Euroopan unionin yleinen tietosuoja-asetus mikä muuttuu? Ville Vainio, OTM, Asianajotoimisto Applex Oy

Sisältö Tietosuojalainsäädännön peruskäsitteet ja toimijat Siirtyminen henkilötietolaista tietosuojaasetukseen Tietosuoja-asetuksen suurimmat muutokset ja valmistautuminen Osoitus- ja dokumentointivelvollisuus Asianmukaiset tekniset ja organisatoriset toimenpiteet Pakolliset sopimusvaatimukset Tietoturvaloukkauksista ilmoittaminen Hallinnolliset sakot ja niihin varautuminen 2

Tietosuoja ja tietoturva Tietosuoja Luonnollisten henkilöiden [yksityisyyden] suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus Tietoturva Luonnollisten henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että asetuksessa säädetyt vaatimukset täyttyvät 3

Henkilötietojen käsittelijä Rekisterinpitäjä Liitot ja piirit Alihankkija (käsittelijä) Henkilörekisteri Tietojärjestelmä Kiltarekisteri Excel paperiarkistot Rekisteröity (jäsen, käyttäjä, työntekijä, muu henkilö) 4

EU:n yleinen tietosuoja-asetus 5

Henkilötietodirektiivistä ja kansallisista laeista tietosuoja-asetukseen Euroopan unionin nykyinen tietosuojadirektiivi 95/46/EY peräisin vuodelta 1995 Direktiivin nojalla EU:n jäsenvaltioilla omat kansalliset tietosuojalait, joissa merkittäviäkin keskinäisiä eroja Sääntely ei enää vastaa nykypäivän teknologiaa Vuonna 2012 EU-komission esitys uudesta tietosuojaasetuksesta Kuluttajien luottamuksen lisääminen digitaalisiin sisämarkkinoihin Yrityksille yhdet EU:n laajuiset tietosuojapelisäännöt Asetus hyväksyttiin 27.4.2016, soveltaminen alkaa 25.5.2018 OM:n työryhmä valmistelee kansallista implementointia Hallituksen esitys kansallisesta lainsäädännöstä 9/2018 Yleinen tietosuojalaki täydentää asetusta Suomen osalta 6

Osoitus- ja dokumentointivelvollisuus 7

Käsittelyn tunnistaminen ja määrittäminen Keiden henkilötietoja käsitellään? Jäsenet, työntekijät jne. Mitä henkilötietoja käsitellään? Vain tarpeellisia tietoja Onko erityisiä / arkaluontoisia tietoja? Mistä henkilötietoja kerätään? Henkilöiltä itseltään / mistä muualta? Millä perusteella henkilötietoja käsitellään? Sopimus, suostumus, oikeutettu etu (jäsenyys), lakisääteinen velvoite ym. Mitä tarkoitusta varten henkilötietoja käsitellään? Jäsenyys, työsuhde jne. Miten henkilötietoja käsitellään? Tietojärjestelmät, profilointi? Keille henkilötietoja luovutetaan? Palveluntarjoajat, viranomaiset, yhteistyökumppanit Siirretäänkö tietoja ETA-alueen ulkopuolelle? Sisältyykö käsittelyyn riskejä? Vaikutustenarviointi, toimenpiteet riskien pienentämiseksi Tietotilinpäätöksen laatiminen! 8

Henkilötietojen käsittelyä koskevat periaatteet Lainmukaisuus, kohtuullisuus ja läpinäkyvyys Käyttötarkoitussidonnaisuus Tietojen minimointi Täsmällisyys Säilytyksen rajoittaminen Eheys ja luottamuksellisuus Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että näitä periaatteita on noudatettu! 9

Sisäänrakennettu ja oletusarvoinen tietosuoja Tietosuojaperiaatteiden täytäntöönpanemiseksi on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, ottaen huomioon: Uusin tekniikka ja toteuttamiskustannukset, Käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset Käsittelyn aiheuttamat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit Erityisesti henkilötietojen vahingossa tapahtuva tai laiton tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai pääsy henkilötietoihin Menettely toimenpiteiden tehokkuuden testaamiseksi Käsittelijöille on laadittava kirjalliset ohjeet henkilötietojen käsittelystä 10

Asianmukaiset tekniset ja organisatoriset toimenpiteet Henkilöstön koulutus Henkilöstölle annetut ohjeet ja määräykset Salassapitositoumukset Tilavalvonta Omavalvonnan kautta tapahtuva käytönvalvonta Tietojärjestelmien tietoturva Tietojen salaus Tietojen anonymisointi & pseudonymisointi Auditointi Etäkäyttöyhteydet Tekniset rajoitukset Tarkastus- ja valvontajärjestelmät Tietotilinpäätösprosessi Käytännesääntöjen ja sertifikaattien käyttöönotto 11

Rekisteröityjen oikeudet ja informointi 12

Läpinäkyvyys tietojenkäsittelyssä Rekisteröidylle annettava käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä Rekisteröidyn käyttäessä oikeuksiaan rekisterinpitäjän on toimitettava rekisteröidylle kuukauden kuluessa tiedot toimenpiteistä, joihin on ryhdytty rekisteröidyn pyynnön johdosta Jos rekisterinpitäjä ei toteuta pyydettyjä toimenpiteitä, ilmoitettava viimeistään kuukauden kuluessa pyynnön vastaanottamisesta rekisteröidylle syyt siihen ja kerrottava mahdollisuudesta tehdä valitus valvontaviranomais elle ja käyttää muita oikeussuojakeinoja 13

Tietosuojaselosteet Informointivelvoite toteutetaan tietosuojaselosteella Henkilötietorekisteristä tulee laatia tietosuojaseloste Mitä tietoja käsitellään Mihin tarkoituksiin käsitellään Mistä tiedot saadaan, kenelle luovutetaan Kauan tietoja säilytetään jne. Selkeä ja ymmärrettävä kieli, helppolukuisuus, mutta samalla täsmällinen ja tarkka! Tietosuojavaltuutetun toimiston malli, tietosuoja.fi 14

Rekisteröityjen oikeudet Tiedonsaantioikeus Oikeus saada tietää, käsitelläänkö henkilötietoja + jäljennös käsiteltävistä henkilötiedoista maksutta Oikeus oikaista ja täydentää henkilötietonsa Oikeus henkilötietojensa poistamiseen Määritettävä prosessi rekisteröityjen oikeuksiin vastaamiseksi 30 päivän aikarajan sisällä! Kuka käsittelee pyynnön? Miten toimenpiteet voidaan toteuttaa? 15

Asetuksen pakolliset sopimusvaatimukset 16

Sopimussuhde Rekisterinpitäjä voi antaa henkilötietojen käsittelijälle toimeksiannon käsitellä tietoja Käsittelijän täytettävä asetuksen vaatimukset Toteutettava riittävät tietoturvatoimenpiteet Kirjallinen tietojenkäsittelysopimus Täytettävä GDPR 28 artiklan vaatimukset Käsittelijä saa käsitellä tietoja ainoastaan rekisterinpitäjän dokumentoitujen ohjeiden perusteella rekisterinpitäjän määrittämiin tarkoituksiin Sopimuksen on oltava voimassa 25.5.2018 alkaen 17

Henkilötietojen käsittelijä Rekisterinpitäjä Liitot ja piirit Alihankkija (käsittelijä) Henkilörekisteri Tietojärjestelmä Kiltarekisteri Excel paperiarkistot Rekisteröity (jäsen, käyttäjä, työntekijä, muu henkilö) 18

Tietoturvaloukkaukset 19

Velvollisuus ilmoittaa tietoturvaloukkauksista tietosuojaviranomaisille Rekisteri Henkilötietojen käsittelijä Tiedon saamisen jälkeen ilmoitus viipymättä rekisterinpitäjälle Rekisterinpitäjä Ilmoitus tietosuojaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa 72 tuntia Tietosuojaviranomainen Jos korkea riski, ilmoitettava rekisteröidylle 20

Vahingonkorvaus ja hallinnolliset sakot 21

Oikeussuojakeinot, vastuu ja seuraamukset Rekisteröidyllä oikeus tehdä valitus valvontaviranomaiselle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta Jos henkilölle aiheutuu asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta Rekisterinpitäjä tai henkilötietojen on vapautettava vastuusta, jos se osoittaa, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta Siten pystyttävä osoittamaan dokumentaation avulla, että asetusta on noudatettu henkilötietojen käsittelyssä 22

Viranomaisen puuttumiskeinot 10 M TAI 20 M, jos rikottu seuraavia: (i) Käsittelyn perusperiaatteet, ml. suostumuksen edellytykset; (ii) Rekisteröityjen oikeudet; (iii) Henkilötietojen siirrot ETA:n ulkopuolelle; (iv) Valvontaviranomaisen määräyksen noudattamatta jättäminen tai pääsyn antamista koskevan velvollisuuden rikkominen 23

Asetukseen valmistautuminen 24

Asetukseen valmistautuminen Osoitusvelvollisuus toteutetaan dokumentoinnin kautta Toteuta tietotilinpäätös (nykytilan kuvaaminen ja arviointi) Toteuta vaikutustenarviointi, jos korkea riski Päivitä tietosuojaselosteet Kirjalliset, asetuksen 28 artiklan pakolliset vaatimukset täyttävät sopimukset tietojenkäsittelystä asiakkaiden ja palveluntarjoajien kanssa Kirjalliset ohjeet tietojenkäsittelystä omille käsittelijöille ja palveluntarjoajille Asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttaminen Tehtävien ja vastuiden jakaminen organisaation sisällä Suunnittele henkilötietojen käsittelyn elinkaari 25

Asianajotoimisto Applex Oy 020 7912 950 info@applex.fi Hämeenkatu 20 A, 33200 Tampere Mannerheimintie 16 A, 00100 Helsinki Yliopistonkatu 36 A, 40100 Jyväskylä www.applex.fi Applex Attorneys - All rights reserved