Paikannustietojen hyödyntäminen COVID-19 –epidemian hillinnässä

Oikeuskansleri otti omana aloitteenaan tutkittavaksi paikannustietojen hyödyntäminen COVID-19 –epidemian hillinnässä, kun Telia oli tiedotteessaan ilmoittanut luovuttaneensa valtioneuvoston käyttöön poikkeustilanteeseen räätälöidyn paikkatietopalvelun käytettäväksi hallituksen päätösten vaikuttavuuden seurannassa ja johtamista tukevan tilannekuvan luomisessa.

Suomen perustuslain 10 §:n mukaan henkilötietojen suojasta säädetään lailla. Nykyisin henkilötietojen suoja kuuluu pääasiallisesti Euroopan unionin toimivaltaan ja unionin lainsäädännön alaan.

Euroopan unionin perusoikeusperuskirjan 8 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.  Henkilötietojen suojasta ja käsittelystä säädetään Euroopan unionin yleisessä tietosuoja-asetuksessa (EU) 679/2016. Tietosuoja-asetuksen mukaan henkilötietoja ovat kaikki tunnistettavaa tai tunnistettavissa olevaa henkilöä koskevat tiedot. Tietosuoja-asetuksen mukaan tietosuojaperiaatteita ei pidä soveltaa anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista, eikä asetus koske tällaisten anonyymien, muun muassa tilasto- tai tutkimustarkoituksia varten käytettävien tietojen käsittelyä.

Sähköisissä viestinnän palveluissa käyttäjien sijaintitietojen käytöstä ja käsittelystä säädetään sähköisen viestinnän palveluista annetun lain (917/2014) 20 luvussa. Lailla toteutetaan Suomessa henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annettua Euroopan parlamentin ja neuvoston direktiiviä 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi).

Tieto mobiililaitteen tai laitteiden sijainnista on tietosuoja-asetuksessa tarkoitettua henkilötietoa, jos tiedon voi yhdistää edes välillisesti yksittäiseen henkilöön. Mobiililaitteiden sijaintia koskevia tietoja ei voi pitää tietosuoja-asetuksessa tarkoitettuna henkilötietona, jos tiedosta ei ole mahdollista edes muuhun tiedon käyttäjän saatavilla olevaan tietoon yhdistämällä tai muulla käytettävissä olevalla keinolla tunnistaa laitteita jotka voitaisiin yhdistää yksittäisiin henkilöihin. Samoin sähköisen viestinnän palveluista annetun lain kielto hyödyntää sijaintitietoja koskee tietoa jonka voi yhdistää luonnolliseen henkilöön.

Hankitun selvityksen perusteella valtioneuvoston käyttöönsä hankkimassa palvelussa käsiteltiin lukumäärätietoa mobiililaitteiden sijainnista maakuntatasolla ja liikkeistä maakuntien välillä. Ajallisesti tietoa sai päivän tai tunnin tarkkuudella.

Oikeuskanslerin arvion mukaan palvelusta saatua maakuntatason lukumäärätietoa ei ollut mahdollista edes välillisesti yhdistää yksittäiseen laitteeseen tai luonnolliseen henkilöön. Kyse ei näin ollut henkilötietojen käsittelystä eikä tiedon käyttö edellyttänyt tietosuoja-asetuksen 6 artiklassa säädettyjen oikeutusperusteiden täyttämistä tai loukannut sähköisen viestinnän palveluista annetussa laissa säädettyä sijaintitiedon hyödyntämiskieltoa.

Palvelun käyttö valtioneuvostossa ei muutenkaan voinut vaarantaa kenenkään oikeuksia eikä valtioneuvoston kanslia ollut menetellyt lainvastaisesti tai muuten virheellisesti ottaessaan käyttöön tässä tarkoitetun mobiililaitteiden paikkatietoa hyödyntävän palvelun. Asia ei antanut aihetta oikeuskanslerin toimenpiteisiin.