EU:n tietosuojauudistus

Tietosuoja-asetus

Tietosuojadirektiivi

Miten valmistautua tietosuoja-asetukseen?

Miksi tietosuojalait muuttuvat?

Tietosuoja-asetusta koskevat kysymykset

Tietosuoja-asetus

Suomen ja Euroopan unionin tietosuojalait ovat uudistumassa. EU:n yleistä tietosuoja-asetusta sovelletaan 25.5.2018 alkaen kaikissa EU:n jäsenmaissa. Tietosuoja-asetusta (General Data Protection Regulation, GDPR) sovelletaan lähtökohtaisesti kaikkeen henkilötietojen käsittelyyn. Sivuiltamme löydät tietosuoja-asetusta koskevia ohjeita ja koulutuksia, joita kannattaa hyödyntää tietosuoja-asetukseen valmistautumisessa.

Tietosuoja-asetusta täydennetään ja täsmennetään kansallisella lainsäädännöllä. Oikeusministeriön asettama työryhmä on ehdottanut mietinnössään uutta kansallista tietosuojalakia, joka tulisi voimaan 25.5.2018, kun myös tietosuoja-asetusta ryhdytään soveltamaan. Lakia valmistellaan tällä hetkellä oikeusministeriössä.

Tietosuojadirektiivi

Tietosuojadirektiivi on osa EU:n tietosuojalainsäädännön uudistusta. Tietosuojadirektiiviä sovelletaan poliisin ja muiden viranomaisten suorittamaan henkilötietojen käsittelyyn rikosasioissa. Oikeusministeriön asettama työryhmä on ehdottanut, että tietosuojadirektiivi pantaisiin täytäntöön kansallisesti lailla henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä. Tietosuojadirektiivi on pantava täytäntöön 6.5.2018 mennessä.

Miten valmistautua tietosuoja-asetukseen?

Monet periaatteet säilyvät ennallaan, mutta tietosuoja-asetus tuo myös uusia tietosuojaa ja henkilötietojen käsittelyä koskevia velvoitteita, joihin rekisterinpitäjien ja henkilötietojen käsittelijöiden on valmistauduttava. Tietosuoja-asetuksen rikkomisesta voi seurata muun muassa sakkoja tai henkilötietojen käsittelykielto.

Sivuiltamme löydät ohjeita ja koulutuksia, jotka auttavat tietosuoja-asetukseen valmistautumisessa.

Keskeistä ja uutta tietosuoja-asetuksessa on muun muassa riskiperusteinen lähestymistapa ja rekisterinpitäjän osoitusvelvollisuus. Rekisterinpitäjän velvollisuudet kasvavat sitä mukaa, mitä korkeampia riskejä henkilötietojen käsittelyyn liittyy. Rekisterinpitäjän on myös pystyttävä osoittamaan, että se noudattaa tietosuoja-asetusta. Henkilötietojen käsittely on suunniteltava ja dokumentoitava.

Tietosuojaperiaatteiden noudattaminen

Rekisterinpitäjän on huolehdittava siitä, että tietosuoja-asetuksessa määriteltyjä tietosuojaperiaatteita noudatetaan kaikissa henkilötietojen käsittelyvaiheissa.

Tietosuojaperiaatteiden mukaan henkilötietoja on

• käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi

• käsiteltävä luottamuksellisesti ja turvallisesti

• kerättävä ja käsiteltävä tiettyä, nimenomaista ja laillista tarkoitusta varten

• kerättävä vain tarpeellinen määrä henkilötietojen käsittelyn tarkoitukseen nähden

• päivitettävä aina tarvittaessa ‒ epätarkat ja virheelliset henkilötiedot on poistettava tai oikaistava viipymättä

• säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

Tietosuoja-asetukseen valmistautuminen

Valmistautuessasi tietosuoja-asetukseen:

1. Selvitä, pitääkö organisaatioosi nimittää tietosuojavastaava.

2. Selvitä, miten organisaatiossasi käsitellään henkilötietoja. Käy läpi kaikki henkilötietojen käsittelyn vaiheet keräämisestä hävittämiseen ja dokumentoi ne. Varmista, että organisaatiosi noudattaa nykyisin sovellettavaa henkilötietolakia.

3. Selvitä, millä perusteella organisaatiosi käsittelee henkilötietoja. Henkilötietojen käsittelylle on oltava aina laista löytyvä peruste.

4. Arvioi, millaisia riskejä henkilötietojen käsittelyyn liittyy organisaatiossasi. Selvitä, miten riskejä voitaisiin minimoida. Ryhdy toimenpiteisiin, jotka vastaavat henkilötietojen käsittelyyn liittyvää riskiä. Esimerkiksi silloin, kun henkilötietojen käsittelyyn kohdistuu todennäköisesti korkea riski, on rekisterinpitäjän tehtävä tietosuojaa koskeva vaikutustenarviointi.

5. Selvitä, miten organisaatiosi noudattaa tietosuoja-asetuksessa määriteltyjä rekisteröityjen oikeuksia. Selvitä myös, miten rekisteröityjen pyyntöihin tällä hetkellä vastataan. Päivitä prosessit tietosuoja-asetuksen vaatimusten mukaisiksi.

6. Huolehdi tietoturvasta. Valmistaudu ilmoittamaan henkilötietojen tietoturvaloukkauksista.

7. Varmista, että toimeksiantosopimukset vastaavat asetuksessa säädettyjä ehtoja, jos organisaatiosi on ulkoistanut henkilötietojen käsittelyyn liittyviä tehtäviä. Ota tietosuoja-asetus huomioon myös muissa sopimuksissa ja hankinnoissa.

8. Määrittele johtava valvontaviranomainen, jos organisaatiosi toimii usean EU:n jäsenmaan alueella.

9. Selvitä, miten organisaatiosi on huomioitava lasten erityisasema. Jatkossa lapsi tarvitsee huoltajan tai muun vanhempainvastuunkantajan suostumuksen tai valtuutuksen tietoyhteiskunnan palveluiden käyttöön. Suomessa ikäraja ei ole vielä selvillä, mutta se on vähintään 13 ja enintään 16 vuotta.

Lue lisää:
Opas: Miten valmistautua EU:n tietosuoja-asetukseen? (pdf, 0.3 Mt)

Miksi tietosuojalait muuttuvat?

Uuden lainsäädännön tavoitteena on

• parantaa henkilötietojen suojaa ja rekisteröityjen oikeuksia

• vastata uusiin digitalisaatioon ja globalisaatioon liittyviin tietosuojakysymyksiin

• yhtenäistää tietosuojasääntelyä kaikissa EU-maissa

• edistää digitaalisten sisämarkkinoiden kehittymistä.

Tietosuoja-asetusta koskevat kysymykset

Tietosuojavaltuutetun toimisto ei voi ottaa kantaa yksityiskohtaisiin, yksittäistä organisaatiota koskeviin kysymyksiin EU:n yleisen tietosuoja-asetuksen soveltamisesta ja tulkinnasta. Nykyisin sovellettavan henkilötietolain mukaan tietosuojavaltuutetulla ei ole ennakollista lupa- tai kieltotoimivaltaa, vaan tietosuojavaltuutetun toimiston tehtävänä on antaa yleistä ohjausta ja neuvontaa. Olemme julkaisseet tietosuoja-asetusta koskevia ohjeita ja valmisteilla on lisää yleistä ohjeistusta.

Tietosuoja-asetuksen tulkintaa koskevia ohjeita julkaisee EU:n kansallisista tietosuojaviranomaisista koostuva WP29-työryhmä. Osa ohjeista on jo julkaistu verkkosivuillamme ja uudet ohjeet julkaistaan niiden valmistuttua.

Lue lisää:
Ohjeita
Koulutuksia
WP29-työryhmän verkkosivut (englanniksi)

 
Julkaistu 15.6.2015  Päivitetty 12.12.2017
Sivun alkuun |