Tietosuoja-asetuksen merkittävin hyöty on entistä suuremman huomion kiinnittäminen yksityisyyden suojaan, ja suojaavien toimien vieminen museon viestinnän, kokoelmatyön ja henkilöstöhallinnon prosesseihin. Museoiden kannalta on olennaista, että tietosuoja ei EU-asetuksen mukaan ulotu kuolleisiin henkilöihin.

Yleisen tietosuoja-asetuksen soveltamisen ja toimivuuden suurimmat haasteet

Tietosuoja-asetus sekä sen edellyttämät uudistukset ovat olleet voimassa vasta vähän aikaa, joten lausunnon antaminen tässä vaiheessa lainsäädännön soveltamisesta on liian aikaista, jotta kokemuksia lainsäädännön toteuttamisesta olisi karttunut riittävästi tietosuoja-asetuksen arviointia varten.

Museokentän erilaisista resursseista johtuen museoilla on hyvin erilaiset mahdollisuudet soveltaa lainsäädäntöä toiminnassaan mm. muokkaamalla sopimusten ja selosteiden sisältöä lainsäädännön edellyttämään muotoon. Esimerkiksi kaupunkien omistamat museot voivat hyödyntää kaupungin lainsäädäntöosaamista tietosuoja-asetuksen edellyttämien selosteiden ja lomakkeiden laatimisessa, mutta vastaavia resursseja ei välttämättä ole yksityisissä museoissa. Toimialan ministeriön (opetus- ja kulttuuriministeriö) pitää huolehtia riittävistä resursseista ja osaamisesta alalla esimerkiksi tuottamalla mallisopimuksia ja lomakkeita museoiden käyttöön, järjestämällä koulutusta sekä tukemalla museoiden työprosessien kehittämistä lainsäädännön edellyttämään muotoon.

Tietosuojalainsäädännön edellyttämää koulutusta toteuttivat monet erilaiset tahot, joilla ei ollut välttämättä osaamista siitä, mitä tietosuojalainsäädäntö merkitsee kulttuuriperinnön säilyttämisen kannalta. Tämän vuoksi varsinkin pienempien toimijoiden kuten esimerkiksi erilaisten yhdistysten arkistojen aineistot ovat vaarassa päätyä tuhotuiksi ilman että museot ovat voineet arvioida niiden liittämistä kokoelmiinsa.

Yleisen tietosuoja-asetuksen mahdollistama sääntelyliikkumavara

Kansallisella lainsäädännön tasolla olisi pitänyt määritellä kulttuuriperinnön käsite sekä valmistella kulttuuriperintöalan sektoreita koskevaa yksityiskohtaisempaa lainsäädäntöä. Esimerkiksi Ruotsissa on tehty sektorikohtainen kansallinen lainsäädäntö. Sektorilainsäädännössä olisi lisäksi voitu käyttää kunkin sektorin omia termejä selkeyttämään lainsäädäntöä.

Kansalliseen tietosuojalakiin ei sisällytetty nimenomaista säännöstä kulttuuriperintöorganisaatioiden oikeudesta saattaa henkilötietoja sisältäviä aineistoja yleisön saataville. Tästä on maininta lakiin liittyvässä hallituksen esityksessä, mutta ei itse laissa.

Kulttuuriperintöaineistojen arkistointi ja käyttö vaatii erilaista harkintaa kuin esim. terveyspalveluihin liittyvä henkilötietojen käsittely. Museoille pitää tarjota riittävästi tietoa siitä, miten sovittaa yhteen lainmukainen kulttuuriperintötehtävä ja tietosuoja. Vaikka museota ylläpitävällä kuntakonsernilla olisikin nimetty tietosuojavastaava, ja vaikka asiakirjojen julkisuusprosessit olisivat muilla kunnan toimialoilla kunnossa, on kulttuuriperintöaineistoja koskevat tietosuojakysymykset siinä määrin erityyppisiä kuin muilla toimialoilla, että museoalalla olisi hyvä olla yhteinen tietosuojavastaava.

Kirjastojen, arkistojen ja museoiden yhteinen juridiikkaryhmä julkaisi keväällä 2019 ”Tietosuoja KAM-sektorilla” -suosituksen, jonka tarkoituksena on selventää kulttuuriperintöalan toimijoille tietosuojalainsäädäntöä. Suosituksessa ei ole kuitenkaan kyse tietosuoja-asetuksen 40 artiklan mukaisista käytännesäännöistä.

Kommentti yleisen tietosuoja-asetuksen I lukuun – Yleiset säännökset

Määritelmistä puuttuu kulttuuriperinnön käsite. Lisäksi olisi ollut syytä määritellä, mitä tarkoitetaan yleisen edun mukaisella arkistoinnilla sekä mainita, että tämä yleisen edun mukainen arkistointi koskee kaikkia kulttuuriperintöalan toimijoita eli arkistoja, kirjastoja ja museoita.

Kommentti yleisen tietosuoja-asetuksen II lukuun – Periaatteet

Tietosuoja-asetuksen mukaisesti henkilötietojen käsittely voi perustua museossa myös muuhun käsittelyperusteeseen kuin yleisen edun mukaiseen arkistointitarkoitukseen, esimerkiksi rekisteröidyn suostumukseen. Koska asetuksen mukaan suostumus on mahdollista peruuttaa milloin tahansa ilman perusteluja, ohjaa tämä välttämään suostumuksen käyttöä käsittelyperusteena siitä johtuvan suuren työmäärän vuoksi.

Kommentti yleisen tietosuoja-asetuksen V lukuun – Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille

Museoiden toiminta on kansainvälistä ja yhteistyö kansainvälisten kumppaneiden kanssa edellyttää mahdollisuutta aineistojen jakamista verkossa. Tässä tarvitaan selkeämpää sääntelyä, jotta kansainvälinen yhteistyö ei vaarannu.

Suomen museoliitto

17.9.2019

Suomen museoliitto 27.9.2019