Tietosuoja-asetuksessa ei määritellä, mitä henkilötietoja sukututkimuksessa saa käsitellä. Keskeistä on, että sukututkimuksen tekijä noudattaa käyttötarkoitussidonnaisuuden periaatetta. Sen mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kannalta yhteensopimattomalla tavalla.

Jokaisen kerättävän henkilötiedon tarpeellisuus on arvioitava erikseen. Kerättyjen henkilötietojen tarpeellisuus on myös voitava perustella sukututkimuksen tarkoituksen kannalta. Henkilötietoja ei tulisi kerätä ikään kuin varmuuden vuoksi, vaan suunnitellusti ja tiettyä tarvetta varten.

Yleisesti voidaan katsoa, että sukututkimuksessa tarpeellisia ovat tiedot sukuun kuuluvan henkilön ja tämän aviopuolison nimestä, syntymäajasta ja -paikasta, vihkimisajasta, kuolinajasta ja -paikasta sekä arvosta ja ammatista. Tarpeellisia henkilötietoja ei ole mahdollista luetella tyhjentävästi, vaan ne määräytyvät tarkemmin kulloisenkin sukututkimuksen tarkoituksen perusteella. Esimerkiksi henkilön terveys- tai kuolinsyytietojen käsittelyyn sukututkijalla ei kuitenkaan pääsääntöisesti ole tarvetta tai perusteita.

Uskonnollista vakaumusta, terveyttä ja poliittisia mielipiteitä koskevat tiedot kuuluvat EU:n yleisen tietosuoja-asetuksen mukaan niin sanottuihin erityisiin henkilötietoryhmiin. Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on lähtökohtaisesti kielletty.

Lähtökohtaisesta kiellosta huolimatta erityisiin henkilötietoryhmiin kuuluvia tietoja voidaan käsitellä, kun kieltoon on säädetty poikkeus yleisessä tietosuoja-asetuksessa tai muualla lainsäädännössä. Sukututkimuksessa erityisiä henkilötietoryhmiä voidaan tietosuoja-asetuksen nojalla käsitellä lähinnä rekisteröidyn nimenomaisella suostumuksella. Tietosuoja-asetuksen 9 artiklan j alakohta mahdollistaa erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn myös silloin, kun se on tarpeen historiallisia tutkimustarkoituksia varten, mutta sukututkimuksen kohdalla tämä edellytys ei pääsääntöisesti täyty.

Sukututkijan on pidettävä mielessä se lähtökohta, ettei sukututkimuksella saa loukata sukututkimuksen kohteena olevien henkilöiden henkilötietojen suojaa. Tämä tarkoittaa muun muassa sitä, että maininnat adoptioista tai muista yleisen elämänkokemuksen nojalla henkilökohtaisiksi koetuista aiheista tulisi jättää arkistojen kätköihin, jollei nimenomaista suostumusta asianosaisilta voida hankkia. Henkilötunnusta taas ei saa koskaan käyttää itse sukututkimuksessa jo senkään vuoksi, että tutkimuksesta yleensä luovutetaan kappale esimerkiksi kaikille sukututkimukseen osallistuneille. Henkilötunnusten käsittely tällä tavoin ei ole tietosuojasääntelyn mukaista.

Sukututkimuksessa ei tule käsitellä elossa olevien tai kuolleiden henkilöiden geneettisiä tietoja. Tällaista tietoa ei ole mahdollista anonymisoida, ja tiedot koskevat yleensä yksittäisen henkilön lisäksi hänen sukulaisiaan edeltäviä ja tulevia sukupolvia myöten. Koska yksi henkilö ei voi antaa suostumusta toisen henkilön puolesta, ei genomitietoa pitäisi käsitellä suostumuksen perusteella lainkaan.

Tietosuoja-asetusta ei sovelleta, kun kyse on henkilötietojen käsittelystä, jota luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa (niin kutsuttu kotitalouspoikkeus). Mikäli sukututkimusta tehdään siis niin sanotusti pöytälaatikkoon omaksi iloksi, eikä aineistoa julkaista esimerkiksi verkossa, sukututkimukseen liittyvä henkilötietojen käsittely jää tietosuoja-asetuksen soveltamisalan ulkopuolelle. Kannattaa kuitenkin huomioida, että esimerkiksi rikoslaki saattaa tästä huolimatta tulla sovellettavaksi, jos sukututkijan toiminta täyttää esimerkiksi kunnianloukkauksen tai yksityiselämää loukkaavan tiedon levittämisen tunnusmerkistön.

Tietosuoja-asetusta ei sovelleta kuolleita henkilöitä koskeviin tietoihin, eikä Suomessa vainajien henkilötietojen käsittelystä ole säädetty täydentävästi myöskään kansallisella tasolla. Jos sukututkimus siis kohdistuu kuolleisiin henkilöihin, eikä kyse ole sellaisten henkilötietojen käsittelystä, jotka koskevat myös elossa olevia henkilöitä, tietosuoja-asetusta ei sovelleta. Esimerkiksi kuolleiden henkilöiden sukulaiset eivät myöskään voi käyttää rekisteröidylle kuuluvia oikeuksia kuolleen henkilön puolesta.
 
On kuitenkin huomattava, että kuolleen henkilön tiedot saattavat paljastaa joitain seikkoja myös elossa olevasta henkilöstä. Sukututkimukseen saattaa liittyä esimerkiksi sellaisia henkilöiden välisiä suhteita kuvaavia tietoja, jotka voivat ensisijaisesti koskea edesmennyttä henkilöä, mutta kertoa samalla jotain tämän elossa olevista sukulaisista. Jos elossa oleva sukulainen käyttää näihin henkilötietoihin liittyen tietosuoja-asetuksessa olevia oikeuksiaan, hänellä on siihen oikeus, vaikka kyse ei ole suoraan vaan välillisesti häntä koskevista tiedoista.

Jos henkilötietojen käsittely ei kuulu poikkeussääntelyn piiriin, eli sukututkimusta ei esimerkiksi tehdä yksinomaan henkilökohtaisessa tai kotitaloutta koskevassa toiminnassa (ns. kotitalouspoikkeus), tietosuoja-asetus tulee sovellettavaksi. Tällöin sukututkimusta varten henkilötietoja käsittelevästä henkilöstä tulee rekisterinpitäjä. Sukututkimuksen kohteena olevat henkilöt, joiden henkilötietoja sukututkimuksen tekijä käsittelee, ovat rekisteröityjä. Tämän myötä sukututkimuksen tekijän tulee muun muassa kyetä toteuttamaan rekisteröidylle kuuluvat oikeudet. Sukututkimuksen tekijälle tulee myös olla jo etukäteen selvää, minkä tietosuoja-asetuksen 6 artiklan käsittelyperusteen nojalla hän henkilötietoja käsittelee.

Sukututkimuksen lainmukaisina käsittelyperusteina tulevat kyseeseen lähinnä tietosuoja-asetuksen 6 artiklassa määritelty suostumus ja oikeutettu etu. Jos käsittelyperusteena on oikeutettu etu, suoritettu tasapainotesti ja siitä tehdyt johtopäätökset tulee dokumentoida ennen käsittelyn aloittamista rekisterinpitäjän osoitusvelvollisuuden täyttämiseksi. Henkilötietoja ei voi käsitellä oikeutetun edun perusteella, jos henkilötietojen suojaa edellyttävät ihmisten edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

Suostumukseen liittyen huomiota tulee puolestaan kiinnittää tietosuoja-asetuksen 7 artiklaan, joka sisältää pätevälle suostumukselle asetetut vaatimukset. Suostumuksen tulee esimerkiksi olla vapaaehtoisesti annettu ja yksiselitteinen. Suostumusta pyydettäessä sen kohteena olevia eri seikkoja ei saa niputtaa, vaan jokaiselle erilaiselle tarkoitukselle tulee tarjota oma valintamahdollisuus. Suostumusten on katettava kaikki toteutettavat käsittelytoimet, ja suostumuksen peruuttamisen tulee olla yhtä helppoa kuin sen antamisen.

Mikäli suostumusta ei esimerkiksi teknisistä syistä ole mahdollista peruuttaa tai peruuttaminen on vaikeampaa kuin suostumuksen antaminen, suostumus ei ole pätevä käsittelyperuste. Tällöin sukututkijan tulee löytää käsittelylle jokin muu tietosuoja-asetuksen 6 artiklan mukainen käsittelyperuste. Tosiasiallinen peruuttamismahdollisuus edellyttää myös, että rekisteröity, jonka henkilötietoja käsitellään, kykenee ottamaan vaivattomasti yhteyttä rekisterinpitäjään eli sukututkijaan. Tämän vuoksi esimerkiksi sukututkimusta tekevän yhteystiedot tulee aina tarpeen vaatiessa päivittää rekisteröidylle. Jos yhteydenotto ei ole vaivatonta, suostumus ei ole pätevä ja henkilötietojen käsittely on lainvastaista. Suostumuksen peruuttaminen tarkoittaa lähtökohtaisesti myös sitä, että suostumuksen nojalla käsitellyt henkilötiedot on poistettava. Vaikenemista ei puolestaan voida pitää pätevänä suostumuksena.
 
Vaikka sukututkimusta olisi sallittua tehdä myös muun käsittelyperusteen kuin suostumuksen, eli käytännössä oikeutetun edun nojalla, muu peruste ei ulotu henkilötietojen julkaisemiseen internetissä. Tietojen vieminen avoimeen verkkoon edellyttää tietosuoja-asetuksen 7 artiklan edellytykset täyttävää suostumusta.

Tietosuoja-asetuksen johdantokappaleen 160 mukaan sukututkimustarkoituksiin tehty tutkimus sisältyy henkilötietojen käsittelyyn historiallisia tutkimustarkoituksia varten. Sukututkimus voi kuulua tietosuojasääntelyyn sisältyvien historiallista tutkimusta koskevien säännösten piiriin, vaikka se ei kuuluisikaan niin sanotun kotitalouspoikkeuksen alle, jossa tutkimusta tehdään yksinomaan henkilökohtaisessa tai kotitaloutta koskevassa toiminnassa. Sukututkimuksen ei kuitenkaan aina voida katsoa täyttävän historiallisen tutkimuksen tunnusmerkistöä.

Silloin, kun sukututkimus on luonteeltaan sellaista, että se voidaan sisällyttää historiallisen tutkimuksen käsitteen alle, sitä ei katsota yhteensopimattomaksi henkilötietojen alkuperäisen käyttötarkoituksen kanssa (tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohta). Historiallisen tutkimuksen tunnusmerkkeihin kuitenkin kuuluu, ettei tiettyä henkilöä koskevien tietojen tulisi paljastua ulkopuolisille.

Lue lisää käyttötarkoitussidonnaisuudesta

Rekisteröidyn oikeudet löytyvät tietosuoja-asetuksen III luvusta. Lähtökohtana on, että rekisterinpitäjän eli sukututkijan tulee kyetä myös käytännössä toteuttamaan kaikki nämä oikeudet. Rekisteröityjä ovat henkilöt, joiden henkilötietoja sukututkija tutkimustaan varten käsittelee.

Jos sukututkimuksessa on kyse henkilötietojen käsittelystä historiallista tutkimustarkoitusta varten, tietosuoja-asetuksessa säädetyistä rekisteröidyn oikeuksista tietoihin pääsyyn (artikla 15), tietojen oikaisuun (artikla 16), käsittelyn rajoittamiseen (artikla 18) ja käsittelyn vastustamiseen (artikla 21) on tarvittaessa mahdollista poiketa, eli oikeudet voidaan jättää toteuttamatta. Oikeus olla toteuttamatta rekisteröidyn oikeuksia ei kuitenkaan ole automaattinen, vaan poikkeamisen on oltava tarpeellista. Oikeudet on mahdollista jättää toteuttamatta vain niiltä osin, kuin ne estävät tutkimuksen tarkoituksen saavuttamisen tai vaikeuttavat sitä suuresti. Rekisteröidyn oikeuksien suora sivuuttaminen ei näin ollen ole lainmukainen tapa toimia.
 
Esimerkiksi tietoihin pääsyn epääminen edellyttää, että sen toteuttaminen on tosiasiallisesti vaikeaa. Lainsäätäjä on antanut esimerkkinä tilanteen, jossa koko tutkimusaineisto on pseudonymisoitu, eikä rekisterinpitäjällä ole salauksen purkavaa koodiavainta hallussaan. Sukututkimuksessa vastaavia haasteita toteuttaa rekisteröidyn pääsy käsiteltäviin henkilötietoihin mitä todennäköisimmin ei ole.

Lisäksi on huomioitava, että rekisteröidyn 15, 16, 18 ja 21 artiklasta tulevien oikeuksien toteuttamatta jättäminen historialliseen tutkimukseen liittyvässä henkilötietojen käsittelyssä edellyttää tietosuojalain 31 §:n mukaan myös asianmukaista tutkimussuunnitelmaa, vastuuhenkilön tai tutkimuksesta vastaavan ryhmän nimeämistä, sekä sitä, etteivät tiettyä henkilöä koskevat tiedot paljastu ulkopuolisille. Jos tietoja siis ollaan laittamassa esimerkiksi internetiin, rekisteröidyn oikeuksien epääminen ei ole historialliseen tutkimukseen vetoamalla mahdollista.
 
Kun henkilötietoja käsitellään historiallista tutkimustarkoitusta varten, myös rekisteröidyn oikeudesta tulla unohdetuksi on mahdollista poiketa. Rekisterinpitäjänä toimivan sukututkijan tulee kuitenkin kyetä perustelemaan, miksi rekisteröidyn tietojen poistaminen todennäköisesti estäisi tai vaikeuttaisi suuresti sukututkimuksen tekoa. Perustelut tulee pystyä esittämään sekä tietojen poistoa pyytäneelle rekisteröidylle että valvontaviranomaiselle.

Tietosuoja-asetuksesta tuleva osoitusvelvollisuus edellyttää käytännössä sitä, että rekisterinpitäjä dokumentoi tekemänsä punninnan ja perusteet sille, miksi se on katsonut, että käsittelyä voidaan jatkaa rekisteröidyn vastustamisesta huolimatta. Myös esimerkiksi rekisteröidyn informointivelvollisuuksien toteuttaminen tulee dokumentoida riittävällä tavalla. Jos dokumentointia ei ole tehty, rekisterinpitäjä ei ole täyttänyt tietosuoja-asetuksesta sille tulevia velvollisuuksia, ja käsittely on lainvastaista.

Jos sukututkimusta tehdään yksinomaan henkilökohtaisia tai kotitalouden tarkoituksia varten eli omaksi iloksi tai pöytälaatikkoon (ns. kotitalouspoikkeus), tai jos siihen soveltuu sananvapautta koskevat poikkeukset, rekisteröidyn oikeuksia ei kuitenkaan sovelleta. Sananvapautta koskevia poikkeuksia käsitellään jäljempänä kysymyksessä ”Mitä asioita sukukirjan tekijän tulisi ottaa huomioon käsitellessään henkilötietoja?”.

Henkilötietojen julkaisemiseen internetissä on suhtauduttava varauksellisesti. Henkilötietojen laittaminen internetiin on niiden luovuttamista.

Jos sukututkimusta tekevä julkaisee sukuluettelon verkossa, hän ei voi olla varma, millaiseen käyttöön henkilötiedot päätyvät. Avoimessa verkossa tiedot ovat helposti kaikkien saatavilla. Niistä voi olla hyötyä itselle ja muille, mutta tiedot ovat yhtä helposti tietoja vääriin tarkoituksiin käyttävien ulottuvilla. Avoin verkko on koko maailman laajuinen, eikä verkkoon viedyn tiedon käyttöä ole mahdollista hallita. Tämän vuoksi rekisterinpitäjinä toimivien sukututkijoiden on käytettävä harkintaa ja huomioitava lainsäädäntö ennen tietojen julkaisua internetissä.
 
Pääsääntöisesti missään toiminnassa ei tulisi luovuttaa henkilötietoja verkossa ilman rekisteröidyn suostumusta. Joissakin laeissa on nimenomaisia säännöksiä henkilötietojen luovuttamisesta verkossa. Niiden ala on kuitenkin tarkoitettu suppeaksi.
 
Pätevän suostumuksen edellytykset tulevat tietosuoja-asetuksen 7 artiklasta. Suostumukselle ei ole määrämuotoa, mutta käytännössä suostumus kannattaa hankkia kirjallisessa muodossa, jotta sen olemassaolo voidaan näyttää, ja rekisterinpitäjä pystyy näin täyttämään osoitusvelvollisuutensa tältä osin.
 
Sukututkimuksen tekijän on henkilötietoja verkkoon laittaessaankin otettava huomioon myös henkilötietojen käyttötarkoitussidonnaisuuden periaate. Sen mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Toisin sanoen sukututkijan on etukäteen mietittävä, mitä henkilötietoja hän aikoo sukututkimusrekisteriin kerätä ja miten näitä tietoja tullaan sukututkimustarkoituksissa käyttämään. Koska tietoja saa käyttää vain sukututkimukseen, ei näitä henkilötietoja ainakaan ilman asianomaisen suostumusta saa laittaa avoimille internet-sivuille. Kyse on siis käyttötarkoitussidonnaisuuden toteuttamisesta: avoimilla internet-sivuilla tiedot ovat kenen tahansa käytettävissä muihinkin kuin sukututkimustarkoituksiin, eikä tämä henkilötietojen käsittely rajoittuisi enää siihen tarkoitukseen, johon niitä on kerätty (sukututkimus). Sukututkimusta tekevän ei myöskään tule laittaa avoimeen verkkoon esimerkiksi toisen henkilön valokuvaa tai muita henkilötietoja kysyäkseen, löytyykö joltakulta lisää kyseistä henkilöä koskevia tietoja.
 
Tietosuoja-asetuksen johdantokappaleen 160 mukaan sukututkimustarkoituksiin tehty tutkimus sisältyy henkilötietojen käsittelyyn historiallisia tutkimustarkoituksia varten. Ongelmallista sukututkimuksessa on kuitenkin se, että oikeus käsitellä henkilötietoja tutkimustarkoituksessa on eri asia, kuin oikeus laittaa tutkimusta varten käsitellyt henkilötiedot verkkoon tai muuten ennalta määrittelemättömän henkilöryhmän saataville. Esimerkiksi henkilötietolain valmisteluasiakirjoissa on auki kirjoitettuna lainsäätäjän oletus siitä, että historiallisessa tutkimuksessakin henkilötietoja käsitellään siten, etteivät tiettyä henkilöä koskevat tiedot paljastu ulkopuolisille. Sama on nyt toistettu tietosuojalain 31 §:ssä. Sukututkimustarkoituksessa kerättyjen henkilötietojen käsittelyä ei tulisikaan katsoa kuuluvaksi historiallista tutkimusta koskevien poikkeusten alle silloin, kun tiedot viedään avoimeen verkkoon.
 
Myös ulkopuolisten tahojen tarjoamat alustat, kuten verkon erilaiset sukututkimussivustot sekä sosiaalinen media on hyvä huomioida. Käytännössä esimerkiksi sosiaalisen median suljetuissa ryhmissä käsitellyt henkilötiedot päätyvät yhteisöpalvelujen haltuun, eikä rekisteröity välttämättä haluaisi henkilötiedoilleen näin tapahtuvan. Sukututkimussivustoja käsitellään tarkemmin seuraavassa kohdassa.

Ylläpitäessään sukututkimusrekisteriään verkossa toimivassa tietokantapalvelussa sukututkija luovuttaa henkilötietoja taholle, jonka harjoittamaa tietojenkäsittelyä hän ei voi mitenkään kontrolloida. Näin ollen sukututkijan tulee tiedottamisvaiheessa ilmoittaa aikomuksestaan luovuttaa elossa olevien henkilötietoja tällaiseen palveluun sekä pyytää asianomaisilta henkilöiltä suostumus siihen.

Jos sukututkija haluaa käyttää ko. palveluita apunaan sukututkimusta tehdessään, hänen tulee perehtyä huolellisesti yksityisyys- ja käyttöehtoihin ennen palvelun käyttöönottoa. Esimerkiksi MyHeritagen yksityisyyskäytännöissä edellytetään, että käyttäjä on hankkinut palveluun antamiensa tietojen osalta elossa olevilta sukulaisiltaan suostumukset tietojen luovutukseen kyseiseen palveluun.

On myös hyvä huomata, että palvelu saattaa käyttöehdoissaan asettaa käyttäjälleen vastuita ja velvollisuuksia. Sukututkimuksen tekijän rekisterinpitäjän asema ei poistu, kun tiedot laitetaan esimerkiksi muun tahon ylläpitämään sukupuupalveluun. Sukututkimusta varten kerättävien henkilötietojen rekisterinpitäjä on edelleen sen kokoaja. Jos sukututkija laittaa henkilötietoja muun tahon tarjoamalle alustalle, sivuston ylläpitäjä saatettaisiin katsoa yhteisrekisterinpitäjäksi tiedot ladanneen henkilön kanssa. Oleellista on myös huomioida, ettei tästä roolituksesta voi päättää sopimusteitse, vaan se määräytyy tosiasiallisen toiminnan perusteella.

Mikäli itseään koskevia henkilötietoja löytää internetistä kyseisistä palveluista, kannattaa tietojen poistamiseksi ensin olla yhteydessä henkilöön, joka tiedot on palveluun laittanut. Tämän jälkeen voi tarvittaessa olla yhteydessä myös tietosuojavaltuutetun toimistoon, mutta asian käsittely edellyttää yleensä –  ja rekisteröidyn oikeuksien käytön osalta aina – että on ensin ollut itse yhteydessä rekisterinpitäjään.

Sukututkijan tulee rekisterinpitäjänä huolehtia siitä, että rekisteröidyt eli sukututkimuksen kohteena olevat henkilöt kykenevät ottamaan häneen vaivattomasti yhteyttä. Palveluiden yksityisyysehdoissa saattaa olla myös mahdollisuus ottaa yhteys palvelun ylläpitäjään tietojen poistamiseksi. Tässäkin tilanteessa kannattaa perehtyä huolellisesti sivuston yksityisyysehtoihin.

Sukututkijan pitää etukäteen varmistua siitä, että sivusto on sellainen, että tiedot saa sieltä sujuvasti pois, jos rekisteröity esimerkiksi peruuttaa suostumuksensa. Jos henkilötietoja on laitettu verkkoon ilman asianmukaista suostumusta, sukututkimuksen tekijään voidaan kohdistaa niin rikoslain kuin tietosuoja-asetuksenkin mukaisia seuraamuksia.

Kun tiedot on poistettu ne julkaisseelta nettisivulta, ne poistuvat ajan myötä myös hakukoneista niiden päivittäessä tietovarastojaan. Tätä poistumista voi nopeuttaa käyttämällä hakukoneen tarjoamaa lomaketta. Useat hakukoneet tarjoavat myös ohjeet tietojen nopeaan poistamiseen tietovarastoistaan. Lue lisää hakutulosten poistamisesta Usein kysyttyä hakukoneista -osiosta. 

Kysymyksen kannalta olennaista on se, mihin sukutietoja ollaan laittamassa. Mikäli sukupuuta kootaan vain omaksi iloksi ilman että tietoja luovutetaan esimerkiksi verkkoon, tietosuoja-asetusta ei sovelleta. Jos tiedot taas on tarkoitus laittaa sukukirjaan, henkilötietojen käsittelyyn saattaa soveltua sananvapautta koskevia poikkeuksia, joita käsitellään tarkemmin kysymyksessä ”Mitä asioita sukukirjan tekijän tulisi ottaa huomioon käsitellessään henkilötietoja?”.  

Muissa kuin edellä mainituissa poikkeustapauksissa sukututkijan on huomioitava, että esimerkiksi merkinnästä ”nainen, syntynyt 1.1.2000” henkilö on sukupuukontekstissa tunnistettavissa. Käsittelyyn tarvitaan tällöin rekisteröidyn suostumus tai vaihtoehtoisesti oikeutetun edun mukaisen käsittelyperusteen edellytysten on täytyttävä.

Se että tiedot on jo kertaalleen jossain julkaistu, ei oikeuta henkilötietojen käyttöön muuhun tarkoitukseen. Myös jo kertaalleen julkaistujen henkilötietojen käsittelyyn sovelletaan tietosuojasääntelyä.

Yleistä tietosuoja-asetusta sovelletaan lähtökohtaisesti kaikkeen henkilötietojen käsittelyyn. Näin ollen myös sukukirjan tekijän on lähtökohtaisesti otettava henkilötietojen käsittelyä koskeva lainsäädäntö huomioon kirjaa laatiessaan.

Sukukirjan tekijän suorittamaan henkilötietojen käsittelyyn liittyy kuitenkin merkittävässä määrin myös sananvapaus, joka on Suomen perustuslain 12 §:ssä kaikille turvattu perusoikeus. Kun laaditaan kirja, on usein kyse myös sananvapauden käyttämisestä. Sananvapauteen sisältyy oikeus ilmaista, julkistaa ja vastaanottaa tietoja, mielipiteitä ja muita viestejä kenenkään ennakolta estämättä. Perinteiseen sananvapauden käyttöön kuuluu, etteivät viranomaiset sitä etukäteen rajoita. Sananvapauden rajoittaminen on mahdollista vain silloin, jos se perustuu erityiseen lainsäännökseen.

Sananvapaus on huomioitu myös yleisessä tietosuoja-asetuksessa. Asetuksen 85 artiklan mukaan jäsenvaltioiden oli sovitettava yhteen sananvapaus ja tiedonvälityksen vapaus, muun muassa journalistista, akateemista, taiteellista ja kirjallista ilmaisua koskevat säännöt ja tietosuoja-asetuksen mukainen oikeus henkilötietojen suojaan.

Suomessa sananvapautta ja henkilötietojen suojaa koskeva yhteensovittaminen on toteutettu kansallisen tietosuojalain 27 §:n mukaisesti. Henkilötietojen käsittelyyn journalistista, akateemista, taiteellista ja kirjallista ilmaisua varten sovelletaan tietosuojalain mukaan lähinnä henkilötietojen suojaamisvelvoitetta. Esimerkiksi rekisteröityjen oikeuksia ja käsittelyperusteen vaatimusta ei sovelleta täysimääräisesti sananvapautta käytettäessä.

Lähtökohtana on, että henkilötietoja saa säilyttää muodossa, jossa rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Pidempi säilytys on mahdollista historiallisessa tutkimustarkoituksessa edellyttäen, että asianmukaiset tekniset ja organisatoriset toimenpiteet on toteutettu rekisteröidyn oikeuksien ja vapauksien turvaamiseksi. Henkilötietojen ikuinen säilyttäminen ei kuitenkaan ole mahdollista millään perusteella.

Kyllä koskee. Sukututkija on sukututkimusta varten käsittelemiensä henkilötietojen rekisterinpitäjä. Rekisterinpitäjän on tehtävä ilmoitus tietosuojavaltuutetulle henkilötietoihin kohdistuneista tietoturvaloukkauksista. Lisäksi tietyissä tilanteissa loukkauksesta on ilmoitettava myös rekisteröidylle. Ilmoituksen tekemisestä säädetään yleisen tietosuoja-asetuksen artikloissa 33 ja 34. 

Verkkosivuiltamme voit lukea tarkemmin, milloin ilmoitus on tehtävä: Lisätietoa tietoturvaloukkauksista