Mitä sisäänrakennettu ja oletusarvoinen tietosuoja vaatii hankinnalta?

Lyhyesti

Sisäänrakennettu ja oletusarvoinen tietosuoja tarkoittaa, että henkilötietojen suoja suunnitellaan järjestelmään ennen sen käyttöä. Järjestelmähankinnassa se edellyttää selkeitä vaatimuksia siitä, mitä tietoja kerätään, kuka näkee ne, kuinka kauan niitä säilytetään ja miten rekisteröidyn oikeudet toteutuvat. Yleisen tietosuoja-asetuksen 25 artikla antaa vastuun rekisterinpitäjälle, ei vain toimittajalle. Hankinta ei ole valmis, jos tietosuoja jää korjattavaksi vasta käyttöönoton jälkeen.

Hankinnan pitää muuttaa 25 artikla käytännön vaatimuksiksi

Järjestelmähankinnassa tietosuoja ei ole vain lakiliite. Se on osa sitä, miten järjestelmä toimii arjessa.

Yleisen tietosuoja-asetuksen 25 artikla koskee kahta hetkeä. Ensimmäinen on se, kun käsittelytavat määritetään. Hankinnassa tämä tarkoittaa vaatimusmäärittelyä, vertailua ja sopimusneuvotteluja. Toinen on itse käsittely. Se tarkoittaa järjestelmän käyttöä työntekijöiden ja asiakkaiden tiedoilla.

Rekisterinpitäjä määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Kunta, hyvinvointialue, virasto tai yritys on usein rekisterinpitäjä omissa palveluissaan. Toimittaja voi olla henkilötietojen käsittelijä, jos se käsittelee tietoja rekisterinpitäjän lukuun.

25 artikla vaatii teknisiä ja organisatorisia toimia. Tekninen toimi on esimerkiksi salaus tai tapa rajata pääsy tietoihin. Organisatorinen toimi on esimerkiksi roolien määrittely tai ohje siitä, kuka saa käsitellä tietoja.

Hankinnassa tämä tarkoittaa ainakin näitä kysymyksiä:

• mitä henkilötietoja järjestelmä tarvitsee tehtäväänsä varten
• mihin tarkoitukseen kutakin tietoa käytetään
• kuka saa nähdä tiedot ja miksi
• kuinka kauan tiedot ovat järjestelmässä
• miten tieto poistetaan tai palautetaan palvelun päättyessä
• miten rekisteröidyn pyynnöt voidaan toteuttaa
• miten turvallisuustoimet vastaavat käsittelyn riskiä

Yleisen tietosuoja-asetuksen 24 artikla lisää tähän osoitusvelvollisuuden. Rekisterinpitäjän on pystyttävä varmistamaan ja osoittamaan, että käsittelyssä noudatetaan asetusta. Hankinnan kannalta tämä tarkoittaa dokumentteja, päätöksiä ja vaatimuksia, joista valinnat näkyvät jälkikäteen.

Tarpeellisuus näkyy lomakkeissa, oletusasetuksissa ja säilytyksessä

Oletusarvoinen tietosuoja on hankinnassa hyvin käytännöllinen vaatimus. Järjestelmä ei saa kerätä tai näyttää henkilötietoja varmuuden vuoksi.

Yleisen tietosuoja-asetuksen 25 artiklan mukaan oletusarvoisesti saa käsitellä vain henkilötietoja, jotka ovat tarpeellisia tiettyyn tarkoitukseen. Sama velvoite koskee tietojen määrää, käsittelyn laajuutta, säilytysaikaa ja saatavillaoloa.

Tämä näkyy esimerkiksi lomakkeissa. Jos palvelu tarvitsee henkilön nimen ja yhteystiedon, syntymäaika ei saa olla pakollinen vain siksi, että kenttä on valmiina. Jos työntekijä tarvitsee asiakkaan hakemuksen käsittelyyn yhden asian, koko asiakashistoria ei saa näkyä oletuksena.

Yleisen tietosuoja-asetuksen 5 artikla nimeää tietojen minimoinnin periaatteen. Henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista. Hankinnassa tämä periaate muuttuu kenttälistoiksi, käyttöoikeuksiksi ja raportointinäkymiksi.

Säilytys on toinen keskeinen kohta. 5 artiklan mukaan henkilötietoja saa säilyttää tunnistettavassa muodossa vain niin kauan kuin käsittelyn tarkoitus vaatii. Hankinnassa tämä tarkoittaa, että järjestelmässä on oltava tapa hallita säilytysaikoja. Pelkkä lupaus manuaalisesta siivouksesta voi olla heikko ratkaisu, jos tietoja kertyy paljon tai niitä käsittelee moni yksikkö.

Saatavillaolo on kolmas kohta. 25 artikla painottaa, ettei henkilötietoja oletusarvoisesti saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta. Työssä tämä tarkoittaa esimerkiksi sitä, että uusi käyttäjä ei saa automaattisesti kaikkia oikeuksia. Pääsyn on perustuttava tehtävään.

Rekisteröidyn oikeudet vaikuttavat myös järjestelmän vaatimuksiin. Yleisen tietosuoja-asetuksen 12 artiklan mukaan rekisterinpitäjän on helpotettava oikeuksien käyttämistä. 15–20 artiklat koskevat muun muassa pääsyä tietoihin, oikaisua, poistamista, rajoittamista ja tietojen siirtämistä. Jos asiakas pyytää tietonsa, järjestelmän on tuettava vastausta. Tästä aihe jatkuu artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Toimittajan rooli pitää ratkaista ennen sopimusta

Järjestelmähankinnassa suuri osa tietosuojasta ratkeaa toimittajan roolin perusteella. Rooli vaikuttaa siihen, mitä sopimukseen pitää kirjata.

Jos toimittaja käsittelee henkilötietoja rekisterinpitäjän lukuun, toimittaja on henkilötietojen käsittelijä. Yleisen tietosuoja-asetuksen 28 artikla sanoo, että rekisterinpitäjä saa käyttää vain käsittelijöitä, jotka toteuttavat riittävät suojatoimet. Tämä on hankinnan valintakriteeri eikä vain sopimuksen loppuehto.

28 artikla vaatii sopimuksen tai muun oikeudellisen asiakirjan. Sen pitää määrittää käsittelyn kohde, kesto, luonne ja tarkoitus. Siinä pitää näkyä myös henkilötietojen tyyppi, rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet.

Sopimuksessa käsittelijä sitoutuu käsittelemään tietoja vain dokumentoitujen ohjeiden mukaan. Sen pitää myös varmistaa salassapito, auttaa rekisterinpitäjää rekisteröidyn oikeuksissa ja tukea turvallisuusvelvoitteiden noudattamista. Palvelun päättyessä tiedot pitää rekisterinpitäjän valinnan mukaan poistaa tai palauttaa, ellei laki vaadi säilyttämistä.

Hankinnan kannalta tärkeä kohta on myös toisten käsittelijöiden käyttö. Toimittaja ei saa käyttää toista henkilötietojen käsittelijää ilman rekisterinpitäjän kirjallista ennakkolupaa. Jos alihankkija vaihtuu, rekisterinpitäjällä pitää olla mahdollisuus vastustaa muutosta.

Alla oleva taulukko tiivistää hankinnan keskeiset kohdat.

Hankinnan kohta	Mitä se tarkoittaa käytännössä	Säädöspohja
Tarvittavat tiedot	Järjestelmä kerää vain tehtävän kannalta tarpeelliset henkilötiedot	Yleisen tietosuoja-asetuksen 5 ja 25 artikla
Oletusnäkyvyys	Tietoja ei näytetä oletuksena liian laajalle joukolle	Yleisen tietosuoja-asetuksen 25 artikla
Turvallisuustoimet	Suojaus vastaa käsittelyn riskiä	Yleisen tietosuoja-asetuksen 32 artikla
Käsittelysopimus	Toimittajan tehtävät, ohjeet ja vastuut kirjataan	Yleisen tietosuoja-asetuksen 28 artikla
Rekisteröidyn oikeudet	Järjestelmä tukee pyyntöihin vastaamista	Yleisen tietosuoja-asetuksen 12–20 artikla
Korkea riski	Vaikutustenarviointi tehdään ennen käsittelyä	Yleisen tietosuoja-asetuksen 35 artikla

Roolien rajasta on lisää artikkelissa Rekisterinpitäjä vai käsittelijä: milloin tarvitaan käsittelysopimus ja mitä 28 artikla vaatii.

Korkea riski muuttaa hankinnan järjestystä

Jotkin järjestelmät edellyttävät tietosuojaa koskevaa vaikutustenarviointia ennen henkilötietojen käsittelyä. Vaatimus perustuu yleisen tietosuoja-asetuksen 35 artiklaan.

Arviointi tarvitaan, jos suunniteltu käsittely aiheuttaa todennäköisesti korkean riskin henkilön oikeuksille ja vapauksille. Asetus mainitsee erityisesti uuden teknologian käytön, jos riski on korkea käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoituksen vuoksi.

35 artikla nimeää myös tilanteita, joissa arviointi vaaditaan erityisesti. Näitä ovat esimerkiksi järjestelmällinen ja kattava henkilökohtaisten ominaisuuksien arviointi. Se perustuu automaattiseen käsittelyyn ja johtaa merkittäviin päätöksiin. Arviointi vaaditaan myös erityisten henkilötietoryhmien laajamittaisessa käsittelyssä. Lisäksi se vaaditaan yleisölle avoimen alueen järjestelmällisessä laajamittaisessa valvonnassa.

Vaikutustenarviointi ei ole jälkikäteinen muistio. Se tehdään ennen käsittelyä. Sen pitää sisältää kuvaus suunnitelluista käsittelytoimista. Lisäksi siihen kuuluu arvio tarpeellisuudesta ja oikeasuhteisuudesta, arvio riskeistä sekä suunnitellut toimet riskeihin puuttumiseksi.

Jos organisaatiossa on tietosuojavastaava, rekisterinpitäjän pitää pyytää häneltä neuvoja vaikutustenarviointia tehdessään. Tämä kytkee hankinnan tietosuojavastaavan tehtäviin. Yleisen tietosuoja-asetuksen 38 artikla edellyttää, että tietosuojavastaava otetaan asianmukaisesti ja riittävän ajoissa mukaan henkilötietojen suojaa koskeviin kysymyksiin.

Vaikutustenarvioinnista on erillinen artikkeli Tietosuojan vaikutustenarviointi: milloin tietosuojaa koskeva vaikutustenarviointi on pakollinen ja mitä siihen kirjoitetaan.

Tekoälyhankinta voi tarvita myös perusoikeusvaikutusten arvioinnin

Jos hankinta koskee tekoälyjärjestelmää, tietosuoja ei välttämättä ole ainoa ennakkoarviointi. Tekoälyasetuksen 27 artikla koskee suuririskisten tekoälyjärjestelmien perusoikeusvaikutusten arviointia.

Velvoite koskee käyttöönottajia, jotka ovat julkisoikeudellisia laitoksia tai julkisia palveluja tarjoavia yksityisiä yhteisöjä. Se koskee myös liitteessä III olevan 5 kohdan b ja c alakohdassa tarkoitettujen suuririskisten tekoälyjärjestelmien käyttöönottajia. Arviointi tehdään ennen suuririskisen tekoälyjärjestelmän käyttöönottoa. Poikkeuksena on 27 artiklassa rajattu tilanne.

Arvioinnissa kuvataan muun muassa prosessit, joissa järjestelmää käytetään. Siinä kuvataan myös käyttöaika, käytön tiheys, vaikutuksen kohteena olevat henkilöryhmät, haitan riskit, ihmisen valvonta ja toimet riskien toteutuessa.

Tekoälyasetuksen 27 artikla liittyy tietosuojaan tärkeällä tavalla. Jos jokin velvoite on jo täytetty yleisen tietosuoja-asetuksen 35 artiklan mukaisessa tietosuojaa koskevassa vaikutustenarvioinnissa, perusoikeusvaikutusten arviointi täydentää sitä. Hankinnassa tämä tarkoittaa, että arvioinnit kannattaa sovittaa samaan päätöksentekoon.

Korkean riskin tekoälystä on lisää artikkelissa Korkean riskin tekoäly: mitä käyttöönottajan pitää tehdä ennen joulukuuta 2027.

Mitä velvoite ei tarkoita

Sisäänrakennettu ja oletusarvoinen tietosuoja ei tarkoita, että henkilötietojen käsittely olisi kokonaan kielletty. Se tarkoittaa, että käsittely rajataan tarkoitukseen ja suojataan riskin mukaan.

Velvoite ei myöskään vaadi yhtä tiettyä teknistä ratkaisua. Yleisen tietosuoja-asetuksen 25 artiklassa otetaan huomioon uusin tekniikka, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä riskit. Sama ratkaisu ei siksi sovi jokaiseen hankintaan.

Sertifiointi ei yksin vapauta rekisterinpitäjää vastuusta. 25 artiklan mukaan hyväksyttyä sertifiointimekanismia voidaan käyttää yhtenä tekijänä vaatimustenmukaisuuden osoittamisessa. Se on siis osa näyttöä, ei koko näyttö.

Jokainen hankinta ei myöskään automaattisesti vaadi tietosuojaa koskevaa vaikutustenarviointia. Yleisen tietosuoja-asetuksen 35 artikla liittää arvioinnin korkeaan riskiin ja siinä mainittuihin tilanteisiin. Jos riski ei ole korkea, 25 artiklan vaatimukset on silti huomioitava.

Tekoälyn perusoikeusvaikutusten arviointi ei koske jokaista tekoälytyökalua. Tekoälyasetuksen 27 artikla koskee siinä määriteltyjä suuririskisiä tekoälyjärjestelmiä ja käyttöönottajia. Jos järjestelmä ei kuulu tähän piiriin, tietosuoja-asetuksen vaatimukset voivat silti soveltua henkilötietojen käsittelyyn.

Hankinnan hyvä lopputulos on selkeä. Järjestelmä tekee tarpeellisen työn, mutta ei kerää, näytä, säilytä tai luovuta henkilötietoja enempää kuin tarkoitus vaatii. Tämä on 25 artiklan käytännön merkitys.