Usein kysyttyjä kysymyksiä tietosuojasta Digiturvan työpaja 3, 20.5.2019 Helena Eronen, tietosuojavastaava, UEF
Mitkä kaikki ovat henkilötietoja ja mitä on henkilötietojen käsittely 20.5.2019 2
Henkilötiedon määritelmä Henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja. Tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella. Henkilötietoja ovat sekä yksityiselämää että julkista elämänpiiriä koskevat tiedot, jos ne voidaan liittää tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. 20.5.2019 3
Esimerkkejä henkilötiedoista Suorat tunnisteet Tietoja, jotka yksin riittävät tunnistamaan henkilön Nimi, henkilötunnus, nimen mukainen sähköpostiosoite, biometriset tunnisteet (kasvot, ääni, sormenjäljet, silmän iiris, kämmenen muoto, perinteinen allekirjoitus) Vahvat epäsuorat tunnisteet Tietoja, joiden avulla henkilö voidaan tunnistaa kohtuullisen helposti Osoite, puhelinnumero, ip-osoite, opiskelijanro, vakuutusnro, tilinro, tarkat vuosiansiot, rekisterinumero, harvinainen ammattinimike tai sairaus, annettu asema esim. puheenjohtajuus Välilliset/epäsuorat tunnisteet Eivät yksin riitä tunnistamiseen, mutta yhdistettyinä keskenään tai muihin tietohin mahdollistavat tunnistamisen Sukupuoli, ikä, asuinkunta, ammatti, päivämäärä(syntymäaika, kuolinaika, tapahtuma-aika) 20.5.2019 4
Erityiset henkilötietoryhmät Rotu tai etninen alkuperä Poliittinen mielipide Uskonnollinen tai filosofinen vakaumus, Ammattiliiton jäsenyys Geneettiset/biometriset tiedot tunnistamista varten Terveyttä koskevat tiedot Seksuaalinen käyttäytyminen tai suuntautuminen Rikokset ja rikostuomiot Käsittely kiellettyä ellei siihen ole tietosuoja-asetuksen mukaista erityisperustetta 20.5.2019 5
Henkilötietojen käsittely Toiminto tai toiminnot, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti: kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, muokkaaminen tai muuttaminen haku, kysely, käyttö (huom. myös katsominen on käsittelyä) luovuttaminen siirtämällä, levittämällä tai asettamalla saataville yhteensovittaminen tai yhdistäminen rajoittaminen poistaminen tai tuhoaminen (pseudonymisointi ja anonymisointi ovat myös henkilötietojen käsittelyä) 20.5.2019 6
Mikä ero on henkilötietojen käsittelyn käyttötarkoituksella ja käsittelyn oikeusperusteella? Eivätkö ne ole sama asia?
Käsittelytarkoitus vs. käsittelyn oikeusperuste Käsittelytarkoitus: Henkilötiedot kerätään vain tiettyä käyttötarkoitusta varten esim. palvelussuhteen hoitaminen, asiakassuhteen ylläpito, potilaan hoidon suunnittelu toteutus ja seuranta, tieteellinen ja historiallinen tutkimus, tilastointi, yleisen edun mukainen arkistointi. Käsittelyn oikeusperuste: Henkilötietojen käsittelylle pitää olla laillinen käsittelyperuste ja se on määritettävä ennen käsittelyn aloittamista. Perustetta ei voi vaihtaa toiseen sen jälkeen, kun käsittely on sidottu johonkin perusteeseen. Käsittelyperuste vaikuttaa siihen, mitä oikeuksia rekisteröidyllä on suhteessa rekisterinpitäjään. 20.5.2019 8
Käsittelyn oikeusperusteet 1. Suostumus 2. Sopimuksen toimeenpano 3. Rekisterinpitäjän lakisääteinen tehtävä 4. Rekisteröidyn elintärkeä etu 5. Yleisen edun mukainen tehtävä 6. Rekisterinpitäjän oikeutettu etu Erityisiä henkilötietoryhmiä käsiteltäessä pitää lisäksi olla erityinen käsittelyperuste tietosuoja-asetuksen mukaisesti 20.5.2019 9
Miten käsittelyperuste vaikuttaa rekisteröityjen oikeuksiin?
Käsittelyperuste vaikuttaa rekisteröidyn oikeuksiin Rekisteröity ei voi käyttää kaikkia oikeuksiaan kaikissa tilanteissa. Käytettävissä oleviin oikeuksiin vaikuttaa se, millä perusteella henkilötietoja käsitellään. Osa rekisteröidyn oikeuksista liittyy vain tiettyihin tietosuoja-asetuksen mukaisiin perusteisiin käsitellä henkilötietoja. Rekisterinpitäjän on perustettava henkilötietojen käsittely johonkin lainmukaiseen käsittelyperusteeseen. Kunkin oikeuden toteuttamisesta voi yksittäistapauksessa kieltäytyä. Kieltäytyminen on mahdollista, jos käsillä on jokin oikeuden kohdalla relevantti kieltäytymisperuste tai oikeuden toteuttamisen edellytykset eivät muutoin täyty. Oikeuksiin voi lisäksi olla säädetty poikkeuksia kysymyksessä olevaa organisaatiota koskevassa erityislainsäädännössä.
Rekisteröidyn oikeudet käsittelyperuste vaikuttaa 1 Rekisteröidyn suostumus Saada tietoa henkilötietojen käsittelystä Tarkastaa tietonsa Oikaista tietojaan Poistaa tietonsa(oikeus tulla unohdetuksi) Rajoittaa tietojen käsittelyä Oikaisua/poistoa/rajoitusta koskeva ilmoitusvelvollisuus Siirtää tiedot järjestelmästä toiseen Voi sallia automaattisen päätöksenteon (ml. profilointi) nimenomaisella suostumuksellaan Sopimus Saada tietoa henkilötietojen käsittelystä Tarkastaa tietonsa Oikaista tietojaan Poistaa tietonsa (oikeus tulla unohdetuksi) Rajoittaa tietojen käsittelyä Oikaisua/poistoa/rajoitusta koskeva ilmoitusvelvollisuus Siirtää tiedot järjestelmästä toiseen Olla johtumatta automaattisen päätöksenteon kohteeksi ilman lainmukaista perustetta
Rekisteröidyn oikeudet käsittelyperuste vaikuttaa 2 Rekisterinpitäjän lakisääteinen tehtävä Saada tietoa henkilötietojen käsittelystä, ellei laissa erikseen säädetty poikkeusta Tarkastaa tietonsa Oikaista tietojaan Rajoittaa tietojensa käsittelyä Henkilötietojen oikaisua tai käsittelyn rajoitusta koskeva ilmoitusvelvollisuus Olla johtumatta automaattisen päätöksenteon kohteeksi ilman lainmukaista perustetta Rekisteröidyn elintärkeä etu Saada tietoa henkilötietojen käsittelystä Tarkastaa tietonsa Oikaista tietojaan Poistaa tietonsa (oikeus tulla unohdetuksi) Rajoittaa tietojensa käsittelyä Henkilötietojen oikaisua tai poistoa tai käsittelyn rajoittamista koskeva ilmoitusvelvollisuus
Rekisteröidyn oikeudet käsittelyperuste vaikuttaa Yleistä etua koskeva tehtävä Saada tietoa henkilötietojen käsittelystä, ellei laissa erikseen säädetty poikkeusta Tarkastaa tietonsa Oikaista tietojaan Rajoittaa tietojensa käsittelyä Henkilötietojen oikaisua tai käsittelyn rajoittamista koskeva ilmoitusvelvollisuus Vastustaa tietojensa käsittelyä Olla johtumatta automaattisen päätöksenteon kohteeksi ilman lainmukaista perustetta Rekisterinpitäjän oikeutettu etu Saada tietoa henkilötietojen käsittelystä Tarkastaa tietonsa Oikaista tietojaan Poistaa tietonsa (oikeus tulla unohdetuksi) Rajoittaa tietojensa käsittelyä Henkilötietojen oikaisua tai poistoa tai käsittelyn rajoittamista koskeva ilmoitusvelvollisuus Vastustaa tietojen käsittelyä
Oikeus tehdä ilmoitus tietosuojavaltuutetulle Käsittelyperusteesta riippumatta rekisteröidyllä on oikeus tehdä ilmoitus/valitus tietosuojavaltuutetulle, kun/jos: rekisterinpitäjä kieltäytyy rekisteröidyn pyynnöstä eikä kieltäytymiselle ole rekisteröidyn hyväksymiä perusteita henkilötietoja käsitellään rekisteröidyn mielestä tietosuojasäännösten vastaisesti esim. henkilötietojen käsittelylle ei ole lainmukaista perustetta tai että henkilötietoja käsitellään liian laajasti käsittelyn tarkoitukseen nähden. 20.5.2019 15
Kiitos! uef.fi