Asiaa on jatkovalmisteltu kuluvan vuoden aikana kaupunginkansliassa ja valmisteluun ovat osallistuneet myös kaupunginkanslian oikeuspalvelut ja tietosuojavastaava.

Osana valmistelua on selvitetty, onko lainsäädännöllisiä edellytyksiä julkistaa kaupungin johdon tapaamia tahoja ja tapaamisen aiheita ja missä muodossa.

Kokouksiin ja tapaamisiin kaupungin johdon kanssa osallistuvien henkilöiden tietojen julkaiseminen muodostaa käytännössä henkilörekisterin, koska kerättävät tiedot sisältäisivät henkilötietoja sekä kaupungin edustajista että muista tapaamiseen osallistuvista henkilöistä.

Henkilötietoja ovat sekä kaupungin edustajan nimi että tieto tapaamisen toisesta osapuolesta, vaikka toista osapuolta edustavaa henkilöä ei nimettäisikään. Tietosuoja-asetuksen mukaan henkilötietoja ovat myös tiedot, joista luonnollinen henkilö voidaan epäsuorasti tunnistaa. Vaikka tapaamisen toisen osapuolen osalta rekisteriin merkittäisiin ainoastaan taho, jota hän edustaa kuten osakeyhtiön, säätiön tai yhdistyksen nimi, tämä ei muuttaisi tilannetta, koska tapaamiseen osallistuneen luonnollisen henkilön identiteetti olisi useimmiten helposti pääteltävissä julkisesti käytettävissä olevien tietojen nojalla.

Tietosuoja-asetuksen 4 artiklan 1 kohdan mukaan henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä rekisteröity, liittyviä tietoja. Tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

Tietosuoja-asetuksen johdannon kohdassa (26) todetaan, että tietosuojaperiaatteita on sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Pseudonymisoidut henkilötiedot, jotka voidaan yhdistää luonnolliseen henkilöön lisätietoja käyttämällä, on katsottava tiedoiksi, jotka koskevat tunnistettavissa olevaa luonnollista henkilöä. Jotta voidaan määrittää, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää mainitun henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista. Jotta voidaan varmistaa, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys.

Tietojen luovuttamisesta viranomaisen henkilörekisteristä ei säädetä tietosuoja-asetuksessa, vaan kansallisessa viranomaisten toiminnan julkisuudesta annetussa laissa (Julkisuuslaki).  Julkaisemisessa ei siten voida ottaa mallia esimerkiksi Euroopan komission avoimuusrekisteristä, koska Euroopan komission toimintaa ei sääntele Suomen kansallinen julkisuuslainsäädäntö. Julkisuuslakiin ei ole tullut muutoksia tietosuoja-asetuksen voimaantulon yhteydessä.

Julkisuuslain 16 § 3 momentin mukaan ”viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen tai sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja”. Viranomaisella on siten velvollisuus tarkistaa tiedonsaajien oikeus tietojen saantiin. Mikäli tietoja julkaistaan yleisessä tietoverkossa, on viranomaisen mahdotonta tarkistaa tietojen saajan oikeutta tallettaa ja käyttää kyseisiä henkilötietoja. Julkisuuslain nojalla henkilötietoja ei siis voida lähtökohtaisesti julkaista netissä.

Tietosuojavaltuutettu on 27.7.2010 antanut ohjeen siitä, kuinka viranomaisen henkilörekisteristä voidaan luovuttaa tietoja. Tietosuojavaltuutetun ohjeistus ei ole menettänyt merkitystään tietosuoja-asetuksen myötä, koska julkisuuslain säännöksen ovat säilyneet ennallaan. Tietosuojavaltuutettu toteaa ohjeessaan:

Henkilötietoja voidaan viedä nettiin, jos se on erityislainsäädännössä sallittu. Erityislainsäädäntöä ovat esimerkiksi kuntalain säännökset, jotka sallivat sidonnaisuusilmoitusten ja kunnan päätösten sisältämien välttämättömien henkilötietojen julkaisemisen verkossa. Ehdotetun rekisterin vieminen verkkosivuille edellyttäisi omaa lainsäädäntöä. Kuntalain 29 §:n mukaista kunnan yleistä tiedottamisvelvollisuutta koskevaa säännöstä ei sen sijaan voida pitää riittävänä nimenomaisena säännöksenä, joka oikeuttaisi henkilötietojen, ja siten kaupungin johdon tapaamistietojen viemiseen internetiin ilman asianosaisen suostumusta.

Asiassa on kyse julkisuusperiaatteen suhteesta yksityisyydensuojaan. Tietosuoja-asetuksen johdantokappaleessa (154) todetaan:

Suomessa edellä mainittu julkisuusperiaatteen ja yksityisyyden suojan ja sitä kautta henkilötietojen suojan yhteensovittaminen on toteutettu julkisuuslaissa aikaisemmin todetun mukaisesti.  Koska henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä on yksiselitteisesti säädetty julkisuuslaissa, ei asiassa ole tarpeellista eikä edes mahdollista kaupungin toimesta arvioida sitä, kumpi perustuslailla suojattu oikeus, yksityiselämän suoja vaiko julkisuusperiaate, olisi nyt syntyneessä kollisiotilanteessa vahvempi.

EU:n tietosuoja-asetuksen soveltamisen alku 25.5.2018 ei tuonut lainsäädännöllisesti muutosta henkilötietojen luovuttamiseen viranomaisten rekistereistä. Ratkaisevaa asiassa on edelleen kansallinen lainsäädäntö, jossa ei ole huomioitu avoimuusperiaatteen toteuttamisen ja henkilötietojen suojaamisen ristipainetta kaikissa tilanteissa. Voimassa oleva laki ei tue pyrkimystä suurempaan avoimuuteen julkisessa toiminnassa tapaamistietojen avaamisen osalta.

Hallitus on antanut eduskunnalle esityksen uudeksi tietosuojalaiksi (HE 9/2018). Kyseistä lakia ei ole vielä säädetty, vaan se käsittely on edelleen kesken. Ehdotetussa tietosuojalaissa ei oteta julkisuuden ja henkilötietojen suojan yhteensovittamiseen muutoin kantaa kuin lakiesityksen 28 §:n viittaussäännöksellä julkisuuslakiin: