EU:n uusi tietosuoja-asetus

Esitys aiheesta: "EU:n uusi tietosuoja-asetus"— Esityksen transkriptio:

1 EU:n uusi tietosuoja-asetus
Miten GDPR vaikuttaa järjestössä Veijo Nikkanen

2 Ylenen tietosuoja-asetus=GDPR
Yleinen tietosuoja-asetus on tullut voimaan ja asetuksen soveltaminen alkaa GDPR=General Data Protection Regulation. Korvaa, päivittää ja tarkentaa nykyisin Suomessa käytössä olevaa tietosuojalainsäädäntöä. Kattaa koko unionin ja unionin alueella tarjolla olevat palvelut. Asetuksen soveltaminen vielä monelta osaa epäselvää (esim. keskusjärjestö rekisterinpitäjänä, erityisen haavoittuvat ryhmät, tietyt aikakysymykset).

3 Asetuksen yleisperiaatteet
Tietosuoja-asetus koskee kaikkia yhdistyksiä, henkilöitä, yrityksiä ja organisaatioita jotka käsittelevät säännöllisesti henkilötietoja. Henkilötietojen keräämisen, käsittelyn ja säilyttämisen tulee olla perusteltua, määriteltyä ja turvallista. Ei riitä enää että noudattaa lakia, se on pystyttävä myös osoittamaan. Välinpitämättömyydestä sanktioita. Yleinen tietosuoja-asetus on riskilähtöinen. Rekisterinpitäjän ja käsittelijän roolien erottelu.

4 Mitä tulee tehdä -lyhyesti
Selvittää missä toiminnoissa organisaatiossa käsitellään henkilötietoja (nykytila-arvio). Päättää käsiteltävät henkilötiedot ja tietosisällöt. Arvioida tarvittavat toimenpiteet ja riskit. Kirjoittaa selostus tietojen käsittelyn prosessista tietosuoja-asiakirjaksi eli Selosteeksi käsittelytoimista (≈laajennettu tietosuojaseloste). Päättää tietosuoja-asiakirjan sisältäminen asioiden tiedottaminen ja julkaisu. Tehdä tarvittavat sopimukset ja sopimuspohjat. Hankkia tarvittavat sopimukset palvelun tarjoajilta Tiedottaa jäsenyhdistyksille.

5 Yhdistyksistä tulee rekisterinpitäjiä
Jokaisesta yhdistyksestä jolla on jäseniä tulee rekisterinpitäjä ja ne tarvitsevat tietosuoja-asiakirjan eli Selosteen käsittelytoimista (≈laajennettu tietosuojaseloste). Tietojenkäsittely perustuu aina sopimukseen. Yhdistys huolehtii henkilöjäsenistään. Keskusliitto yhdistysjäsenistään. Keskusliitto tarvitsee sopimuksen tätä tietojenkäsittelyä varten. Sopimuksessa määritellään tietojenkäsittelyn tavat ja ehdot.

6 Seloste käsittelystä ≈ Tietosuojaselosteet
Seloste käsittelystä =tietosuoja-asiakirja ≈laajennettu tietosuojaseloste. Jokaisen rekisterinpitäjän ja käsittelijän on pidettävä yllä selostetta vastuullaan olevista käsittelytoimista. Asiakirjasta tulee selvitä mitä käsittelytoimia henkilötietoihin kohdistuu. Rekisteröidyillä on oikeus tietää nämä rekisterille suoritettavat toimenpiteet samoin kuin omat tietonsa. Seloste on pyydettäessä toimitettava valvontaviranomaiselle. Asetuksen artikla 30 määrittelee selosteen sisällöt.

7 Tietosuojaselosteet Jokaiselle erilaiselle toiminnalle tulee olla tietosuojaselosteensa. Mikäli osanottajille jaetaan esimerkiksi kaikkien osanottajien yhteystiedot tulee tästä olla maininta toiminnon tietosuojaselosteessa. Yhteystietojen jakamiseen pitää kysyä myös lupa etukäteen.

8 Tiedon keräämisen perustelut
Turhia henkilötietoja ei saa kerätä eikä säilyttää Kaikelle kerättävälle henkilötietomateriaalille täytyy olla perustelu Kun peruste häviää, tiedot tulee tuhota Tietojen säilyttämiselle ja poistamiselle tulee määritellä ajat

9 Osoitusvelvollisuus Ei riitä enää että noudattaa lakia, se on pystyttävä myös osoittamaan (accountability-periaate =rekisterinpitäjän osoitusvelvollisuus). Rekisterinpitäjän tulee aktiivisesti ja oma-aloitteisesti eri tavoin osoittaa että noudattaa tietosuoja-asetusta. Näitä keinoja ovat dokumentointi, suunnitelmat, säännöt ja erilaiset sertifioinnit.

10 Selvitys velvoite Organisaatioilla on velvoite tehdä nykytila-arvio tietosuojan tilasta. Täytyy asettaa tavoitetila, esim. tietosuoja-asetusten vaatimusten täyttäminen Täytyy tehdä suunnitelma, miten näihin päästään.

11 Tietojen tarkastusoikeus
Henkilöjäsenillä on oikeus tarkistaa ja korjata tietonsa. Pyyntöön tulee reagoida kuukauden sisällä. Huoltajilla on oikeus tarkistaa lasten tiedot Lapset määritellään asetuksessa erityisen haavoittuvaiseksi ryhmäksi, joten heidän tietojensa käsittelyn tulee olla tarkkaa. HUOM. Tarkastaminen täytyy määritellä jotenkin ja pelisäännöt tähän sopia. (Miten selvitetään tarkastajan oikeutus, miten tiedot toimitetaan, missä ajassa, kuka vastaa…jne)

12 Rekisteröityjen oikeudet
Oikeus saada läpinäkyvää informaatiota henkilötietojen käsittelystä Rekisteröidyn oikeus saada pääsy omiin tietoihin Oikeus tietojen oikaisemiseen ja oikeus tulla unohdetuksi Oikeus käsittelyn rajoittamiseen ja rekisterinpitäjän velvollisuus ilmoittaa rajoituksesta Oikeus siirtää tiedot järjestelmästä toiseen Vastustamisoikeus

13 Systeemin kartoitus ja kuvaus
Henkilötietojen käytön ja rekistereiden paikantaminen organisaatiossa. Kuvauksessa tulee esitellä välineet, tekijät, tavat ja ajat. (Mitä, missä, miten, kuka, ketä?) Selvitettäviä asioita ovat myös käytänteet, käyttöoikeudet, koulutus/perehdytys, sopimukset, alihankkijat, tietojen luovutukset Henkilötietojen käsittelyprosessi tulee kuvata tietosuojan näkökulmasta

14 Riskien kartoitus ja ennakointi
Tietosuoja-asetus tähtää siihen että henkilötietojen käsittely rakennetaan jo alusta lähtien turvalliseksi. Riskiperusteinen lähestymistapa tarkoittaa, että tietosuoja-asetuksen velvoitteet ja asianmukaiset suojatoimet on suhteutettava henkilötietojen käsittelystä rekisteröidyn oikeuksille ja vapauksille aiheutuvaan riskiin. Henkilötietojen käsittelyyn liittyvät riskit pitää löytää ja tehdä tarvittavat toimenpiteet niiden minimoimiseksi. Varautumistoimenpiteet tulee myös kirjata.

15 Tietojen suojaamisen velvoite
Tiedot on suojattava ja varmistettava hallitusti. Tietoja käsittelevät vain määrätyt/sovitut henkilöt. Riskit on kartoitettava ja niihin on varauduttava etukäteen. Täytyy siis olla suunnitelma miten reagoidaan jos a. Tieto tuhoutuu tai tulee käyttökelvottomaksi b. Hukkuu tai joutuu vääriin käsiin.

16 Tietoturvaloukkaus ja vastuut
Ilmoitusvelvollisuus rekisteröidylle Ilmoitusvelvollisuus valvontaviranomaiselle (72 h) Organisaation johto on vastuussa rekisterinpitäjänä rekisterinpidosta ja henkilötietojen lainmukaisesta käsittelystä. Rekisterinpitäjä tai käsittelijä ei voi ulkoistaa tietosuojavastaavalle asetuksen mukaista vastuutaan.

17 Sopimus Henkilötietojen käsittely ulkopuolisella vaatii aina sopimuksen Sopimusten tulee olla entistä tarkempia (kuka, miten, millä, milloin) Mikäli käsittelyn tarkoitus tai tapa muuttuu merkittävästi, täytyy tehdä uusi sopimus

18 Tietosuojavastaava Organisaatioiden joiden päätehtävä on henkilötietojen käsittely tai jotka käsittelevät henkilötietoja paljon ja säännöllisesti tulee nimittää tietosuojavastaava. Julkisilla organisaatioilla nimittäminen on lakisääteistä. Tietosuojavastaava toimii organisaation erityisasiantuntijana tietosuoja-asioissa ja auttaa rekisterinpitäjää parantamaan tietosuojan tasoa. Tietosuojavastaavan tehtävänä on seurata organisaation henkilötietojen käsittelyn lainmukaisuutta. Tähän liittyvät neuvonta ja ohjaustehtävät sekä muu tuki tietosuoja-asioissa

19 Tietosuojavastaavan tehtävät Tietosuoja-asetuksen 39 artiklassa
a) antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle sekä henkilötietoja käsitteleville työntekijöille tietoja ja neuvoja, jotka koskevat niiden tämän asetuksen ja muiden unionin tai jäsenvaltioiden tietosuojasäännösten mukaisia velvollisuuksia; b) seurata, että noudatetaan tätä asetusta, muita unionin tai jäsenvaltion tietosuojalainsäännöksiä ja rekisterinpitäjän tai henkilötietojen käsittelijän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan, mukaan lukien vastuunjako, tiedon lisääminen ja käsittelyyn osallistuvan henkilöstön koulutus ja tähän liittyvät tarkastukset; c) antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista ja valvoa sen toteutusta 35 artiklan mukaisesti; d) tehdä yhteistyötä valvontaviranomaisen kanssa; e) toimia valvontaviranomaisen yhteyspisteenä käsittelyyn liittyvissä kysymyksissä, mukaan lukien 36 artiklan mukainen ennakkokuuleminen ja tarvittaessa kuuleminen muista mahdollisista kysymyksistä.

20 Linkkejä ja lisätietoa
EU:n tietosuoja-asetus: Johdon ja esimiesten koulutusvideo: Tietosuojavaltuutetun toimisto, tietosuoja-asetus-sivut: