Jos kyläkoulujen lakkauttamisen aloittamisesta järjestetään yleisötilaisuus, niin saako GDPR:n mukaan kerätä nimilistaa osallistujista, kun nimien keruulle ei kerrottu syytä?
Lyhyt vastaus: Ei saa. Nimilistan kerääminen ilman käyttötarkoituksen ilmoittamista rikkoo EU:n tietosuoja-asetuksen (GDPR) perusperiaatteita.
Miksi toiminta on GDPR:n vastaista?
Tietosuoja-asetus asettaa tiukat vaatimukset henkilötietojen (kuten nimien) keräämiselle.
1. Käyttötarkoitussidonnaisuus ja läpinäkyvyys
GDPR:n mukaan henkilötiedot on aina kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten. Henkilötietojen käsittelyn täytyy olla läpinäkyvää: osallistujalla on oikeus tietää, mihin hänen nimeään käytetään (esim. turvallisuus/paloturvallisuus, kannanotto päättäjille, läsnäolijoiden tilastointi vai markkinointi).
2. Informointivelvollisuus
Tietoja kerättäessä rekisteröidylle (osallistujalle) on annettava vähintään seuraavat tiedot:
- Kuka tietoja kerää (rekisterinpitäjä / kunta / järjestö)
- Mihin tarkoitukseen tietoja kerätään
- Mihin tietosuoja-asetuksen oikeusperusteeseen käsittely perustuu
- Mihin tietoja mahdollisesti luovutetaan tai säilytetään
3. Suostumuksen pätevyys
Jos nimien kerääminen perustuu osallistujien vapaaehtoiseen suostumukseen (esim. osallistujalista tai vetoomus), suostumus ei ole laillisesti pätevä, jos käyttötarkoitusta ei ole yksilöity. Ihminen ei voi antaa tietoon perustuvaa suostumusta asiaan, jota hänelle ei ole kerrottu.
Miten tilanteessa pitäisi toimia?
Jos lista on jo kerätty ilman syyn kertomista: Tietoja ei tulisi käyttää mihinkään tarkoitukseen, ja lista pitäisi pääsääntöisesti hävittää, koska keräys on tapahtunut virheellisesti.
Jos lista aiotaan kerätä: Nimilistan yhteydessä (esim. lomakkeen ylälaidassa tai kyltissä) tulee lukea selkeästi, mihin tarkoitukseen nimet kerätään ja kuka toimii rekisterinpitäjänä. Osallistumisella ei myöskään saa ilman erillistä mainintaa pakottaa liittymään esim. vetoomukseen.
