Tietosuojalainsäädännön uudistus

Transkriptio

1 Tietosuojalainsäädännön uudistus Helsinki Johtava lakimies Ida Sulin, Suomen Kuntaliitto

2 Miksi? Tietosuojavaltuutettu : Tarvitaan vankka säännöstö, joka varmistaa, että ihmisten oikeus henkilötietojen suojaan - joka tunnistetaan EU:n perusoikeuskirjan 8 artiklassa - pysyy voimassa myös digitaaliaikana. Tämä hyödyttää samalla digitaalisen talouden kehittämistä. 2

3 Miten? Prof. Dr. Juris Dag Wiese Schartum / Oslon yliopisto Maksimaalinen oikeusepävarmuus yhdistettynä maksimaalisiin sakkoihin 3

4 Mikä uudistus? Komission ehdotukset tammikuussa 2012 Make Europe fit for the digital age» Tietosuoja-asetus:» Asetusta sovelletaan kansallisesti alkaen» Direktiivin täytäntöönpanoaika umpeutuu Tietosuojalaki» Työryhmän mietintö: aa74-a5070c53a1f4/b6ec35fe-7a37-4d eb6ef1b3cd2/LAUSUNTOPYYNTO_ pdf» Valmisteluasiakirjat: aa74-a5070c53a1f4 4

5 Soveltamisala Kotitalouspoikkeus: Asetusta ei sovelleta luonnollisen henkilön suorittamaan henkilötietojen käsittelyyn toiminnassa, joka on yksinomaan henkilökohtaista tai kotitaloutta koskevaa ja joka ei ole sidoksissa mihinkään ammatilliseen tai kaupalliseen toimintaan.» Kirjeenvaihto; osoitteiston pitäminen; sosiaalinen verkostoituminen ja verkkotoiminta, joita harjoitetaan tällaisen henkilökohtaisen tai kotitaloutta koskevan toiminnan yhteydessä. Direktiivi: Asetusta ei sovelleta henkilötietojen käsittelyyn, jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Näiden osalta sääntely perustuu erityislainsäädäntöön.» Poliisi, Raja, Tulli ja Rise (osittain) Myös EU:n ulkopuolella: Asetusta sovelletaan aina kun henkilötietoja käsitellään organisaation EU:n alueella sijaitsevan toimipaikan toiminnan yhteydessä, riippumatta siitä, suoritetaanko itse käsittely unionin alueella.» Lisäksi asetusta sovelletaan tietyissä tilanteissa myös EU:n ulkopuolelle sijoittuneisiin organisaatioihin. Asetusta sovelletaan esimerkiksi unionissa olevia rekisteröityjä koskevien henkilötietojen käsittelyyn, jos henkilötietojen käsittely liittyy tavaroiden tai palveluiden tarjoamiseen näille tai näiden käyttäytymisen 5

6 Uusi henkilötietolaki, EU:n tietosuojaasetus Erityislainsää däntö Tietosuojalaki 6

7 Lainsäädännön lähtökohdat Mikä on henkilötieto?» henkilötiedoilla' kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä 'rekisteröity', liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella» Esim. tieto, kuva, paikkatieto, tietojen yhdistelmä, IP jne. 7

8 Lainsäädännön lähtökohdat Mikä on henkilötietojen käsittely?» toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietojen kokoelmiin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista 8

9 Perusperiaatteet 9

10 Tietosuoja-asetuksen vaikutukset Prosessit» Suunnitteluvelvollisuus korostuu» Rekisterinpitäjän vastuu korostuu» Yhteydenpito ja informointi rekisteröityihin Järjestelmät» Tietoteknisiä vaatimuksia, ml. tietoturva» Toiminallisia vaatimuksia Hankinnat» Sopimusvaatimukset» Vastuunjako» Rekisterinpitäjän kokonaisvastuu Henkilöstö 10

11 Periaatetason muutoksia Rekisterinpitäjän asema korostuu» Osoitusvelvollisuus» Kokonaisvastuu myös ulkoistustilanteissa, yhteisrekisterinpitäjyys» Sääntöjen noudattamisesta aktiiviseen ennaltaehkäisyyn ja suunnitteluun, myös tietoteknisesti Hankinnat Dokumentaatio Osaaminen Privacy by design -> Oletusarvoinen ja sisäänrakennettu tietosuoja» Tietotekniset vaatimukset Oletusarvoiset kommunikaatiokanavat, pseudonymisointi, elinkaari, jne.» Organisaatiovaatimukset, koulutus jne. Käsittelijän rooli erotettu rekisterinpitäjän roolista» Sopimusten sisältö määritetty, muita sopimusvaatimuksia» Vastuunjako» Vrt. JIT ja JYSE 11

12 Selkeyttää nykyistä Täydentää nykyistä Kokonaan uutta Muutoksia Peruskäsitteet Yleisperiaatteet Käsittelyn oikeutus Suostumus Tarkastus- ja korjausoikeus Oikeus tulla unohdetuksi Riskiarviot korostuvat Tietosuojavastaavan asema Oikeus käsitellä oikeutettu etu Informointivelvollisuus Käsittelijän roolin määrittely Lapsen asema Suoramarkkinointiin muutokset Henkilötietojen siirrot kolmansiin maihin Profilointi Sisäänrakennettu ja oletusarvoinen tietosuoja Tilintekovelvollisuus Käsittelytoimintojen kuvaaminen Tietojen siirrettävyys Vaikutusten arviointi Ilmoitus loukkauksesta Ennakkohyväksyntä ja ennakkokuuleminen Sanktiot, hallinnolliset seuraamukset Viranomaisorganisaatio - One Stop Shop Tietynlainen ryhmäkanne Korvausperusteet, ml. vahingonkorvaus 12

13 Henkilötietojen käsittelyn perusperiaatteet (Asetus, 5 art) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi ("lainmukaisuus, kohtuullisuus ja läpinäkyvyys");» Läpinäkyvällä käsittelyllä tietosuoja-asetuksen johdanto-osan 39 mukaisesti tarkoitetaan sitä, että rekisteröidylle tulisi olla läpinäkyvää se, miten heitä koskevia tietoja kerätään ja käytetään sekä missä määrin henkilötietoja käsitellään tai on aikeissa käsitellä. Läpinäkyvyyden periaatteen mukaisesti henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä.» Luonnollisille henkilöille olisi tiedotettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää tällaista käsittelyä koskevia oikeuksiaan. Varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä yksiselitteisesti ja lainmukaisesti. Ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla("käyttötarkoitussidonnaisuus");» Tässä yhteydessä tietosuoja-asetuksessa on kuitenkin katsottu, että mikäli tietoja käytetään myöhemmin arkistointitarkoitusta varten taikka tietoja käytetään historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei käyttötarkoitussidonnaisuutta tarvitse olla. 13

14 Henkilötietojen käsittelyn perusperiaatteet (Asetus, 5 art) henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään ("tietojen minimointi");» Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä ("täsmällisyys");» Rekisterinpitäjän olisi siten asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. 14

15 Henkilötietojen käsittelyn perusperiaatteet ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten ("säilytyksen rajoittaminen"); niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia ("eheys ja luottamuksellisuus")» Henkilötietojen käsittelyssä olisikin muun muassa ehkäistävä luvaton pääsy henkilötietoihin tai niiden käsittelyyn käytettyihin laitteistoihin sekä tällaisten tietojen tai laitteistojen luvaton käyttö. Tietosuoja-asetuksen lisäys: Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että periaatteita on noudatettu ("osoitusvelvollisuus").» Dokumentaatio, suunnittelu, vastuu ja osaaminen 15

16 Mitä tehdä? 16

17 Rekisterinpitäjän to do lista 1. Määrää tietosuojan isäntä (tietosuojavastaava) 2. Analysoi henkilötietovarastosi, ota tietosuoja osaksi suunnittelua ja mallinnusta. 3. Tee riskiarvio, ml. sopimukset ja sanktiot. 4. Laadi toimintaohjeet ja ohjeet eri tilanteita varten. 5. Huolehti tietoturvasta, koko elinkaari huomioon. 6. Huolehdi henkilöstön osaamisesta. 7. Valvo henkilötietojen käyttöä (lokitiedot ja tehtävät). 8. Toimi ennakoivasti. 9. Rakenna luottamus huolehtimalla läpinäkyvyydestä ja avoimuudesta. 10.Seuraa tiedottamista: OM ja TSV (+ Kuntaliitto):

18 Mitä pitää tietää omista rekistereista? Yksikkö / Toimiala Kuka vastuussa Rekisteri Mistä tiedot tulevat Millaista tietoa rekisterissä on Tietojen käsittelyperuste Riskitaso Rekisteriseloste Tietoturvaseloste Kuka käsittelee, ulkopuolisia? Arvio:» Liikaa tietoa, liian vähän?» Kuka rekisterinpitäjä» Tekniset puitteet» Elinkaari 18

19 Tuki Avoin tietosuojakoulutus asiantuntijoille etosuoja» Tietojärjestelmän hankinta ja tietosuoja-asetus Arjen tietosuoja, esim. henkilöstökoulutusta varten 19