Miten tarpeettomat tiedot poistetaan ilmoituksesta

Ilmoittajansuojelulain 29 §:n toinen momentti on lyhyt, mutta se antaa käsittelijälle hankalan tehtävän. Henkilötiedot, joilla ei selvästi ole merkitystä ilmoituksen käsittelyn kannalta, on poistettava ilman aiheetonta viivytystä. Sama pykälä edellyttää kuitenkin, että ilmoitus säilytetään viisi vuotta, ja lain 31 § antaa ilmoituksen kohteelle oikeuden tietää, mitä hänestä käsitellään. Rakensimme RehtIO Whistleen tätä varten työkalun, jolla ilmoituksesta voi leikata pois yksittäisiä tietoja ilman, että ilmoitusta tarvitsee poistaa.

Kaksi lakia, jotka vetävät eri suuntiin

Tietosuoja-asetuksen lähtökohta on tietojen minimointi: henkilötietoja käsitellään vain sen verran kuin tarkoitus vaatii. Ilmoittajansuojelulaki puolestaan edellyttää, että ilmoitus selvitetään, siitä annetaan palaute ja aineisto säilytetään viisi vuotta. Ilmoittajan ei tarvitse tuntea kumpaakaan säädöstä, joten ilmoituksissa on usein tietoja, joilla ei ole asian kannalta merkitystä, esimerkiksi sivullisen kollegan nimi tai muita henkilökohtaisia tietoja.

Koko ilmoitusta ei kuitenkaan voi poistaa, koska se on selvityksen perusta ja koska ilmoituksen kohteella on oikeus tietää, mitä hänestä on kirjoitettu. Käsittelijän on siis pystyttävä poistamaan osa tekstistä ja säilyttämään loput. Sähköpostissa tai tekstinkäsittelyohjelmassa se tarkoittaisi alkuperäisen muokkaamista, eikä jälkikäteen olisi mahdollista osoittaa, mitä poistettiin ja kuka sen teki.

Miten poisto toimii

Käsittelijä avaa ilmoituksen kuvauksen tai yksittäisen viestin ja valitsee toiminnon Poista tietoja. Alkuperäinen teksti näkyy sellaisenaan, ja käsittelijä merkitsee siitä kohdat, jotka poistetaan. Ennen vahvistusta näkyy lopputulos: jokaisen poistetun kohdan tilalla on merkintä […]. Merkintä on sama kaikilla kielillä ja jää tekstiin pysyvästi.

Työkalulla voi vain poistaa. Tekstiä ei voi lisätä eikä muuttaa, sillä käsittelijän ei pidä pystyä muokkaamaan ilmoittajan sanomaa, vaan ainoastaan karsimaan siitä pois se, mikä ei kuulu sinne. Sama koskee viestiketjun viestejä, olipa viestin kirjoittanut ilmoittaja tai käsittelijä. Liitetiedostoja ei leikata, vaan yksittäisen liitteen voi poistaa kokonaan, jolloin sen tilalle jää päivätty merkintä poistetusta liitteestä.

Jos teksti on muuttunut sen jälkeen, kun käsittelijä alkoi merkitä kohtia, palvelin hylkää poiston ja kohdat on merkittävä uudelleen nykyisestä tekstistä. Kuvauksesta on jäätävä jäljelle riittävästi tekstiä; jos siitä ei tarvita mitään, kyse on koko tapauksen poistamisesta, joka on erillinen toiminto. Poistokiellon alaisesta tapauksesta ei voi poistaa mitään ennen kuin kielto puretaan.

Mitä tarkastuslokiin jää

Poisto on peruuttamaton. Leikattu teksti salataan uudelleen ilmoituksen omalla salausavaimella, ja se korvaa aiemman version, josta ei säilytetä kopiota. Juuri siksi tarkastuslokiin kirjataan jokaisesta poistosta:

• kuka poiston teki ja missä roolissa
• mistä ilmoituksesta ja mistä sen osasta, kuvauksesta vai tietystä viestistä
• kuinka monta merkkiä poistettiin.

Lokiin ei kirjata poistettua tekstiä, joten kollega voi huomata epätavallisen suuren poiston ilman, että poistettu tieto paljastuu uudelleen. Erillistä perustetta poistolle ei kirjata. Jos haluatte dokumentoida harkintanne, tehkää se sisäisiin muistiinpanoihin ilman poistettua tietoa; perustelu, jossa tieto toistetaan, tekisi poiston tyhjäksi.

Ilmoittaja näkee saman merkinnän kuin käsittelijä: kun hän avaa tapauksensa pääsykoodillaan, poistetun kohdan tilalla on […]. Mielestämme ilmoittajalla on oikeus tietää, että hänen tekstiään on karsittu, vaikka hän ei saisikaan tietää miksi.

Kuka saa poistaa

Poiston voi tehdä jokainen, jolla on organisaatiossa käsittelijän rooli. Ylläpitäjän roolilla ei ole merkitystä, eikä käsittelijän tarvitse olla tapauksen vastuukäsittelijä. Jos organisaatio edellyttää todennussovellusta tai käsittelijä on ottanut sen käyttöön, henkilöllisyys vahvistetaan myös tässä kohdassa.

Harkinta jää käsittelijälle

Työkalu ei päätä, mikä on selvästi merkityksetöntä. Se arvio kuuluu lain mukaan käsittelijälle, ja ohjelmiston tehtävä on tehdä poistosta helppo, jäljitettävä ja peruuttamaton. Poistettu tieto häviää myös salatuista varmuuskopioista 30 päivän kuluessa.

Koko tapauksen poistaminen on erillinen, kirjattava toimenpide, ja tämä työkalu on olemassa, jotta siihen ei tarvitse turvautua yhden ylimääräisen nimen takia. Jos teillä on tapauksia, joihin tämä ei taivu, tai näette rajauksessa aukon, kuulemme siitä mielellämme. Palvelun toimintaan voi tutustua täällä, ja kysymykset voi lähettää yhteydenottolomakkeella.