Tietosuojauutisia: Tietosuojarikos, järjestelmävirhe ja EUT:n ennakkoratkaisu C-247/23
Mitä uutta on tapahtunut tietosuojan alalla? Ensinnäkin Unkarin alioikeus sai Euroopan Unionin Tuomioistuimelta (EUT) ennakkoratkaisun liittyen yleiseen tietosuoja-asetukseen ja sukupuoli-identiteettiin. Toiseksi Helsingin kaupunkia epäillään tietosuojarikoksesta, joka tuli ilmi kaupungin koulutukseen kohdistuneessa tietomurrossa. Lisäksi Keskon verkkopalveluissa on järjestelmävirheitä, jonka vuoksi K-Citymarketin verkkopalvelun käyttäjät ovat pääseet näkemään toisten käyttäjien henkilötietoja.
Helsingin kaupunkia epäillään tietosuojarikoksesta
Keskusrikospoliisi epäilee tietosuojarikosta Helsingin kaupungin toiminnassa. KRP epäilee, että Helsingin kaupunki ei ole suojannut tietoja asianmukaisesti. Helsingin kasvatukseen ja koulutukseen iskenyt tietomurto vuoti oppilaiden, huoltajien ja kaupungin työntekijöiden tietoja. Tietoihin kohdistunut tietomurto tuli ilmi keväällä 2024. Tietomurtoa tutkitaan erikseen.
Esitutkinta asiasta on päätetty aloittaa KRP:n tekemän esiselvityksen perusteella. Esiselvityksessä selvitettiin, onko tietomurron kohteeksi joutuneiden tietojen suojaamisessa tapahtunut sellaista törkeää huolimattomuutta tai tahallisuutta, jonka perusteella on syytä epäillä rikosta. Esitutkinnassa tutkitaan, onko kaupunki suojannut tietoja asianmukaisesti. Rikosnimikkeenä on alustavasti tietosuojarikos, mutta se voi tarkentua tutkinnan edetessä.
– Esitutkinta on aivan alkuvaiheessa ja epäiltyjä ei toistaiseksi ole nimetty. Tutkinnan yksi keskeisistä tavoitteista onkin selvittää henkilöiden rooleja liittyen tietojen suojaamiseen, ja vasta sen jälkeen voidaan rajata mahdollisten epäiltyjen piiri. Helsingin kaupungin tietojärjestelmistä vastaa usea eri toimija, kertoo rikoskomisario Marko Leponen Keskusrikospoliisista.
Alkuperäinen tiedote löytyy täältä. Asiaa koskevat alkuperäiset uutiset löytyvät täältä ja täältä.
K-citymarketin verkkosivuilla järjestelmävirhe
K-Citymarketin verkkosivuilla on ollut järjestelmävirhe, jonka vuoksi kirjautuessa käyttäjä on päätynyt näkemään toisen käyttäjä henkilötietoja. K-Citymarket verkkopalveluun kirjautuminen on sen vuoksi tällä hetkellä estetty, kun ongelmaa selvitetään. Keskon IT:n edustaja kertoo, että he tekevät asiaan kuuluvat ilmoitukset viranomaisille.
Alkuperäinen uutinen löytyy täältä.
EUT:n tuomio C-247/23: yleinen tietosuoja-asetus ja sukupuoli-identiteetti
Asian taustaa ja ennakkoratkaisukysymykset
Iranin kansalainen VP sai vuonna 2014 pakolaisaseman Unkarissa vetoamalla transsukupuolisuuteensa ja esittämällä psykiatrian ja gynekologian asiantuntijoiden laatimat lääkärintodistukset asiasta. Kun hänen pakolaisasemansa oli tunnustettu, hänet oli siitä huolimatta rekisteröity naiseksi turvapaikkarekisteriin. VP pyysi vuonna 2022 lääkärintodistusten perusteella, että hänen sukupuolensa oikaistaisiin turvapaikkaviranomaisen rekisterissä yleisen tietosuoja-asetukseen vedoten. Vastuussa oleva viranomainen hylkäsi tämän pyynnön, koska VP ei ollut todistanut, että hänelle olisi tehty sukupuolenkorjausleikkaus. VP kanteli asiasta Budapestin alioikeuteen, joka pyysi EUT:lta ennakkoratkaisua yleisen tietosuoja-asetuksen tulkinnasta. Alioikeus totesi, että Unkarin lainsäädännössä ei säädetä menettelystä transsukupuolisuuden oikeudellista tunnustamista varten. Tuomioistuin kysyy, että velvoitetaanko yleisessä tietosuoja-asetuksessa julkisen rekisterin ylläpitämisestä vastaava kansallinen viranomainen oikaisemaan luonnollisen henkilön sukupuoli-identiteettiä koskevat henkilötiedot, jos nämä tiedot ovat virheellisiä. Lisäksi se kysyi, voiko jäsenvaltio hallinnollisella käytännöllä asettaa näiden tietojen oikaisemista koskevan oikeuden käyttämisen edellytykseksi todisteen esittämisen erityisesti sukupuolenvaihdosleikkauksesta.
EUT:n ratkaisu
EUT totesi, että yleisen tietosuoja-asetuksen ja erityisesti sen mukaisen tarkkuusperiaatteen perusteella rekisteröidyllä on oikeus saada ilman aiheetonta viivytystä oikaisu häntä koskeviin henkilötietoihin rekisterinpitäjältä. Asetus vahvistaa Euroopan unionin perusoikeuskirjalla asetetun oikeuden, jonka mukaan jokaisella on oikeus tutustua itseään koskeviin kerättyihin tietoihin ja oikeus saada ne oikaistua. EUT muistutti alioikeutta, että arvioitaessa sitä, ovatko nämä tiedot oikeita ja täydellisiä, on otettava huomioon se tarkoitus, jota varten ne on kerätty.
Vaikka EU ei puutu jäsenvaltioiden toimivaltaa henkilöiden siviilisäätyä ja sukupuoli-identiteetin oikeudellista tunnustamista koskevissa asioissa, näiden valtioiden on kuitenkin tätä toimivaltaa käyttäessään noudatettava EU:n oikeutta, mukaan lukien yleistä tietosuoja-asetusta, luettuna perusoikeuskirjan valossa. EUT huomautti, että tietojenkäsittely kuuluu yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan ja Unkarin tuomioistuimen tulee tarkistaa tietojen oikeellisuus suhteessa tietojen keräämisen tarkoitukseen. Jos tarkoitus on henkilön tunnistaminen, viittaavat tiedot todennäköisesti nimenomaan elettyyn sukupuoli-identiteettiin. EUT lisäsi, että jäsenvaltio ei voi vedota siihen, ettei sen kansallisessa lainsäädännössä ole transsukupuolisuuden oikeudellista tunnustamista koskevaa menettelyä, rajoittaakseen oikaisuoikeuden käyttämistä.
Yleisen tietosuoja-asetuksen perusteella kansallisen viranomaisen on siis oikaistava sukupuoli-identiteettiä koskeva tieto, jos se on virheellinen, EUT totesi. Henkilöä voidaan EUT:n mukaan vaatia esittämään asiasta asianmukaisen ja riittävän näytön, joka voidaan tapauksen olosuhteet huomioon ottaen kohtuudella vaatia kyseiseltä henkilöltä kyseisten tietojen virheellisyyden osoittamiseksi. Mutta EUT painotti, että jäsenvaltio ei voi missään tapauksessa vaatia tiedon oikaisemiseksi näyttöä sukupuolen korjausleikkauksesta. Tällaisella hallintokäytännöllä loukattaisiin perusoikeuskirjassa taattuja perusoikeuksia keskeisiltä osin ja erityisesti perusoikeuskirjan 3 artiklassa tarkoitettua henkilökohtaista koskemattomuutta koskevaa oikeutta ja 7 artiklassa tarkoitettua yksityiselämän kunnioittamista koskevaa oikeutta keskeisiltä osin. Lisäksi sellainen vaatimus ei ole missään tapauksessa ole tarpeellinen eikä oikeasuhteinen turvapaikkarekisterin kaltaisen julkisen rekisterin luotettavuuden ja johdonmukaisuuden takaamiseksi, koska lääkärintodistus, mukaan lukien etukäteen tehty psykologin diagnoosi, voi olla täyttää merkityksellisen ja riittävän näytön vaatimuksen.
Tuomio löytyy täältä.
Kirjoittajat
