Voin määrätä siitä, minkälaista dataa minusta kerätään

Usein ajatellaan, että ihmisillä on oikeus kontrolloida sitä, minkälaista dataa heistä kerätään. Missä määrin tämä pitää paikkansa? Meillä kaikilla on lainsäädännön näkökulmasta mahdollisuus ainakin teoriassa saada tietää, missä paikoissa henkilötietojamme käsitellään. Emme kuitenkaan aina pysty vaikuttamaan siihen, että meistä kerätään dataa. Usein meistä kerätty data – oli se suostumuksella saatua tai ei – myös määrittyy lainsäädännöllisesti henkilötiedoiksi eli sellaiseksi dataksi, joka on yhdistettävissä johonkin tiettyyn henkilöön.

Kun henkilötietojen ja niihin liitettävissä olevien muiden tietojen keräämistä tarkastellaan lainsäädännön näkökulmasta, on erotettava toisistaan yksityisen sektorin harjoittama henkilötietojen ja muun datan kerääminen ja julkisen sektorin toimesta tehtävä henkilötietojen kerääminen. Oleellista on myös, minkä tyyppisistä henkilötiedoista on kysymys ja mihin tarkoitukseen niitä käsitellään. Kaikenlainen henkilötietojen käsittely edellyttää tietosuoja-asetuksen mukaista käsittelyperustetta. Suostumus on kuitenkin vain yksi tällaisista perusteista.

Monikansalliset verkkoalustat, kuten Google, Microsoft, Apple, Meta, ByteDance ja Alibaba, keräävät ihmisten verkkokäyttäytymisestä henkilötietoja itse ja kolmansien tahojen välityksellä.¹³ Kansallisesti teleyritykset, kauppaketjut ja muut kaupalliset toimijat keräävät eri muodoissa ihmisten henkilötietoja. Yksityisen sektorin henkilötietojen keräämisen täytyy tietosuoja-asetuksen mukaan perustua joko ihmisen omaan suostumukseen tai oikeutettuun etuun.

Julkisella sektorilla henkilötietoja kerätään laajasti joko lain tai yleisen edun perusteella. Niitä myös hyödynnetään uudestaan erilaisiin lain sallimiin käyttötarkoituksiin. Esimerkiksi Terveyden ja hyvinvoinnin laitos (THL) ja Tilastokeskus keräävät laajasti suomalaisten henkilötietoja suoraan lain perusteella, eikä yksilö voi vaikuttaa tähän henkilötietojen keräämiseen. Sama koskee myös Digi- ja väestötietoviraston väestörekisteriin keräämiä henkilötietoja sekä Verohallintoa, jonka rekistereihin kerätään lain nojalla verotukseen vaikuttavia henkilötietoja.

Henkilötietojen käsittelystä on tiedotettava rekisteröityjä eli niitä henkilöitä, joiden tietoja kerätään, ennen tietojen keräämistä. Rekisterinpitäjät ovat velvollisia antamaan rekisteröidyille tietoa oikeuksistaan ja henkilötietojen käsittelystä. Tiedottamisesta voi poiketa vain erityisen poikkeuksellisissa tapauksissa, joista on tarkemmin säädetty tietosuoja-asetuksessa. Rekisteröidyillä on myös oikeus vaatia rekisterinpitäjältä selvitys, mitä tietoja hänestä on kerätty. Rekisteröity voi tietyissä tilanteissa pyytää tietojen korjaamista, rajoittaa niiden käsittelyä tai estää henkilötietojensa jatkokäsittelyn. Julkisella sektorilla näin voi tehdä asianomaiseen rekisteriin sovellettavan lain puitteissa. Niin sanottujen erityisten tietoryhmien henkilötietoja koskee yleinen käsittelykielto, ellei käsittelyyn sovellu jokin tietosuoja-asetuksen 9. artiklan mukaisista poikkeusperusteista (esimerkiksi lakisääteisten velvoitteiden noudattaminen). Tällaisia erityisen arkaluonteisia tietoja ovat henkilötiedot, joista ilmenee etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys. Näiden lisäksi erityisen arkaluonteisia ovat geneettiset tiedot, terveyttä koskevat tiedot sekä henkilön seksuaalista käyttäytymistä ja suuntautumista koskevat tiedot. Käsittelykielto koskee myös biometristen tietojen käsittelyä henkilön yksiselitteistä tunnistamista varten. Erityisen vaikeaa meidän on tietää, millä tavoin henkilötietojamme käsitellään niin sanotuissa toissijaisissa käyttötarkoituksissa. Vaikka tietäisimmekin, mihin tarkoitukseen henkilötiedot on alun perin kerätty, usein voi olla hyvin vaikea saada tietää, mihin näin kerättyjä henkilötietoja voidaan jatkossa käyttää. Ajankohtainen esimerkki käsittelystä, joka lipeää kontrollistamme, on avoimesta internetistä ja muista lähteistä kerätty data, jota tekoälyjätit käyttävät tekoälyohjelmistojensa kouluttamiseen. Tällä hetkellä on epäselvää, missä määrin mitkäkin tekoälymallit tallettavat ja muistavat tallentamiansa henkilötietoja ja miten loppukäyttäjä voi saada niistä ulos tunnistettavaan yksilöön liittyvää tietoa. Epäselvää on myös, miten tietosuoja-asetuksen tiedottamista koskevat säännökset soveltuvat tekoälyn tuottamiin henkilötietoja tai tekijänoikeudellista materiaalia sisältäviin tuotoksiin ja niiden uusiokäyttöön tekoälyn avulla. On hyvä muistaa, että meillä on lain mukaan kuitenkin aina oikeus kysyä ja saada tietää myös tästä jatkokäsittelystä.