Tervetuloa tietosuoja-asetuskoulutukseen! 17.1.17 1
Päivän kulku 09:40-10:20 Jasmina Heinonen: Tietosuoja-asetus: Johdatus ja rekisteröidyn oikeudet 10:20-10:35 Tauko 10:35-11:30 Lotta Kuusisto: Tietosuoja-asetus velvoitteiden näkökulmasta 11:30-12:30 Lounas 12:30-13:45 Viemerö Mikko: Osoitusvelvollisuuden periaate & tietosuojadokumentaatio 13:45-14:15 Tauko ja kahvitus 14:15-15:30 Petteri Järvinen: Tietosuoja tekniikan ja käyttäjän näkökulmasta 15:30- Keskustelua ja palautteen pyytäminen 2
Yleinen tietosuoja-asetus Mikä muuttuu? 3
Sisältö 1. Tausta ja nykytila 2. Terminologiaa 3. Rekisteröidyn oikeudet 4. Rekisteröidyn oikeuksien käyttö 4
1. Tausta ja nykytila Nykyinen kansallinen lainsäädäntökehikko: Henkilötietolaki 1999 Työelämän tietosuojalaki 2004 Tietoyhteiskuntakaari 2014 Muissa kansallisissa laeissa myös yksittäisiä säännöksiä EU:n yleinen tietosuojaasetus: Voimaan 2016 Soveltaminen 5/2018 Siirtymäaika 5/2018 asti Merkitsee nykyisen tietosuojalainsäädännön perkaamista Suoraan sovellettava yleissäädös Siirtymäajalla noudatetaan henkilötietolakia + erityislakeja 5
2. Johdatus tietosuojaasetukseen: terminologiaa Kuka on rekisterinpitäjä, käsittelijä ja rekisteröity? Mikä on henkilötieto? Millainen tietojen joukko muodostaa henkilörekisterin? Mikä lasketaan henkilötiedon käsittelyksi? 6
2. Tietosuoja-asetuksen kohteet Rekisterinpitäjä (data controller) Käsittelijä (data processor) Rekisteröity (data subject) Se, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Käsittelyn ulkoistaminen mahdollista. Yhteisrekisterinpito mahdollista. Kun työntekijä käsittelee henkilötietoja, kyseessä on rekisterinpitäjä. Se, joka prosessoi / käsittelee henkilötietoja rekisterinpitäjän lukuun. Käsittelijä on rekisterinpitäjästä ulkopuolinen taho (alihankintasuhde) Henkilötietojen omistaja eli se, jota tieto koskee. Tunnistettu t. tunnistettavissa oleva luonnollinen henkilö Rekisteröity voi olla alle 13-16 v. eli lapsi. 7
2. Mikä on henkilötieto? Tunnistettavuus Nimi, jasmina.heinonen @finnet.fi, henkilötunnus, kasvokuva, videotallenne, ym. IP-osoite, SIMkortin numero, osoite, syntymäaika, puhelinnumero, anjahei @utu.fi, kansalaisuus, kieli, ym. Suorat henkilötiedot Epäsuorat henkilötiedot 8
2. Henkilörekisterityyppejä / teleala Henkilörekisteri- tyyppejä Muita? Työntekijät Myynti & markkinointi Asiakkaat Suoramarkkinointi Puhelinluettelo, sopimusasiakkaat Ethän muodosta turhaan rekisteriä! Ethän säilytä rekisterissä mitään tietoja, joita et tarvitse! 9
3. Rekisteröidyn oikeudet 10
3. Mitä oikeuksia rekisteröidyllä on? Nykyiset oikeudet Uudet oikeudet Informointi tietojen käsittelystä Tarkastusoikeus (oikeus saada pääsy tietoihin) Oikeus tiedon korjaamiseen Läpinäkyvä informointi tietojen käsittelystä Siirto-oikeus (oikeus saada tiedot ja saada tiedot siirrettyä toisen rekisterinpitäjän järjestelmään) Oikeus tulla kokonaan unohdetuksi Oikeus kieltää suoramarkkinointi Oikeus vastustaa käsittelyä, kuten profiloinnissa Oikeus rajoittaa käsittelyä 11
Oikeus saada vahvistus Asianmukainen, yksinkertainen ja ymmärrettävä kieli Lapset Maksuttomuus Tarvittaessa havainnollistettava 3. Läpinäkyvä informointi & viestintä Tietojen helppo saatavuus Sähköisten kanavien hyödyntäminen Tiivis esittäminen Etäpääsy Sisältää mm.: Kuka kerää tietoja? Mistä tiedot saadaan? Mitä tietoja kerätään? Miksi tietoja kerätään? Miten tietoja kerätään? Missä määrin tietoja kerätään? Kuinka kauan näitä tietoja säilytetään? Luovutetaanko tietoja? Mitkä ovat oikeuteni? Rekisteriseloste & Tietosuojaseloste 1.12.2016 JASMINA HEINONEN 12
3. Tarkastusoikeus ja tiedon korjaamisoikeus Tarkastusoikeus sisältää käytännössä oikeuden päästä tietoihin tarkastaa tiedot Oikeus kuuluu jokaiselle Rekisteröidyn ei tarvitse perustella oikeuttaan Rekisterinpitäjällä ei oikeutta tiedustella perustetta Rekisterinpitäjän tulee korjata tieto ilman aiheetonta viivytystä Rekisteröidyn vaatimuksesta Epätarkat ja virheelliset tiedot 13
3. Oikeus siirtää tiedot järjestelmästä toiseen Rekisteröidyllä on oikeus siirtää henkilötiedot toiselle rekisterinpitäjälle jos 1. käsittely perustuu suostumukseen t. sopimukseen ja 2. käsittely suoritetaan automaattisesti Suoraan rekisterinpitäjältä toiselle, jos se on teknisesti mahdollista. Koskee rekisteröidyn itse toimittamiaan tietoja 14
3. Siirto- ja tarkastusoikeuden suhde Siirto-oikeus (saada tiedot): Rekisteröidyn itse toimittamat tiedot. Jäsennellyssä koneluettavassa muodossa. Tarkastusoikeus (pääsy tietoihin) Kaikki henkilötiedot. Jos pyyntö sähköinen: yleisesti käytetyssä sähköisessä muodossa. 15
3. Oikeus tietojen poistamiseen eli oikeus tulla unohdetuksi Milloin? 1. Tieto on vanhentunut t. virheellinen 2. Ei tarvetta tiedolle alkuperäiseen käyttötarkoitukseen nähden 3. Rekisteröity peruuttaa suostumuksensa tietojensa antamiseen 4. Rekisteröity vastustaa tietojensa käsittelyä vastustamisoikeuden perusteella 5. Tietoja käsitelty lainvastaisesti 6. Tiedot poistettava lakisääteisen velvoitteen noudattamiseksi tai 7. Tiedot kerätty tarjottaessa tietoyhteiskuntapalveluja lapselle (alle 13-16 vuotias) Poikkeukset: Lakisääteinen velvoite Oikeusvaateen esittäminen ilman aiheetonta viivytystä & ilmoitettava tietojen käsittelijöille (+ rekisteröidylle) 16
3. Suoramarkkinointi Uuden asetuksen mukaan rekisteröidyllä oikeus milloin tahansa vastustaa häntä koskevien henkilötietojensa käsittelyä suoramarkkinoinnissa. Vastustaminen tarkoittaa, että tietoja ei saa enää käsitellä suoramarkkinointitarkoitukseen. Nykylaissa erotetaan sähköinen ja ei-sähköinen suoramarkkinointi Perinteinen suoramarkkinointi: kielto-oikeus Sähköinen suoramarkkinointi: suostumus ennalta Oikeus saatettava rekisteröidyn tietoon nimenomaisesti, selkeästi ja muusta tiedotuksesta erillään. 17
3. Rekisteröidyn oikeus rajoittaa käsittelyä Rajoittaminen tarkoittaa, että tietoja ei saa käsitellä eli ei myöskään poistaa t. kohdistaa muita toimenpiteitä (ainoastaan säilyttää). Käsittelyä tulee rajoittaa seuraavissa tilanteissa: 1. Käsittely on lainvastaista ja rekisteröity ei halua, että tietoja poistetaan 2. Rekisteröity kiistää tiedon paikkansapitävyyden ( erimielisyys siitä) Rekisterinpitäjä varmistaa tietojen paikkansapitävyyden rajoitus siksi ajaksi. 3. Rekisterinpitäjä ei tarvitse tietoja, mutta rekisteröity tarvitsee oikeusvaateen esittämiseksi Saa kuitenkin käsitellä: 1. Rekisteröidyn suostumuksella 2. Oikeusvaateen esittämiseksi 3. Toisen oikeuksien suojaamiseksi 4. Tärkeää unionin yleistä etua koskevista syistä 18
4. Rekisteröidyn oikeuksien käyttö 19
4. Toimintaohjeet rekisteröidyn oikeuksien käytölle 1. Varmista rekisteröidyn henkilöllisyys 2. Ota pyyntö todisteellisesti vastaan Esimerkiksi valmis lomakepohja 3. Ilmoita toimenpiteistäsi (korjaaminen, poisto tai rajoitus.) kaikille henkilötiedon käsittelijöille 4. Vastaa rekisteröidyn pyyntöön ilman aiheetonta viivytystä Rekisteröidyn pyytäessä toimitettava kopio kaikista tiedoista» Sidoksissa pyytämistapaan (sähköinen tai kirjallinen) Viimeistään 1 kk pyynnön esittämisestä» Tarvittaessa jatko enintään kahdella kuukaudella 5. Jos rekisterinpitäjä ei toteuta toimenpiteitä, ilmoitettava syyt ja rekisteröidyn oikeussuojakeinoista rekisteröidylle Mahdollisuus valittaa 20
4. Voiko rekisterinpitäjä edellyttää maksua rekisteröidyn pyynnöistä? Lähtökohtaisesti toimitettava tiedot ja tehtävä muut toimenpiteet maksutta. Jos pyynnöt ilmeisen perusteettomia t. kohtuuttomia, rekisterinpitäjä voi: 1. Periä kohtuullisen maksun 2. Kieltäytyä suorittamasta pyydettyä toimea Pyyntöjen toistuva esittäminen esimerkki kohtuuttomuudesta. 21
Yhteenveto: Esityksen 4 keskeistä teesiä 1. Tietosuoja-asetus voimaan 2016 & soveltaminen alkaa 5/2018 2. Olennaista ei ole henkilötietojen jaottelu, vaan tiedon tunnistaminen henkilötiedoksi. 3. Rekisteröidyllä on erilaisia oikeuksia vaikuttaa omistamiinsa henkilötietoihinsa. 4. Uusia rekisteröidyn oikeuksia ovat oikeus siirtää tiedot toiseen järjestelmään & oikeus tulla unohdetuksi. 22
KIITOS! Jasmina Heinonen jasmina.heinonen@finnet.fi 23
Päivän kulku 09:40-10:20 Jasmina Heinonen: Tietosuoja-asetus: Johdatus ja rekisteröidyn oikeudet 10:20-10:35 Tauko 10:35-11:30 Lotta Kuusisto: Tietosuoja-asetus velvoitteiden näkökulmasta 11:30-12:30 Lounas 12:30-13:45 Viemerö Mikko: Osoitusvelvollisuuden periaate & tietosuojadokumentaatio 13:45-14:15 Tauko ja kahvitus 14:15-15:30 Petteri Järvinen: Tietosuoja tekniikan ja käyttäjän näkökulmasta 15:30- Keskustelua ja palautteen pyytäminen 24