Kysymys:

Missä vaiheessa kynnys ylittyy tulkinnassa henkilötietorekisteriksi, kun kyse on MRL-lupien paikkatietoaineistoista: Aiemmin ELY-keskusten (ent. alueelliset ympäristökeskukset) käsittelivät poikkeamislupia sekä kunnat niiden lisäksi suunnittelutarveratkaisuja. Sijaintitiedon lisäksi valtakunnallisesti tallennetaan lukuisia ominaisuustietoja, jotka ovat rajatusti eri tahojen käytettävissä. Koska Suomessa on hyvin avoimesti saatavilla tieto maanomistuksesta, osoitteista yms. selviää käytännössä helposti mihin kiinteistöön ja rakennukseen lupakäsittely liittyy. Vaikka lupa-aineistot eivät sisällä suoria henkilötietoja, niin riittääkö pelkkä sijainpiste kartalla tekemään niistä henkilörekisterin ns. epäsuorana henkilötietona? Vai katsotaanko datajoukot henkilörekistereiksi vasta, jos niissä on tiettyjä ominaisuustietoja liitettynä sijaintiin, kuten päätöksen myönteisyys tai kielteisyys ja onko merkitystä millainen rakennuspaikan lisätieto on?

Vastaus:

Kysymyksesi lähtökohdaksi tulee ottaa GDPR:n mukaiset määritelmät henkilötiedolle ja rekisterille. Henkilötiedon määritelmä on GDPR:n perusteella huomattavan laaja: henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja, jotka suoraan tai epäsuorasti mahdollistavat luonnollisen henkilön tunnistamisen. Rekisterin taas muodostaa jäsenneltyjä henkilötietoja sisältävä tietojoukko, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu.

Ainoastaan kiinteistön sijaintipiste kartalla ei todennäköisesti sellaisenaan mahdollista henkilön tunnistamista, joten ensi katsannossa se ei vaikuttaisi henkilötiedolta. Sen sijaan tieto kiinteistön omistajuudesta on henkilötietoa. Lopullinen vastaus sijaintitiedon asemasta henkilötietona riippuu näin ollen siitä, kuinka helposti sijaintitieto on yhdistettävissä muihin tietoihin, jotka yhdessä mahdollistavat henkilön tunnistamisen. Arvioinnissa tulee huomioida kaikki keinot, joita voidaan kohtuullisen todennäköisesti käyttää henkilön tunnistamiseen suoraan tai välillisesti. Mm. tähän lähtökohtaan nojautuen on katsottu, että esimerkiksi kiinteistötunnus voi olla henkilötieto, jos kiinteistötunnus voidaan yhdistää lisätietojen avulla ihmiseen edellyttäen, että yhdistäminen ei vaadi kohtuuttomia ponnistuksia.

Kuten sanoitkin, Suomessa maanomistusta koskeva tieto on helposti saatavilla ja voitaneen sanoa, ettei kiinteistötunnuksen, kiinteistön osoitteen tai vastaavan paikkatiedon yhdistäminen luonnolliseen henkilöön muiden tietojen avulla vaadi erityisen suuria ponnisteluja. Täten kartalle merkitty kiinteistön sijaintipiste voi hyvin todennäköisesti lukeutua henkilötiedoksi. Sen sijaan itsenäistä merkitystä ei ole sillä, onko lupapäätös myönteinen tai kielteinen tai millainen lisätieto rakennuspaikkaan on liitetty, jos nämä tiedot eivät mahdollista kiinteistön omistajan yksilöintiä.

Todettakoon vielä, ettei sillä ei ole merkitystä, kenen hallussa ns. yhdistävät tiedot ovat. Vaikka kunnan myöntämästä rakennusluvasta kävisi ilmi ainoastaan kiinteistötunnus, muttei omistajaa, voitaisiin luvan katsoa silti sisältävän henkilötietoja, kun kiinteistötunnus ja omistaja on yhdistettävissä esimerkiksi kiinteistötietojärjestelmän avulla. Tällä perusteella kunnan hallussa oleva rakennuslupa-asiakirjat muodostavat henkilötietorekisterin.