Mikä luokitellaan henkilötiedoksi?

Mikä on henkilötietoa? Selvennyksiä EU:n tietosuoja-asetuksen näkökulmasta

Tietosuojan merkitys kasvaa jatkuvasti digitaalisessa maailmassa. Yksi keskeisimmistä käsitteistä on "henkilötieto", jolla on merkittäviä seuraamuksia sekä yksilöille että organisaatioille. EU:n yleinen tietosuoja-asetus (GDPR) määrittelee tarkasti, mitä henkilötiedolla tarkoitetaan, ja sen ymmärtäminen on tärkeää tietosuojan varmistamiseksi.

GDPR:n mukaan henkilötieto on mikä tahansa tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön ("rekisteröity"). Tämä määritelmä on laaja ja kattaa paljon enemmän kuin vain ilmeiset tunnistetiedot. Keskeistä on tunnistettavuus: tiedot ovat henkilötietoja, jos niiden perusteella rekisteröity on suoraan tai epäsuorasti tunnistettavissa.

Esimerkkejä selkeistä henkilötiedoista:

• Nimi: Täydellinen nimi, lempinimi tai käyttäjänimi, joka voi yhdistettynä muihin tietoihin johtaa henkilön tunnistamiseen.
• Osoite: Asumisosoite, postiosoite tai sähköpostiosoite.
• Puhelinnumero: Kiinteä tai matkapuhelinnumero.
• Henkilötunnus: Kansallinen henkilötunnusnumero tai muu vastaava yksilöivä tunniste.
• Biometriset tiedot: Sormenjäljet, kasvojentunnistus, DNA-tiedot.
• Sijaintitiedot: GPS-koordinaatit, IP-osoite.

Esimerkkejä vähemmän ilmeisistä, mutta silti henkilötiedoista:

• IP-osoite: Vaikka IP-osoite itsessään ei aina paljasta suoraan henkilöllisyyttä, sen avulla voidaan yhdistettynä muihin tietoihin, kuten aikaleimoihin ja verkkosivujen käyttöhistoriaan, tunnistaa henkilö.
• Äänitiedosto: Uniikki ääni voi paljastaa henkilöllisyydestä.
• Kuva: Kasvojen tai muiden tunnistettavien piirteiden sisältävä kuva, etenkin jos se yhdistetään muihin tietoihin.
• Lääketieteelliset tiedot: Sairaudet, diagnoosi ja hoitotiedot.
• Ostoshistoria: Tuotteiden ostaminen tietyn verkkokaupasta. Tämä voi paljastaa henkilön mieltymyksiä ja jopa terveydentilaa.
• Selaushistoria: Käytettyjen verkkosivujen ja hakujen historia.

Mikä EI ole henkilötietoa?

Tietoa, jota ei voida yhdistää tiettyyn henkilöön, ei luokitella henkilötiedoksi. Esimerkiksi anonymisoitu tilastotieto, jossa ei ole yksilöiviä tietoja, ei ole henkilötietoa. Kuitenkin anonymisointiin liittyy haasteita, ja se on tehtävä huolellisesti, jotta yksilön tunnistettavuus poistetaan pysyvästi. Vaarana on, että anonymisointi voi olla puutteellista ja tietojen yhdistäminen myöhemmin mahdollista.

Yhteenveto:

Henkilötietojen määritelmä on laaja ja kattaa sekä ilmeiset että vähemmän ilmeiset tiedot. Keskeistä on, voiko tietojen avulla tunnistaa tietyn yksilön. GDPR:n noudattaminen edellyttää tietojen käsittelijöiltä tarkkaa harkintaa ja selkeää ymmärrystä siitä, mitä tietoja he käsittelevät ja miten he suojaavat yksilöiden yksityisyyttä. Epäselvissä tapauksissa on aina suositeltavaa toimia varovaisesti ja kysyä asiantuntijan apua.