Tietosuoja
Aiheet > Tietosuoja
Tietosuoja
Henkilötiedot ovat nykyisessä liiketoiminnassa lähes kaikkialla. Yritys käsittelee asiakkaiden, työntekijöiden, työnhakijoiden, yhteistyökumppaneiden, verkkopalvelujen käyttäjien ja muiden sidosryhmien tietoja. Henkilötietoja syntyy sopimuksista, laskutuksesta, asiakaspalvelusta, kulunvalvonnasta, verkkosivujen käytöstä, markkinoinnista, työajanseurannasta, sähköpostista, lokitiedoista, mobiilisovelluksista ja lukuisista muista lähteistä.
Tietosuojan merkitys kasvaa sitä mukaa, kun tietoja voidaan käsitellä laajemmassa mittakaavassa ja yhdistää aikaisempaa tehokkaammin. Yksittäinen nimi, sähköpostiosoite tai verkkotunniste ei välttämättä vaikuta arkaluonteiselta. Kun tietoja yhdistetään ostohistoriaan, sijaintitietoihin, käyttäytymiseen, terveystietoihin, taloudelliseen asemaan tai henkilön sosiaalisiin suhteisiin, voidaan muodostaa erittäin yksityiskohtainen kuva hänen elämästään.
Tietosuojan tarkoituksena ei ole estää henkilötietojen käyttöä tai digitalisaatiota. Se asettaa henkilötietojen käsittelylle oikeudelliset ja eettiset rajat. Tietoja saa käyttää, kun käsittelylle on hyväksyttävä peruste, käyttötarkoitus on määritelty, tietoja käsitellään vain tarpeellisessa laajuudessa ja henkilön oikeudet turvataan.
Tietosuojaperiaatteet
Tietosuoja-asetusta sovelletaan automaattiseen henkilötietojen käsittelyyn sekä henkilötietojen käsittelyyn silloin, kun henkilötiedot muodostavat rekisterin osan. Rekisterinpitäjällä tulee olla kokonaiskuva henkilötietojen käsittelyn nykytilasta mm. siitä mitä henkilötietoja se käsittelee ja miten tietosuojaperiaatteet on huomioitu. Rekisterinpitäjän keskeisiä tietosuojaperiaatteita ovat:
- käsittelyn lainmukaisuus, kohtuullisuus ja läpinäkyvyys
- käyttötarkoitussidonnaisuus
- tietojen minimointi
- tietojen täsmällisyys
- tietojen säilytyksen rajoittaminen
- tietojen eheys ja luottamuksellisuus
- rekisterinpitäjän osoitusvelvollisuus.
Mitä tietosuoja tarkoittaa?
Tietosuoja tarkoittaa henkilötietojen käsittelyä koskevien oikeuksien, periaatteiden, vastuiden ja menettelyjen kokonaisuutta. Sen kohteena ei ole pelkästään tieto, vaan ennen kaikkea ihminen, jota tieto koskee.
EU yleisen tietosuoja-asetuksen mukaan henkilötieto on mikä tahansa tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvä tieto. Henkilö voidaan tunnistaa suoraan esimerkiksi nimen tai henkilötunnuksen perusteella tai välillisesti esimerkiksi sijaintitietojen, verkkotunnisteen, käyttäytymisen tai henkilön fyysistä, psyykkistä, taloudellista, kulttuurista tai sosiaalista identiteettiä kuvaavien tietojen avulla. Henkilötietojen käsittelyksi katsotaan muun muassa tietojen kerääminen, tallentaminen, käyttäminen, tarkasteleminen, yhdistäminen, luovuttaminen, rajoittaminen, poistaminen ja tuhoaminen.
Tietosuoja ei koske ainoastaan salaisia tai arkaluonteisia tietoja. Myös julkisista lähteistä saatavat nimi-, yhteys-, ammatti- ja kuvatiedot voivat olla henkilötietoja. Tiedon julkisuus ei vapauta rekisterinpitäjää käyttötarkoituksen, käsittelyperusteen, läpinäkyvyyden tai muiden tietosuojaperiaatteiden noudattamisesta.
Tietosuoja ei myöskään ole sama asia kuin yksityisyyden suoja. Yksityisyyden suoja on laajempi perus- ja ihmisoikeus, joka kattaa esimerkiksi yksityiselämän, kodin, kunnian, henkilökohtaisen koskemattomuuden ja luottamuksellisen viestinnän. Tietosuoja keskittyy siihen, millä edellytyksillä ihmistä koskevia henkilötietoja voidaan käsitellä.
Tietosuoja on yksi keskeinen keino yksityisyyden ja muiden perusoikeuksien toteuttamiseksi, mutta tietosuojasääntely voi tulla sovellettavaksi myös silloin, kun käsiteltävää tietoa ei tavallisessa kielenkäytössä pidetä yksityisenä.
Tietosuoja on perusoikeus
EU yleisen tietosuoja-asetuksen lähtökohtana on, että henkilötietojen suoja on perusoikeus. Asetuksen tavoitteena on suojata luonnollisten henkilöiden perusoikeuksia ja vapauksia, erityisesti oikeutta henkilötietojen suojaan. Samalla asetuksella turvataan henkilötietojen vapaa liikkuvuus Euroopan unionissa.
Tämä kaksijakoinen tavoite on tärkeä. Tietosuojasääntely ei pyri pysäyttämään tietojen liikkumista, digitaalista kaupankäyntiä tai palvelujen kehittämistä. Se pyrkii varmistamaan, että henkilötietojen käyttö tapahtuu yhdenmukaisten sääntöjen perusteella ja ihmisten oikeuksia kunnioittaen.
Tietosuoja liittyy ihmisarvoon, itsemääräämiseen ja oikeusturvaan. Henkilöstä kerätyt tiedot voivat vaikuttaa hänen mahdollisuuksiinsa saada työpaikka, vakuutus, luotto, asunto, hoitoa tai muita palveluja. Tiedot voivat vaikuttaa siihen, millaista mainontaa henkilölle näytetään, millaisia hintoja hänelle tarjotaan tai miten hänen luotettavuuttaan, terveydentilaansa tai käyttäytymistään arvioidaan.
Virheellisesti, puutteellisesti tai asiayhteydestään irrotettuna käytetty henkilötieto voi johtaa henkilön kannalta vakaviin seurauksiin. Tietosuoja antaa ihmiselle oikeuden saada tietoa käsittelystä, tarkastaa itseään koskevat tiedot, korjata virheitä ja käyttää oikeussuojakeinoja.
GDPR ja kansallinen tietosuojalaki
EU yleinen tietosuoja-asetus eli GDPR muodostaa henkilötietojen käsittelyn keskeisen oikeudellisen perustan Euroopan unionissa. Asetusta on sovellettu 25.5.2018 alkaen, ja sitä sovelletaan jäsenvaltioissa suoraan.
Suomessa GDPR:ää täydentää tietosuojalaki 1050/2018. Tietosuojalaki ei korvaa GDPR:ää eikä muodosta siitä erillistä rinnakkaista järjestelmää. Sen tehtävänä on käyttää asetuksessa jäsenvaltioille jätettyä kansallista liikkumavaraa sekä säätää esimerkiksi kansallisesta valvontaviranomaisesta, henkilötunnuksen käsittelystä ja eräistä erityisistä henkilötietojen käsittelytilanteista.
Henkilötietojen käsittelyä säännellään myös lukuisissa erityislaeissa. Erityissääntelyä on esimerkiksi työelämässä, terveydenhuollossa, sosiaalihuollossa, pankki- ja vakuutustoiminnassa, sähköisessä viestinnässä, rikosasioissa ja viranomaisten tiedonhallinnassa.
Organisaation on siksi tunnistettava GDPR ja tietosuojalain lisäksi omaa toimialaansa koskeva erityislainsäädäntö. Pelkkä yleisen tietosuoja-asetuksen tunteminen ei välttämättä riitä arvioimaan henkilötietojen käsittelyn lainmukaisuutta.
Lapsen suostumus tietoyhteiskunnan palveluissa
GDPR lähtökohtana on, että lapsi voi itse antaa suostumuksen suoraan hänelle tarjottavaan tietoyhteiskunnan palveluun 16 vuotta täytettyään. Asetus antaa jäsenvaltioille mahdollisuuden säätää alemmasta ikärajasta, joka ei kuitenkaan saa olla alle 13 vuotta.
Suomessa ikärajaksi on tietosuojalaissa säädetty 13 vuotta. Tämä tarkoittaa, että vähintään 13-vuotias lapsi voi lähtökohtaisesti itse antaa tietosuoja-asetuksessa tarkoitetun suostumuksen suoraan hänelle tarjottavan tietoyhteiskunnan palvelun yhteydessä.
Ikäraja ei kuitenkaan tarkoita sitä, että kaikkien 13 vuotta täyttäneiden tietoja voitaisiin käsitellä samoin ehdoin kuin aikuisten tietoja. Lapset tarvitsevat erityistä suojaa, koska he eivät välttämättä tunnista henkilötietojen käsittelyyn, profilointiin ja kaupalliseen vaikuttamiseen liittyviä riskejä yhtä hyvin kuin aikuiset.
Lapsille annettavan tietosuojainformaation on oltava ymmärrettävää, selkeää ja lapsen ikätasoon sopivaa. Organisaation on myös arvioitava, onko suostumus todella vapaaehtoinen ja ymmärtääkö lapsi, mihin hän on suostumassa.
Tietosuojan keskeiset periaatteet
Tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyn perusperiaatteista. Ne ohjaavat kaikkea henkilötietojen käsittelyä tietojen keräämisestä niiden poistamiseen. Periaatteita ovat:
- lainmukaisuus, kohtuullisuus ja läpinäkyvyys
- käyttötarkoitussidonnaisuus
- tietojen minimointi
- tietojen täsmällisyys
- säilytyksen rajoittaminen
- eheys ja luottamuksellisuus
- osoitusvelvollisuus.
Rekisterinpitäjä vastaa periaatteiden noudattamisesta ja sen on pystyttävä myös osoittamaan niiden toteutuminen.
Lainmukaisuus, kohtuullisuus ja läpinäkyvyys
Henkilötietojen käsittelylle on oltava oikeusperuste. Tietoja ei saa käsitellä pelkästään siksi, että ne ovat saatavilla, hyödyllisiä tai teknisesti helposti kerättävissä.
Käsittelyn on oltava rekisteröidyn kannalta kohtuullista. Henkilötietoja ei saa käyttää harhaanjohtavalla, syrjivällä tai henkilön perusteltujen odotusten vastaisella tavalla.
Läpinäkyvyys tarkoittaa, että rekisteröidylle kerrotaan selkeästi, kuka tietoja käsittelee, mitä tietoja kerätään, mistä ne saadaan, mihin niitä käytetään, kenelle niitä luovutetaan ja kuinka pitkään niitä säilytetään.
Tietosuojailmoituksen julkaiseminen ei yksin riitä, jos organisaation todellinen toiminta poikkeaa ilmoitetusta tai jos selvitys on kirjoitettu niin vaikeaselkoisesti, ettei tavallinen ihminen ymmärrä käsittelyn merkitystä.
Käyttötarkoitussidonnaisuus
Henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten. Tietoja ei lähtökohtaisesti saa myöhemmin käyttää tavalla, joka on ristiriidassa alkuperäisen käyttötarkoituksen kanssa.
Esimerkiksi asiakaspalvelun hoitamista varten kerättyjä yhteystietoja ei voida automaattisesti käyttää profilointiin, ulkopuolisille luovutettavaan markkinointiin tai työntekijöiden suorituksen arviointiin.
Käyttötarkoituksen on oltava riittävän täsmällinen. Ilmaisut kuten ”liiketoiminnan kehittäminen”, ”turvallisuus” tai ”palvelujen parantaminen” eivät välttämättä yksin kerro, mitä tiedoilla käytännössä tehdään.
Käyttötarkoitussidonnaisuus ei anna yrityksen koko henkilöstölle oikeutta käsitellä henkilötietoja.
Käyttötarkoitussidonnaisuus tarkoittaa, että henkilötiedot kerätään ennalta määriteltyyn, nimenomaiseen ja lainmukaiseen tarkoitukseen, eikä niitä saa käyttää myöhemmin tämän tarkoituksen kanssa yhteensopimattomalla tavalla. Se siis vastaa kysymykseen: mihin tietoja saa käyttää?
Eri kysymys on se, kuka saa käsitellä tietoja. Henkilötietoja saavat käsitellä vain ne työntekijät, joiden työtehtävät sitä edellyttävät, ja vain siinä laajuudessa kuin tehtävä edellyttää. Tietosuojavaltuutetun toimisto toteaa nimenomaisesti, että työnantajan on määriteltävä, keillä on työtehtäviensä vuoksi oikeus käsitellä työntekijöiden henkilötietoja. Esimerkiksi:
- palkanlaskija voi käsitellä palkka- ja verotietoja
- esihenkilö voi käsitellä alaistensa työn johtamiseen tarvittavia tietoja
- IT-ylläpitäjällä voi olla teknisiä käyttöoikeuksia, mutta se ei oikeuta tutkimaan tietoja uteliaisuudesta
- myyntihenkilöstö voi käsitellä omien asiakkaidensa yhteystietoja
- koko henkilöstölle ei kuulu pääsy palkka-, terveydentila-, asiakas- tai rekrytointitietoihin.
Vaikka yritys olisi määritellyt tietojen käyttötarkoitukseksi esimerkiksi henkilöstöhallinnon, se ei tarkoita, että jokainen työntekijä saisi avata henkilöstörekisterin. Käyttöoikeudet on rajattava tehtäväkohtaisesti vähimpien oikeuksien periaatteen mukaisesti.
Tietojen minimointi
Organisaation tulee käsitellä vain sellaisia henkilötietoja, jotka ovat asianmukaisia, olennaisia ja tarpeellisia määritellyn käyttötarkoituksen kannalta.
Tietoja ei pidä kerätä varmuuden vuoksi. Mahdollinen tuleva hyöty ei ole riittävä peruste säilyttää kaikkia saatavilla olevia tietoja.
Tietojen minimointi vähentää samalla tietoturvariskejä. Tietoa, jota ei ole kerätty tai joka on poistettu asianmukaisesti, ei voida varastaa, käyttää väärin tai luovuttaa vahingossa.
Täsmällisyys
Henkilötietojen on oltava oikeita ja tarvittaessa ajantasaisia. Rekisterinpitäjän on toteutettava kohtuulliset toimenpiteet virheellisten tietojen korjaamiseksi tai poistamiseksi.
Täsmällisyys on erityisen tärkeää silloin, kun tietojen perusteella tehdään henkilöä koskevia päätöksiä. Virheellinen luottotieto, terveystieto, henkilöstötieto tai turvallisuusarvio voi vaikuttaa merkittävästi henkilön oikeuksiin ja mahdollisuuksiin.
Säilytyksen rajoittaminen
Henkilötietoja saa säilyttää tunnistettavassa muodossa vain niin kauan kuin käyttötarkoitus edellyttää. Organisaation on määriteltävä säilytysajat ja käytännöt tietojen poistamiseksi, anonymisoimiseksi tai asianmukaiseksi arkistoimiseksi.
Tietojen säilyttäminen ”toistaiseksi” tai ”mahdollista myöhempää tarvetta varten” ei yleensä täytä säilytyksen rajoittamisen vaatimusta.
Säilytysajan päättyminen ei saa olla vain ohjeessa oleva tavoite. Organisaatiolla on oltava toimiva tekninen ja hallinnollinen menettely, jolla tiedot todella poistetaan kaikista olennaisista järjestelmistä ja tallennuspaikoista.
Eheys ja luottamuksellisuus
Henkilötiedot on suojattava luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta ja vahingoittumiselta.
Suojaaminen edellyttää sekä teknisiä että organisatorisia toimenpiteitä. Teknisiä toimenpiteitä ovat esimerkiksi salaus, monivaiheinen tunnistautuminen, varmuuskopiointi, verkkosegmentointi ja tietoturvapäivitykset. Organisatorisia toimenpiteitä ovat esimerkiksi vastuiden määrittely, käyttövaltuushallinta, koulutus, valvonta ja poikkeamien hallinta.
Käsittelyn oikeusperuste
Henkilötietojen käsittely on lainmukaista vain, jos sille on vähintään yksi GDPR 6 artiklassa tarkoitettu oikeusperuste. Perusteita ovat:
- rekisteröidyn suostumus
- sopimuksen täytäntöönpano
- rekisterinpitäjän lakisääteisen velvoitteen noudattaminen
- elintärkeän edun suojaaminen
- yleistä etua koskevan tehtävän tai julkisen vallan käyttäminen
- rekisterinpitäjän tai kolmannen osapuolen oikeutettu etu.
Oikeusperustetta ei pidä valita jälkikäteen vain käsittelyn oikeuttamiseksi. Peruste on määriteltävä ennen käsittelyn aloittamista, ja sen tulee vastata toiminnan todellista tarkoitusta.
Suostumus on vain yksi käsittelyperuste. Sitä ei pidä käyttää tilanteessa, jossa henkilö ei voi aidosti kieltäytyä tai peruuttaa suostumustaan ilman haitallisia seurauksia.
Sopimusperuste puolestaan kattaa vain käsittelyn, joka on objektiivisesti tarpeen sopimuksen toteuttamiseksi. Yritys ei voi sisällyttää sopimusehtoihin mitä tahansa henkilötietojen käyttöä ja väittää kaiken käsittelyn olevan sopimuksen kannalta välttämätöntä.
Oikeutetun edun käyttäminen edellyttää tasapainotestiä. Organisaation on tunnistettava tavoiteltu etu, arvioitava käsittelyn tarpeellisuus ja punnittava sitä suhteessa rekisteröidyn oikeuksiin ja odotuksiin.
Erityiset henkilötietoryhmät
Tietyt henkilötiedot voivat aiheuttaa väärinkäytettyinä erityisen vakavia riskejä. GDPR erityisiin henkilötietoryhmiin kuuluvat esimerkiksi tiedot, joista ilmenee henkilön:
- rotu tai etninen alkuperä
- poliittinen mielipide
- uskonnollinen tai filosofinen vakaumus
- ammattiliiton jäsenyys
- geneettiset ominaisuudet
- biometrinen tunnistaminen
- terveydentila
- seksuaalinen käyttäytyminen tai suuntautuminen.
Näiden tietojen käsittely on lähtökohtaisesti kiellettyä, ellei käsittelylle ole GDPR määriteltyä poikkeusperustetta.
Erityisten henkilötietojen käsittely edellyttää tavallista huolellisempaa suunnittelua, rajoitettuja käyttöoikeuksia, tarkkaa lokitusta ja usein myös tietosuojaa koskevaa vaikutustenarviointia.
Osoitusvelvollisuus ja rekisterinpitäjän vastuu
Osoitusvelvollisuus on yksi GDPR merkittävimmistä periaatteista. Rekisterinpitäjän on paitsi noudatettava tietosuojasääntelyä myös pystyttävä osoittamaan noudattaminen.
Tietosuoja-asetuksen 24 artiklan mukaan rekisterinpitäjän on toteutettava käsittelyn luonne, laajuus, asiayhteys, tarkoitukset ja riskit huomioon ottavat asianmukaiset tekniset ja organisatoriset toimenpiteet. Toimenpiteitä on myös tarkistettava ja päivitettävä tarvittaessa. Osoitusvelvollisuus voi käytännössä edellyttää esimerkiksi:
- henkilötietojen käsittelytoimien kartoitusta
- käsittelyperusteiden dokumentointia
- selosteita käsittelytoimista
- tietosuojapolitiikkoja ja ohjeita
- käyttöoikeus- ja lokikäytäntöjä
- vaikutustenarviointeja
- henkilöstön koulutuksen dokumentointia
- sopimuksia henkilötietojen käsittelijöiden kanssa
- tietoturvatestauksia
- poikkeamien ja tietoturvaloukkausten dokumentointia.
Osoitusvelvollisuus siirtää tietosuojan painopistettä jälkikäteisestä selittelystä ennakoivaan hallintaan. Organisaation on pystyttävä ennen ongelmatilannetta osoittamaan, että riskit on tunnistettu ja hallintatoimet on suunniteltu.
Taloudelliset resurssit eivät poista tietosuojavastuuta
Organisaation pieni koko, heikko taloudellinen tilanne, kiire tai henkilöstöpula eivät poista lakisääteisiä tietosuojavelvoitteita.
GDPR otetaan kuitenkin huomioon riskiperusteisuus ja suhteellisuus. Tietoturvatoimenpiteitä arvioitaessa huomioidaan muun muassa käytettävissä oleva teknologia, toteuttamiskustannukset, käsittelyn luonne ja rekisteröidyille aiheutuvat riskit. Tämä tarkoittaa, ettei jokaiselta pienyritykseltä edellytetä samoja järjestelmiä kuin kansainväliseltä terveydenhuolto- tai finanssikonsernilta.
Toteuttamiskustannusten huomioon ottaminen ei kuitenkaan tarkoita oikeutta jättää velvollisuudet hoitamatta. Kustannukset vaikuttavat siihen, millä tavalla asianmukainen suoja toteutetaan, eivät siihen, toteutetaanko sitä lainkaan. Rekisterinpitäjän on aina saavutettava käsittelyn riskeihin nähden asianmukainen turvallisuustaso.
EU-tuomioistuin on korostanut, että asianmukaisuutta arvioidaan konkreettisesti. Arvioinnissa tarkastellaan toimenpiteiden sisältöä, toteutusta ja käytännön vaikutuksia. Rekisterinpitäjän on myös pystyttävä näyttämään, että sen toteuttamat turvallisuustoimenpiteet olivat käsittelyn riskeihin nähden asianmukaisia.
Yrityksen johdon tehtävänä on siten varmistaa, että tietosuojan toteuttamiseen osoitetaan toiminnan riskeihin nähden riittävät taloudelliset, tekniset ja henkilöstöresurssit.
Resurssien puute ei ole tietosuojan laiminlyönnin puolustus. Se voi päinvastoin osoittaa, ettei organisaation johto ole järjestänyt lakisääteisten velvoitteiden hoitamista asianmukaisesti.
Sisäänrakennettu ja oletusarvoinen tietosuoja
Tietosuoja-asetuksen 25 artikla velvoittaa huomioimaan tietosuojan jo käsittelytapojen ja järjestelmien suunnittelussa. Tätä kutsutaan sisäänrakennetuksi tietosuojaksi eli privacy by design -periaatteeksi.
Oletusarvoinen tietosuoja puolestaan tarkoittaa, että palvelun tai järjestelmän oletusasetukset rajoittavat henkilötietojen käsittelyn vain siihen, mikä on määriteltyä tarkoitusta varten tarpeellista. Velvollisuus koskee kerättävien tietojen määrää, käsittelyn laajuutta, säilytysaikaa ja tietojen saatavuutta. Sisäänrakennettu tietosuoja voi käytännössä tarkoittaa esimerkiksi sitä, että:
- palvelu ei kerää tarpeettomia tietoja
- yksityisyyttä suojaavat asetukset ovat oletuksena käytössä
- käyttöoikeudet perustuvat työtehtäviin
- säilytysajat voidaan toteuttaa automaattisesti
- henkilötiedot salataan tai pseudonymisoidaan
- kehitys- ja testiympäristöissä ei käytetä tarpeettomasti oikeita henkilötietoja
- järjestelmä tuottaa riittävät lokitiedot
- tietojen poistaminen on teknisesti mahdollista.
Tietosuojan siirtäminen projektin loppuvaiheeseen johtaa usein kalliisiin muutoksiin tai siihen, ettei vaatimuksia pystytä enää toteuttamaan asianmukaisesti. Järjestelmän perusrakenne voi esimerkiksi estää tietojen erottelun, poistamisen tai käyttöoikeuksien riittävän rajaamisen.
Tietosuoja- ja tietoturvavaatimukset on siksi sisällytettävä projektin tavoitteisiin, hankintavaatimuksiin, arkkitehtuuriin, testaussuunnitelmiin ja hyväksymiskriteereihin alusta lähtien.
Tietosuoja ja tietoturva
Tietosuoja ja tietoturva liittyvät toisiinsa mutta eivät tarkoita samaa asiaa. Tietosuoja määrittää, miksi, mihin tarkoitukseen ja millä edellytyksillä henkilötietoja saa käsitellä. Tietoturva tarkoittaa tietojen, järjestelmien ja palvelujen suojaamista luvattomalta käytöltä, muuttamiselta, häviämiseltä, tuhoutumiselta ja toiminnan keskeytymiseltä.
Teknisesti erittäin turvallinen järjestelmä voi silti olla tietosuojan vastainen, jos siihen kerätään tarpeettomia tietoja, käsittelylle ei ole oikeusperustetta tai tietoja käytetään ilmoitetusta poikkeavaan tarkoitukseen.
Vastaavasti lainmukaisesti kerättävät henkilötiedot eivät ole asianmukaisesti suojattuja, jos käyttöoikeudet ovat liian laajat, järjestelmiä ei päivitetä tai tietoja lähetetään suojaamattomina.
GDPR 32 artiklassa tietoturvallisuus ymmärretään jatkuvana prosessina. Organisaation on pystyttävä varmistamaan järjestelmien luottamuksellisuus, eheys, käytettävyys ja häiriönsietokyky, palauttamaan tietojen saatavuus häiriötilanteessa sekä testaamaan ja arvioimaan suojaustoimenpiteiden tehokkuutta säännöllisesti.
Käyttövaltuushallinta ja vähimpien oikeuksien periaate
Puutteellinen käyttövaltuushallinta on yksi tavallisimmista henkilötietojen käsittelyn riskeistä. Käyttöoikeuksia saatetaan myöntää liian laajasti, niitä ei tarkisteta tehtävien muuttuessa tai niitä ei poisteta työsuhteen päättyessä.
Käyttöoikeuksien tulee perustua todelliseen työtehtävään ja vähimpien oikeuksien periaatteeseen. Työntekijälle annetaan vain ne oikeudet, joita hän tarvitsee tehtäviensä hoitamiseen. Organisaatiolla tulisi olla menettely käyttöoikeuksien:
- hakemiseen
- hyväksymiseen
- myöntämiseen
- muuttamiseen
- määräaikaiseen tarkastamiseen
- poistamiseen
- poikkeamien valvontaan.
Erityisen arkaluonteisten tai laajojen tietovarantojen käyttöoikeuksia ei pidä myöntää pelkästään organisaatioaseman tai teknisen pääkäyttäjäroolin perusteella. Myös ylläpito- ja tukihenkilöstön oikeudet on rajattava ja niiden käyttöä valvottava.
Lokitiedot ja käytön valvonta
Lokitiedot ovat keskeinen osa tietoturvallisuutta ja osoitusvelvollisuutta. Niiden avulla voidaan selvittää, kuka on käsitellyt henkilötietoja, milloin käsittely tapahtui ja mitä tietoja on tarkasteltu tai muutettu.
Pelkkä lokien kerääminen ei kuitenkaan riitä. Jos lokitietoja ei seurata, analysoida tai käytetä poikkeamien selvittämiseen, niiden turvallisuusarvo jää vähäiseksi. Organisaation on määriteltävä:
- mitä tapahtumia lokitetaan
- missä muodossa lokit säilytetään
- kuinka kauan niitä säilytetään
- kuka saa tarkastella niitä
- miten poikkeamat tunnistetaan
- milloin lokitarkastus käynnistetään
- miten väärinkäytösepäilyt tutkitaan.
Lokitiedot ovat itsekin henkilötietoja, jos niistä voidaan tunnistaa käyttäjä. Niiden käsittelyn on siksi oltava lainmukaista, tarkoitussidonnaista ja suojattua.
Lokivalvonnan tarkoituksena ei ole muodostaa jatkuvaa ja perusteetonta henkilöstön valvontaa. Sen tulee kohdistua tietojärjestelmien turvallisuuteen, käyttöoikeuksien asianmukaisuuteen ja väärinkäytösten havaitsemiseen.
Henkilötunnuksen käsittely
Henkilötunnus on vahva yksilöintitunnus, jonka käsittelystä säädetään Suomessa erikseen. GDPR 87 artikla antaa jäsenvaltioille mahdollisuuden säätää kansallisen henkilötunnuksen käytöstä tarkemmin.
Tietosuojalain 29 §ä määritellään tilanteet, joissa henkilötunnusta voidaan käsitellä. Käsittely voi olla sallittua esimerkiksi silloin, kun henkilön yksiselitteinen yksilöiminen on tärkeää rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi. Henkilötunnusta voidaan käsitellä myös erikseen säädetyillä toimialoilla ja tehtävissä.
Oikeus käsitellä henkilötunnusta ei tarkoita, että tunnus pitäisi merkitä näkyviin kaikkiin asiakirjoihin, laskuihin, sähköposteihin tai käyttäjätunnuksiin.
Henkilötunnusta ei tule käyttää yleisenä tunnistautumiskeinona tai salasanana. Henkilötunnuksen tietäminen ei todista, että henkilö on se, joka hän väittää olevansa.
Tarpeeton henkilötunnusten käyttö lisää väärinkäytösten, identiteettivarkauksien ja tietovuotojen vaikutuksia. Organisaation tulisi arvioida erikseen:
- tarvitaanko henkilötunnusta todella
- voidaanko henkilö yksilöidä muulla tavalla
- missä järjestelmissä tunnus säilytetään
- kenellä on pääsy tunnukseen
- missä muodossa tunnus näkyy asiakirjoissa
- voidaanko tunnus peittää tai korvata sisäisellä tunnisteella.
Rekisteröidyn oikeudet
Tietosuoja tekee ihmisestä aktiivisen oikeuksien haltijan. Rekisteröidyllä on oikeus saada tietoa henkilötietojensa käsittelystä ja käyttää sääntelyssä määriteltyjä oikeuksia. Rekisteröidyllä voi olla oikeus:
- tarkastaa itseään koskevat henkilötiedot
- vaatia virheellisten tietojen oikaisemista
- pyytää tietojen poistamista
- rajoittaa käsittelyä
- vastustaa käsittelyä
- siirtää itse toimittamansa tiedot järjestelmästä toiseen
- peruuttaa suostumuksensa
- saada tietoa automaattisesta päätöksenteosta
- tehdä kantelu valvontaviranomaiselle.
Oikeudet eivät ole kaikissa tilanteissa ehdottomia. Niiden soveltuminen riippuu käsittelyperusteesta, käyttötarkoituksesta ja mahdollisesta erityislainsäädännöstä.
Esimerkiksi tietojen poistamista ei voida vaatia, jos organisaation on säilytettävä tiedot lakisääteisen velvoitteen, kirjanpidon tai oikeusvaateen vuoksi. Organisaation on kuitenkin pystyttävä perustelemaan, miksi oikeutta ei voida toteuttaa.
Rekisteröidyn oikeuksien käsittely ei saa jäädä yksittäisen työntekijän muistin varaan. Organisaatiolla tulee olla vastuut, määräajat, tunnistamismenettelyt ja dokumentoidut prosessit pyyntöjen käsittelemiseksi.
Tietosuojavastaava
Tietosuojavastaava on riippumaton asiantuntija, jonka tehtävänä on tukea organisaatiota tietosuojasääntelyn noudattamisessa, neuvoa henkilöstöä ja johtoa, seurata vaatimusten toteutumista sekä toimia yhteyspisteenä rekisteröidyille ja valvontaviranomaiselle.
Tietosuojavastaava on nimettävä muun muassa julkisissa organisaatioissa sekä silloin, kun organisaation ydintoiminta muodostuu laajamittaisesta ja säännöllisestä henkilöiden seurannasta tai erityisten henkilötietoryhmien laajamittaisesta käsittelystä.
Tietosuojavastaava ei kuitenkaan ole yksin vastuussa organisaation tietosuojasta. Rekisterinpitäjän vastuu säilyy johdolla ja organisaatiolla.
Tietosuojavastaavalle on annettava riittävät resurssit, pääsy käsittelyä koskeviin tietoihin sekä mahdollisuus toimia riippumattomasti. Tietosuojavastaavaa ei pidä asettaa tehtävään, jossa hän samalla määrittää henkilötietojen käsittelyn tarkoitukset ja keinot ja sen jälkeen valvoo omia päätöksiään.
Tietosuojan vaikutustenarviointi
Tietosuojaa koskeva vaikutustenarviointi eli DPIA on tehtävä ennen sellaisen henkilötietojen käsittelyn aloittamista, joka todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Vaikutustenarviointia voidaan tarvita esimerkiksi silloin, kun organisaatio:
- käyttää uusia valvontateknologioita
- tekee laajamittaista profilointia
- käsittelee suuria määriä terveystietoja
- käyttää biometrisiä tunnisteita
- tekee merkittäviä automaattisia päätöksiä
- seuraa henkilöitä järjestelmällisesti
- yhdistää laajoja tietoaineistoja.
Arvioinnissa kuvataan käsittely, arvioidaan sen tarpeellisuus ja oikeasuhtaisuus, tunnistetaan rekisteröityihin kohdistuvat riskit sekä määritellään riskien hallintatoimet.
Vaikutustenarviointi ei ole pelkkä lomake tai hyväksyntäasiakirja. Sen tarkoituksena on vaikuttaa järjestelmän suunnitteluun ja päätökseen siitä, voidaanko käsittely ylipäätään aloittaa suunnitellussa muodossa.
Henkilötietojen tietoturvaloukkaukset
Henkilötietojen tietoturvaloukkaus tarkoittaa turvallisuuden rikkoutumista, jonka seurauksena henkilötietoja tuhoutuu, häviää, muuttuu, luovutetaan luvattomasti tai niihin pääsee oikeudettomasti. Tietoturvaloukkaus voi aiheutua esimerkiksi:
- väärälle vastaanottajalle lähetetystä viestistä
- kadonneesta tietokoneesta
- haittaohjelmasta
- tietomurrosta
- suojaamattomasta palvelimesta
- liian laajoista käyttöoikeuksista
- henkilöstön tekemästä urkinnasta
- virheellisestä ohjelmistomuutoksesta
- vanhasta ja päivittämättömästä järjestelmästä.
Rekisterinpitäjän on ilmoitettava loukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen havaitsemisesta, jos loukkauksesta voi aiheutua riski henkilöiden oikeuksille ja vapauksille. Jos riski on korkea, myös loukkauksen kohteeksi joutuneille henkilöille on yleensä ilmoitettava. Kaikki henkilötietojen tietoturvaloukkaukset on dokumentoitava.
Tietoturvaloukkausten hallinta edellyttää ennalta suunniteltua prosessia. Organisaation on pystyttävä nopeasti kokoamaan tietosuoja-, tietoturva-, johto-, viestintä- ja liiketoimintaosaaminen tilanteen arvioimiseksi.
Ilmoituksen tekeminen ei ole loukkaustilanteen päätavoite. Tärkeintä on rajoittaa vahinkoa, suojata rekisteröityjä ja estää samanlaisen tapahtuman toistuminen.
Tietoturvaloukkausten määrä Suomessa
Vuotta 2023 koskevissa kirjoituksissa on esitetty, että Tietosuojavaltuutetun toimistolle olisi tehty lähes 10 000 tietoturvaloukkausilmoitusta. Tieto ei pidä paikkaansa.
Vuonna 2023 toimistolle tehtiin 6 894 henkilötietojen tietoturvaloukkausilmoitusta. Ilmoitusten määrä oli yli 1 400 suurempi kuin edellisenä vuonna. Eniten ilmoituksia tuli säännellyiltä toimialoilta, kuten sosiaali- ja terveydenhuollosta, finanssisektorilta ja telealalta.
Vuonna 2025 tietoturvaloukkausilmoituksia tehtiin 7 355. Ne muodostivat edelleen Tietosuojavaltuutetun toimiston suurimman yksittäisen asiaryhmän.
Vuonna 2025 noin neljäsosa kaikista vireille tulleista asioista liittyi sosiaali- ja terveydenhuoltoon. Viranomainen nosti esiin erityisesti inhimilliset virheet, vanhentuneet laitteet ja järjestelmät, tarpeettomien tietojen säilyttämisen sekä puutteet henkilötietojen käytön valvonnassa.
Ilmoitusten määrä ei suoraan kerro kaikkien tietoturvaloukkausten määrästä eikä yksin osoita tietosuojan yleistä tasoa. Määrään vaikuttavat digitalisaation lisäksi tietoisuus ilmoitusvelvollisuudesta, organisaatioiden ilmoituskulttuuri ja toimialojen käsittelemien henkilötietojen määrä.
Henkilötiedot kaupallisen hyödyntämisen kohteena
Henkilötiedoilla on huomattavaa kaupallista arvoa. Verkkopalvelut, mainosverkostot, alustatalouden yritykset ja tiedonvälittäjät voivat kerätä tietoja ihmisten kiinnostuksen kohteista, kulutuksesta, sijainnista, sosiaalisista suhteista ja verkkokäyttäytymisestä. Tietoja voidaan käyttää esimerkiksi:
- mainonnan kohdentamiseen
- asiakasryhmien muodostamiseen
- luottoriskien arviointiin
- hintojen yksilöintiin
- käyttäytymisen ennustamiseen
- palvelujen personointiin
- poliittiseen vaikuttamiseen
- petosten havaitsemiseen.
Kaupallinen hyöty ei itsessään muodosta henkilötietojen käsittelyperustetta. Organisaation on pystyttävä tunnistamaan käsittelyn oikeusperuste, informoimaan henkilöä ja noudattamaan käyttötarkoitussidonnaisuutta sekä minimointia.
Erityinen riski syntyy silloin, kun henkilön tiedoista tehdään päätelmiä, joita hän ei ole itse ilmoittanut. Ostosten, sijaintien tai verkkokäyttäytymisen perusteella voidaan päätellä esimerkiksi terveydentilaa, taloudellisia vaikeuksia, vakaumusta tai elämäntilannetta. Päätelty tieto voi olla väärä, mutta sillä voi silti olla todellisia vaikutuksia henkilöön.
Kansainväliset tiedonsiirrot ja kansallinen turvallisuus
Pilvipalvelut, kansainväliset konsernit ja globaalit teknologia-alustat johtavat usein siihen, että henkilötietoja siirretään tai niihin voidaan päästä Euroopan talousalueen ulkopuolelta.
GDPR lähtökohtana on, ettei henkilötietojen suojan taso saa heikentyä siirron vuoksi. Tiedonsiirron on perustuttava esimerkiksi Euroopan komission tietosuojan riittävyyttä koskevaan päätökseen, asianmukaisiin suojatoimiin tai poikkeuksellisesti sovellettavaan erityisperusteeseen.
EU-tuomioistuimen Schrems II -ratkaisu korosti, että tietojen viejän on arvioitava myös vastaanottajamaan lainsäädännön ja viranomaisten tiedonsaantioikeuksien vaikutuksia. Pelkkä sopimus palveluntarjoajan kanssa ei aina riitä, jos vastaanottajamaan viranomaiset voivat päästä tietoihin tavalla, joka ei vastaa EU edellytettyä suojan tasoa.
Kansainvälisillä tiedonsiirroilla voi olla myös yritysturvallisuuteen ja kansalliseen turvallisuuteen liittyviä vaikutuksia. Avainhenkilöitä, turvallisuuskriittistä henkilöstöä tai yhteiskunnan keskeisiä toimijoita koskevien tietojen yhdistäminen voi mahdollistaa painostamisen, kohdistetun vaikuttamisen, henkilötiedustelun tai kiristämisen.
Organisaation on siksi arvioitava tiedonsiirtoja juridisen lainmukaisuuden lisäksi osana toimitusketju-, jatkuvuus- ja turvallisuusriskejä.
Tekoäly, profilointi ja automaattinen päätöksenteko
Tekoälyjärjestelmät voivat analysoida henkilötietoja, tuottaa ennusteita ja muodostaa henkilöistä luokituksia. Niitä voidaan käyttää esimerkiksi rekrytoinnissa, vakuutuksissa, luotonannossa, markkinoinnissa, terveydenhuollossa ja väärinkäytösten tunnistamisessa.
Tietosuojasääntelyä sovelletaan riippumatta siitä, käytetäänkö käsittelyssä tekoälyä, perinteistä ohjelmistoa vai manuaalista arviointia. Teknologia ei muuta henkilötietojen käsittelyn oikeusperusteen, läpinäkyvyyden, minimoinnin tai tietoturvan vaatimuksia. Tietosuojavaltuutetun toimisto on korostanut, ettei tietojen hallintaa ja päätösvaltaa tule antaa tarkoituksettomasti teknologiatoimittajille.
Profiloinnissa arvioidaan henkilön ominaisuuksia, käyttäytymistä, kiinnostuksen kohteita, taloudellista tilannetta, terveyttä, luotettavuutta tai liikkeitä automatisoidun käsittelyn avulla. Organisaation on arvioitava:
- ovatko käytettävät tiedot laadukkaita ja tarpeellisia
- onko järjestelmän käyttötarkoitus läpinäkyvä
- syntyykö syrjiviä tai kohtuuttomia vaikutuksia
- voiko henkilö riitauttaa järjestelmän tuottaman tuloksen
- valvooko ihminen päätöksentekoa aidosti
- edellyttääkö toiminta vaikutustenarviointia.
Tekoäly ei poista ihmisen vastuuta. Rekisterinpitäjä vastaa käsittelyn tarkoituksesta, tiedoista, järjestelmän käyttämisestä ja henkilöihin kohdistuvista seurauksista.
Tietosuojakulttuuri on johdon vastuulla
Tietosuojakulttuuri muodostuu organisaation päivittäisistä valinnoista. Se näkyy siinä, kerätäänkö tietoja varmuuden vuoksi, jaetaanko käyttöoikeuksia liian laajasti, puututaanko väärinkäytöksiin ja uskaltavatko työntekijät ilmoittaa virheistä.
Hyvä tietosuojakulttuuri edellyttää johdon sitoutumista. Johdon tehtävänä on määritellä vastuut, osoittaa resurssit, hyväksyä toimintaperiaatteet ja seurata niiden toteutumista. Tietosuojakulttuuria tukevat:
- selkeät ja ymmärrettävät ohjeet
- tehtäväkohtainen koulutus
- johdon esimerkki
- helposti käytettävät ilmoituskanavat
- poikkeamien avoin käsittely
- säännölliset tarkastukset
- havaittuihin puutteisiin puuttuminen
- tietosuojan huomioiminen hankinnoissa ja kehittämisessä.
Huono tietosuojakulttuuri syntyy usein vähitellen. Yksittäiset poikkeamat hyväksytään kiireen vuoksi, käyttöoikeuksia ei tarkisteta ja järjestelmiin kerääntyy tarpeettomia tietoja. Kun poikkeamisesta tulee normaali käytäntö, organisaatio ei välttämättä enää tunnista toimivansa sääntöjen vastaisesti.
Tällaista toimintaa ei ole juridisesti täsmällistä kutsua organisaation ”hiljaiseksi sopimukseksi”. Hiljainen hyväksyntä ja valvonnan puuttuminen voivat kuitenkin osoittaa organisatorista huolimattomuutta, puutteellista johtamista ja osoitusvelvollisuuden laiminlyöntiä. Seuraamuksia arvioitaessa huomioidaan muun muassa rikkomuksen tahallisuus tai tuottamuksellisuus sekä rekisterinpitäjän vastuun aste.
Tietosuojavaltuutetun toimisto ja valvonta
Suomessa tietosuojalainsäädännön noudattamista valvoo Tietosuojavaltuutetun toimisto. Se on itsenäinen ja riippumaton viranomainen, jonka tehtävänä on turvata ihmisten oikeuksia ja vapauksia henkilötietojen käsittelyssä. Valvontaviranomainen voi esimerkiksi:
- antaa ohjausta ja neuvontaa
- suorittaa tarkastuksia
- käsitellä rekisteröityjen kanteluita
- antaa huomautuksia
- määrätä käsittelytoimet saatettaviksi lainmukaisiksi
- rajoittaa tai kieltää henkilötietojen käsittelyä
- määrätä tietoja poistettaviksi
- määrätä ilmoittamaan tietoturvaloukkauksesta rekisteröidyille
- määrätä hallinnollisia seuraamusmaksuja.
Valvonnan tavoitteena ei ole pelkästään rangaista rikkomuksista. Keskeistä on myös ennaltaehkäistä ongelmia, ohjata organisaatioita ja varmistaa rekisteröityjen oikeuksien käytännön toteutuminen.
Seuraamukset ja vastuu
Tietosuojan laiminlyönnistä voi seurata hallinnollisia, taloudellisia, rikosoikeudellisia ja maineeseen liittyviä seurauksia.
GDPR mukaan vakavimmista rikkomuksista voidaan määrätä hallinnollinen seuraamusmaksu, joka on enintään 20 miljoonaa euroa tai yrityksen osalta neljä prosenttia edeltävän tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi määrä on suurempi.
Seuraamusmaksun ohella organisaatiolle voi olla vakavampaa henkilötietojen käsittelyn keskeyttäminen tai kieltäminen. Jos kriittistä asiakas- tai henkilöstöjärjestelmää ei saa käyttää, liiketoiminta voi häiriintyä merkittävästi.
Rekisteröidyllä on myös oikeus saada korvausta GDPR rikkomisesta aiheutuneesta aineellisesta tai aineettomasta vahingosta.
Tietosuojapoikkeama voi lisäksi johtaa:
- asiakasmenetyksiin
- sopimusrikkomuksiin
- oikeudenkäynteihin
- viranomaisvalvontaan
- liiketoiminnan keskeytymiseen
- henkilöstön luottamuksen heikkenemiseen
- pitkäaikaiseen mainehaittaan.
- Käytännön tietosuojan hallintamalli
Tietosuojan asianmukainen toteuttaminen edellyttää järjestelmällistä hallintamallia.
Ensimmäinen vaihe on henkilötietojen käsittelyn tunnistaminen. Organisaation on tiedettävä, mitä tietoja se käsittelee, missä tiedot sijaitsevat, mistä ne saadaan, mihin niitä käytetään ja kenelle niitä luovutetaan.
Toinen vaihe on lainmukaisuuden arviointi. Jokaiselle käsittelytoimelle on määriteltävä oikeusperuste, käyttötarkoitus, rekisteröityjen ryhmät, tietoryhmät ja säilytysaika.
Kolmas vaihe on riskien arviointi. Organisaation tulee tarkastella vaikutuksia ihmisiin, ei vain omaa liiketoimintariskiään. Riskin vakavuuteen vaikuttavat esimerkiksi tietojen arkaluonteisuus, käsittelyn laajuus, rekisteröityjen haavoittuva asema ja väärinkäytön mahdolliset seuraukset.
Neljäs vaihe on hallintatoimien toteuttaminen. Näitä ovat muun muassa käyttöoikeuksien rajaaminen, salaus, lokitus, koulutus, tietojen minimointi, varmuuskopiointi ja poikkeamien hallinta.
Viides vaihe on seuranta. Tietosuoja ei ole kertaluonteinen projekti. Järjestelmiä, riskejä, lainsäädäntöä ja liiketoimintaa on arvioitava jatkuvasti.
Organisaation johdolle tulisi raportoida vähintään:
- merkittävät tietosuojariskit
- tietoturvaloukkaukset
- rekisteröityjen oikeuksia koskevat pyynnöt
- poikkeamat ja korjaustoimet
- vaikutustenarvioinnit
- koulutusten toteutuminen
- palveluntarjoajiin liittyvät riskit
- tarkastusten ja auditointien tulokset.
- Tietosuoja osana yritysturvallisuutta
Tietosuoja liittyy lähes kaikkiin yritysturvallisuuden osa-alueisiin.
Tietoturvallisuudessa suojataan henkilötietoja ja järjestelmiä. Henkilöstöturvallisuudessa käsitellään työntekijöiden tietoja, käyttöoikeuksia ja luotettavuutta. Toimitilaturvallisuudessa syntyy kulunvalvonta- ja kameratietoja. Rikosturvallisuudessa käsitellään epäilyihin, tutkintoihin ja väärinkäytöksiin liittyviä henkilötietoja. Jatkuvuudenhallinnassa varmistetaan henkilötietoja sisältävien palvelujen käytettävyys häiriötilanteissa.
Tietosuoja liittyy myös sopimusturvallisuuteen. Yritys voi ulkoistaa henkilötietojen käsittelyä, mutta se ei voi ulkoistaa rekisterinpitäjän vastuutaan.
Rekisterinpitäjän on käytettävä vain sellaisia henkilötietojen käsittelijöitä, jotka antavat riittävät takeet asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamisesta.
Palveluntarjoajien arvioinnissa tulisi tarkastella ainakin:
- käsittelyn sijaintia
- alihankintaketjuja
- tietoturvatasoa
- käyttöoikeuksia
- tiedonsiirtoja kolmansiin maihin
- poikkeamien ilmoittamista
- tietojen palauttamista ja poistamista
- palvelun jatkuvuutta
- auditointioikeuksia.
- Johtopäätökset
Tietosuoja on perusoikeus, mutta yritykselle se on samalla johtamis-, riskienhallinta- ja yritysturvallisuuskysymys.
Tietosuojan toteuttaminen ei tarkoita henkilötietojen käsittelyn estämistä. Se tarkoittaa, että tietoja käytetään vain lainmukaisessa ja perustellussa tarkoituksessa, tarpeellisessa laajuudessa ja tavalla, joka kunnioittaa henkilöiden oikeuksia.
Organisaation taloudellinen tilanne tai kiire eivät poista tietosuojavelvoitteita. GDPR ottaa huomioon toimenpiteiden kustannukset ja toiminnan riskit, mutta jokaisen rekisterinpitäjän on toteutettava omaan henkilötietojen käsittelyynsä nähden asianmukainen suojan taso.
Tietosuoja on rakennettava osaksi järjestelmiä, prosesseja ja päätöksentekoa. Sitä ei voida lisätä jälkikäteen yksittäisenä asiakirjana tai teknisenä ominaisuutena.
Hyvä tietosuojakulttuuri perustuu siihen, että johto ymmärtää vastuunsa, henkilöstö tuntee tehtävänsä ja poikkeamiin puututaan. Organisaation tulee tietää, mitä henkilötietoja sillä on, miksi tietoja tarvitaan, kuka niitä käyttää ja milloin ne poistetaan.
Luotettava organisaatio ei kerää kaikkea mahdollista tietoa. Se kerää vain sen, minkä se pystyy perustelemaan, suojaamaan ja hallitsemaan koko tiedon elinkaaren ajan.
Tietosuojan keskeinen periaate voidaan tiivistää seuraavasti: Henkilötietoa ei tule käsitellä siksi, että se on teknisesti mahdollista, vaan siksi, että käsittely on tarpeellista, lainmukaista ja ihmisen oikeuksien kannalta hyväksyttävää.