Tietosuojalainsäädäntö uudistuu. Tietosuoja-asetus. Ylitarkastaja Anna Hänninen. VAHTIn kuntien tietoturvajaoston alueseminaarikiertue

Transkriptio

1 Tietosuojalainsäädäntö uudistuu. Tietosuoja-asetus Ylitarkastaja Anna Hänninen VAHTIn kuntien tietoturvajaoston alueseminaarikiertue Jyväskylä

2 YKSITYISELÄMÄN SUOJAN LÄHTÖKOHTANA ON, ETTÄ YKSILÖLLÄ ON OIKEUS ELÄÄ OMAA ELÄMÄÄNSÄ ILMAN VIRANOMAISTEN TAI MUIDEN ULKOPUOLISTEN TAHOJEN MIELIVALTAISTA TAI AIHEETONTA PUUTTUMISTA HÄNEN YKSITYISELÄMÄÄNSÄ. 2

3 Tietosuojalla tarkoitetaan A. Kaiken tiedon salaamista B. Luonnollisen henkilön tiedollista itsemääräämisoikeutta C. Tietojen hallintaa koskevia pelisääntöjä D. Henkilötietojen käsittelyä koskevia normeja E. Samaa kuin tietoturvalla 3

4 Miksi tietosuojaa? Ihmisellä oikeus tietää ja päättää itseään koskevien tietojen käytöstä. Tietosuojalla läheinen yhteys muihin perusoikeuksiin Itsemääräämisoikeus henkilötietojen käsittelyssä tarkoittaa lähtökohtaisesti sitä, että tietojen käsittelytoimien on ensisijaisesti perustuttava rekisteröidyn suostumukseen. Yksi henkilötietolainsäädännön keskeisiä tehtäviä on osoittaa, missä tapauksissa tietojenkäsittely on mahdollista ilman rekisteröidyn myötävaikutusta Tietosuojalainsäädännön tehtävänä on luottamuksen luominen ja ylläpito. Tahtotila: toisen herkkyystilaa on vaikea arvioida 4

5 Tietosuojavaltuutetun toimisto Tietosuojavaltuutettu ohjaa, neuvoo ja valvoo henkilötietojen käsittelyä Päätökset tarkastusoikeus- ja korjaamisvaatimusasioissa Lausunnot syyttäjälle ja tuomioistuimille rikosasioissa Ei lupatoimivaltaa Lausunnot hallinnollisista ja lainsäädännöllisistä uudistuksista Kirjallisia tiedusteluja, sidosryhmätoimintaa, luentoja, puhelinneuvontaa Ohjataan rekisterinpitäjiä, neuvotaan rekisteröityjä Asetuksen myötä uusia tehtäviä 5

6 Milloin sovelletaan henkilötietolakia? HENKILÖTIETOLAKIA SOVELLETAAN Henkilötietojen automaattiseen käsittelyyn Henkilötietojen käsittelyyn muutoinkin, jos henkilötiedoista muodostuu henkilörekisteri HENKILÖTIETOLAKIA EI SOVELLETA Henkilötietojen käsittelyyn, jonka luonnollinen henkilö suorittaa henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa. SOVELLETAAN VAIN RAJOITETUSTI Henkilötietojen käsittelyyn toimituksellisia, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten 6

7 Henkilörekisteri = käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuva henkilötietoja sisältävää tietojoukko, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta Rekisterinpitäjä yksi tai useampi henkilö, yhteisö, laitos tai säätiö jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty Rekisteröity Rekister öity Sivullinen = muu henkilö, yhteisö, laitos tai säätiö kuin rekisteröity, rekisterinpitäjä, henkilötietojen käsittelijä tai henkilötietoja kahden viimeksi mainitun lukuun käsittelevä 7

8 Henkilötiedolla tarkoitetaan Kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi 8

9 Henkilötietojen käsittelyllä tarkoitetaan henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä 9

10 Henkilörekisteri = looginen rekisteri Samaan henkilörekisteriin kuuluvat kaikki samaa käyttötarkoitusta varten kerätyt henkilötiedot. HUOM. Samaan rekisteriin sisältyviä tietoja voi olla esim. osittain sähköisesti tietokoneella sekä osittain paperilla. Samaan rekisteriin sisältyviä tietoja voi olla myös eri paikoissa tai eri henkilöiden hallussa. 10

11 Henkilötietojen käsittely tulee suunnitella ennen henkilörekisterin perustamista Analysoida ja määritellä henkilötietojen käsittelyyn liittyvät prosessit alusta loppuun Huomioiden tiedon koko elinkaari Tietojen kerääminen ja tallettaminen rekisteriin Tietojen käsittely määrittelyissä käyttötarkoituksissa Rekisterin hävittäminen/ arkistointi Apuna rekisteriseloste (HetiL 10 ) Apuna suunnittelussa ja informoinnissa Rekisterinpitäjän työkalu mallintamassa ja hahmottamassa henkilötietojen käsittelyä sen toiminnassa Pidettävä jokaisen saatavilla Tarpeen myös rekisteröityjen informoimiseksi 11

12 Seloste käsittelytoimista (30 art.) Jokaisen rekisterinpitäjän ja tarvittaessa rekisterinpitäjän edustajan on ylläpidettävä selostetta vastuullaan olevista käsittelytoimista. Selosteeseen on merkittävä mm. a) rekisterinpitäjän ja mahdollisen yhteisrekisterinpitäjän, rekisterinpitäjän edustajan ja tietosuojavastaavan nimi ja yhteystiedot; b) käsittelyn tarkoitukset; c) kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä; d) henkilötietojen vastaanottajien ryhmät, joille henkilötietoja on luovutettu tai luovutetaan, mukaan lukien kolmansissa maissa tai kansainvälisissä järjestöissä olevat vastaanottajat; e) tarvittaessa tiedot henkilötietojen siirtämisestä esim. kolmanteen maahan f) mahdollisuuksien mukaan eri tietoryhmien poistamisen suunnitellut määräajat; g) yleinen kuvaus teknisistä ja organisatorisista turvatoimista. 12

13 Nimeäminen asetuksen myötä pakollista julkisella sektorilla Salassapitovelvollinen Vastaavan tehtävien hoitaminen ei voi olla erottamisen syy Turvattava riittävät resurssit ja pääsy tietojärjestel miin Hallinnollisen johdon apuna ja henkilöstön tukena Vaikka toimi ei estä muiden tehtävien hoitamista, huomioitava mahdollinen intressiristiriita Tietosuojavastaava Johto ei kuitenkaan voi ulkoistaa omaa vastuutaan tietosuojavastaavalle Merkittävä voimavara organisaatiolle, kunhan saa riittävät toimintamahdollisuudet Raportoi suoraan johdolle RP:n ja käsittelijän tulee varmistaa, että vastaava otetaan asianmukaisesti ja riittävän ajoissa mukaan kaikkiin henkilötietojen käsittelyyn liittyviin asioihin 13

14 Tietosuojavastaavan tehtävät (39 art.) Ainakin seuraavat : Seurata asetuksen ja muun tietosuojalainsäädännön noudattamista, kouluttaa, neuvoa ja antaa tietoa. Antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista (35 art) ja valvoa sen toteutusta. Tehdä yhteistyötä valvontaviranomaisen kanssa ja toimia valvontaviranomaisen yhteyspisteenä käsittelyyn liittyvissä kysymyksissä mukaan luettuna 36 art. ennakkokuuleminen. Tehtävien hoitamisessa huomioitava mm. käsittelyn luonne, laajuus ja asiayhteys. Riskiarvio: keskity olennaiseen! 14

15 Henkilötietolain mukaan Rekisteröidyn oikeudet Tarkastusoikeus Kielto-oikeus Oikeus saada virheellinen, tarpeeton, puutteellinen tai vanhentunut tieto korjatuksi Rekisterinpitäjän velvollisuudet Informointivelvollisuus Suunnitteluvelvollisuus Huolellisuus- ja suojaamisvelvollisuudet Vaitiolovelvollisuus Ilmoitusvelvollisuus 15

16 Huoneentaulu asetukseen valmistautuvalle rekisterinpitäjälle 1. Määrää tietosuojan isäntä (tietosuojavastaava). 2. Analysoi henkilötietovarastosi (tietosuoja osaksi suunnittelua ja mallinnusta). 3. Tee riskiarvio; arvioi myös sopimuksesi. 4. Laadi toimintaohjeet ja -ohjelmat eri tilanteiden varalta, esim. tietoturva, -vuodot, rekisteröidyn oikeudet jne. 5. Huolehdi tietoturvasta, suojaa tiedon koko elinkaari. 6. Huolehdi henkilöstön osaamisesta. 7. Valvo henkilötietojen käyttöä. 8. Toimi ennakoivasti (ennakointi halvempaa). 9. Rakenna luottamus huolehtimalla läpinäkyvyydestä ja avoimuudesta. 10. Seuraa tiedottamista. 16

17 UUTTA KANSALLISTA TIETOSUOJALAINSÄÄDÄNTÖÄ RAKENNETAAN Erityislainsäädäntö Kansallinen liikkumavara Tarve henkilötietolaille Kansallinen tietosuojaviranomainen OM:n asettama TATTItyöryhmä 17

18 Lisätietoa asetuksesta EU:n tietosuojauudistuksesta TSV:n verkkosivuilla Asetusteksti jäsenvaltioiden kielillä Asetuksen vaikutuksia pohtivista työryhmistä TATTI-työryhmä VAHTI-työryhmä 18

19 Muuta lukemista Tietosuojavaltuutetun toimisto TSV:n oppaat: Laadi tietotilinpäätös Henkilötietojen luovuttaminen viranomaisen henkilörekistereistä 19

20 Tietosuojatyöryhmä WP29:n tietosuojapäivän kunniaksi julkaisema juliste asetukseen liittyen 20