OHJEITA TIETOSUOJA ASETUKSEN SOVELTAMISESTA

Transkriptio

1 Elinkeino ja työmarkkinatiedote 9/ TO OHJEITA TIETOSUOJAASETUKSEN SOVELTAMISESTA INFRA ry on laatinut jäsentensä käyttöön materiaalia tietosuojaasetuksen soveltamisesta. 1. Kysymyksiä ja vastauksia tietosuojaasetuksesta Tähän on koottu maa ja vesirakennusalan yrityksen kannalta keskeisiä asioita tietosuojaasetuksesta ja sen soveltamisesta käytännössä. 2. Tietosuojaselostelomake Lomakkeella voit laatia yrityksen henkilötietorekistereistä tietosuojaselosteen ja osoittaa noudattavasi tietosuojaasetusta. 3. Malli tietosuojaselosteesta/työntekijärekisteri Tämä on esimerkki työntekijärekisterin tietosuojaselosteesta, johon on täytetty esimerkkikirjauksia. Rekisteriseloste on täytettävä siten, että se vastaa rekisterinpitäjän toimintaa ja henkilötietojen käsittelyä, tallentamista ja säilyttämistä. Esitetyt tekstit ovat mallitekstejä ja jokaisen rekisterinpitäjän on kirjattava rekisteriä koskevat tiedot vastaamaan todellista tilannetta. Näitä mallitekstejä ei ole tarkoitettu käytettäväksi sellaisenaan, vaan niitä on muokattava tarpeen mukaan. 4. Malli tietosuojaselosteesta/asiakasrekisteri Tämä on esimerkki asiakasrekisterin tietosuojaselosteesta, johon on täytetty esimerkkikirjauksia. Rekisteriseloste on täytettävä siten, että se vastaa rekisterinpitäjän toimintaa ja henkilötietojen käsittelyä, tallentamista ja säilyttämistä. Esitetyt tekstit ovat mallitekstejä ja jokaisen rekisterinpitäjän on kirjattava rekisteriä koskevat tiedot vastaamaan todellista tilannetta. Näitä mallitekstejä ei pidä käyttää sellaisenaan, vaan niitä on muokattava tarpeen mukaan. 5. Malli sopimuksesta, jolla rekisterinpitäjä ja henkilötietojen käsittelijä voivat sopia tietosuojaasetuksen edellyttämistä sopimusehdoista Tähän mallisopimukseen on kirjattu sopimusehtoja, joista on sovittava, mikäli rekisterinpitäjä on ulkoistanut tai ulkoistaa henkilötietojen käsittelyä, esimerkiksi yrityksen palkanlaskennan. Mikäli palkanlaskenta on ulkoistettu, työnantaja on rekisterinpitäjä ja tilitoimisto on henkilötietojen käsittelijä. Materiaali on laadittu tietosuojaasetuksen perusteella. Suomen kansalliseen lainsäädäntöön on tulossa muutoksia, jotka täsmentävät tietosuojaasetuksen sisältöä. Näistä muutoksista ei ole vielä tarkempaa tietoa. istamme tarkemmin, kun muutokset täsmentyvät ja muokkaamme myös näitä ohjeita tarvittavilta osin, mikäli kansallinen lainsäädäntö niin edellyttää. INFRA ry Ytunnus: Unioninkatu Helsinki infra@infra.fi LISÄTIETOJA Tiina Olin Lakimies puh tiina.olin@infra.fi

2 Liite 1 1 (11) KYSYMYKSIÄ JA VASTAUKSIA TIETOSUOJAASETUKSEN SOVELTAMISESTA Milloin tietosuojaasetusta pitää soveltaa? Tietosuojaasetusta sovelletaan lukien. Mitä ovat henkilötiedot? Henkilötiedoilla tarkoitetaan kaikkia luonnolliseen henkilöön (=ihminen) liittyviä tietoja. Henkilötietoja ovat esimerkiksi nimi, henkilötunnus, terveystieto, osoite tai sähköpostiosoite. Henkilötietoja eivät ole yrityksen tiedot tai yritykseen liittyvät tiedot, eivätkä tiedot, jotka eivät yksilöi ketään henkilöä. Mikä on henkilötietorekisteri ja milloin se muodostuu? Henkilötietorekisteri muodostuu, jos on olemassa henkilötietoja, joita tallennetaan, säilytetään tai käsitellään jotakin käyttötarkoitusta varten. Tietosuojaasetusta on noudatettava aina, kun tallennetaan, säilytetään tai käsitellään henkilötietoja riippumatta siitä, missä laajuudessa tai missä muodossa tietoja tallennetaan, säilytetään tai käsitellään. Henkilötietorekisteri voi olla sähköinen (esim. henkilötietojärjestelmä, palkkausohjelma, exceltaulukko) tai paperinen (esim. tiedot tallennettuna paperisena kansioon). Tietojen ei tarvitse olla yhdessä paikassa. Yhteen rekisteriin voi sisältyä tietoja, joista osa vaikkapa paperilla mapissa ja osa exceltaulukossa. Käytännössä yrityksessä muodostuu yleensä vähintäänkin työntekijärekisteri (riippumatta työntekijöiden lukumäärästä) sekä asiakasrekisteri (kuluttajaasiakkaiden tiedot ovat henkilötietoja, mutta myös yrittäjäasiakkaiden osalta voidaan kerätä henkilötietoja, esim. yrityksen yhteyshenkilön nimi ja yhteystiedot). Jos yrityksellä on esimerkiksi sopimuksia, joissa on asiakastietoja, nämä muodostavat rekisterin riippumatta siitä, miten ja mihin tiedot on tallennettu, koska yrityksen toiminnan kannalta on käsiteltävä henkilötietoja (esim. kuluttajaasiakkaiden tilaukset). Miten tietosuojaasetukseen pitää valmistautua? Yrityksen on ennen varmistuttava, että henkilötietojen käsittely on tietosuojaasetuksen mukaista. Yrityksen on käytännössä selvitettävä henkilötietojen käsittelyn tämänhetkinen tilanne, jotta yritys pystyy arvioimaan, mitä sen on tehtävä, jotta henkilötietojen käsittely on tietosuojaasetuksen mukaista. INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

3 Liite 1 2 (11) Yrityksen on arvioitava tietosuojaasetuksen vaikutukset eli mietittävä, mitä tietosuojaasetuksen noudattaminen edellyttää. Yrityksen on noudatettava henkilötietojen käsittelyä koskevia periaatteita ja myös osoitettava, että niitä noudatetaan ja että henkilötietojen käsittely on kaikin puolin tietosuojaasetuksen mukaista. Osoittaminen edellyttää käytännössä henkilötietojen käsittelyn dokumentointia, sillä muutoin osoittaminen ei ole mahdollista. Yrityksen on myös arvioita riskit, joita henkilötietojen käsittelyyn liittyy, sekä varmistuttava tietoturvasta ja riittävästä suojatasosta. Yrityksen on lisäksi varauduttava tietoturvaloukkauksiin, mikä edellyttää käytännössä sen suunnittelua, mitä mahdollisessa tietoturvaloukkaustapauksessa tehdään. Rekisterinpitäjien ja henkilötietojen käsittelijöiden on pääsääntöisesti ylläpidettävä selostetta niiden vastuulla olevista käsittelytoimista, jotta voidaan osoittaa, että ne ovat asetuksen mukaisia. Selosteen on asetuksen mukaan oltava kirjallisessa muodossa ja se on pyydettäessä toimitettava viranomaiselle. Jotta käsittelyn tietosuojaasetuksen noudattaminen on osoitettavissa, rekisterinpitäjän on dokumentoitava esimerkiksi, miten ja mitä tietoja käsitellään. Käytännössä tietosuojaasetuksen noudattaminen voidaan osoittaa tekemällä rekisteriseloste henkilötietojen käsittelystä. Mitä pitää konkreettisesti tehdä? Selvitä, mitä henkilötietoja käsittelet. Selvitä, mitä henkilötietorekistereitä yrityksessäsi on olemassa. Varmistu, että käsittelet henkilötietoja tietosuojaasetuksen mukaisesti. Varmistu, että sinulla on peruste käsitellä henkilötietoja. Päivitä ja korjaa virheelliset henkilötiedot. Minimoi henkilötietojen käsittely. Säilytä henkilötietoja mahdollisimman lyhyen aikaa. Anna rekisteröidylle hänen pyytämänsä tiedot. Kartoita henkilötietojen käsittelyyn liittyvät riskit. Suojaa henkilötiedot. Varaudu ilmoittamaan tietoturvaloukkauksista. Tee seloste henkilötietojen käsittelystä. Jos henkilötietojen käsittely on ulkoistettu, huolehdi, että olet sopinut henkilötietojen käsittelijän kanssa tietosuojaasetuksen edellyttämät asiat. Kenen pitää laatia tietosuojaseloste? Tietosuojaasetuksen mukaan rekisterinpitäjien ja henkilötietojen käsittelijöiden on pääsääntöisesti ylläpidettävä selostetta sen vastuulla olevista käsittelytoimista, jotta voidaan osoittaa, että ne ovat asetuksen mukaisia. Tietosuojaseloste kannattaa aina laatia, jotta pystyy osoittamaan noudattavansa tietosuojaasetusta. INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

4 Liite 1 3 (11) Missä tietosuojaselostetta pitää säilyttää? Tietosuojaasetuksen pitää selosteen on asetuksen mukaan olla kirjallisessa muodossa ja se on pyydettäessä toimitettava viranomaiselle. Myös rekisteröidyllä on oikeus halutessaan saada tietää, miten henkilötietoja käsitellään. Voit säilyttää tietosuojaselostetta haluamassasi paikassa, kunhan se on helposti saatavilla ja tarvittaessa nähtävillä. Milloin yrityksen pitää nimetä tietosuojavastaava? Tietosuojaasetus ei velvoita kaikkia yrityksiä nimeämään tietosuojavastaavaa. Asetuksen mukaan rekisterinpitäjän tai käsittelijän pitää nimittää tietosuojavastaava ainakin seuraavissa tapauksissa: 1. kyseessä on viranomainen tai julkishallinnon elin lukuun ottamatta tiettyjä poikkeuksia; 2. rekisterinpitäjän tai käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laajuutensa ja/tai tarkoitustensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa; tai 3. rekisterinpitäjän tai käsittelijän ydintehtävät muodostuvat laajamittaisesta käsittelystä, joka kohdistuu asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin ja 10 artiklassa tarkoitettuihin rikostuomioita tai rikkomuksia koskeviin tietoihin. 9 artiklan mukaisia henkilötietoja ovat muun muassa rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys (huom: työnantajalla on oikeus käsitellä ammattiliiton jäsenyystietoa tilanteessa, jossa työntekijä on pyytänyt työnantajaa tilittämään ammattiliiton jäsenmaksun, eikä sillä ole merkitystä tietosuojavastaavaan nimeämiseen) sekä henkilön seksuaalinen suuntautuneisuus. Tämän kohdan mukaan henkilötietojen käsittelyn tulee olla laajamittaista ja yrityksen ydintehtävän pitää olla henkilötietojen käsittely, jotta tietosuojavastaava pitää nimetä. Tämänhetkisen tiedon mukaan tietosuojavastaavan nimittäminen ei ole tarpeen maa ja vesirakennusalan yrityksissä. Milloin henkilötietoja käsitellään lainmukaisesti? Henkilötietojen lainmukainen käsittely edellyttää muun muassa seuraavaa: Luonnollisten henkilöiden on tiedettävä, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin sekä selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Luonnollisille henkilöille on asetuksen mukaan tiedotettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää tällaista käsittelyä koskevia oikeuksiaan. Edellytyksenä henkilötietojen käsittelylle on, että henkilötiedot kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten. Henkilötietoja ei saa missään INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

5 Liite 1 4 (11) vaiheessa käsitellä tietyn, nimenomaisen ja laillisen tarkoituksen kanssa yhteensopimattomalla tavalla. Henkilötietojen keruun yhteydessä on määritettävä ja ilmoitettava varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset yksiselitteisesti ja lainmukaisesti. Henkilötietojen käyttötarkoituksen tulee olla tietty ja nimenomainen. Henkilötietoja ei siten voida kerätä varmuuden vuoksi tai mahdollista tulevaa käyttöä varten, vaan käyttötarkoitus tulee olla koko ajan olemassa ja perusteltavissa. Jos jotakin henkilötietoa ei tarvita tiettyä käyttötarkoitusta varten, sitä ei saa käsitellä. Esimerkiksi jos yrityksellä on asiakasrekisteri, johon kerätään henkilötietoja, tietojen pitää olla sellaisia, että niitä aidosti tarvitaan nimettyyn käyttötarkoitukseen. Mikä on lainmukainen peruste henkilötietojen tallentamiselle, säilyttämiselle tai käsittelylle? Henkilötietojen tallentamiselle, säilyttämiselle tai käsittelylle on oltava lainmukainen peruste. a) Henkilötietojen käsittely on lainmukaista, mikäli tietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Mikäli yrityksessä on työntekijöitä, työntekijöiden henkilötiedoista muodostuu työntekijärekisteri. Työnantaja saa kerätä ja käsitellä työntekijöiden henkilötietoja, koska ne ovat tarpeen esimerkiksi palkan maksamiseksi (työsopimuslaki) tai ennakonpidätyksen toimittamiseksi (ennakkoperintälaki). Muita lakisääteisiä velvoitteita voivat olla esimerkiksi työturvallisuuslain 52 b :n mukainen pääurakoitsijan velvollisuus pitää ajantasaista luetteloa yhteisellä rakennustyömaalla työskentelevistä työntekijöistä ja itsenäisistä työnsuorittajista. Ko. luettelosta muodostuu henkilötietorekisteri, sillä luetteloon on kirjattava muun muassa henkilö nimi, syntymäaika ja veronumero. Kyseessä ei ole työnantajan ylläpitämä työntekijärekisteri, sillä pääurakoitsijan on pidettävä luetteloa kaikista työmaalla työskentelevistä työntekijöistä työnantajasta riippumatta. Tällöin nämä tiedot muodostavat erillisen rekisterin. Verotusmenettelylain 15 b :ssä säädetään työmaan päätoteuttajan velvollisuudesta antaa työntekijöitä koskevia tietoja Verohallinnolle. Yhteisen rakennustyömaan pääurakoitsijan tai muun päätoteuttajan on toimitettava kuukausittain Verohallinnoille työmaalla työskentelevien työntekijöiden Verohallinnon määrittämät tarpeelliset yksilöinti ja yhteystiedot. Myös näiden tietojen osalta muodostuu erillinen rekisteri, kun pääurakoitsija tai päätoteuttaja kerää tiedot. Jokainen työmaalla työskentelevä yritys toimittaa pääurakoitsijalle tai päätoteuttajalla tiedot omista työntekijöistään, jotka työskentelevät ko. työmaalla. Jokainen yritys toimittaa siten tietoja, jotka yritys on rekisteröinyt omista työntekijöistään. Tietojen luovuttaminen on tällöin sallittua, koska se perustuu lakisääteiseen velvoitteeseen. INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

6 Liite 1 5 (11) b) Henkilötietojen käsittely on lainmukaista, jos se on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Henkilötietojen käsittely sopimuksen täytäntöönpanemiseksi on mahdollista esimerkiksi asiakastietojen osalta. Tietosuojaasetus koskee henkilötietoja, joten pelkästään yrityksen tiedoista ei synny henkilörekisteriä. Sen sijaan kuluttajaasiakkaiden asiakastiedot ovat henkilötietoja. Asiakastietojen rekisteröinti on tietosuojaasetuksen mukaan sallittua sopimuksen toimeenpanemiseksi. c) Henkilötietoja saa käsitellä, jos rekisteröity on antanut suostumuksensa henkilötietojen käsittelyyn. Suostumusta ei edellytä, jos kyse on yllä mainitusta lakisääteisistä velvoitteista tai sopimussuhteesta, joten tällöin ei tarvitse erikseen pyytää suostumusta henkilötietojen käsittelyyn. Sen sijaan jotta esimerkiksi markkinointirekisteriin voidaan kerätä henkilötietoja, tietosuojaasetus edellyttää rekisteröidyn suostumusta. Tietosuojaasetuksessa määritellään, että suostumus pitää antaa henkilötietojen käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Jos henkilötietojen käsittelyn perusteena on henkilön suostumus, rekisterinpitäjän on pystyttävä osoittamaan, että suostumus on olemassa. Suostumus on myös oltava yksilöitävissä ja voitava peruuttaa milloin tahansa. Suostumus on annettava selkeästi siten, että suostumuksesta ilmenee yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla henkilö hyväksyy henkilötietojensa käsittelyn. Asetuksessa mainitaan esimerkkinä, että rekisteröity voisi rastittaa ruudun vieraillessaan internetsivustolla tai muutoin selkeästi osoittaa, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Tämä tarkoittaa, ettei suostumukseksi kelpaa esimerkiksi se, että henkilö jättää ilmoittamatta, ettei halua henkilötietojaan käsiteltävän. Miten henkilötietoja saa kerätä ja säilyttää? Henkilötietojen käsittelyn periaatteena on tietojen minimointi, joka tarkoittaa, että henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Henkilötietoja ei siten saa käsitellä enempää eikä laajemmin kuin mitä käyttötarkoitus edellyttää. Ylimääräisiä henkilötietoja ei saa kerätä, käsitellä tai tallentaa, vaan jokaiselle kerättävällä henkilötiedolle on oltava perustelu. Työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

7 Liite 1 6 (11) Tarpeellisuusvaatimuksesta ei voida poiketa työntekijän suostumuksella, joten työntekijän kanssa ei voida sopia, että käsitellään sellaista henkilötietoa, jonka käytölle ei ole edellä mainittua perustetta. Työntekijöiden henkilötietojen osalta perusteltua on käsitellä esimerkiksi työntekijän nimeä, osoitetta (palkkalaskelman toimittaminen, matkakustannusten korvaaminen työehtosopimuksen mukaan), henkilötunnusta (ennakonpidätyksen toimittaminen, eläkevakuutusmaksut ym. työnantajavelvoitteet) tai terveydentilaa koskevia tietoja (sairausajan palkan maksaminen). Työnantajan on arvioitava tarpeellisuusvaatimusta jokaisessa yksittäistapauksessa erikseen ja että työnantajan on voitava perustella käsittelemiänsä tietojen tarpeellisuus välittömästi työsuhteen kannalta. Henkilötunnuksen käsittely työsuhteessa on perusteltua ja lainmukaista, mutta asiakassuhteissa henkilötunnuksen käsittelylle ei välttämättä ole perustetta. Henkilötietolain mukaan henkilötunnusta saa käsitellä rekisteröidyn yksiselitteisesti antamalla suostumuksella tai, jos käsittelystä säädetään laissa. Lisäksi henkilötunnusta saa käsitellä, jos rekisteröidyn yksiselitteinen yksilöiminen on tärkeää laissa säädetyn tehtävän suorittamiseksi tai rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi. Lisäksi henkilötunnusta saa käsitellä esimerkiksi luotonannossa, vakuutustoiminnassa tai vuokraustoiminnassa. Henkilötietojen käsittelyltä edellytetään, että käsiteltävien henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä. Rekisterinpitäjän on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Rekisteröidyllä on oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Mikäli on mahdollista järjestää, että rekisteröity pääsee suojattuun järjestelmään, jossa rekisteröity näkee henkilötietonsa, tämä mahdollisuus pitää tarjota. Rekisteröinniltä edellytetään, että rekisteröitävät henkilötiedot ovat oikein. Mikäli virheitä ilmenee, ne on korjattava. Rekisteröidyllä on oikeus vaatia, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat epätarkat ja virheelliset henkilötiedot. Henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Henkilötietojen käsittelyä on rajoitettava ajallisesti siten, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Rekisterinpitäjän on asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten sen varmistamiseksi, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. Työntekijän henkilötiedot on perusteltua säilyttää rekisterissä niin kauan kuin työntekijä voi esittää palkkasaavavaatimuksia. Kanneaika palkkasaatavissa on pääsääntöisesti kaksi vuotta työsuhteen päättymisestä, joten palkkakirjanpito ja siihen liittyvät henkilötiedot on perusteltua säilyttää kaksi vuotta INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

8 Liite 1 7 (11) työsuhteen päättymisestä. Verojen osalta puolestaan on viiden vuoden vanhentumisaika, joten mahdollista verotarkastusta tai muuta verotukseen liittyvää korjausta tai muutosta varten verotukseen liittyvät palkka ja henkilötiedot on säilytettävä viiden vuoden ajan. Työnantajalla on velvollisuus antaa työntekijälle työtodistus, jos sitä pyydetään 10 vuoden kuluessa työsuhteen päättymisestä. Siten perustiedot työsuhteesta on säilytettävä kymmenen vuoden ajan. Verohallinnolle työntekijätiedoista tiedonantovelvollisen on säilytettävä ne tiedot ja asiakirjat, joista tiedonantovelvollisuuden piiriin kuuluvia tietoja on saatavissa, kuuden vuoden ajan sen vuoden päättymisestä, jona työmaa valmistui. Työturvallisuuslain mukainen luettelo työmaalla työskentelevistä on niin ikään säilytettävä kuusi vuotta sen vuoden päättymisestä, jona työmaa valmistui. Asiakasrekisterissä olevien henkilötietojen osalta ei ole samanlaisia lakisääteisiä velvoitteita tietojen säilyttämiseen kuin työntekijätietojen osalta. Tällöin on mietittävä, mikä on kohtuullinen ja tarpeellinen aika. Jos asiakkaalle on annettu takuu, tiedot on perusteltua säilyttää vähintään takuun ajan. Mitä tietoja rekisteröidylle on tietosuojaasetuksen mukaan annettava? Kun rekisterinpitäjä kerää rekisteröidyltä häntä koskevia henkilötietoja, rekisterinpitäjän on toimitettava rekisteröidylle muun muassa seuraavat tiedot: rekisterinpitäjän tai tämän mahdollisen edustajan nimi ja yhteystiedot henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste henkilötietojen vastaanottajat tai vastaanottajaryhmät henkilötietojen säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit rekisteröidyn oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista jos henkilötietojen käsittely perustuu suostumukseen, oikeus peruuttaa suostumus milloin tahansa Mikäli henkilötietoja ei saada rekisteröidyltä itseltään, on ilmoitettava yllä mainittujen tietojen lisäksi muun muassa ketkä henkilötietoja vastaanottavat ja mistä henkilötiedot on saatu. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä seuraavat tiedot: käsittelyn tarkoitukset kyseessä olevat henkilötietoryhmät vastaanottajat tai vastaanottajaryhmät, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

9 Liite 1 8 (11) mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit rekisteröidyn oikeus pyytää rekisterinpitäjältä häntä itseään koskevien henkilötietojen oikaisemista tai poistamista tai henkilötietojen käsittelyn rajoittamista tai vastustaa tällaista käsittelyä oikeus tehdä valitus valvontaviranomaiselle jos henkilötietoja ei kerätä rekisteröidyltä, kaikki tietojen alkuperästä käytettävissä olevat tiedot Edellä luetellut tiedot on ilmoitettava tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa. Lisäksi säädetään, että tiedot on toimitettava selkeällä ja yksinkertaisella kielellä kirjallisesti tai sähköisesti. Tiedot voidaan antaa rekisteröidyn pyytäessä suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu. Miten henkilötiedot pitää suojata? Henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia. Rekisterinpitäjän on suunniteltava ja toteutettava asianmukainen tietojen suojaaminen. Sähköisiin järjestelmiin voi liittyä tietovuotoriskejä, mutta myös manuaalisiin aineistoihin voi liittyä riskejä, esimerkiksi varastamisen tai tuhoutumisen (esim. tulipalo) riski. Vielä suurempi riski voi liittyä luvattomaan käyttöön. Jos yrityksen toimistossa on esimerkiksi työntekijöiden työsopimuksia mapissa lukottomassa kaapissa, nämä ovat melko helposti muiden työntekijöiden tai vierailijoiden saatavilla. Tällaiset riskit pitää välttää ja siksi yrityksen tulee miettiä, miten tiedot suojataan. Rekisterinpitäjän pitää huomioida henkilötietojen käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset suhteessa riskeihin ja riskikartoituksen perusteella toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että henkilötietojen käsittelyssä noudatetaan tietosuojaasetusta. Rekisterinpitäjän on huolehdittava tietoturvasta, toteutettava tehokkaasti tietosuojaperiaatteita ja toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Erityisesti tulee varmistua, ettei henkilötietoja oletusarvoisesti saateta rajoittamattoman henkilömäärän saataville. Rekisterinpitäjän ja henkilötietojen käsittelijän on arvioitava riskit ja toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet. Tällaisia toimenpiteitä voivat olla henkilötietojen pseudonymisointi (=henkilötietojen käsitteleminen niin, että tietoja ei voida enää yhdistää tiettyyn INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

10 Liite 1 9 (11) rekisteröityyn käyttämättä lisätietoja) ja salaus, kyky taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus, kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa sekä menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi. Kun arvioidaan riskejä ja asianmukaista turvallisuustasoa, on huomioitava erityisesti, millaisia riskejä on, että henkilötiedot tuhoavat, häviävät tai muuttuvat tai että henkilötietoihin pääsee luvatta käsiksi. Rekisterinpitäjän ja henkilötietojen käsittelijän on varmistettava, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti. Käytännössä tällaisia toimenpiteitä voivat olla esimerkiksi salasanat, jotka vaaditaan, että henkilötietoja on mahdollista nähdä tai käsitellä. Lisäksi voidaan luoda järjestelmä, jossa näkyy, kuka käyttäjä on käyttänyt rekisteriä ja mitä siellä tehnyt. Näin voidaan lokitiedoista tarvittaessa selvittää mahdolliset väärinkäytökset. Henkilöstöä tulee myös opastaa ja kouluttaa ja yrityksessä tulee laatia ohjeet henkilötietojen käsittelystä. iden noudattamista pitää valvoa. Tietosuojaasetus edellyttää lisäksi, että henkilötietojen tietoturvaloukkauksesta ilmoitetaan valvontaviranomaiselle. Rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta toimivaltaiselle valvontaviranomaiselle. Ilmoituksen voi jättää tekemättä vain, jos henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Ilmoituksessa on vähintään kuvattava henkilötietojen tietoturvaloukkaus, ilmoitettava tietosuojavastaavan nimi ja yhteystiedot tai muu yhteyspiste, josta voi saada lisätietoa sekä kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset ja toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta, Mikäli henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän on lähtökohtaisesti ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä. Mitä pitää tehdä, jos henkilötietojen käsittely on ulkoistettu? Rekisterinpitäjällä tarkoitetaan yritystä tai muuta yhteisöä, joka rekisteröi henkilötietoja. Yritys on rekisterinpitäjä, jos sillä on esimerkiksi työntekijöitä tai se rekisteröi asiakastietoja. Mikäli yritys ulkoistaa esimerkiksi palkkahallinnon, palkkahallinnon palveluja tarjoava yritys on henkilötietojen käsittelijä. Rekisterinpitäjä saattaa myös ostaa esimerkiksi pilvipalvelun, jossa tietoja säilytetään. Vaikka henkilötietojen käsittely ulkoistetaan, INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

11 Liite 1 10 (11) vastuu henkilötietojen käsittelystä säilyy rekisterinpitäjällä. Rekisterinpitäjän lakisääteistä vastuuta ei voida ulkoistaa. Henkilötietojen käsittelijän (eli ulkoistetun palvelun suorittajan) suorittamasta henkilötietojen käsittelystä on sovittava kirjallisella sopimuksella. Sopimuksessa on a) yksiöitävä, mitä henkilötietojen käsittelyä ulkoistetaan ja keitä ja mitä tietoja ulkoistaminen koskee esim. ulkoistetaan palkanmaksu esim. koskee yrityksen työntekijöitä esim. ulkoistettavat tiedot ovat työntekijöiden henkilötunnukset ja yhteystiedot b) määriteltävä käsittelyn kesto milloin henkilötietojen käsittelijän oikeus tietojenkäsittelyyn alkaa ja päättyy c) velvoitettava henkilötietojen käsittelijä sitoutumaan käsittelemään henkilötietoja ainoastaan rekisterinpitäjän ohjeiden ja sopimusehtojen mukaisesti d) velvoitettava henkilötietojen käsittelijä salassapitoon ja samalla varmistettava, että henkilötietoja käsittelevät henkilöt (henkilötietojen käsittelijän työntekijät) sitoutuvat noudattamaan salassapitovelvollisuutta e) velvoitettava henkilötietojen käsittelijä toteuttamaan riittävät turvatoimet henkilötietojen suojaamiseksi esim. tietokoneiden virustorjunta, palomuurit ym. esim. toimitilojen kulunvalvonta esim. riittävät ja asiantuntevat resurssit f) sovittava, tarvitseeko tietojen käsittelijä rekisterinpitäjältä suostumuksen alihankkijan käyttämiseksi vai riittääkö jälkikäteinen ilmoitus. Jos jälkikäteinen ilmoitus riittää, rekisterinpitäjän on tarvittaessa voitava vastustaa alihankkijan käyttämistä Henkilötietojen käsittelijällä on vastuu käyttämästään alihankkijasta g) velvoitettava käsittelijä on avustamaan rekisterinpitäjää tämän vastatessa rekisteröityjen pyyntöihin esim. tilanteissa, joissa rekisteröidyt haluavat pääsyn omiin tietoihinsa h) velvoitettava käsittelijä auttamaan rekisterinpitäjää varmistamaan tiettyjen rekisterinpitäjän velvoitteiden, kuten tietojen poistopyynnön, noudattaminen i) sovittava henkilötietojen poistosta tai palautuksesta käsittelyyn liittyvien palveluiden päättyessä jollei muu lainsäädäntö edellytä tietojen säilyttämistä on sovittava joko, että henkilötietojen käsittelijä poistaa tai palauttaa kaikki henkilötiedot rekisterinpitäjälle ja poistaa olemassa olevat jäljennökset j) velvoitettava henkilötietojen käsittelijä ilmoittamaan tietoturvaloukkauksista rekisterinpitäjälle Sopimuksessa voidaan lisäksi sopia osapuolten vahingonkorvausvelvollisuudesta ja mahdollisista vastuunrajoituksista. INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

12 Liite 1 11 (11) Tietosuojaasetuksen edellyttämän sopimisen voi käytännössä toteuttaa sopimalla asiasta osapuolten välisessä palvelusopimuksessa. Mikäli osapuolten välillä on jo voimassa oleva sopimus, sopimukseen voidaan laatia henkilötietojen käsittelyä koskeva liite, jolloin muita sopimusehtoja ei tarvitse sopia uudestaan. INFRA ry Ytunnus: Puh Infra.fi Unioninkatu 14 Sposti: infra@infra.fi Infrakuntoon.fi Helsinki etunimi.sukunimi@infra.fi

13 Liite 2 TIETOSUOJASELOSTE REKISTERINPITÄJÄN NIMI JA YHTEYSTIEDOT Rekisterinpitäjän nimi Ytunnus Postiosoite Yhteyshenkilö Sähköpostiosoite Puhelin REKISTERIN NIMI KÄSITTELYN TARKOITUS JA PERUSTE REKISTERIN TIETOSISÄLTÖ SÄÄNNÖNMUKAISET TIETOLÄHTEET SÄILYTTÄMINEN JA KÄSITTELYN RAJOITTAMINEN

14 Liite 2 LUOVUTUS Henkilötietoja luovutetaan säännönmukaisesti, lisätiedot Tietoja siirretään EU:n tai ETA:n ulkopuolelle, lisätiedot KÄSITTELYYN LIITTYVÄT RISKIT REKISTERIN SUOJAUS Manuaalinen aineisto, miten suojattu Sähköinen aineisto, miten suojattu TARKASTUSOIKEUS JA OIKEUS VAATIA TIEDON KORJAAMISTA MUUT KÄSITTELYYN LIITTYVÄT OIKEUDET TIETOTURVA LOUKKAUKSISTA ILMOITTAMINEN

15 Liite 3 TIETOSUOJASELOSTE Tämä on esimerkki työntekijärekisterin tietosuojaselosteesta, johon on täytetty esimerkkikirjauksia. Rekisteriseloste on täytettävä siten, että se vastaa rekisterinpitäjän toimintaa ja henkilötietojen käsittelyä, tallentamista ja säilyttämistä. Esitetyt tekstit ovat mallitekstejä ja jokaisen rekisterinpitäjän on kirjattava rekisteriä koskevat tiedot vastaamaan todellista tilannetta. Näitä mallitekstejä ei ole tarkoitettu käytettäväksi sellaisenaan, vaan niitä on muokattava tarpeen mukaan. REKISTERINPITÄJÄN NIMI JA YHTEYSTIEDOT Rekisterinpitäjän nimi Ytunnus Postiosoite Yhteyshenkilö Sähköpostiosoite Puhelin Rekisterinpitäjällä tarkoitetaan yritystä tai muuta yhteisöä, joka rekisteröi henkilötietoja. Yritys on rekisterinpitäjä, jos sillä on esimerkiksi työntekijöitä tai se rekisteröi asiakastietoja. REKISTERIN NIMI Työntekijärekisteri tai Henkilöstöhallinnon rekisteri Rekisterin voi nimetä haluamallaan tavallaan. Työntekijöiden henkilötiedoista voi muodostua esimerkiksi työntekijä- tai henkilöstöhallinnon rekisteri. Asiakastiedoista voi muodostua esimerkiksi asiakas- tai asiakkuusrekisteri. KÄSITTELYN TARKOITUS JA PERUSTE Henkilötietojen käsittelyn tarkoituksena on hoitaa lakisääteiset työnantajavelvoitteet. Henkilötietojen käsittely perustuu rekisterinpitäjän lakisääteisten velvoitteiden noudattamiseen. Henkilötietojen käsittelyn tarkoitus on esimerkiksi lakisääteisten työnantajavelvoitteiden hoitaminen tai asiakkuuksien hoitaminen. Tietosuoja-asetus edellyttää, että henkilötietojen käsittelyllä pitää olla jokin tietosuoja-asetuksessa määritelty peruste: Henkilötietojen käsittely on lainmukaista, mikäli tietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Henkilötietojen käsittely on lainmukaista, jos se on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Henkilötietoja saa käsitellä, jos rekisteröity on antanut suostumuksensa henkilötietojen käsittelyyn. REKISTERIN TIETOSISÄLTÖ Rekisteriin tallennetaan työntekijöiden nimi, henkilötunnus yhteystiedot tilinumero, palkkatiedot verotustiedot terveydentilatiedot Rekisterin tietosisältö pitää määritellä. Työntekijärekisterin sisältönä ovat esimerkiksi työntekijöiden nimet, yhteystiedot, tilinumerot, palkkatiedot, verotustiedot ja terveydentilatiedot. Asiakasrekisterin sisältönä ovat esimerkiksi asiakkaiden nimet ja yhteystiedot. Henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.

16 Liite 3 SÄÄNNÖNMUKAISET TIETOLÄHTEET Tiedot saadaan työntekijältä itseltään. Verotustiedot saadaan Verohallinnolta. Tiedot saadaan yleensä rekisteröidyltä itseltään. Mikäli tietoja hankitaan myös muualta, nämä tietolähteet on myös mainittava. SÄILYTTÄMINEN JA KÄSITTELYN RAJOITTAMINEN Henkilötietoja säilytetään sähköisessä palkkausjärjestelmässä. Työntekijöiden työsopimukset on tallennettu lukolliseen kaappiin, johon on pääsy vain henkilöillä, joilla on oikeus käsitellä henkilötietoja. Henkilötietoja käsitellään vain niin kauan kuin se on tarpeen. Henkilötietoja säilytetään niin kauan kuin työntekijä voi esittää palkkasaatavavaatimuksia (pääsääntöisesti kaksi vuotta työsuhteen päättymisestä) tai verotusta voidaan oikaista (viisi vuotta). Perustiedot työsuhteesta säilytetään 10 vuotta, koska sen ajan työntekijällä on lakisääteinen oikeus pyytää työtodistusta. Rekisterinpitäjän on määriteltävä, missä henkilötietoja säilytetään. Henkilötietojen käsittelyä on rajoitettava ajallisesti siten, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Rekisterinpitäjän on asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten sen varmistamiseksi, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. LUOVUTUS Henkilötietoja ei luovuteta säännönmukaisesti eikä siirretä EU:n tai ETA:n ulkopuolelle. Huom: jos palkanlaskenta ulkoistettu, tähän merkitään, että henkilötietoja luovutetaan säännönmukaisesti sekä määritellään, mitä tietoja ja kenelle. Esim: Palkanlaskenta on ulkoistettu XX Oy:lle. XX Oy:lle luovutetaan kaikki muut rekisteröidyt tiedot paitsi työntekijöiden terveydentilatiedot. Henkilötietoja ei siirretä EU:n tai ETA:n ulkopuolelle. Mikäli henkilötietoja luovutetaan, selosteessa on määriteltävä, kenelle ja mitä tietoja luovutetaan. Esimerkiksi jos palkanlaskenta on ulkoistettu, kyse on henkilötietojen luovuttamisesta. Henkilötietojen käsittelijän (eli ulkoistetun palvelun suorittajan) suorittamasta henkilötietojen käsittelystä on sovittava kirjallisella sopimuksella. Sopimuksessa on määriteltävä tietosuoja-asetuksen edellyttämät asiat. KÄSITTELYYN LIITTYVÄT RISKIT Henkilötietojen käsittelyyn ei liity merkittäviä tietoturvariskejä. Rekisterinpitäjä on varmistunut tietoturvasta suojaamalla rekisterit seuraavassa kohdassa luetelluilla tavoilla. Henkilötietojen käsittelijöitä on koulutettu ja ohjeistettu. Henkilötietoja käsittelevät vain henkilöt, joilla on siihen oikeus. Henkilötietoja käsittelevien henkilöiden kanssa on sovittu salassapidosta. Jotta rekisterinpitäjä voi toteuttaa asetuksen sisäänrakennettua ja oletusarvoista tietosuojaa ja muita asetuksessa säädettyjä velvollisuuksia, rekisterinpitäjän on tehtävä perusteellinen arvio henkilötietojen käsittelyyn liittyvistä riskeistä. Tietosuoja-asetuksessa riskeillä tarkoitetaan henkilötietojen käsittelystä rekisteröidylle mahdollisesti aiheutuvia fyysisiä, aineellisia tai aineettomia vahinkoja esimerkiksi silloin, kun käsittely saattaa johtaa syrjintään, identiteettivarkauteen tai petokseen, taloudellisiin menetyksiin tai sosiaaliseen vahinkoon. REKISTERIN SUOJAUS Manuaalinen aineisto suojattu: lukollinen kaappi ohjeistus kulunvalvonta Sähköinen aineisto suojattu: salasanat virustentorjunta

17 Liite 3 tietojen varmuuskopiointi Henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia. Rekisterinpitäjän tulee määritellä, miten rekisteri on suojattu. TARKASTUSOIKEUS JA OIKEUS VAATIA TIEDON KORJAAMISTA Rekisteröidyllä on oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista. Pyynnön voi tehdä sähköpostitse yrityksen yhteyshenkilölle xx@xx.fi Rekisteröidyllä on oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista. Rekiserinpitäjän tulee kertoa, mistä ja miten voi saada tiedon siitä, mitä tietoja rekisteröidystä on tallennettu ja miten tietoja voi oikaista tai poistaa. MUUT KÄSITTELYYN LIITTYVÄT OIKEUDET Rekisteröidyllä on tietosuojaasetuksen 77 artiklan mukainen oikeus tehdä valitus valvontaviranomaiselle, jos rekisteröity katsoo, että henkilötietojen käsittelyssä rikotaan tietosuojaasetusta. Tietosuoja-asetuksessa määritellään rekisteröidyn oikeus tehdä valitus valvontaviranomaiselle. Mikäli henkilötietojen käsittely perustuu rekisteröidyn suostumukseen (esim. markkinointirekisteri), rekisterinpitäjän tulee määritellä mm. rekisteröidyn oikeus tulla unohdetuksi eli oikeus tietojen poistamiseen sekä rekisteröidyn oikeus peruuttaa suostumuksensa henkilötietojen käsittelyyn. TIETOTURVA LOUKKAUKSISTA ILMOITTAMINEN Rekisterinpitäjä ilmoittaa mahdollisista tietoturvaloukkauksista tietosuojaasetuksen mukaisesti ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta toimivaltaiselle valvontaviranomaiselle. Ilmoituksessa kuvataan henkilötietojen tietoturvaloukkaus ja henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset ja toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta. Tietosuoja-asetus edellyttää, että henkilötietojen tietoturvaloukkauksesta ilmoitetaan valvontaviranomaiselle. Rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta toimivaltaiselle valvontaviranomaiselle.

18 Liite 4 TIETOSUOJASELOSTE Tämä on esimerkki asiakasrekisterin tietosuojaselosteesta, johon on täytetty esimerkkikirjauksia. Rekisteriseloste on täytettävä siten, että se vastaa rekisterinpitäjän toimintaa ja henkilötietojen käsittelyä, tallentamista ja säilyttämistä. Esitetyt tekstit ovat mallitekstejä ja jokaisen rekisterinpitäjän on kirjattava rekisteriä koskevat tiedot vastaamaan todellista tilannetta. Näitä mallitekstejä ei ole tarkoitettu käytettäväksi sellaisenaan, vaan niitä on muokattava tarpeen mukaan. REKISTERINPITÄJÄN NIMI JA YHTEYSTIEDOT Rekisterinpitäjän nimi Ytunnus Postiosoite Yhteyshenkilö Sähköpostiosoite Puhelin Rekisterinpitäjällä tarkoitetaan yritystä tai muuta yhteisöä, joka rekisteröi henkilötietoja. Yritys on rekisterinpitäjä, jos sillä on esimerkiksi työntekijöitä tai se rekisteröi asiakastietoja. REKISTERIN NIMI Asiakasrekisteri Rekisterin voi nimetä haluamallaan tavallaan. Työntekijöiden henkilötiedoista voi muodostua esimerkiksi työntekijä- tai henkilöstöhallinnon rekisteri. Asiakastiedoista voi muodostua esimerkiksi asiakas- tai asiakkuusrekisteri. KÄSITTELYN TARKOITUS JA PERUSTE Henkilötietojen käsittelyn tarkoitus on asiakkuuksien ja sopimusten hallinta ja sopimusvelvoitteiden hoitaminen. Henkilötietojen käsittely tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Henkilötietojen käsittelyn tarkoitus on esimerkiksi lakisääteisten työnantajavelvoitteiden hoitaminen tai asiakkuuksien hoitaminen. Tietosuoja-asetus edellyttää, että henkilötietojen käsittelyllä pitää olla jokin tietosuoja-asetuksessa määritelty peruste: Henkilötietojen käsittely on lainmukaista, mikäli tietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Henkilötietojen käsittely on lainmukaista, jos se on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Henkilötietoja saa käsitellä, jos rekisteröity on antanut suostumuksensa henkilötietojen käsittelyyn. REKISTERIN TIETOSISÄLTÖ Rekisteriin tallennetaan asiakkaiden nimi ja yhteystiedot Rekisterin tietosisältö pitää määritellä. Työntekijärekisterin sisältönä ovat esimerkiksi työntekijöiden nimet, yhteystiedot, tilinumerot, palkkatiedot, verotustiedot ja terveydentilatiedot. Asiakasrekisterin sisältönä ovat esimerkiksi asiakkaiden nimet ja yhteystiedot. Henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.

19 Liite 4 SÄÄNNÖNMUKAISET TIETOLÄHTEET Tiedot saadaan asiakkaalta tai sopimuskumppanilta. Tiedot saadaan yleensä rekisteröidyltä itseltään. Mikäli tietoja hankitaan myös muualta, nämä tietolähteet on myös mainittava. SÄILYTTÄMINEN JA KÄSITTELYN RAJOITTAMINEN Henkilötietoja säilytetään sähköisessä asiakasjärjestelmässä. Henkilötietoja käsitellään vain niin kauan kuin se on tarpeen. Rekisterinpitäjän on määriteltävä, missä henkilötietoja säilytetään. Henkilötietojen käsittelyä on rajoitettava ajallisesti siten, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Rekisterinpitäjän on asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten sen varmistamiseksi, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. LUOVUTUS Henkilötietoja ei luovuteta säännönmukaisesti eikä siirretä EU:n tai ETA:n ulkopuolelle. Mikäli henkilötietoja luovutetaan, selosteessa on määriteltävä, kenelle ja mitä tietoja luovutetaan. Esimerkiksi jos palkanlaskenta on ulkoistettu, kyse on henkilötietojen luovuttamisesta. Henkilötietojen käsittelijän (eli ulkoistetun palvelun suorittajan) suorittamasta henkilötietojen käsittelystä on sovittava kirjallisella sopimuksella. Sopimuksessa on määriteltävä tietosuoja-asetuksen edellyttämät asiat. KÄSITTELYYN LIITTYVÄT RISKIT Henkilötietojen käsittelyyn ei liity merkittäviä tietoturvariskejä. Rekisterinpitäjä on varmistunut tietoturvasta suojaamalla rekisterit seuraavassa kohdassa luetelluilla tavoilla. Henkilötietojen käsittelijöitä on koulutettu ja ohjeistettu. Henkilötietoja käsittelevät vain henkilöt, joilla on siihen oikeus. Henkilötietoja käsittelevien henkilöiden kanssa on sovittu salassapidosta. Jotta rekisterinpitäjä voi toteuttaa asetuksen sisäänrakennettua ja oletusarvoista tietosuojaa ja muita asetuksessa säädettyjä velvollisuuksia, rekisterinpitäjän on tehtävä perusteellinen arvio henkilötietojen käsittelyyn liittyvistä riskeistä. Tietosuoja-asetuksessa riskeillä tarkoitetaan henkilötietojen käsittelystä rekisteröidylle mahdollisesti aiheutuvia fyysisiä, aineellisia tai aineettomia vahinkoja esimerkiksi silloin, kun käsittely saattaa johtaa syrjintään, identiteettivarkauteen tai petokseen, taloudellisiin menetyksiin tai sosiaaliseen vahinkoon. REKISTERIN SUOJAUS Manuaalinen aineisto suojattu: lukollinen kaappi ohjeistus kulunvalvonta Sähköinen aineisto suojattu: salasanat virustentorjunta tietojen varmuuskopiointi Henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia. Rekiserinpitäjän tulee määritellä, miten rekisteri on suojattu. TARKASTUSOIKEUS JA OIKEUS VAATIA TIEDON KORJAAMISTA Rekisteröidyllä on oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista. Pyynnön voi tehdä sähköpostitse yrityksen yhteyshenkilölle xx@xx.fi Rekisteröidyllä on oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista.

20 Liite 4 Rekisterinpitäjän tulee kertoa, mistä ja miten voi saada tiedon siitä, mitä tietoja rekisteröidystä on tallennettu ja miten tietoja voi oikaista tai poistaa. MUUT KÄSITTELYYN LIITTYVÄT OIKEUDET Rekisteröidyllä on tietosuojaasetuksen 77 artiklan mukainen oikeus tehdä valitus valvontaviranomaiselle, jos rekisteröity katsoo, että henkilötietojen käsittelyssä rikotaan tietosuojaasetusta. Tietosuoja-asetuksessa määritellään rekisteröidyn oikeus tehdä valitus valvontaviranomaiselle. Mikäli henkilötietojen käsittely perustuu rekisteröidyn suostumukseen (esim. markkinointirekisteri), rekisterinpitäjän tulee määritellä mm. rekisteröidyn oikeus tulla unohdetuksi eli oikeus tietojen poistamiseen sekä rekisteröidyn oikeus peruuttaa suostumuksensa henkilötietojen käsittelyyn. TIETOTURVA LOUKKAUKSISTA ILMOITTAMINEN Rekisterinpitäjä ilmoittaa mahdollisista tietoturvaloukkauksista tietosuojaasetuksen mukaisesti ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta toimivaltaiselle valvontaviranomaiselle. Ilmoituksessa kuvataan henkilötietojen tietoturvaloukkaus ja henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset ja toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta. Tietosuoja-asetus edellyttää, että henkilötietojen tietoturvaloukkauksesta ilmoitetaan valvontaviranomaiselle. Rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta toimivaltaiselle valvontaviranomaiselle.

21 Liite 5 LIITE OSAPUOLTEN VÄLISEEN XXSOPIMUKSEEN OSAPUOLET XX XX Osapuolet sopivat henkilötietojen käsittelystä seuraavaa. 1. Henkilötietojen käsittely koskee seuraavaa henkilötietojen käsittelyä (mitä henkilötietojen käsittelyä ulkoistetaan, keitä ja mitä tietoja ulkoistaminen koskee) xx xx xx 2. Henkilötietojen käsittelijän oikeus tietojenkäsittelyyn alkaa xx.xx.xxxx ja päättyy xx.xx.xxxx. 3. Henkilötietojen käsittelijä sitoutuu käsittelemään henkilötietoja ainoastaan rekisterinpitäjän ohjeiden ja sopimusehtojen mukaisesti. 4. Henkilötietojen käsittelijä sitoutuu salassapitoon kaikkien henkilötietojen osalta. Henkilötietojen käsittelijän velvoitettava kaikki henkilötietoja käsittelevät henkilöt noudattamaan salassapitovelvollisuutta. 5. Henkilötietojen käsittelijän on toteutettava riittävät turvatoimet henkilötietojen suojaamiseksi. Suojaus on toteutettava seuraavasti: xx xx xx 6. Henkilötietojen käsittelijä tarvitsee rekisterinpitäjältä suostumuksen, jos se aikoo käyttää alihankkijaa henkilötietojen käsittelyssä. 7. Henkilötietojen käsittelijän on avustettava rekisterinpitäjää tämän vastatessa rekisteröidyn tietosuojaasetuksen määrittämiin pyyntöihin. Tämä tapahtuu seuraavasti: xx 8. Henkilötietojen käsittelijän on autettava rekisterinpitäjää varmistamaan tietosuojaasetusten mukaisten velvoitteiden toteuttaminen ja saatettava rekisterinpitäjän saataville tiedot, jotka ovat tarpeen velvoitteiden noudattamisen osoittamisesta varten. Tämä tapahtuu seuraavasti: xx 9. Sopimuksen päättyessä henkilötiedot on poistettava / palautettava rekisterinpitäjälle. Henkilötietojen käsittelijän on poistettava / palautettava kaikki henkilötiedot ja jäljennökset. Henkilötietoja on sallittua säilyttää ainoastaan, mikäli niiden säilyttämiseen on lakisääteinen peruste.