Henkilötietojen käsittely uuteen tarkoitukseen

Yleinen tietosuoja-asetus (GDPR) rakentuu kuuden käsittelyperiaatteen varaan, jotka on kirjattu asetuksen 5 artiklaan. Yksi näistä on käyttötarkoitussidonnaisuuden periaate: henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa myöhemmin käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla.

Periaatteen tarkoitus on estää niin kutsuttu “function creep” eli tietojen ajautuminen vähitellen käyttöön, johon rekisteröity ei ole koskaan antanut suostumustaan eikä osannut odottaa. Kun organisaatio kerää tietoja esimerkiksi verkkokaupan tilausta varten, näitä samoja tietoja ei voi ilman muuta käyttää myöhemmin vaikkapa profilointiin tai kolmannelle osapuolelle myytäväksi.

Mitä käyttötarkoitussidonnaisuus tarkoittaa käytännössä?

GDPR 5 artiklan 1 kohdan b alakohta asettaa käsittelylle kaksiosaisen vaatimuksen. Ensinnäkin tarkoitus on määriteltävä ja ilmoitettava jo tietoja kerättäessä. Toiseksi kaikki myöhempi käsittely on arvioitava suhteessa tähän alkuperäiseen tarkoitukseen.

• Tarkoitus on määriteltävä ennen tietojen keräämistä, ei jälkikäteen
• Tarkoituksen on oltava nimenomainen ja rekisteröidyn tiedossa esimerkiksi tietosuojaselosteen kautta
• Tarkoituksen on oltava laillinen eli sillä on oltava käsittelyperuste 6 artiklan mukaisesti
• Myöhempi käsittely ei saa olla yhteensopimatonta alkuperäisen tarkoituksen kanssa

Käytännössä tämä tarkoittaa, että rekisterinpitäjän on jo suunnitteluvaiheessa kyettävä vastaamaan kysymykseen, mihin tietoja tarvitaan – yleisluontoinen “liiketoiminnan kehittäminen” ei riitä täsmälliseksi tarkoitukseksi.

Milloin myöhempi käyttötarkoitus on yhteensopiva?

Asetus ei kiellä tietojen käyttämistä useampaan tarkoitukseen, kunhan uusi tarkoitus on yhteensopiva alkuperäisen kanssa. Yhteensopivuutta arvioidaan 6 artiklan 4 kohdan mukaisilla kriteereillä.

• Alkuperäisen ja uuden käyttötarkoituksen välinen yhteys
• Asiayhteys, jossa tiedot on alun perin kerätty, ja rekisteröidyn ja rekisterinpitäjän välinen suhde
• Tietojen luonne, erityisesti käsitelläänkö erityisiin tietoryhmiin kuuluvia tietoja
• Uuden käsittelyn mahdolliset seuraukset rekisteröidylle
• Suojatoimien olemassaolo, kuten pseudonymisointi tai salaus

Asetus sisältää myös suoran poikkeuksen: myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa, kunhan asianmukaiset suojatoimet on toteutettu.

Miksi periaate on tärkeä organisaatioille?

Käyttötarkoitussidonnaisuus kytkeytyy suoraan osoitusvelvollisuuteen: rekisterinpitäjän on paitsi noudatettava periaatetta myös kyettävä osoittamaan noudattaneensa sitä. Tämä tarkoittaa käsittelytarkoitusten dokumentointia käsittelytoimien selosteessa, tarkoitusten ajantasaista viestimistä rekisteröidyille sekä sen arvioimista etukäteen, kun tietoja aiotaan hyödyntää uudessa käyttötarkoituksessa.

Periaatteen laiminlyönti on valvontaviranomaisen sanktioinnin kohteena siinä missä muidenkin 5 artiklan periaatteiden rikkominen. Käytännön tasolla suositeltavaa on käydä säännöllisesti läpi, vastaavatko rekisterien tosiasialliset käyttötarkoitukset edelleen niitä, jotka on alun perin ilmoitettu, ja päivittää tietosuojaselosteet aina, kun tietoja aletaan käyttää uuteen tarkoitukseen.