Tietosuoja UKK usein kysytyt kysymykset Mari-Ilona Korhonen tarkastaja tietosuojavaltuutetun toimisto 17.6.2019
Tietosuojavaltuutetun toimiston puhelinneuvonta Puhelinneuvonta palvelee tällä hetkellä ma-ke klo 9-16 Tarkoitus on tarjota kanava kysyä neuvoa matalalla kynnyksellä ottaa yhteyttä toimistoon yleisen neuvonnan saamiseksi 1600 1400 1200 Vastatut puhelut 1462 Vain yleistä ohjausta ja neuvontaa Ei oteta kantaa yksittäistapauksiin Kysymysten luonne muuttunut yhä enemmän laintulkintaan liittyviksi kysymyksiksi 1000 800 600 400 200 695 698 772 699 548 Tietosuoja-asetuksen vireille tulo vaikuttanut puhelinneuvontaan merkittävästi Huhti-kesäkuussa 2018 puheluiden määrä tuplaantunut Luonnollisten henkilöiden tietoisuus omista oikeuksista on kasvanut 0 Toimiston yleinen ruuhkautuminen näkynyt puhelinneuvonnassa Uusi lainsäädäntö ja tulkintakäytännöt Käsittelyaikojen tiedustelut 2
Usein kysyttyjä kysymyksiä puhelinneuvonnassa Rekisteröidyn tarkastusoikeus Rekisterinpitäjän informointivelvollisuus Rekisteröidyn tietosuojaoikeuksien toteuttaminen Tietoturvaloukkaukset Kameravalvonta Työelämän tietosuoja Rekisteriseloste, tietosuojaseloste, seloste käsittelytoimista 3
Tietosuojavaltuutetun toimiston verkkosivut Uudistettu kokonaan 25.5.2018 Oikopoluissa näytetään linkkejä sen mukaan, mitkä asiat ovat ajankohtaisia / mistä tulee paljon tiedusteluja Vanhoja henkilötietolain mukaisia ratkaisuja on viety Finlexiin https://www.finlex.fi/fi/viranomais et/tsv/ Vanhoja henkilötietolain mukaisia oppaita myös saatavilla tietosuojavaltuutetun sivuilta https://tietosuoja.fi/julkaisut 4
5
Rekisteröidyn tarkastusoikeus oikeus saada pääsy tietoihin usein kysyttyä Ulottuuko tarkastusoikeus kaikkiin rekisterinpitäjän käsittelemiin henkilötietoihin? Yksittäiset muistiot, pöytäkirjat, sähköpostiviestit? Yksittäisen asiakirjan, pöytäkirjan julkisuus (esim. julkisuuslaki, asunto-osakeyhtiölaki) Oikeus saada tiedot tarkastusoikeuden nojalla maksuttomasti kerran vuodessa vai useammin? perusteettomuus, kohtuuttomuus, toistuvuus? Henkilötietolaki (523/1999) kumottu 1.1.2019 lukien 26 1 mom.: Jokaisella on salassapitosäännösten estämättä oikeus tiedon etsimiseksi tarpeelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja. 26 2 mom.: Rekisterinpitäjä saa periä tietojen antamisesta korvauksen vain, jos siitä, kun asianomainen edellisen kerran sai tarkastettavakseen rekisterin tiedot, on kulunut vähemmän kuin yksi vuosi. Perittävän korvauksen tulee olla kohtuullinen eikä se saa ylittää tiedon antamisesta aiheutuvia välittömiä kustannuksia. Tietosuoja-asetus (679/2016) sovellettu 25.5.2108 alkaen 15 art.: Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin.. 12 art. 5a kohta:..kaikki 15 22 ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi.. periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset.. 6
Rekisterinpitäjän informointivelvollisuus usein kysyttyä Rekisterinpitäjän velvollisuus informoida rekisteröityä henkilötietojen käsittelystä 13-14 artiklan mukaiset tiedot Oikeus saada tietää henkilötietojensa käsittelystä rekisteröidylle kuuluva oikeus Miten informointi tulee toteuttaa? Mitä tietoa informoinnin tulee pitää sisällään? Onko valmista lomaketta, jonka voi täyttää? 12 art. 1 mom. : Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15 22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Useimmin kysymys linkittyy henkilötietolain 10 :ssä säädettyyn rekisteriselosteeseen 7
Rekisteröidyn tietosuojaoikeuksien käyttäminen usein kysyttyä Henkilötietolaki (523/1999) kumottu 1.1.2019 lukien Tietosuoja-asetuksen 3 luvun mukaiset tietosuojaoikeudet (12-22 artiklat) Oikeus saada tietää henkilötietojensa käsittelystä Oikeus saada pääsy tietoihin Oikeus oikaista tietoja Oikeus poistaa ja tulla unohdetuksi Oikeus rajoittaa tietojen käsittelyä Oikeus siirtää tiedot järjestelmästä toiseen Oikeus vastustaa tietojen käsittelyä Oikeus olla joutumatta automaattisen päätöksenteon kohteeksi. Miten oikeuksia koskeva pyyntö tulee esittää? Riittääkö vapaamuotoinen sähköposti? Onko velvollinen käyttämään rekisterinpitäjän laatimaa lomaketta? Mitä tietoja tulee antaa pyyntöä tehdessään? Missä ajassa oikeuksia koskeva pyyntö on toteutettava? 28 1 mom.: Sen, joka haluaa tarkastaa itseään koskevat tiedot 26 :ssä tarkoitetulla tavalla, on esitettävä tätä tarkoittava pyyntö rekisterinpitäjälle omakätisesti allekirjoitetussa tai sitä vastaavalla tavalla varmennetussa asiakirjassa tai henkilökohtaisesti rekisterinpitäjän luona 28 2 mom.: Rekisterinpitäjän on ilman aiheetonta viivytystä varattava rekisteröidylle tilaisuus tutustua 26 :ssä tarkoitettuihin tietoihin tai annettava tiedot pyydettäessä kirjallisesti. Tiedot on annettava ymmärrettävässä muodossa. Jos rekisterinpitäjä kieltäytyy antamasta tietoja, hänen on annettava tästä kirjallinen todistus. Todistuksessa on mainittava myös ne syyt, joiden vuoksi tarkastusoikeus on evätty. Tarkastusoikeuden epäämisen veroisena pidetään sitä, että rekisterinpitäjä ei ole kolmen kuukauden kuluessa pyynnön esittämisestä antanut kirjallista vastausta rekisteröidylle. Tietosuoja-asetus (679/2016) sovellettu 25.5.2108 alkaen Johdanto-osa 59: Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa esimerkiksi mekanismeilla, joilla rekisteröity voi pyytää pääsyä henkilötietoihin ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön ja mahdollisuuksien mukaan saada nämä oikeudet maksutta, sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä. Rekisterinpitäjän olisi myös tarjottava keinot esittää tällaiset pyynnöt sähköisesti erityisesti silloin, kun henkilötietoja käsitellään sähköisesti. 12 art. 3 kohta: Rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty 15 22 artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. 8
Tietoturvaloukkaukset usein kysyttyä Rekisterinpitäjä Onko kyseessä tietosuoja-asetuksen mukainen tietoturvaloukkaus? Tuleeko tietoturvaloukkauksesta tehdä ilmoitus tietosuojavaltuutetulle? Tuleeko tietoturvaloukkauksesta ilmoittaa rekisteröidylle? Esimerkkitapauksia listattu tietosuojavaltuutetun toimiston verkkosivuilla Rekisteröity Mitä oikeuksia tietoturvaloukkauksen kohteeksi joutuneella rekisteröidyllä on? Traficomin ohje verkkorikoksen uhreille https://legacy.viestintavirasto.fi/kyberturvallisuus/tietoturv anyt/2015/06/ttn201506250937.html 33 art. 1 momentti: Jos tapahtuu henkilötietojen tietoturvaloukkaus, rekisterinpitäjän on ilmoitettava siitä ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta 55 artiklan mukaisesti toimivaltaiselle valvontaviranomaiselle, paitsi jos henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos ilmoitusta ei anneta 72 tunnin kuluessa, rekisterinpitäjän on toimitettava valvontaviranomaiselle perusteltu selitys. 34 art. 1 momentti: Kun henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä. 9
Kameravalvonta usein kysyttyä Kysymykset liittyvät useimmiten luonnollisen henkilön harjoittamaan kameravalvontaan Onko sallittua asentaa kameravalvonta omalle kotipihalle? Saako omassa kodissa olla kameravalvonta? Tietosuoja-asetuksen aineellinen soveltamisala (2 art. 2 mom. c alakohta): Asetusta ei sovelleta henkilötietojen käsittelyyn, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.. Arvioitava aina tapauskohtaisesti Rikoslaki (39/1889) 24:6 Salakatselu: Joka oikeudettomasti teknisellä laitteella katselee tai kuvaa 1) kotirauhan suojaamassa paikassa taikka käymälässä, pukeutumistilassa tai muussa vastaavassa paikassa oleskelevaa henkilöä taikka 2) yleisöltä suljetussa 3 :ssä tarkoitetussa rakennuksessa, huoneistossa tai aidatulla piha-alueella oleskelevaa henkilöä tämän yksityisyyttä loukaten.. 10
Työelämän tietosuoja usein kysyttyä Työntekijän paikantaminen teknisillä välineillä Saako työntekijän työsuhdeautoon / työssä käytettävään autoon asentaa paikannuslaitteen? Kameravalvonta työpaikalla Saako työnantaja asentaa kameran työpaikalle? Milloin kameravalvonta on sallittua työpaikalla? Työntekijän sähköposti Työsuhteen päättyessä Työnantajan oikeus hakea / lukea viestejä työntekijän työsähköpostista Työntekijän terveydentilatietojen käsittely ja säilyttäminen Kuka saa käsitellä työntekijän terveydentilatietoja? Miten sairauspoissaolotodistuksia tulee säilyttää ja kuinka pitkään? Laki yksityisyyden suojasta työelämässä (759/2004) YT-menettelyt Työelämän tietosuojan käsikirja tietosuojavaltuutetun verkkosivuilla https://tietosuoja.fi/documents/6927448/8214540/ty%c3%b6el%c3%a4m%c3%a4n+tietosuojan+k%c3%a4sikirja/236baba2-1f88-42a1-879c-ded83cc97571/ty%c3%b6el%c3%a4m%c3%a4n+tietosuojan+k%c3%a4sikirja.pdf 11
Rekisteriseloste, tietosuojaseloste, seloste käsittelytoimista usein kysyttyä Henkilötietolain 10 :ssä säädetty rekisterinpitäjän velvollisuus laatia rekisteriseloste Laajennetusta rekisteriselosteesta käytettiin nimitystä tietosuojaseloste Rekisteriselosteen tarkoituksena on ollut informoida rekisteröityä henkilötietojen käsittelystä Tietosuoja-asetus ei velvoita laatimaan rekisteriselostetta. Pitääkö nyt laatia tietosuoja-asetuksen mukainen tietosuojaseloste? Rekisteröidyn informointi 12 artikla Rekisterinpitäjän velvollisuus antaa tietoa rekisteröidylle henkilötietojen käsittelystä. 13 artikla Toimitettavat tiedot, kun henkilötiedot saadaan rekisteröidyltä itseltään 14 artikla Toimitettavat tiedot, kun tietoja ei ole saatu rekisteröidyltä Seloste käsittelytoimista 30 artikla Kirjallinen kuvaus organisaation tekemästä henkilötietojen käsittelystä. Velvollisuus selosteen laatimiseen riippuvainen organisaation tekemästä henkilötietojen käsittelystä. 12
Kysymyksiä? Tietosuojavaltuutetun verkkosivut https://tietosuoja.fi/etusivu 13