Henkilötiedoilla tarkoitetaan GDPR:n mukaan kaikkia tietoja, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Tunnistaminen voi tapahtua suoraan, kuten nimen perusteella, tai epäsuorasti esimerkiksi sijaintitiedon, verkkotunnisteen tai muun yksilöivän tekijän avulla. Määritelmä on tarkoituksellisesti laaja, ja sen soveltaminen edellyttää aina tapauskohtaista arviointia.
Monessa organisaatiossa henkilötietojen käsittely on laajempaa kuin aluksi tunnistetaan. Kun käsiteltävien tietojen luonnetta ei arvioida riittävän tarkasti, tietosuojavelvoitteet voivat jäädä täyttämättä ilman, että asiaa edes huomataan. Tämä voi johtaa puutteellisiin rekisteriselosteisiin, sopimuksettomaan henkilötietojen käsittelyyn tai valvontaviranomaisen huomautuksiin. Lähtökohtana on aina kysymys: voidaanko tästä tiedosta tunnistaa yksittäinen ihminen suoraan tai yhdistämällä se muihin tietoihin?
GDPR erottaa tavalliset henkilötiedot ja erityisiin henkilötietoryhmiin kuuluvat arkaluonteiset tiedot toisistaan, ja näiden käsittelyyn liittyvät velvoitteet eroavat huomattavasti. Jos organisaatio käsittelee esimerkiksi terveystietoja tai poliittisia mielipiteitä tunnistamatta niitä arkaluonteisiksi, käsittelylle ei välttämättä ole asianmukaista oikeusperustaa. Tämä on yksi yleisimmistä tietosuojarikkomusten taustatekijöistä. Tietojen luokittelu on siten keskeinen osa tietosuojastrategian rakentamista.
Henkilötietoja ovat kaikki tiedot, joiden avulla yksittäinen ihminen voidaan tunnistaa joko suoraan tai epäsuorasti. Tähän kuuluvat nimi, osoite, puhelinnumero ja sähköpostiosoite, mutta myös IP-osoitteet, evästetunnisteet, sijaintitieto, biometriset tiedot sekä erilaiset verkkokäyttäytymistä kuvaavat tunnisteet.
Käytännössä henkilötiedon käsite ulottuu huomattavasti arkisia esimerkkejä laajemmalle. Esimerkiksi auton rekisterinumero, työsähköpostiosoite tai jopa pelkkä käyttäjätunnus voi olla henkilötieto, jos sen avulla on mahdollista yhdistää tieto tiettyyn henkilöön. Ratkaisevaa ei ole tiedon muoto vaan se, mahdollistaako tieto tunnistamisen.
Tunnistaminen voi tapahtua myös tietojen yhdistämisen kautta. Yksittäinen tieto ei aina yksinään riitä tunnistamiseen, mutta useamman tiedon yhdistelmä voi tehdä henkilöstä tunnistettavan. Tämä niin kutsuttu yhdisteltävyys on keskeinen arviointiperuste GDPR:n henkilötiedon määritelmässä.
Tavalliset henkilötiedot ovat tietoja, joiden käsittelyyn riittää jokin GDPR:n 6 artiklan oikeusperusteista, kuten suostumus tai oikeutettu etu. Arkaluonteiset tiedot kuuluvat erityisiin henkilötietoryhmiin, joiden käsittely on lähtökohtaisesti kielletty ilman GDPR:n 9 artiklassa mainittua erityistä käsittelyperustetta.
GDPR:n 9 artikla määrittelee arkaluonteisiksi tiedoiksi muun muassa seuraavat kategoriat:
Käytännön ero näkyy erityisesti käsittelyn oikeusperusteessa ja tietosuojatoimenpiteissä. Arkaluonteisten tietojen käsittely edellyttää tiukempaa dokumentaatiota, usein nimenomaista suostumusta tai muuta 9 artiklan mukaista erityistä perustetta, sekä vahvempia teknisiä ja organisatorisia suojatoimia. Tavallisten henkilötietojen kohdalla liikkumavara on jonkin verran laajempi, mutta GDPR:n perusperiaatteet koskevat yhtä lailla kaikkea henkilötietojen käsittelyä.
Tieto ei ole henkilötieto silloin, kun sen perusteella ei voida tunnistaa yksittäistä luonnollista henkilöä millään kohtuullisella keinolla. Anonyymiksi tehty tieto, josta tunnistaminen on pysyvästi ja peruuttamattomasti poistettu, ei kuulu GDPR:n soveltamisalaan.
Anonymisointi eroaa pseudonymisoinnista olennaisella tavalla. Pseudonymisoitu tieto, kuten koodattu asiakastunniste, on edelleen henkilötieto, koska alkuperäinen henkilö voidaan tarvittaessa tunnistaa lisätietojen avulla. Aito anonymisointi tarkoittaa, että tunnistaminen ei ole enää mahdollista kenellekään, edes tiedon alkuperäiselle kerääjälle.
GDPR ei myöskään koske oikeushenkilöitä, kuten yrityksiä tai yhteisöjä. Yrityksen nimi ja Y-tunnus eivät siis ole GDPR:n mukaisia henkilötietoja. Poikkeuksena ovat tilanteet, joissa yritystieto yhdistyy suoraan tunnistettavaan henkilöön, kuten yksityisnimen sisältävä toiminimi. Tällöin tieto voi taas täyttää henkilötiedon määritelmän.
Tietosuojaan liittyvä arviointi on usein monitahoista, ja oikean tulkinnan löytäminen edellyttää kokonaisarviointia, jossa huomioidaan käytettävissä olevat tunnistamiskeinot, tiedon käyttötarkoitus ja organisaation toimintaympäristö. Me Hedman Partnersilla autamme organisaatioita muodostamaan selkeän kuvan siitä, mitä tietoja käsitellään ja millä perusteella.