GDPR – Suostumus

Henkilötietojen käsittely on yleensä kiellettyä, ellei laki sitä nimenomaisesti salli tai rekisteröity on antanut suostumuksensa käsittelyyn. Vaikka suostumus on yksi tunnetuimmista oikeusperusteista henkilötietojen käsittelylle, se on vain yksi kuudesta yleisen tietosuoja-asetuksen (GDPR) mainitsemasta perusteesta. Muut ovat: sopimus, lakisääteiset velvoitteet, rekisteröidyn elintärkeät edut, yleinen etu ja oikeutettu etu, kuten on todettu GDPR:n 6 artiklan 1 kohdassa.

Voimassa olevan oikeudellisen suostumuksen tehokkuuden perusvaatimukset määritellään GDPR:n 7 artiklassa ja tarkennetaan edelleen johdanto-osan kappaleessa 32. Suostumuksen on oltava annettu vapaasti, oltava yksilöity, tietoon perustuva ja yksiselitteinen. Suostumuksen saamiseksi vapaasti sen on perustuttava vapaaehtoisuuteen. Elementti ”vapaa” tarkoittaa, että rekisteröidyllä on todellinen valinnanmahdollisuus. Mikä tahansa sopimaton paine tai vaikutusvalta, joka voi vaikuttaa tähän valintaan, tekee suostumuksesta mitättömän. Oikeudellinen teksti ottaa tässä yhteydessä huomioon rekisterinpitäjän ja rekisteröidyn välisen tietyn epätasapainon. Esimerkiksi työnantajan ja työntekijän välisessä suhteessa: Työntekijä voi huolehtia siitä, että hänen kieltäytymisensä antaa suostumus voi aiheuttaa vakavia kielteisiä seurauksia hänen työsuhteelleen, joten suostumus voi olla lainmukainen käsittelyperuste vain harvoissa poikkeustapauksissa. Lisäksi sovelletaan niin sanottua ”kytkentäkieltoa” tai ”kytkemisen tai liittämisen kieltoa”. Siksi sopimuksen täyttämistä ei saa tehdä riippuvaiseksi suostumuksesta käsitellä muita henkilötietoja, joita ei tarvita kyseisen sopimuksen täyttämiseksi.

Jotta suostumus olisi tietoinen ja yksilöity, rekisteröidylle on ainakin ilmoitettava rekisterinpitäjän henkilöllisyys, millaisia tietoja käsitellään, kuinka niitä käytetään ja käsittelytoimien tarkoitus ”toimintatarkoituksen laajentumisen” estämiseksi. Rekisteröidylle on myös ilmoitettava oikeudestaan peruuttaa suostumus milloin tahansa. Peruuttamisen on oltava yhtä helppoa kuin suostumuksen antamisen. Jos asia on merkityksellinen, rekisterinpitäjän on myös ilmoitettava tietojen käytöstä automaattisessa päätöksenteossa, tietojen siirtoihin liittyvistä mahdollisista riskeistä riittävyyspäätöksen puuttuessa tai muiden asianmukaisten suojatoimien olemassaolon puuttuessa.

Suostumuksen tulee olla sidottu yhteen tai useampaan määriteltyyn tarkoitukseen, jotka tulee sitten selittää riittävän kattavasti. Jos suostumuksen pitäisi oikeuttaa erityisten henkilötietojen ryhmien käsittely, rekisteröidylle annettavassa tiedossa tulee nimenomaisesti viitata tähän.
Tietoon perustuvan suostumuksen edellyttämän tiedon ja muiden sopimusasioiden tiedon välillä on aina oltava selkeä ero.

Viimeisenä mutta ei vähäisimpänä, suostumuksen on oltava yksiselitteinen, mikä tarkoittaa, että se vaatii joko ilmoituksen tai selkeän myönteisen toimenpiteen. Suostumusta ei voida olettaa, ja se on aina annettava valinnan kautta, julistuksella tai aktiivisella liikkeellä, jotta ei jää epäselväksi, että rekisteröity on antanut suostumuksensa tiettyyn käsittelyyn. Tästä huolimatta suostumukselle ei ole muotovaatimusta, vaikka kirjallinen suostumus on suositeltavaa rekisterinpitäjän tilivelvollisuuden vuoksi. Se voidaan siten antaa myös sähköisessä muodossa. Tässä suhteessa lasten ja nuorten suostumus tietoyhteiskunnan palveluihin on erityistapaus. Alle 16-vuotiailta vaaditaan lisäsuostumus tai lupa vanhemman vastuuhenkilöltä. Ikäraja on joustavuuslausekkeen alainen. Jäsenvaltiot voivat säätää alemmasta iästä kansallisella lailla, edellyttäen että tämä ikä ei ole alle 13 vuotta. Kun palvelun tarjoaminen ei ole nimenomaisesti suunnattu lapsille, se on vapautettu tästä säännöstä. Tämä ei kuitenkaan koske tarjouksia, jotka on suunnattu sekä lapsille että aikuisille.

Kuten voidaan nähdä, suostumus ei ole oikotie onneen, kun kyse on henkilötietojen käsittelystä. Erityisesti ottaen huomioon, että Euroopan tietosuojaviranomaiset ovat tehneet selväksi, ”että jos rekisterinpitäjä päättää tukeutua suostumukseen missä tahansa osassa käsittelyä, heidän on oltava valmiita kunnioittamaan tätä valintaa ja lopettava tuo käsittelyn osa, jos rekisteröity peruuttaa suostumuksensa.” Tiukasti tulkittuna tämä tarkoittaa, että rekisterinpitäjä ei saa vaihtaa oikeusperustaa suostumuksesta oikeutettuun etuun, kun rekisteröity peruuttaa suostumuksensa. Tämä koskee myös tilanteita, joissa alun perin oli olemassa pätevä oikeutettu etu. Siksi suostumus tulisi aina valita viimeisenä vaihtoehtona henkilötietojen käsittelyssä.