EU-TIETOSUOJAN KOKONAISUUDISTUS

TIETOSUOJAN NYKYTILANNE Tietosuoja Yksityisyyden suojaamista henkilötietoja käsiteltäessä [Henkilörekisterilaki (471/1987)] Henkilötietolaki (523/1999) Henkilötietojen käsittelyä koskeva yleislaki

MÄÄRITELMIÄ I Henkilötieto kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot (esim. nimi, henkilötunnus, kuva, biometrinen tai geneettinen tieto) Tunnistettavissa oleva henkilö voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, sijaintitiedon, verkkotunnistetietojen tai yhden tai useamman henkilölle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurisen tai sosiaalisen tekijän perusteella

MÄÄRITELMIÄ II Henkilötietojen käsittely kaikenlaiset toiminnot, joita kohdistetaan henkilötietoihin joko automaattista tietojenkäsittelyä hyödyntäen tai manuaalisesti esimerkiksi henkilötietojen kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, muokkaaminen, haku, käyttö, luovuttaminen, levittäminen tai saattaminen muutoin saataville, yhteensovittaminen, yhdistäminen, rajoittaminen, poistaminen ja hävittäminen

MÄÄRITELMIÄ III Rekisterinpitäjä luonnollinen tai oikeushenkilö, julkinen viranomainen, virasto tai muu elin, joka yksin tai yhteistyössä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot velvollinen laatimaan ja pitämään yleisesti saatavilla rekisteriselostetta, jossa kuvataan henkilötietojen käsittely tiiviisti esitetyssä, avoimessa ja helposti ymmärrettävässä muodossa

REKISTERISELOSTE

EU:N TIETOSUOJAUUDISTUS Hyväksytty toukokuussa 2016 Sisältö Tietosuoja-asetus Direktiivi lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta Voimaantulo Kahden vuoden siirtymäajan jälkeen 25.5.2018 Kansallisen lainsäädännön tarkistaminen, työryhmä 17.2.2016 16.2.2018, muutosesitys 31.5.2017

EU:N TIETOSUOJA-ASETUS Tarkoitus Yhtenäistää henkilötietojen käsittelyn sääntelyä EU:n alueella Selkeyttää toimivaltakysymyksiä Tehostaa viranomaisyhteistyötä Selkeyttää sääntelyn käsitteitä Ottaa kantaa uusiin ilmiöihin ja teknologioihin Vahvistaa rekisteröityjen asemaa ja oikeuksia Velvoittaa rekisterinpitäjät toimimaan suunnitelmallisesti ja osoittamaan toimiensa vaatimustenmukaisuus

ASETUKSEN KESKEISIÄ OSA-ALUEITA

KESKEISET TERMIT - 27 KPL Rekisteröity Henkilö, jonka henkilötietoja käsitellään Rekisterinpitäjä Esim. oikeushenkilö, joka yksin tai yhteistyössä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot Henkilötietojen käsittelijä Luonnollinen tai oikeushenkilö, viranomainen, virasto tai muu elin, joka käsittelee henkilötietoja rekisterinpitäjän toimeksiannosta

KESKEISET TERMIT - 27 KPL Profilointi Henkilötietojen automaattinen käsittely, jossa henkilötietojen avulla arvioidaan tiettyjä henkilön ominaisuuksia tai analysoidaan tai ennakoidaan näkökohtia, jotka liittyvät kyseiseen henkilöön Tietosuojavastaava Rekisterinpitäjän nimettävä määritellyissä tilanteissa, esim. jos ydintehtävät muodostuvat toimista, jotka edellyttävät rekisteröityjen järjestelmällistä seurantaa laajassa mitassa

KESKEISET TERMIT - 27 KPL Johtava valvontaviranomainen Rekisterinpitäjä, joka toimii useassa EU:n jäsenvaltiossa, voi asioida päätoimipaikkansa valvontaviranomaisen kanssa Hallinnollinen sakko Valvontaviranomainen voi määrätä rekisterinpitäjälle tai henkilötietojen käsittelijälle sakon asetuksen vaatimusten laiminlyönnistä Enimmäismäärä 20 milj. tai 4% yrityksen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta

KESKEISET TERMIT - 27 KPL Tietoturvallisuus Tiedon luottamuksellisuuden, eheyden ja saatavuuden takaaminen teknisten ja organisatoristen toimenpiteiden ja menettelyjen avulla

REKISTERÖIDYN OIKEUDET 1. Rekisterinpitäjän tiedonantovelvoitteet Rekisteröidyille tiedotettava ennen henkilötietojen keräämistä, uusina henkilötietojen säilytysaika ja tietosuojavastaavan yhteystiedot 2. Oikeus saada pääsy omiin tietoihin 3. Oikeus tietojen oikaisemiseen 4. Oikeus poistaa tiedot (oikeus tulla unohdetuksi) Pyytää poistamaan esim. vanhentuneet tiedot Peruuttaa suostumuksensa, johon käsittely perustunut Ei sovelleta lakisääteisiin rekistereihin

REKISTERÖIDYN OIKEUDET 5. Oikeus siirtää tiedot järjestelmästä toiseen (uusi) Oikeus saada tiedot yleisesti käytössä olevassa siirtomuodossa ja siirtää ne toiselle rekisterinpitäjälle Tietojen siirtäminen suoraan toiselle rekisterinpitäjältä toiselle jos se on teknisesti mahdollista Oikeus edellyttää, että käsittely perustuu suostumukseen tai sopimukseen ja käsittely tehdään automaattisesti Oikeus ei velvoita rekisterinpitäjää suunnittelemaan/toteuttamaan keskenään yhteensopivia järjestelmiä

REKISTERÖIDYN OIKEUDET 6. Oikeus vastustaa käsittelyä, automaattista päätöksentekoa ja profilointia Ei sovelleta, jos päätös esimerkiksi: On välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täytäntöönpanoa varten Perustuu rekisteröidyn nimenomaiseen suostumukseen

REKISTERÖIDYN OIKEUDET 7. Oikeus saada ilmoitus henkilötietojen tietoturvaloukkauksesta (uusi) Ilmoitus henkilökohtaisesti niille, joiden tietoja loukkaus koskettaa (identiteettivarkaudet, maksuvälinepetokset, muu rikollinen toimita) Ilmoituksen sisältö: Kuvaus tapahtuneesta Tietosuojavastaavan nimi ja yhteystiedot Tiedot loukkauksen todennäköisistä vaikutuksista rekisteröidylle Kuvaus toimenpiteistä, joita rekisterinpitäjä toteuttaa haittavaikutusten lieventämiseksi

REKISTERINPITÄJÄN VELVOLLISUUDET 1. Käsittelyn oikeusperusta Lainmukaisen käsittelyn edellytyksiä, mm.: Rekisteröidyn vapaaehtoinen suostumus Sellaisen sopimuksen täytäntöön paneminen, jossa rekisteröity on osapuolena Rekisterinpitäjän lakisääteinen velvoite Rekisteröidyn elintärkeiden etujen suojaaminen Rekisterinpitäjälle kuuluvan julkisen vallan käyttäminen

REKISTERINPITÄJÄN VELVOLLISUUDET 2. Tietosuojan hallinnointi, rooli ja vastuut 2.1 Tietosuojavastaava (nyt esim. terveydenhuollossa) Nimeäminen pakollista, jos jokin ehdoista täyttyy: Tietojenkäsittelyä suorittaa viranomainen Ydintehtävät edellyttävät rekisteröityjen säännöllistä ja järjestelmällistä seurantaa laajassa mitassa Ydintehtävät muodostuvat käsittelytoimiin, jotka kohdistuvat rikostuomioihin tai rikoksia koskeviin tietoihin. Kohdistuu erityisesti julkiselle sektorille

REKISTERINPITÄJÄN VELVOLLISUUDET 2. Tietosuojan hallinnointi, rooli ja vastuut 2.2 Tietosuojaorganisaatio Jos nykyisin olemassa toimintamallit henkilötietojen käsittelyyn - riittää, että olemassa olevat toimintamallit ja prosessit päivitetään uusien vaatimusten mukaisiksi

REKISTERINPITÄJÄN VELVOLLISUUDET 2. Tietosuojan hallinnointi, rooli ja vastuut 2.3 Vuosikello

REKISTERINPITÄJÄN VELVOLLISUUDET 3. Tietosuojariskien hallinta 3.1 Tietosuojan vaikutuksenarvioinnit Valvontaviranomainen tulee julkaisemaan luettelon käsittelytoimista, jotka vaativat vaikutuksenarvioinnin laatimisen Arviointien tekeminen suositeltavaa kaikille Arviointien tulokset hyvä dokumentoida (vertailu/seuranta) Arviointimalleja tulossa

REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja Rekisterinpitäjä on velvollinen sisällyttämään tietosuojaperiaatteet ja vaatimukset osaksi henkilötietojen käsittelyä: Kerätään vain tietoja, jotka ovat välttämättömiä käsittelytarkoituksen kannalta Tietoja ei kerätä eikä säilytetä suurempia määriä eikä kauemmin kuin on välttämätöntä Tietoja ei saateta rajoittamattoman henkilömäärän saataville Taataan henkilötietojen suoja tarvittavin tietoturvakeinoin

REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja 4.1 Tietosuoja järjestelmä- ja sovelluskehityksessä V

REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja 4.2 Tietosuoja hankinnoissa ja projektinhallinnassa Ulkoistussopimuksiin vaatimukset tietosuojan toteutumisesta Vaatimukset yksilöitävä tarkasti Vaatimukset jo tarjouspyyntöihin Sopimuksiin salassapitovaatimukset ja vaitiolositoumukset

REKISTERINPITÄJÄN VELVOLLISUUDET 4. Sisäänrakennettu ja oletusarvoinen tietosuoja 4.3 Tiedon elinkaaren määrittäminen ja hallinta

REKISTERINPITÄJÄN VELVOLLISUUDET 5. Tietoturvallisuuden toteuttaminen Koko henkilötietojen elinkaaren ajan 6. Poikkeamien hallinta ja ilmoitusvelvollisuus Ilmoitus rekisteröidylle, lisäksi valvontaviranomaiselle henkilötietojen tietoturvaloukkauksesta (tai selvitys viivästyksen syistä) 72 h kuluessa loukkauksen havaitsemisesta Ilmoituksen sisältö: kuten rekisteröidylle

REKISTERINPITÄJÄN VELVOLLISUUDET 7. Dokumentaatio, politiikat ja ohjeistukset Tietosuojan hallintajärjestelmän sisältö, esimerkki:

REKISTERINPITÄJÄN VELVOLLISUUDET 8. Rekisterinpitäjän ja käsittelijän väliset sopimukset 8.1 Sopimusten ja alihankkijoiden hallinta Osa henkilötietojen käsittelystä voidaan ulkoistaa toimeksisaajalle, henkilötietojen käsittelijälle Ulkoistussopimuksessa määriteltävä henkilötietojen käsittelyn kohde, tarkoitus ja kesto sekä sovittava käsiteltävät henkilötiedot

REKISTERINPITÄJÄN VELVOLLISUUDET 8. Rekisterinpitäjän ja käsittelijän väliset sopimukset 8.2. Tiedonsiirto Euroopan talousalueen ulkopuolelle Siirto ETA:n ulkopuolelle vain, jos komissio päättänyt kohdemaan tietosuojan riittävyydestä tai jos sovelletaan asianmukaisia suojatoimia EU:n tuomioistuin katsoi 10/2015 ETA:n ja USA:n välisen Safe Harbour järjestelyn pätemättömäksi (case Facebook-palvelu) Korvaavasta Privacy Shield sopimuksesta yhteisymmärrys 2/2016, ei vielä käytössä

REKISTERINPITÄJÄN VELVOLLISUUDET 9. Rekisterinpitäjän yhteistyövelvoite Valvontaviranomaisen niin pyytäessä Ennakkokuulemisen muodossa, jos arvioinnin perusteella suunniteltuun henkilötietojen käsittelyyn liittyy suuria riskejä ja rekisterinpitäjällä ei ole keinoja riskitason pienentämiseksi Tietoturvaloukkaustilanteen selvityksen yhteydessä

REKISTERINPITÄJÄN VELVOLLISUUDET 10. Hallinnolliset sakot ja seuraamukset Valvontaviranomaisella oikeus määrätä rekisterinpitäjälle/henkilötietojen käsittelijälle sakkoja tai hallinnollisia seuraamuksia asetuksen velvoitteiden laiminlyönnistä Sakon suuruus rikkomuksen luonteen perusteella, kolme luokkaa (10, 20 milj., kokonaisliikevaihto) Sakko max. 20 milj. tai 4 % yrityksen vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta Muita seuraamuksia: käsittelyn kieltäminen, kunnes velvollisuudet täytetty; rekisterinpitäjän tietosuojan toteutuksen auditointi

TOIMENPIDESUOSITUKSIA Kehittäminen suunnitelmallisesti ja ennakoivasti jatkuvana prosessina

MITEN HALLITA TÄMÄ KOKONAISUUS? 1. Vaatimustenmukaisuus Siirtymäaika päättyy 25.5.2018, sen jälkeen asetuksen sisältö on noudatettavaa lakia Miten oma yritys huolehtii omassa hallinnassa olevien kokonaisuuksien osalta siitä, että ne ovat vaatimustenmukaisia 1,5 vuoden kuluttua Hallinnollisten seuraamusten (sakko) myötä alihankkijat ja ICT-palvelutoimittajat hoitanevat pääosin omat tehtävänsä asetuksen mukaisesti

MITEN HALLITA TÄMÄ KOKONAISUUS? 2. Hankalaa? Jokainen yritys käsittelee jo henkilötietoja toteutetaan nykyisen mallin facelift päivitetään mallia siten, että se saadaan täyttämään uudet vaatimukset Kaupalliset toimijat yrittävät tehdä tästä uutta vaatimusviidakkoa ei tarpeellista!

MITEN HALLITA TÄMÄ KOKONAISUUS? 3. Asiat kuntoon pala kerrallaan Työn määrää hankala arvioida: yrityksen hallinnon kehittäminen n. 90% palveluiden tekniset järjestelyt n. 10 % Henkilötietojen käsittelyn rooli yrityksessä ratkaisee: Artun asennuspalvelu vai Artun globaalit käyttö- ja konesalipalvelut pilvessä koskee molempia, mutta käytännön toteutuksessa eroja!

MITEN HALLITA TÄMÄ KOKONAISUUS? 4. Yhteistyö Kokemusten ja hyvien käytäntöjen jakaminen Tarvittavien ratkaisujen tuottaminen ja toteuttaminen ketterästi

TIIVISTYS Edellytettävät toimenpiteet 1. Johtaminen johto mukana tukemassa ja toimimassa esimerkkinä 2. Prosessien kehittäminen hallinnollinen työ 3. Muutostöiden tekeminen järjestelmiin pienempi työ 4. Muu hallinnollinen työ 5. Viestintä kouluttaminen

SUOSITUKSIA TOIMENPITEIKSI 1. Johdon osallistuminen ja tarvittavien resurssien varaaminen 2. Tietosuojan nykytila-analyysi ja kehitystoimenpiteet 3. Kehittämisprojektin asettaminen 4. Asetuksen soveltamisohjeiden seuraaminen

LISÄTIETOA JA TYÖKALUJA https://www.vahtiohje.fi/web/guest