Lexian tietosuojaseminaari Dont Mess With My Data! Askelmerkit tästä eteenpäin Saara Ryhtä, Counsel

Transkriptio

1 Lexian tietosuojaseminaari Dont Mess With My Data! Askelmerkit tästä eteenpäin Saara Ryhtä, Counsel

2 554

3 Askelmerkit tästä eteenpäin 1. Tietoisuuden lisääminen, organisoituminen 2. Tallennetut henkilötiedot 3. Tietosuoja- ja rekisteriselosteet 4. Rekisteröidyn oikeudet 5. Tietopyyntöihin valmistautuminen 6. Henkilötietojen käsittelyn lainmukaisuus 7. Suostumus henkilötietojen käsittelyyn 8. Lasten erityisasema 9. Tietovuotoihin varautuminen 10. Sisäänrakennettu tietosuoja (Privacy by Design) 11. Tietosuojavastaava 12. Kansainvälinen toiminta

4 Tietoisuuden lisääminen Jaa tietoisuutta tietosuojasta ja tulevista muutoksista omassa yrityksessäsi. Varmista, että johto ja avainhenkilöt tiedostavat tietosuoja-asetuksen vaikutukset liiketoimintaan. Kartoita yrityksen tietosuojariskit, esim. Sopimukset Tietojärjestelmät, sovellukset, palvelut, niiden sisältämien henkilötietojen tietovuo (data flow) Huomioi myös keskeneräiset kehitysprojektit! Asetuksen mukaisen toiminnan varmistaminen vaatii työtä ja resursseja, joten aloita valmistautuminen nyt. Hanki oikeat ja riittävät tukiresurssit, esim. sopimusosaaminen, tietotekninen osaaminen

5 Organisoituminen Riittävien resurssien varaaminen Tietosuojaorganisaatioon sitoutettava: Henkilötietoja käsittelevät tahot, kuten HR, myynti, markkinointi, asiakastietoja käsittelevät tahot. Sovellusten, tietojärjestelmien ja palveluiden hankinnasta, kehityksestä ja ylläpidosta vastaavat tahot. Tavoitteena on tuoda tietosuojatyö osaksi normaalia operatiivista toimintaa ja raportointia Liitettävä osaksi organisaation riskinhallintaprosessia (esim. riskirekisteri, riskinhallintaprosessit) Erityisesti merkittävän tason riskit raportoitava ylimmälle johdolle

6 Käsiteltävät henkilötiedot Selvitä ja dokumentoi: Mitä henkilötietoja yrityksessäsi tallennetaan Miten niitä käsitellään Mistä ne ovat peräisi Kenelle niitä luovutetaan. Kuka käsittelee, ulkoistetut palvelut Henkilötietoja ovat esimerkiksi puhelinnumero, sähköpostiosoite ja kuvat, eli kaikki tiedot, jotka voidaan tunnistaa tiettyä henkilöä koskeviksi. Dokumentointi on tarpeen tietosuoja-asetuksen mukaisen osoitusvelvollisuuden täyttämiseksi.

7 Tietosuojaselosteet Tarkista nykyiset rekisteri- ja tietosuojaselosteet, ja luo suunnitelma tarvittavien muutosten tekemiseksi. Varmista, että rekisteri- ja tietosuojaselosteesta ilmenevät jo nykylainsäädännön mukaan tarvittavat tiedot, esim. kuinka tallennettuja tietoja käsitellään ja käytetään. Tietosuoja-asetuksen mukaan lisäksi on kerrottava esimerkiksi tietojen käsittelyn oikeudellinen peruste, tietojen säilytysajat ja informoitava yksilön oikeudesta valittaa, mikäli he kokevat tietojensa käsittelyssä olevan ongelmia. Tiedot tulee antaa ymmärrettävällä ja selkeällä kielellä.

8 Tiedosta ja turvaa rekisteröidyn oikeudet Varmista, että yrityksesi prosessit ja toimintatavat turvaavat tietosuoja-asetuksen mukaan rekisteröidylle kuuluvat oikeudet, kuten: Oikeus saada pääsy tietoihinsa Oikeus saada tiedoissa olevat virheet korjatuiksi Oikeus siirtää tiedot järjestelmästä toiseen Oikeus tietojen poistamiseen Oikeus tulla unohdetuksi Oikeus kieltää automatisoitu päätöksenteko Oikeus kieltää suoramarkkinointi Oikeus tulla informoiduksi, jos tietoihin on murtauduttu

9 Valmistaudu tietopyyntöihin Rekisteröidyllä oikeus saada tieto, käsitelläänkö häntä koskevia henkilötietoja ja käsittelyn perustiedot Suunnittele, miten käsittelet tietopyyntöjä uusien määräaikojen puitteissa. Tietosuoja-asetuksen mukaan rekisteröidyn tietopyyntöihin on vastattava yleensä kuukauden kuluessa pyynnöstä. Useimmissa tapauksissa pyyntöön vastaamisesta ei ole mahdollista veloittaa. Tietopyyntöihin vastaaminen on aikaa vievää, suunnittele siis vastaaminen etukäteen. Harkitse järjestelmää, jossa henkilö voi itse tarkistaa tiedot sähköisesti.

10 Henkilötietojen käsittelyn lainmukaisuus Käsittely on mahdollista ainoastaan asetuksen määrittämin edellytyksin Määrittele oikeudellinen peruste henkilötietojen käsittelylle ja dokumentoi se. Oikeudellinen peruste tulee ilmetä tietosuojaselosteestasi. Henkilötietoja saa kerätä vain nimenomaista, määriteltyä ja lainmukaista tarkoitusta varten. Myöhempi käsittely ei saa olla ristiriidassa alkuperäisen tarkoituksen kanssa Huomioi, että rekisteröidyllä on vahvempi oikeus saada tietonsa poistetuksi, mikäli niiden käsittely perustuu suostumukseen. Jos olet pyytänyt henkilön suostumuksen henkilötietojen käsittelyyn, varmistu siitä, että suostumus voidaan perua.

11 Suostumus henkilötietojen käsittelyyn Jos käsittelyn perusteena on suostumus, tarkoittaa se henkilön nimenomaista positiivista tahdonilmaisua, eli aktiivista suostumusta henkilötietojen käsittelyyn. Esim. asiakkaan puolesta valmiiksi rastitettu lupa käsittelyyn ei kelpaa suostumukseksi. Tarkista, miten pyydät ja tallennat suostumukset, ja tee tarvittavat muutokset.

12 Lasten erityisasema Jos keräät tietoja alle 16-vuotiaista lapsista tarvitset vanhemman tai huoltajan suostumuksen kyseisten tietojen käsittelyyn. Luo järjestelmät yksilön iän todentamista ja tarvittavan suostumuksen hankkimista varten. Suunnittele palvelusi siten, että voit myöhemmin tarvittaessa todistaa vanhemman antaman suostumuksen. Huomioi, että tietosuojaselosteesi tulee olla kirjoitettu siten, että lapsetkin ymmärtävät sen sisällön.

13 Tietoturvaloukkauksiin varautuminen Suunnittele prosessit mahdollisten tietoturvaloukkausten havaitsemiseksi, raportoimiseksi ja tutkimiseksi. Huomioi, että tietosuoja-asetuksen mukaan rekisterinpitäjän on ilmoitettava tietoturvaloukkauksista viranomaisille 72 tunnin kuluessa. Merkittävistä tietoturvaloukkauksista (esim. identiteettivarkaus, maksuvälinepetos, rikollinen toiminta) tulee ilmoittaa myös rekisteröidylle.

14 Huomio sisäänrakennettu ja oletusarvoinen tietosuoja Privacy by Design, Privacy by Default Tietosuojaperiaatteet tulee huomioida riittävän varhaisessa vaiheessa osana henkilötietojen käsittelyä Tee tietosuojaa koskeva vaikutustenarviointi riskilähtöisesti. Tämä on tarpeen esimerkiksi, kun otat uutta teknologiaa käyttöön, muutat merkittävästi palveluasi tai kun profiloinnilla on merkittäviä vaikutuksia rekisteröidylle. Suunnittele palvelun tietosuoja käytännön toimenpiteiksi, esim. kuka tietosuojaa koskevan vaikutustenarvioinnin tekee ja missä tilanteissa? Vaikutustenarviointi osaksi esim. sovelluskehitystä ja testausta

15 Tietosuojavastaava Nimitä tietosuojavastaava, jos käsittelet laajoja määriä henkilötietoja ja seuraat käyttäjiä säännöllisesti ja systemaattisesti. Organisatorisesti riippumaton, pätevä. Varmistu myös siitä, että tietosuojavastaavalla on tarvittavat valtuudet tehdä päätöksiä. Tietosuojavastaava voi olla palkkalistoilla tai ulkoinen neuvonantaja tai palveluna hankittu tietosuojavastaava.

16 Kansainvälinen toiminta Tietosuoja-asetuksessa on määritelty raportointivastuu kansalliselle valvontaviranomaiselle. Jos yrityksesi toimii useassa maassa, voi olla vaikeaa määritellä, mille eurooppalaiselle viranomaiselle tietosuojasta tulee raportoida. Selvitä, missä maassa yrityksesi hallinto sijaitsee ja missä tärkeimmät tietosuojaan liittyvät päätökset tehdään. Määrittele toimivaltainen viranomainen sen mukaan.

17 Lexia Attorneys Ltd Lönnrotinkatu 11 FI Helsinki tel fax