Suostumusperuste

Suostumusperuste on yksi GDPR:n mukaisista oikeusperusteista henkilötietojen käsittelylle. Siihen perustuva käsittely on sallittua vain, jos rekisteröity on antanut vapaaehtoisen, tiedostetun ja yksiselitteisen suostumuksensa tietojen keräämiseen ja käyttämiseen tiettyihin tarkoituksiin. Suostumuksen on oltava nimenomainen, informoitu ja annettu selkeän hyväksynnän kautta; asianmukainen informointi kattaa käsittelyn tarkoitukset, tiedot ja oikeudelliset sekä tietosuojariskit sekä mahdollisuuden peruuttaa suostumus.

Valitsemisen osalta suostumusperuste soveltuu esimerkiksi tilanteisiin, joissa käsittelyn tarkoitukset ovat tarkkarajaisia ja rekisteröidyn suostumus on ensisijainen tai ainoa soveltuva oikeusperuste. Esimerkkejä ovat markkinointi, tutkimus tai käyttäjäprofiilointi, kun näille tarkoituksille kerätään henkilötietoja. Erityisten henkilötietojen, kuten terveystietojen, käsittelyyn suostumuksen on yleensä oltava eksplisiittinen eli erikseen todennettu ja rekisteröidyn on oltava tietoinen siitä, mihin tarkoituksiin tiedot kerätään.

Rajoitukset ja velvoitteet liittyvät siihen, että suostumus ei saa olla ainoa oikeusperuste sellaisten käsittelytietojen osalta, joille muu oikeusperuste on olemassa (esimerkiksi sopimus tai lakisääteinen velvoite). Suostumuksen antajan on voiduttava peruuttaa suostumuksensa milloin tahansa, ja peruutus on tehtävä yhtä helposti kuin suostumuksen antaminen. Lisäksi rekisterinpitäjän on säilytettävä todisteet suostumuksesta ja tarjottava selkeä keino peruuttaa se sekä tarvittaessa rajata tai poistaa käsittelyä.

Käytännössä suostumusta kerätään usein opt-in-lähestymistavalla esimerkiksi verkkolomakkeissa, ja sen voimassaoloa sekä tarkoituksia hallitaan tallentamalla asianmukaiset merkinnät.