EU-TIETOSUOJAN KOKONAISUUDISTUS

Transkriptio

1 EU-TIETOSUOJAN KOKONAISUUDISTUS

2 TIETOSUOJAN NYKYTILANNE Tietosuoja Yksityisyyden suojaamista henkilötietoja käsiteltäessä [Henkilörekisterilaki (471/1987)] Henkilötietolaki (523/1999) Henkilötietojen käsittelyä koskeva yleislaki

3 MÄÄRITELMIÄ I Henkilötieto kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot (esim. nimi, henkilötunnus, kuva, biometrinen tai geneettinen tieto) Tunnistettavissa oleva henkilö voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, sijaintitiedon, verkkotunnistetietojen tai yhden tai useamman henkilölle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurisen tai sosiaalisen tekijän perusteella

4 MÄÄRITELMIÄ II Henkilötietojen käsittely kaikenlaiset toiminnot, joita kohdistetaan henkilötietoihin joko automaattista tietojenkäsittelyä hyödyntäen tai manuaalisesti esimerkiksi henkilötietojen kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, muokkaaminen, haku, käyttö, luovuttaminen, levittäminen tai saattaminen muutoin saataville, yhteensovittaminen, yhdistäminen, rajoittaminen, poistaminen ja hävittäminen

5 MÄÄRITELMIÄ III Rekisterinpitäjä luonnollinen tai oikeushenkilö, julkinen viranomainen, virasto tai muu elin, joka yksin tai yhteistyössä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot velvollinen laatimaan ja pitämään yleisesti saatavilla rekisteriselostetta, jossa kuvataan henkilötietojen käsittely tiiviisti esitetyssä, avoimessa ja helposti ymmärrettävässä muodossa

6 REKISTERISELOSTE

7 EU:N TIETOSUOJAUUDISTUS Hyväksytty toukokuussa 2016 Sisältö Tietosuoja-asetus Direktiivi lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta Voimaantulo Kahden vuoden siirtymäajan jälkeen Kansallisen lainsäädännön tarkistaminen, työryhmä , muutosesitys

8 EU:N TIETOSUOJA-ASETUS Tarkoitus Yhtenäistää henkilötietojen käsittelyn sääntelyä EU:n alueella Selkeyttää toimivaltakysymyksiä Tehostaa viranomaisyhteistyötä Selkeyttää sääntelyn käsitteitä Ottaa kantaa uusiin ilmiöihin ja teknologioihin Vahvistaa rekisteröityjen asemaa ja oikeuksia Velvoittaa rekisterinpitäjät toimimaan suunnitelmallisesti ja osoittamaan toimiensa vaatimustenmukaisuus

9 ASETUKSEN KESKEISIÄ OSA-ALUEITA

10 ASETUKSEN KESKEISIÄ OSA-ALUEITA

11 KESKEISET TERMIT - 27 KPL Rekisteröity Henkilö, jonka henkilötietoja käsitellään Rekisterinpitäjä Esim. oikeushenkilö, joka yksin tai yhteistyössä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot Henkilötietojen käsittelijä Luonnollinen tai oikeushenkilö, viranomainen, virasto tai muu elin, joka käsittelee henkilötietoja rekisterinpitäjän toimeksiannosta

12 KESKEISET TERMIT - 27 KPL Profilointi Henkilötietojen automaattinen käsittely, jossa henkilötietojen avulla arvioidaan tiettyjä henkilön ominaisuuksia tai analysoidaan tai ennakoidaan näkökohtia, jotka liittyvät kyseiseen henkilöön Tietosuojavastaava Rekisterinpitäjän nimettävä määritellyissä tilanteissa, esim. jos ydintehtävät muodostuvat toimista, jotka edellyttävät rekisteröityjen järjestelmällistä seurantaa laajassa mitassa

13 KESKEISET TERMIT - 27 KPL Johtava valvontaviranomainen Rekisterinpitäjä, joka toimii useassa EU:n jäsenvaltiossa, voi asioida päätoimipaikkansa valvontaviranomaisen kanssa Hallinnollinen sakko Valvontaviranomainen voi määrätä rekisterinpitäjälle tai henkilötietojen käsittelijälle sakon asetuksen vaatimusten laiminlyönnistä Enimmäismäärä 20 milj. tai 4% yrityksen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta

14 KESKEISET TERMIT - 27 KPL Tietoturvallisuus Tiedon luottamuksellisuuden, eheyden ja saatavuuden takaaminen teknisten ja organisatoristen toimenpiteiden ja menettelyjen avulla

15 REKISTERÖIDYN OIKEUDET 1. Rekisterinpitäjän tiedonantovelvoitteet Rekisteröidyille tiedotettava ennen henkilötietojen keräämistä, uusina henkilötietojen säilytysaika ja tietosuojavastaavan yhteystiedot 2. Oikeus saada pääsy omiin tietoihin 3. Oikeus tietojen oikaisemiseen 4. Oikeus poistaa tiedot (oikeus tulla unohdetuksi) Pyytää poistamaan esim. vanhentuneet tiedot Peruuttaa suostumuksensa, johon käsittely perustunut Ei sovelleta lakisääteisiin rekistereihin

16 REKISTERÖIDYN OIKEUDET 5. Oikeus siirtää tiedot järjestelmästä toiseen (uusi) Oikeus saada tiedot yleisesti käytössä olevassa siirtomuodossa ja siirtää ne toiselle rekisterinpitäjälle Tietojen siirtäminen suoraan toiselle rekisterinpitäjältä toiselle jos se on teknisesti mahdollista Oikeus edellyttää, että käsittely perustuu suostumukseen tai sopimukseen ja käsittely tehdään automaattisesti Oikeus ei velvoita rekisterinpitäjää suunnittelemaan/toteuttamaan keskenään yhteensopivia järjestelmiä

17 REKISTERÖIDYN OIKEUDET 6. Oikeus vastustaa käsittelyä, automaattista päätöksentekoa ja profilointia Ei sovelleta, jos päätös esimerkiksi: On välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täytäntöönpanoa varten Perustuu rekisteröidyn nimenomaiseen suostumukseen

18 REKISTERÖIDYN OIKEUDET 7. Oikeus saada ilmoitus henkilötietojen tietoturvaloukkauksesta (uusi) Ilmoitus henkilökohtaisesti niille, joiden tietoja loukkaus koskettaa (identiteettivarkaudet, maksuvälinepetokset, muu rikollinen toimita) Ilmoituksen sisältö: Kuvaus tapahtuneesta Tietosuojavastaavan nimi ja yhteystiedot Tiedot loukkauksen todennäköisistä vaikutuksista rekisteröidylle Kuvaus toimenpiteistä, joita rekisterinpitäjä toteuttaa haittavaikutusten lieventämiseksi

19 REKISTERINPITÄJÄN VELVOLLISUUDET 1. Käsittelyn oikeusperusta Lainmukaisen käsittelyn edellytyksiä, mm.: Rekisteröidyn vapaaehtoinen suostumus Sellaisen sopimuksen täytäntöön paneminen, jossa rekisteröity on osapuolena Rekisterinpitäjän lakisääteinen velvoite Rekisteröidyn elintärkeiden etujen suojaaminen Rekisterinpitäjälle kuuluvan julkisen vallan käyttäminen

20 REKISTERINPITÄJÄN VELVOLLISUUDET 2. Tietosuojan hallinnointi, rooli ja vastuut 2.1 Tietosuojavastaava (nyt esim. terveydenhuollossa) Nimeäminen pakollista, jos jokin ehdoista täyttyy: Tietojenkäsittelyä suorittaa viranomainen Ydintehtävät edellyttävät rekisteröityjen säännöllistä ja järjestelmällistä seurantaa laajassa mitassa Ydintehtävät muodostuvat käsittelytoimiin, jotka kohdistuvat rikostuomioihin tai rikoksia koskeviin tietoihin. Kohdistuu erityisesti julkiselle sektorille

21 REKISTERINPITÄJÄN VELVOLLISUUDET 2. Tietosuojan hallinnointi, rooli ja vastuut 2.2 Tietosuojaorganisaatio Jos nykyisin olemassa toimintamallit henkilötietojen käsittelyyn - riittää, että olemassa olevat toimintamallit ja prosessit päivitetään uusien vaatimusten mukaisiksi

22 REKISTERINPITÄJÄN VELVOLLISUUDET 2. Tietosuojan hallinnointi, rooli ja vastuut 2.3 Vuosikello

23 REKISTERINPITÄJÄN VELVOLLISUUDET 3. Tietosuojariskien hallinta 3.1 Tietosuojan vaikutuksenarvioinnit Valvontaviranomainen tulee julkaisemaan luettelon käsittelytoimista, jotka vaativat vaikutuksenarvioinnin laatimisen Arviointien tekeminen suositeltavaa kaikille Arviointien tulokset hyvä dokumentoida (vertailu/seuranta) Arviointimalleja tulossa

24 REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja Rekisterinpitäjä on velvollinen sisällyttämään tietosuojaperiaatteet ja vaatimukset osaksi henkilötietojen käsittelyä: Kerätään vain tietoja, jotka ovat välttämättömiä käsittelytarkoituksen kannalta Tietoja ei kerätä eikä säilytetä suurempia määriä eikä kauemmin kuin on välttämätöntä Tietoja ei saateta rajoittamattoman henkilömäärän saataville Taataan henkilötietojen suoja tarvittavin tietoturvakeinoin

25 REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja 4.1 Tietosuoja järjestelmä- ja sovelluskehityksessä V

26 REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja 4.2 Tietosuoja hankinnoissa ja projektinhallinnassa Ulkoistussopimuksiin vaatimukset tietosuojan toteutumisesta Vaatimukset yksilöitävä tarkasti Vaatimukset jo tarjouspyyntöihin Sopimuksiin salassapitovaatimukset ja vaitiolositoumukset

27 REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja 4.3 Tiedon elinkaaren määrittäminen ja hallinta

28 REKISTERINPITÄJÄN VELVOLLISUUDET 5. Tietoturvallisuuden toteuttaminen Koko henkilötietojen elinkaaren ajan 6. Poikkeamien hallinta ja ilmoitusvelvollisuus Ilmoitus rekisteröidylle, lisäksi valvontaviranomaiselle henkilötietojen tietoturvaloukkauksesta (tai selvitys viivästyksen syistä) 72 h kuluessa loukkauksen havaitsemisesta Ilmoituksen sisältö: kuten rekisteröidylle

29 REKISTERINPITÄJÄN VELVOLLISUUDET 7. Dokumentaatio, politiikat ja ohjeistukset Tietosuojan hallintajärjestelmän sisältö, esimerkki:

30 REKISTERINPITÄJÄN VELVOLLISUUDET 8. Rekisterinpitäjän ja käsittelijän väliset sopimukset 8.1 Sopimusten ja alihankkijoiden hallinta Osa henkilötietojen käsittelystä voidaan ulkoistaa toimeksisaajalle, henkilötietojen käsittelijälle Ulkoistussopimuksessa määriteltävä henkilötietojen käsittelyn kohde, tarkoitus ja kesto sekä sovittava käsiteltävät henkilötiedot

31 REKISTERINPITÄJÄN VELVOLLISUUDET 8. Rekisterinpitäjän ja käsittelijän väliset sopimukset 8.2. Tiedonsiirto Euroopan talousalueen ulkopuolelle Siirto ETA:n ulkopuolelle vain, jos komissio päättänyt kohdemaan tietosuojan riittävyydestä tai jos sovelletaan asianmukaisia suojatoimia EU:n tuomioistuin katsoi 10/2015 ETA:n ja USA:n välisen Safe Harbour järjestelyn pätemättömäksi (case Facebook-palvelu) Korvaavasta Privacy Shield sopimuksesta yhteisymmärrys 2/2016, ei vielä käytössä

32 REKISTERINPITÄJÄN VELVOLLISUUDET 9. Rekisterinpitäjän yhteistyövelvoite Valvontaviranomaisen niin pyytäessä Ennakkokuulemisen muodossa, jos arvioinnin perusteella suunniteltuun henkilötietojen käsittelyyn liittyy suuria riskejä ja rekisterinpitäjällä ei ole keinoja riskitason pienentämiseksi Tietoturvaloukkaustilanteen selvityksen yhteydessä

33 REKISTERINPITÄJÄN VELVOLLISUUDET 10. Hallinnolliset sakot ja seuraamukset Valvontaviranomaisella oikeus määrätä rekisterinpitäjälle/henkilötietojen käsittelijälle sakkoja tai hallinnollisia seuraamuksia asetuksen velvoitteiden laiminlyönnistä Sakon suuruus rikkomuksen luonteen perusteella, kolme luokkaa (10, 20 milj., kokonaisliikevaihto) Sakko max. 20 milj. tai 4 % yrityksen vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta Muita seuraamuksia: käsittelyn kieltäminen, kunnes velvollisuudet täytetty; rekisterinpitäjän tietosuojan toteutuksen auditointi

34 TOIMENPIDESUOSITUKSIA Kehittäminen suunnitelmallisesti ja ennakoivasti jatkuvana prosessina

35 MITEN HALLITA TÄMÄ KOKONAISUUS? 1. Vaatimustenmukaisuus Siirtymäaika päättyy , sen jälkeen asetuksen sisältö on noudatettavaa lakia Miten oma yritys huolehtii omassa hallinnassa olevien kokonaisuuksien osalta siitä, että ne ovat vaatimustenmukaisia 1,5 vuoden kuluttua Hallinnollisten seuraamusten (sakko) myötä alihankkijat ja ICT-palvelutoimittajat hoitanevat pääosin omat tehtävänsä asetuksen mukaisesti

36 MITEN HALLITA TÄMÄ KOKONAISUUS? 2. Hankalaa? Jokainen yritys käsittelee jo henkilötietoja toteutetaan nykyisen mallin facelift päivitetään mallia siten, että se saadaan täyttämään uudet vaatimukset Kaupalliset toimijat yrittävät tehdä tästä uutta vaatimusviidakkoa ei tarpeellista!

37 MITEN HALLITA TÄMÄ KOKONAISUUS? 3. Asiat kuntoon pala kerrallaan Työn määrää hankala arvioida: yrityksen hallinnon kehittäminen n. 90% palveluiden tekniset järjestelyt n. 10 % Henkilötietojen käsittelyn rooli yrityksessä ratkaisee: Artun asennuspalvelu vai Artun globaalit käyttö- ja konesalipalvelut pilvessä koskee molempia, mutta käytännön toteutuksessa eroja!

38 MITEN HALLITA TÄMÄ KOKONAISUUS? 4. Yhteistyö Kokemusten ja hyvien käytäntöjen jakaminen Tarvittavien ratkaisujen tuottaminen ja toteuttaminen ketterästi

39 TIIVISTYS Edellytettävät toimenpiteet 1. Johtaminen johto mukana tukemassa ja toimimassa esimerkkinä 2. Prosessien kehittäminen hallinnollinen työ 3. Muutostöiden tekeminen järjestelmiin pienempi työ 4. Muu hallinnollinen työ 5. Viestintä kouluttaminen

40 SUOSITUKSIA TOIMENPITEIKSI 1. Johdon osallistuminen ja tarvittavien resurssien varaaminen 2. Tietosuojan nykytila-analyysi ja kehitystoimenpiteet 3. Kehittämisprojektin asettaminen 4. Asetuksen soveltamisohjeiden seuraaminen

41 LISÄTIETOA JA TYÖKALUJA