Tietosuojalain mukaisista rekisteröidyn oikeuksista poikkeaminen tieteellisen tai historiallisen tutkimuksen tai tilastoinnin yhteydessä
Lähtökohtaisesti rekisteröidyllä on tieteellisessä ja historiallisessa tutkimuksessa käytössään tietosuoja-asetuksen mukaiset oikeudet. Tietosuojalain 31 §:n mukaan näistä rekisteröidyn oikeuksista voidaan tietyin edellytyksin poiketa. Jos rekisterinpitäjä käsittelee erityisiä henkilötietoja tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja ja haluaa poiketa rekisteröidyn oikeuksista, sen on lisäksi laadittava tietosuojaa koskeva vaikutustenarviointi, joka toimitetaan tietosuojavaltuutetulle.
Tietosuojalain 31 §:n mukaan rekisteröidyn oikeudesta saada pääsy tietoihin, oikeudesta tietojen oikaisemiseen, oikeudesta käsittelyn rajoittamiseen ja vastustamisoikeudesta voidaan tarvittaessa poiketa, jos
- käsittely perustuu asianmukaiseen tutkimussuunnitelmaan;
- tutkimuksella on vastuuhenkilö tai siitä vastaava ryhmä; ja
- henkilötietoja käytetään ja luovutetaan vain historiallista tai tieteellistä tutkimusta taikka muuta yhteensopivaa tarkoitusta varten sekä muutoinkin toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille.
Poikkeaminen rekisteröidyn oikeuksista on mahdollista ainoastaan siltä osin kuin
- tällaiset oikeudet todennäköisesti estävät näiden erityisten tarkoitusten saavuttamisen tai vaikeuttavat sitä suuresti ja
- tällaiset poikkeukset ovat tarpeen näiden tarkoitusten täyttämiseksi.
Rekisterinpitäjän on tapauskohtaisesti harkittava, onko poikkeaminen tarpeellista ja asianmukaisesti perusteltua. Yksinomaan suojatoimien toteuttaminen ei siten oikeuttaisi rekisteröidyn oikeuksista poikkeamista.
Kun käsitellään erityisiä henkilötietoja tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja, poikkeaminen edellä mainituista rekisteröidyn oikeuksista edellä mainittujen vaatimusten lisäksi rekisterinpitäjän on laadittava asetuksen 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi, joka tulee toimittaa kirjallisesti tiedoksi tietosuojavaltuutetulle ennen käsittelyyn ryhtymistä. Vaikutustenarviointia ei tarvitse toimittaa tietosuojavaltuutetulle, jos rekisteröidyn oikeuksista ei ole tarkoitus poiketa.
Poikkeaminen on mahdollista myös silloin, jos rekisterinpitäjä noudattaa noudatetaan tietosuoja-asetuksen 40 artiklan mukaisia käytännesääntöjä, joissa on otettu asianmukaisesti huomioon edellä tarkoitettu rekisteröidyn oikeuksista poikkeaminen.