Maailma ja tietosuoja muutoksessa - Mitä tietosuojasta pitäisi osata 26.1.2018 Reijo Aarnio tietosuojavaltuutettu Tietosuojavaltuutetun toimisto 1
MITÄ TIETOSUOJA TARKOITTAA? 2
SUOMEN PERUSTUSLAKI (731/1999) 10 Yksityiselämän suoja Jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla. Kirjeen, puhelun ja muun luottamuksellisen viestin salaisuus on loukkaamaton. Lailla voidaan säätää perusoikeuksien turvaamiseksi tai rikosten selvittämiseksi välttämättömistä kotirauhan piiriin ulottuvista toimenpiteistä. Lailla voidaan säätää lisäksi välttämättömistä rajoituksista viestin salaisuuteen yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavien rikosten tutkinnassa, oikeudenkäynnissä ja turvallisuustarkastuksessa sekä vapaudenmenetyksen aikana. 3
EU:N PERUSOIKEUSKIRJA LISSABONIN SOPIMUS II LUKU: VAPAUDET 7 artikla Yksityis- ja perhe-elämän kunnioittaminen Jokaisella on oikeus siihen, että hänen yksityis- ja perheelämäänsä, kotiaan sekä viestejään kunnioitetaan. 8 artikla Henkilötietojen suoja 1. Jokaisella on oikeus henkilötietojensa suojaan. 2. Tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. 3. Riippumaton viranomainen valvoo näiden sääntöjen noudattamista. 4
TIETOSUOJAVALTUUTETUN TOIMISTO PERUSKYSYMYS juridinen kiista PIDÄ HAUSKAA POIKIEN KANSSA, KULTA! - Teknologianeutraalisuus - Liikkumisvapaus - Yksityiselämän suoja - Omaisuuden suoja?? - Perusoikeuksien turvaaminen - Kokoontumis- ja yhdistymisvapaus - Sananvapaus ja julkisuusperiaate - Itsemääräämisoikeus - Oikeus henkilökohtaiseen vapauteen ja koskemattomuuteen 5
MITÄ YKSITYISYYS ON? MITÄ TIETOSUOJA TARKOITTAA? * Perustuslaki 10 => perusoikeus; poikkeuksista on säädettävä lailla * Oikeus vaikuttaa ja päättää itseään koskevien tietojen käsittelystä * Oikeus tietää tietojensa käsittelystä * Oikeus järjestää yksityiselämänsä ilman perusteetonta ulkopuolisten puuttumista; viestinnän luottamuksellisuus * Oikeus tulla arvioiduksi virheettömien ja tarpeellisten tietojen perusteella * Oikeus tulla kohdelluksi muiden perusoikeuksien mukaisesti (demokratia) * Oikeus saada tietoonsa perusteet, joihin automaattiset päätökset perustuvat * Oikeus luottaa tietoturvallisuuteen => turvaa muita oikeuksia * Oikeus saada apua ja neuvontaa itsenäisiltä viranomaisilta * Oikeus saada tieto viranomaisten asiakirjoista * Tahtotila: toisen herkkyystilaa on vaikea arvioida 6!
TIEDOLLISTEN PERUSOIKEUKSIEN PERHE * Oikeus yksityiselämän suojaan Perustuslaki 10 * oikeus elää ilman ulkopuolisten tarpeetonta puuttumista * oikeus ihmisarvoiseen kohteluun * oikeus kunniaan * yksilön itsemääräämisoikeus * yhdenvertaisuuden periaate * syrjintäkielto * oikeus saada tieto viranomaisten asiakirjoista * sananvapaus 7
Mihin näitä oikeuksia tarvitaan? Nämä oikeudet turvaavat:? 4 OIKEUKSIEMME PUOLUSTAMISEN 4 perusoikeuksiemme toteutumisen 4 ihmisarvoisen kohtelun 4 yksilön itsemääräämisoikeuden 4 kunnian 4 syrjimättömyyden 4 yhdenvertaisuuden kansalaisina 4 sananvapauden 4osallistumisen yhteiskunnalliseen päätöksentekoon!!!!! Hyvän elämänlaadun! 8
UUSIA OIKEUKSIA: - Oikeus mm. keskeyttää, vastustaa - Oikeus siirtää tiedot - Oikeus tunnistaa turvalliset verkkosivut - Oikeus luottaa tietoturvaan - Oikeus saada asia vireille, myös viranomaista vastaan - Oikeus tietää tietoturvaloukkauksista - Viranomaisten toimivalta paranee! 9
Huoneentaulu rekisteröityjen oikeuksista Oikeus saada läpinäkyvää informaatiota Silloin, kun henkilötiedot kerätään suoraan rekisteröidyltä Silloin, kun henkilötiedot kerätään muualta kuin rekisteröidyltä Oikeus saada pääsy tietoihin (tarkastusoikeus) Oikeus tietojen oikaisemiseen (virheen oikaisu) Oikeus tietojen poistamiseen ( oikeus tulla unohdetuksi ) Oikeus käsittelyn rajoittamiseen Oikeus siirtää tiedot järjestelmästä toiseen Vastustamisoikeus Automatisoidut yksittäispäätökset; profilointi mukaan luettuna Oikeus tulla informoiduksi henkilötietojen tietoturvaloukkauksista Lasten erityisasema Oikeus saada valvontaviranomaiselta apua Oikeus luottaa tietoturvaan 10
TIETOSUOJAN SUKUPOLVET TIETOSUOJADIREKTIIVI 46/95/EY Resitaali nro 2: Tietojenkäsittelyjärjestelmät on tehty palvelemaan ihmistä; järjestelmiä käytettäessä on kunnioitettava yksilöiden perusoikeuksia ja vapauksia heidän kansalaisuudestaan tai asuinpaikastaan riippumatta, erityisesti oikeutta yksityisyyteen, ja osallistuttava taloudelliseen ja sosiaaliseen kehitykseen, kaupan kehittämiseeen sekä yksilöiden hyvinvoinnin lisäämiseen. (Kts. Asetuksen resitaali 2) 1. SUKUPOLVI - perusoikeudet - EN-tietosuojasopimus - henkilörekisterilaki 2. SUKUPOLVI - tietojärjestelmät - tietosuojadirektiivi 46/95/EY - henkilötietolaki 3. SUKUPOLVI - digitaaliset sisämarkkinat - tietosuoja-asetus - TATTi-toimikunta? 11
PRIVACY BY DESIGN Päiv. 11.3.2016 HENKILÖREKISTERI 3 3k JulkL JulkA 2 Arvioi oma toiminta 5-6 RISKIPERUSTEINEN LÄHESTYMISTAPA Aloitus 2 Tietoturvallisuus 32 PRIVACY BY DEFAULT HENKILÖTIETOLAKI Rekisterinpitäjän (3 4 k) henkilötietojen käsittelyn kuvaus ja lainmukaisuuden arviointi Käsittelyn tarkoitus 3 3-k & 6 Suunnittelu huolellisuus 5-6 - DPIA - PRIOR CONSULTING Ulkoistaminen 8.1 7-k Vaitiolovelvollisuus 33 PROFILOINTI OSS Oikeus käsitellä 8, 12, 13, 14-20 Käyttötarkoitussidonnaisuus 7 Rekisteriseloste 10 Mistä henkilötiedot kerätään 8, 9, 12-20 Henkilötiedot 3 1 k, 9, 12-20 Käytön hallinnointi 5 - KIRJANPITO - PSEUDONYYMIT - GENEETTISET, BIOMETR. Rekisteröidyn oikeudet 24-29 Viranomaisilmoitukset 36-37 Informointivelvollisuus 24 Luovutukset 8, 12-20 (6 ) Nimeä vastuuhenkilö 5 TIETOSUOJAVASTAAVA YHDENMUKAISUUS- MEKANISMI Hävitä, arkistoi 12.2, 21, 19.1 1k 34-35 - RTBF - PORTABILITY - VASTUSTUS ACCOUNTABILITY Ulkomaille siirrot 22-23 + 10 art. Kouluta, ohjeista 5 EDPB - SERTIFIKAATIT - AUDITOINNIT 12 PRIVACY SHIELD PIA DBN12 TIETOSUOJAVALTUUTETUN TOIMISTO
VIRANOMAISTEN SALASSAPIDETTÄVIEN TIETOJEN LUOVUTTAMINEN pyyntö / luovutus Tiedon luovuttaja EI (rekisterinpitäjä A) SOVELLETA, koska: Henkilötietolaki 8 4 mom - - - - - - - - - - - - - viranomaisten tietojen luovuttaminen julkisuuslain mukaan (laki viranomaisten toiminnan julkisuudesta) - - - - - - - - - - - - - henkilötietojen käsittely suunniteltava ja määriteltävä käyttötarkoitus (6 ) Oma-aloitteinen ilmoitusoikeus tai -velvollisuus LUOVUTUKSEEN SOVELLETAAN Laki viranomaisten toiminnan julkisuudesta - - - - - - - - - - - - - - - - 24 salassapitosäännös - salassapidettävien tietojen luovuttamisen edellytykset 26-30 * lainsäännös, suostumus, toimeksianto ERITYISLAKIEN SALASSAPITO- JA LUOVUTUS- SÄÄNNÖKSET esim. - - - - - - - - - - - - - - - - - - - L sosiaalihuollon asiakkaan asemasta ja oikeuksista - salassapito 14 - luovutus 16-18 - tiedonsaantioikeus 20 - - - - - - - - - - - - - - - - - - - L potilaan asemasta ja oikeuksista - salassapito ja luovutus 13 - - - - - - - - - - - - - - - - - - - Sekä muut erityislait Tiedon pyytäjä (rekisterinpitäjä B) Henkilötietolaki 8 ja 12 + 6 - - - - - - - - - - - - - - - tietojen vastaanottajalla tulee olla oikeus käsitellä saamiaan tietoja Esim. lakisääteinen tehtävä tai asiakassuhde - - - - - - - - - - - - - - - henkilötietojen käsittely suunniteltava ja määriteltävä käyttötarkoitus (6 ) TIETOSUOJAVALTUUTETUN TOIMISTO, 3.4.2014 13
ESIMERKKEJÄ LASTENSUOJELUN TIETOVIRROISTA Ilmoitusvelvollisuus henkeen ja terveyteen kohdistuvista rikosepäilyistä (RL 20L, vähintään 2 v) ja seksuaalirikosepäilyistä (RL 21L) POLIISI PÄIVÄKOTI KOULU TERVEYDEN- HUOLTO MUUT TAHOT Ilmoitusvelvollisuus henkeen ja terveyteen kohdistuvista ja seksuaalirikoksista LsL 25 d 3 mom mm. oma-aloitteiset ilmoitukset SaL 18.3 (lapsen etu tai väkivallan ehkäisy) LS-ilmoituksen tekovelvollisuus LsL 25 25c LS-ilmoitukset Tiedot LASTENSUOJELU Lastensuojelulla oikeus antaa ja saada tietoja SaL 16-18, 20 ilmoitus lapsen sijoituksesta ilmoitus ls-asiakkaan muutosta ja asiakirjat LsL 25 d SIJOITUS- KUNTA LsL 78 UUDEN KOTIKUNNAN LASTENSUOJELU SaL= Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista, LsL = lastensuojelulaki päiv. 9.11.201514
TOIMENPITEET REKISTERINPITÄJILLE: 1) Määrää tietosuojan isäntä; Tietosuojavastaava 2) Analysoi henkilötietovarastosi ja prosessit à eliminoi turhat 3) Tee riskiarvio; arvioi myös sopimuksesi (sopimustenhallinta) 4) Laadi toimintaohjeet ja ohjelmat eri tilanteiden varalta; esim. tietoturva, -vuodot, rekisteröidyn oikeudet jne. 5) Huolehdi tietoturvasta, käytä salauksia 6) Huolehdi henkilöstön osaamisesta 7) Valvo henkilötietojen käyttöä 8) Käytä henkilötietolakia apunasi 9) Tunnista muu lainsäädäntö 10) Luo sisäinen ja ulkoinen raportointijärjestelmä; LAADI TIETOTILINPÄÄTÖS 15
UUSI ULJAS TIETOSUOJA 25.5.2018 16
EKOSYSTEEMI Prop. apps VERKKO (WEB) PALVELUT 3rd party apps Operating apps (Laite) hardware Verkko infra 17
KILPAILUN EDISTÄMINEN LÄHTÖKOHTANA: 1) 28 MS à 28 erilaista lainsäädäntöä 2) EU:n investointivaje erityisesti ICT:hen à tuottavuusvaje 3) Digitaalinen kaupankäynti on kasvanut hitaammin EU:ssa 4) EU:n uudistukset: - pääomamarkkina-unioni turvaamaan START UP:n rahoitusta - digitaalistrategia - sisämarkkinastrategia - tietosuojauudistus - yhdistetty työllisyyden ja teollisuuden DG:t DG kasvuksi (DG GROWTH) 18
MAISEMA 1. KULUTTAJANSUOJAN HARMONISOINTI - COM (2015) 634 Final Ehdotus digitaalinen sisältö 2. EU:N KAUPPALAIN HARMONISOINTI - COM (2015) 635 Final Ehdotus etämyyntisopimukset 3. TIETOSUOJAN HARMONISOINTI DIGITAALISTEN SISÄMARKKINOIDEN BUUSTAAMINEN 19
Mitä? 1. Entiset tietosuojaperiaatteet säilyvät 2. Asetuksessa joitakin uusia asioita: NÄITÄ YHDISTELLÄÄN - COMPLIANCE; ( sääntöjen noudattaminen ) - Asetuksessa mennään pitemmälle - ACCOUNTABILITY; 4 TIETOTILINPÄÄTÖS - Tilintekokykyisyys eli osoita että noudatat lakeja - PRIVACY BY DESIGN; (ennakkoon suunnitteleminen) - Henkilötietolain 6 - PRIVACY BY DEFAULT; (oletusarvoinen ja sisään-rakennettu) - Nyt kun kuluttaja asioi rekisterinpitäjän kanssa niin huolehtii esim. oman s-postin tietoturvasta. - Asetuksella rekisterinpitäjä velvoitetaan rakentamaan tietoturvallinen suojattu palvelu (nyt jo esim. pankit) 20
Mitä? - DATA BREACH NOTIFICATION; (tietoturvaloukkauksista ilmoittaminen) - Rekisterinpitäjän ilmoitusvelvollisuus valvontaviranomaiselle ja asiakkaalle - mm. tietomurto ja henkilörekisteririkos - VALVONTAVIRANOMAISTEN ROOLIN VAHVISTAMINEN; (viranomaisten toimivalta muuttuu) - TSV:lle mahdollisesti sakottamisoikeus, josta valitustie ensin kansallisesti ja aina EY-tuomioistuimeen asti - RIGHT TO BE FORGOTTEN; (oikeus unohtaa) - Esim. Facebook tyyppiset palvelut; oikeus itse myötävaikuttaa, että tiedot poistetaan - Voi olla haasteellista toteuttaa - RIGHT TO DATA PORTABILITY (oikeus tietojen siirtoon) - Rekisteröidyn oikeus viedä tiedot palveluntarjoajalta toiselle (esim. kanta-asiakasjärjestelmät) 21
Tiekartta 1) tuomioistuinten ratkaisukäytännöt 2) Verkkovalvontalaki 3) verkkovalvontalain valvonnan järjestäminen 4) Perustuslaki 5) ehdotus sähköisen viestinnän tietosuoja-asetukseksi (COM (2017) 10 final) - eprivacy 6) oikeusministeriön TATTI-työryhmä (yleinen tietosuoja-asetus, EU 2016/679 GDPR) 7) TATTI- työryhmän toimeksiannon (OM 1/41/2016) kohta normienpurkutalkoot/erityislainsäädäntö 8) tiedonhallinnan sääntelyn kehittämistä selvittävä työryhmä (VM/1709/00.01.00.01/2016) 22 22
Tiekartta 9) EU:n tietosuojadirektiivin (EU 2016/680) täytäntöönpano(om 21/41/2016) à 10) mm. poliisin henkilötietolain kokonaisuudistus 11) komission ehdotus toimielinten tietosuoja-asetukseksi 12) EDPB:n perustaminen; WP29; Press Release, Brussels, 16 January 2017 13) TATTI-työryhmän toimeksiannon kohta 2, kansallinen tietosuojaviranomainen, muoto ym. 14) digitaalisen sisämarkkinastrategian mukaisesti annettu komission esitys: (COM(2015)634) digitaalista sisältöä koskevaksi sääntelyksi 15) komission esitys (COM(2015)635) "digitaalista kauppaa koskevaksi laiksi 16) Privacy Shield (C(2016) 4176 final 17) asetusehdotus Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelimen perustamisesta (BEREC-asetus) COM(2016) 591 Final kts. U 68/2016 vp 23 23
TIEDOTUS JA OPETUS MEDIATAITOVIIKKO VIDEOT www.arjentietosuoja.fi - Tietosuojaa meille kaikille (sisältää nettitestin) - Verkkokoulutuksen on toteuttanut Julkisen hallinnon tietohallinnon neuvottelukunta (JUHTA) ja sen asettama asiantuntijaryhmä: Valtiovarainministeriö, Suomen Kuntaliitto, oikeusministeriö, tietosuojavaltuutetun toimisto, Valtori sekä Viestintävirastossa toimiva Kyberturvallisuuskeskus - kohderyhmä:organisaation kaikki työntekijät sekä kansalaiset + Johdon ja esimiesten oma koulutusvideo OHJE REKISTERINPITÄJILLE KOTISIVUTIEDOTUS www.tietosuoja.fi. TIETOSUOJAVALTUUTETUN BLOGI TWITTER 24
TIEDOTUS JA OPETUS KOTISIVUTIEDOTUS (www.tietosuoja.fi/eu:n tietosuojauudistus) EU:n tietosuojauudistus Ohjeita Ajankohtaista Kysymyksiä ja vastauksia Sanastoa Koulutukset Tietosuojavaltuutetun ratkaisut Tietosuojavaltuutetun blogi Tietosuoja-asetus Tietosuojadirektiivi Miten valmistautua tietosuoja-asetukseen? Miksi tietosuojalait muuttuvat? Tietosuoja-asetusta koskevat kysymykset 25
TIEDOTUS JA OPETUS KOTISIVUTIEDOTUS (www.tietosuoja.fi/eu:n tietosuojauudistus/koulutukset) Verkkokoulutukset Arjentietosuoja.fi Liikenne- ja viestintäministeriön digitaalisen liiketoiminnan tietosuojafoorumi JUHTA-VAHTI-yhteishankkeen materiaalit avoimesti saatavilla suoratoistona: Tammikuu 2018 Julkisen hallinnon tietohallinnon neuvottelukunnan (JUHTA) työpaja 19.1.2018 Henkilötietojen käsittelyn oikeusperusteet ulkoisten tiedonantovelvoitteiden täyttäminen tietosuojan politiikat ja ohjeistukset. Menneiden työpajojen videotallenteet ja materiaalit Helmikuu 2018 Julkisen hallinnon tietohallinnon neuvottelukunnan (JUHTA) työpaja 12.2.2018 Henkilötietojen luovuttaminen tiedonhallintalain uudistus GDPR-itsearviointityökalun soveltaminen sekä käyttökokemukset ja kysymykset. Maaliskuu 2018 Julkisen hallinnon tietohallinnon neuvottelukunnan (JUHTA) työpaja 14.3.2018 Jatkuvuussuunnittelun peruskäsitteet ja määritelmät organisaation toimintaympäristö jatkuvuuden hallinnan johtaminen tietosuojan näkökulmasta jatkuvuuden hallintajärjestelmän suunnittelu. 26
KIITOS KUUNTELUSTA Lisätietoja: www.tietosuoja.fi Reijo Aarnio tietosuojavaltuutettu Tietosuojavaltuutetun toimisto 27