Tiedonhallintalain 17 §:n mukaan viranomaisen on huolehdittava, että sen tietojärjestelmien käy-töstä ja niistä tehtävistä tietojen luovutuksista kerätään tarpeelliset lokitiedot, jos tietojärjestelmän käyttö edellyttää tunnistautumista tai muuta kirjautumista. Lokitietojen käyttötarkoituksena on tietojärjestelmissä olevien tietojen käytön ja luovutuksen seuranta sekä tietojärjestelmän teknisten virheiden selvittäminen.
Tiedonhallintalain mainitun lainkohdan perustelujen mukaan lokitietojen keräämisen tarkoitukse-na ja perusteena on toteuttaa viranomaisten tietojärjestelmien tietoturvallisuutta siten, että lokitie-tojen perusteella voidaan selvittää virhetilanteita ja valvoa tietojärjestelmien käyttöä muun muassa oikeusturvan toteuttamiseksi ja virkavastuun todentamiseksi. Katselulokitietojen keräämisen tar-koituksena on virkavastuun todentaminen tilanteissa, joissa esimerkiksi selvitetään salassa pidettä-vien tietojen antamista sivulliselle tai perusteetonta henkilötietojen katselua. Lokitietojen kerää-misen tarkoituksena voi olla myös tietosuojaan liittyvät syyt muun muassa rekisterinpitäjän osoi-tusvelvollisuuden toteuttamiseksi. Muun kuin tiedonhallintalaissa säädetyn tietosuojalainsäädän-nön neuvonnasta vastaa toimivaltaisena viranomaisena tietosuojavaltuutettu, joten tiedonhallinta-lautakunta ei anna muuhun tietosuojalainsäädäntöön perustuvaa lokitietojen keräämisen perusteita koskevaa ohjausta ja neuvontaa.
Tiedonhallintalautakunta viittaa tiedonhallintalain mainitun lainkohdan perusteluihin katselulo-kien (käyttölokien) keräämisestä, jossa todetaan seuraavaa: ”käyttölokitietojen keräämisen tarve tulisi arvioida puolestaan sillä perusteella, tarvitaanko niitä virheselvittelyjä varten tai yksilön etu-jen, oikeuksien ja velvollisuuksien sekä oikeusturvan toteuttamiseksi taikka virkavastuun todenta-miseksi. Erityisesti näistä näkökulmista tulisi arvioida käyttölokitietojen tarpeellisuutta, kun tieto-järjestelmässä käsitellään muita kuin salassa pidettäviä tietoja taikka tietoja, joilla voisi olla mer-kitystä yksilön oikeusturvan toteuttamisen näkökulmasta. Tarpeellisuusarviointiin vaikuttaa myös yleisessä tietosuoja-asetuksessa säädetyt vaatimukset teknisten ja organisatoristen toimenpiteiden toteuttamiseksi henkilötietojen suojaamiseksi. Lokitietoja ei tämän lain perusteella erikseen tarvit-si kerätä yleisesti tietoverkosta, esimerkiksi verkkosivustoilta, saatavista avoimista tietoaineistois-ta.”
Tiedonhallintalain perustelujen mukaan se, missä laajuudessa ja mitä lokitietoja kerätään, perustuu tarpeellisuusarviointiin. Lokitiedot voidaan jättää keräämättä, jos niiden keräämiselle ei ole tässä tai muussa säädöksessä tarkoitettua perustetta. Tarpeellisuusarvioinnin tekee se viranomainen (tai tietosuoja-asetuksessa tarkoitettu rekisterinpitäjä), jonka tietoaineistoja käsitellään tietojärjestel-mässä. Jos tietojärjestelmä on useamman viranomaisen yhteisesti käytettävä, voi tarpeellisuusarvi-oinnin tehdä se viranomainen, jonka vastuulle tietojärjestelmän tekninen ylläpito on säädetty yh-dessä tietojärjestelmää käyttävien viranomaisten kanssa. Tarpeellisuusarviointia ei voi tehdä tieto-järjestelmän toimittaja.
Tiedonhallintalautakunta pitää selvänä, että tietojen katselusta on kerättävä käyttölokitiedot, kun käsittelyn kohteena on salassa pidettävät tiedot. Niin ikään katseluista on syytä kerätä lokitiedot myös tilanteista, joissa on korkea riski siihen, että tietoja katsellaan vastoin tietojärjestelmään an-nettuja käyttöoikeuksia ja hyväksyttäviä käyttötarkoituksia. Henkilöstö- ja taloushallinnon tietojär-jestelmiin sisältyy tietoja, jotka ovat salassa pidettäviä tai niihin muuten voi liittyä riskejä lainvas-taisesta tietojenkäsittelystä.