Henkilötunnus yritystoiminnassa – tunnistaminen, tietosuoja ja muut kysymykset
Meistä jokainen on varmasti törmännyt käytännössä tilanteeseen, jossa puhelinasioinnissa, tai jopa verkossa, yksilön tunnistaminen suoritetaan varsin heikoilla taustatiedoilla. Yksilön tunnistaminen on saatettu esimerkiksi jättää ainoastaan henkilötunnuksen sekä muiden perustietojen, kuten kotiosoitteen ja sähköpostiosoitteen kysymisen varaan. Tällaisten käytäntöjen olemassaolo osoittaa, kuinka helppoa sähköisissä asiointikanavissa on väärinkäyttää henkilötietoja ja tekeytyä toiseksi henkilöksi.
Henkilötunnuksen käyttökäytäntöihin on viime vuosina todettu liittyvän ongelmia. Väärinkäytöstilanteiden lisäksi ongelmia on aiheuttanut tunnusten riittävyys. Samalla koko järjestelmän uudistustarve on noussut arvioitavaksi. Henkilötunnusten riittävyyttä koskeva ongelma ratkaistiin erillään meneillään olevasta henkilötunnusjärjestelmän uudistamishankkeesta vuoden 2021 loppupuolella muuttamalla vähäisesti henkilötunnuksen rakennetta. Tämä muutos tulee näillä näkymin voimaan vuoden 2023 alusta. Hallitus valmistelee myös parhaillaan uutta sääntelyä, jolla mahdollistettaisiin henkilötunnuksen myöntäminen ulkomaalaisille nykyistä laajemmin, sähköinen etärekisteröityminen väestötietojärjestelmään sekä kokonaan uuden yksilöintitunnuksen luominen henkilötunnuksen rinnalle. Lisäksi lainsäätäjän tarkoituksena on puuttua kuluttajaluottojen myöntämisen käytäntöihin sekä tilanteisiin, joissa henkilö tilaa tuotteita verkosta laskua vastaan siten, että jatkossa näissä tilanteissa edellytettäisiin vahvaa tunnistautumista. Voimme siis odottaa melko suuriakin muutoksia tällä kentällä. Mutta miten voimme yksilöinä ja organisaatioina edesauttaa ja tukea laillisten tunnistamiskäytäntöjen kehittämistä ja soveltamista jo nykytilanteessa?
Henkilötunnuksen käsittely
Henkilötunnuksen tarkoituksena on henkilön luotettava yksilöinti yksilöllisen tunnisteen avulla. Pelkästään henkilötunnuksen avulla ei kuitenkaan voida automaattisesti varmistua yksilön henkilöllisyydestä. Henkilöllisyyden varmistamiseen tarvitaan myös muita tietoja, kuten jokin muu tunniste tai henkilöllisyystodistus. Tämä on syytä jokaisen yrityksen sekä myös kuluttajan pitää mielessä, ja tarpeen vaatiessa onkin syytä puuttua tilanteisiin, joissa yksilön tunnistaminen tapahtuu liian heikoin perustein.
EU:n yleisen tietosuoja-asetuksen mukaan jäsenvaltiot saavat kukin itsenäisesti määritellä erityiset kansallisen henkilönumeron tai muun tunnisteen käsittelyn edellytykset. Tästä johtuen henkilötunnuksen käsittelyä koskevat käytännöt vaihtelevat jäsenvaltioittain, vaikka asetuksen mukaisia yleiseurooppalaisia suojatoimia on kuitenkin aina noudatettava. Henkilötunnuksen käsittelyyn pätevät poikkeuksetta henkilötietojen käsittelyn yleiset periaatteet, jotka velvoittavat yrityksiä käsittelemään henkilötunnuksia lainmukaisesti, asianmukaisesti ja yksilön kannalta läpinäkyvästi. Lisäksi ne velvoittavat yrityksiä keräämään henkilötunnuksia vain tiettyä, nimenomaista ja laillista tarkoitusta varten. Henkilötietojen on oltava myös asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.
Kansallisessa tietosuojalaissa (1050/2018, 29 §) on määritelty ne käyttötarkoitukset, joiden puitteissa henkilötunnusta saa käsitellä edellä kuvattujen tietosuoja-asetuksessa säädettyjen käsittelyperiaatteiden mukaisesti. Lain mukaan henkilötunnusta saa käsitellä ainoastaan rekisteröidyn suostumuksella tai jos käsittelystä säädetään laissa. Lisäksi henkilötunnusta saa käsitellä, jos rekisteröidyn yksiselitteinen yksilöiminen on tärkeää laissa säädetyn tehtävän suorittamiseksi, rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi tai historiallista tai tieteellistä tutkimusta taikka tilastointia varten.
Henkilötunnusta ei kuitenkaan pidetä arkaluonteisena tietona siinä määrin, että se olisi säädetty laissa salassa pidettäväksi. Sitä ei siis ole pidetty sellaisena yksityiselämän suojan ydinalueisiin kuuluvana tietona, jota pitäisi erityisesti suojata salassapitosääntelyllä. Henkilötunnus on kuitenkin tietyissä käyttöyhteyksissä luonteeltaan salassa pidettävää tietoa, kuten sosiaalihuollon asiakastietona, potilastietona tai työhallinnon henkilöasiakastietona. Nyrkkisääntönä on hyvä pitää myös sitä, että julkisesta asiakirjasta tulisi poistaa vähintään henkilötunnuksen loppuosa, jotta henkilötunnuksen käsittelyssä noudatetaan laissa säädettyjä vaatimuksia.
Henkilötunnus tunnistamisen välineenä
Kuluttajana törmää ajoittain tilanteisiin, joissa sähköisessä asiointipalvelussa käytetään henkilötunnusta tunnistamisen välineenä. Tällöin henkilötunnuksen käsittelyperusteena toimii yleensä henkilön itsensä antama suostumus henkilötunnuksen käsittelyyn palveluntarjoajan palvelussa. Jotta tämä olisi toteutettu lainmukaisesti, on tunnistuspalvelussa oltava kuitenkin toiminto, jolla varmistetaan, että palvelun käyttäjä ymmärtää antavansa suostumuksen henkilötunnuksensa käsittelyyn tunnistautumisen yhteydessä.
Henkilötunnusta käsitellään usein esimerkiksi saatavien perinnässä, vakuutustoiminnassa, terveydenhuollossa sekä sosiaalihuollossa. Yleistä on myös henkilötunnuksen käsittely tilanteissa, joissa tilataan tavaraa tai palveluita laskua vastaan. Henkilötunnuksen käyttö tunnistamisvälineenä ei ole rajattu yksityiseen tai julkiseen sektoriin tai muutoinkaan toimialakohtaisesti, mikä helpottaisi henkilötunnuksen lainmukaisen käsittelyn arviointia. Mitään sellaista tyhjentävää luetteloa tahoista, joilla on oikeus kysyä henkilötunnusta, ei ole laadittu. Lähtökohtana kuitenkin on, että henkilötunnusta saa käsitellä henkilötunnuksen haltijan suostumuksella. Siten jokaisen meistä on itse noudatettava erityistä huolellisuutta esimerkiksi kiinnittämällä huomiota erilaisiin tunnistamistilanteisiin ja palveluntarjoajiin. On hyvä pitää mielessä, ettei pelkän henkilötunnuksen ja esimerkiksi nimen tule missään tapauksessa toimia ainoana tunnistamisvälineenä vaan muutakin, kuten henkilötodistuksen esittämistä, tulisi vaatia luotettavan tunnistamisen toteutumiseksi.
Henkilötunnuksiin liittyvät väärät käytännöt
Yksinomaan henkilötunnuksen käyttömahdollisuus tunnistamistarkoituksessa voi johtaa erittäin ikäviin tilanteisiin, joissa ulkopuolinen pääsee väärinkäyttämään tietoonsa tullutta tai anastamaansa toisen henkilön henkilötunnusta. Tämän mahdollisuuden yleinen poissulkeminen ei ole valitettavasti mahdollista – henkilötunnus ei nimittäin olla tehty luonteeltaan niin arkaluonteiseksi tiedoksi, ettei se voisi olla useamman henkilön tiedossa taikka jopa helposti selvitettävissä.
On kuitenkin olennaisen tärkeää pitää mielessä, ettei henkilötunnusta ole tarkoitettu henkilöiden tunnistamiseen vaan yksilöimiseen. Suomen tietosuojavaltuutettu on linjannut, ettei henkilötunnuksen kysyminen ole luotettava tapa selvittää esimerkiksi puhelimessa tai verkossa asioivan henkilöllisyyttä. Tunnistamisen suorittavan rekisterinpitäjän roolissa olevan organisaation ei siis tulisi käyttää yksinomaan henkilötunnusta ja esimerkiksi nimeä tai sähköpostiosoitetta tunnistamisvälineenä, mutta henkilötunnusta saa kuitenkin kysyä yhtenä tietona muiden joukossa osana tunnistamiskäytäntöjä.
Tietosuojavaltuutetun toimisto määräsi 16.12.2021 Psykoterapiakeskus Vastaamolle hallinnollisen seuraamusmaksun tietosuoja-asetuksen säännösten rikkomisesta. Vastaamo oli laiminlyönyt henkilötietojen turvalliseen käsittelyyn sekä tietoturvaloukkauksesta ilmoittamiseen liittyviä velvollisuuksiaan. Vastaamo joutui syyskuussa 2020 tietomurron kohteeksi, jonka seurauksena potilastietokannasta vuosi ulkopuolisten käsiin useiden uhrien henkilötietoja, mukaan lukien henkilötunnuksia. Tämä johti ikäviin ja jo kertaalleen tietomurron kohteeksi joutuneisiin uhreihin kohdistuneisiin rikoksiin, joissa rikollinen perusteettomasti käytti hyväksi uhrin henkilötunnusta ja muita yhteystietoja ja tilasi esimerkiksi tavaraa uhrin nimissä. Suuri osa tällaisista väärinkäytöksistä havaittiin palveluissa, joissa ei ollut vielä käytössä vahvaa tunnistautumista vaan tunnistamisessa käytettiin henkilötunnusta. Juuri tämänkaltaisen rikollisuuden torjumiseksi olisi tärkeää luopua henkilötunnuksen käytöstä tunnistamisvälineenä ja siirtyä laajemmin vahvaan tunnistautumiseen.
Mitä tehdä, jos henkilötunnusta käytetään väärin?
Useammat viranomaistahot ovat julkaisseet ohjeita toimenpiteistä tilanteiden varalle, jossa henkilötunnus on viety tai vuotanut. Tarpeelliset toimenpiteet on harkittava aina tapauskohtaisesti.
Ensinnäkin poliisille on mahdollista tehdä katoamis- ja/tai rikosilmoitus. Rikosilmoitus tulisi tehdä aina silloin, kun on kyse rikoksesta, sillä tällöin väärinkäytökseen voidaan mahdollisesti välittömästi puuttua. Suojautuakseen väärinkäytöksiltä yksilöllä on myös mahdollisuus hakea suojakseen luottokielto ja erilaisia luovutuskieltoja. Omaehtoisen luottokiellon, jonka tarjoavat Suomen Asiakastieto ja Bisnode, hankkiminen on suositeltavaa pikavippien ja muiden kulutusluottojen estämiseksi. Lisäksi saattaa olla tarpeen estää muuttoilmoituksen tekeminen Digi- ja väestötietovirastolle ja Postille sekä tehdä rekisteröintikielto Patentti- ja rekisterihallitukselle.
Psykoterapiakeskus Vastaamon tapauksen, kuten myös yleisemmin kaiken muun henkilötietojen vääriin käsiin joutumisen negatiivisia vaikutuksia voitaisiin tehokkaimmin vähentää vaikeuttamalla mahdollisuuksia identiteettivarkauksien onnistumiseen. Uudella lainsäädännöllä voitaisiin, jo suunnitellulla tavalla, edellyttää vahvaa tunnistautumista eli pankkitunnusten tai mobiilivarmenteen käyttöä laajemminkin kaikessa verkossa tapahtuvassa luoton myöntämisessä. Toisekseen kaikessa viranomaistoiminnassa olisi syytä noudattaa asiakkaan henkilöllisyydestä varmistumisen hyviä käytäntöjä, jolloin yksinomaan henkilötunnusta ei tulisi käyttää tunnistamiskeinona.
Henkilötunnuskäytäntöjen uudistaminen hallituksen agendalla
Hallituksen agendalla on uudistaa henkilötunnusjärjestelmää jo vuodesta 2023 lähtien. Tavoitteena on uudistaa järjestelmää muun muassa mahdollistamalla henkilötunnuksen myöntäminen ulkomaalaisille nykyistä laajemmin, poistamalla henkilötunnuksesta sukupuolitieto ja luomalla edellytykset kokonaan uuden yksilöintitunnuksen käyttöönotolle. Kyseinen hallituksen esitys on määrä esittää eduskunnalle jo syksyllä.
Hankkeen tarkoituksena on kehittää valtion takaamaa identiteettiä huomioiden henkilötunnusten riittävyys, poistaa uusien tunnusten sukupuolisidonnaisuus, sujuvoittaa ulkomaalaisten asiointia laajentamalla henkilötunnuksen saajien piiriä sekä ehkäistä henkilötunnusten käyttöä tunnistuskäytännöissä. Alun perin esitettiin, että Suomessa otettaisiin käyttöön täysin uudenmuotoinen henkilötunnus, josta ei enää kävisi ilmi henkilön ikää, syntymäaikaa, sukupuolta tai muutakaan yksilöön liittyvää tietoa. Esitys kohtasi kuitenkin kritiikkiä lausuntokierroksella, minkä johdosta valtionvarainministeriössä on jatkettu työtä valmistelemalla rajatumpaa muutosta, joka perustuisi henkilötunnuksen nykyiseen muotoon.
Henkilötunnusjärjestelmän kiireellisimmät muutostarpeet liittyvät henkilötunnusten riittävyyden varmistamiseen ja tunnistuskäytön ehkäisemiseen. Hankkeessa arvioitavan suunnitelman mukaan riittävyyteen vastataan lisäämällä henkilötunnukseen uusia välimerkkejä nykymuotoisten tunnusten loppuessa vuoden 2023 alussa.
Vastaamon tietomurtotapaus on osoittanut, että hankkeen hyötyjä ei täysimääräisesti saavuteta, jos henkilötunnusten hallitsematon käyttö tunnistamiskäytännöissä ei muutu. Siten olennaista on tarkastella, voitaisiinko henkilötunnuksen käyttöä tunnistustarkoituksissa lainsäädännön keinoin estää ja mahdollisesti rajoittaa, jotta henkilötunnusta käytettäisiin jatkossa ainoastaan henkilöiden yksilöintiin eikä tunnistamiseen.
Toisessa käynnissä olevassa hallituksen hankkeessa on tarkoitus jälleen puuttua kuluttajien ylivelkaantumiseen eritoten alentamalla kuluttajaluottojen korkokattoa sekä rajoittamalla luottojen markkinointia. Luotonottoon ja maksamiseen liittyvien väärinkäytöksien estämiseksi on myös ehdotettu, että henkilöllisyyden todentamisvelvollisuus laajennettaisiin koskemaan kaikkia kuluttajaluottoja sekä tilanteita, joissa kuluttaja valitsee verkossa asioidessaan maksutavaksi laskun. Tämän myötä, jos asiakas tunnistettaisiin sähköisesti, tunnistamisessa tulisi käyttää vahvaa tunnistautumista eli esimerkiksi mobiilivarmennetta tai verkkopankkitunnuksia. Tällä olisi suuri merkitys verkossa tapahtuvien heikkojen tunnistamiskäytäntöjen estämiseksi. Kyseinen hallituksen esitys kuluttajaluottoja koskevan lainsäädännön tarkistamisesta on tarkoitus esittää eduskunnalle niin ikään tämän syksyn kuluessa.
Lisäksi Suomessa on kaavailtu passin ja henkilökortin rinnalle täysin uutta digitaalista henkilöllisyystodistusta, joka mahdollistaisi henkilöllisyyden osoittamisen myös sähköisessä asioinnissa. Digitaalinen henkilöllisyystodistus tarjoaisi palveluntarjoajille entistä joustavammat edellytykset henkilöllisyyden todentamiseen. Tällöin palveluntarjoajien ei tarvitsisi valita vahvan tunnistautumisen tai heikompien tunnistuskäytäntöjen väliltä, vaan palveluntarjoajilla olisi mahdollisuus turvautua myös digitaaliseen henkilöllisyystodistukseen.
Eduskunta tulee siis syksyllä saamaan käsiteltäväkseen useampia henkilötunnuskäytäntöihin liittyviä muutosehdotuksia. Jo ennen näiden muutosten voimaantuloa voimme yksilöinä ja organisaatioina kiinnittää huomiota tunnistamisen käytäntöihin. Huolellisuus on tarpeen, jotta oman organisaation ja kumppaneiden mahdolliset tunnistuskäytännöissä olevat virheet saadaan korjattua. Myös yksilöinä voimme vaikuttaa siten, että käytämme vain palveluita, joissa hyödynnetään joko vahvaa tunnistautumista tai muutoin varmistutaan yksilön henkilöllisyydestä riittävin keinoin.
