Maailma ja tietosuoja muutoksessa - Mitä tietosuojasta pitäisi osata

Transkriptio

1 Maailma ja tietosuoja muutoksessa - Mitä tietosuojasta pitäisi osata Reijo Aarnio tietosuojavaltuutettu Tietosuojavaltuutetun toimisto 1

2 MITÄ TIETOSUOJA TARKOITTAA? 2

3 SUOMEN PERUSTUSLAKI (731/1999) 10 Yksityiselämän suoja Jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla. Kirjeen, puhelun ja muun luottamuksellisen viestin salaisuus on loukkaamaton. Lailla voidaan säätää perusoikeuksien turvaamiseksi tai rikosten selvittämiseksi välttämättömistä kotirauhan piiriin ulottuvista toimenpiteistä. Lailla voidaan säätää lisäksi välttämättömistä rajoituksista viestin salaisuuteen yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavien rikosten tutkinnassa, oikeudenkäynnissä ja turvallisuustarkastuksessa sekä vapaudenmenetyksen aikana. 3

4 EU:N PERUSOIKEUSKIRJA LISSABONIN SOPIMUS II LUKU: VAPAUDET 7 artikla Yksityis- ja perhe-elämän kunnioittaminen Jokaisella on oikeus siihen, että hänen yksityis- ja perheelämäänsä, kotiaan sekä viestejään kunnioitetaan. 8 artikla Henkilötietojen suoja 1. Jokaisella on oikeus henkilötietojensa suojaan. 2. Tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. 3. Riippumaton viranomainen valvoo näiden sääntöjen noudattamista. 4

5 TIETOSUOJAVALTUUTETUN TOIMISTO PERUSKYSYMYS juridinen kiista PIDÄ HAUSKAA POIKIEN KANSSA, KULTA! - Teknologianeutraalisuus - Liikkumisvapaus - Yksityiselämän suoja - Omaisuuden suoja?? - Perusoikeuksien turvaaminen - Kokoontumis- ja yhdistymisvapaus - Sananvapaus ja julkisuusperiaate - Itsemääräämisoikeus - Oikeus henkilökohtaiseen vapauteen ja koskemattomuuteen 5

6 MITÄ YKSITYISYYS ON? MITÄ TIETOSUOJA TARKOITTAA? * Perustuslaki 10 => perusoikeus; poikkeuksista on säädettävä lailla * Oikeus vaikuttaa ja päättää itseään koskevien tietojen käsittelystä * Oikeus tietää tietojensa käsittelystä * Oikeus järjestää yksityiselämänsä ilman perusteetonta ulkopuolisten puuttumista; viestinnän luottamuksellisuus * Oikeus tulla arvioiduksi virheettömien ja tarpeellisten tietojen perusteella * Oikeus tulla kohdelluksi muiden perusoikeuksien mukaisesti (demokratia) * Oikeus saada tietoonsa perusteet, joihin automaattiset päätökset perustuvat * Oikeus luottaa tietoturvallisuuteen => turvaa muita oikeuksia * Oikeus saada apua ja neuvontaa itsenäisiltä viranomaisilta * Oikeus saada tieto viranomaisten asiakirjoista * Tahtotila: toisen herkkyystilaa on vaikea arvioida 6!

7 TIEDOLLISTEN PERUSOIKEUKSIEN PERHE * Oikeus yksityiselämän suojaan Perustuslaki 10 * oikeus elää ilman ulkopuolisten tarpeetonta puuttumista * oikeus ihmisarvoiseen kohteluun * oikeus kunniaan * yksilön itsemääräämisoikeus * yhdenvertaisuuden periaate * syrjintäkielto * oikeus saada tieto viranomaisten asiakirjoista * sananvapaus 7

8 Mihin näitä oikeuksia tarvitaan? Nämä oikeudet turvaavat:? 4 OIKEUKSIEMME PUOLUSTAMISEN 4 perusoikeuksiemme toteutumisen 4 ihmisarvoisen kohtelun 4 yksilön itsemääräämisoikeuden 4 kunnian 4 syrjimättömyyden 4 yhdenvertaisuuden kansalaisina 4 sananvapauden 4osallistumisen yhteiskunnalliseen päätöksentekoon!!!!! Hyvän elämänlaadun! 8

9 UUSIA OIKEUKSIA: - Oikeus mm. keskeyttää, vastustaa - Oikeus siirtää tiedot - Oikeus tunnistaa turvalliset verkkosivut - Oikeus luottaa tietoturvaan - Oikeus saada asia vireille, myös viranomaista vastaan - Oikeus tietää tietoturvaloukkauksista - Viranomaisten toimivalta paranee! 9

10 Huoneentaulu rekisteröityjen oikeuksista Oikeus saada läpinäkyvää informaatiota Silloin, kun henkilötiedot kerätään suoraan rekisteröidyltä Silloin, kun henkilötiedot kerätään muualta kuin rekisteröidyltä Oikeus saada pääsy tietoihin (tarkastusoikeus) Oikeus tietojen oikaisemiseen (virheen oikaisu) Oikeus tietojen poistamiseen ( oikeus tulla unohdetuksi ) Oikeus käsittelyn rajoittamiseen Oikeus siirtää tiedot järjestelmästä toiseen Vastustamisoikeus Automatisoidut yksittäispäätökset; profilointi mukaan luettuna Oikeus tulla informoiduksi henkilötietojen tietoturvaloukkauksista Lasten erityisasema Oikeus saada valvontaviranomaiselta apua Oikeus luottaa tietoturvaan 10

11 TIETOSUOJAN SUKUPOLVET TIETOSUOJADIREKTIIVI 46/95/EY Resitaali nro 2: Tietojenkäsittelyjärjestelmät on tehty palvelemaan ihmistä; järjestelmiä käytettäessä on kunnioitettava yksilöiden perusoikeuksia ja vapauksia heidän kansalaisuudestaan tai asuinpaikastaan riippumatta, erityisesti oikeutta yksityisyyteen, ja osallistuttava taloudelliseen ja sosiaaliseen kehitykseen, kaupan kehittämiseeen sekä yksilöiden hyvinvoinnin lisäämiseen. (Kts. Asetuksen resitaali 2) 1. SUKUPOLVI - perusoikeudet - EN-tietosuojasopimus - henkilörekisterilaki 2. SUKUPOLVI - tietojärjestelmät - tietosuojadirektiivi 46/95/EY - henkilötietolaki 3. SUKUPOLVI - digitaaliset sisämarkkinat - tietosuoja-asetus - TATTi-toimikunta? 11

12 PRIVACY BY DESIGN Päiv HENKILÖREKISTERI 3 3k JulkL JulkA 2 Arvioi oma toiminta 5-6 RISKIPERUSTEINEN LÄHESTYMISTAPA Aloitus 2 Tietoturvallisuus 32 PRIVACY BY DEFAULT HENKILÖTIETOLAKI Rekisterinpitäjän (3 4 k) henkilötietojen käsittelyn kuvaus ja lainmukaisuuden arviointi Käsittelyn tarkoitus 3 3-k & 6 Suunnittelu huolellisuus DPIA - PRIOR CONSULTING Ulkoistaminen k Vaitiolovelvollisuus 33 PROFILOINTI OSS Oikeus käsitellä 8, 12, 13, Käyttötarkoitussidonnaisuus 7 Rekisteriseloste 10 Mistä henkilötiedot kerätään 8, 9, Henkilötiedot 3 1 k, 9, Käytön hallinnointi 5 - KIRJANPITO - PSEUDONYYMIT - GENEETTISET, BIOMETR. Rekisteröidyn oikeudet Viranomaisilmoitukset Informointivelvollisuus 24 Luovutukset 8, (6 ) Nimeä vastuuhenkilö 5 TIETOSUOJAVASTAAVA YHDENMUKAISUUS- MEKANISMI Hävitä, arkistoi 12.2, 21, k RTBF - PORTABILITY - VASTUSTUS ACCOUNTABILITY Ulkomaille siirrot art. Kouluta, ohjeista 5 EDPB - SERTIFIKAATIT - AUDITOINNIT 12 PRIVACY SHIELD PIA DBN12 TIETOSUOJAVALTUUTETUN TOIMISTO

13 VIRANOMAISTEN SALASSAPIDETTÄVIEN TIETOJEN LUOVUTTAMINEN pyyntö / luovutus Tiedon luovuttaja EI (rekisterinpitäjä A) SOVELLETA, koska: Henkilötietolaki 8 4 mom viranomaisten tietojen luovuttaminen julkisuuslain mukaan (laki viranomaisten toiminnan julkisuudesta) henkilötietojen käsittely suunniteltava ja määriteltävä käyttötarkoitus (6 ) Oma-aloitteinen ilmoitusoikeus tai -velvollisuus LUOVUTUKSEEN SOVELLETAAN Laki viranomaisten toiminnan julkisuudesta salassapitosäännös - salassapidettävien tietojen luovuttamisen edellytykset * lainsäännös, suostumus, toimeksianto ERITYISLAKIEN SALASSAPITO- JA LUOVUTUS- SÄÄNNÖKSET esim L sosiaalihuollon asiakkaan asemasta ja oikeuksista - salassapito 14 - luovutus tiedonsaantioikeus L potilaan asemasta ja oikeuksista - salassapito ja luovutus Sekä muut erityislait Tiedon pyytäjä (rekisterinpitäjä B) Henkilötietolaki 8 ja tietojen vastaanottajalla tulee olla oikeus käsitellä saamiaan tietoja Esim. lakisääteinen tehtävä tai asiakassuhde henkilötietojen käsittely suunniteltava ja määriteltävä käyttötarkoitus (6 ) TIETOSUOJAVALTUUTETUN TOIMISTO,

14 ESIMERKKEJÄ LASTENSUOJELUN TIETOVIRROISTA Ilmoitusvelvollisuus henkeen ja terveyteen kohdistuvista rikosepäilyistä (RL 20L, vähintään 2 v) ja seksuaalirikosepäilyistä (RL 21L) POLIISI PÄIVÄKOTI KOULU TERVEYDEN- HUOLTO MUUT TAHOT Ilmoitusvelvollisuus henkeen ja terveyteen kohdistuvista ja seksuaalirikoksista LsL 25 d 3 mom mm. oma-aloitteiset ilmoitukset SaL 18.3 (lapsen etu tai väkivallan ehkäisy) LS-ilmoituksen tekovelvollisuus LsL 25 25c LS-ilmoitukset Tiedot LASTENSUOJELU Lastensuojelulla oikeus antaa ja saada tietoja SaL 16-18, 20 ilmoitus lapsen sijoituksesta ilmoitus ls-asiakkaan muutosta ja asiakirjat LsL 25 d SIJOITUS- KUNTA LsL 78 UUDEN KOTIKUNNAN LASTENSUOJELU SaL= Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista, LsL = lastensuojelulaki päiv

15 TOIMENPITEET REKISTERINPITÄJILLE: 1) Määrää tietosuojan isäntä; Tietosuojavastaava 2) Analysoi henkilötietovarastosi ja prosessit à eliminoi turhat 3) Tee riskiarvio; arvioi myös sopimuksesi (sopimustenhallinta) 4) Laadi toimintaohjeet ja ohjelmat eri tilanteiden varalta; esim. tietoturva, -vuodot, rekisteröidyn oikeudet jne. 5) Huolehdi tietoturvasta, käytä salauksia 6) Huolehdi henkilöstön osaamisesta 7) Valvo henkilötietojen käyttöä 8) Käytä henkilötietolakia apunasi 9) Tunnista muu lainsäädäntö 10) Luo sisäinen ja ulkoinen raportointijärjestelmä; LAADI TIETOTILINPÄÄTÖS 15

16 UUSI ULJAS TIETOSUOJA

17 EKOSYSTEEMI Prop. apps VERKKO (WEB) PALVELUT 3rd party apps Operating apps (Laite) hardware Verkko infra 17

18 KILPAILUN EDISTÄMINEN LÄHTÖKOHTANA: 1) 28 MS à 28 erilaista lainsäädäntöä 2) EU:n investointivaje erityisesti ICT:hen à tuottavuusvaje 3) Digitaalinen kaupankäynti on kasvanut hitaammin EU:ssa 4) EU:n uudistukset: - pääomamarkkina-unioni turvaamaan START UP:n rahoitusta - digitaalistrategia - sisämarkkinastrategia - tietosuojauudistus - yhdistetty työllisyyden ja teollisuuden DG:t DG kasvuksi (DG GROWTH) 18

19 MAISEMA 1. KULUTTAJANSUOJAN HARMONISOINTI - COM (2015) 634 Final Ehdotus digitaalinen sisältö 2. EU:N KAUPPALAIN HARMONISOINTI - COM (2015) 635 Final Ehdotus etämyyntisopimukset 3. TIETOSUOJAN HARMONISOINTI DIGITAALISTEN SISÄMARKKINOIDEN BUUSTAAMINEN 19

20 Mitä? 1. Entiset tietosuojaperiaatteet säilyvät 2. Asetuksessa joitakin uusia asioita: NÄITÄ YHDISTELLÄÄN - COMPLIANCE; ( sääntöjen noudattaminen ) - Asetuksessa mennään pitemmälle - ACCOUNTABILITY; 4 TIETOTILINPÄÄTÖS - Tilintekokykyisyys eli osoita että noudatat lakeja - PRIVACY BY DESIGN; (ennakkoon suunnitteleminen) - Henkilötietolain 6 - PRIVACY BY DEFAULT; (oletusarvoinen ja sisään-rakennettu) - Nyt kun kuluttaja asioi rekisterinpitäjän kanssa niin huolehtii esim. oman s-postin tietoturvasta. - Asetuksella rekisterinpitäjä velvoitetaan rakentamaan tietoturvallinen suojattu palvelu (nyt jo esim. pankit) 20

21 Mitä? - DATA BREACH NOTIFICATION; (tietoturvaloukkauksista ilmoittaminen) - Rekisterinpitäjän ilmoitusvelvollisuus valvontaviranomaiselle ja asiakkaalle - mm. tietomurto ja henkilörekisteririkos - VALVONTAVIRANOMAISTEN ROOLIN VAHVISTAMINEN; (viranomaisten toimivalta muuttuu) - TSV:lle mahdollisesti sakottamisoikeus, josta valitustie ensin kansallisesti ja aina EY-tuomioistuimeen asti - RIGHT TO BE FORGOTTEN; (oikeus unohtaa) - Esim. Facebook tyyppiset palvelut; oikeus itse myötävaikuttaa, että tiedot poistetaan - Voi olla haasteellista toteuttaa - RIGHT TO DATA PORTABILITY (oikeus tietojen siirtoon) - Rekisteröidyn oikeus viedä tiedot palveluntarjoajalta toiselle (esim. kanta-asiakasjärjestelmät) 21

22 Tiekartta 1) tuomioistuinten ratkaisukäytännöt 2) Verkkovalvontalaki 3) verkkovalvontalain valvonnan järjestäminen 4) Perustuslaki 5) ehdotus sähköisen viestinnän tietosuoja-asetukseksi (COM (2017) 10 final) - eprivacy 6) oikeusministeriön TATTI-työryhmä (yleinen tietosuoja-asetus, EU 2016/679 GDPR) 7) TATTI- työryhmän toimeksiannon (OM 1/41/2016) kohta normienpurkutalkoot/erityislainsäädäntö 8) tiedonhallinnan sääntelyn kehittämistä selvittävä työryhmä (VM/1709/ /2016) 22 22

23 Tiekartta 9) EU:n tietosuojadirektiivin (EU 2016/680) täytäntöönpano(om 21/41/2016) à 10) mm. poliisin henkilötietolain kokonaisuudistus 11) komission ehdotus toimielinten tietosuoja-asetukseksi 12) EDPB:n perustaminen; WP29; Press Release, Brussels, 16 January ) TATTI-työryhmän toimeksiannon kohta 2, kansallinen tietosuojaviranomainen, muoto ym. 14) digitaalisen sisämarkkinastrategian mukaisesti annettu komission esitys: (COM(2015)634) digitaalista sisältöä koskevaksi sääntelyksi 15) komission esitys (COM(2015)635) "digitaalista kauppaa koskevaksi laiksi 16) Privacy Shield (C(2016) 4176 final 17) asetusehdotus Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelimen perustamisesta (BEREC-asetus) COM(2016) 591 Final kts. U 68/2016 vp 23 23

24 TIEDOTUS JA OPETUS MEDIATAITOVIIKKO VIDEOT - Tietosuojaa meille kaikille (sisältää nettitestin) - Verkkokoulutuksen on toteuttanut Julkisen hallinnon tietohallinnon neuvottelukunta (JUHTA) ja sen asettama asiantuntijaryhmä: Valtiovarainministeriö, Suomen Kuntaliitto, oikeusministeriö, tietosuojavaltuutetun toimisto, Valtori sekä Viestintävirastossa toimiva Kyberturvallisuuskeskus - kohderyhmä:organisaation kaikki työntekijät sekä kansalaiset + Johdon ja esimiesten oma koulutusvideo OHJE REKISTERINPITÄJILLE KOTISIVUTIEDOTUS TIETOSUOJAVALTUUTETUN BLOGI TWITTER 24

25 TIEDOTUS JA OPETUS KOTISIVUTIEDOTUS ( tietosuojauudistus) EU:n tietosuojauudistus Ohjeita Ajankohtaista Kysymyksiä ja vastauksia Sanastoa Koulutukset Tietosuojavaltuutetun ratkaisut Tietosuojavaltuutetun blogi Tietosuoja-asetus Tietosuojadirektiivi Miten valmistautua tietosuoja-asetukseen? Miksi tietosuojalait muuttuvat? Tietosuoja-asetusta koskevat kysymykset 25

26 TIEDOTUS JA OPETUS KOTISIVUTIEDOTUS ( tietosuojauudistus/koulutukset) Verkkokoulutukset Arjentietosuoja.fi Liikenne- ja viestintäministeriön digitaalisen liiketoiminnan tietosuojafoorumi JUHTA-VAHTI-yhteishankkeen materiaalit avoimesti saatavilla suoratoistona: Tammikuu 2018 Julkisen hallinnon tietohallinnon neuvottelukunnan (JUHTA) työpaja Henkilötietojen käsittelyn oikeusperusteet ulkoisten tiedonantovelvoitteiden täyttäminen tietosuojan politiikat ja ohjeistukset. Menneiden työpajojen videotallenteet ja materiaalit Helmikuu 2018 Julkisen hallinnon tietohallinnon neuvottelukunnan (JUHTA) työpaja Henkilötietojen luovuttaminen tiedonhallintalain uudistus GDPR-itsearviointityökalun soveltaminen sekä käyttökokemukset ja kysymykset. Maaliskuu 2018 Julkisen hallinnon tietohallinnon neuvottelukunnan (JUHTA) työpaja Jatkuvuussuunnittelun peruskäsitteet ja määritelmät organisaation toimintaympäristö jatkuvuuden hallinnan johtaminen tietosuojan näkökulmasta jatkuvuuden hallintajärjestelmän suunnittelu. 26

27 KIITOS KUUNTELUSTA Lisätietoja: Reijo Aarnio tietosuojavaltuutettu Tietosuojavaltuutetun toimisto 27