Onko henkilötunnus arkaluonteinen tieto?

Onko henkilötunnus arkaluonteinen tieto? Käsittelyn tiukat rajat

Moni yritys pohtii tietosuoja-auditoinneissa, onko henkilötunnus arkaluonteinen tieto, sillä määritelmäero aiheuttaa runsaasti päänvaivaa ja väärinkäsityksiä. Virheellinen oletus tietojen vapaasta keräämisestä johtaa vakaviin taloudellisiin seuraamuksiin, jos organisaatio laiminlyö henkilötietojen käsittelyn periaatteita. Tutustu tarkkoihin sääntöihin ja suojaa yrityksesi toiminta oikeaoppisella tietojen käsittelyllä.

Onko henkilötunnus arkaluonteinen tieto lain mukaan?

Tämä riippuu siitä, tarkoitetaanko arkaluonteisuudella arkikielen suojaustarvetta vai lainsäädännön virallista määritelmää. Suomen lainsäädännössä henkilötunnus on tiukasti suojattu henkilötieto, mutta EU:n yleisen tietosuoja-asetuksen (GDPR) mukaan se ei kuulu niin sanottuihin erityisiin henkilötietoryhmiin.

Arkielämässä suomalaiset mieltävät henkilötunnus arkaluonteinen henkilötieto -käsitteen mukaisesti erittäin arkaluonteiseksi, ja syystäkin. Tunnus on pysyvä, yksilöivä ja kulkee mukana kehdosta hautaan. Viranomaiset voivat määrätä jopa 20 miljoonan euron tai 4 prosentin liikevaihtoa vastaavia hallinnollisia sakkoja, jos yritys rikkoo henkilötietojen käsittelyn periaatteita.^[1] Olen vuosien varrella seurannut kymmeniä yritysten tietosuoja-auditointeja, ja juuri tämä määritelmäero aiheuttaa eniten päänvaivaa. Moni luulee, että koska tunnus ei ole GDPR:n erityinen tietoryhmä, sitä saa kerätä vapaasti. Väärin. Suomen kansallinen tietosuojalaki asettaa henkilötunnuksen käsittely suomen tietosuojalaki -sääntöjen mukaisesti tiukat rajat, jotka estävät sen huolettoman käytön.

Mutta tähän liittyy yksi kriittinen väärinkäsitys, joka altistaa tavalliset kuluttajat huijauksille - palaan tähän tarkemmin riskiosion kohdalla.

Miksi henkilötunnus ja erityiset henkilötietoryhmät menevät sekaisin?

Sekaannus johtuu siitä, että aiemmassa henkilötietolaissa puhuttiin yleisesti arkaluonteisista tiedoista, kun taas nykyinen GDPR käyttää termiä erityiset henkilötietoryhmät vs henkilötunnus. Tähän tiukempaan kategoriaan kuuluvat vain tiedot, jotka paljastavat esimerkiksi terveydentilan, uskonnollisen vakaumuksen, etnisen alkuperän tai poliittisen mielipiteen.

Aluksi minäkin oletin, että henkilötunnus olisi automaattisesti samalla viivalla potilastietojen kanssa. Kun syvennyin sääntelyyn tarkemmin, ymmärsin lainsäätäjän logiikan. Henkilötunnus on tekninen tunnisteväline, joka koostuu syntymäajasta, yksilönumerosta ja tarkistusmerkistä. Se ei itsessään kerro ihmisen terveydestä tai vakaumuksesta mitään, vaikka se paljastaakin syntymäajan ja juridisen sukupuolen. Tunnus jaetaan Suomessa 898 mahdollisen yksilönumeron järjestelmällä kullekin päivälle, jotta jokainen saadaan erotettua toisistaan luotettavasti.^[2] Siksi sitä tarvitaan yhteiskunnan perustoiminnoissa - kuten pankkiasioinnissa ja verotuksessa - paljon useammin kuin varsinaisia henkilötunnus erityinen henkilötietoryhmä gdpr -sääntelyn mukaisia erityisiä henkilötietoja.

Milloin henkilötunnusta saa kysyä ja käsitellä?

Rekisterinpitäjä saa käsitellä henkilötunnusta vain, jos rekisteröity on antanut siihen nimenomaisen suostumuksensa tai käsittelystä säädetään laissa. Lisäksi tunnus voidaan pyytää, jos henkilön yksiselitteinen yksilöiminen on välttämätöntä laissa säädetyn tehtävän tai oikeuksien toteuttamiseksi.

Sallitut tilanteet: Luotonanto, vuokrasopimukset ja viranomaiset

Henkilötunnuksen kysyminen on täysin perusteltua tilanteissa, joissa osapuolten oikeusturva vaatii varmaa tunnistamista. Tällaisia ovat esimerkiksi pankkilainat, osamaksukaupat, vuokrasopimukset, vakuutukset sekä terveydenhuollon ja viranomaisten palvelut. Näissä tilanteissa pelkkä nimi ja osoite eivät riitä, koska Suomessa on paljon täyskaimoja.

Kielletyt tilanteet: Kanta-asiakkuudet ja postituslistat

Yritys ei saa kysyä henkilötunnusta pelkän uteliaisuuden tai markkinoinnin vuoksi. Esimerkiksi verkkokaupan uutiskirjeen tilaaminen, tavanomainen kanta-asiakasohjelma ilman luotto-ominaisuutta tai tavallinen asiakaspalaute eivät ole päteviä syitä tunnuksen keräämiseen. Tietosuojavaltuutettu on myös linjannut yksiselitteisesti, ettei koko henkilötunnusta saa merkitä kuluttajille lähetettäviin laskuihin. Tämä rikkoo suoraan tietojen minimoinnin periaatetta.

Kerran eräs verkkokauppias väitti minulle kivenkovaan, että heidän toiminnanohjausjärjestelmänsä vaatii asiakkaan henkilötunnuksen jokaiseen tilaukseen. Tarkistin asian. Kyse oli pelkästä laiskuudesta muuttaa oletusasetuksia. Tekninen järjestelmä ei koskaan ole lainmukainen peruste kerätä tarpeettomia henkilötietoja.

Mitä tehdä, jos henkilötunnusta pyydetään aiheettomasti?

Jos palveluntarjoaja pyytää henkilötunnusta ilman selkeää perustetta, sinulla on täysi oikeus kieltäytyä antamasta sitä ja kysyä käsittelyn lainmukaista perustetta. Monesti asia ratkeaa yksinkertaisesti jättämällä lomakkeen kenttä tyhjäksi tai tarjoamalla syntymäaikaa tunnuksen sijaan.

Toimi näin, jos kohtaat aiheettoman pyynnön: 1. Kysy asiakaspalvelulta suoraan, mihin lakiin tai välttämättömään tarpeeseen tunnuksen kerääminen perustuu. 2. Tarjoa vaihtoehtoista tapaa tunnistautua, kuten pelkkää syntymäaikaa, asiakasnumeroa tai sähköpostiosoitetta. 3. Valitse toinen palveluntarjoaja, jos yritys kieltäytyy palvelemasta ilman aiheettomasti vaadittua tunnusta. 4. Tee tarvittaessa ilmoitus tietosuojavaltuutetun toimistoon, jos yritys jatkaa lainvastaista keräämistä huomautuksesta huolimatta.

Voiko henkilötunnuksen vuotaminen johtaa identiteettivarkauteen?

Pelkkä henkilötunnus ei yksinään riitä vahvaan sähköiseen tunnistautumiseen, mutta se madaltaa kynnystä petoksiin, jos yhdistät sen muihin henkilötietoihin. Rikolliset voivat käyttää tunnusta yhdessä nimen ja osoitteen kanssa esimerkiksi laskutuspetoksiin tai pikavippien hakemiseen heikosti suojatuista palveluista.

Muistatko sen kriittisen väärinkäsityksen, jonka mainitsin alussa? Tässä se on: liian moni yritys ja kuluttaja kuvittelee edelleen, että henkilötunnus on miksi henkilötunnus ei ole arkaluonteinen tieto gdpr mukaan -ajatuksen vastaisesti salasana. Todellisuudessa se on julkinen yksilöintitieto - vähän kuin nimi tai rekisterinumero - eikä sillä saisi koskaan todistaa henkilöllisyyttä. Olen nähnyt tilanteita, joissa puhelinasiakaspalvelu avaa asiakkaan koko tilihistorian pelkän nimen ja henkilötunnuksen perusteella. Pelottavaa. Kun tietomurto tapahtuu ja tunnus päätyy vääriin käsiin, sen vaihtaminen on äärimmäisen vaikeaa. Digi- ja väestötietovirasto muuttaa tunnuksen vain poikkeustapauksissa, joissa henkilön turvallisuuteen kohdistuu ilmeinen uhka tai väärinkäytöstä on jo aiheutunut huomattavaa taloudellista haittaa.

Siksi vahva tunnistautuminen - kuten pankkitunnukset tai mobiilivarmenne - on ainoa luotettava tapa varmistaa henkilöllisyys verkossa. Jos epäilet tunnuksesi vuotaneen, aseta välittömästi oma luottokielto ja tee tarvittaessa rikosilmoitus.

Tavallinen henkilötieto vs. GDPR:n erityiset henkilötietoryhmät

Henkilötunnus (Kansallinen erityissääntely)

• Korkea - ei saa merkitä tarpeettomasti asiakirjoihin tai laskuihin
• Nimenomainen suostumus, lain säännös tai välttämätön yksilöintitarve
• Tavallinen henkilötieto GDPR:ssä, mutta tiukasti rajoitettu Suomen tietosuojalaissa
• Luottosopimukset, vuokraus, palkanmaksu, viranomaisasiointi

Erityiset henkilötietoryhmät (GDPR 9 artikla)

• Erittäin korkea - edellyttää tiukinta mahdollista tietoturvaa ja pääsynhallintaa
• Vaatii erittäin painavan poikkeusperusteen, kuten terveydenhuollon lakisääteisen tehtävän
• Kaikkein arkaluonteisimmat tiedot, joiden käsittely on pääsääntöisesti kielletty
• Potilastiedot, diagnoosit, geneettiset tiedot, uskonnollinen vakaumus, ammattiliiton jäsenyys

Lauran taistelu aiheetonta henkilötunnuspyyntöä vastaan

Laura, 34-vuotias graafinen suunnittelija Tampereelta, oli liittymässä paikallisen kuntosalin kuukausijäseneksi verkossa. Lomake vaati pakollisena tietona koko henkilötunnusta, vaikka maksu hoidettiin suoraan luottokortilla etukäteen.

Laura yritti ensin syöttää kenttään pelkän syntymäaikansa, mutta järjestelmä hylkäsi lomakkeen virheilmoituksella. Asiakaspalvelu väitti puhelimessa, että tunnus on pakollinen kaikille asiakkaille vakuutussyistä.

Laura ei tyytynyt selitykseen, vaan lähetti salille sähköpostin, jossa hän viittasi tietosuojalakiin ja pyysi kirjallista perustetta yksilöinnin välttämättömyydelle, koska laskutusta ei syntynyt. Seuraavana päivänä salin palvelupäällikkö myönsi virheen ja ohitti vaatimuksen.

Tapauksen seurauksena kuntosali päivitti verkkolomakkeensa kahden viikon sisällä niin, että henkilötunnus kysytään vain laskutusasiakkailta, ja Laura pääsi treenaamaan ilman turhaa tietoturvariskiä.