Toukokuussa 2018 voimaan astuva GDPR (General Data Protection Regulation) eli EU:n tietosuoja-asetus on ollut tapetilla jo toista vuotta, mutta monille sen sisältö ja mukanaan tuomat muutokset ovat vielä kysymysmerkki. Tässä kirjoituksessa avaamme hiukan tietosuoja-asetusta ja sitä, miten sen voimaantulo tarkoittaa niin yritysten kuin yksityishenkilöidenkin kannalta.
Terminologiaa
GDPR = General Data Protection Regulation, tietosuoja-asetus
Henkilötieto = tieto, jonka perusteella henkilö voidaan yksilöidä, kuten nimi, osoite, puhelinnumero, syntymäaika, käyttäjätunnus, salasana ja IP-osoite
Rekisterinpitäjä = taho, joka vastaa henkilötietorekisteristä, esim. yritys, viranomainen tai laitos
Henkilötietojen käsittely = kaikenlaiset henkilötietoihin automaattisesti tai manuaalisesti kohdistettavat toimet, kuten henkilötietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen, luovuttaminen ja poistaminen
Henkilötietojen käsittelijä = taho, joka käsittelee henkilötietoja rekisterinpitäjän toimeksiannosta, esim. digitaalisten palveluiden toimittajat
GDPR:n tavoitteet
Uuden tietosuoja-asetuksen tavoitteena on
- yhtenäistää tietosuojakäytäntöjä kaikissa EU-maissa
- parantaa henkilötietojen suojaa ja lisätä yksityishenkilöiden oikeuksia omiin tietoihinsa
- vastata digitalisaatioon ja globalisaatioon liittyviin tietosuojakysymyksiin
- edistää digitaalisten sisämarkkinoiden kehittymistä.
Lähtökohtaisesti tietosuoja-asetusta tullaan soveltamaan kaikkeen henkilötietojen käsittelyyn, ja sitä voidaan myös täydentää ja täsmentää kansallisella lainsäädännöllä.
Yrityksille velvoitteita, kuluttajille oikeuksia
Vaikka yrityksille GDPR tuo lisää velvoitteita, yhdenmukaisen lainsäädännön ansiosta palveluiden tarjoaminen Euroopan Unionin alueella helpottuu. Yrityksillä on osoitusvelvollisuus eli niiden on pystyttävä osoittamaan, että ne ovat huolehtineet henkilötietojen käsittelyn eri osa-alueista, kuten lainmukaisuudesta ja läpinäkyvyydestä, käyttötarkoitussidonnaisuudesta sekä eheydestä ja luottamuksellisuudesta.
Käytännössä tämä tarkoittaa, että useimpiin yrityksiin on nimettävä tietosuoja-asioista vastaava henkilö ja laadittava rekisteri- ja tietosuojaselosteet, joista käy ilmi, mitä henkilötietoja kuluttajista tallennetaan ja mihin tarkoitukseen niitä käytetään.
Paikalliset tietosuojaviranomaiset valvovat asetuksen noudattamista, ja sen noudattamatta jättämisestä voidaan rankaista jopa 20 miljoonan euron sakoilla, joten muutokseen on syytä paneutua.
Kuluttajien kannalta henkilötietojen käsittely muuttuu läpinäkyvämmäksi; kuluttajilla on jatkossa oikeus tarkistaa, mitä tietoja heistä on tallennettu esimerkiksi verkkopalveluihin, ja tulla myös unohdetuksi eli pyytää henkilötietojen poistamista eri rekistereistä.
Muistilista rekisterinpitäjille
Tietosuoja-asetukseen valmistautuminen kannattaa aloittaa mahdollisimman pian, sillä toukokuu on täällä ennen kuin huomaatkaan!
- Selvitä, onko organisaatioosi nimettävä tietosuojavastaava. Jos esimerkiksi kohdistat mainontaa kuluttajien verkkokäyttäytymisen perusteella, tietosuojavastaava on nimettävä.
- Selvitä, miten ja millä perusteilla henkilötietoja käsitellään organisaatiossasi, ja dokumentoi prosessi.
- Arvioi henkilötietojen käsittelyyn liittyvät riskit ja selvitä, miten ne voitaisiin minimoida.
- Huolehdi tietoturvasta ja valmistaudu tiedottamaan mahdollisista tietoturvauhista.
- Jos organisaatiosi on ulkoistanut henkilötietojen käsittelyyn liittyviä tehtäviä, varmista, että sopimukset vastaavat asetuksen ehtoja.
Lähteitä:
Miten valmistautua EU:n tietosuoja-asetukseen?
Tietosuojatieto
GDPR ja osoitusvelvollisuus
GDPR (General Data Protection Regulation) eli toukokuussa 2018 voimaan astuva EU:n uusi tietosuoja-asetus tuo mukanaan muutoksia henkilötietojen käsittelyyn. Rekisterinpitäjien eli henkilötietorekisteristä vastaavien tahojen kannalta yksi keskeisimmistä uudistuksista on osoitusvelvollisuus. Mutta mitä se sitten käytännössä tarkoittaa?
Henkilötietojen käsittelyn periaatteet
Uuden tietosuoja-asetuksen myötä rekisterinpitäjille asetetaan seuraavat henkilötietojen käsittelyä koskevat vaatimukset:
- Henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi.
- Ne on kerättävä nimenomaista ja laillista käyttötarkoitusta varten eikä niiden myöhempi käsittely saa olla alkuperäisten käyttötarkoitusten vastaista.
- Tietojen käsittelyssä on noudatettava tietojen minimoinnin periaatetta eli tietojen on oltava asianmukaisia ja rajoitettu niihin tarkoituksiin, joihin niitä kerätään.
- Tietojen on oltava täsmällisiä eli käsittelyn tarkoituksen kannalta epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan.
- Tiedot säilytetään vain niin kauan kuin on tarpeen käyttötarkoituksen kannalta tarpeen.
- Henkilötietojen eheys ja luottamuksellisuus on taattava riittävillä tietoturvatoimenpiteillä.
Läpinäkyvyyttä osoitusvelvollisuudella
Osoitusvelvollisuus tarkoittaa, että rekisterinpitäjien on pystyttävä osoittamaan, että he noudattavat edellä mainittuja henkilötietojen käsittelyn periaatteita. Jatkossa rekisterinpitäjillä on siis oltava mustaa valkoisella siitä, millä tavalla he huolehtivat henkilötietojen käsittelyn eri osa-alueista, mikä puolestaan tarkoittaa aiempaa tarkempaa suunnittelua ja dokumentaatiota.
Tapoja osoittaa periaatteiden noudattaminen ovat muuan muassa tietosuojaseloste sekä tietotilinpäätös.
Tietosuojaseloste
Rekisterinpitäjien on laadittava seloste, joka pidetään nähtävillä rekisterinpitäjän verkkosivuilla.
Tietosuojaselosteesta käyvät ilmi seuraavat tiedot:
- Rekisterinpitäjä
- Yhteyshenkilö rekisteriasioissa
- Rekisterin nimi
- Henkilötietojen käsittelyn tarkoitus
- Rekisterin tietosisältö
- Säännönmukaiset tietolähteet
- Tietojen säännönmukaiset luovutukset
- Tietojen siirto EU:n tai ETA:n ulkopuolelle
- Rekisterin suojauksen periaatteet
- Tarkastusoikeus
- Oikeus vaatia tiedon korjaamista
- Muut henkilötietojen käsittelyyn liittyvät oikeudet
Tutustu Kanavan tietosuojaselosteeseen.
Tietotilinpäätös
Tietotilinpäätös on organisaation laatima raportti, jossa tarkastellaan muun muassa organisaation sisäisen tietojenkäsittelyn nykytilaa. Sen tarkoituksena on toimia dynaamisena työkaluna ja lisätä sidosryhmien ja asiakkaiden luottamusta organisaatiota menettelytapoja kohtaan.
Tietotilinpäätös voi sisältää esimerkiksi seuraavat tiedot:
- Organisaation tietovarannot
- Tietoarkkitehtuuri
- Organisaation hallussa olevien tietojen laatu ja käytettävyys
- Tietojen käsittelyn ja suojauksen periaatteet
- Tietojen käytön valvonta
- Rekisteröityjen oikeudet
Vaikka tietotilinpäätöksen laatiminen vie aikaa, sen tuomat edut palvelevat sekä organisaation sisäistä että ulkoista viestintää.
Lue myös: GDPR – EU:n tietosuoja-asetus