Tietosuojakielellä suostumus ei aina tarkoita lupaa

Yksinkertaiselta kuulostava käsite suostumus on kunnan arkisessa tietosuojakäytössä tosiasiassa monimutkainen. Suostumukseen liittyy usein väärinkäsityksiä, koska sanaa käytetään eri merkityksissä. 

Arkikielessä suostumus tarkoittaa yleensä lupaa. Oikeudellisessa yhteydessä se taas voi olla joko varsinainen käsittelyn peruste, lisäsuoja tai tapa mahdollistaa tietojen luovuttaminen. Merkitys riippuu aina tilanteesta. 

Yhteinen nimittäjä kaikille näille merkityksille on se, että suostumus liittyy ihmisen oikeuteen vaikuttaa omiin tietoihinsa. Se ei kuitenkaan tarkoita, että kaikki henkilötietojen käsittely perustuisi ihmisen antamaan lupaan. Erityisesti julkisessa toiminnassa keskeistä on se, mitä laki sallii ja edellyttää. 

Yksi suostumuksen merkityksistä toki on yleisesti tunnettu tilanne, jossa ihminen antaa luvan omien tietojensa käsittelyyn. Tällöin puhutaan suostumuksesta käsittelyn oikeusperusteena. Se tarkoittaa, että henkilötietoja voidaan käsitellä, koska ihminen on itse hyväksynyt sen. 

Jotta suostumus olisi pätevä, sen täytyy täyttää useita vaatimuksia: sen on oltava vapaaehtoinen, tarkasti rajattu tiettyyn tarkoitukseen, annettu riittävän tiedon perusteella ja ilmaistu selkeästi. Lisäksi suostumuksen voi aina peruuttaa. 

Käytännössä tämä ei kuitenkaan ole viranomaisten toiminnassa tavallinen tilanne. Kunnat ja muut viranomaiset käsittelevät henkilötietoja yleensä siksi, että laki velvoittaa tai sallii sen. Esimerkiksi opetuksen järjestäminen tai tonttien jakaminen edellyttää henkilötietojen käyttöä. 

Näissä tilanteissa ei voida nojata siihen, että ihminen antaa tai jättää antamatta suostumuksensa, koska palvelu ei saa olla siitä riippuvainen. Jos suostumuksen antamatta jättäminen johtaisi siihen, ettei ihminen saa palvelua, suostumus ei olisi aidosti vapaaehtoinen.

Tämän vuoksi suostumus ei yleensä toimi viranomaistoiminnassa varsinaisena perusteena käsitellä henkilötietoja. Sen sijaan henkilötietojen käsittely kunnissa perustuu lähinnä joko kunnan lakisääteisiin velvoitteisiin tai yleiseen etuun.

Toinen merkitys suostumukselle liittyy suojatoimeen. Tämä tarkoittaa tilannetta, jossa tietojen käsittely on jo muuten sallittua, mutta suostumusta käytetään lisäturvana. Se voi esimerkiksi vahvistaa henkilön asemaa tilanteessa, jossa tietoja käytetään hieman eri tavalla kuin alun perin. 

Sama vahvistaminen pätee, kun käsittelyyn liittyy erityisiä riskejä, esimerkiksi uuden teknologian käyttöönoton myötä. Tällöin suostumus ei ratkaise sitä, saako tietoja käsitellä, vaan se täydentää muita suojakeinoja ja lisää läpinäkyvyyttä.

Kolmas tärkeä merkitys liittyy salassa pidettäviin tietoihin. Lainsäädäntö suojaa monia henkilötietoja niin, ettei niitä saa luovuttaa eteenpäin. Tällaisia voivat olla esimerkiksi terveyttä tai sosiaalihuoltoa koskevat tiedot. 

Tietyissä tilanteissa tieto voidaan kuitenkin luovuttaa, jos henkilö itse antaa siihen suostumuksensa. Tällöin suostumus toimii ikään kuin poikkeuksena salassapitosäännöstä. On kuitenkin tärkeää ymmärtää, että tämä ei vielä yksin riitä: myös tiedon vastaanottajalla täytyy olla lain mukainen oikeus käsitellä tietoa.

Ida Sulin

Kirjoittaja on Kuntaliiton johtava juristi.