Asiakkaiden sähköpostiosoitteiden luovuttaminen lopputyötä tekevälle opiskelijalle

Asia

Voiko viranomainen luovuttaa asiakkaidensa sähköpostiosoitteita lopputyötä tekevälle opiskelijalle. Opiskelija pyysi näitä yhteystietoja lopputyöhönsä liittyvän kyselyn lähettämiseksi.

Tietosuojavaltuutetun kannanotto

Sähköpostiosoitteet ovat henkilötietolain 3 §:n 1 kohdassa määriteltyjä henkilötietoja, joiden käsittelyyn sovelletaan henkilötietolakia. Ensin tulee arvioida, onko asiassa kyse henkilötietojen käsittelystä viranomaisen omassa toiminnassa vai niiden luovuttamisesta.

Opiskelija voi tehdä lopputyöhönsä liittyvän kyselytutkimuksen viranomaisen toimeksiannosta, jos kyselyn tekemisen voidaan katsoa liittyvän viranomaisen tehtäviin. Viranomaisen asiakkaiden yhteystietojen käsittely perustuu silloin henkilötietolain 8 §:n 1 momentin 7 kohtaan. Kysymyksessä on henkilötietojen käyttö viranomaisen omassa toiminnassa.

Muuten kyse on henkilötietojen luovuttamisesta. Henkilötietolain 8 §:n 4 momentin mukaan henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä säädetään viranomaisten toiminnan julkisuudesta annetussa laissa (julkisuuslaki). Lain 16 §:n 3 momentista ilmenee, millä perusteella viranomaisen henkilörekisteristä voi luovuttaa julkisia tietoja kopioina, tulosteina ja sähköisessä muodossa. Edellytyksenä on, että luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Asiasta kerrotaan tarkemmin tietosuojavaltuutetun toimiston esitteessä.

Kyseeseen voi tulla kaksi vaihtoehtoista henkilötietojen luovutusperustetta. Rekisterinpitäjä vastaa henkilötietojen luovutuksen lainmukaisuudesta. Se arvioi tietopyynnön esittäjän antamien tietojen perusteella, voidaanko pyydettyjä tietoja luovuttaa ja millä edellytyksillä luovuttaminen voi tapahtua.

Opiskelijan tekemä kyselytutkimus voidaan rinnastaa mielipidetutkimukseen. Siinä tapauksessa yhteystietojen luovutus opiskelijalle on mahdollista vain rekisteröidyn suostumuksella, mikä ilmenee julkisuuslain 16 §:n 3 momentista. Suostumuksen määritelmä on henkilötietolain 3 §:n 7 kohdassa. Suostumuksen tulee olla rekisteröidyn tietoinen tahdon ilmaisu.

Jos opiskelijan tekemä tutkimus voidaan jossakin tilanteessa katsoa tieteelliseksi tutkimukseksi, henkilötietoja voi luovuttaa henkilötietolain 14 §:ssä mainituin edellytyksin. Tutkimuksella tulee silloin olla muun muassa vastuullinen johtaja ja henkilörekisterin käytön tulee perustua asianmukaiseen tutkimussuunnitelmaan. Edellytyksistä kerrotaan tarkemmin tietosuojavaltuutetun toimiston esitteessä. Salassa pidettävien tietojen luovuttaminen on vielä rajoitetumpaa, mikä ilmenee tietosuojavaltuutetun toimiston toisesta esitteestä.

Tutkimuksen tekemisessä tulee ottaa huomioon henkilötietolain vaatimukset. Jos tutkimus tehdään jonkin tahon lukuun ja siinä käsitellään henkilötietoja, lain 3 §:n 4 kohdassa määriteltynä rekisterinpitäjänä on se taho, jonka lukuun tutkimus tehdään. Muuten rekisterinpitäjänä on tutkimuksen tekevä opiskelija. Rekisterinpitäjä vastaa tutkimukseen liittyvästä henkilötietojen käsittelystä.

Kyselyyn tulee liittää lähete, jossa kerrotaan, että vastaaminen on vapaaehtoista. Lähetteessä tulee kertoa, kuka tietoja kerää ja mihin tarkoitukseen, sekä se, aiotaanko tietoja hankkia muualta. Jos tietoja hankitaan muualta, tulee kertoa mistä. Lisäksi tulee kertoa, minne tietoja mahdollisesti luovutetaan. Henkilötietojen käsittelyn edellytetään olevan avointa, mikä ilmenee lain 24 §:stä ja 10 §:stä. Mielipidetutkimuksen kyselyssä on lain 25 §:n 3 momentin mukaan ilmoitettava myös, mistä henkilötiedot on saatu.

Suojaamattoman sähköpostiviestin vastaanottaja ei voi varmuudella tietää, että sähköpostin lähettäjänä on se, joksi hän on ilmoittanut itsensä. Tällaisen sähköpostiviestin tietoturva on heikko. Tietosuojavaltuutettu piti sen vuoksi asianmukaisempana vaihtoehtona, että ainakin kyselyyn vastaaminen tapahtuu muulla tavoin.

Jos kysely on mahdollista tehdä ilman tunnistetietoja, vastaajan nimeä ei tule pyytää, mikä ilmenee lain 9 §:ssä säädetystä tarpeellisuusvaatimuksesta. Jos kyselyssä on tutkimuksen tekemisen kannalta perustellusta syystä vastaajan tunnistetiedot, aineisto muodostaa henkilörekisterin. Sen käsittelyssä on otettava huomioon henkilötietolain vaatimukset. Kyselyssä voidaan kysyä vain tutkimuksen tekemisen kannalta tarpeellisia tietoja, henkilötietojen käsittelyn tulee lain 6 §:n mukaan olla asiallisesti perusteltua kyselyn tekemisen kannalta ja henkilötietoja voi lain 7 §:n mukaan käyttää vain tutkimuksessa. Lain 32 §:ssä säädetty suojaamisvaatimus velvoittaa suojaamaan aineiston ulkopuolisilta. Tulee myös selvittää, kuinka kauan aineisto säilytetään ja miten se hävitetään luotettavasti.

Sovelletut säännökset
Henkilötietolaki: 8 § 1 momentti 7 kohta, 14 §
Julkisuuslaki: 16 § 3 momentti