Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi

Lyhyesti

Yleinen tietosuoja-asetus antaa jokaiselle oikeuden saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö hänen henkilötietojaan, ja jos käsitellään, pääsyn tietoihin, tiedot käsittelystä ja jäljennöksen tiedoista. Pyyntöön on vastattava ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa sen vastaanottamisesta. Tarkastusoikeuden rinnalla ovat oikeus oikaisuun, poistoon, käsittelyn rajoittamiseen, tietojen siirtoon ja käsittelyn vastustamiseen. Pyyntö tulee harvoin tietosuojavastaavalle; se tulee asiakaspalveluun, kirjaamoon tai esihenkilölle, ja siksi sen tunnistaminen on jokaisen työntekijän osaamista.

Mitä asetus antaa ihmiselle oikeuden tietää

Tietosuoja-asetuksen 15 artikla on tarkastusoikeus. Sen 1 kohta antaa rekisteröidylle oikeuden saada vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos käsitellään, pääsyn tietoihin sekä seuraavat tiedot: käsittelyn tarkoitukset, henkilötietoryhmät, vastaanottajat tai vastaanottajaryhmät erityisesti kolmansissa maissa, suunniteltu säilytysaika tai sen määrittämiskriteerit, oikeus pyytää oikaisua, poistoa, rajoittamista tai vastustaa käsittelyä, oikeus valittaa valvontaviranomaiselle, tietojen alkuperä, jos niitä ei ole kerätty henkilöltä itseltään, sekä automaattisen päätöksenteon ja profiloinnin olemassaolo ja merkitykselliset tiedot sen logiikasta ja seurauksista.

Artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Jos pyyntö on tehty sähköisesti, tiedot toimitetaan yleisesti käytetyssä sähköisessä muodossa, ellei pyytäjä toisin pyydä. Useammista jäljennöksistä voi periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jäljennöksen antaminen ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin: toisen henkilön tiedot peitetään siltä osin kuin niiden antaminen loukkaisi hänen oikeuksiaan, ja punninta tehdään tapaus kerrallaan, ei kaavamaisesti.

Kuukausi, ja mistä se lasketaan

Asetuksen 12 artikla säätää menettelyn kaikille 15–22 artiklan oikeuksille. Sen 3 kohdan mukaan tiedot toimenpiteistä on toimitettava ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voi tarvittaessa jatkaa enintään kahdella kuukaudella pyyntöjen monimutkaisuuden ja määrän perusteella, mutta jatkamisesta ja viivästymisen syistä on ilmoitettava pyytäjälle kuukauden kuluessa pyynnön vastaanottamisesta.

Jos rekisterinpitäjä ei toteuta toimenpiteitä, sen on 4 kohdan mukaan ilmoitettava syyt viipymättä ja viimeistään kuukauden kuluessa ja kerrottava mahdollisuudesta valittaa valvontaviranomaiselle ja käyttää muita oikeussuojakeinoja. Hiljaisuus ei siis ole vaihtoehto: myös kieltäytyminen on vastaus, joka annetaan kuukaudessa ja perustellaan.

Määräaika lasketaan pyynnön vastaanottamisesta. Pyyntö on vastaanotettu, kun se on tullut organisaatiolle, ei kun se on löytänyt tietosuojavastaavan pöydälle. Puhelimessa esitetty pyyntö, jota asiakaspalvelija ei kirjaa, on silti vastaanotettu, ja kuukausi kuluu. Tämä on syy, miksi tunnistaminen opetetaan kaikille.

Oikeus	Artikla	Mitä se tarkoittaa käytännössä
Tarkastusoikeus	15	Vahvistus, tiedot käsittelystä, jäljennös
Oikaisu	16	Virheellinen tieto korjataan, puutteellinen täydennetään
Poisto	17	Tieto poistetaan, kun peruste on lakannut tai käsittely on lainvastaista; poikkeuksia on, esimerkiksi lakisääteinen velvoite
Rajoittaminen	18	Käsittely jäädytetään esimerkiksi oikaisuvaatimuksen käsittelyn ajaksi
Siirto	20	Itse annetut tiedot koneluettavassa muodossa, kun käsittely perustuu suostumukseen tai sopimukseen ja tapahtuu automaattisesti
Vastustaminen ja automaattiset päätökset	21–22	Oikeus vastustaa tiettyä käsittelyä ja olla joutumatta pelkästään automaattisen päätöksen kohteeksi, kun sillä on merkittäviä vaikutuksia

Kuka pyytäjä on

Asetuksen 12 artiklan 6 kohta antaa rekisterinpitäjälle oikeuden pyytää lisätietoja henkilöllisyyden vahvistamiseksi, jos sillä on perusteltua syytä epäillä pyynnön tehneen henkilön henkilöllisyyttä. Tämä on tietopyynnön toinen puoli: jäljennös jonkun tiedoista väärälle ihmiselle on itsessään tietoturvaloukkaus. Asiakaspalvelussa tunnistaminen ja tietopyyntö ovat siksi sama koulutus, ja taitokatalogimme pitää soittajan tunnistamista osana tietojenkalastelun ja manipuloinnin tunnistamista: huijari esittää tietopyynnön toisen nimissä juuri siksi, että vastaaja haluaa olla avulias.

Tunnistamisen vaatimus ei kuitenkaan saa muuttua esteeksi. Artiklan 2 kohta velvoittaa rekisterinpitäjän helpottamaan oikeuksien käyttöä, ja lisätietoja saa pyytää vain tarpeen mukaan. Henkilö, joka on jo tunnistettu asiakkaana, ei tarvitse uutta tunnistusta tietopyyntöä varten.

Mitä saa kieltäytyä

Asetuksen 12 artiklan 5 kohdan mukaan tiedot ja toimenpiteet ovat maksuttomia. Jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi periä kohtuullisen hallinnollisen maksun tai kieltäytyä toimimasta. Näyttövelvollisuus perusteettomuudesta tai kohtuuttomuudesta on rekisterinpitäjällä. Kynnys on tarkoituksella korkea: työläs pyyntö ei ole kohtuuton, ja epämiellyttävä pyytäjä ei ole perusteeton.

Osittainen kieltäytyminen on tavallisempaa kuin kokonainen. Jäljennöksestä peitetään toisten ihmisten tiedot ja liikesalaisuudet siltä osin kuin se on tarpeen heidän oikeuksiensa suojaamiseksi, tapauskohtaisen punninnan perusteella, ja kansallinen laki voi rajoittaa oikeutta esimerkiksi tutkinnan tai toisen henkilön suojan vuoksi. Jokainen rajaus perustellaan vastauksessa. Taitokatalogimme tasolla 3 tämä on sanottu suoraan: käsittelee pyynnön, arvioi rajoitukset ja perustelee osittaisen kieltäytymisen.

Mitä tämä vaatii eri rooleilta

Tarkastusoikeus on lopulta työnjako. Jokaisen työntekijän on tiedettävä, että ihmisellä on oikeus saada tietonsa nähtäväksi, ja tunnistettava pyyntö, kun sellainen tulee. Asiakaspalvelun on otettava pyyntö vastaan oikein, kirjattava se ja tunnettava määräaika, eikä vastattava itse arvaamalla. Pyynnön käsittelijän on rajattava, mitä annetaan, ja perusteltava rajaukset. Tietosuojavastaavan on ratkaistava kilpailevien oikeuksien tilanteet ja arvioitava automatisoidun päätöksenteon sallittavuus, johon tekoälyasetus tuo oman kerroksensa.

Nämä ovat taitokatalogimme neljä tasoa samasta taidosta, ja siksi sama koulutusaihe on kirjastossa kahtena koulutuksena: yksi koko henkilöstölle, toinen asiakaspalvelulle. Tietosuojavastaavan osuudesta kerrotaan artikkelissa Milloin tietosuojavastaava on nimettävä ja mitä hänen pitää osata?, ja henkilöstön tietosuojaosaamisen kokonaisuudesta artikkelissa Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?.

Mitä tarkastusoikeus ei ole

Se ei ole oikeus saada asiakirjoja. Pyytäjällä on oikeus omiin henkilötietoihinsa ja tietoon niiden käsittelystä, ei kaikkiin asiakirjoihin, joissa hänen nimensä esiintyy. Viranomaisen asiakirjoihin sovelletaan lisäksi julkisuuslakia, joka on eri oikeus eri menettelyllä. Se ei ole myöskään oikeus poistattaa kaikkea: poisto-oikeudella on poikkeuksensa, ja lakisääteinen säilytysvelvoite menee sen edelle. Hyvä vastaus kertoo, mitä annettiin, mitä ei annettu ja miksi.