Mitä asiakkaista saa tallentaa ja kuinka kauan?

Lyhyesti

Asiakkaista saa tallentaa henkilötietoja vain, jos organisaatiolla on määritelty tarkoitus ja yleisen tietosuoja-asetuksen 6 artiklan mukainen oikeusperuste. Tallennettavien tietojen pitää olla tarpeellisia tähän tarkoitukseen. Asiakasrekisterissä ei saa olla varmuuden vuoksi kerättyjä tietoja. Säilytysaika määräytyy tarkoituksen mukaan. Yleinen tietosuoja-asetus ei anna kaikille asiakastiedoille yhtä yhteistä säilytysaikaa. Asiakkaalle pitää kertoa selkeästi muun muassa, kuka tietoja käsittelee, miksi tietoja käsitellään, millä perusteella, kenelle niitä luovutetaan, kuinka kauan niitä säilytetään ja mitä oikeuksia asiakkaalla on.

Asiakastieto on henkilötieto, kun siitä tunnistaa ihmisen

Yleisen tietosuoja-asetuksen 4 artikla määrittelee henkilötiedon laajasti. Henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön.

Arjessa tämä tarkoittaa esimerkiksi asiakkaan nimeä, yhteystietoja, asiakasnumeroa, sijaintitietoa tai verkkotunnistetta. Ehto on, että tiedon voi yhdistää henkilöön. Myös yritysasiakkaan yhteyshenkilön tiedot ovat henkilötietoja, jos ne kertovat tunnistettavasta ihmisestä.

Sama artikla määrittelee käsittelyn. Käsittelyä ovat esimerkiksi kerääminen, tallentaminen, säilyttäminen, hakeminen, käyttäminen, luovuttaminen, poistaminen ja tuhoaminen. Asiakastiedon käsittely ei siis ala vasta analytiikasta tai markkinoinnista. Se alkaa jo siitä, että tieto kirjataan järjestelmään.

Rekisterinpitäjä on toimija, joka määrittelee käsittelyn tarkoitukset ja keinot. Asiakasrekisterissä se on yleensä organisaatio, joka päättää, miksi asiakastietoja kerätään ja miten niitä käytetään. Jos toinen toimija käsittelee henkilötietoja rekisterinpitäjän lukuun, yleisen tietosuoja-asetuksen 4 artikla käyttää siitä nimeä henkilötietojen käsittelijä. Rekisterinpitäjän ja käsittelijän eroa käsitellään tarkemmin artikkelissa Rekisterinpitäjä vai käsittelijä: milloin tarvitaan käsittelysopimus ja mitä 28 artikla vaatii.

Tallentaminen tarvitsee tarkoituksen ja oikeusperusteen

Yleisen tietosuoja-asetuksen 5 artikla määrittää asiakastietojen käsittelyn periaatteet. Tiedot pitää käsitellä lainmukaisesti, asianmukaisesti ja asiakkaalle läpinäkyvästi. Ne pitää kerätä tiettyä, nimenomaista ja laillista tarkoitusta varten.

Käytännössä tarkoitus vastaa kysymykseen: mihin asiakastietoa tarvitaan. Sama asiakastieto voi olla tarpeellinen yhteen tarkoitukseen, mutta ei toiseen. Esimerkiksi yhteystieto voi olla tarpeellinen yhteydenpitoon. Se ei silti tarkoita, että kaikkia mahdollisia lisätietoja voisi kerätä tulevaa käyttöä varten.

Yleisen tietosuoja-asetuksen 6 artikla kertoo, milloin käsittely on lainmukaista. Vähintään yhden edellytyksen pitää täyttyä. Asiakastiedon käsittely voi perustua esimerkiksi suostumukseen, sopimuksen täytäntöönpanoon, lakisääteiseen velvoitteeseen, elintärkeiden etujen suojaamiseen, yleistä etua koskevaan tehtävään tai oikeutettuun etuun.

Oikeusperuste ei ole sama asia kuin yleinen hyöty organisaatiolle. Se on yleisen tietosuoja-asetuksen mukainen peruste käsitellä henkilötietoja. Jos perustetta ei ole, tietoa ei pidä tallentaa.

Viranomaisia koskee erityinen rajoitus. Yleisen tietosuoja-asetuksen 6 artikla sanoo, että oikeutettua etua koskevaa perustetta ei sovelleta tietojenkäsittelyyn, jota viranomaiset tekevät tehtäviensä yhteydessä. Kunnassa ja muussa viranomaisessa tämä vaikuttaa siihen, millä perusteella asiakastietoja käsitellään.

Lisää oikeusperusteista on artikkelissa Millä perusteella henkilötietoja saa käsitellä?.

Tallennettava määrä rajataan tarpeeseen

Yleisen tietosuoja-asetuksen 5 artiklan tietojen minimoinnin periaate tarkoittaa, että henkilötietojen pitää olla asianmukaisia, olennaisia ja rajattu siihen, mikä on tarpeen. Tämä on asiakasrekisterin tärkein käytännön raja.

Organisaation ei pidä kysyä tietoa vain siksi, että lomakkeessa on kenttä. Tarpeellisuus arvioidaan käyttötarkoituksen mukaan. Jos tarkoitus on ottaa yhteyttä asiakkaaseen, tarvitaan yhteydenpitoon sopiva tieto. Jos tarkoitus ei vaadi syntymäaikaa, sitä ei pidä kerätä vain tunnistamisen varmistamiseksi.

Yleisen tietosuoja-asetuksen 5 artikla vaatii myös täsmällisyyttä. Asiakastietojen pitää olla täsmällisiä ja tarvittaessa päivitettyjä. Virheelliset tiedot pitää poistaa tai oikaista viipymättä, jos ne ovat käsittelyn tarkoituksiin nähden epätarkkoja.

Sama artikla vaatii eheyttä ja luottamuksellisuutta. Henkilötietoja pitää käsitellä tavalla, joka suojaa niitä luvattomalta tai lainvastaiselta käsittelyltä. Suojan pitää kattaa myös vahingossa tapahtuva häviäminen, tuhoutuminen ja vahingoittuminen. Tämä yhdistää tietosuojan ja tietoturvan arjen työssä.

Erityiset henkilötietoryhmät ovat pääsääntöisesti kiellettyjä

Kaikki asiakastiedot eivät ole samanlaisia. Yleisen tietosuoja-asetuksen 9 artikla koskee erityisiä henkilötietoryhmiä. Niitä ovat esimerkiksi tiedot, joista ilmenee rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys. Artikla kattaa myös geneettiset tiedot, biometriset tiedot henkilön yksiselitteistä tunnistamista varten, terveystiedot sekä seksuaalista käyttäytymistä ja suuntautumista koskevat tiedot.

Yleisen tietosuoja-asetuksen 9 artiklan lähtökohta on kielto. Näitä tietoja ei saa käsitellä, ellei jokin artiklan poikkeus sovellu. Poikkeuksia ovat esimerkiksi nimenomainen suostumus tiettyä tarkoitusta varten, tietyt työoikeuteen ja sosiaaliturvaan liittyvät tilanteet, elintärkeät edut, oikeusvaateet sekä tietyt terveys- ja sosiaalihuollon tarkoitukset.

Asiakasrekisterissä tämä tarkoittaa tarkkaa harkintaa. Jos organisaatio ei tarvitse erityiseen henkilötietoryhmään kuuluvaa tietoa, sitä ei pidä tallentaa. Jos tarve on olemassa, pelkkä tavallinen asiakkuus ei vielä riitä. Lisäksi tarvitaan 9 artiklan mukainen poikkeus ja 6 artiklan mukainen oikeusperuste.

Säilytysaika ei ole yksi valmis luku

Yleinen tietosuoja-asetus ei määrää asiakastiedoille yhtä yleistä säilytysaikaa. Sen 5 artiklan mukaan tunnistettavassa muodossa olevia henkilötietoja saa säilyttää vain niin kauan kuin se on tarpeen käsittelyn tarkoituksia varten.

Tämä tarkoittaa, että säilytysaika määräytyy tarkoituksen mukaan. Asiakastietoa säilytetään niin kauan kuin sitä tarvitaan siihen tarkoitukseen, jota varten se kerättiin. Kun tarkoitus päättyy, tieto pitää poistaa tai muuttaa muotoon, josta asiakasta ei enää voi tunnistaa. Näin tehdään, jos säilyttämiselle ei ole muuta laillista perustetta.

Yleisen tietosuoja-asetuksen 13 ja 14 artikla edellyttävät, että asiakkaalle kerrotaan henkilötietojen säilytysaika. Jos tarkkaa aikaa ei voi kertoa, asiakkaalle pitää kertoa, millä perusteilla aika määritetään. Peruste voi liittyä siihen, milloin käsittelyn tarkoitus päättyy. Sen pitää olla asiakkaalle ymmärrettävä.

Yleisen tietosuoja-asetuksen 17 artikla antaa asiakkaalle oikeuden pyytää tietojen poistamista tietyissä tilanteissa. Poistaminen voi tulla kyseeseen esimerkiksi silloin, kun tietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin. Se voi tulla kyseeseen myös silloin, kun käsittely on ollut lainvastaista.

Poisto-oikeus ei kuitenkaan ole rajaton. Yleisen tietosuoja-asetuksen 17 artiklan mukaan poistamista koskevia kohtia ei sovelleta esimerkiksi silloin, kun käsittely on tarpeen rekisterinpitäjään sovellettavan lakisääteisen velvoitteen noudattamiseksi, yleistä etua koskevan tehtävän suorittamiseksi tai oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

Asiakkaalle pitää kertoa käsittelystä selkeästi

Yleisen tietosuoja-asetuksen 12 artiklan mukaan rekisteröidylle annettavat tiedot pitää toimittaa tiiviissä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa. Kielen pitää olla selkeää ja yksinkertaista. Tämä koskee erityisesti tilanteita, joissa tiedot on tarkoitettu lapselle.

Kun henkilötiedot kerätään asiakkaalta itseltään, yleisen tietosuoja-asetuksen 13 artikla määrää, mitä tietoja pitää antaa. Kun tiedot saadaan muualta kuin asiakkaalta, 14 artikla määrää vastaavat tiedot. Lisäksi pitää kertoa, mistä henkilötiedot on saatu.

Asiakkaalle kerrottava asia	Mitä se tarkoittaa työssä	Asetuksen kohta
Rekisterinpitäjän identiteetti ja yhteystiedot	Asiakas tietää, kuka vastaa tiedoista	13 ja 14 artikla
Tietosuojavastaavan yhteystiedot tarvittaessa	Asiakas tietää, mistä saa tietosuoja-asioissa yhteyden	13 ja 14 artikla
Käsittelyn tarkoitukset ja oikeusperuste	Asiakas ymmärtää, miksi tietoja käytetään ja millä perusteella	13 ja 14 artikla
Vastaanottajat tai vastaanottajaryhmät	Asiakas tietää, kenelle tietoja voidaan luovuttaa	13 ja 14 artikla
Kolmanteen maahan tai kansainväliselle järjestölle siirto tarvittaessa	Asiakas saa tiedon tällaisesta siirrosta ja siihen liittyvistä suojatoimista	13 ja 14 artikla
Säilytysaika tai sen määrittämiskriteerit	Asiakas näkee, kuinka kauan tiedot ovat tunnistettavassa muodossa	13 ja 14 artikla
Rekisteröidyn oikeudet	Asiakas tietää, miten hän voi tarkastaa, oikaista, poistaa, rajoittaa, vastustaa tai siirtää tietojaan	13 ja 14 artikla
Oikeus tehdä valitus valvontaviranomaiselle	Asiakas tietää, että hän voi valittaa valvontaviranomaiselle	13 ja 14 artikla
Automaattinen päätöksenteko ja profilointi, jos niitä on	Asiakas saa tietoa logiikasta, merkityksestä ja seurauksista	13 ja 14 artikla

Jos organisaatio aikoo käsitellä henkilötietoja myöhemmin muuhun tarkoitukseen kuin siihen, johon ne kerättiin, asiakkaalle pitää kertoa tästä ennen jatkokäsittelyä. Tämä vaatimus on yleisen tietosuoja-asetuksen 13 ja 14 artikloissa.

Asiakkaan oikeudet vaikuttavat arjen työhön

Asiakas on yleisen tietosuoja-asetuksen kielellä rekisteröity. Yleisen tietosuoja-asetuksen 15 artikla antaa hänelle oikeuden saada vahvistus siitä, käsitelläänkö hänen henkilötietojaan. Jos tietoja käsitellään, hänellä on oikeus päästä henkilötietoihin ja saada artiklassa luetellut tiedot.

Yleisen tietosuoja-asetuksen 16 artikla antaa oikeuden virheellisten tietojen oikaisuun. 17 artikla antaa oikeuden tietojen poistamiseen tietyin edellytyksin. 18 artikla antaa oikeuden käsittelyn rajoittamiseen. 20 artikla antaa tietyissä tilanteissa oikeuden saada itse toimitetut tiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa.

Yleisen tietosuoja-asetuksen 12 artikla määrittää määräajan. Rekisterinpitäjän pitää kertoa toimenpiteistä ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan jatkaa enintään kahdella kuukaudella, jos pyyntöjen monimutkaisuus ja määrä edellyttävät sitä. Jatkamisesta ja sen syistä pitää kertoa kuukauden kuluessa pyynnön vastaanottamisesta.

Rekisteröidyn oikeuksista ja määräajasta on lisää artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Rajat tekevät velvoitteesta ymmärrettävän

Kaikkea ei tarvitse kertoa uudelleen, jos asiakas on jo saanut tiedot. Tämä rajoitus on yleisen tietosuoja-asetuksen 13 artiklassa, kun tiedot kerätään asiakkaalta. Sama periaate on 14 artiklassa, kun tiedot on saatu muualta.

Yleisen tietosuoja-asetuksen 14 artikla tunnistaa myös tilanteita, joissa tietojen antamista ei vaadita. Näitä ovat esimerkiksi tilanteet, joissa antaminen on mahdotonta tai vaatisi kohtuutonta vaivaa tietyissä arkistointi-, tutkimus- tai tilastointitarkoituksissa. Poikkeus voi koskea myös tilannetta, jossa tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti sovellettavassa oikeudessa. Se voi koskea myös tilannetta, jossa tiedot on pidettävä luottamuksellisina lakisääteisen salassapitovelvollisuuden vuoksi.

Oikeus siirtää tiedot järjestelmästä toiseen ei koske kaikkea käsittelyä. Yleisen tietosuoja-asetuksen 20 artikla rajaa sen tilanteisiin, joissa käsittely perustuu suostumukseen tai sopimukseen ja käsittely tehdään automaattisesti. Sama artikla sanoo myös, ettei oikeutta sovelleta käsittelyyn, joka on tarpeen yleistä etua koskevan tehtävän hoitamiseksi tai julkisen vallan käyttämiseksi.

Asetus ei myöskään anna valmista säilytysaikaa jokaiselle asiakasrekisterille. Organisaation pitää pystyä perustelemaan säilytys tarkoituksen, tarpeellisuuden ja oikeusperusteen kautta. Yleisen tietosuoja-asetuksen 5 artikla tekee tästä myös osoitusvelvollisuuden: rekisterinpitäjä vastaa periaatteiden noudattamisesta ja sen pitää pystyä osoittamaan noudattaminen.

Tietoturvaloukkaus muuttaa tiedonantovelvollisuutta

Asiakastietojen tallentaminen tuo myös vastuun havaita ja käsitellä henkilötietojen tietoturvaloukkaukset. Yleisen tietosuoja-asetuksen 4 artiklan mukaan henkilötietojen tietoturvaloukkaus tarkoittaa tilannetta, jossa käsitellyt henkilötiedot vahingossa tai lainvastaisesti tuhoutuvat, häviävät, muuttuvat, paljastuvat luvattomasti tai niihin pääsee luvatta.

Yleisen tietosuoja-asetuksen 33 artiklan mukaan rekisterinpitäjän pitää ilmoittaa henkilötietojen tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä. Ilmoitus pitää tehdä mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus tuli ilmi. Ilmoitusta ei vaadita, jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Jos ilmoitusta ei tehdä 72 tunnin kuluessa, valvontaviranomaiselle pitää toimittaa perusteltu selitys.

Yleisen tietosuoja-asetuksen 34 artikla koskee ilmoittamista asiakkaalle. Jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän pitää ilmoittaa siitä rekisteröidylle ilman aiheetonta viivytystä. Ilmoituksessa pitää kuvata loukkauksen luonne selkeällä ja yksinkertaisella kielellä.

Henkilötietojen tietoturvaloukkauksesta on lisää artikkelissa Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta.