ASETUS TULEE, OLE VALMIS! MIKÄ MUUTTUU? MILLOIN?

Transkriptio

1 EU-tietosuoja-asetuksen vaikutukset koulutuskierros Yhteistyössä tietosuojavaltuutetun toimisto ja FCG / Maaliskuu 2015 ASETUS TULEE, OLE VALMIS! MIKÄ MUUTTUU? MILLOIN? Reijo Aarnio tietosuojavaltuutettu Tietosuojavaltuutetun toimisto 1

2 EU:N PERUSOIKEUSKIRJA LISSABONIN SOPIMUS II LUKU: VAPAUDET 7 artikla Yksityis- ja perhe-elämän kunnioittaminen Jokaisella on oikeus siihen, että hänen yksityis- ja perheelämäänsä, kotiaan sekä viestejään kunnioitetaan. 8 artikla Henkilötietojen suoja 1. Jokaisella on oikeus henkilötietojensa suojaan. 2. Tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. 3. Riippumaton viranomainen valvoo näiden sääntöjen noudattamista. TIETOSUOJAVALTUUTETUN TOIMISTO 2

3 SUOMEN PERUSTUSLAKI (731/1999) 10 Yksityiselämän suoja Jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla. Kirjeen, puhelun ja muun luottamuksellisen viestin salaisuus on loukkaamaton. Lailla voidaan säätää perusoikeuksien turvaamiseksi tai rikosten selvittämiseksi välttämättömistä kotirauhan piiriin ulottuvista toimenpiteistä. Lailla voidaan säätää lisäksi välttämättömistä rajoituksista viestin salaisuuteen yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavien rikosten tutkinnassa, oikeudenkäynnissä ja turvallisuustarkastuksessa sekä vapaudenmenetyksen aikana. TIETOSUOJAVALTUUTETUN TOIMISTO 3

4 EKOSYSTEEMI Prop. apps VERKKO (WEB) PALVELUT 3rd party apps Operating apps (Laite) hardware Verkko infra 4 TIETOSUOJAVALTUUTETUN TOIMISTO

5 MAISEMA 1. KULUTTAJANSUOJAN HARMONISOINTI 2. EU:N KAUPPALAIN HARMONISOINTI 3. TIETOSUOJAN HARMONISOINTI DIGITAALISTEN SISÄMARKKINOINTIEN BUUSTAAMINEN TIETOSUOJAVALTUUTETUN TOIMISTO 5

6 Komission ehdotuksen rakenne 1. Yleiset säännökset 2. Periaatteet 3. Rekisteröidyn oikeudet Läpinäkyvyys Ilmoittaminen ja tiedonsaanti Tietojen oikaiseminen ja poistaminen Oikeus vastustaa henkilötietojen käsittelyä Rajoitukset 4.Rekisterinpitäjä ja henkilötietojen käsittelijä Yleiset velvollisuudet Tietoturvallisuus Vaikutuksenarviointi ja ennakkohyväksyntä Tietosuojavastaava Käytännesäännöt ja sertifiointi 5. Henkilötietojen siirto kolmansiin maihin 6. Riippumattomat valvontaviranomaiset Riippumaton asema Toimivalta ja tehtävä 7. Yhteistyö ja yhdenmukaisuus Yhteistyö Yhdenmukaisuus Euroopan tietosuojaneuvosto 8. Oikeussuojakeinot, vastuu ja seuraamukset 9. Tietojenkäsittelyyn liittyviä erityistilanteita koskevat säännökset 10. Delegoidut säädökset ja täytäntöönpanosäädökset 11. Loppusäännökset TIETOSUOJAVALTUUTETUN TOIMISTO 6

7 Mitä? 1. Entiset tietosuojaperiaatteet säilyvät 2. Asetuksessa joitakin uusia asioita: - COMPLIANCE; ( sääntöjen noudattaminen ) - Asetuksessa mennään pitemmälle - ACCOUNTABILITY; TIETOTILINPÄÄTÖS - Tilintekokykyisyys eli osoita että noudatat lakeja - PRIVACY BY DESIGN; (ennakkoon suunnitteleminen) - Henkilötietolain 6 - PRIVACY BY DEFAULT; (oletusarvoinen ja sisäänrakennettu) - Nyt kun kuluttaja asioi rekisterinpitäjän kanssa niin huolehtii esim. oman s-postin tietoturvasta. - Asetuksella rekisterinpitäjä velvoitetaan rakentamaan tietoturvallinen suojattu palvelu (nyt jo esim. pankit) TIETOSUOJAVALTUUTETUN TOIMISTO 7

8 ACCOUNTABILITY WP29; LAUSUNTO 3/2010 TILIVELVOLLISUUDEN PERIAATTEESTA ( ) passiivisesta compliancesta aktiiviseksi accountabilityksi (i) soveltuvia ja tehokkaita toimia tietosuojaperiaatteiden toteuttamiseksi (ii) soveltuvien ja tehokkaiden toimien toteuttaminen on (pyynnöstä) todistettava TIETOSUOJAVALTUUTETUN TOIMISTO8

9 TIETOTILINPÄÄTÖS Tietosuojavaltuutetun toimisto on julkaissut oppaan tietotilinpäätöksen tekemisestä. Tietotilinpäätös on raportti, joka syntyy organisaation sisäisen tarkastelun tuloksena ja antaa kokonaiskuvan organisaation tietojenkäsittelyn nykytilasta. Tietotilinpäätös kuvaa myös henkilötietolain mukaisen hyvän tietojenkäsittelytavan noudattamista. Tietotilinpäätöksen tarkoituksena on toimia dynaamisena työkaluna, joka palvelee organisaation johdon tarpeita ja lisää asiakkaiden ja sidosryhmien luottamusta organisaation menettelytapoihin. TIETOSUOJAVALTUUTETUN TOIMISTO 9

10 TOIMENPITEET; esimerkkejä 1) Sisäisen tarkastuksen menetelmät (jo ennakolta) 2) Ohjeistukset, policyt & valvonta 3) Tietojen kartoitus 4) Tietosuojavastaavan nimeäminen 5) Koulutus 6) Valitusten ja oikeuksien käytön mekanismit 7) Tietoturvailmoitukset 8) PIA 9) Standardit ja sertifikaatit 10) Edellä mainittujen valvonta KUKA VALVOO? TIETOSUOJAVALTUUTETUN TOIMISTO10

11 PRIVACY BY DESIGN Henkilötietolaki (523/1999) 6 Henkilötietojen käsittelyn suunnittelu Henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Henkilötietojen käsittelyn tarkoitukset sekä se, mistä henkilötiedot säännönmukaisesti hankitaan ja mihin niitä säännönmukaisesti luovutetaan, on määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään. TIETOSUOJAVALTUUTETUN TOIMISTO 11

12 HENKILÖREKISTERI 3 3k JulkL JulkA 2 Arvioi oma toiminta 5-6 Aloitus 2 Tietoturvallisuus 32 PRIVACY BY DESIGN HENKILÖTIETOLAKI Rekisterinpitäjän (3 4 k) henkilötietojen käsittelyn kuvaus ja lainmukaisuuden arviointi Käsittelyn tarkoitus 3 3-k & 6 Suunnittelu huolellisuus 5-6 Ulkoistaminen k Vaitiolovelvollisuus 33 Oikeus käsitellä 8, 12, 13, Käyttötarkoitussidonnaisuus 7 Rekisteriseloste 10 Mistä henkilötiedot kerätään 8, 9, Henkilötiedot 3 1 k, 9, Rekisteröidyn oikeudet Informointivelvollisuus 24 Käytön hallinnointi 5 Luovutukset 8, (6 ) Nimeä vastuuhenkilö 5 Hävitä, arkistoi 12.2, 21, k Ulkomaille siirrot Kouluta, ohjeista 5 Viranomaisilmoitukset TIETOSUOJAVALTUUTETUN TOIMISTO

13 PRIVACY BY DEFAULT OLETUSARVOINEN JA SISÄÄNRAKENNETTU TIETOSUOJA vastuu mökin mummolta palvelun toimittajalle TIETOSUOJAVALTUUTETUN TOIMISTO13

14 Tietosuojavastaavan toimenkuva Tietosuojavastaavan tehtävänä on organisaation erityisasiantuntijana auttaa rekisterinpitäjää saavuttamaan hyvän henkilötietojen käsittelytavan2 ja mahdollisten erityislakien edellyttämä korkea tietosuojan taso, jonka avulla voidaan rakentaa ja säilyttää luottamus rekisteröidyn ja rekisterinpitäjän välille. Näin ollen tietosuojavastaavan tehtävänä on antaa asiantuntija-apua sekä organisaation henkilöstölle että ennen kaikkea johdolle, jolla on viimekätinen vastuu rekisterinpitäjänä henkilötietojen käsittelystä. TIETOSUOJAVALTUUTETUN TOIMISTO 14

15 Mitä? - DATA BREACH NOTIFICATION; (tietoturvaloukkauksista ilmoittaminen) - Rekisterinpitäjän ilmoitusvelvollisuus valvontaviranomaiselle ja asiakkaalle - mm. tietomurto ja henkilörekisteririkos - VALVONTAVIRANOMAISTEN ROOLIN VAHVISTAMINEN; (viranomaisten toimivalta muuttuu) - TSV:lle mahdollisesti sakottamisoikeus, josta valitustie ensin kansallisesti ja aina EY-tuomioistuimeen asti - RIGHT TO BE FORGOTTEN; (oikeus unohtaa) - Esim. Facebook tyyppiset palvelut; oikeus itse myötävaikuttaa, että tiedot poistetaan - Voi olla haasteellista toteuttaa - RIGHT TO DATA PORTABILITY (oikeus tietojen siirtoon) - Rekisteröidyn oikeus viedä tiedot palveluntarjoajalta toiselle (esim. kanta-asiakasjärjestelmät) TIETOSUOJAVALTUUTETUN TOIMISTO 15

16 EUROOPAN TIETOSUOJANEUVOSTO Ehdotuksen 64 artiklalla perustetaan Euroopan tietosuojaneuvosto, jonka muodostavat kunkin jäsenvaltion valvontaviranomaisen päälliköt ja Euroopan tietosuojavaltuutettu. Euroopan tietosuojaneuvosto korvaa direktiivin 95/46/EY 29 artiklalla perustetun tietosuojatyöryhmän. Artiklassa täsmennetään, että komissio ei ole Euroopan tietosuojaneuvoston jäsen, mutta että sillä on oikeus osallistua neuvoston toimintaan ja olla edustettuna siinä. TIETOSUOJAVALTUUTETUN TOIMISTO 16

17 Yhdenmukaisuusmekanismi Ehdotuksen 57 artiklalla otetaan käyttöön yhdenmukaisuusmekanismi, jonka avulla voidaan varmistaa tietosuojasäännösten yhdenmukainen soveltaminen eri jäsenvaltioissa asuviin rekisteröityihin kohdistuvien käsittelytoimien yhteydessä. Ehdotuksen 58 artiklassa vahvistetaan menettelyt ja edellytykset Euroopan tietosuojaneuvoston lausunnon saamista varten. Ehdotuksen 59 artikla koskee komission lausuntoja yhdenmukaisuusmekanismin puitteissa käsiteltävistä asioista. Komissio voi joko vahvistaa Euroopan tietosuojaneuvoston lausunnon tai ilmaista eriävän mielipiteensä lausunnosta ja tietosuojaviranomaisen toimenpideluonnoksesta. Jos Euroopan tietosuojaneuvosto on ottanut asian esille 58 artiklan 3 kohdan nojalla, voidaan odottaa, että komissio käyttää harkintavaltaansa ja antaa lausunnon aina kun sitä tarvitaan. TIETOSUOJAVALTUUTETUN TOIMISTO 17

18 SEURAAMUKSET SAKOTUSTOIMIVALTA velvollisuus kts. Artikla 79 7 % liikevaihdosta / euroa KUKA MÄÄRÄÄ? TIETOSUOJAVALTUUTETUN TOIMISTO 18

19 Tietosuojaviranomaisten suorittama lainvalvonta YHDENMUKAISUUSMENETTELY VALITUKSET ETUKÄTEIS- VALVONTA TARKASTUKSET TILIVELVOLLISUUS / TIETOTILINPÄÄTÖS OHJEISTUS- JA NEUVONTA- PYYNNÖT PIA TOIMIVALLAT? TIETOSUOJAVALTUUTETUN TOIMISTO 19

20 Tietosuojatimantti Tietosuojavastaavat Data Protection by design (HetiL 5 ) Tietoturva Tietotilinpäätös ACCOUNTABILITY TIETOSUOJAVALTUUTETUN TOIMISTO 20

21 Ollaanko valmiina? ASETUSEHDOTUS: JO SUOMESSA: Accountability Tietotilinpäätös - Asetus Haltik:sta - Laki väestörekisteristä TIETOSUOJAVALTUUTETUN TOIMISTO 21

22 Ollaanko valmiina? ASETUSEHDOTUS: JO SUOMESSA: Privacy by design Consent=suostumus Henkilötietolaki 6,8 :t TIETOSUOJAVALTUUTETUN TOIMISTO 22

23 Ollaanko valmiina? ASETUSEHDOTUS: JO SUOMESSA: Privacy by default Rekisterinpitäjältä edellytetään vastuullisuutta Tietoturvan korostaminen TIETOSUOJAVALTUUTETUN TOIMISTO 23

24 Ollaanko valmiina? ASETUSEHDOTUS: JO SUOMESSA: On jo Tietosuojavastaavat - ei pakollista, ellei kansallisesti säädetty SOTEsektoreilla TIETOSUOJAVALTUUTETUN TOIMISTO 24

25 Ollaanko valmiina? Asetus Jo Suomessa - henkilötietolaki (523/1999) 6 Henkilötietojen käsittelyn suunnittelu Right to be forgotten 11 Arkaluonteisten tietojen käsittelykielto 29 Tiedon korjaaminen 34 Henkilörekisterin hävittäminen 35 Henkilötietojen siirto arkistoon 12 Poikkeukset arkaluonteisten tietojen käsittelykiellosta Arkaluonteiset tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun käsittelylle ei ole 1 momentissa mainittua perustetta. Perustetta ja käsittelyn tarvetta on arvioitava lähtökohtaisesti vähintään viiden vuoden välein. TIETOSUOJAVALTUUTETUN TOIMISTO 25

26 Ollaanko valmiina? ASETUS- EHDOTUS: Right to data portability JO SUOMESSA: Henkilötietolaki (523/99) 8 Käsittelyn yleiset edellytykset 26 Tarkastusoikeus Julkisuuslaki, Laki viranomaisten toiminnan julkisuudesta (621/1999) 11 Asianosaisen oikeus tiedonsaantiin TIETOSUOJAVALTUUTETUN TOIMISTO 26

27 Ollaanko valmiina? ASETUSEHDOTUS: JO SUOMESSA: Euroopan tietosuojaneuvosto Tietosuojalautakunta TIETOSUOJAVALTUUTETUN TOIMISTO 27

28 Eli siis, ollaanko valmiina? KYLLÄ OLLAAN!! TIETOSUOJAVALTUUTETUN TOIMISTO 28

29 Neuvottelutilanne KESKEISIÄ NEUVOSTOSSA PÄÄTÖKSEEN SAATETTUJA KYSYMYKSIÄ mm. asiakirjajulkisuus, tieteellinen tutkimus, tilastollinen tutkimus, työelämän tietosuoja TRILOGIT PJ:llä ei mandaattia aloittaa trilogeja Seuraava OSA-neuvosto? EP:n ja neuvoston tekstit poikkeavat joiltain osin huomattavastikin toisistaan 29

30 Neuvottelutilanne KOMISSIO Tavoite oli hyväksyä tietosuojapaketti EP:n viime vaalikaudella Uusi komissaari / Vera Jourová EUROOPAN PARLAMENTTI Täysistunto hyväksyi LIBE:n mietinnön sellaisenaan maaliskuussa 2014 NEUVOSTO Ensimmäinen osittainen yleisnäkemys kesäkuussa 2014 Osittainen yleisnäkemys joulukuussa Käsittely kesken työryhmätasolla / DAPIX LV:n tavoitteet? 30

31 Henkilötietojen käsittelyn lainmukaisuus 6 artikla Yksiselitteinen suostumus Sopimus Rekisterinpitäjän lakisääteiset velvoitteet Rekisteröidyn elintärkeä etu Yleistä etua koskeva tehtävä / rekisterinpitäjälle kuuluva julkinen valta Rekisterinpitäjän oikeutettu etu Henkilötietojen käsittely historiallisia, tilastollisia ja tutkimustarkoituksia varten, arkistointitarkoitukset Henkilötietojen jatkokäsittely 31

32 U-JATKOKIRJE / 1 SUOMEN KANTA 1) SUOMI KANNATTAA UUDISTUSTA 2) OIKEUTETUN EDUN KÄSITE TÄSMENNETTÄVÄ 3) RISKIPOHJAINEN LÄHESTYMISTAPA OK! - pseudonymisointi - Data Protection by Default - DPIA & ennakkohyväksyntä - tietosuojavastaavat vapaaehtoista, ellei kansallinen laki - sertifiointi ei vapauta vastuusta TIETOSUOJAVALTUUTETUN TOIMISTO 32

33 U-JATKOKIRJE / 2 4) SUOMI KANNATTAA YHDENMUKAISUUSMEKANISMIA 5) SUOMI KANNATTAA (VARAUKSIN) EU:N TIETOSUOJA- VIRASTOA - asiakirjajulkisuus = 80 a ARTIKLA - ERITYISET KÄSITTELYTILANTEET * työelämä (82) * sosiaaliturva (82 (a)) * henkilötunnus (80 (b)) * terveys (81) * historian tutkimus, tilastot, tiede, arkistointi - Kolmannen maan tuomioistuimen tuomiota luovutettava, ei tunnusteta täytäntöönpanokelpoiseksi Unionissa TIETOSUOJAVALTUUTETUN TOIMISTO33

34 KIITOS KUUNTELUSTA Lisätietoja: Reijo Aarnio tietosuojavaltuutettu Tietosuojavaltuutetun toimisto 34