EU:n tietosuojauudistus

EU:n tietosuoja-asetus astuu voimaan toukokuussa 2018.

Uudistuksen lähtökohtaon tosiasia, että "Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus".

Katsoin EU:n tietosuoja-asetusta (en sen perusteella säädettyjä lakeja) niin minusta siinä on hyviä käytäntöjä ja tarkennuksia, kuten (lainausta EU:n sivuilta, täältä).

Henkilötiedon määritelmä on laveampi eli

Henkilötiedoilla tarkoitetaan 'kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai välillisesti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella';

Periaatteita ovat mm:

Periaatteet

 a)henkilötietoja käsitellään lainmukaisesti ja asianmukaisesti;

b)henkilötiedot kerätään tiettyjä nimenomaisia ja laillisia tarkoituksia varten, eikä niitä käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla;

c)henkilötiedot ovat asianmukaisia ja olennaisia eivätkä ne ole liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään;

d)henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset tiedot poistetaan tai oikaistaan viipymättä;

e)henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen henkilötietojen käsittelytarkoitusten toteuttamista varten;

f) henkilötietoja käsitellään tavalla, jolla varmistetaan henkilötietojen asianmukainen tietoturva muun muassa suojaamalla niitä luvattomalta ja laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta asianmukaisia teknisiä tai organisatorisia toimenpiteitä hyödyntäen.

Vaatimuksia ovat mm:

7 artikla Henkilötietojen erottelu ja henkilötietojen laadun varmentaminen

1.   Jäsenvaltioiden on säädettävä siitä, että tosiseikkoihin perustuvat henkilötiedot erotetaan mahdollisuuksien mukaan henkilökohtaisiin arvioihin perustuvista henkilötiedoista.

2.   Jäsenvaltioiden on säädettävä siitä, että toimivaltaiset viranomaiset toteuttavat kaikki kohtuulliset toimet varmistaakseen, että virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja ei siirretä eikä aseteta saataville. Tätä varten kunkin toimivaltaisen viranomaisen on varmennettava mahdollisuuksien mukaan henkilötietojen laatu ennen niiden siirtämistä tai saataville asettamista. Kaikkiin henkilötietojen siirtoihin on mahdollisuuksien mukaan lisättävä tarvittavat tiedot, joiden avulla vastaanottava toimivaltainen viranomainen voi arvioida henkilötietojen paikkansapitävyyttä, täydellisyyttä ja luotettavuutta sekä sitä, miltä osin ne ovat ajan tasalla.

3.   Jos ilmenee, että on siirretty virheellisiä henkilötietoja tai että henkilötietoja on siirretty lainvastaisesti, on asiasta ilmoitettava viipymättä vastaanottajalle. Tällaisessa tapauksessa henkilötiedot on oikaistava, poistettava tai niiden käsittelyä on rajoitettava 16 artiklan mukaisesti.

8 artikla Käsittelyn lainmukaisuus

1.   Jäsenvaltioiden on säädettävä siitä, että käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin se on tarpeen toimivaltaisen viranomaisen tehtävän suorittamiseksi 1 artiklan 1 kohdan tarkoitusta varten ja se perustuu unionin oikeuteen tai jäsenvaltion lainsäädäntöön.

2.   Jäsenvaltion lainsäädännössä, jossa säännellään tämän direktiivin soveltamisalaan kuuluvaa käsittelyä, on täsmennettävä ainakin käsittelyn tavoitteet, käsiteltävät henkilötiedot ja käsittelyn tarkoitukset.

Huomattavaa on, että

Erityisiä henkilötietoryhmiä koskeva käsittely

Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus taikka ammattiliiton jäsenyys, sekä geneettisien tietojen, luonnollisen henkilön yksiselitteiseen tunnistamiseen tarkoitettujen biometristen tietojen tai terveyttä taikka luonnollisen henkilön seksuaalista käyttäytymistä ja seksuaalista suuntautumista koskevien tietojen käsittely sallitaan vain, jos se on ehdottoman välttämätöntä ja edellyttäen, että rekisteröidyn oikeuksia ja vapauksia koskevat asianmukaiset suojatoimet on toteutettu ja vain

jos käsittely sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä;

rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi; tai

jos käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi.

Rekisteröidyn saataville asetettavat tai hänelle annettavat tiedot

rekisterinpitäjän henkilöllisyys ja yhteystiedot;

 tarvittaessa tietosuojavastaavan yhteystiedot;

henkilötietojen käsittelyn tarkoitukset;

tieto siitä, että rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, ja valvontaviranomaisen yhteystiedot;

tieto siitä, että rekisteröidyllä on oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten henkilötietojen oikaisemista tai poistamista tai henkilötietojen käsittelyn rajoittamista.

Edellä 1 kohdassa tarkoitettujen tietojen lisäksi jäsenvaltioiden on säädettävä laissa, että rekisterinpitäjä antaa erityistapauksissa rekisteröidylle jäljempänä mainitut tiedot, jotta hänen olisi mahdollista käyttää oikeuksiaan:

Rekisteröidyn oikeus saada pääsy henkilötietoihin

  

a)    käsittelyn tarkoitukset ja oikeusperuste;

b)    käsittelyn kohteena olevat henkilötietoryhmät;

c)    vastaanottajat tai vastaanottajaryhmät, joille henkilötietoja on luovutettu, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt;

d)    mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika, tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;

e)    rekisteröidyn oikeus pyytää rekisterinpitäjää häntä itseään koskevien henkilötietojen oikaisemista, poistamista tai käsittelyn rajoittamista;

f)     rekisteröidyn oikeus tehdä valitus valvontaviranomaiselle ja valvontaviranomaisen yhteystiedot;

Minua ehkä eniten kiinnostaa, mitä seuraa siitä, jos tietosuoja-asiat eivät ole kunnossa. Minusta siitä pitäisi seurata törkeimmissä tapauksissa vankeutta ja julkisella puolella lisäksi viraltapano. Luultavasti seuraamus tulee olemaan pieni sakko. Minusta vahingonkorvauskin on mahdollista, mutta Suomessa vahingonkorvauksia harvoin saa, ja summat ovat pieniä.