Salassapidon kilpi

I. Yksittäinen tapaus pitää salata

Lapsen, potilaan tai perheen yksityisyyttä ei saa uhrata julkiselle uteliaisuudelle. Salassapito on sivilisaation osa, ei sen vihollinen.

Julkisuuslain 24 §, oppilas- ja opiskelijahuoltolain 20 § ja perustuslain 10 § muodostavat tähän vahvan, perustellun rakenteen. Yksilön henkilötietoja, perheen oloja, diagnostisia tietoja ja kurinpitomenettelyjen henkilökohtaisia perusteita ei pidä julkistaa. Tämä essee ei väitä mitään muuta. Se ei vaadi nimien julkistamista, ei oppilashuoltokertomusten avaamista, ei yksittäisten tapausten yksityiskohtia.

Mutta jos tapauksia salataan ilman, että tapaustyypin toistuvuutta tehdään näkyväksi, salassapito muuttuu suojaksi myös järjestelmälle, joka tuottaa samankaltaisia tapauksia uudelleen.

Ongelma ei ole salassapito, vaan salassapidon kilpi.

II. Salassapidon kilpi

Salassapidon kilpi on institutionaalinen tila, jossa perusteltu yksilönsuoja katkaisee julkisen näkyvyyden myös siltä rakenteelta, joka tuottaa samanlaisia tapauksia uudelleen.

Kilpi ei ole julkisuuslaissa. Kilpi syntyy, kun 24 §:n yksilönsuoja käytännössä peittää myös sen tiedon, jonka voisi tuottaa anonymisoituna aggregaattina julkisuusperiaatteen ja saman lain 20 §:n hengessä.

Erottelu on tärkeä. Julkisuusperiaate (PL 12 §) ja julkisuuslain 20 § asettavat viranomaiselle aktiivisen velvoitteen tuottaa ja jakaa tietoa toiminnastaan. Saman lain 24 § erottaa siitä yksilönsuojan perusteet. Onnistuneesti anonymisoitu aggregaattitieto ei ole yksilötietojen julkistamista. Jos tunnistettavuus on poistettu peruuttamattomasti eikä muu salassapitoperuste estä julkaisua, se kuuluu julkisuusperiaatteen ja 20 §:n hengen mukaiseen viranomaistiedottamiseen.

Yksittäinen tapaus pitää salata. Tapaustyypin toistuvuus pitää tehdä näkyväksi.

Salassapito suojaa yksilöä. Aggregaation puute suojaa instituutiota.

III. Kouluväkivalta: tieto on, julkista indikaattoria ei

Kouluväkivallassa salassapidon ja näkyvän tiedon raja on lain mukaan terävä, mutta käytännössä huonosti tunnettu.

Aina salassa: oppilaan henkilötiedot, perheen olosuhteet, diagnoosit ja tukitarpeet, oppilashuoltokertomukset, yksittäisten kurinpitopäätösten henkilökohtaiset perustelut. Lakirakenne on selvä ja perusteltu.

Jo julkista aggregaattina: THL:n Kouluterveyskysely kerää oppilaiden omakohtaisia kokemuksia kiusaamisesta ja väkivallasta. Opetushallituksen TEAviisari kuvaa terveydenedistämisaktiivisuutta: onko koululla ajantasaiset suunnitelmat paperilla. Sotkanetistä saa kuntatason indikaattoreita.

Kouluterveyskysely kertoo kokemuksista. TEAviisari kertoo prosessivalmiudesta. Salassapidon kilven kysymys on kolmas: missä on operaatiotason tapahtuma- ja vastausdata?

Tietoa on jo useissa järjestelmissä, mutta ei yhtenäisenä julkisena indikaattorina. Wilma-merkintöjen kategorioita (kurinpito, fyysinen aggressio), työsuojelun poikkeamailmoituksia opettajien ja muun henkilöstön kohtaamasta väkivallasta, valvontaviranomaisten ratkaisuja, opetuksen keskeytymisiä ja tilanteesta poistamisia. Kilpi syntyy siitä, ettei näistä muodosteta anonymisoitua, vertailukelpoista ja vastausvelvoitteen laukaisevaa aggregaattia.

Kun koulun vastaus jokaiseen kysymykseen on »emme voi kommentoida yksittäistapauksia», seuraava kysymys ei ole »kertokaa nimet». Se on »missä on aggregaatti?»

Lyhyt silta lastensuojeluun: THL tuottaa jo arvokasta aggregaattia kunta- ja hyvinvointialuetasolla. Mutta kysymys säilyy myös siellä: millä tasolla toistuvuus muuttuu korjausomistajan velvoitteeksi eikä vain loputtomaksi tapaushallinnoksi?

IV. Mitä salassapidon kilpi ei tarkoita

Käsite ei tarkoita yksilötietojen julkistamista. Lapsen, perheen tai yksittäisen työntekijän tunnistetietoja ei tule esittää julkisesti. Tämä on tietosuojan vahva ydinsääntö, jonka oikeudellinen rakenne on kunnossa.

Käsite ei tarkoita pienkoulujen tunnistettavaksi tekemistä. Anonymisoinnissa on käytettävä kontekstista riippuvaa kynnystä – esimerkiksi vähintään k ≥ 5 (tilastollisessa tietosuojassa käytetty varovainen vähimmäiskynnys arkaluonteiselle datalle), joissain tilanteissa tiukempaa. Jos aggregaatti voi tunnistaa yksilön, se ei ole aggregaatti tässä merkityksessä.

Käsite ei tarkoita tietosuojan tai perustuslain 10 §:n heikentämistä, ei vanhempien “oikeutta tietää kaikki tapahtuneesta”, ei opettajien tai sosiaalityöntekijöiden syyttämistä. Kysymys on viranomaisen julkisuusperiaatteen mukaisen tiedonantovelvoitteen käytöstä, ei kentän suorituksesta.

Käsite ei myöskään ole sama kuin hiljainen valtio. Hiljainen valtio on ihmistason itsesensuuria: virkamies tietää muttei puhu. Salassapidon kilpi on datasysteemitason rakenteellinen sokaisu: data on tietojärjestelmissä, mutta se ei nouse anonymisoituna aggregaattina julkiseen näkyvyyteen, vaikka laki sallisi sen.

V. Miksi kilpi syntyy

Esseen rakennuspalikat ovat tunnettuja.

Suomalainen julkisuusoikeus on vuosikymmeniä erottanut yksilönsuojan perusteet siitä, mitä viranomaisen toiminnasta on tehtävä julkiseksi. Julkisuusperiaatteen ja salassapitokategorioiden välinen jännite on keskeinen oppikirja-aihe. Anonymisointidoktriini on Tietosuojavaltuutetun toimiston ja tilastoviranomaisten vakiintunutta käytäntöä. Mark Bovens (käsitelty tapaushallinnossa) erotti tilivelvollisuuden ja vastuun: muodollinen kirjausketju ei korvaa aineellista vastuuta. Onnettomuustutkintakeskus on rakentanut tähän logiikkaan oman lainsäädäntönsä.

Uutta on mekanismirealistinen rajaus: salassapito ei ole kilpi yksinään. Kilpi syntyy, kun yksilönsuoja yhdistyy aggregaattivajeeseen ja vastausvelvoitteen puutteeseen. Tämä yhdistelmä palvelee samaa puolustettavuuden varjotelosta, jolle vaimenninkerros rakentuu. Yksittäistapaus on suojattu, mikä mahdollistaa tapaushallinnon. Mutta myös järjestelmä on suojattu, koska kumpaakaan ei voi muuttaa nimetyksi syytökseksi. Muodollinen vastuu hoidetaan; aineellinen mekanismi jää pimentoon. Otkesin malli on todiste siitä, ettei tämä ole juridinen pakko vaan institutionaalinen valinta.

Kilpi on salassapidon ja aggregaattivajeen tuottamaa valikoivaa näkyvyyttä.

VI. Korjaus: Otkes-malli ja ryväskynnys

Suomi on jo ratkaissut tämän logiikan yhdellä alueella.

Onnettomuustutkintakeskus tutkii vakavat onnettomuudet syyllisyys- ja vastuunjakokysymysten ulkopuolella, henkilötietoja ja salassa pidettäviä tietoja suojaten. Sitten se julkaisee tutkintaselostuksen, josta on riisuttu tunnistettavat tiedot mutta jossa onnettomuuden mekanismi, syy ja rakenteellinen vika kuvataan kirurgisella tarkkuudella. Otkes osoittaa, että yksilönsuoja ja julkinen mekanismikuvaus eivät ole loogisia vastakohtia. Syyllistäminen voidaan jättää ulos, mutta mekanismi voidaan silti kuvata.

Sama logiikka on toteutettavissa kouluissa, oppilashuollossa ja muissa salassapidon kilven peittämissä rakenteissa. Kolme rakennetta tarvitaan yhtäaikaisesti.

Anonymiteettikynnys ja ryväskynnys. Julkaisu vain kynnyksen yli – esimerkiksi vähintään k ≥ 5, tiukempi jos uudelleentunnistamisen riski sitä vaatii – lukukausi- tai vuositasoisina aggregaatteina. Anonymiteettikynnys ei ole mekanismitarkastelun kynnys. Se on julkisen raportoinnin kynnys. Vakava yksittäistapaus voi käynnistää luottamuksellisen mekanismitarkastelun, vaikka julkinen luku tuotetaan vasta karkeammalla tasolla tai viiveellä.

Pakollinen operaatiotason aggregaatti. Wilma-merkintöjen kategoriat, työsuojelun poikkeamailmoitukset, Lupa- ja valvontaviraston (aiemmin aluehallintovirastojen) ratkaisut, vastausajat ja käsittelemättömät tapaukset koulu- ja kuntakohtaisesti, anonymiteettikynnyksen sallimissa rajoissa. Datan osia on jo tietojärjestelmissä; puuttuva osa on yhtenäinen luokittelu, anonymisointi ja julkaisuputki.

Vastausvelvoite. Jos aggregaattikynnys ylittyy, nimetyn elimen on julkisesti vastattava: mitä on muutettu toimintatavoissa, henkilöstössä, kynnyksissä, sijoittelussa tai valvonnassa? Velvoite »ottaa huomioon» on liian heikko. Vähimmäistaso on velvoite tehdä julkinen päätös: muuttaa mekanismia tai perustella, miksi sitä ei muuteta. Sivilisaation tasolla vastaava funktio on mekanismivirasto.

Salassapito säilyy. Kilpi poistuu.

VII. Päätös

Yksittäisen lapsen nimeä ei tarvitse tietää. Mutta jos sama vahinko toistuu, yhteiskunnan pitää tietää, että se toistuu.

Tapaus pysyy salassa. Toistuvuuden pitää tulla näkyviin.