Tietosuojaseminaari 28.1.2016 28.1.2016 Anu TalusTietosuojaseminaari1 EU:N TIETOSUOJALAINSÄÄ- DÄNNÖN UUDISTUS Anu Talus.

Esitys aiheesta: "Tietosuojaseminaari 28.1.2016 28.1.2016 Anu TalusTietosuojaseminaari1 EU:N TIETOSUOJALAINSÄÄ- DÄNNÖN UUDISTUS Anu Talus."— Esityksen transkriptio:

1 Tietosuojaseminaari 28.1.2016 28.1.2016 Anu TalusTietosuojaseminaari1 EU:N TIETOSUOJALAINSÄÄ- DÄNNÖN UUDISTUS Anu Talus

2 HENKILÖTIETOJEN KÄSITTELYN LAINMUKAISUUS (6 artikla) RIGHT TO BE FORGOTTEN (17 artikla) TIETOJEN SIIRRETTÄVYYS / DATA PORTABILITY (18 artikla) TIETOTURVALOUKKAUKSET (31 ja 32 artiklat) TIETOSUOJAVASTAAVA (35-37 artiklat) OSS (V – VI luvut) SANKTIOT (79 artikla) HENKILÖTIETOJEN KÄSITTELY TUTKIMUSTARKOITUKSESSA (83 artikla) 28.1.2016 Anu Talus Tietosuojaseminaari 2

3 YLEISTÄ ● KOM:n ehdotus tietosuojapaketiksi tammikuussa 2012 ● Yleinen tietosuoja-asetus (KOM (2012) 11 lopullinen) ● Direktiivi henkilötietojen käsittelystä rikosten torjumiseksi, tutkimiseksi, selvittämiseksi ja rikosoikeudellisten seuraamusten täytäntöönpanemiseksi (KOM (2012) 10 lopullinen) ● Yleisnäkemys neuvostossa kesäkuussa 2015 ● EP:n täysistunto hyväksyi LIBE:n mietinnön sellaisenaan maaliskuussa 2014 ● Kolmikantaneuvottelut päättyivät joulukuussa 2015 ● Asetus voimaan keväällä 2016 ● Kansallinen jatkovalmistelu 28.1.2016 Anu Talus Tietosuojaseminaari 3

4 YLEISTÄ ● Yleinen tietosuoja-asetus ● Korvaa vuoden 1995 henkilötietodirektiivin (95/46/EY) ● Ja sen kansalliseksi täytäntöön panemiseksi annetun henkilötietolain (523/1999) ● Sovelletaan julkisella ja yksityisellä sektorilla ● Asetus, kansallisesti suoraan sovellettavaa lainsäädäntöä ● Sisältää merkittävää direktiivinomaista kansallista liikkumavaraa ● Erityisesti julkisella sektorilla ● Kansallisella lainsäädännöllä voidaan tarkentaa asetuksen säännöksiä 28.1.2016 Anu Talus Tietosuojaseminaari 4

5 Tavoitteet 28 jäsenvaltion hajanaiset tietosuojasäännökset Ajantasaisuus 28.1.2016 Anu Talus Tietosuojaseminaari 5 Syyt Ajanmukainen, vahva, yhtenäinen ja kattava tietosuojakehys Sisämarkkinaulottuvuus Yksilön oikeudet Täytäntöönpanon valvonnan tehostaminen Institutionaaliset järjestelyt

6 Keskeiset elementit kansallinen liikkumavara erityisesti julkiselle sektorille riskipohjainen lähestymistapa accountability rekisterinpitäjän ja käsittelijän välinen roolijako lapsen erityisasema 28.1.2016 Anu Talus Tietosuojaseminaari 6

7 Muutokset nykytilaan verrattuna one-stop-shop tietosuojavastaava velvollisuus ilmoittaa tietoturvaloukkauksesta tietojen siirrettävyys järjestelmästä toiseen henkilötietojen käsittelyperusta (henkilötietojen käsittelyn lainmukaisuus, 6 artikla) sanktiot 28.1.2016 Anu Talus Tietosuojaseminaari 7

8 Henkilötietojen käsittelyn lainmukaisuus 6 artikla Yksiselitteinen suostumus – yhtä tai useampaa tarkoitusta varten Sopimus Rekisterinpitäjän lakisääteiset velvoitteet Rekisteröidyn elintärkeä etu Yleistä etua koskeva tehtävä / rekisterinpitäjälle kuuluva julkinen valta Rekisterinpitäjän oikeutettu etu 6(1)(f) artikla Henkilötietojen käsittely historiallisia, tilastollisia ja tutkimustarkoituksia varten, arkistointitarkoitukset 28.1.2016 Anu Talus8

9 Oikeus tulla unohdetuksi (17 artikla) ”The data subject shall have the right to obtain from the controller the erasure of perosnal data concerning him or her without undue delay and the controller shall have the obligation to erase personal data without undue delay where one of the following grounds applies: (a) the data are no longer necessary in relation to purposes for which they were collected or otherwise processed; (b) the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1) or point (a) of Article 9(2) and there is no legal ground for the processing of the data; (c) the data subject objects to the processing of personal data pursuant to Article 19(1) and there are no overriding legitimate grounds for the processing or the data subject objects to the processing of personal data pursuant to Article 19(2); (d) the data have been unlawfully processed; (e) the data have to be erased for compliance with the legal obligation to which the controller is subject. (f) the data have been collected in relation to the offering of information society services referred to in Article 8(1)” 28.1.2016 Anu Talus9

10 Oikeus tulla unohdetuksi (17 artikla) ”Paragraphs 1 and 2 shall not apply to the extent that processing of the personal data is necessary: (a) for exercising the right of freedom of expression; (b) for compliance with a legal obligation which requires processing of personal data by Union or Member State law to which the controller is subject or for the performance of a task carried out in the public interest or in the excercise of official authority vested in the controller; (c) for reasons of public interest in the ares of public health in accordance with Article 9(2) and (hb) as well as Article 9(4); (d) for archieving purposes in the public interest or for scientific, statistical and historical purposes in accordance with Articles 83; (g) for establishment, excercise or defense of legal claims.” 28.1.2016 Anu Talus10

11 Rekisteröidyn oikeudet – oikeus siirtää tiedot järjestelmästä toiseen Rekisteröityä koskeva tieto Rekisteröidyn toimittama tieto Henkilötietojen käsittely sopimuksen tai suostumuksen perusteella Henkilötietoja käsitellään ”by automated means” Koneluettavassa muodossa ”Commonly used format” 28.1.2016 Anu Talus11

12 Vaikutustenarviointi - 33 artikla  Tehtävä joissain rajatuissa tilanteissa  Jos suunniteltuun henkilötietojen käsittelyyn sisältyy korkea riski rekisteröidyn oikeuksille  Erityisesti, jos henkilötietojen käsittelyyn sisältyy uusien teknologioiden käyttämistä Where a type of processing in particular using new techonologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk for the rights and freedoms of individuals, the controller shall, prior to the processing, carry out an assessment of the impact of the envisaged processing operations on the protection of personal data. A single assessment may address a set of similar processing operations that present similar high risks. 28.1.2016 Anu Talus Tietosuojaseminaari 12

13 Vaikutustenarviointi - 33 artikla  Tehtävä erityisesti seuraavissa tilanteissa  Systematic and extensive evaluation of personal aspects relating to natural persons…  Processing on a large scale of special categories of data or data relating to criminal convictions  A systematic monitoring of a publicly accesible area on a large scale  Rekisterinpitäjän pyydettävä tietosuojavastaavalta neuvoja  Tietosuojaviranomaisen lista 1) käsittely, joka edellyttää vaikutustenarviointia 2) käsittely, joka ei edellytä vaikutustenarviointia 28.1.2016 Anu Talus Tietosuojaseminaari 13

14 Vaikutustenarviointi - 33 artikla  Vaikutustenarviointi ei ole pakollista (resitaali 71)  Käsittely koskee ainoastaan potilaiden tai asiakkaiden henkilötietojen käsittelyä JA  Rekisterinpitäjä on yksittäinen lääkäri, terveydenalan ammattilainen, tai lakimies  Art. 33(5); henkilötietojen käsittely perustuu Unionin lainsäädäntöön tai kansalliseen lakiin (6(1)(c) ja (e))  Laissa säädetään käsittelytoimesta tai toimista  Vaikutustenarviointi on jo tehty osana yleisempää vaikutusten arviointia lainsäädäntöprosessin aikana  Jäsenvaltio voi kuitenkin katsoa, että vaikutustenarviointi on välttämätön 28.1.2016 Anu Talus Tietosuojaseminaari 14

15 Ennakkokuuleminen - 34 artikla  Rekisterinpitäjän konsultoitava tietosuojaviranomaista, jos vaikutustenarvioinnin tulos osoittaa, että henkilötietojen käsittelystä aiheutuisi korkea riski, mikäli rekisterinpitäjä ei ryhdy riskiä pienentäviin toimiin.  Tietosuojaviranomainen voi neuvoa rekisterinpitäjää  Voi neuvoa myös käsittelijää  Kirjallisesti  8 vkoa + 6 vkoa  Voi käyttää 53 artiklassa tarkoitettuja toimivaltuuksiaan 28.1.2016 Anu Talus Tietosuojaseminaari 15

16 Tietosuojavastaava 35 artikla  Nimitettävä joissain rajatuissa tilanteissa  Julkinen sektori – the processing is carried out by public authority or body, except for court acting in their judicial capacity  Rekisterinpitäjän tai käsittelijän ydintoiminnot käsittävät käsittelytoimenpiteitä, jotka edellyttävät laajamittaista, systemaattista rekisteröityjen monitorointia.  Rekisterinpitäjän tai käsittelijän ydintoiminnot käsittävät arkaluontoisten henkilötietojen laajamittaista käsittelyä.  Mahdollista nimittää myös muutoin. 28.1.2016 Anu Talus Tietosuojaseminaari 16

17 Tietosuojavastaava 35 artikla  A group of undertaknigs may appoint a single DPO provided tha a data protection officer is easily accesible from each establishment  Where the controller or the processor is a public authority, a single data protection officer may be designated for several such authorities or bodies, taking account their organisational structure and size.  DPO may be a staff member of the controller or processor, or fulfil the tasks on the basis of a service contract 28.1.2016 Anu Talus Tietosuojaseminaari 17

18 Tietosuojavastaava 35 artikla  Nimitettävä ammattitaidon perusteella  Tietosuojalainsäädäntö ja käytäntö  Voi olla rekisterinpitäjän tai käsittelijän työntekijä tai toimia sopimuksen perusteella  Vahva asema organisaatiossa 28.1.2016 Anu Talus Tietosuojaseminaari 18

19 Ilmoitus tietoturvaloukkauksesta  Ilmoituksessa on oltava tieto tietoturvaloukkauksen luonteesta  Mm. rekisteröityjen määrä ja kategoriat  Ilmoitettava tietosuojavastaavan yhteystiedot tai muut yhteystiedot  Viranomaiselle tulee myös ilmoittaa  Tietoturvaloukkauksen todennäköiset seuraukset  Kuvaus toimista, joihin rekisterinpitäjä on ryhtynyt tai aikoo ryhtyä  Mikäli mahdollista, toimenpiteet, joilla voi pienentää tietoturvaloukkauksesta aiheutuvia haitallisia vaikutuksia 28.1.2016 Anu Talus Tietosuojaseminaari 19

20 Ilmoitus tietoturvaloukkauksesta (31 ja 32 artiklat) Tehtävä 72 tunnin kuluessa Edellyttää, että on olemassa riski rekisteröidyn oikeuksille In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority competent in accordance with Article 51, unless the personal data breach is unlikely to result in a risk for the rights and freedoms of individuals. The notification to the supervisory authority shall be accompanied by a reasoned justification in cases where it is not made within 72 hours. Viranomaiselle ja rekisteröidylle Käsittelijän ilmoitettava rekisterinpitäjälle 28.1.2016 Anu Talus Tietosuojaseminaari 20

21 Ilmoitus tietoturvaloukkauksesta (31 ja 32 artiklat)  Ilmoitusta tietoruvaloukkauksesta ei tule tehdä rekisteröidylle jos,  The controller has implemented appropriate technical and organisational protection measures were applied to the data affected by the personal data brech, in particular those that render the data unintelligible to any person who is not authorised to access it, such as encryption; or  The controller has taken subsequent measures which ensure that the high risk for the rights and freedoms of data subjects referred to in paragraph 1 is no longer likely to materialise; or  It would involve disproportionate effort. In such case, there shall instead be a public communication or simialr measure whereby the data subject are informed in an equally effective manner. 28.1.2016 Anu Talus Tietosuojaseminaari 21

22 Euroopan tietosuojaneuvosto (EDPB) / yhdenmukaisuusmekanismi Nykyinen WP 29 Oikeushenkilöllisyys Mahdollisuus tehdä sitovia päätöksiä Kansallinen tietosuojaviranomainen tekee EDPB:n päätöksen mukaisen päätöksen Valitus kansallinen tie / EUTI 28.1.2016 Anu Talus Tietosuojaseminaari 22

23 Yhden luukun mekanismi / OSS Yhdenmukaisuusmekanismi / yhden luukun mekanismi / one-stop-shop / OSS Rekisterinpitäjä voisi asioida ainoastaan yhden tietosuojaviranomaisen kanssa Valvontaviranomaisten yhteistyö ”Suppea” kokoonpano Euroopan tietosuojaneuvostosta konfliktin ratkaisija Rekisteröidyn asema Läheisyysperiaate 28.1.2016 Anu Talus Tietosuojaseminaari 23

24 Hallinnolliset sanktiot (79 artikla) / Yleiset arviointiperusteet Administrative fines shall, depending on the circumstances od each individual case, be imposed in addition to, or instead of, measures referred to in points (a) to (fa) and (h) of paragraph 1b of Article 53. When deciding whether to impose an administrative fine and deciding on the amount of the administrative fine in each individual case due regard shall be given to the following Rikkomuksen luonne, raskaus ja kesto (nature, gravity and duration). Henkilötietojen käsittelyn tarkoitus ja ala. Rekisteröityjen määrä ja rekiströityjen kärsimän vahingon suuruus Tahallisuuden aste – tahallinen vai tuottamuksellinen teko Toimet, joihin rekisterinpitäjä on ryhtynyt pienentääkseen vahinkoa 28.1.2016 Anu Talus Tietosuojaseminaari 24

25 Hallinnolliset sanktiot (79 artikla) / Yleiset arviointiperusteet Arvioinnissa huomioitavia seikkoja Jos rekisterinpitäjä rikkoo useampia asetuksen sääntöjä saman toisiinsa yhteydessä olevien käsittelytoimien aikana, sakkojen yhteenlaskettu summa ei saa ylittää vakavimmista rikkomuksesta asetettua maksimirangaistusta. Kun sanktio määrätään muulle kuin yritykselle, tulee sakkoja määrätessä ottaa huomioon kyisessä jäsenvaltiossa oleva yleinen tulotaso sekä kyseisen henkilön taloudellinen tilanne. Jäsenvaltiot voivat päättää, missä määrin julkisen sektorin toimijoihin kohdistetaan hallinnollisia sanktioita. 28.1.2016 Anu Talus Tietosuojaseminaari 25

26 Muita keskeisiä kysymyksiä / kansallinen asiakirjajulkisuus Kansallinen asiakirjajulkisuus Article 80a Processing of personal data and public access to official documents Personal data in official documents held by a public authority or a public body or a private body for the performance of a task carried out in the public interest may be disclosed by the authority or body in accordance with Union law or Member State law to which the public authority or body is subject in order to reconcile public access to official documents with the right to the protection of personal data pursuant to this Regulation. 28.1.2016 Anu Talus Tietosuojaseminaari 26