Tietosuoja UKK usein kysytyt kysymykset. Mari-Ilona Korhonen tarkastaja tietosuojavaltuutetun toimisto

Transkriptio

1 Tietosuoja UKK usein kysytyt kysymykset Mari-Ilona Korhonen tarkastaja tietosuojavaltuutetun toimisto

2 Tietosuojavaltuutetun toimiston puhelinneuvonta Puhelinneuvonta palvelee tällä hetkellä ma-ke klo 9-16 Tarkoitus on tarjota kanava kysyä neuvoa matalalla kynnyksellä ottaa yhteyttä toimistoon yleisen neuvonnan saamiseksi Vastatut puhelut 1462 Vain yleistä ohjausta ja neuvontaa Ei oteta kantaa yksittäistapauksiin Kysymysten luonne muuttunut yhä enemmän laintulkintaan liittyviksi kysymyksiksi Tietosuoja-asetuksen vireille tulo vaikuttanut puhelinneuvontaan merkittävästi Huhti-kesäkuussa 2018 puheluiden määrä tuplaantunut Luonnollisten henkilöiden tietoisuus omista oikeuksista on kasvanut 0 Toimiston yleinen ruuhkautuminen näkynyt puhelinneuvonnassa Uusi lainsäädäntö ja tulkintakäytännöt Käsittelyaikojen tiedustelut 2

3 Usein kysyttyjä kysymyksiä puhelinneuvonnassa Rekisteröidyn tarkastusoikeus Rekisterinpitäjän informointivelvollisuus Rekisteröidyn tietosuojaoikeuksien toteuttaminen Tietoturvaloukkaukset Kameravalvonta Työelämän tietosuoja Rekisteriseloste, tietosuojaseloste, seloste käsittelytoimista 3

4 Tietosuojavaltuutetun toimiston verkkosivut Uudistettu kokonaan Oikopoluissa näytetään linkkejä sen mukaan, mitkä asiat ovat ajankohtaisia / mistä tulee paljon tiedusteluja Vanhoja henkilötietolain mukaisia ratkaisuja on viety Finlexiin et/tsv/ Vanhoja henkilötietolain mukaisia oppaita myös saatavilla tietosuojavaltuutetun sivuilta 4

5 5

6 Rekisteröidyn tarkastusoikeus oikeus saada pääsy tietoihin usein kysyttyä Ulottuuko tarkastusoikeus kaikkiin rekisterinpitäjän käsittelemiin henkilötietoihin? Yksittäiset muistiot, pöytäkirjat, sähköpostiviestit? Yksittäisen asiakirjan, pöytäkirjan julkisuus (esim. julkisuuslaki, asunto-osakeyhtiölaki) Oikeus saada tiedot tarkastusoikeuden nojalla maksuttomasti kerran vuodessa vai useammin? perusteettomuus, kohtuuttomuus, toistuvuus? Henkilötietolaki (523/1999) kumottu lukien 26 1 mom.: Jokaisella on salassapitosäännösten estämättä oikeus tiedon etsimiseksi tarpeelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja mom.: Rekisterinpitäjä saa periä tietojen antamisesta korvauksen vain, jos siitä, kun asianomainen edellisen kerran sai tarkastettavakseen rekisterin tiedot, on kulunut vähemmän kuin yksi vuosi. Perittävän korvauksen tulee olla kohtuullinen eikä se saa ylittää tiedon antamisesta aiheutuvia välittömiä kustannuksia. Tietosuoja-asetus (679/2016) sovellettu alkaen 15 art.: Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin.. 12 art. 5a kohta:..kaikki ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi.. periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset.. 6

7 Rekisterinpitäjän informointivelvollisuus usein kysyttyä Rekisterinpitäjän velvollisuus informoida rekisteröityä henkilötietojen käsittelystä artiklan mukaiset tiedot Oikeus saada tietää henkilötietojensa käsittelystä rekisteröidylle kuuluva oikeus Miten informointi tulee toteuttaa? Mitä tietoa informoinnin tulee pitää sisällään? Onko valmista lomaketta, jonka voi täyttää? 12 art. 1 mom. : Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Useimmin kysymys linkittyy henkilötietolain 10 :ssä säädettyyn rekisteriselosteeseen 7

8 Rekisteröidyn tietosuojaoikeuksien käyttäminen usein kysyttyä Henkilötietolaki (523/1999) kumottu lukien Tietosuoja-asetuksen 3 luvun mukaiset tietosuojaoikeudet (12-22 artiklat) Oikeus saada tietää henkilötietojensa käsittelystä Oikeus saada pääsy tietoihin Oikeus oikaista tietoja Oikeus poistaa ja tulla unohdetuksi Oikeus rajoittaa tietojen käsittelyä Oikeus siirtää tiedot järjestelmästä toiseen Oikeus vastustaa tietojen käsittelyä Oikeus olla joutumatta automaattisen päätöksenteon kohteeksi. Miten oikeuksia koskeva pyyntö tulee esittää? Riittääkö vapaamuotoinen sähköposti? Onko velvollinen käyttämään rekisterinpitäjän laatimaa lomaketta? Mitä tietoja tulee antaa pyyntöä tehdessään? Missä ajassa oikeuksia koskeva pyyntö on toteutettava? 28 1 mom.: Sen, joka haluaa tarkastaa itseään koskevat tiedot 26 :ssä tarkoitetulla tavalla, on esitettävä tätä tarkoittava pyyntö rekisterinpitäjälle omakätisesti allekirjoitetussa tai sitä vastaavalla tavalla varmennetussa asiakirjassa tai henkilökohtaisesti rekisterinpitäjän luona 28 2 mom.: Rekisterinpitäjän on ilman aiheetonta viivytystä varattava rekisteröidylle tilaisuus tutustua 26 :ssä tarkoitettuihin tietoihin tai annettava tiedot pyydettäessä kirjallisesti. Tiedot on annettava ymmärrettävässä muodossa. Jos rekisterinpitäjä kieltäytyy antamasta tietoja, hänen on annettava tästä kirjallinen todistus. Todistuksessa on mainittava myös ne syyt, joiden vuoksi tarkastusoikeus on evätty. Tarkastusoikeuden epäämisen veroisena pidetään sitä, että rekisterinpitäjä ei ole kolmen kuukauden kuluessa pyynnön esittämisestä antanut kirjallista vastausta rekisteröidylle. Tietosuoja-asetus (679/2016) sovellettu alkaen Johdanto-osa 59: Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa esimerkiksi mekanismeilla, joilla rekisteröity voi pyytää pääsyä henkilötietoihin ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön ja mahdollisuuksien mukaan saada nämä oikeudet maksutta, sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä. Rekisterinpitäjän olisi myös tarjottava keinot esittää tällaiset pyynnöt sähköisesti erityisesti silloin, kun henkilötietoja käsitellään sähköisesti. 12 art. 3 kohta: Rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. 8

9 Tietoturvaloukkaukset usein kysyttyä Rekisterinpitäjä Onko kyseessä tietosuoja-asetuksen mukainen tietoturvaloukkaus? Tuleeko tietoturvaloukkauksesta tehdä ilmoitus tietosuojavaltuutetulle? Tuleeko tietoturvaloukkauksesta ilmoittaa rekisteröidylle? Esimerkkitapauksia listattu tietosuojavaltuutetun toimiston verkkosivuilla Rekisteröity Mitä oikeuksia tietoturvaloukkauksen kohteeksi joutuneella rekisteröidyllä on? Traficomin ohje verkkorikoksen uhreille anyt/2015/06/ttn html 33 art. 1 momentti: Jos tapahtuu henkilötietojen tietoturvaloukkaus, rekisterinpitäjän on ilmoitettava siitä ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta 55 artiklan mukaisesti toimivaltaiselle valvontaviranomaiselle, paitsi jos henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos ilmoitusta ei anneta 72 tunnin kuluessa, rekisterinpitäjän on toimitettava valvontaviranomaiselle perusteltu selitys. 34 art. 1 momentti: Kun henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä. 9

10 Kameravalvonta usein kysyttyä Kysymykset liittyvät useimmiten luonnollisen henkilön harjoittamaan kameravalvontaan Onko sallittua asentaa kameravalvonta omalle kotipihalle? Saako omassa kodissa olla kameravalvonta? Tietosuoja-asetuksen aineellinen soveltamisala (2 art. 2 mom. c alakohta): Asetusta ei sovelleta henkilötietojen käsittelyyn, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.. Arvioitava aina tapauskohtaisesti Rikoslaki (39/1889) 24:6 Salakatselu: Joka oikeudettomasti teknisellä laitteella katselee tai kuvaa 1) kotirauhan suojaamassa paikassa taikka käymälässä, pukeutumistilassa tai muussa vastaavassa paikassa oleskelevaa henkilöä taikka 2) yleisöltä suljetussa 3 :ssä tarkoitetussa rakennuksessa, huoneistossa tai aidatulla piha-alueella oleskelevaa henkilöä tämän yksityisyyttä loukaten.. 10

11 Työelämän tietosuoja usein kysyttyä Työntekijän paikantaminen teknisillä välineillä Saako työntekijän työsuhdeautoon / työssä käytettävään autoon asentaa paikannuslaitteen? Kameravalvonta työpaikalla Saako työnantaja asentaa kameran työpaikalle? Milloin kameravalvonta on sallittua työpaikalla? Työntekijän sähköposti Työsuhteen päättyessä Työnantajan oikeus hakea / lukea viestejä työntekijän työsähköpostista Työntekijän terveydentilatietojen käsittely ja säilyttäminen Kuka saa käsitellä työntekijän terveydentilatietoja? Miten sairauspoissaolotodistuksia tulee säilyttää ja kuinka pitkään? Laki yksityisyyden suojasta työelämässä (759/2004) YT-menettelyt Työelämän tietosuojan käsikirja tietosuojavaltuutetun verkkosivuilla 11

12 Rekisteriseloste, tietosuojaseloste, seloste käsittelytoimista usein kysyttyä Henkilötietolain 10 :ssä säädetty rekisterinpitäjän velvollisuus laatia rekisteriseloste Laajennetusta rekisteriselosteesta käytettiin nimitystä tietosuojaseloste Rekisteriselosteen tarkoituksena on ollut informoida rekisteröityä henkilötietojen käsittelystä Tietosuoja-asetus ei velvoita laatimaan rekisteriselostetta. Pitääkö nyt laatia tietosuoja-asetuksen mukainen tietosuojaseloste? Rekisteröidyn informointi 12 artikla Rekisterinpitäjän velvollisuus antaa tietoa rekisteröidylle henkilötietojen käsittelystä. 13 artikla Toimitettavat tiedot, kun henkilötiedot saadaan rekisteröidyltä itseltään 14 artikla Toimitettavat tiedot, kun tietoja ei ole saatu rekisteröidyltä Seloste käsittelytoimista 30 artikla Kirjallinen kuvaus organisaation tekemästä henkilötietojen käsittelystä. Velvollisuus selosteen laatimiseen riippuvainen organisaation tekemästä henkilötietojen käsittelystä. 12

13 Kysymyksiä? Tietosuojavaltuutetun verkkosivut 13