Tietosuojaa koskeva vaikutustenarviointi

On tärkeää tunnistaa tilanteet, joissa henkilötietojen käsittelyyn liittyy mahdollisesti korkeita riskejä rekisteröidyn oikeuksille ja vapauksille. Jos suunniteltu henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin, rekisterinpitäjän on tehtävä tietosuojaa koskeva vaikutustenarviointi. Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Tietosuojaa koskeva vaikutustenarviointi voidaan tehdä myös silloin, kun tietosuoja-asetus ei edellytä vaikutustenarvioinnin tekoa.

Lue lisää vaikutustenarvioinneista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Tietosuojavaltuutetun toimiston päätökset

Vaikutustenarvioinnin tekoon on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Tietosuojavaltuutetun päätös luetteloksi käsittelytoimista, joiden yhteydessä on tehtävä vaikutustenarviointi
  • Henkilötietojen käsittelyn vaikutustenarviointi, käsittelyperuste ja rekisteröityjen informointi Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä ei ollut pystynyt osoittamaan, että henkilötietojen käsittely turvakameravalvonnan yhteydessä vastasi yleisen tietosuoja-asetuksen oikeutettua etua koskevia vaatimuksia. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä oli informoinut puutteellisesti kanta-asiakasohjelman yhteydessä tapahtuvan automaattisen päätöksenteon olemassaolosta ja sitä koskevasta henkilötietojen käsittelystä. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä ei ollut osoittanut täyttäneensä yleisen tietosuoja-asetuksen velvoitteita koskien vaikutustenarviointia ja selostetta käsittelytoimista. Apulaistietosuojavaltuutettu havaitsi puutteita myös osapuolten roolien määrittelyä, käsittelyn informointia ja tietojen minimointia koskevien tietosuoja-asetuksen velvoitteiden toteuttamisessa (8393/161/2019).

Käsittelyyn liittyvien riskien arvioiminen

Rekisterinpitäjän ja käsittelijän on suojattava henkilötietoja luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta hävittämiseltä, tuhoutumiselta tai vahingoittumiselta. Suojatoimien riittävyyttä on punnittava suhteessa olosuhteisiin ja riskeihin.

Rekisterinpitäjällä on velvollisuus arvioida henkilötietojen käsittelyyn liittyviä riskejä. Rekisterinpitäjän on arvioitava, mitä rekisteröidyn vapauksia ja oikeuksia käsittely voi vaarantaa ja mitä vahinkoja rekisteröidylle voi mahdollisesti aiheutua suunnitellusta henkilötietojen käsittelystä. Rekisterinpitäjällä on velvollisuus toteuttaa kaikki tarpeelliset toimenpiteet riskien hallitsemiseksi ja henkilötietojen asianmukaisen käsittelyn turvaamiseksi.

Lue käsittelyyn liittyvien riskien arvioimisesta tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä. Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Tietosuojavaltuutetun toimiston päätökset

Henkilötietojen käsittelyyn liittyvien riskien arviointiinon otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Asiakkaiden henkilötietojen välittäminen työntekijöiden henkilökohtaisiin puhelimiin WhatsApp-sovelluksella Yritys oli käyttänyt asiakastietojen välittämiseen yritykseltä työntekijälle WhatsApp-pikaviestipalvelua. Tietoihin lukeutuvat esimerkiksi asiakkaiden nimet, osoitteet, puhelinnumerot, ovikoodit ja avainboksien numerot. Tietosuojavaltuutettu katsoi, että rekisterinpitäjän menettely ei vastannut eheyden ja luottamuksellisuuden periaatteeseen, sisäänrakennetun ja oletusarvoisen tietosuojan velvoitteeseen ja käsittelyn turvallisuuteen liittyviä vaatimuksia, eikä rekisterinpitäjä ollut huomioinut, että sen tulee asetuksen riskiperusteisen lähestymistavan mukaisesti toteuttaa riskejä vastaavat tekniset ja organisatoriset toimenpiteet henkilötietojen riittävän suojaamisen varmistamiseksi (9024/181/19).

Tietoturvaloukkaukset

Henkilötietojen tietoturvaloukkauksella tarkoitetaan tapahtumaa, jonka seurauksena henkilötietoja tuhoutuu, häviää, muuttuu, henkilötietoja luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta. Esimerkiksi jos työntekijän käyttäjätunnus ja salasana joutuvat ulkopuolisten haltuun, on todennäköistä, että niiden avulla päästään käsiksi yrityksen henkilötietoihin.

Lue lisää tietoturvaloukkauksista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä. Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Tietosuojavastaavat

Tietosuojavastaava on organisaation sisäinen asiantuntija, joka seuraa henkilötietojen käsittelyä ja auttaa organisaatiota tietosuojasäännösten noudattamisessa.

Lue tietosuojavastaavan nimittämisestä ja tehtävistä tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä. Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Henkilötietojen siirrot

Tietosuoja-asetus ei kiellä tai estä henkilötietojen siirtämistä Euroopan talousalueen ulkopuolelle. Henkilötietojen siirto ETA-alueen ulkopuolelle edellyttää kuitenkin muiden tietosuojalainsäädännön vaatimusten noudattamisen lisäksi erityistä siirtoperustetta. Tietojen siirto ETA-alueen ulkopuolelle tapahtuu esimerkiksi silloin, jos yritys käsittelee henkilötietoja pilvipalvelussa, jonka tarjoaa ETA-alueen ulkopuolella sijaitseva organisaatio.

Komission päätös tietosuojan riittävyydestä kyseisessä maassa on henkilötietojen siirron ensisijainen siirtoperuste, kun tietoja siirretään ETA-alueen ulkopuolelle. Jos komissio ei ole antanut tietosuojan riittävyyttä koskevaa päätöstä, yrityksen on määriteltävä siirroille jokin muu peruste, kuten Komission hyväksymät vakiosopimuslausekkeet.

Lue lisää tietojen siirtoihin liittyvistä vaatimuksista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Käsittelyyn osallistuvat osapuolet

Tietosuoja-asetus asettaa yrityksille erilaisia velvollisuuksia riippuen siitä, missä roolissa yritys käsittelee henkilötietoja. Mahdollisia tietosuoja-asetuksessa määriteltyjä rooleja ovat rekisterinpitäjä, yhteisrekisterinpitäjä ja henkilötietojen käsittelijä.

Rekisterinpitäjä määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä toimii rekisterinpitäjän ohjeiden mukaisesti ja sen alaisuudessa.

Henkilötietojen käsittelijä voi olla esimerkiksi IT-palveluntarjoaja, joilla on pääsy rekisterinpitäjän henkilötietoihin. Rekisterinpitäjän tulee tehdä käsittelijän kanssa sopimus tai muu oikeudellinen asiakirja, jossa määritellään kunkin osapuolen velvollisuudet ja joka kattaa tietosuoja-asetuksen 28 artiklan edellyttämän tietosisällön.

Lue lisää käsittelijän roolista ja velvollisuuksista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Henkilötietojen käsittelyn osallistuvien osapuolten rooleihin on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Henkilötietojen käsittelyn vaikutustenarviointi, käsittelyperuste ja rekisteröityjen informointi Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä ei ollut pystynyt osoittamaan, että henkilötietojen käsittely turvakameravalvonnan yhteydessä vastasi yleisen tietosuoja-asetuksen oikeutettua etua koskevia vaatimuksia. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä oli informoinut puutteellisesti kanta-asiakasohjelman yhteydessä tapahtuvan automaattisen päätöksenteon olemassaolosta ja sitä koskevasta henkilötietojen käsittelystä. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä ei ollut osoittanut täyttäneensä yleisen tietosuoja-asetuksen velvoitteita koskien vaikutustenarviointia ja selostetta käsittelytoimista. Apulaistietosuojavaltuutettu havaitsi puutteita myös osapuolten roolien määrittelyä, käsittelyn informointia ja tietojen minimointia koskevien tietosuoja-asetuksen velvoitteiden toteuttamisessa (8393/161/2019).

Automatisoidut yksittäispäätökset ja profilointi

Lähtökohtaisesti rekisterinpitäjä ei saa tehdä rekisteröityjä koskevia päätöksiä, jotka perustuvat pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja joilla on rekisteröityä koskevia oikeusvaikutuksia tai jotka vaikuttavat rekisteröityihin vastaavalla tavalla merkittävästi (esimerkiksi luottopäätös tai rekrytointipäätös, joka tehdään automaattisesti siten, että luonnollinen henkilö ei osallistu päätöksentekoon). Automaattinen päätöksenteko on kuitenkin sallittua poikkeustapauksissa.

Lue lisää automatisoiduista yksittäispäätöksistä ja profiloinnista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä. Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Tietosuojavaltuutetun toimiston päätökset

Automatisoituihin yksittäispäätöksiin ja profilointiin on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Henkilötietojen käsittelyn vaikutustenarviointi, käsittelyperuste ja rekisteröityjen informointi Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä ei ollut pystynyt osoittamaan, että henkilötietojen käsittely turvakameravalvonnan yhteydessä vastasi yleisen tietosuoja-asetuksen oikeutettua etua koskevia vaatimuksia. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä oli informoinut puutteellisesti kanta-asiakasohjelman yhteydessä tapahtuvan automaattisen päätöksenteon olemassaolosta ja sitä koskevasta henkilötietojen käsittelystä. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä ei ollut osoittanut täyttäneensä yleisen tietosuoja-asetuksen velvoitteita koskien vaikutustenarviointia ja selostetta käsittelytoimista. Apulaistietosuojavaltuutettu havaitsi puutteita myös osapuolten roolien määrittelyä, käsittelyn informointia ja tietojen minimointia koskevien tietosuoja-asetuksen velvoitteiden toteuttamisessa (8393/161/2019).

Oikeus vastustaa tietojen käsittelyä

Rekisteröidyllä on tietyissä tilanteissa oikeus vastustaa henkilötietojensa käsittelyä eli pyytää, että niitä ei käsiteltäisi ollenkaan. Tällöin tietojen käsittely on lopetettava, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet, tai käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

Lue lisää oikeudesta vastustaa tietojen käsittelyä tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Tietosuojavaltuutetun toimiston päätökset

Oikeuteen vastustaa tietojen käsittelyä on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Suoramarkkinointitarkoituksiin kerättävä suostumus ja rekisteröidyn vastustamisoikeuden toteuttaminen Rekisterinpitäjä oli edellyttänyt verkkopalvelussaan markkinointiviestinnän hyväksymistä, eikä rekisterinpitäjä tarjonnut mahdollisuutta kieltäytyä viestinnästä. Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjän pyytämä suostumus ei täyttänyt yleisen tietosuoja-asetuksen edellytyksiä. Lisäksi rekisterinpitäjä ei ollut mahdollistanut sitä, että rekisteröity voi käyttää vastustamisoikeuttaan tietosuoja-asetuksen mukaisesti (6465/182/2018).

Oikeus siirtää tiedot järjestelmästä toiseen

Rekisteröidyllä on oikeus saada rekisterinpitäjälle toimittamansa henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa sekä halutessaan siirtää kyseiset tiedot toiselle rekisterinpitäjälle. Rekisteröidyllä on oikeus saada tiedot siirrettyä suoraan rekisterinpitäjältä toiselle, jos se on teknisesti mahdollista.

Lue lisää oikeudesta siirtää tiedot järjestelmästä toiseen tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä. Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Oikeus rajoittaa tietojen käsittelyä

Rekisteröidyllä on oikeus pyytää rekisterinpitäjää rajoittamaan häntä koskevien henkilötietojen käsittelyä esimerkiksi silloin, kun rekisteröity kiistää henkilötietojen paikkansapitävyyden. Tällöin käsittelyä rajoitetaan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden.

Lue lisää oikeudesta rajoittaa tietojen käsittelyä tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Oikeus oikaista tietoja

Rekisteröidyllä on oikeus vaatia, että rekisterinpitäjä oikaisee häntä koskevat epätarkat ja virheelliset henkilötiedot. Rekisteröidyllä on myös oikeus saada puutteelliset henkilötiedot täydennettyä.

Lue lisää oikeudesta oikaista tietoja tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Oikeus poistaa tiedot ja tulla unohdetuksi

Rekisteröidyllä on oikeus saada tietonsa poistetuksi. Rekisteröidyn oikeutta poistaa omia tietojaan kutsutaan myös oikeudeksi tulla unohdetuksi. Oikeus saada tiedot poistetuksi on esimerkiksi silloin, kun tiedot eivät enää ole tarpeellisia niihin tarkoituksiin, joita varten ne alun perin kerättiin. Tietojen poistaminen ei aina ole mahdollista, esimerkiksi silloin, jos tietoja tulee säilyttää lakisääteisen velvoitteen noudattamiseksi.

Lue lisää oikeudesta saada poistaa tiedot tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Tietosuojavaltuutetun toimiston päätökset

Oikeuteen poistaa tiedot on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Henkilötietojen säilytysajat ja rekisteröidyn oikeus saada henkilötietonsa poistetuksi. Rekisteröity oli pyytänyt tietojensa poistoa, mutta rekisterinpitäjä ei ollut suostunut tietojen poistoon kirjanpitolainsäädäntöön vedoten. Apulaistietosuojavaltuutettu antoi  määräyksen noudattaa hakijan pyyntöä saada sellaiset henkilötietonsa poistetuiksi, jotka liittyvät perintätoimenpiteisiin, jotka ovat päättyneet viisi vuotta sitten, ja joita perintätoimiston ei tule säilyttää kirjanpitolaista seuraavien kirjanpitovelvoitteiden toteuttamiseksi (4359/163/2018).
  • Riittävistä toimenpiteistä huolehtiminen rekisteröidyn oikeuksien toteuttamiseksi Rekisteröity oli pyytänyt optikkoliikkeeltä tietojensa poistoa, mutta optikkoliike kieltäytyi toteuttamasta pyyntöä laista tulevan säilytysvelvollisuuden vuoksi. Tietosuojavaltuutettu totesi, että optikkoliikkeellä on velvollisuus laatia potilasasiakirjoja, ja säilyttää niitä potilasasiakirja-asetuksen mukaisesti vähintään mainitun asetuksen liitteessä tarkoitettu aika. Näin ollen tietosuojavaltuutettu totesi, että rekisteröidyllä ei ollut oikeutta saada tietoja poistetuksi rekisterinpitäjälle kuuluvan lakisääteisen velvoitteen noudattamisen vuoksi (9209/157/2019).

Oikeus tutustua tietoihin

Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitteleekö rekisterinpitäjä häntä koskevia henkilötietoja. Rekisteröidyllä on myös oikeus tutustua tietoihinsa. Jos rekisteröidyn tietoja käsitellään, rekisterinpitäjän on toimitettava rekisteröidylle jäljennös käsiteltävistä henkilötiedoista. Jäljennöksen lisäksi rekisteröidylle on annettava muut tiedot käsittelyyn liittyen, kuten tieto käsittelyn tarkoituksista, vastaanottajista ja tietojen säilytysajoista.

Lue lisää oikeudesta saada tutustua tietoihin tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Tarkastusoikeuteen on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Potilaan tarkastusoikeuden toteuttaminen terveydenhuollossa röntgen- ja magneettikuvien osalta Kantelija oli tehnyt sairaanhoitopiirille tarkastuspyynnön koskien kaikkia potilastietojaan. Röntgen- ja magneettikuvia ei hänelle kuitenkaan luovutettu, vaan niistä pyydettiin 25 euron maksu. Apulaistietosuojavaltuutettu katsoi, että maksun periminen röntgen- ja magneettikuvien jäljennöksistä oli tietosuoja-asetuksen tarkastusoikeutta ja rekisteröidyn oikeuksien toteuttamista koskevien säännösten vastaista (6132/151/19).
  • Rekisteröidyn oikeus tutustua lokitietoihin Rekisteröity oli pyytänyt rekisterinpitäjältä tiedon siitä, ketkä olivat käsitelleet pankissa hänen asiakastietojaan. Apulaistietosuojavaltuutettu katsoi, että järjestelmän keräämät lokitiedot olivat asiakastietoja käsitelleiden työntekijöiden henkilötietoja. Näin ollen rekisteröity ei saanut tutustua lokitietoihin tarkastusoikeutensa nojalla (7681/152/18).
  • Rekisteröidyn tarkastusoikeuden rajoittaminen Rekisteröity oli vaatinut oppilaitosta näyttämään, mitä hänestä on tallennettu oppilaitoksen tietojärjestelmiin. Rekisterinpitäjä kieltäytyi näyttämästä turvallisuuspoikkeamajärjestelmän sisältämiä tietoja tietosuojalain rajoitusperusteeseen vedoten (34.1 § 2 kohta). Apulaistietosuojavaltuutettu katsoi, että rekisteröidyn oikeutta tutustua tietoihin voitiin laillisin perustein rajoittaa siltä osin, kun oli kyse ilmoittajan henkilöllisyyttä koskevasta tiedosta (158/151/2019).
  • Yksityisen elinkeinonharjoittajan oikeus tutustua tietoihin puhelutallenteen osalta ja annettavien tietojen muoto Yksityisenä elinkeinoharjoittajana toiminut rekisteröity oli pyytänyt rekisterinpitäjältä rekisterinpitäjän kanssa käydyn puhelun puhelutallenteen kuultavaksi. Rekisterinpitäjä oli kertonut toimittavansa tallenteen vain tekstimuodossa. Tietosuojavaltuutettu katsoi, että äänitallenne piti sisällään tunnistettavissa olevan luonnollisen henkilön henkilötietoa ja näin ollen rekisteröidyllä oli tietosuoja-asetuksen mukainen oikeus tutustua henkilötietoihinsa puhelutallenteen osalta. Tietosuojavaltuutettu katsoi, että kyseisessä tapauksessa oikeus saada tutustua tietoon ääntä koskevan tiedon osalta voitiin toteuttaa niin, että rekisterinpitäjä kirjoittaa auki puhelutallenteen sisällön (3592/152/2019).
  • Rekisteröidyn oikeus saada videotallenne Rekisteröity oli pyytänyt saada videotallenteet näyttökokeesta, johon hän on osallistunut. Videotallenne sisälsi rekisteröityä koskevia henkilötietoja, kuten kuvan ja äänen. Rekisterinpitäjä kieltäytyi antamasta videotallenteita siksi, että tallenteet sisälsivät myös muiden opiskelijoiden henkilötietoja. Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä ei ollut esittänyt perusteita sille, miten videotallenteiden antaminen rekisteröidylle vaikuttaisi tietosuoja-asetuksen 15 artiklan 4 kohdassa tarkoitetulla tavalla haitallisesti muiden videolla esiintyvien henkilöiden oikeuksiin ja vapauksiin. Apulaistietosuojavaltuutettu määräsi rekisterinpitäjän antamaan hakijalle videotallenteet siltä osin, kun rekisteröity esiintyy tallenteissa (1788/152/22).
  • Oikeus saada pääsy pankin bonusjärjestelmässä oleviin tietoihin Rekisteröidylle oli toimitettu tiedot hänen omasta, OP-bonuksia kerryttävästä asioinnistaan, mutta ei koko bonustiliä koskevia tietoja. Rekisteröity ja hänen vaimonsa muodostavat yhdessä perhekokonaisuuden, jonka pääkäyttäjäksi on määritelty vaimo. Apulaistietosuojavaltuutettu katsoi, että kysymyksessä olevassa tapauksessa pyydettyjen tietojen antaminen vaikuttaisi haitallisesti hakijan vaimon oikeuksiin, kuten hänen nauttimansa pankkisalaisuuden suojaan, mistä johtuen apulaistietosuojavaltuutettu ei antanut rekisterinpitäjälle määräystä noudattaa rekisteröidyn pyyntöä saada pääsy koko bonustiliä koskeviin tietoihin (3075/182/2018).
  • Rekisteröidyn tarkastusoikeuden käyttäminen ajoneuvon huoltohistoriatietoihin  Henkilö oli pyytänyt käytettynä ostamansa ajoneuvon huoltohistoriatiedot autoliikkeeltä koko ajoneuvon elinkaaren ajalta. Rekisterinpitäjä kieltäytyi toteuttamasta pyyntöä. Tietosuojavaltuutettu katsoi, että ajoneuvon huoltohistoria- ja korjaustiedot ovat aikaisempien omistajien tai haltijoiden henkilötietoja. Ne eivät ole käytettynä ostetun ajoneuvon uuden omistajan henkilötietoja. Näin ollen käytettynä ostetun ajoneuvon uudella omistajalla ei ole tietosuoja-asetuksen tarkastusoikeuteen perustuvaa oikeutta saada tutustua näihin tietoihin (8896/152/2019).

Menettely oikeuksien toteuttamiseksi

Rekisterinpitäjän on varmistettava, että rekisteröidyn on helppoa käyttää tietosuojaoikeuksiaan. Rekisteröidyille on kerrottava, miten oikeuksia voi käyttää. Lisäksi yrityksen yhteystietojen on oltava helposti löydettävissä.

Rekisterinpitäjän on huolehdittava siitä, että rekisteröityjen oikeudet toteutetaan asetuksen edellyttämissä määräajoissa. Pääsääntöisesti rekisteröidylle täytyy vastata ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Jos rekisterinpitäjällä on perusteltu syy epäillä pyynnön esittäjän henkilöllisyyttä, rekisterinpitäjä voi pyytää henkilöä toimittamaan lisätietoja henkilöllisyyden vahvistamiseksi.

Lue lisää eri oikeuksista:

Tietosuojavaltuutetun toimiston päätökset

Menettelyyn oikeuksien toteuttamiseksi on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Rekisteröidyn tunnistaminen ja puheluiden tallentaminen Rekisterinpitäjä oli pyytänyt rekisteröidyn tunnistamiseksi lisätietona kopion passista tai henkilöllisyystodistuksesta sekä valokuvan kyseisen todistuksen kanssa. Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä pyysi asiakkailta enemmän tietoa kuin mitä oli tunnistamista varten tarpeen (7713/163/2018).
  • Rekisteröidyn oikeudet, tunnistaminen, tietojen toimittaminen, tietojen minimointi ja säilytysaikojen rajoittaminen pysäköinninvalvontamaksujen yhteydessä Rekisteröidyn piti toimittaa rekisterinpitäjälle tiedot muun muassa henkilötunnuksestaan ja osoitteestaan oikeuksiensa toteuttamiseksi. Tietosuojavaltuutettu katsoi, että rekisterinpitäjä pyysi asiakkailta enemmän tietoa kuin mitä oli tunnistamista varten tarpeen (2477/161/21).
  • Rekisteröidyn tunnistaminen ja informointi puheluiden tallentamisen yhteydessä Rekisterinpitäjä oli pyytänyt rekisteröityä lähettämään tarkastusoikeuden käyttämistä varten sähköpostilla kuvan henkilöllisyystodistuksen molemmista puolista tai passistaan rekisteröidyn henkilöllisyyden vahvistamiseksi ennen rekisteröidyn oikeuksien toteuttamista. Lisäksi oli käynyt ilmi, että rekisterinpitäjä ei informoinut puheluiden tallentamisesta verkkosivuillaan eikä puhelun alussa. Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjän tunnistamiskäytäntö oli tietojen minimointiperiaatteen vastainen ja rikkoi rekisteröidyn oikeuksien toteuttamisesta koskevia säännöksiä. Lisäksi rekisterinpitäjä oli rikkonut tietosuoja-asetuksen informointia koskevia vaatimuksia (7713/163/2018).
  • Jäljennöksen toimittaminen sähköisesti Rekisteröity oli halunnut tutustua tietoihinsa ja pyysi rekisterinpitäjää toimittamaan tiedot sähköpostitse. Rekisterinpitäjä toimitti tiedot siitä huolimatta postitse. Se, että rekisterinpitäjä ei lähettänyt tietoja rekisteröidylle hänen pyytämällään tavalla sähköisesti, vaikka sillä oli käytössään tietoturvallinen sähköpostiyhteys, oli tietosuojavaltuutetun mukaan rekisteröidyn oikeuksien toteuttamista koskevien säännösten vastaista (4881/163/2019).
  • Potilaan tarkastusoikeuden toteuttaminen terveydenhuollossa röntgen- ja magneettikuvien osalta Kantelija oli tehnyt sairaanhoitopiirille tarkastuspyynnön koskien kaikkia potilastietojaan. Röntgen- ja magneettikuvia ei hänelle kuitenkaan luovutettu, vaan niistä pyydettiin 25 euron maksu. Apulaistietosuojavaltuutettu katsoi, että maksun periminen röntgen- ja magneettikuvien jäljennöksistä oli tietosuoja-asetuksen tarkastusoikeutta ja rekisteröidyn oikeuksien toteuttamista koskevien säännösten vastaista (6132/151/19).

Seloste käsittelytoimista

”Seloste käsittelytoimista” menee usein sekaisin tietosuojaselosteen kanssa. Seloste käsittelytoimista on yrityksen sisäinen asiakirja, jonka tarkoituksena on osoittaa, että yritys noudattaa tietosuojavelvoitteitaan (tietosuojaseloste taas on rekisteröidyille suunnattu asiakirja). Selosteeseen käsittelytoimista kirjataan muun muassa käsittelyn tarkoitukset, tietojen luovutukset ja säilytysajat. Joissakin tapauksissa tietosuoja-asetus edellyttää, että yritys laatii selosteen käsittelytoimista tietosuoja-asetuksen mukaisesti. Henkilötietojen käsittelyn kirjaaminen ylös on hyödyllistä käsittelyn hahmottamiseksi myös silloin, kun tietosuoja-asetus ei edellytä kirjallisen kuvauksen tekoa.

Lue lisää käsittelytoimia koskevasta selosteesta tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Tietosuojavaltuutetun toimiston päätökset

Selosteeseen käsittelytoimista on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Henkilötietojen käsittelyn vaikutustenarviointi, käsittelyperuste ja rekisteröityjen informointi Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä ei ollut pystynyt osoittamaan, että henkilötietojen käsittely turvakameravalvonnan yhteydessä vastasi yleisen tietosuoja-asetuksen oikeutettua etua koskevia vaatimuksia. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä oli informoinut puutteellisesti kanta-asiakasohjelman yhteydessä tapahtuvan automaattisen päätöksen olemassaolosta ja sitä koskevasta henkilötietojen käsittelystä. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä ei ollut osoittanut täyttäneensä yleisen tietosuoja-asetuksen velvoitteita koskien vaikutustenarviointia ja selostetta käsittelytoimista. Apulaistietosuojavaltuutettu havaitsi puutteita myös osapuolten roolien määrittelyä, käsittelyn informointia ja tietojen minimointia koskevien tietosuoja-asetuksen velvoitteiden toteuttamisessa (8393/161/2019).
  • Työnhakijoiden henkilötietojen kerääminen tarpeettomasti Tietosuojavaltuutettu katsoi, että rekisterinpitäjä oli kerännyt työnhakijoista tarpeettomia tietoja tietosuoja-asetuksen käsittelyn oikeusperustetta ja henkilötietojen minimointia koskevien velvollisuuksien vastaisesti. Kyseisten henkilötietojen kerääminen oli myös työelämän tietosuojalain tarpeellisuusvaatimuksen vastaista. Tietosuojavaltuutettu katsoi, että osa tiedoista oli tietosuoja-asetuksessa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja ja näin ollen niiden käsittely oli rikkonut myös erityisten henkilötietoryhmien käsittelyä koskevia velvollisuuksia. Tietosuojavaltuutettu katsoi myös, että rekisterinpitäjän seloste käsittelytoimista oli puutteellinen siten, että siitä ei riittävällä tarkkuudella ilmennyt henkilötietojen suunniteltuja poistoaikoja (137/161/2020).
  • Katso myös tietosuojavaltuutetun toimiston mallipohjat selosteelle käsittelytoimista:

Erityisten henkilötietoryhmien käsittely

Erityisiä henkilötietoryhmiin kuuluvia henkilötietoja ovat rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, terveytä koskevat tiedot, seksuaalinen suuntautuminen tai käyttäytyminen ja henkilön tunnistamiseen käytetyt geneettiset ja biometriset tiedot. Näiden tietojen käsittely on lähtökohtaisesti kiellettyä, mutta sallittua poikkeustapauksissa. Poikkeusperuste voi olla esimerkiksi se, että rekisteröity on antanut nimenomaisen suostumuksen kyseisten henkilötietojen käsittelyyn.

Lue lisää erityisten henkilötietoryhmien käsittelystä tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.  

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Erityisten henkilötietoryhmien käsittelyyn on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Työnhakijoiden henkilötietojen kerääminen tarpeettomasti, Tietosuojavaltuutettu katsoi, että rekisterinpitäjä oli kerännyt työnhakijoista tarpeettomia tietoja tietosuoja-asetuksen käsittelyn oikeusperustetta ja henkilötietojen minimointia koskevien velvollisuuksien vastaisesti. Tietosuojavaltuutettu katsoi, että osa tiedoista oli tietosuoja-asetuksessa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja ja näin ollen niiden käsittely oli rikkonut myös erityisten henkilötietoryhmien käsittelyä koskevia velvollisuuksia. Tietosuojavaltuutettu katsoi myös, että rekisterinpitäjän seloste käsittelytoimista oli puutteellinen siten, että siitä ei riittävällä tarkkuudella ilmennyt henkilötietojen suunniteltuja poistoaikoja (137/161/2020).
  • Rekisteröidyn terveydentilatietojen pyytäminen terveydenhuollosta vakuutusyhtiön vastuun arvioinnin yhteydessä Rekisterinpitäjä oli pyytänyt vakuutushakemuksen terveystietokaavakkeella rekisteröidyn suostumusta siihen, että eri terveydenhuollon yksiköt saavat luovuttaa rekisteröidyn potilastietoja vakuutusyhtiölle. Tietosuojavaltuutettu katsoi, että rekisteröidyltä pyydettävä suostumus ei ole ollut riittävällä tavalla yksilöity ja suostumuspyynnössä ei ollut noudatettu sellaista tarkkuutta, jotta vakuutuksenhakijat voisivat valvoa, että käsitelläänkö heidän henkilötietojaan vai ei, ja mitä tietoja kutakin tarkoitusta varten käsitellään. Tietosuojavaltuutettu katsoi, että rekisterinpitäjän toteuttama erityisten henkilötietoryhmien käsittely ei ole ollut tietosuojalain, eikä tietosuoja-asetuksen erityisiä henkilötietoryhmiä koskevien velvoitteiden mukaista (4680/182/18).

Käsittelyn peruste

Tietosuoja-asetus edellyttää, että kaikelle henkilötietojen käsittelylle on tunnistettu jokin laissa säädetty peruste, kuten lakisääteinen velvoite, sopimus tai rekisteröidyn antama suostumus. Peruste on määritettävä ennen käsittelyn aloittamista.

Lue lisää käsittelyn perusteista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Käsittelyn oikeusperusteisiin on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Asiakkaiden henkilötietojen kerääminen asiakkaita tarkkailemalla Rekisterinpitäjän verkkosivuilla oli lomake, joka vireillesaattajan arvion mukaan oli todennäköisesti tarkoitettu yrityksen myyjille asiakasrekisterin luomiseksi. Lomakkeessa oli varattu tila asuinalueen, talotyypin, nykyisen ilmanvaihtojärjestelmän ja rakennusvuoden tapaisten tietojen lisäksi esimerkiksi tiedoille seuraaville tiedoille parisuhdedynamiikasta, omistajien elämäntilanteesta ja rahatilanteesta. Tietosuojavaltuutetun mukaan asiakkaasta tarkkailemalla kerättyjen tietojen käsittely olisi ollut kyseisessä tapauksessa, ilman lainmukaista käsittelyperustetta ja rekisteröityjen informointia, yleisen tietosuoja-asetuksen läpinäkyvyyttä ja käsittelyn oikeusperustetta koskevien säännösten vastaista (5417/163/20).
  • Asuinrakennuksen yleisiin oviin asennettuun sähkölukkojärjestelmään liittyvä henkilötietojen käsittely Apulaistietosuojavaltuutettu katsoi, että henkilötietojen käsittelylle ei ollut määritelty lainmukaista käsittelyperustetta. Apulaistietosuojavaltuutettu katsoi myös, että henkilötietojen säilytysaika oli säilyttämisen rajoittamista koskevan periaatteen vastainen, eikä rekisteröityjä ollut informoitu tietosuoja-asetuksen edellyttämällä tavalla (1809/452/18).
  • Suoramarkkinointitarkoituksiin kerättävä suostumus ja rekisteröidyn vastustamisoikeuden toteuttaminen Rekisterinpitäjä oli edellyttänyt verkkopalvelussaan markkinointiviestinnän hyväksymistä, eikä rekisterinpitäjä tarjonnut mahdollisuutta kieltäytyä viestinnästä. Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjän pyytämä suostumus ei ollut täyttänyt yleisen tietosuoja-asetuksen edellytyksiä. Lisäksi rekisterinpitäjä ei ollut mahdollistanut sitä, että rekisteröity voi käyttää vastustamisoikeuttaan tietosuoja-asetuksen mukaisesti (6465/182/2018).
  • Henkilötietojen käsittelyn vaikutustenarviointi, käsittelyperuste ja rekisteröityjen informointi Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä ei ollut pystynyt osoittamaan, että henkilötietojen käsittely turvakameravalvonnan yhteydessä vastasi yleisen tietosuoja-asetuksen oikeutettua etua koskevia vaatimuksia. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä oli informoinut puutteellisesti kanta-asiakasohjelman yhteydessä tapahtuvan automaattisen päätöksen olemassaolosta ja sitä koskevasta henkilötietojen käsittelystä. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä ei ollut osoittanut täyttäneensä yleisen tietosuoja-asetuksen velvoitteet koskien vaikutustenarviointia ja selostetta käsittelytoimista. Apulaistietosuojavaltuutettu havaitsi puutteita myös osapuolten roolien määrittelyä, käsittelyn informointia ja tietojen minimointia koskevien tietosuoja-asetuksen velvoitteiden toteuttamisessa (8393/161/2019).

Käyttötarkoitussidonnaisuus

Käyttötarkoitussidonnaisuus on yksi henkilötietojen käsittelyn keskeisistä periaatteista. Henkilötietojen käsittelyn tarkoitus on suunniteltava ja määritettävä selkeästi ennen käsittelyn aloittamista. Henkilötietoja saa kerätä vain tiettyä, nimenomaista ja laillista tarkoitusta varten. Tietoja ei saa käsitellä alkuperäisten tarkoitusten kanssa yhteensopimattomalla tavalla myöhemmin.

Lue lisää käyttötarkoitussidonnaisuudesta tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Käyttötarkoitussidonnaisuuteen on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Potilastietojen käsittely ammatillista kehittymistä varten hoitosuhteen päätyttyä Apulaistietosuojavaltuutettu on arvioinut, voidaanko potilastietojen käsittelyn ammatillisen kehittymisen tarkoituksessa katsoa sisältyvän potilastietojen ns. ensisijaisen käyttötarkoituksen alaan. Apulaistietosuojavaltuutettu katsoi, että potilastietojen käsittelyä koskevassa lainsäädännössä ei ole mahdollistettu potilastietojen käsittelyä terveydenhuollon ammattihenkilöiden ammatillisen kehittymisen tarkoitukseen siten, kuin rekisterinpitäjän toiminnassa on tehty (6745/163/18).

Läpinäkyvyys ja informointi

Läpinäkyvyys on yksi henkilötietojen käsittelyn keskeisistä periaatteista. Rekisterinpitäjän on annettava rekisteröidylle kaikki henkilötietojen käsittelyä koskevat tiedot tiiviissä, läpinäkyvässä, helposti ymmärrettävässä ja selkeässä muodossa. Informoinnin tarkoituksena on, että rekisteröity saa kattavan ja selkeän kuvan henkilötietojen käsittelyn kokonaisuudesta.

Tietosuoja-asetuksessa säädetään siitä, mitä tietoja rekisteröidyille pitää antaa. Informoinnin yhteydessä tulee kertoa mm. kuka on rekisterinpitäjä, mitä tarkoitusta varten rekisteröidyn henkilötietoja tarvitaan, kuinka kauan henkilötietoja tarvitaan ja miten rekisteröity voi käyttää henkilötietoihin liittyviä oikeuksiaan.

Lue lisää rekisteröityjen informoinnista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä. Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Tutustu Euroopan tietosuojatyöryhmän (WP29) läpinäkyvyyttä koskevaan ohjeeseen: Guidelines on transparency under Regulation 2016/679

Tietosuojavaltuutetun toimiston päätökset

Läpinäkyvyyteen ja rekisteröityjen informointiin on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Informoiminen asiakaspuheluiden tallentamisesta Rekisterinpitäjä tallensi puheluita, mutta ei informoinut rekisteröityä puhelun tallentamisen aloittamishetkellä vaan vasta keskustelun aikana. Tietosuojavaltuutettu katsoi, että rekisterinpitäjän toiminta ei ollut tietosuoja-asetuksen edellyttämällä tavalla läpinäkyvää (4930/163/2020).
  • Asiakkaiden henkilötietojen kerääminen asiakkaita tarkkailemalla Rekisterinpitäjän verkkosivuilla oli lomake, joka vireillesaattajan arvion mukaan oli todennäköisesti tarkoitettu yrityksen myyjille asiakasrekisterin luomiseksi. Lomakkeessa oli varattu tila asuinalueen, talotyypin, nykyisen ilmanvaihtojärjestelmän ja rakennusvuoden tapaisten tietojen lisäksi esimerkiksi seuraaville tiedoille parisuhdedynamiikasta, omistajien elämäntilanteesta ja rahatilanteesta. Tietosuojavaltuutetun mukaan asiakkaasta tarkkailemalla kerättyjen tietojen käsittely olisi ollut kyseisessä tapauksessa, ilman lainmukaista käsittelyperustetta ja rekisteröityjen informointia, yleisen tietosuoja-asetuksen läpinäkyvyyttä ja käsittelyn oikeusperustetta koskevien säännösten vastaista (5417/163/20).
  • Asuinrakennuksen yleisiin oviin asennettuun sähkölukkojärjestelmään liittyvä henkilötietojen käsittely Apulaistietosuojavaltuutettu katsoi, että henkilötietojen käsittelylle ei ollut määritelty lainmukaista käsittelyperustetta. Apulaistietosuojavaltuutettu katsoi myös, että henkilötietojen säilytysaika oli säilyttämisen rajoittamista koskevan periaatteen vastainen, eikä rekisteröityjä ollut informoitu tietosuoja-asetuksen edellyttämällä tavalla (1809/452/18).

Pseydonymisointi ja anonymisointi

Pseudonymisointi tarkoittaa henkilötietojen käsittelemistä siten, että henkilötietoja ei voida enää yhdistää tiettyyn henkilöön ilman lisätietoja. Vaikka tiedot olisivat pseudonymisoitu, niiden avulla yksilö voidaan edelleen erottaa joukosta ja yhdistää eri tietoaineistoissa. Anonymisointi tarkoittaa henkilötietojen käsittelyä niin, että yksittäistä henkilöä ei enää voida tunnistaa niistä. Tiedot voidaan esimerkiksi karkeistaa yleiselle tasolle (aggregoida) tai muuttaa tilastolliseen muotoon siten, etteivät yksittäistä henkilöä koskevat tiedot ole enää tunnistettavassa muodossa. Jotta tieto voidaan katsoa anonyymiksi, anonymisointi tulee toteuttaa peruuttamattomasti.

Lue lisää tietojen pseudonymisoinnista ja anonymisoimisesta tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Tutustu Euroopan tietosuojatyöryhmän (WP29) lausuntoon anonymisointitekniikoista (pdf). Ohje sisältää esimerkkejä tekniikoista, joilla tiedot voidaan muuttaa anonyymiksi eli sellaiseen muotoon, ettei henkilöä voida enää tunnistaa niistä.

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.  Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Tietosuojavaltuutetun toimiston päätökset

Tietojen anonymisointiin on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Opiskelijanumeroihin yhdistettyjen arvosanojen ja tehtäväkohtaisten pisteiden vieminen yliopiston intranetiin Apulaistietosuojavaltuutettu katsoi, että opiskelijanumeroihin yhdistetyt opiskelijoiden arvosanat ja tehtäväkohtaiset pisteet voidaan viedä yliopiston sisäiseen intranetiin pyytämättä menettelyyn rekisteröityjen suostumusta. Apulaistietosuojavaltuutettu totesi, että tämä edellyttää kuitenkin yliopiston huolehtivan asianmukaisin teknisin ja organisatorisin toimenpitein (esimerkkinä mainittu pseudonymisointi) siitä, että kolmansilla osapuolilla ei ole pääsyä sellaisiin tietoihin, joiden avulla opiskelijoiden nimet ja opiskelijanumerot voidaan yhdistää eikä opiskelijanumerosta ole johdettavissa opiskelijan yksilöintitietoa (7158/163/18).

Säilytyksen rajoittaminen

Säilytyksen rajoittaminen on yksi keskeisistä henkilötietojen käsittelyn periaatteista. Henkilötietoja saa säilyttää vain niin kauan kuin se on tarpeen tietojen käyttötarkoitusta varten. Säilytysaika on siis rajoitettava minimiin. Tietosuoja-asetuksessa ei ole määritelty tarkkoja henkilötietojen säilytysaikoja. Rekisterinpitäjän on arvioitava henkilötietojen säilytysaikaa ja tarpeellisuutta kysymyksessä olevaa käyttötarkoitusta vasten. Henkilötietoihin saattaa myös soveltua lainsäädäntöä, kuten esim. kirjapitolaki joka vaatii tai ohjaa säilyttämään tietoja tietyn ajan.

Lue lisää säilytyksen rajoittamisesta tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Säilytyksen rajoittamiseen on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

Tietoturvaloukkausten arviointi

Henkilötietojen tietoturvaloukkauksella tarkoitetaan tapahtumaa, jonka seurauksena henkilötietoja esimerkiksi tuhoutuu, häviää, muuttuu tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta. Rekisterinpitäjän täytyy arvioida, minkä tasoinen riski tietoturvaloukkauksesta aiheutuu sen kohteena olleille henkilöille ja toimia tämän riskin pohjalta. Webinaarissa tarjotaan tukea tietoturvaloukkausten arviointiin sekä vinkkejä toimimiseen loukkausten pohjalta.

Webinaarin esitysmateriaali >>

Webinaarin ohjelma

9.00-9.05 Hankkeen ajankohtaisia asioita | Tietosuojavaltuutetun toimisto ja TIEKE
9.05-9.50 Tietoturvaloukkausten arviointi | Tomi Mikkonen, Privaon
9.50-10.00 Kysymyksiä ja keskustelua

tomi-mikkonen-privaon.jpg (50 KB)

Tomi Mikkonen on yksi Privaon Oy:n perustajista ja Chief Technology Officer.

Tietosuojavastaavan tehtävät

Tietosuoja-asetus vaatii, että yrityksen tulee nimittää tietosuojavastaava jos se esimerkiksi käsittelee laajamittaisesti arkaluontoisia tietoja tai seuraa ihmisiä laajamittaisesti, säännöllisesti ja järjestelmällisesti. Tietosuojavastaavan nimittäminen muissakin tapauksissa saattaa kuitenkin olla hyödyllistä.

Webinaarissa kerrotaan, millon tietosuojavastaava tulee nimetä, ja mitä vastaavan tehtäviin oikeastaan sisältyy. 

Esitysmateriaali (pdf) >>

Tallenne Youtubessa >>

harto_1_pienempi.jpg (461 KB)

Harto Pönkä (KM) on ohjelmistoalan yrittäjä, tietokirjailija sekä kouluttaja. Pönkä on pitänyt yrityksille, kunnille, oppilaitoksille ja järjestöille tietosuoja- ja GDPR-koulutuksia vuodesta 2017 lähtien sekä konsultoinut GDPR:n käytännön soveltamiseen liittyvissä asioissa.

Päätösseminaari: Menestystä tietosuojasta

Hankkeen päätösseminaari järjestettiin Helsingissä Tapahtumatalo Bankissa 22.9.2022. Seminaarin teemana oli pk-yritysten tietosuojaosaaminen ja sen kehittäminen muuttuvassa toimintaympäristössä.

Seminaarissa kuultiin puheenvuoroja mm. GDPR2DSM-hankkeen (2020-2022) tuloksista ja tietosuojatyökalusta, yrityksiä koskevasta tulevasta datasääntelystä, tietosuojavaltuutetun toimiston ajankohtaisista asioista sekä hyvin toteutetun tietosuojan hyödyistä pk-yrityksille.

Tapahtuman ohjelma ja esitykset


GDPR2DSM-hankkeen tulokset ja työkalun esittely | Meeri Blomberg, ylitarkastaja, tietosuojavaltuutetun toimisto

Esitys (pdf) >>


Tulevan datasääntelyn vaikutus pk-yritysten toimintaan | Kristo Lehtonen, reilun datatalouden teemajohtaja, Sitra

Esitys (pdf) >>


Tietosuoja pk-yritysten kilpailutekijänä | Reijo Aarnio, vanhempi neuvonantaja, Sitra

Esitys (pdf) >>

Henkilötietojen minimointi

Henkilötietoja ei saa kerätä tai käsitellä laajemmin kuin on välttämätöntä käsittelyn tarkoituksen kannalta. Henkilötietojen oikean määrän arvioimiseksi on selkeästi tunnistettava se syy, miksi kyseisiä henkilötietoja tarvitaan. Käyttötarkoituksen kautta pystytään määrittelemään, mitkä henkilötiedot ovat välttämättömiä käsittelyn tarkoituksen toteuttamiseksi.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Tietojen minimointiin on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Rekisteröidyn tunnistaminen ja puheluiden tallentaminen Rekisterinpitäjä oli pyytänyt rekisteröidyn tunnistamiseksi lisätietona kopion passista tai henkilöllisyystodistuksesta sekä valokuvan kyseisen todistuksen kanssa. Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä pyysi asiakkailta enemmän tietoa kuin mitä oli tunnistamista varten tarpeen (drno 7713/163/2018).

Mitä tarkoitetaan henkilötiedolla?

Henkilötietoja ovat kaikki tiedot, joiden perusteella ihminen voidaan tunnistaa suoraan tai epäsuorasti, kuten nimi, puhelinnumero, sähköpostiosoite tai kotiosoite. Tietosuoja-asetus koskee henkilötietoja ja asettaa velvollisuuksia yrityksille ja organisaatioille, jotka käsittelevät henkilötietoja.

Henkilötietojen käsittely tarkoittaa esimerkiksi henkilötietojen keräämistä, säilyttämistä, käyttöä, siirtämistä ja luovuttamista. Kaikki henkilötietoihin kohdistuvat toimenpiteet henkilötietojen käsittelyn suunnittelusta henkilötietojen poistamiseen ovat henkilötietojen käsittelyä.

Lue lisää tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä. Ennen tietosuojaneuvoston perustamista EU:n tietosuojaviranomaisten yhteistyöelimenä toimi WP29-työryhmä.

Tietosuojavaltuutetun toimiston päätökset

Sympa näkee GDPR:n mahdollisuutena – avainasemassa henkilöstön osaamisen kehittäminen

Tietosuojan tärkeyden oivaltaminen ja alun haasteet

Sympa aloitti seuraamaan tietosuoja-asetuksen valmistelua jo vuonna 2015 tunnistettuaan, että vielä neuvotteluvaiheessa oleva asetus tulee vaikuttamaan yrityksen toimintaan oleellisesti. Sympan mukaan yrityksen toiminnan kannalta oli oleellista tehdä valinta sen välillä, nähdäänkö tietosuoja uhkana vai mahdollisuutena. Sympalla lähdettiin pohtimaan sitä, miten tietosuojasta tehdään mahdollisuus ja yrityksen menestystekijä.

Tietosuoja-asetuksen astuessa voimaan Sympa koki suurimmaksi haasteekseen tietosuoja-asetuksen yleisluonteisuudesta johtuvan epäselvyyden. Joidenkin asetuksen kohtien tulkinta oli haastavaa, eikä ennakkotapauksia vielä oikeastaan ollut. Apua työskentelyyn löydettiin valvontaviranomaisten, kuten Iso-Britannian tietosuojavaltuutetun toimiston sivujen konkreettisista esimerkeistä.

Sympa järjesti jo varhaisessa vaiheessa tietosuojakoulutusta henkilöstölle ja asiakkaille. Tavoitteena oli, että yritys olisi ”GDPR-yhteensopiva” heti tietosuoja-asetuksen astuessa voimaan. Muun valmistautumisen lisäksi Sympalla toteutettiin ja päivitettiin tietoturvasertifiointeja. Sympa on onnistunut erinomaisesti asettamissaan tavoitteissa. 

Henkilöstön osaaminen avainasemassa

Kun Sympan palvelua kehitetään ja asiakkaita neuvotaan palvelun käytössä, Sympan henkilöstön on osattava huomioida tietosuoja-asetuksen vaatimukset. Henkilöstön tietosuojaosaaminen on siis ollut avainasemassa tietosuojan toteutumisen kannalta. Henkilöstön on osattava myös tunnistaa ongelmat ja kysymykset, joihin oma osaaminen eri riitä ja joihin vastaamiseen tarvitaan erityistä tietosuoja-asiantuntemusta.  

”Henkilötietojen on oltava ajan tasalla, saatavilla ja suojassa.”

Osaamisen kehittämisessä on pyritty jatkuvaan ohjeistukseen ja koulutukseen. Oleellista on ollut tarkastella tietosuojaa positiivisena asiana: hyvin hoidetun tietosuojan avulla yritys erottuu kilpailijoista myönteisessä valossa. Henkilöstöä ei ole haluttu motivoida pelkästään sen kautta, että lainsäädäntöä on pakko noudattaa. Koulutuksissa on tarvittu yksinkertaisia määritelmiä abstrakteille käsitteille. Eräs Sympan yksinkertaistettu määritelmä tietosuoja-asetukselle on ollut: ”henkilötietojen on oltava ajan tasalla, saatavilla ja suojassa”.

Koulutuksissa on lähdetty liikkeelle yksinkertaisista ja konkreettisista asioista, kuten siitä, miten tiedot organisaation työntekijöistä pidetään ajan tasalla. Alusta saakka on pyritty välttämään ylätason koulutuksia, jotka eivät vastaa käytännön haasteita. Tärkeintä koulutuksissa ovatkin olleet konkreettiset esimerkit siitä, miten tietosuoja näkyy koulutettavan omissa työtehtävissä, sekä eri toiminnoissa ja tiimeissä. Esimerkiksi markkinointiosasto on oppinut, miten juuri he voivat työssään edistää tietosuojan toteutumista.

Sympan vinkit muille yrityksille

1. Näe hyödyt omalle liiketoiminnalle

Pääasia on, että tietosuojasta ei tehdä liian isoa mörköä. Yrityksen tulisi pyrkiä näkemään tietosuojasääntelyn hyödyt ja muuttamaan tietosuojan yritykselle positiiviseksi asiaksi. Tietosuojavaatimusten hoitaminen kunnolla tukee liiketoimintaa ja voi olla yritykselle myyntivaltti.

2.  Selvitä oman yrityksen nykytilanne ja etene askel kerrallaan

Tietosuoja-asetus voi vaikuttaa haastavalta. Ei kannata välttämättä käydä suoraan asetuksen lakitekstiä läpi, siinä ”voi eksyä”. Kannattaa sitä vastoin edetä askel kerrallaan ja aloittaa pienistä asioista. Yrityksen on hyvä aloittaa tarkastelemalla omaa palvelua ja tuotteitaan. Jotta yrityksen tietosuojaa voidaan kehittää paremmaksi, on selvitettävä ensin se, mikä on yrityksen nykytilanne henkilötietojen käsittelyn suhteen.

3. Kouluta henkilöstö konkreettisilla esimerkeillä

Henkilöstön koulutusta ei pidä jättää abstraktille tasolle. Jos jätetään, niin myös henkilöstön osaaminen voi jäädä yleiselle tasolle, eivätkä ihmiset osaa soveltaa tietosuojaa koskevia ohjeita käytännössä. Kullekin henkilöstöryhmälle tulee olla omat koulutuksensa ja heidän työtehtäviinsä liittyviä käytännön esimerkkejä.

4. Hyödynnä saatavilla olevia työkaluja

Hyödynnä saatavilla olevia itsearviointi- ja vaikutustenarviointityökaluja. Työkalut voivat auttaa hahmottamaan, mitä ja kenen henkilötietoja yritys käsittelee ja millä tavalla. Kartoituksien kautta saadaan selville mahdolliset aukot ja puutteet. Tuloksena muodostuu tehtävälista ja sitten sitä vain lähdetään toteuttamaan tehtävä kerrallaan. ”Ei se ole muuta kuin kovaa duunia”, totesivat sympalaiset.

5. Kansainvälisessä toiminnassa varmista kohdemaan lainsäädäntö

Yrityksen lähtiessä  laajentamaan toimintaansa ulkomaille, on tiedettävä mitä kohdemaan lakeja yrityksen palveluun tai tuotteeseen sovelletaan. Vaikka tietosuoja-asetusta sovelletaan kaikissa EU-maissa, kohdemaassa saattaa olla tietosuoja-asetuksen lisäksi muita henkilötietojen käsittelyyn vaikuttavia lakeja. Lisäksi se, minkä maan lakia sovelletaan, kannattaa huomioida sopimuksissa. Tietosuoja-asetuksen lisäksi tulee huomioida palvelun myyntiin liittyvää lainsäädäntöä ja menettelytapoja.

Haastateltavina olivat Sympa Oy:n toimitusjohtaja Keijo Karjalainen ja Sympa Oy:n Head of legal Terho Nevasalo. Haastattelu toteutettiin huhtikuussa 2022.

Yritys

Sympa Oy:n päätuote on henkilöstön hallintaan tarkoitettu palveluohjelmisto, jota käytetään pilvipalveluna. Palvelua käytetään noin 100 maassa ja sen käyttäjät toimivat tietosuojan näkökulmasta rekisterinpitäjän roolissa. Sympa toimii henkilötietojen käsittelijänä. Sympa katsoo, että heidän liiketoimintansa on ”henkilötietointensiivistä” eli se koostuu pääosin henkilötietojen käsittelystä. Yritys on perustettu 2005 ja sen kotipaikka on Lahdessa. Työntekijöitä on 190.

Kuvaus henkilötietojen käsittelytoimista – mitä, milloin ja miksi?

Seloste käsittelytoimista on yrityksen sisäinen asiakirja, joka toimii kuvauksena organisaation tekemästä henkilötietojen käsittelystä. Sen tarkoituksena on osaltaan osoittaa, että henkilötietoja käsitellään tietosuojalainsäädännön mukaisesti. Seloste käsittelytoimista on eri asia kuin tietosuojaseloste, joka on suunnattu rekisteröidyille, kuten yrityksen asiakkaille.

Joissakin tapauksissa tietosuoja-asetus edellyttää, että yritys laatii selosteen käsittelytoimista. Tule webinaariin oppimaan lisää siitä, milloin kyseinen seloste tulisi tehdä, mitä hyötyä siitä on yritykselle ja mitä selosteen pitäisi käytännössä sisältää.

Esitysmateriaali >>

Webinaaritallenne Youtubessa >>
_63u2608.jpg (4.54 MB)

Ville Vainio on Asianajotoimisto Applex Oy:n osakas ja asianajaja. Hän avustaa kotimaisia ja kansainvälisiä asiakkaita pk-yrityksistä pörssifirmoihin erityisesti tietosuoja- ja teknologiajuridiikan parissa. Ville on suorittanut arvostetun CIPP/E -tietosuojasertifioinnin ja hän kouluttaa säännöllisesti eri aloilla toimivia organisaatioita tietosuojalainsäädännön noudattamisessa.

Tietosuojan vaikutustenarviointi

Yritysten velvoitteena on arvioida niiden toiminnasta asiakkaille ja muille kuluttajille aiheutuvia tietosuojariskejä ja pyrkiä hallinnoimaan riskien vakavuutta ja vaikutuksia. 

Vaikutustenarviointi on tehtävä silloin, kun suunniteltu käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. 

Miten vaikutustenarvioinnissa voi lähteä liikkeelle, ja minkälaisia työkaluja ja malleja arviointiin on olemassa? Webinaarissa tutustutaan aiheeseen ja annetaan käytännön vinkkejä.

Webinaarin esitysmateriaali (pdf) >>

Webinaaritallenne Youtubessa >>
image002.jpg (3.27 MB)

Vera Pallasvesa työskentelee Asianajotoimisto DLA Piperilla tietosuojan parissa avustaen asiakkaita laajasti tietosuojaan liittyvissä asioissa.

Kameravalvonnan tietosuoja

Kameravalvonnan yhteydessä syntyy kuvia, joista ihmiset ovat tunnistettavissa, ja näin ollen kyse on henkilötietojen käsittelystä. Yleinen tietosuoja-asetus asettaa siis paljon vaatimuksia myös kameravalvonnan toteuttamiselle.

Miten huolehtia siitä, että henkilötietojen käsittelylle on kameravalvonnan yhteydessä lainmukainen peruste? Entä miten inforoimoida henkilötietojen käsittelystä osana valvontaa? Webinaarissa käsitellään paljon keskustelua herättänyttä aihetta tietosuojalainsäädännön näkökulmasta.

Webinaarin esitysmateriaali (pdf) >>

Webinaaritallenne Youtubessa >>

1609784891436.jpeg (66 KB)

Kim Valtonen toimii Myyrbase ICT Oy:n toimitusjohtajana sekä Tietosuoja ry:n varapuheenjohtajana. Kimillä on pitkän linjan kokemusta tietotekniikasta sekä yksityiseltä turvallisuusalalta. Kimin tavoitteena on yhdistää tietotekniikkaa ja turvatekniikkaa sekä edistää tietosuojaan liittyvää tietämystä.

Lue lisää ja ilmoittaudu Eventilla-palvelussa >>

Oikeutettu etu henkilötietojen käsittelyperusteena

Jotta henkilötietojen käsittely on mahdollista, tulee sille määritellä laista löytyvä käsittelyperuste. Mahdollisia käsittelyperusteita on yhteensä kuusi, ja niiden joukossa on mm. usein sovellettu rekisteröidyn suostumus sekä paljon väärinkäsityksiä aiheuttava rekisterinpitäjän oikeutettu etu.

Mitä oikeutetulla edulla oikeastaan tarkoitetaan yritystoiminnassa? Missä tapauksissa esim. suoramarkkinointia voi tehdä oikeutettuun etuun vedoten? Tule webinaariin oppimaan oikeutetun edun soveltamisesta sekä vaaditun tasapainotestin tekemisestä.

Webinaarin esitysmateriaali >>

Webinaaritallenne Youtubessa >>

pirjo-vayrynen.png (1.31 MB)

Pirjo Väyrynen on toiminut pitkään sekä tietosuojan että median parissa ja tuottaa mm ulkoistettuja tietosuojavastaavan palveluja yrityksensä Pirannava Intelligence Oy:n kautta.

Turvatekniikan tietosuoja

GDPR:n eli EU:n tietosuoja-asetuksen soveltaminen alkoi keväällä 2018. Turvaurakointia ja lukkoliiketoimintaa harjoittavia yrityksiä asetus koskettaa mm. turvatekniikasta ja kulunvalvontajärjestelmistä syntyvien henkilötietorekisterien kautta.

Miten turvaurakointia harjoittavat yritykset voisivat ähteä liikkeelle tietosuojan suhteen? Entä miten laki yksityisistä turvallisuuspalveluista (LYTP) vaikuttaa tilanteeseen? Tule webinaariin oppimaan monitahoisesta aiheesta! Tilaisuus järjestettiin GDPR2DSM-hankkeen ja Turvaurakoitsijat ry:n yhteistyönä.

Webinaaritallenne Youtubessa >>

Esitykset


Lähtökohdat GDPR:n ja LYTP:n valossa | Kim Valtonen ja Tuomas Wuorikoski
Ratkaisut, asiakkaiden informointi ja sopiminen | Kim Valtonen ja Tuomas Wuorikoski

Esitys – Tuomas Wuorikoski >>

Esitys – Kim Valtonen >>

Tietosuojavaltuutetun turvatekniikkaa koskevan päätöksen esittelyä | Meeri Blomberg, tietosuojavaltuutetun toimisto

Esitys – Meeri Blomberg >>

Esiintyjät

ttk_omakuva.jpg (15 KB)

Tuomas Wuorikoskella on pitkä kokemus yksityiseltä turvallisuusalalta sekä siihen liittyvien tutkintojen toteuttamisesta. Tuomaksen tavoitteen on edistää yksityisen turvallisuusalan toimijoiden osaamista ja toimintaedellytyksiä.

1609784891436.jpeg (66 KB)
Kim Valtonen toimii Myyrbase ICT Oy:n toimitusjohtajana sekä Tietosuoja ry:n varapuheenjohtajana. Kimillä on pitkän linjan kokemusta tietotekniikasta sekä yksityiseltä turvallisuusalalta. Kimin tavoitteena on yhdistää tietotekniikkaa ja turvatekniikkaa sekä edistää tietosuojaan liittyvää tietämystä.


Meeri Blomberg toimii ylitarkastajana tietosuojavaltuutetun toimistolla.

Tietosuojaseminaari Oulussa

Seminaari järjestettiin Oulussa Radisson Blu -hotellilla 17.3.2022.

Seminaarin ohjelma ja esitykset

08.30 Kahvia ja pientä purtavaa tarjolla
09.00 Pk-yrityksille suunnatun tietosuojasivuston esittely | tietosuojavaltuutetun toimisto ja TIEKE 

Esitys >>


09.40 Evästeet nettisivuilla – aiemmin tapahtunutta ja nykyinen linjaus | Harto Pönkä, Innowise

Esitys >>


10.20 Kahvitauko
10.30 Tietosuojan perusteet – mistä lähteä liikkeelle tietosuojavaatimusten toteuttamisessa | Katariina Koski, I&O Partners
11.10 Käsittelijän rooli ja velvollisuudet | Mari-Ilona Korhonen, ylitarkastaja, tietosuojavaltuutetun toimisto

Esitys >>

Esiintyjät

harto_1_pienempi.jpg (461 KB)

Harto Pönkä (KM) on ohjelmistoalan yrittäjä, tietokirjailija sekä kouluttaja. Pönkä on pitänyt yrityksille, kunnille, oppilaitoksille ja järjestöille tietosuoja- ja GDPR-koulutuksia vuodesta 2017 lähtien sekä konsultoinut GDPR:n käytännön soveltamiseen liittyvissä asioissa.

dsc_3284.jpg (92 KB)

Katariina Koski toimii Senior Associate- juristina I&O Partners asianajotoimistossa. Katariinalla on monipuolinen kokemus tietosuojajuridiikasta ja hän avustaa asiakkaita laajasti erilaisissa tietosuojaan liittyvissä toimeksiannoissa.

kuva-mari-ilona-korhonen.jpg (235 KB)

Mari-Ilona Korhonen toimii ylitarkastajana tietosuojavaltuutetun toimistossa. Mari-Ilona vastaa erityisesti yksityisen sektorin toimijoiden tietosuojaa koskevista kysymyksistä ja rajatylittävistä asioista, joita Euroopan tietosuojaviranomaiset yhdessä käsittelevät. 

Tietosuojaseminaari Jyväskylässä

Seminaari järjestettiin Jyväskylässä Hotelli Versossa 29.3.2022.

Seminaarin ohjelma ja esitykset

08.30 Kahvia ja pientä purtavaa tarjolla

08.30 Kahvia ja pientä purtavaa tarjolla
09.00 Keski-Suomen yrittäjien tervetulosanat | Keski-Suomen yrittäjien toimitusjohtaja Sanna-Mari Jyräkoski
09.05 Pk-yrityksille suunnatun tietosuojasivuston esittely | tietosuojavaltuutetun toimisto ja TIEKE

Esitys >>


09.40 Tietosuoja kilpailuetuna! Ajankohtaiset vinkit yrittäjälle | Aino-Kaisu Renko, Pro Juridica

Esitys >>


10.20 Jaloittelu/kahvitauko
10.30 Käsittelijän rooli ja velvollisuudet | Silja Kantonen, ylitarkastaja, tietosuojavaltuutetun toimisto

Esitys >>


11.10 Rekisteröityjen informointi ja rekisteröidyn oikeudet | Katariina Koski, I&O Partners
11.50 Tilaisuuden lopetus

Esiintyjät

a-k-renko_nettikuva.jpg (10 KB)

Aino-Kaisu Renko on sertifioitu asianajaja tietosuoja-asiantuntija (CIPP/E) ja hän vastaa Asianajotoimisto Pro Juridican tietosuojaa koskevasta praktiikasta. Rengolla on monipuolista kokemusta tietosuojaan liittyvistä toimeksiannoista aina dokumentaatioiden laadinnasta tietoturvaloukkauksissa avustamiseen ja aiheesta kouluttamiseen. Rengon erityisosaamiseen kuuluvat lisäksi yritysjärjestelyt, erilaiset kaupalliset sopimukset sekä ICT-alan oikeudelliset ongelmat.

dsc_3284.jpg (92 KB)

Katariina Koski toimii Senior Associate- juristina I&O Partners asianajotoimistossa. Katariinalla on monipuolinen kokemus tietosuojajuridiikasta ja hän avustaa asiakkaita laajasti erilaisissa tietosuojaan liittyvissä toimeksiannoissa.

Silja Kantonen toimii ylitarkastajana tietosuojavaltuutetun toimistossa. Silja vastaa erityisesti finanssisektorin tietosuojakysymyksistä ja osallistuu Euroopan tietosuojaneuvoston alatyöryhmätyöhön tietosuoja-asetuksen täytäntöönpanoon liittyvien kysymysten osalta.

Tietosuojaseminaari Tampereella

Seminaari järjestettiin Tampereella Museokeskus Vapriikissa 22.2.2022.

Ohjelma ja esitykset

08.30 Kahvia ja pientä purtavaa tarjolla
09.00 Pirkanmaan yrittäjien tervetulosanat
09.05 Pk-yrityksille suunnatun tietosuojasivuston esittely | tietosuojavaltuutetun toimisto ja TIEKE 

Esitys >>


09.40 Käytännön tietoturvasuunnitelma henkilötietojen suojaamiseksi | Ismo Paananen, Agendium Oy

Esitys >>


10.20 Jaloittelu/kahvitauko
10.30 Henkilötietojen tietoturvaloukkaukset | Tapio Kaikkonen, tietosuojavaltuutetun toimisto

Esitys tulossa myöhemmin


10.50 Rekisteröidyn oikeuksien toteuttaminen – perusteita ja TSV:n ratkaisukäytäntöä | Laura Varjokari, tietosuojavaltuutetun toimisto

Esitys >>


11.10 Keskustelupaneeli | Päivän asiantuntijat
11.50 Tilaisuuden lopetus

Esiintyjät

ismo-paananen-2.jpg (9.52 MB)

Ismo Paananen on Agendium Oy:n toimitusjohtaja, ja kehittää tiiminsä kanssa Digiturvamalli.fi -palvelua. Ismolla on tietosuojateknologian CIPT-sertifikaatti (Certified Information Privacy Technologist), ja hänen intohimonaan on löytää konkreettisia keinoja yritysten arjen digiturvallisuuden kehittämiseksi

Evästeet nettisivuilla – aiemmin tapahtunutta ja nykyinen linjaus

Traficom julkaisi syyskuun puolivälissä uuden ohjeistuksen evästeiden käytölle nettisivuilla. Pk-yrityksen näkökulmasta uusi ohjeistus selkeyttää, miten evästeitä koskevia säännöksiä ja GDPR:n mukaista suostumusta tulisi tulkita.

Webinaarissa käydään läpi yhden yrityksen kokemukset evästeiden sääntelyn liittyvistä haasteista. Yrityksen näkökulmasta tietosuojasäännösten tulkinta voi aiheuttaa harmaita hiuksia, mutta myös tilaisuuden tuotekehitykseen, jossa tietosuoja nostetaan yhdeksi kilpailutekijäksi.

Webinaarin esitysmateriaali >>

Webinaarin tallenne Youtubessa >>

Webinaarin ohjelma

  • Evästeiden sääntely ja ohjeistus Suomessa yhden pk-yrityksen näkökulmasta
  • Evästeiden käytön vaatimukset ja toteutus nettisivuilla uusien linjausten mukaan
  • Miten käänsimme haasteen kilpailueduksi: Innowisen evästetoteutus

Harto Pönkä (KM) on ohjelmistoalan yrittäjä, tietokirjailija sekä kouluttaja. Pönkä on pitänyt yrityksille, kunnille, oppilaitoksille ja järjestöille tietosuoja- ja GDPR-koulutuksia vuodesta 2017 lähtien sekä konsultoinut GDPR:n käytännön soveltamiseen liittyvissä asioissa.

Some-markkinoinnin tietosuoja yrityksissä

Yhä useampi yritys käyttää sosiaalisen median kanavia markkinoinnissaan. Vaikka perinteisemmän markkinoinnin osalta tietosuoja olisikin tuttua kauraa, saattavat somen tietosuojakysymykset olla hieman vieraampia.

Mitä olisi hyvä huomioida, kun yrityksenä jakaa julkaisuja sosiaalisessa mediassa? Entä mitä eroja on B2B ja B2C-markkinoinnissa tietosuojan näkökulmasta? Webinaarissa pureudutaan sosoiaalisen median markkinoinnin tietosuojaan ja siihen, miten yritys voi turvallisesti toimia erilaisissa palveluissa.

Esitysmateriaalit >>

Webinaaritallenne Youtubessa >>

pirjo-vayrynen.png (1.31 MB)

Pirjo Väyrynen on toiminut pitkään sekä tietosuojan että median parissa ja tuottaa mm ulkoistettuja tietosuojavastaavan palveluja yrityksensä Pirannava Intelligence Oy:n kautta.

Keräämme kokemuksia yrittäjiltä!

Miten yrityksessänne on ratkottu tietosuojahaasteita? Onko yrityksenne hyötynyt tietosuojasta kilpailutekijänä?

Keräämme pk-yritysten tietosuojahaasteisiin liittyviä case-esimerkkejä. Olemme kiinnostuneita kuulemaan, miten yrityksessänne on onnistuttu jonkin haastavalta tuntuneen tietosuojavelvoitteen toteuttamisessa tai miten yrityksenne on hyötynyt tietosuojasta kilpailutekijänä.

Jos haluatte jakaa kokemuksianne, voitte laittaa meille sähköpostia osoitteeseen timo.simell@tieke.fi. Kokemukset julkaistaan sivustolla nimettömänä tai yrityksen toiveesta yritysten nimellä. Case-esimerkkien tarkoitus on kannustaa yrittäjiä laittamaan tietosuoja-asiat kuntoon.

Henkilötietojen käsittelijät ja kansainväliset siirrot

Käyttäessään erilaisia palveluntarjoajia (esim. pilvipalvelut) yritykset antavat näille samalla henkilötietojaan käsiteltäviksi. Mutta tiedätkö, mistä valtioista käsin palveluntarjoaja yrityksesi henkilötietoja käsittelee, ja mitä vaatimuksia kansainvälisiin tiedonsiirtoihin liittyy?

Tule webinaariin kuulemaan, miten yrityksesi täytyy toimia noudattaakseen tietosuojalainsäädännön vaatimuksia henkilötietojen kansainvälisissä siirroissa ja miten siirroista tulee sopia tietoja käsittelevien palveluntarjoajien kanssa. Webinaarissa käsitellään erityisesti tiedonsiirtoa monien yritysten käyttämille yhdysvaltalaisille palveluntarjoajille, sillä EU:n tuomioistuimen Schrems II -ratkaisulla on kumottu tiedonsiirrot Yhdysvaltoihin aiemmin mahdollistanut Privacy Shield -järjestely.

Webinaaritallenne Youtubessa >>

Webinaarin esitysmateriaalit >>

Ville Vainio on Asianajotoimisto Applex Oy:n osakas ja asianajaja. Hän avustaa kotimaisia ja kansainvälisiä asiakkaita pk-yrityksistä pörssifirmoihin erityisesti tietosuoja- ja teknologiajuridiikan parissa. Ville on suorittanut arvostetun CIPP/E -tietosuojasertifioinnin ja hän kouluttaa säännöllisesti eri aloilla toimivia organisaatioita tietosuojalainsäädännön noudattamisessa.

Onko tietosuojaselosteesi tarpeeksi läpinäkyvä?

Läpinäkyvyyden merkitys on korostunut viimeaikaisessa ratkaisukäytännössä. Tietosuojaseloste on kuin elintarvikkeiden tuoteseloste – omat henkilötietojen käsittelyprosessit on tunnettava ennen sisällön laatimista. Koulutuksessa kuulet, mitä hyötyä läpinäkyvyydestä voi olla, ja miten rakennat selkeän ja ymmärrettävän tietosuojaselosteen.

Webinaaritallenne Youtubessa >>

heikki-tolvanen.png (167 KB)

Heikki Tolvanen toimii Chief Legal Engineerinä PrivacyAntilla ja hänellä on laajaa kokemusta niin tietojenkäsittelystä ja koodaamisesta kuin juridiikastakin. Heikki on työskennellyt sekä rekisterinpitäjien että henkilötietojen käsittelijöiden palveluksessa. Heikillä on perusteellinen ymmärrys eri maiden sekä eurooppalaisesta tietosuojasääntelystä, tietosuojaohjelmien organisoinnista ja johtamisesta ja keskeisistä tietosuojakäytännöistä.

soCC88derholm-ann-marie-.png (120 KB)

Ann-Marie Söderholm toimii General Counselina PrivacyAntilla, Ennen PrivacyAntille siirtymistä Ann-Marie on muun muassa tuottanut erilaisia sisältöjä ja digitaalisia työkaluja tietosuojavastaaville.

Webinaarin tallenne

Palveluntarjoajien käyttö verkkokaupassa – tietosuoja ja kuluttajansuoja

Miten tietosuoja ja kuluttajansuoja liittyvät verkkokaupan suunnitteluun ja ulkopuolisten palveluntarjoajien käyttöön? Mitä asioita verkkosivujen luojien on otettava huomioon, jotta mahdollistetaan yrityksille tietosuojalainsäädännön sekä kuluttajansuojalain mukainen toiminta? Webinaarissa esitellään, mitä tietosuojahaasteita palveluntarjoajien käytöstä voi aiheutua ja mitä havaintoja kuluttaja-asiamies on tehnyt valvoessaan kaupankäynnin alustoja.

Esitykset

Tietosuoja ja ulkopuoliset palveluntarjoajat verkkokaupassa | Mari-Ilona Korhonen, tietosuojavaltuutetun toimisto

Esitysmateriaalit >>

Kuluttajansuoja ja ulkopuoliset palveluntarjoajat verkkokaupassa | Satu Wideen, Kilpailu- ja kuluttajavirasto

Esitysmateriaalit >>

Käyttäjän informointi verkkokaupassa – tietosuoja ja kuluttajansuoja

Verkkokaupan hallinnointi on arkea yhä useammalle yritykselle, mutta tiedätkö, mitä velvoitteita tietosuojalainsäädäntö ja kuluttajansuojalaki asettavat käyttäjän informoinnille verkkokaupassa? Webinaarissa käydään läpi ajankohtaista lainsäädäntöä esimerkkien kautta.

Käyttäjän informointi verkkokaupassa tietosuojan näkökulmasta | Mari-Ilona Korhonen, tietosuojavaltuutetun toimisto

Esitysmateriaalit >>


Käyttäjän informointi verkkokaupassa kuluttajansuojan näkökulmasta | Saija Kivimäki, Kilpailu- ja kuluttajavirasto

Esitysmateriaalit >>

Saija Kivimäki työskentelee erityisasiantuntijana Kilpailu- ja kuluttajavirastossa yleisten markkinointiin ja sopimusehtoihin liittyvien asioiden parissa. Useimmat työtehtävät koskevat verkkokaupankäyntiä. 

Mari-Ilona Korhonen toimii tietosuojavaltuutetun toimistossa ylitarkastajana, pääasiallisena vastuualueenaan yksityisen sektorin tietosuojakysymykset ja rajat ylittävät asiat. Mari vastaa muun muassa suoramarkkinointia ja viestintä- ja suoratoistopalveluita koskevista kysymyksistä.  

Korkeariskinen henkilötietojen käsittely ja tietosuojariskien hallinta

Yritysten velvoitteena on arvioida niiden toiminnasta asiakkaille ja muille kuluttajille aiheutuvia tietosuojariskejä ja pyrkiä hallinnoimaan riskien vakavuutta ja vaikutuksia. Jos yritys ei tunnista omaan toimintaansa liittyviä tietosuojariskejä, ei se pysty myöskään estämään niiden seurauksia. Tämä voi pahimmillaan vaikuttaa yrityksen liiketoimintaan esimerkiksi mainehaittana ja asiakkaiden luottamuksen menettämisenä.

Hyvin hoidettu tietosuojariskeihin varautuminen puolestaan mahdollistaa yrityksen resurssien keskittämisen olennaisiin riskeihin ja siten tehokkaamman riskien ehkäisyn.

Webinaarissa tarkastellaan, mitä ovat korkeariskiset henkilötietojen käsittelytilanteet, miten yritykset voivat tunnistaa tällaisia korkeariskisiä käsittelytilanteita ja miten riskien hallintaa voi edistää tietosuojan hallintamallin avulla.

Webinaaritallenne Youtubessa >>

Hanna Parviainen on CIPP/E-sertifioitu (Certified Information Privacy Professional / Europe) tietosuoja-asiantuntija. Hanna on toiminut ulkoistettuna tietosuojavastaavana suomalaisille organisaatioille ja kehittänyt yrityksille tietosuojariskien hallintamalleja.

Aleksi Nieminen avustaa asiakkaita pääasiassa kotimaisissa ja kansainvälisissä tietosuojakysymyksissä. Aleksi on ollut kehittämässä asiakkaiden tietosuojariskien hallintaa sekä vaikutustenarviointeihin liittyviä käytäntöjä.

Pk-yritysten tyypillisimmät tietosuojahaasteet 

Jokainen pk-yritys kohtaa jossain määrin yksilöllisiä tietosuojahaasteita, mutta silti suurin osa yrityksistä painii samankaltaisten asioiden parissa. Webinaarissa tarjotaan yleiskatsaus pk-yritysten yleisimpiin tietosuojahaasteisiin.

Webinaaritallenne Youtubessa >>

petteri-salokangas.png (147 KB)

Petteri Salokangas on Asiakkuuspäällikkönä Citrus Solutions Oy:ssä, ja vastaa Citruksen MyGDPR-palvelusta, jolla on pystytty auttamaan varsinkin PK-sektorin yrityksiä tietosuojalain vaatimusten kanssa.

Käytännön tietoturvasuunnitelma henkilötietojen suojaamiseksi

Useat yritysten tietosuojahaasteista liittyvät tietoturvaongelmiin, joiden takia henkilötietoja joutuu vääriin käsiin. Iso osa tietoturvan parantamiseen liittyvistä toimenpiteistä on kuitenkin kaikkien yritysten saatavilla ilman merkittäviä investointeja.

Webinaarissa käydään läpi jokaiselle yritykselle sopivaa tietoturvan kehityssuunnitelmaa, jonka avulla tietosuojaongelmia voidaan ehkäistä ja muutenkin parantaa yrityksen kykyä selvitä ongelmatilanteista.

Webinaaritallenne Youtubessa >>

Ismo Paananen on Agendium Oy:n toimitusjohtaja, ja kehittää tiiminsä kanssa Digiturvamalli.fi -palvelua. Ismolla on tietosuojateknologian CIPT-sertifikaatti (Certified Information Privacy Technologist), ja hänen intohimonaan on löytää konkreettisia keinoja yritysten arjen digiturvallisuuden kehittämiseksi

Tietosuojakelpoisuuden hyödyntäminen yrityksen arjessa

Tietosuoja on läsnä henkilötietojen käsittelyn ulkoistustilanteissa. Rekisterinpitäjä saa käyttää ainoastaan tietosuojakelpoisia toimittajia, eli henkilötietojen käsittelijöitä. Miten tietosuojakelpoisuutta kannattaa ulkoistuskumppaneilta vaatia ja miksi tieto kelpoisuudesta kannattaa myös itse julkaista? 

Webinaaritallenne Youtubessa >>


oravala-2.jpg (71 KB)

Juha Oravala on toinen D-Fence Oy:n perustajista, aktiivinen tietosuojaosaaja ja Tietosuoja ry:n puheenjohtaja.  Juha on erityisen kiinnostunut tietosuojan liiketoiminnallisesta hyödyntämisestä.