Fintech-yrityksen tietosuoja: Tietosuoja-asetus Markus Myhrberg

Transkriptio

1 Fintech-yrityksen tietosuoja: Tietosuoja-asetus Markus Myhrberg

2 Sääntely-ympäristö Henkilötietolaki Perustuslaki EIS, EU perusoikeuskirja GDPR (PSD2) Työelämän tietosuojalaki Tietoyhteiskuntakaari Erityislait Pankkisalaisuus Rahanpesu Rikoslaki Julkisuuslaki Kilpailuoikeus Viranomaismääräykset ja ohjeet (FIVA, TSV, Ficora) Itsesääntely

3 Tarkoitus ja tavoitteet EU:n yleinen tietosuoja-asetus, GDPR Soveltaminen alkaa EU:n tasoinen harmonisointi (kansallista liikkumavaraa) Asetuksen tarkoituksena Ajantasaistaa ja yhdenmukaistaa sääntelyä Lisätä avoimuutta ja läpinäkyvyyttä Vahvistaa rekisteröidyn oikeutta valvoa tietojen käsittelyä

4 Muutoksia Lainsäädäntö yksityiskohtaisemmaksi Henkilötietojen käsittelyn edellytykset tiukkenevat Rekisteröityjen oikeudet vahvistuvat Rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet ja kustannukset lisääntyvät Suunnittelu-, dokumentointi- ja arviointivelvoitteet > hallinnollinen taakka lisääntyy Riskit ja sanktiot kasvavat Riskienhallintakäytännöt muuttuvat

5 Sisäänrakennettu ja oletusarvoinen tietosuoja Privacy by Design & Privacy by Default Tietosuojaperiaatteet tehokkaasti ja asianmukaisesti osaksi käsittelyä kaikissa vaiheissa Huomioitava tietosuoja osana palvelun tuotekehitystä Käsiteltävä vain määriteltyjen tarkoitusten kannalta tarpeellisia henkilötietoja Määrä, laatu, säilytysaika ja saatavilla olo (pääsynhallinta) Käsittelyn luonne, laajuus ym. suhteutettava käytettäviin suojamekanismeihin Koulutus, dokumentointi, ohjeistus, sopimukset, valvonta, pseudomisonti ja anonomysointi, rajoitukset, tietoprosessit ja käytännesäännöt

6 Käsittelyn periaatteet Henkilötietojen käsittelyä koskevat periaatteet Säilyvät pääosin samoina kuin ennen Lainmukaisuus, kohtuullisuus ja läpinäkyvyys (informointi) Käyttötarkoitussidonnaisuus (huom. myös vastaanottaja) Luovutusten huomioiminen, tietojen yhdistäminen Tietojen minimointi (tarpeellisuus) Täsmällisyys Säilytyksen rajoittaminen Eheys ja luottamuksellisuus (palautettavuus ja vikasietoisuus) Osoitusvelvollisuus

7 Käsittelyn periaatteet Käsittelyn perusta Yksiselitteinen suostumus, sopimus Lakisääteinen velvollisuus tunnistamis- ja tuntemisvelvollisuus > ulkoisen paveluntajoajan rooli? Asiakkuus ja suoramarkkinointi (oikeutettu etu) Tuntemistiedot: Velvollisuus informoida asiakkaita selkeästi siitä, miksi tietoja kysytään ja mihin tarkoitukseen niitä käytetään Ei saa käyttää markkinointiin (uusi rahanpesulaki)

8 Osoitusvelvollisuus Vaatimustenmukaisuus ( Compliance ) => tili-/osoitusvelvollisuus ( Accountability ) Jatkuva lainsäädännön noudattamisen osoitus > prosessien ja tietosuojaperiaatteiden dokumentointi henkilötietovirrat > rajapinnat seloste viranomaisille

9 Rekisteröidyn oikeudet Suostumusten, kieltojen (vastustaminen), oikaisujen ja poistojen hallinta, käsittelyn rajoittaminen, tietopyynnöt Prosessit ja tietojärjestelmien toteutus Tietojen siirrettävyys Itse toimitetut tiedot Automaattiset yksittäispäätökset ja profilointi Suostumus tai erityinen perusta Automaattinen luottohakemuksen epääminen (ihmisen osallistuminen?) Käyttöehtojen asema?

10 Sopimukset Sopimukset (DPA) palveluntarjoajien kanssa Otettava mukaan asetuksen vähimmäisvaatimukset henkilötietojen käsittelijälle Tunnistamispalvelut? Myös järjestelmätoimittajat Ohjeistus olennaisessa osassa Vastuuta ja riskejä ei voi ulkoistaa

11 Informointi ja käytännöt Tietosuojakäytännöt (Privacy Policy) Selkeät ja informatiiviset, helposti saatavilla Kansantajuinen kieli, sanottava suoraan, ei juridista jargonia! Säilytysaika, tietosuojavastaava Liittyykö käsittelyyn automaattista päätöksentekoa tai profilointia, millainen käsittelylogiikka niihin liittyy, sekä niiden merkitys ja seuraukset rekisteröidyille Evästepolitiikka (>Tietoyhteiskuntakaari/ePrivacy direktiivi) Informoinnin muoto Blended approach Videot, tietokohtainen, Omat Tiedot hallintavalikko Monitasoiset ilmoitukset

12 GDPR Compliance Nykytila => roadmap => GDPR-valmius Kokonaiskuva nykytilasta (Privacy DD) / tietotilinpäätös Vaiheistettu prosessi Rekisterien määrittely (looginen rekisterikäsite) Tietosuojavastaava? Tietoturva? Riskiperusteinen lähestyminen Riskianalyysit Koskee myös kerättävien tietojen määrää suhteessa muun lainsäädännön riskeihin

13 Tiedon hyödyntäminen ja tietosuoja-asiat myyntivaltiksi!

14 Markus Myhrberg Lexia Attorneys Ltd Lönnrotinkatu 11 FI Helsinki tel fax