Roolit henkilötietojen käsittelyssä LOTTA YLÄ-SULKAVA

Transkriptio

1 Roolit henkilötietojen käsittelyssä 1

2 Käsitteet Rekisterinpitäjä: Luonnollinen tai oikeushenkilö, viranomainen, virasto tai muu elin Joka yksin tai yhdessä toisen kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot Yhteisrekisterinpitäjä kaksi tai useampi rekisterinpitäjää määrittelee yhdessä henkilötietojen käsittelyn tarkoituksen Henkilötietojen käsittelijä Luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu elin Joka käsittelee henkilötietoja rekisterinpitäjän lukuun Kolmas osapuoli Muu taho kuin rekisteröity, rekisterinpitäjä, henkiötietojen käsittelijä tai henkilö, jolla on oikeus käsitellä henkilötietoja suoraan rekisterinpitäjän tai henkilötietojen käsittelijän välittömän vastuun alaisena 2

3 Rekisterinpitäjä

4 määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot WP29 on jakanut kolmeen kategoriaan, koska tahon voidaan katsoa olevan rekisterinpitäjä : 1. Nimenomainen lainsäännös käsitellä henkilötietoja Lainsäädännössä on nimenomaisesti annettu tehtävä käsitellä henkilötietoja Rekisterinpitäjä on tätä tehtävää suorittava taho 2. Epäsuorasti lainsäädännöstä pohjautuva tarve tai muu tahon rooliin perustuva tarve käsitellä henkilötietoja Lainsäädännössä on säädetty velvollisuus ja sen velvollisuuden toteuttamiseksi on käsiteltävä henkilötietoja ja/tai Tahon rooli edellyttää henkilötietojen käsittelyä, rooliin tavanomaisesti katsotaan kuuluvaksi henkilötietojen käsittelyä Rekisterinpitäjä on lainmukaisia velvollisuuksia toteuttava taho/taho, jonka rooli edellyttää henkilötietojen käsittelyä Esim. työnantaja, yhdistys, teleoperaattori 3. Tosiasiallinen vaikutusvalta Kuka tosiasiallisesti määrittelee tarkoitukset ja (merkitykselliset) keinot? Sopimuksin ei voi sitovasti määritellä rekisterinpitäjäksi tahoa, joka tosiasiassa ei määrittele käsittelyn tarkoituksia ja (merkityksellisiä) keinoja Rekisterinpitäjä on se, joka tosiasiassa määrittelee käsittelyn tarkoitukset ja/tai keinot Jos mikään yllä olevasta kategoriasta ei kosketa -> taho ei ole rekisterinpitäjä 4

5 käsittelyn tarkoitukset ja keinot Rekisterinpitäjä määrittelee tietyllä tasolla, miksi ja miten henkilötietoja käsitellään? Käsittelyn tarkoituksen määrittely on merkityksellisempää kuin keinot Keinojen määrittelyä voi ulkoistaa enemmän käsittelijälle Esim. mitä laitteistoa tai ohjelmistoa käytetään Rekisterinpitäjä on kuitenkin se, joka määrittelee olennaisimmat asiat käsittelyn laillisuuden kannalta, kuten sen mitä tietoja käsitellään, kenellä on oikeus päästä tietoihin, milloin tiedot on poistettava jne. (Keinojen osalta rekisterinpitäjää tulisi kuitenkin aina vähintään informoida) 5

6 Käsittelijä

7 Käsittelijä Rekisterinpitäjästä erillinen, itsenäinen taho Käsittelee henkilötietoja rekisterinpitäjän lukuun ts. rekisterinpitäjän asemassa olevan tahon toimeksiannosta Karkea rajaus: Käsittelisikö taho kyseessä olevia henkilötietoja ilman toisen pyyntöä? Ei -> henkilötietojen käsittelijä 7

8 Käsittelijä Jos käsittelijällä on vaikutusvaltaa käsittelyn tarkoitukseen nähden ja/tai käsittelee henkilötietoja myös omaan tarpeeseen -> hän on rekisterinpitäjä tämän käsittelyn osalta Käsittelijällä voi olla valtaa, miten tietoja käsitellään Vaikka esim. palveluntarjoaja olisi sopimuksessa määritellyt keinot, jolla henkilötietoja käsitellään, häntä ei pidetä rekisterinpitäjänä, jos tilaaja on vapaaehtoisesti (rekisterinpitäjänä) hyväksynyt ehdot, tilaajan vastuulla rekisterinpitäjänä on huolehtia siitä, että käsittely on lainmukaista Huom. Vaikka palveluntarjoaja on iso toimija ja sopimusehdot kirjoitetaan tyylillä ota tai jätä, tämä ei poista pienemmän toimijan rekisterinpitäjän vastuuta henkilötietojen käsittelyssä Mitä tehdä?: Vaihda palveluntarjoajaa ja tai vie asia tietosuojaviranomaisille LOTTA YLÄ-SULKAVA 8

9 Tietosuoja-asetuksen tuoma muutos käsittelijän asemaan Nykylainsäädännön mukaan käsittelijällä ei ole suoraan lain nojalla omaa vastuuta Rekisterinpitäjä on vastuussa ja sen huolehdittava, että käsittelijä noudattaa lakia henkilötietojen käsittelyssä Asetus velvoittaa suoraan myös käsittelijää huolehtimaan siitä, että lainsäädäntöä noudatetaan Vastuu vahingosta ja mahdolliset hallinnolliset sanktiot LOTTA YLÄ-SULKAVA 9

10 Rekisterinpitäjän vs käsittelijän vastuu Rekisterinpitäjä vastuussa käyttämistään käsittelijöistä ja sen antamilla ohjeilla keskeinen merkitys Henkilötietojen käsittelijällä myös itsenäinen velvollisuus arvioida toimintaa ja noudattaa asetusta LOTTA YLÄ-SULKAVA 10

11 Rekisterinpitäjä vai käsittelijä? Määritteleekö käsittelyn tarkoitukset ja keinot? Kyllä, molemmat (Yhteis-) Rekisterinpitäjä Ei käsittelyn tarkoitusta mutta keinot kyllä Tarkoituksen kyllä, mutta osa keinojen määrittelystä on jätetty alihankkijalle Käsittelijä 11

12 Teleoperaattorin rooli Teleoperaattori käsittelee välitystietoja, jotta pystyvät toimittamaan palvelua Itsenäinen tarve käsitellä Rekisterinpitäjä viestinnän toimittamiseksi käsiteltävien välitystietojen osalta on aina teleoperaattori Henkilötietoja sisältävän viestin lähettäminen viestintäverkossa Rekisterinpitäjä on viestin lähettäjä 12

13 KIITOS! 13