Tietosuojatietopyyntö, tietojen luovutuksesta kieltäytyminen, tarkastuspyyntö

Yhteisten palvelujen johtaja päätti, ettei 20.05.2024 pyydettyjä asiakirjoja luovuteta tiedon pyytäjälle.

Tiedon pyytäjä on 20.05.2024 pyytänyt saada tietosuoja-asetuksen mukaisesti omat henkilötietonsa kasvatuksen ja koulutuksen toimialan rekistereistä. Tiedon pyytäjälle on 19.07.2024 vastattu sähköpostilla ja puhelimitse, että henkilöä ei voida tunnistaa tietopyynnöstä ja että tietopyyntöön ei tämän vuoksi voida vastata. Tiedon pyytäjä on pyytänyt saada asiasta valituskelpoisen päätöksen.

Tietopyynnön tekijä on tunnistautunut Helsingin kaupungin sähköiselle tietopyyntölomakkeelle EIDAS-asetuksen mukaisella tunnistautumisvälineellä. Tietopyyntölomakkeessa tietoja on kuitenkin pyydetty tietopyynnön tekijän henkilötunnuksella. Koska tietopyynnön tekijän tunnistautumiskeino ei sisällä tietoa tietopyynnön tekijän henkilötunnuksesta, ei kasvatuksen ja koulutuksen toimialalla ole ollut mahdollisuutta yhdistää tunnistautunutta henkilöä ja pyydetyn henkilön tietoja toisiinsa.

Tietosuoja-asetuksen 12 artiklan 6 kohdan mukaisesti "jos rekisterinpitäjällä on perusteltua syytä epäillä 15–21 artiklan mukaisen pyynnön tehneen luonnollisen henkilön henkilöllisyyttä, rekisterinpitäjä voi pyytää toimittamaan lisätiedot, jotka ovat tarpeen rekisteröidyn henkilöllisyyden vahvistamiseksi, sanotun kuitenkaan rajoittamatta 11 artiklan soveltamista.".

Rekisterinpitäjä on ilmoittanut rekisteröidylle 19.07.2024 sekä puhelimitse että sähköpostitse, että tietopyynnön tekijän tunnistaminen ei ole ollut mahdollista ja että tietopyyntöön vastaamiseksi tietopyynnön tekijää on pyydetty tunnistautumaan kotimaisella tunnistautumisvälineellä, joka välittäisi myös henkilötunnuksen autentikointileimassa. Tietopyynnön tekijä on tämän johdosta tehnyt uuden tietopyynnön, mutta tunnistautunut edelleen EIDAS-asetuksen mukaisella tunnistautumisvälineellä, joka ei mahdollista tietopyynnön tekijän henkilötunnuksen todentamista.

Tietopyynnön tekijää on pyydetty tunnistautumaan kotimaisella tunnistautumisvälineellä uudestaan 30.7.2024 puhelimitse. Kyseisessä tilanteessa tietopyynnön tekijä vaati tietopyyntöön vastaamista nimenomaisesti EIDAS-asetuksen mukaisella tunnistautumistavalla. Syy kieltäytymiselle oli halu selvittää miten tietopyyntöön vastataan kun tunnistautuminen suoritetaan EIDAS-asetuksen mukaisesti. Tietopyynnön tekijä on myös suullisesti ilmaissut, että hänen tietojaan ei lähtökohtaisesti ole Helsingin kaupungin kasvatuksen ja koulutuksen toimialan järjestelmissä.

Rekisterinpitäjä katsoo, että tässä tilanteessa rekisteröity ei ole toimittanut riittäviä tietoja, joilla rekisterinpitäjä voi tunnistaa rekisteröidyn. Pyyntöä kotimaisen tunnistautumisvälineen käyttämiseksi ei voi pitää rekisteröityä kohtaan kohtuuttomana.

Rekisterinpitäjä viittaa tietopyynnön esittäjän toteamukseen siitä, että tietopyynnön tekijän tietoja ei pitäisi olla rekisterinpitäjän järjestelmissä, minkä vuoksi rekisteröidyn tunnistaminen rekisteröityä koskevien kysymysten perusteella ei tässä tilanteessa ole mahdollista.

Lopuksi rekisterinpitäjä toteaa, että tietosuoja-asetuksen mukaisen tietopyynnön tarkoitus on toteuttaa rekisteröityjen intressejä omiin henkilötietoihinsa. Tässä tilanteessa rekisterinpitäjälle on syntynyt käsitys siitä, että rekisteröidyn intressi omiin tietoihinsa on toissijainen ja että tietopyynnön esittäjä on omatoimisesti vaikeuttanut tietopyyntöön vastaamista kieltäytymällä tunnistautumasta kotimaisella tunnistautumisvälineellä, vaikka siihen ei ole mitään estettä. Sen sijaan, että pyynnöllä olisi tässä tilanteessa tosiasiallinen tarve informaatiolle on kyseessä pikemminkin tietopyynnön esittäjän pyrkimyksestä luoda erillistä konfliktia eri EU-lainsäädännön asetusten välille. Rekisterinpitäjä katsoo, että tässä tilanteessa ei siten ylipäätänsä ole kyse rekisteröidyn oikeuksien toteuttamista, sillä tietopyynnöllä ei varsinaisesti edes pyritä omien tietojen vastaanottamiseen.

Näillä perusteilla tietopyynnön vastaamiseen ei ole edellytyksiä. Tietopyynnön tekijällä on oikeus valittaa päätöksestä tietosuojavaltuutetulle.

Toimivallan peruste

Koska tietopyyntö ei koske mitään tiettyä rekisteriä ja ottaen huomioon päätöksen perustuminen oikeudelliseen kysymykseen tietopyynnön tekijän tunnistautumisesta, yhteisten palvelujen johtajalla on toimintasäännön perusteella toimivalta päättää asiasta.