MyData 2018 - tapahtuma ja MyData-julistus

Seminaarin järjesti MyData-verkosto, jonka edistää jokaisen ihmisen oikeutta hallinnoida omaa itseään koskevaa dataa: tietää mihin sitä on tallennettu, mihin sitä käytetään, kellä on siihen pääsyoikeus ja että ihmisellä on myös oikeus siirtää itseensä liittyvää dataa sähköisten palveluiden välillä. MyData-verkosto on kansainvälinen verkosto ja se edistää yksilön oikeuksia omaan dataansa eri tasoilla. MyData-verkosto on järjestäytymässä omaksi järjestöksi ja ilmeisesti järjestön virallinen sijaintipaikka tulee olemaan Suomessa.

MyData julistus

MyData-verkosto julkisti tänä vuonna myös MyData julistuksen (the MyData Declaration), jossa täsmennetään mihin MyDatan käsittely perustuu ja mihin tähdätään. Pääajatukset julistuksessa ovat: luottamuksen synnyttäminen, ihmisen oikeus hallita dataansa ja datan käytön hyödyn jakaminen reilusti organisaatioiden, ihmisten ja yhteiskunnan välillä. MyData-verkosto toivoo myös mahdollisimman monen yksityisen henkilön ja organisaation käyvän allekirjoittamassa julistuksen. MyData-julistus löytyy https://mydata.org/declaration/.

Data oikeudet

MyData2018-tapahtumassa yksi näkökulma henkilökohtaiseen dataan oli jokaisen ihmisen oikeuksia dataan ja mitä sillä käytännössä tarkoitetaan. Siis periaatteessa jokaisella ihmisellä pitää olla oikeus hallinnoida hänestä tallennettua, omaan henkilöönsä liittyvää dataa ja määritellä keillä on tähän dataan pääsyoikeus ja mihin tätä dataa saa käyttää. Tähän on pyritty mm. tietosuojadirektiivillä. Asia ei ole kuitenkaan aivan mustavalkoinen ja alla muutama poiminta seminaarissa aiheesta nousseista kysymyksistä.

Yksilö vastaan yleinen etu

Ihmisellä on siis oikeus päättää sulkea omaan henkilöönsä liittyvän datan käsittely- ja katseluoikeus. Tämä on selvä mutta tähän liittyy kysymys tai ristiriita ihmisen henkilökohtaisen ja yleisen edun välillä. Esimerkiksi miten pitäisi toimia hätätilanteissa, joissa laajemman ihmisjoukon suojaaminen edellyttää pääsyn yhteen ihmiseen liittyvään dataan? Jos ihminen on kieltänyt ulkopuolisilta pääsyn omaan dataan, niin pitäisikö viranomaisella tai jollakin muulla taholla olla oikeus päästä esimerkiksi henkilön rokotetietoihin, koulutustietotoon, taloustietoon tai olinpaikkatietoihin? Ongelma on aika teoreettinen mutta periaatteellisella tasolla pelisäännöt pitäisi pystyä luomaan.

Ristiriita voi nousta myös yksilön ja yritysten välille. Jos ihminen on ostanut tuotteen, jossa osoittautuu vaaralliseksi luokiteltu virhe. Ostosta on jäänyt dataa yrityksen tietokantoihin mutta ihminen kieltänyt pääsyn siihen. Tuotteen valmistanut tai myynyt yritys haluaa tiedottaa kaikille tuotteen ostaneille asiasta mutta henkilö on kieltänyt yritykseltä pääsyn hänen henkilökohtaiseen dataan. Kuinka yritys voi varoittaa henkilöä tällaisissa tilanteissa? Ajaako potentiaalinen vaaratilanne yksilön henkilökohtaisen edun edelle? Jos ajaa, niin kuinka määritellään missä menee raja jolloin yksilön suojan voi kumota?

Taloudellisen hyödyn jakaminen?

Keskustelussa datan omistajuudesta korostuu usein myös datan taloudellisen hyödyn kerääntyminen isoille yrityksille. Tällöin keskiössä ei olekaan yhtä ihmistä koskeva data vaan ryhmätaso. Ihmisiä profiloidaan henkilökohtaisen tietojen perusteella eri ihmisryhmiin kuuluvaksi ja tätä tietoa käytetään pääosin kaupallisiin tarkoituksiin. Yksittäinen ihminen siis tuottaa dataa, mutta onko yrityksillä oikeus myydä dataa ja kerätä sen datan myynnistä voittoja? Google, Facebook tai Über myyvät ihmistä keräämänsä datan ja tekevät myynnillä valtavia voittoja. Eikö silloin olisi kohtuullista, että myös datan tuottavat tahot eli yksittäinen henkilö saisi tästä datasta myös taloudellista hyötyä? Onko Googlen sähköpostin tai halvan taksin käyttö riittävä korvaus henkilökohtaisen datan luovuttamisesta? Pitäisikö ihmisillä olla oikeus myös kieltäytyä datan luovuttamisesta palveluiden käytössä ja olla mahdollisuus vastaavaan maksulliseen palveluun?

Kellä oikeus korjata virheellinen tieto?

Vuorostaan kuinka voidaan varmistaa persoonaan liittyvä datan oikeellisuus? Tietosuojadirektiivi antaa ihmiselle oikeuden saada tietää mitä hänestä on tallennettu, mutta miten menetellään, jos data osoittautuukin virheelliseksi? Esimerkiksi lääkäri on kirjoittanut virheellistä tietoa henkilön potilaskertomukseen, niin kuinka ihminen voi korjata virheellisen datan? Samoin millä perusteella ihmisellä on oikeus pyytää oman persoonaan liittyvän datan korjaamista? Painaako lääkärin sana enemmän kuin asiakkaan?