Miksi netti ei unohda vaikka laki niin määrää
Kun nimi, valokuva tai vanha uutinen päätyy verkkoon, tieto voi levitä hetkessä palvelusta toiseen. Hakukoneet indeksoivat sivuja, käyttäjät jakavat linkkejä ja erilaiset järjestelmät tallentavat kopioita, välimuisteja sekä varmuuskopioita. Digitaalinen jalanjälki voi siksi säilyä pitkään sen jälkeen, kun alkuperäinen julkaisu on poistettu. Tämä koskee yhtä lailla työnhakijaa, yrittäjää, julkisuuden henkilöä kuin tavallista verkkopalvelujen käyttäjää.
Oikeus tulla unohdetuksi kuulostaa täydelliseltä pyyhekumilta, mutta sitä se ei ole. Oikeus tarkoittaa eri tilanteissa joko henkilötietojen poistamista rekisterinpitäjän järjestelmistä tai hakutulosten karsimista nimellä tehdyistä hauista. Nämä ovat kaksi eri toimenpidettä. Seuraavaksi erotetaan näkyvyyden rajoittaminen varsinaisesta datan tuhoamisesta ja rakennetaan käytännöllinen toimintamalli, jolla omaa mainetta ja yksityisyyttä voi suojata.
Mitä GDPR:n 17 artikla todella lupaa ja vaatii
Yleisen tietosuoja-asetuksen 17 artikla tunnetaan oikeutena tietojen poistamiseen. Rekisterinpitäjän on poistettava henkilötiedot ilman aiheetonta viivytystä esimerkiksi silloin, kun tietoja ei enää tarvita siihen tarkoitukseen, jota varten ne kerättiin, suostumus perutaan eikä muuta käsittelyperustetta ole tai tietoja on käsitelty lainvastaisesti. Oikeus voi tulla kyseeseen myös silloin, kun poistaminen perustuu lakiin tai tiedot on kerätty lapsesta tietoyhteiskunnan palvelun yhteydessä.
Tämä oikeus kohdistuu rekisterinpitäjään, eli organisaatioon, joka päättää henkilötietojen käsittelyn tarkoituksista ja keinoista. Yrityksen on pystyttävä selvittämään, missä henkilötietoja säilytetään, kuka niitä käsittelee ja mitä säilytysaikoja sovelletaan. Myös henkilön pyynnön vastaanottamisesta ja käsittelystä on oltava toimiva prosessi. Yleinen tietosuoja-asetus ja sen keskeiset velvoitteet koskevat EU:ssa toimivia organisaatioita sekä tietyissä tapauksissa EU:n ulkopuolisia yrityksiä, jotka tarjoavat palveluja alueen ihmisille tai seuraavat heidän käyttäytymistään.
Oikeus ei kuitenkaan ole ehdoton. Tietoja voidaan joutua säilyttämään esimerkiksi kirjanpitoa, verotusta, työsuhdetta, viranomaistehtävää, oikeusvaadetta tai muuta lakisääteistä velvoitetta varten. Myös sananvapaus ja tiedonsaantioikeus voivat syrjäyttää poistamisvaatimuksen. Julkaistun tiedon merkitys yleisölle, henkilön asema ja asian ajankohtaisuus vaikuttavat arviointiin. Yrityksen ei siis pidä luvata automaattista poistamista, eikä henkilön pidä olettaa, että jokainen vanha tai epämiellyttävä maininta täyttää poistamisen edellytykset.
- Tarkista, miksi tietoja käsitellään ja onko käsittelylle edelleen laillinen peruste.
- Perustele pyyntö konkreettisesti, esimerkiksi tietojen tarpeettomuudella, vanhentuneisuudella tai lainvastaisella käsittelyllä.
- Huomioi poikkeukset, jotka liittyvät sananvapauteen, lakisääteisiin velvoitteisiin, yleiseen etuun ja oikeusvaateisiin.
- Pyydä tarvittaessa tietoa siitä, mille vastaanottajille tietoja on luovutettu ja miten poistaminen toteutetaan.
Rekisterinpitäjän on yleensä vastattava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa. Monimutkaisessa tai useita pyyntöjä koskevassa tapauksessa määräaikaa voidaan pidentää enintään kahdella kuukaudella, mutta pidennyksestä on ilmoitettava perusteluineen. Pyyntö on tavallisesti maksuton. Ilmeisen perusteettomasta tai kohtuuttomasta pyynnöstä voidaan kuitenkin periä kohtuullinen maksu tai kieltäytyä käsittelystä. Kieltäytyminen on perusteltava, ja samalla on kerrottava käytettävissä olevista muutoksenhaku- ja valituskeinoista.
Hakutulosten poistaminen vastaan datan tuhoaminen palvelimelta
Hakutulosten poistaminen eli delistaus rajoittaa ennen kaikkea löydettävyyttä. Kun hakukone hyväksyy pyynnön, tietty sivu ei välttämättä enää näy haettaessa henkilön nimellä tai muulla tunnisteella. Alkuperäinen sivu voi silti olla verkossa, ja sen voi löytää suoraan URL-osoitteella, toisella hakulausekkeella, sosiaalisen median jaolla tai toisessa hakukoneessa.
Vuoden 2014 Google Spain -ratkaisusta alkunsa saanut periaate velvoittaa hakukoneita arvioimaan henkilön oikeuksien ja yleisen tiedonsaantiedun välistä tasapainoa. Oikeuden tulla unohdetuksi kehitys liittyy tilanteisiin, joissa tieto on esimerkiksi epätarkkaa, vanhentunutta, tarpeetonta, kohtuutonta tai erityisen arkaluonteista. Arvioinnissa tarkastellaan myös henkilön asemaa julkisuudessa, tiedon lähdettä, asian yhteiskunnallista merkitystä ja sitä, kuinka kauan tapahtumasta on kulunut.
| Toimenpide | Mitä se muuttaa | Mitä se ei yleensä muuta |
|---|---|---|
| Poistopyyntö alkuperäiselle sivustolle | Voi poistaa sisällön lähteestä ja estää sen uuden indeksoinnin | Jo tehtyjä kopioita, kuvakaappauksia tai varmuuskopioita |
| Hakutuloksen delistaus | Vähentää näkyvyyttä tietyissä nimihauissa | Alkuperäistä verkkosivua tai muita hakulausekkeita |
| Poisto yrityksen järjestelmistä | Poistaa henkilötiedot sovituista tuotanto- ja säilytysjärjestelmistä | Julkisia julkaisuja, muiden organisaatioiden kopioita tai laillisesti säilytettäviä tietoja |
Google ja muut hakukoneet arvioivat pyynnön tapauskohtaisesti. Pyyntöön tarvitaan yleensä kyseiset URL-osoitteet, käytetty hakulauseke, selvitys siitä, miten sisältö liittyy pyynnön esittäjään, sekä perustelu poistamiselle. Hyväksytty poisto voi olla rajattu tietyn alueen hakuihin ja nimenomaan henkilön nimeen liittyviin hakuihin. Sisältö voi edelleen näkyä muilla hakusanoilla tai toisen lainkäyttöalueen hakutuloksissa.
Minne vanha data piiloutuu ja kummittelee verkossa
Poistaminen ei aina tarkoita, että jokainen tekninen kopio häviää samana sekuntina. Verkkopalveluissa käytetään välimuisteja, joiden tarkoitus on nopeuttaa sivujen lataamista. Hakukoneella voi olla oma indeksi, joka päivittyy viiveellä. Sisältöjakeluverkot voivat säilyttää tiedostoja eri palvelimilla, ja järjestelmä voi pitää vanhaa versiota hetken saatavilla, vaikka ylläpitäjä olisi poistanut alkuperäisen sivun.
Myös ulkopuoliset palvelut voivat säilyttää materiaalia. Web-arkistot tallentavat verkkosivuista aikaisempia versioita, ja yksittäiset käyttäjät voivat kopioida tekstiä, kuvia tai asiakirjoja omille sivuilleen. Poistettu julkaisu voi ilmestyä uudelleen keskustelupalstalle, uutisaggregaattoriin tai toiselle palvelimelle ilman alkuperäisen julkaisijan aktiivista toimintaa. Mitä useammin sisältöä on jaettu, sitä vaikeampi kokonaisuutta on hallita.
- Hakukoneindeksit: vanha osoite voi näkyä, kunnes hakukone käsittelee uuden tilanteen.
- Välimuistit: palvelimet ja sisältöjakeluverkot voivat pitää väliaikaisia kopioita suorituskyvyn vuoksi.
- Web-arkistot: kolmannet osapuolet voivat säilyttää sivun aikaisemman version.
- Peilatun sisällön sivustot: sama tieto voi olla julkaistu useassa paikassa eri osoitteilla.
- Varmuuskopiot: palautumista varten tehdyt kopiot eivät välttämättä ole heti muokattavissa yksittäisen poistopyynnön perusteella.
Yritysten näkökulmasta tietojen poistaminen on erityisen vaativa kokonaisuus. Henkilötieto voi sijaita asiakkuudenhallinnassa, sähköpostissa, analytiikkajärjestelmässä, lokitiedoissa, pilvitallennuksessa ja varmuuskopioissa. Pilvipalveluissa kustannukset ja tekniset käytännöt voivat koskea myös vanhoja, ei-aktiivisia tai soft-deleted-objekteja. Joissakin säilytysluokissa poistoon liittyy vähimmäissäilytysaikoja tai teknisiä viiveitä. Tämä ei vapauta organisaatiota velvoitteista, mutta kertoo, miksi poistaminen pitää suunnitella, dokumentoida ja todentaa järjestelmäkohtaisesti.
Kaikkia kopioita ei myöskään pidä poistaa summittaisesti. Lokitietoja voidaan tarvita tietoturvapoikkeaman selvittämiseen, ja varmuuskopiot ovat olennainen osa palautumiskykyä. Yrityksen on määriteltävä, mitä voidaan anonymisoida, mitä voidaan poistaa tuotantojärjestelmistä heti ja mitä voidaan poistaa varmuuskopioista niiden normaalin elinkaaren aikana. Pseudonymisointi ei yleensä ratkaise asiaa, jos henkilö voidaan edelleen tunnistaa yhdistämällä tietoja.
Toimintasuunnitelma omien tietojen poistamiseen askel askeleelta
Tehokkain poistopyyntö on täsmällinen, rajattu ja dokumentoitu. Ennen lähettämistä kannattaa tehdä haku omalla nimellä, nimimerkillä, sähköpostiosoitteella ja muilla tunnisteilla. Kirjaa ylös täydelliset URL-osoitteet, kuvakaappaukset, hakulausekkeet, päivämäärät ja se, mikä tiedossa on virheellistä, vanhentunutta, tarpeetonta tai turvallisuusriskiä aiheuttavaa. Älä lähetä enempää henkilötietoja kuin pyynnön käsittely välttämättä edellyttää.
- Ota yhteys alkuperäiseen julkaisijaan. Etsi sivuston ylläpitäjä, tietosuojavastaava tai rekisterinpitäjä. Pyydä sisällön poistamista lähteestä ja kerro yksilöidyt osoitteet. Jos julkaisu poistetaan alkuperäiseltä sivulta, se poistuu ajan myötä myös hakukoneiden indeksistä, vaikka päivityksessä voi olla viive.
- Perustele GDPR:n mukainen pyyntö. Kerro, miksi käsittely ei enää ole tarpeellista, mikä oikeusperuste puuttuu tai miksi tietojen säilyttäminen loukkaa oikeuksiasi. Jos haluat koko henkilötietojen poistamisen, ilmoita se selvästi. Jos pyydät vain tiettyjen tietojen korjaamista tai rajoittamista, erottele nämä vaatimukset.
- Pyydä hakutulosten karsimista. Jos lähdesivuston poistaminen ei onnistu, käytä Googlelle tai Bingille tarkoitettua lomaketta. Liitä mukaan URL-osoitteet, nimiin liittyvä hakulauseke ja tapauskohtainen perustelu. Hakukone voi poistaa tuloksen kokonaan tai rajoittaa sen näkymistä henkilön nimeen liittyvissä hauissa.
- Seuraa määräaikoja. Rekisterinpitäjän ja hakukoneen on yleensä vastattava kuukauden kuluessa. Monimutkaisessa asiassa määräaikaa voidaan pidentää, mutta siitä on ilmoitettava. Säilytä lähetetty pyyntö, automaattiset vastaanottokuittaukset ja saatu päätös.
- Vie asia valvontaan tarvittaessa. Jos pyyntö hylätään ilman asianmukaista perustelua, siihen ei vastata tai arviointi vaikuttaa puutteelliselta, Suomen tietosuojavaltuutetulle voi tehdä toimenpidepyynnön. Mukaan kannattaa liittää alkuperäinen pyyntö, vastaukset, kyseiset osoitteet ja selkeä kuvaus siitä, mitä on tapahtunut.
Hakukoneiden lomakkeilla pyydetään usein myös henkilöllisyyden varmistamista. Lähetä vain tarpeellinen määrä tietoa ja peitä ylimääräiset tunnistetiedot asiakirjakopioista, jos niitä ei tarvita. Google tarjoaa erillisiä prosesseja esimerkiksi yksityisten yhteystietojen, tunnistusasiakirjojen kuvien, pankkitietojen, terveystietojen ja doxxaukseen liittyvän sisällön poistamiseen. Hakutuloksen poistaminen ei kuitenkaan poista materiaalia lähdesivulta, sosiaalisesta mediasta tai muista hakukoneista.
Yritysten kannattaa rakentaa vastaava prosessi ennakkoon. Rekisteriselosteissa on kerrottava säilytysajoista, tietojärjestelmät on kartoitettava ja vastuut nimettävä. Poistopyynnöistä on jäätävä auditointikelpoinen jälki, mutta itse pyynnön käsittelyssä ei saa syntyä uutta tarpeetonta henkilötietovarastoa. Selkeä toimintamalli säästää aikaa ja vähentää riskiä, että yksi järjestelmä tyhjennetään, mutta sama tieto jää huomaamatta toiseen.
Ota digitaalinen jalanjälkesi haltuun realistisella asenteella
Verkosta ei yleensä voi kadota täydellisesti yhdellä taikanapilla. Tekninen replikaatio, välimuistit, arkistot ja muiden tekemät kopiot rajoittavat sitä, mitä yksi organisaatio tai hakukone voi hallita. Silti oikeus tulla unohdetuksi on käytännössä tehokas työkalu. Alkuperäisen sisällön poistaminen vähentää tiedon saatavuutta, ja hakutulosten karsiminen voi leikata näkyvyyttä juuri niissä tilanteissa, joissa työnantaja, asiakas tai muu henkilö etsii nimeäsi.
Toimi järjestelmällisesti: tarkista nimihakusi ajoittain, käytä yksityisyysasetuksia ennakoivasti, rajaa julkisia profiilitietoja ja pidä kirjaa poistopyynnöistä. Kun erotat hakutuloksen piilottamisen varsinaisesta datan poistamisesta, tiedät, kenelle pyyntö kuuluu ja mitä lopputulosta on realistista tavoitella. Laki ei poista internetin historiaa, mutta se antaa keinot vaikuttaa siihen, mitä tietoja säilytetään, missä niitä käsitellään ja kuinka helposti ne löytyvät.
