EU:n tietosuoja-asetus GDPR (General data protection regulation) Tehdään yhdessä
Miksi EU uusii tietosuojasääntöjään? Henkilötietojen käsittely on kasvanut räjähdysmäisesti. Erilaisia henkilötietoja kerätään erityisesti sähköisissä palveluissa. Tarvitaan vankka säännöstö, joka varmistaa, että ihmisten oikeus henkilötietojen suojaan säilyy myös digitaaliaikana. 2
Ketä asetus koskee, ja mistä siinä on kyse? Yleinen tietosuoja-asetus on tullut voimaan 24.5.2016 ja sen soveltaminen alkaa siirtymäajan päätyttyä 25.5.2018. Tietosuoja-asetus koskee kaikkia henkilötietoja käsitteleviä organisaatioita. Asetuksen tarkoituksena on ajantasaistaa tietosuojaa koskevaa sääntelyä, lisätä henkilötietojen käsittelyn avoimuutta sekä vahvistaa henkilöiden oikeuksia valvoa henkilötietojensa käsittelyä. Asetuksen mukanaan tuomat muutokset antavat ihmisille paremmat edellytykset kontrolloida omia henkilötietojaan ja helpottavat tiedonsaantia omien henkilötietojen käsittelystä. Tarkoituksena on varmistaa, että ihmisten henkilötiedot ovat suojassa riippumatta siitä, missä ne lähetetään, käsitellään tai säilytetään 3
Mitkä ovat uudistuksen hyödyt kansalaisille? Oikeus tulla unohdetuksi: Kun käyttäjä ei enää halua, että hänen tietojaan käsitellään, tiedot poistetaan, paitsi jos on olemassa jokin laillinen peruste säilyttää ne. Tiedonsaanti helpottuu: Ihmiset saavat tietoa siitä, miten heidän tietojaan käsitellään, ja tämä tieto on annettava heille selkeällä ja ymmärrettävällä tavalla.. Oikeus saada tieto tietoturvaloukkauksesta: Yritysten ja organisaatioiden on raportoitava kansalliselle tietosuojaviranomaiselle tietoturvaloukkauksista. Käyttäjille on ilmoitettava vakavista loukkauksista mahdollisimman pian, jotta nämä voivat ryhtyä tarvittaviin toimiin. Sisäänrakennettu ja oletusarvoinen tietosuoja: Palveluiden on oltava oletusarvoisesti tietoturvallisia ja tietosuojan huomioivia. Tiukemmat seuraukset rikkomuksista: tietosuojaviranomaiset voivat antaa EU-sääntöjä rikkovalle yritykselle sakon, joka on jopa 20 miljoonaa euroa tai neljä prosenttia yhtiön maailmanlaajuisesta liikevaihdosta. 4
Mikä on henkilörekisteri? Henkilörekisterillä tarkoitetaan henkilötietolain määritelmän mukaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka, joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta. Lain määrittämä henkilörekisteri on siten looginen henkilörekisteri. Samaan loogiseen rekisteriin kuuluvat sekä automaattisen tietojenkäsittelyn avulla ylläpidetyt osat että manuaalisesti pidetyt osat, jos rekisterinpitäjä käyttää tietoja saman tehtävän hoitamisessa. 5
Mitä tarkoitetaan riskiperusteisella lähestymistavalla? Tietosuoja-asetuksessa rekisterinpitäjän velvoitteiden määräytymisen osalta puhutaan riskiperustaisesta lähestymistavasta. Riskiperustainen lähestymistapa tarkoittaa, että tietosuojaasetuksen velvoitteet ja asianmukaiset suojatoimet on suhteutettava henkilötietojen käsittelystä rekisteröidyn oikeuksilla ja vapauksille aiheutuvaa riskiin. Tällä pyritään välttämään matalariskisen toiminnan ylisääntelyä ja suhteuttamaan tarpeelliset toimenpiteet kulloinkin henkilötietojen käsittelyyn liittyvän riskin mukaisesti. Rekisterinpitäjän on arvioitava henkilötietojen käsittelyyn liittyvät riskit. Riskillä tarkoitetaan henkilötiedon käsittelystä rekisteröidylle mahdollisesti aiheutuvia fyysisiä, aineellisia tai aineettomia vahinkoja silloin, kun käsittely saattaa johtaa syrjintään, identiteettivarkauteen tai petokseen, taloudellisiin menetyksiin, sosiaaliseen vahinkoon tai nimettömyyden kumoutumiseen. 6
Mitä ovat tietosuojaperiaatteet? Rekisteröityjen tietojen käsittelyn lainmukaisuus, kohtuullisuus ja läpinäkyvyys Henkilötiedot on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Käyttötarkoitussidonnaisuus Henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoituksen kanssa yhteen sopimattomalla tavalla. Tietojen minimointi Henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa tarkoituksiin joita varten niitä käsitellään. Tietojen täsmällisyys Henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan. Tietojen säilytyksen rajoittaminen Henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. 7
Mitä ovat tietosuojaperiaatteet? Tietojen eheys ja luottamuksellisuus Henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen turvallisuus, kuten suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta hävittämiseltä, tuhoutumiselta tai vahingoittumiselta. Rekisterinpitäjän osoitusvelvollisuus Henkilötietorekisterit on dokumentoitava, huolehdittava että rekisteriselosteet ovat kunnossa, suostumukset henkilötietojen käsittelyyn on arkistoitava (esim. tietojen käyttäminen suoramarkkinoinnissa). Rekisterinpitäjän on huolehdittava siitä, että tietosuojaperiaatteita noudatetaan kaikissa henkilötietojen käsittelyvaiheissa. Rekisterinpitäjää koskevan osoitusvelvollisuuden johdosta rekisterinpitäjän on pystyttävä myös osoittamaan, että periaatteita noudatetaan. Periaatteiden noudattamisen osoittaminen edellyttää rekisterinpitäjältä muun muassa henkilötietojen käsittelyn aiempaa tarkempaa suunnittelua ja dokumentointia. 8
Mitä tulee ottaa huomioon henkilötietoja kerättäessä? Kun yhdistys kerää henkilötietoja, on henkilötietojen käsittelyn perustuttava suostumukseen. On kiinnitettävä huomiota siihen, miten suostumus annetaan: Asetuksen mukaan suostumus on annettavan selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, sähköisellä tai suullisella lausumalla. Lausumasta on käytävä ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Suostumuksen on katettava kaikki käsittelytarkoitukset. Suostumusta ei voi antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jonkin toimen toteuttamatta. Eli esimerkiksi valmiiksi valittu vaihtoehto nettilomakkeella Tietojani saa käyttää suoramarkkinointiin ei ole pätevä suostumuksen ilmaisu. Muista, että rekisterinpitäjää koskeva osoitusvelvollisuus koskee myös suostumuksen olemassaoloa. Huolehdi ajantasaisen rekisteriselosteen saatavuudesta henkilötietojen keräämisen yhteydessä. 9
Mitä toimenpiteitä yhdistyksen tulee tehdä? Selvitä mitä henkilötietorekistereitä yhdistyksellä on, mitä tietoja ne sisältävät, missä ne on tallennettuna, kuka rekistereihin pääsee käsiksi ja miten tietoja päivitetään rekistereihin. Yksi rekisteri on siis tietyn tehtävän hoitamiseksi varten luotu rekisteri johon on tallennettu tietoja joista henkilöt voidaan tunnistaa. Tiedot voivat olla tallennettuna sähköisesti tai paperille ja yhdessä rekisterissä voi olla molempia tallennustapoja. Tee rekisteriseloste jokaisesta käytössä olevasta rekisteristä. Malli löytyy Nettisalkusta. Arvio mitä riskejä rekisteröidylle voi aiheutua jos tiedot pääsevät vääriin käsiin. Älä kerää henkilötietoja joita et toiminnassasi tarvitse. Hävitä henkilötiedot joita et enää tarvitse. Varmista, että rekisteröityjen tietoja ei saateta rajoittamattoman henkilömäärän saataville ilman rekisteröidyn suostumusta. Esim. älä julkaise luetteloa jäsenistä ilman suostumusta, huolehdi että jäsenluettelo ei ole julkisesti nähtävillä... 10
Mitä toimenpiteitä yhdistyksen tulee tehdä? Huolehdi tietoturvasta (Tietokoneen virustorjunta ja palomuuri ajan tasalla, paperiset tiedot lukituissa tiloissa ja lista kenellä on avaimet joilla tietoihin voi päästä käsiksi, salaa sähköpostilla lähetettävät tiedostot, hävitä tiedot tietoturvallisesti esim. silppuamalla paperiset henkilölistaukset, huolehdi että tiedot hävitetään vanhoista tietokoneista ) Käy tietoja käsittelevien henkilöiden kanssa läpi miten tietoja tulee turvallisesti käsitellä jotta kaikilla on selvät ja yhtenevät ohjeet henkilötietojen käsittelyyn. Varmista sopimuksin, että kolmannet henkilötietoja käsittelevät osapuolet (esim. lehden painotalot, kassajärjestelmätoimittaja) noudattavat henkilötietojen käsittelyssä tietosuojaasetusta. Mikäli rekisteröity haluaa saada tietää mitä tietoja hän on itsestään antanut yhdistyksen rekistereihin on tiedot annettava viimeistään kuukauden kuluessa pyynnön vastaanottamisesta. Suunnittele miten mahdollinen tietoturvaloukkaus tunnistetaan, ilmoitetaan ja dokumentoidaan. Tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle 72 tunnin kuluessa mikäli loukkauksesta aiheutuu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. 11
Mitä toimenpiteitä tekee yhdistysten puolesta? pitää liittokokouksen päätöksellä jäsenyhdistysten puolesta luetteloa jäsenyhdistystensä henkilöjäsenistä ja huolehtii rekisterin tietoturvasta. Huolehtii toimittajakumppaneiden kanssa Sense jäsenrekisterin teknisestä toimintavarmuudesta, teknisestä tietoturvasta sekä Sense jäsenrekisterin tietojen ajantasaisuudesta. Huolehtii sopimuksista niiden henkilötietojen käsittelijöiden kanssa, joille toimittaa suoraan yhdistysten jäsenten henkilötietoja (esim. Caravan-lehden painotalo, Sense jäsenrekisterin toimittaja, muut yhteistyökumppanit). Neuvoo yhdistyksiä kaikissa jäsenrekisteriin liittyvissä kysymyksissä. Seuraa asetuksen soveltamiseen liittyviä uusia ohjeistuksia ja tiedottaa näistä tarvittaessa yhdistyksiä. Laatii tukimateriaalia ( esim. rekisteriselostemallit, ohjemateriaalit ym.) yhdistysten käyttöön. 12
Nämä toimenpiteet on kaikkien yhdistysten tehtävä! Tiedosta, että yhdistys pitää yhdistyslain 11 mukaan jäsenluetteloa, vaikka jäsenluettelon pitäminen, jäsenmaksujen keräys ja jäsenrekisterin päivittäminen onkin ulkoistettu SF-Caravan ry:lle eli liitolle. Nimeä yhdistyksestäsi yhteyshenkilö (esimerkiksi jäsenkirjuri) liiton ja yhdistyksesi välille koordinoimaan jäsenrekisteritoimintaa. Selvitä olemassa olevat henkilötietorekisterit ( paperiset tai sähköiset henkilötietoja sisältävät listaukset ), joita voi olla esimerkiksi Kausipaikkarekisteri Leirintäalueen asiakasrekisteri Luottamushenkilörekisteri Isäntävuorolistat Rekisteri ulkojäsenistä 13
Nämä toimenpiteet on kaikkien yhdistysten tehtävä! Tee dokumentti, johon kirjaat ylös kaikki henkilötietorekisterit, mitä tietoja henkilötietorekisterit sisältävät, kuinka kauan henkilötietorekisterissä olevia tietoja säilytetään, miten tiedot henkilötietorekisteriin päivittyvät ja ketkä rekisteriin pääsee käsiksi. Esimerkiksi Rekisterin nimi: Kausipaikat Rekisterin käyttötarkoitus: Kirjanpito kausipaikan lunastaneista henkilöistä Rekisterin sisältämät tiedot: Nimi, osoite, puhelinnumero, sähköpostiosoite, kausipaikan alkupvm, kausipaikan loppupvm, kausipaikkamaksu suoritettu pvm, kausipaikkamaksun suuruus euroa Rekisterin tietojen päivittäminen, käyttöoikeudet ja suojaaminen: Tietoja päivitetään käsin ja tietoja säilytetään salasanalla suojatulla tietokoneella sekä lukitussa kaapissa mapissa leirintäalueen toimistossa. Salasana on tiedossa Yhdistyksen luottamushenkilöillä sekä alueen isännillä ja mappien säilytyskaapin avain on yhdistyksen sihteerillä, puheenjohtajalla sekä yksi avain vuorossa olevalla alueisännällä. Tietokone on suojattu virustorjuntaohjelmalla jonka päivityksiä pidetään ajan tasalla. Tietojen säilytysaika: Tiedot säilytetään kaksi vuotta kausipaikkasopimuksen päättymisestä jonka jälkeen tiedot hävitetään. 14
Nämä toimenpiteet on kaikkien yhdistysten tehtävä! Hävitä vanhat tarpeettomat rekisterit pois. Muista tietoturva kun hävität tarpeettomia tietoja! Tee rekisteriselosteet jäljelle jäävistä rekistereistä. Valmis pohja rekisteriselosteelle löytyy Nettisalkusta. Rekisteriseloste tulee olla rekisteröityjen saatavilla. Ohjeista kaikkia henkilörekistereitä käsitteleviä henkilöitä miten tietoja tulee käsitellä Säilytetään paperiset henkilörekisterit siten että tietoihin ei pääse asiattomat käsiksi Huolehditaan tietojen hävittämisen yhteydessä että esimerkiksi paperiset rekisterit silputaan Ei lähetetä henkilörekisterin tietoja suojaamattomina. Esimerkiksi jos lähetät jäsenrekisterin tiedot Excelissä sähköpostilla, suojaa tiedosto salasanalla. Paperisia listoja voi lähettää suljetussa kirjekuoressa kuten ennenkin. Tee sopimukset henkilötietojanne käsittelevien tahojen kanssa, joissa sovitaan että henkilötietoja käsitellään tietosuoja-asetuksen mukaisesti. Esimerkiksi lehden painotalo, sähköisen rekisteriohjelman toimittaja (ei Sense, liitto hoitaa) jne 15
Lisätietoja Moni asia täsmentyy vasta siirtymäajan kuluessa, ja asetuksen tulkinta tarkentuu oikeuskäytännön kautta. Esimerkiksi henkilötietolakia ja henkilötietodirektiiviä koskevia tulkintalinjauksia tehdään yhä oli 20 vuotta direktiivin hyväksymisen jälkeen. Tämän esityksen lähteenä on käytetty Tietosuojavaltuutetun verkkosivuilta löytyvää materiaalia Miten valmistautua EU:n tietosuoja-asetukseen johon kannattaa tutustua. www.tietosuoja.fi Kaikissa asiaan liittyvissä kysymyksissä auttavat jäsenrekisterinhoitajat Antti Rättö ja Päivi Fjällström. Antti 03 615 3143 jasenrekisteri@karavaanarit.fi Päivi 03 615 3133 jasenrekisteri@karavaanarit.fi 16