Fintech-yrityksen tietosuoja: Tietosuoja-asetus Markus Myhrberg 26.1.2017
Sääntely-ympäristö Henkilötietolaki Perustuslaki EIS, EU perusoikeuskirja GDPR (PSD2) Työelämän tietosuojalaki Tietoyhteiskuntakaari Erityislait Pankkisalaisuus Rahanpesu Rikoslaki Julkisuuslaki Kilpailuoikeus Viranomaismääräykset ja ohjeet (FIVA, TSV, Ficora) Itsesääntely
Tarkoitus ja tavoitteet EU:n yleinen tietosuoja-asetus, GDPR Soveltaminen alkaa 25.5.2018 EU:n tasoinen harmonisointi (kansallista liikkumavaraa) Asetuksen tarkoituksena Ajantasaistaa ja yhdenmukaistaa sääntelyä Lisätä avoimuutta ja läpinäkyvyyttä Vahvistaa rekisteröidyn oikeutta valvoa tietojen käsittelyä
Muutoksia Lainsäädäntö yksityiskohtaisemmaksi Henkilötietojen käsittelyn edellytykset tiukkenevat Rekisteröityjen oikeudet vahvistuvat Rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet ja kustannukset lisääntyvät Suunnittelu-, dokumentointi- ja arviointivelvoitteet > hallinnollinen taakka lisääntyy Riskit ja sanktiot kasvavat Riskienhallintakäytännöt muuttuvat
Sisäänrakennettu ja oletusarvoinen tietosuoja Privacy by Design & Privacy by Default Tietosuojaperiaatteet tehokkaasti ja asianmukaisesti osaksi käsittelyä kaikissa vaiheissa Huomioitava tietosuoja osana palvelun tuotekehitystä Käsiteltävä vain määriteltyjen tarkoitusten kannalta tarpeellisia henkilötietoja Määrä, laatu, säilytysaika ja saatavilla olo (pääsynhallinta) Käsittelyn luonne, laajuus ym. suhteutettava käytettäviin suojamekanismeihin Koulutus, dokumentointi, ohjeistus, sopimukset, valvonta, pseudomisonti ja anonomysointi, rajoitukset, tietoprosessit ja käytännesäännöt
Käsittelyn periaatteet Henkilötietojen käsittelyä koskevat periaatteet Säilyvät pääosin samoina kuin ennen Lainmukaisuus, kohtuullisuus ja läpinäkyvyys (informointi) Käyttötarkoitussidonnaisuus (huom. myös vastaanottaja) Luovutusten huomioiminen, tietojen yhdistäminen Tietojen minimointi (tarpeellisuus) Täsmällisyys Säilytyksen rajoittaminen Eheys ja luottamuksellisuus (palautettavuus ja vikasietoisuus) Osoitusvelvollisuus
Käsittelyn periaatteet Käsittelyn perusta Yksiselitteinen suostumus, sopimus Lakisääteinen velvollisuus tunnistamis- ja tuntemisvelvollisuus > ulkoisen paveluntajoajan rooli? Asiakkuus ja suoramarkkinointi (oikeutettu etu) Tuntemistiedot: Velvollisuus informoida asiakkaita selkeästi siitä, miksi tietoja kysytään ja mihin tarkoitukseen niitä käytetään Ei saa käyttää markkinointiin (uusi rahanpesulaki)
Osoitusvelvollisuus Vaatimustenmukaisuus ( Compliance ) => tili-/osoitusvelvollisuus ( Accountability ) Jatkuva lainsäädännön noudattamisen osoitus > prosessien ja tietosuojaperiaatteiden dokumentointi henkilötietovirrat > rajapinnat seloste viranomaisille
Rekisteröidyn oikeudet Suostumusten, kieltojen (vastustaminen), oikaisujen ja poistojen hallinta, käsittelyn rajoittaminen, tietopyynnöt Prosessit ja tietojärjestelmien toteutus Tietojen siirrettävyys Itse toimitetut tiedot Automaattiset yksittäispäätökset ja profilointi Suostumus tai erityinen perusta Automaattinen luottohakemuksen epääminen (ihmisen osallistuminen?) Käyttöehtojen asema?
Sopimukset Sopimukset (DPA) palveluntarjoajien kanssa Otettava mukaan asetuksen vähimmäisvaatimukset henkilötietojen käsittelijälle Tunnistamispalvelut? Myös järjestelmätoimittajat Ohjeistus olennaisessa osassa Vastuuta ja riskejä ei voi ulkoistaa
Informointi ja käytännöt Tietosuojakäytännöt (Privacy Policy) Selkeät ja informatiiviset, helposti saatavilla Kansantajuinen kieli, sanottava suoraan, ei juridista jargonia! Säilytysaika, tietosuojavastaava Liittyykö käsittelyyn automaattista päätöksentekoa tai profilointia, millainen käsittelylogiikka niihin liittyy, sekä niiden merkitys ja seuraukset rekisteröidyille Evästepolitiikka (>Tietoyhteiskuntakaari/ePrivacy direktiivi) Informoinnin muoto Blended approach Videot, tietokohtainen, Omat Tiedot hallintavalikko Monitasoiset ilmoitukset
GDPR Compliance Nykytila => roadmap => GDPR-valmius Kokonaiskuva nykytilasta (Privacy DD) / tietotilinpäätös Vaiheistettu prosessi Rekisterien määrittely (looginen rekisterikäsite) Tietosuojavastaava? Tietoturva? Riskiperusteinen lähestyminen Riskianalyysit Koskee myös kerättävien tietojen määrää suhteessa muun lainsäädännön riskeihin
Tiedon hyödyntäminen ja tietosuoja-asiat myyntivaltiksi!
Markus Myhrberg Lexia Attorneys Ltd Lönnrotinkatu 11 FI - 00120 Helsinki tel. + 358 10 4244 200 fax. + 358 10 4244 210 www.lexia.fi