitkä mahdolliset seuraamukset niiden antamatta jättämisestä. Vastaavalla tavalla tulisi osoittaa tiedot, jotka eivät ole tästä näkökulmasta pakollisia.

Mikäli henkilötietojen käsittely perustuu suostumukseen, on suostumusta pyydettäessä ilmoitettava muun muassa rekisterinpitäjä, kaikki erilliset käyttötarkoitukset, joita varten suostumus on pyydetty, mitä tietoja rekisteröidyltä kerätään sekä rekisteröidyn oikeus peruuttaa suostumus.

Apulaistietosuojavaltuutettu ohjaa rekisterinpitäjää ottamaan huomioon myös sen, että tietosuoja-asetuksen 29 artiklan ja 32 artiklan 4 kohdan perusteella henkilökunnalle tulee antaa tarpeellinen ohjeistus henkilötietojen käsittelystä. Kun rekisteröity kysyy henkilötietojen käsittelyyn liittyviä kysymyksiä, on tärkeää, että hänelle kerrotaan, keneltä hän voi saada lisätietoja.

TSA 29 artiklan mukaan henkilötietojen käsittelijä tai kukaan rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö, jolla on pääsy henkilötietoihin, ei saa käsitellä niitä muuten kuin rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä niin vaadita. TSA 32 artiklan mukaan rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaadita. Näin ollen rekisterinpitäjän tulisi varmistaa, että henkilökunta on tietoinen siitä, miten henkilötietoja saa käsitellä.

Tähän apulaistietosuojavaltuutetun ohjaukseen ei voi hakea valittamalla muutosta.

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.