REKISTERINPITÄJÄN VELVOLLISUUDET

Esitys aiheesta: "REKISTERINPITÄJÄN VELVOLLISUUDET"— Esityksen transkriptio:

1 REKISTERINPITÄJÄN VELVOLLISUUDET
AVOIMEN HALLINNON VIRKAMIESVERKOSTON TAPAAMINEN REKISTERINPITÄJÄN VELVOLLISUUDET Reijo Aarnio tietosuojavaltuutettu

2 Henkilötietojen käsittelyä koskevat periaatteet
TIETOSUOJA-ASETUS: II LUKU Periaatteet 5 artikla Henkilötietojen käsittelyä koskevat periaatteet 2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (”osoitusvelvollisuus”).

3 TIETOSUOJA-ASETUS: IV LUKU
Rekisterinpitäjä ja henkilötietojen käsittelijä 1 Jakso Yleiset velvollisuudet 24 artikla Rekisterinpitäjän vastuu 1.   Ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että käsittelyssä noudatetaan tätä asetusta Näitä toimenpiteitä on tarkistettava ja päivitettävä tarvittaessa. 2.   Kun se on oikeasuhteista käsittelytoimiin nähden, 1 kohdassa tarkoitettuihin toimenpiteisiin kuuluu, että rekisterinpitäjä panee täytäntöön asianmukaiset tietosuojaa koskevat toimintaperiaatteet. 3.   Jäljempänä 40 artiklassa tarkoitettujen käytännesääntöjen tai 42 artiklassa tarkoitetun hyväksytyn sertifiointimekanismin noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että rekisterinpitäjälle asetettuja velvollisuuksia noudatetaan.

4 TIETOSUOJA-ASETUS: 25 artikla
Sisäänrakennettu ja oletusarvoinen tietosuoja ”PRIVACY BY DEFAULT” 1.   Ottaen huomioon uusimman tekniikan ja toteuttamiskustannukset sekä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä käsittelyn aiheuttamat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit luonnollisten henkilöiden oikeuksille ja vapauksille rekisterinpitäjän on käsittelytapojen määrittämisen ja itse käsittelyn yhteydessä toteutettava tehokkaasti tietosuojaperiaatteiden, kuten tietojen minimoinnin, täytäntöönpanoa varten asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten tietojen pseudonymisointi ja tarvittavat suojatoimet, jotta ne saataisiin sisällytettyä käsittelyn osaksi ja jotta käsittely vastaisi tämän asetuksen vaatimuksia ja rekisteröityjen oikeuksia suojattaisiin. 2.   Rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta. 3.   Hyväksyttyä 42 artiklan mukaista sertifiointimekanismia voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että tämän artiklan 1 ja 2 kohdassa asetettuja vaatimuksia noudatetaan.

5 DPIA 1. ARVIOI NYKYTILANNE 2. OTA OPPAAKSI HENKILÖTIETOLAKI
”PRIVACY BY DESIGN” Henkilötietolaki (523/1999) 6 § Henkilötietojen käsittelyn suunnittelu Henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Henkilötietojen käsittelyn tarkoitukset sekä se, mistä henkilötiedot säännönmukaisesti hankitaan ja mihin niitä säännönmukaisesti luovutetaan, on määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään. 5 TIETOSUOJAVALTUUTETUN TOIMISTO 5

6 ”PRIVACY BY DESIGN” HENKILÖTIETOLAKI Aloitus 2§
Päiv , logo vaihdettu HENKILÖTIETOLAKI Rekisterinpitäjän (3 § 4 k) henkilötietojen käsittelyn kuvaus ja lainmukaisuuden arviointi YHDENMUKAISUUS- MEKANISMI EDPB JulkL JulkA 2 § PROFILOINTI OSS Mistä henkilötiedot kerätään 8, 9, § Arvioi oma toiminta 5-6 § Käsittelyn tarkoitus 3 § 3-k & 6 § Oikeus käsitellä 8, 12, 13, 14-20§ Luovutukset 8, § (6§) Ulkomaille siirrot 22-23§ PRIVACY SHIELD RISKIPERUSTEINEN LÄHESTYMISTAPA Henkilötiedot 3§ 1 k, 9, § Hävitä, arkistoi 12.2 §, 21 §, 19.1 § 1k 34-35 § Aloitus 2§ - PSEUDONYYMIT - GENEETTISET, BIOMETR. HENKILÖREKISTERI 3§ 3k Suunnittelu huolellisuus 5-6§ Käyttötarkoitus- sidonnaisuus 7§ Rekisteröidyn oikeudet 24-29§ - RTBF - PORTABILITY - VASTUSTUS + 10 art. - DPIA - PRIOR CONSULTING - SERTIFIKAATIT - AUDITOINNIT Informointi- velvollisuus 24§ Rekisteriseloste 10§ ACCOUNTABILITY Tietoturvallisuus 32§ Ulkoistaminen 8.1§ 7-k Nimeä vastuu- henkilö 5§ Käytön hallinnointi 5§ Kouluta, ohjeista 5§ PIA PRIVACY BY DEFAULT Viranomais- ilmoitukset 36-37§ Vaitiolovelvollisuus 33 § - KIRJANPITO TIETOSUOJAVASTAAVA DBN

7 3. VARMISTA ORGANISAATIOSI OSAAMINEN ►TIETOSUOJAVASTAAVAT
4. MUISTA, ETTÄ ET VOI ULKOISTAA VASTUUTASI ► DBN = Data Breach Notification ► varaudu poikkeustilanteisiin ► ulkoistussopimukset 5. RAKENNA LUOTTAMUS ► Accountability ► Privacy by Default ► tietotilinpäätös ► sertifikaatit ► auditoinnit 6. OLE EUROOPPALAINEN ► EU-USA ► SAFE HARBOR ► soveltamisala ► Privacy Bridges TIETOSUOJAVALTUUTETUN TOIMISTO 7