EU:n tietosuoja-asetuksen vaikutukset. Tietosuojavastaava Outi Salmela,

Transkriptio

1 EU:n tietosuoja-asetuksen vaikutukset Tietosuojavastaava Outi Salmela,

2 EU:n yleistä tietosuoja-asetusta (General Data Protection Regulation, GDPR) sovelletaan lähtökohtaisesti kaikkeen henkilötietojen käsittelyyn alkaen. Aiempaa yksityiskohtaisempi tietosuoja-asetus sisältää säännökset rekisteröidyn oikeuksista sekä rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuuksista. Tietosuoja-asetus edellyttää, että tietosuojan tasoa nostetaan ja tietosuojaan kiinnitetään entistä enemmän huomiota johtamisessa, resursoinnissa ja organisaatiotason ratkaisuissa. Organisaation johdolla on edelleen kokonaisvastuu tietosuojasta.

3 Tietosuojauudistuksen tavoitteena on - varmistaa, että ihmisten oikeus henkilötietojen suojaan ja sitä kautta yksityisyyteen toteutuu myös nyt digiaikana, - lisätä henkilötietojen käsittelyn avoimuutta ja läpinäkyvyyttä sekä vahvistaa rekisteröityjen oikeuksia valvoa tietojensa käsittelyä, - ajantasaistaa (digitalisaatio, globalisaatio) ja yhtenäistää tietosuojasääntelyä kaikissa EU-maissa, - edistää digitaalisten sisämarkkinoiden kehittymistä. Tietosuoja-asetuksessa on keskeistä riskiperusteinen lähestymistapa (ennakointi, riskienhallinta), eli asetuksen velvoitteet ja tehtävät suojatoimet suhteutetaan henkilötietojen käsittelystä rekisteröidylle aiheutuvaan riskiin.

4 Uusia tietosuojaa ja henkilötietojen käsittelyä koskevia velvoitteita rekisterinpitäjälle on muun muassa: pystyttävä osoittamaan, että se noudattaa tietosuojaasetusta. Henkilötietojen käsittely on oltava läpinäkyvää. Prosessit ja käytännön toteuttaminen on siis suunniteltava ja dokumentoitava (esim. sertifiointi, alakohtaiset käytännesäännöt, tietotilinpäätös, omavalvontasuunnitelma, tietosuojaseloste). tehtävä tietosuojaa koskeva vaikutustenarviointi, erityisesti jos henkilötietojen käsittelyyn kohdistuu todennäköisesti korkea riski (riskiperusteinen lähestymistapa).

5 jatkuu toteuttaa tekniset ja organisatoriset toimenpiteet asetuksen vaatimusten noudattamiseksi (esim. henkilöstön koulutus, sisäiset ohjeet, tarkastus- ja valvontajärjestelmät, käytönvalvonta, tietojen salaus) ilmoitettava valvontaviranomaiselle henkilötietojen tietoturvaloukkauksesta, jos siitä voi aiheutua riski luonnollisten henkilöiden oikeuksille ja vapauksille. nimitettävä organisaation tietotosuojavastaava ja ilmoitettava tietosuojavastaavan yhteystiedot valvontaviranomaiselle. Tietosuoja-asetuksen rikkomisesta voi seurata muun muassa tuntuvia sakkoja tai henkilötietojen käsittelykielto.

6 Tietosuoja-asetus sisältää mm. seuraavia uusia oikeuksia rekisteröidylle hallita henkilötietojaan: pääsy omiin tietoihin helpottuu: ihmiset saavat enemmän tietoa siitä, miten heidän tietojaan käsitellään, ja tämä tieto on annettava heille selkeällä ja ymmärrettävällä tavalla (avoimuus, läpinäkyvyys) oikeus siirtää tiedot järjestelmästä toiseen: henkilötiedot on entistä helpompi siirtää palveluntarjoajalta toiselle entistä selkeämpi oikeus tulla unohdetuksi: kun rekisteröity ei enää halua, että hänen tietojaan käsitellään, tiedot poistetaan, paitsi jos on olemassa jokin laillinen peruste säilyttää ne

7 jatkuu oikeus vaatia, että henkilötietojen käsittelyä rajoitetaan: erimielisyystilanteissa rekisteröidyllä on oikeus vaatia, että henkilötietojen käsittelyä rajoitetaan väliaikaisesti oikeus saada tieto siitä, että omiin tietoihin on murtauduttu: kansalliselle tietosuojaviranomaiselle on ilmoitettava vakavista tietosuojaloukkauksista mahdollisimman pian, jotta käyttäjät voivat toteuttaa tarvittavat toimenpiteet. EU:n tietosuoja-asetus edellyttää Suomessa henkilötietolainsäädännön uudistamista. Henkilötietolain korvaavan tietosuojalain säätämisprosessi on meneillään.

8 Lisätietoja, esim.: Koulutusvideot ja nettitestit Tietosuojavaltuutetun toimiston ohjeita jne. (sivuston uudistus 5/2018) paat/1em8rt7if/miten_valmistautua_eun_tietosuoja-asetukseen.pdf

9