Erityiset henkilötietoryhmät, rikostuomiot ja henkilötunnus
Erityisten henkilötietoryhmien käsittelyä koskeva sääntely on muita henkilötietoja tiukempaa. Lähtökohtaisesti kaikkien erityisten henkilötietojen käsittely on kiellettyä. Tällaisia ovat:
tiedot, joista ilmenee rotu tai etninen alkuperä
tiedot, joista ilmenee poliittinen mielipide, uskonnollinen tai filosofinen vakaumus taikka ammattiliiton jäsenyys
geneettiset tai biometriset tiedot, joita käsitellään henkilön yksiselitteistä tunnistamista varten
terveyttä koskevat tiedot
seksuaalinen käyttäytyminen tai suuntautuminen.
Erityisiä henkilötietoja voidaan käsitellä lähtökohtaisesti vain rekisteröidyn nimenomaisella suostumuksella tai muulla tietosuoja-asetuksessa säädetyllä perusteella. Tällaisia ovat esimerkiksi käsittely erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, käsittely oikeusvaateen esittämiseksi, puolustamiseksi tai ratkaisemiseksi sekä tietojen käsittely historiallista tai tieteellistä tutkimusta tai tilastointia varten. Henkilötietojen käsittelyn tulee lisäksi aina olla tarpeellista ja asiallisesti perusteltua.
Lisäksi esimerkiksi rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely on sallittua vain viranomaisen valvonnassa tai silloin, kun se sallitaan EU:n jäsenvaltion lainsäädännössä. Kansallisessa lainsäädännössä on todettu, että kyseisiä tietoja voi käsitellä esimerkiksi, jos tällaisten tietojen käsittely on tarpeen oikeusvaateen selvittämiseksi, laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi, kun vakuutuslaitokset käsittelevät tietoja vastuun selvittämiseksi tai kun alaikäisten kanssa työskentelemään valittavien henkilöiden rikostaustaa selvitetään.
Myös henkilötunnusten keräämiselle on tavallista tietojenkeruuta tiukemmat edellytykset. Henkilötunnuksen kerääminen on perusteltua muun muassa luotonannossa, terveydenhuollossa ja työsuhteessa. Myös tietosuojavaltuutettu on antanut kannanottoja niistä tilanteista, joissa henkilötunnuksen saa kerätä. Vaikka rekisterinpitäjä olisikin oikeutettu käsittelemään henkilötunnusta, on hänen tällöin huolehdittava esimerkiksi siitä, että henkilötunnusta ei merkitä turhaan rekisterin perusteella tulostettuihin asiakirjoihin.