Tietoa rekisterinpitäjälle


Rekisterinpitäjän oikeudesta kerätä ja tallettaa, käyttää sekä muutoin käsitellä henkilötietoja säädetään lailla. Yleissäännökset sisältyvät henkilötietolakiin, mutta myös muissa laeissa on henkilötietojen käsittelyä koskevia säännöksiä.

Näillä sivuilla kerrotaan henkilötietojen käsittelyn yleisistä edellytyksistä ja henkilötietolain merkityksestä henkilötietojen käsittelyssä.

HENKILÖTIETOLAKI

1. HENKILÖTIETOLAIN TAUSTAA

Kansalaisten yksityisyyden suojaamisesta on säädetty Suomessa ensimmäisen kerran 1.1.1988 voimaan tulleella henkilörekisterilailla. Henkilörekisterilaki korvattiin 1.6.1999 henkilötietolailla. Henkilötietolailla saatettiin voimaan myös Euroopan Unionin henkilötietodirektiivin määräykset. Oikeus yksityiselämän suojaan säädettiin perusoikeudeksi 1.8.1995 alkaen. Henkilötietolailla toteutettiin myös perustuslain edellyttämä lailla säätämisen velvoite.

Henkilötietolain säätämisen tarkoituksena on ollut erityisesti ehkäistä tietotekniikan ja uuden teknologian käyttöön liittyviä tietosuojariskejä. Sen vuoksi lain velvoitteiden huomioonottaminen ja erityisesti suunnitelmallisuuden vaatimus on erityisen tärkeää, kun henkilötietojen käsittelyä aiotaan toteuttaa tai toteutetaan automaattisen tietojenkäsittelyn avulla.

Henkilötietolain säännösten merkitys hyvän tietojenkäsittelytavan ja hyvän tiedonhallinnan aikaansaamiseksi on korostunut sitä mukaa, kun henkilötietojen käsittely on siirtynyt automaattisen tietojenkäsittelyn avulla tapahtuvaksi ja tietoja käsitellään yhä enemmän tietoverkoissa.

2. MUIDEN LAKIEN MERKITYS HENKILÖTIETOJEN KÄSITTELYSSÄ

Varsinaisiksi tietosuojaa koskeviksi laeiksi voidaan lukea myös laki yksityisyyden suojasta työelämässä sekä laki sähköisen viestinnän tietosuojasta. Lakeja sovelletaan soveltamisalueidensa mukaisesti ensisijaisina ja täydentävästi henkilötietolakiin nähden. Viranomaisten toiminnan julkisuudesta annettua lakia sovelletaan, kun henkilötietoja luovutetaan viranomaisen henkilörekisteristä.

Henkilötietojen käsittelyä koskevia säännöksiä on myös muissa laeissa. Näitä erityissäännöksiä sovelletaan ensijaisina henkilötietolakiin nähden. Henkilötietolain yleisvelvoitteet tulevat kuitenkin sovellettavaksi aina, koska näitä säännöksiä ei ole muussa lainsäädännössä.

Lisätietoja kohdassa Lait

3. HENKILÖTIETOLAIN SOVELTAMISALA

Henkilötietolaki on siis henkilötietojen käsittelyn peruslaki (yleislaki). Sen säännökset tulee ottaa huomioon aina, kun henkilötietoja käsitellään automaattisen tietojenkäsittelyn avulla ja myös muuten tapahtuvaan henkilötietojen käsittelyyn silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa.

Lain säännöksiä sovelletaan kaikkeen käsittelyyn. Henkilötietojen käsittelyllä tarkoitetaan henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietohin kohdistuvia toimenpiteitä.

Lakia ei kuitenkaan sovelleta henkilötietojen käsittelyyn, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiiin tarkoituksiin. Eikä sitä sovelleta pääsääntöisesti myöskään henkilötietojen käsittelyyn toimituksellisia sekä taiteellisen ja kirjallisen ilmaisun tarkoituksia varten.

Henkilötietolakia sovelletaan sellaiseen henkilötietojen käsittelyyn, jossa rekisterinpitäjän toimipaikka on Suomen alueella tai muutoin Suomen oikeudenkäytön piirissä sekä eräissä muissa laissa erikseen säädetyissä tilanteissa.

4. LAKI OHJAA HENKILÖTIETOJEN KÄSITTELYÄ

Henkilötietolaissa säännellään:

  • henkilötietojen käsittelyn yleisistä edellytyksistä (milloin henkilötietoja voi käsitellä)
  • niistä yleisvelvoitteista, joita kaikessa henkilötietojen käsittelyssä tulee aina noudattaa
  • rekisteröityjen henkilötietojen käsittelyyn liittyvistä oikeuksista
  • lain soveltamisen valvontajärjestelmästä sekä
  • sanktioista ja seuraamuksista, jotka seuraavat henkilötietolain vastaisista käsittelyistä. Osin sanktiot sisältyvät rikoslakiin.

Henkilötietolailla on pyritty löytämään ratkaisumalli yksityisyyden suojan ja muiden henkilötietojen käsittelyyn liittyvien intressien välillä. Muun muassa laissa säädetty henkilötietojen kaikkiin käsittelyvaiheisiin ulottuva tarpeellisuus- ja virheettömyysvaatimus toteuttavat osaltaan myös toiminnallisia tarpeita ja hyvän tiedonhallinnan tavoitteita.

Rekisteröityjen yksityisyyden ja heidän etujensa ja oikeuksiensa suojaaminen ei ole siten erillinen velvoite. Yksityisyyden suoja liittyy olennaisena osana toiminnallisiin ratkaisuihin sekä toimintojen ja tietojärjestelmien suunnitteluun.

Rekisteröidyn, esimerkiksi asiakkaan, yksityisyyden suojan huomioiminen ja hänen oikeuksistaan kertominen lisäävät luottamusta rekisterinpitäjän ja rekisteröidyn välillä. Tällä tavoin edistetään myös toiminnallisia tavoitteita. Keinot rekisterinpitäjän toiminnallisten tavoitteiden ja yksityisyyden suojan tavoitteiden saavuttamiseksi ovat pitkälle yhteneväiset.

5. KÄYTTÖTARKOITUKSEN MÄÄRITTELY JA KÄSITTELYN SUUNNITTELU

Henkilötietolain soveltamisen kannalta keskeinen vaatimus on määritellä henkilötietojen käsittelyn tarkoitus. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään.

Vain tämän määrittelyn pohjalta voidaan arvioida, mitkä ovat käsittelyn tarkoituksen kannalta tarpeellisia ja virheettömiä henkilötietoja. Rekisteröidyn suostumuksellakaan ei saa kerätä tai muutoin käsitellä käsittelytarkoituksen kannalta tarpeettomia henkilötietoja.

Henkilörekisterillä tarkoitetaan henkilötietolain määritelmän mukaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka, joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta.

Lain määrittämä henkilörekisteri on siten looginen henkilörekisteri. Samaan loogiseen rekisteriin kuuluvat sekä automaattisen tietojenkäsittelyn avulla ylläpidetyt osat että manuaalisesti pidetyt osat, jos rekisterinpitäjä käyttää tietoja saman tehtävän hoitamisessa.

Lain tarkoittamista käsittelytarkoituksista (käyttötarkoituksista) voidaan mainita esimerkkeinä seuraavat:

  • Jokaiselle työnantajalle muodostuvat henkilörekisterit toisaalta palvelussuhteen hoitoa ja erikseen työntekijöiden valintaa varten (eri työnhauissa muodostuvat eri rekisterit).
  • Terveydenhuollon toimintayksikköön (esimerkiksi terveyskeskukseen) muodostuu henkilörekisteri potilaan hoitoa varten (potilasrekisteri).
  • Sosiaalihuollossa muodostuu erillisiä henkilörekistereitä sosiaalihuollon lainsäädännössä säädettyjen eri tehtävien hoidossa (esimerkiksi toimeentulotukiasioiden hoitamisessa, lastensuojelulaissa säädettyjen tehtävien hoitamisessa, päivähoidon järjestämisessä, kasvatus- ja perheneuvonnassa yms.)
  • Yritykselle muodostuu henkilörekisteri jokaisen sen toimialaan liittyvän erityyppisen asiakassuhteen hoidossa.

Tiettyä tehtävää varten kerätyt henkilötiedot kuuluvat rekisterinpitäjän pitämään samaan loogiseen henkilörekisteriin ylläpidettiinpä tietoja atk:n avulla tai manuaalisesti. Usein tiettyä käyttötarkoitusta varten perustettu henkilörekisteri muodostuu erillisten osatoimintojen hoitamisessa syntyvistä osarekistereistä ja/tai eri toimipisteiden osarekistereistä. Esimerkiksi kunnallisessa päivähoidossa muodostuu ainakin hakemusmenettelyjen osatiedosto ja eri päiväkotien tiedostot.

Toinen keskeinen vaatimus lain tavoitteena olevan hyvän tietojenkäsittely- ja hyvän tiedonhallintatavan aikaansaamiseksi on:

  • suunnitella henkilötietojen käsittelyt menettelytapoineen ja teknisine ratkaisuineen toiminnallisten tarpeiden pohjalta kaikkien henkilötietojen käsittelyvaiheiden osalta (henkilötietojen keräämisestä ja tallettamisesta aina henkilötietojen luovuttamiseen ja säilyttämiseen).

Suunnittelun tuloksena laaditaan rekisterikuvaus("Malli henkilötietojen käsittelyn/henkilörekisterin rekisteritoimintojen analysoimiseksi") sekä arvioidaan sekä henkilötietolain että mahdollisten erityislakien säännösten kannalta käsittelyn lainmukaisuus. Suunnittelun yhteydessä on tarpeen laatia myös tietosuojariskien kartoitus.

Henkilötietojen käsittelyn suunnittelu tulee toteuttaa määritellyn loogisen kokonaisuuden pohjalta. Muutoin tavoitteena olevaa hyvää tiedonhallintatapaa ei ole mahdollista toteuttaa.

Jos rekisterinpitäjänä oleva yritys, virasto tai laitos suunnittelee hankkivansa tai hankkii ulkopuolisilta palvelujen tuottajilta esimerkiksi tietojenkäsittelypalveluja omaan lukuunsa (toimeksiantosopimuksen perusteella), vastuu henkilötietojen käsittelystä on toimeksiantajalla. Tällainen henkilötietojen käsittely sekä osapuolten tehtävät ja vastuut toimeksiantosuhteessa on tarpeen sisällyttää henkilötietojen käsittelyä koskevaan suunnitelmaan.

Toimeksisaajan vastuu määräytyy asiasta tehtävän toimeksiantosopimuksen perusteella. Sopimus on mahdollista tehdä vain asianmukaisen suunnittelu- ja analysointityön pohjalta. Sopimus on aina syytä tehdä kirjallisena.

Henkilötietojen käsittelystä ja sen lainmukaisuudesta vastaa rekisterinpitäjä. Rekisterinpitäjällä tarkoitetaan yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä, tai jonka tehtäväksi rekisterinpito on säädetty. Rekisterinpitäjä on siis yritys, laitos, virasto tai yhteisö, ei sen palveluksessa olevan henkilö.

Henkilöstölle rekisterinpidossa ja siihen liittyvässä henkilötietojen käsittelyssä kuuluvat vastuut ja tehtävät määritellään toimisäännössä, työjärjestyksessä, toimenkuvissa yms. Henkilötietojen käsittelyn vastuut liittyvät aina osana toiminnallisiin vastuisiin. Ainakin isompien rekisterinpitäjäorganisaatioiden on hyvä nimetä eri tehtävien hoidon edellyttämien tietosuoja-asioiden koordinoimiseksi ja hoitamiseksi tietosuojaryhmä tai tietosuojavastaava.

Jokaisen rekisterinpitäjän on suunnittelun yhteydessä syytä käydä läpi henkilötietolain edellytykset henkilötietojen käsittelylle. Nämä edellytykset voidaan ryhmitellä seuraavasti:

  • Milloin henkilötietoja saa käsitellä
  • Minkälaisia henkilötietoja voi käsitellä
  • Mitä yleisvelvoitteita käsittelyssä tulee huomioida
  • Miten rekisteröidyn oikeudet huomioidaan
  • Oletko ilmoitusvelvollinen

Lisätietoja:

6. MILLOIN HENKILÖTIETOJA SAA KÄSITELLÄ

Henkilötietojen käsittelylle tulee olla henkilötietolain 8 tai 14-20 §:stä ilmenevä peruste. Tavallisimpia perusteita henkilötietojen käsittelylle ovat:

  • Rekisteröity on antanut yksiselitteisesti suostumuksensa henkilötietojensa käsittelylle.
  • Käsittelystä säädetään laissa tai käsittely johtuu rekisterinpitäjälle laissa säädetystä tehtävästä.
  • Rekisteröidyllä on asiakas- tai palvelusuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan (yhteysvaatimusedellytys).
  • Kysymys on konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista ja näitä tietoja käsitellään kyseisen yhteenliittymän sisällä.
  • Kysymys on henkilön asemaa tai tehtäviä tai niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista yleisesti saatavissa olevista tiedoista ja näitä tietoja käsitellään rekisterinpitäjän tai tiedot saavan sivullisen oikeuksien ja etujen turvaamiseksi.

Henkilötietolain 14-20 §:ssä säädetään oikeudesta käsitellä henkilötietoja

  • tieteellistä tutkimusta
  • tilastointia
  • viranomaisen suunnittelu- ja selvitystehtäviä
  • henkilömatrikkelia
  • sukututkimusta ja
  • henkilöluottotietojen käsittelyä varten.

Näitäkin tilanteita koskevat myös kaikki henkilötietolain yleisvelvoitteet ja rekisteröityjen oikeuksia koskevat säännökset.

7. MINKÄLAISIA HENKILÖTIETOJA VOI KÄSITELLÄ

Henkilötietolaki asettaa vaatimuksia myös kerättäville ja käsiteltäville henkilötiedoille.

7.1 Tarpeellisuus- ja virheettömyysvaatimus

Laissa säädetyt tarpeellisuus- ja virheettömyysvaatimukset ovat hyvän tietojenkäsittely- ja tiedonhallintatavan aikaansaamisen tärkeimpiä edellytyksiä.

Kussakin käsittelytarkoituksessa saa käsitellä tämän tarkoituksen kannalta tarpeellisia tietoja, mutta ei muita tietoja. Suostumuskaan ei syrjäytä tarpeellisuusvaatimusta.

Esimerkkejä:

  • Työnantaja saa kerätä vain työ- ja palvelussuhteen hoidossa tarpeellisia tietoja työntekijästä.
  • Terveyskeskus voi kerätä ja tallettaa potilasrekisteriin vain potilaan hoidon järjestämisen ja toteuttamisen kannalta tarpeellisia tietoja.
  • Oppilaitos voi kerätä ja tallettaa oppilasrekisteriin vain oppilassuhteen hoitamisessa tarpeellisia tietoja oppilaasta.

Jokainen rekisterinpitäjä (esim. terveyskeskus, työnantaja tai oppilaitos) määrittelee itse tietojen tarpeellisuuden, mutta tarpeellisuus tulee voida perustella objektiivisin mittapuin. Tietosisällön määrittelyyn voivat vaikuttaa mahdolliset asiaa koskevat erityislakien säännökset. Esimerkiksi peruskoulun tehtävät määritellään perusopetuslaissa. Tarpeelliset tiedot määräytyvät tällöin opetuksen järjestämistä koskevien säännösten perusteella. Laissa yksityisyyden suojasta työelämässä on säännöksiä työntekijöistä ja työnhakijoista kerättävistä tiedoista ja tietojen keräämisen edellytyksistä.

Virheettömyysvaatimus merkitsee, että rekisterinpitäjän on huolehdittava tietyssä määritellyssä tarkoituksessä keräämiensä ja tallettamiensa henkilötietojen virheettömyydestä. Rekisterin käyttötarkoituksen kannalta virheellisiä, epätäydellisiä tai vanhentuneitä tietoja ei saa kerätä. Myös tarpeettomat tiedot ovat lain tarkoittamia virheellisiä tietoja.

Tietojen virheettömyyttä arvioitaessa otetaan huomioon henkilötietojen käsittelyn tarkoitus sekä käsittelyn merkitys yksityisyyden suojalle. Esimerkiksi erilaisten etuusasioiden käsittelyssä virheettömyysvaatimuksesta huolehtiminen on erityisen tärkeää rekisteröidyn oikeusturvan kannalta.

Rekisterinpitäjän on huolehdittava virheellisen tiedon korjaamisesta viran puolesta sekä rekisteröidyn vaatimuksesta.

7.2. Arkaluonteisten henkilötietojen käsittely

Henkilötietolain 11 §:ssä lueteltujen arkaluonteisten henkilötietojen kerääminen ja käsittely on pääsääntöisesti kielletty. Poikkeuksista säädetään lain 12 §:ssä.

Poikkeukset kattavat muun muassa sellaiset yhteiskunnan toimivuuden kannalta keskeiset toiminnot, joissa tehtävien hoito ei ole mahdollista ilman arkaluonteisten tietojen tallettamista (esimerkiksi terveydenhuollon ja sosiaalipalvelujen järjestäminen).

Lain tarkoittamia arkaluonteisia tietoja ovat tiedot, jotka kuvaavat

  • rotua tai etnistä alkuperää
  • henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista
  • rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta
  • henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä
  • henkilön seksuaalista suuntautumista tai käyttäytymistä tai
  • henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluita, tukitoimia tai muita sosiaalisia etuuksia.

7.3 Henkilötunnuksen käsittely

Henkilötunnusta saa käsitellä vain henkilötietolain 13 §:ssä säädetyin edellytyksin. Yleinen edellytys on, että henkilötunnuksen tallettaminen on tärkeää rekisteröidyn yksiselitteiseksi yksilöimiseksi.

Kysymys on tällöin yleensä sekä rekisteröidyn että rekisterinpitäjän oikeusturvasta. Tieto tarvitaan, jotta eri rekisteröityjen tiedot eivät sekaannu keskenään. Mikäli muu yksilöintitieto on riittävä, henkilötunnusta ei tule kerätä.

Hyvä tietojenkäsittelytapa edellyttää, ettei kenenkään yksityisyyttä saa perusteettomasti loukata eikä vaarantaa. Tämä merkitsee käytännössä sitä, että henkilötunnuksen kerääminen tarve ja vaihtoehtoisten yksilöintitietojen käyttömahdollisuudet tulee selvittää aina jo suunnitteluvaiheessa kaikkien käsittelyvaiheiden kannalta.

Jokaisen rekisterinpitäjän on lain 13 §:n mukaan huolehdittava siitä, ettei henkilötunnusta merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin.

8. MITÄ YLEISVELVOITTEITA HENKILÖTIETOJEN KÄSITTELYSSÄ JA SEN SUUNNITTELUSSA TULEE HUOMIOIDA

Asianmukaisuus
Henkilötietojen käsittelyn tulee olla kaikissa tapauksissa asianmukaista rekisterinpitäjän toiminnan kannalta (HetiL 6 §).

Käsittelytarkoituksen määrittely
Kerättävien henkilötietojen käsittelytarkoitus tulee määritellä (HetiL 6 §, katso edellä).

Suunnitteluvaatimus
Henkilötietojen käsittely tulee suunnitella etukäteen (suunnitteluvaatimus, HetiL 5 ja 6 §, katso edellä)

Käyttötarkoitussidonnaisuus
Käyttötarkoitussidonnaisuuden vaatimus merkitsee, että tiettyyn tarkoitukseen kerättyjä henkilötietoja ei saa käyttää muuhun tarkoitukseen. Poikkeuksena ovat henkilötietojen käsittely myöhempää historiallista tutkimusta tai tieteellistä tai tilastollista tarkoitusta varten. Näitä tarkoituksia ei pidetä yhteensopimattomina alkuperäisen käsittelyn tarkoitusten kanssa (HetiL 7 §). Henkilötietojen luovuttamiseen edellä mainittuihin tarkoituksiin vaikuttavat kuitenkin mahdolliset salassapitosäännökset.

Huolellisuusvelvoite
Huolellisuusvelvoite merkitsee, että rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta. Sama velvollisuus on sillä, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun (HetiL 5 §). Kenenkään yksityisyyttä ei saa perusteettomasti vaarantaa.

Suojaamisvelvoite
Suojaamisavelvoite merkitsee vaatimusta huolehtia kerättävien ja käsiteltävien henkilötietojen suojaamisesta asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiselta, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä (HetiL 32 §). Suojaamisvelvoitteen piiriin kuuluu myös tietoturvasta huolehtiminen.

Säilyttämisajat
Henkilötietojen säilyttämisaikaa koskevat säännökset merkitsevät sitä, että henkilörekisteri, joka ei enää ole tarpeellinen rekisterinpitäjän tominnan kannalta, on hävitettävä, jollei siihen talletettuja tietoja ole erikseen säädetty tai määrätty säilytettäviksi tai jollei rekisteriä siirretä lain 35 §:ssä tarkoitetulla tavalla arkistoon (HetiL 34 § ja 35 §).

Rekisteriseloste
Rekisteriselosteen laatimis- ja saatavillapitovelvoite edellyttävät, että rekisteriseloste tulee olla jokaisen saatavilla. Siihen merkitään lain 10 §:ssä säädetyt keskeiset rekisterinpidon vastuita, käsiteltävien henkilötietojen käyttötarkoitusta ja rekisterin tietosisältöä sekä henkilötietojen säännönmukaisia luovutuksia ja suojaamista koskevat tiedot. Rekisteriselosteen laatimisvelvoite edustaa henkilötietolain keskeistä avoimuuden periaatetta. Kts. rekisteriselostelomake.

9. MITEN HUOMIOIT REKISTERÖITYJEN OIKEUDET

Rekisterinpitäjän tulee huolehtia siitä, että henkilötietolaissa rekisteröidylle säädetyt oikeudet toteutuvat.

Informointivelvollisuus
Rekisterinpitäjän tulee huolehtia siitä, että rekisteröity voi saada tietää itseään koskevien tietojen käsittelystä. Rekisteröidylle tulee kertoa ainakin:

  • tiedot rekisterinpitäjästä (nimi ja yhteystiedot),
  • kerättävien henkilötietojen käsittelyn tarkoituksesta
  • tiedot säännönmukaisista henkilötietojen luovutuksista sekä
  • tiedot, jotka ovat tarpeen rekisteröidyn oikeuksien käyttämiseksi asianomaisessa henkilötietojen käsittelyssä.

Informoinnista voidaan poiketa eräissä laissa säädetyissä tilanteissa. Nämä tilanteet ovat kuitenkin poikkeuksellisia eikä informoinnista voi poiketa, jos tietoja käytetään rekisteröityjä koskevassa päätöksenteossa.

Informointivelvoite henkilötietoja kerättäessä merkitsee muun muassa sitä, että kerättäessä henkilötietoja verkon kautta, lain edellyttämä informointi tulee löytyä verkkosivuilta ennen tietojen antamista. Informointia koskevat tiedot on hyvä ja tarkoituksenmukaista sisällyttää rekisteriselosteeseen, jolloin asiakirja nimetään tietosuojaselosteeksi.

Tarkastusoikeus
Jokaisella on oikeus tarkastaa itseään koskevat henkilötiedot. Henkilötietolain mukaan jokaisella on salassapitosäännösten estämättä oikeus saada tietää, mitä häntä koskevia henkilötietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja. Rekisterinpitäjän on samalla ilmoitettava rekisteröidylle rekisterin säännönmukaiset tietolähteet sekä mihin henkilörekisterin tietoja käytetään ja säännönmukaisesti luovututetaan.

Tiedot tulee antaa ilman aiheetonta viivytystä, ymmärrettävässä muodossa ja pyydettäessä kirjallisena. Terveydenhuollossa menettelytapana on ensisijaisesti henkilökohtainen käynti ymmärrettävyyden varmistamiseksi. Tarkastusoikeus on maksuton kerran vuodessa toteutettuna.

Tarkastusoikeus voidaan evätä tietyissä henkilötietolaissa säädetyissä tilanteissa ja tarkastusoikeutta ei ole lainkaan pelkästään tieteelliseen tutkimustarkoituksiin ja tilastointitarkoituksiin kerättyihin tietoihin. Estettä tarkastusoikeuden toteuttamiseen ei tällöinkään ole. Muussa laissa voi olla eräitä poikkeuksia tarkastusoikeudesta. Tarkastusoikeutta koskevan pyynnön esittämistavasta on säädetty erikseen (HetiL 26-28 §).

Tiedon korjaaminen
Rekisterinpitäjän on ilman aiheetonta viivästystä oikaistava rekisterissä oleva käsittelyn tarkoituksen kannalta virheellinen, tarpeeton, puutteellinen tai vanhentunut henkilötieto. Rekisterinpitäjän tulee huolehtia virheellisen tiedon korjaamisesta sekä oma-alotteisesti että myös rekisteröidyn vaatimuksesta.

Rekisterinpitäjän on myös estettävä virheellisen tiedon leviäminen, jos tieto voi vaarantaa rekisteröidyn yksityisyyden suojaa tai hänen oikeuksiaan (Hetil 29 §).

Sekä tarkastusoikeuden että virheen korjaamista koskevan vaatimuksen epäämisestä tulee antaa kirjallinen todistus. Suositeltavaa on, että samalla kerrotaan mahdollisuudesta saattaa asia tietosuojavaltuutetun käsiteltäväksi.

Kielto-oikeus
Rekisteröidyllä on henkilötietolain mukaan oikeus kieltää rekisterinpitäjää käsittelemästä häntä itseään koskevia tietoja suoramainontaa, etämyyntiä ja muuta suoramarkkinointia sekä markkina- ja mielipidetutkimusta samoin kuin henkilömatrikkelia ja sukututkimusta varten (HetiL 30 §).

Rekisterinpitäjän on informoitava rekisteröityä kielto-oikeudesta ja sen toteuttamistavasta henkilötietolain 24 §:n mukaisesti henkilötietoja kerättäessä.

Lisätietoja:

10. ILMOITUSVELVOLLISUUS

Rekisterinpitäjä on velvollinen tekemään henkilötietolain 36 ja 37 §:ssä säädetyissä tilanteissa ilmoituksen tietosuojavaltuutetun toimistolle. Ilmoitusten tyypit ovat:

Rekisteri-ilmoitus
Velvollisuus tehdä rekisteri-ilmoitus koskee automaattisen tietojenkäsittelyn avulla toteutettavaa rekisterinpitoa laissa mainituissa tilanteissa. Tämä ilmoitusvelvollisuus on säädetty suhteellisen suppeaksi.

Toimintailmoitus
Velvollisuus tehdä toimintailmoitus koskee:

  • luottotietotoimintaa tai
  • perimistoimintaa tai
  • mielipide- ja markkinatutkimustoimintaa elinkeinona harjoittavia taikka
  • toisen lukuun henkilöstön valintaan ja soveltuvuuden arviointiin liittyviä tehtäviä hoitavia, jos nämä tässä toimissaan käyttävät tai käsittelevät henkilörekisterissä olevia tietoja.

Henkilötietojen ulkomaille luovutusta koskeva ilmoitus

Lisätietoja:

11. HENKILÖTIETOLAIN VALVONTAJÄRJESTELMÄ JA SANKTIOT

Henkilötietolainsäädännön täytäntöönpanoa ohjaa ja valvoo tietosuojavaltuutettu. Päätösvaltaa henkilötietojen käsittelyyn liittyvissä asioissa käyttää tietosuojalautakunta, jonka käsittelyyn tietosuojavaltuutettu voi viedä tarvittaessa asian.

Tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta kieltää henkilötietojen käsittelyn tai antaa asiaa koskevia kieltomääräyksiä. Tietosuojalautakunta voi lisäksi erikseen määritellyissä tilanteissa ja edellytyksillä antaa luvan henkilötietolain säännöksistä poikkeavaan henkilötietojen käsittelyyn.

Kansallisarkistolla on lupatoimivalta henkilörekisterien arkistointiin sen jälkeenkin, kun rekisteri ja sen tiedot muutoin tulisi lain mukaan hävittää. Edellytyksenä on, että rekisterin arkistointi on tieteellisen tutkimuksen vuoksi tai muusta syystä merkityksellinen.

Henkilötietolaissa on säädetty henkilötietojen lainvastaisesta käsittelystä seuraavasta vahingonkorvausvelvollisuudesta. Sekä henkilötietolaki että rikoslaki sisältävät sanktiot henkilötietolain vastaisesta menettelystä.

Lisätietoja: