Rekisterinpitäjän vastuu

Yritysturvallisuus > Tietosuoja

Euroopan unionin yleinen tietosuoja-asetus (GDPR) on säädös, jonka tavoitteena on suojata yksilöiden henkilötietoja ja varmistaa niiden käsittelyn läpinäkyvyys, oikeudenmukaisuus ja lainmukaisuus. Asetus asettaa selkeät velvoitteet sekä rekisterinpitäjille että henkilötietojen käsittelijöille. Mikäli näitä velvoitteita rikotaan, seuraamuksina voi olla sekä yksityisoikeudellisia että rikosoikeudellisia seuraamuksia. Yksi merkittävimmistä yksilön oikeusturvaa turvaavista mekanismeista on oikeus vahingonkorvaukseen.

Tietosuoja-asetuksen 82 artiklan mukaan jokaisella, jolle aiheutuu vahinkoa henkilötietojen käsittelyyn liittyvän asetuksen rikkomisen seurauksena, on oikeus saada korvausta rekisterinpitäjältä tai henkilötietojen käsittelijältä. Korvattava vahinko voi olla aineellista tai aineetonta, esimerkkeinä taloudellinen menetys tai kärsimys, joka aiheutuu esimerkiksi yksityisyyden loukkaamisesta, henkilöllisyysvarkaudesta tai maineen menetyksestä. Tämä vahingonkorvausoikeus toimii sekä ennaltaehkäisevänä että hyvittävänä keinona, ja se korostaa rekisterinpitäjän vastuuta huolellisesta ja lainmukaisesta henkilötietojen käsittelystä.

Vahingonkorvausvastuun lisäksi tietosuojaloukkauksiin voi liittyä myös rikosoikeudellisia seuraamuksia. Vaikka tietosuoja-asetuksessa itsessään ei säädetä rikosoikeudellisista rangaistuksista, rikosoikeudellinen vastuu voi syntyä kansallisen lainsäädännön perusteella, mikäli menettely rikkoo myös muita lakeja kuin henkilötietolakia. Esimerkiksi henkilötietojen väärinkäyttö, tietomurrot tai tietojen oikeudeton luovuttaminen voivat täyttää rikoslain tunnusmerkistön ja johtaa rikosoikeudellisiin seuraamuksiin, kuten sakkoihin tai vankeusrangaistuksiin.

Yritysten näkökulmasta kaksoisvastuu, sekä siviilioikeudellinen että rikosoikeudellinen, korostaa tietosuojan hallinnan merkitystä. Vastuullinen henkilötietojen käsittely ei ole pelkästään lakisääteinen velvollisuus, vaan myös olennainen osa organisaation riskienhallintaa, maineenhallintaa ja sidosryhmien luottamuksen ylläpitämistä.

Tehtävälista

Tietosuojaperiaatteiden noudattaminen

Varmista, että henkilötietojen käsittely on lainmukaista, kohtuullista ja läpinäkyvää.
Rajoita käsittely tiettyyn, nimenomaiseen ja lailliseen tarkoitukseen.
Kerää vain tarpeelliset ja oleelliset tiedot (minimointiperiaate).
Pidä tiedot täsmällisinä ja ajan tasalla.
Säilytä tiedot vain niin kauan kuin on tarpeen.
Suojaa tiedot teknisin ja organisatorisin keinoin (luottamuksellisuus ja eheys).

Tietosuojaselosteet ja läpinäkyvyys

Laadi ja julkaise selkeä tietosuojaseloste, esimerkiksi verkkosivuille.
Informoi rekisteröityjä heidän oikeuksistaan ja siitä, mihin tarkoituksiin tietoja käsitellään.
Kerro tietojen säilytysajoista, vastaanottajista ja mahdollisista kolmansista maista.

Rekisteröityjen oikeudet

Vastaa tietopyyntöihin kuukauden kuluessa.
Luo käytännöt, joilla rekisteröity voi:

Pyytää pääsyä omiin tietoihinsa
Pyytää tietojen oikaisua tai poistamista
Vastustaa tai rajoittaa tietojen käsittelyä
Saada tietonsa siirrettävässä muodossa

Sopimukset henkilötietojen käsittelijöiden kanssa

Solmi kirjalliset käsittelysopimukset kaikkien henkilötietojen käsittelijöiden kanssa, esimerkiksi IT-toimittajat, pilvipalvelut.
Varmista, että käsittelijät noudattavat GDPR:ää.

Tietoturva ja tekniset toimenpiteet

Toteuta tekniset ja organisatoriset suojatoimet, esimerkiksi salaus, pääsynhallinta.
Arvioi riskejä ja dokumentoi suojaustoimenpiteet.
Kouluta henkilöstö tietosuojasta.

Tietotilinpäätös ja dokumentointi

Laadi käsittelytoimien rekisteri, jos:
Organisaatio on yli 250 henkilöä, tai
Käsitellään arkaluonteisia tietoja tai tietojen käsittely ei ole satunnaista.
Säilytä todisteet siitä, että GDPR:n vaatimukset täyttyvät (ns. osoitusvelvollisuus).

Tietoturvaloukkauksiin varautuminen

Laadi toimintamalli tietoturvaloukkausten tunnistamiseen ja ilmoittamiseen.
Ilmoita loukkauksista tietosuojaviranomaiselle 72 tunnin sisällä, jos se todennäköisesti vaarantaa rekisteröidyn oikeudet.
Ilmoita rekisteröidyille, jos loukkaus aiheuttaa korkean riskin.

Tietosuojaa koskeva vaikutustenarviointi (DPIA)

Arvioi etukäteen vaikutukset, jos käsitellään erityisen riskialttiita tietoja (esim. henkilöseuranta, arkaluonteiset tiedot).
Toteuta DPIA ja dokumentoi se asianmukaisesti.

Tietosuojavastaavan nimittäminen

Arvioi, onko yrityksellä velvollisuus nimittää tietosuojavastaava (DPO):
Jos käsittelyä suorittaa julkinen toimija.
Jos henkilötietojen käsittely on laajamittaista ja järjestelmällistä.
Ilmoita tietosuojavastaavan yhteystiedot rekisteröidyille ja valvontaviranomaiselle.

Rekisterinpitäjä joutuu käytännössä itse toteuttamaan sisäistä valvontaa ja varmistamaan, että henkilötietojen käsittely täyttää säädösten vaatimukset. Tämä itseohjautuva valvontamalli on johtanut tilanteeseen, jossa laadullisesti samansisältöisiä rekisterisovelluksia suojaavat hyvin erilaiset tekniset ja organisatoriset toimenpiteet eri organisaatioissa. Yhtenäisiä käytäntöjä ei ole, ja tietoturvan taso vaihtelee sen mukaan, miten rekisterinpitäjä on tulkinnut velvollisuutensa tai priorisoinut tietosuojaa suhteessa muihin tavoitteisiin. Tämä luo paitsi epäjohdonmukaisuutta, myös riskejä rekisteröityjen oikeuksien toteutumiselle.

Vastuu ei rajoitu vain rekisterinpitäjän omiin toimiin, vaan se ulottuu kaikkiin rekisterinkäyttäjiin eli henkilöihin ja tahoihin, joille rekisterinpitäjä on antanut pääsyn henkilötietoihin. GDPR:n ja kansallisen sääntelyn mukaan rekisterinpitäjä vastaa myös muiden tekemästä lainvastaisesta henkilötietojen käsittelystä kuin omastaan. Tämä korostaa velvollisuutta huolellisesti valvoa ja ohjeistaa rekisterinkäyttäjiä sekä teknisesti rajoittaa käyttöoikeuksia tarpeen mukaan.

Rekisterinpitäjän on ymmärrettävä vastuunsa kokonaisvaltaisesti. Pelkkä tietosuojaselosteen laatiminen tai tietojärjestelmän käyttöönotto ei riitä, vaan tarvitaan jatkuvaa arviointia, ohjeistusta ja tietoturvakäytäntöjen kehittämistä. Vastuullinen rekisterinpitäjä toimii ennakoivasti, arvioi riskejä systemaattisesti ja rakentaa organisaation sisälle kulttuurin, jossa tietosuoja on osa päivittäistä toimintaa.