Mitä tietosuoja-asetuksen kuusi periaatetta tarkoittavat työssä?

Lyhyesti

Yleisen tietosuoja-asetuksen 5 artiklan kuusi periaatetta tarkoittavat arjessa sitä, että henkilötietoja käsitellään vain selkeään ja lailliseen tarkoitukseen. Tietoja ei kerätä varmuuden vuoksi, niitä pidetään ajan tasalla, eikä niitä säilytetä tunnistettavassa muodossa pidempään kuin on tarpeen. Tiedot suojataan niin, etteivät ne päädy sivullisille tai katoa vahingossa. Rekisterinpitäjä vastaa näistä periaatteista ja sen on pystyttävä osoittamaan, että niitä noudatetaan.

Periaatteet koskevat tavallisia työvälineitä, eivät vain tietojärjestelmiä

Tietosuojan periaatteet eivät koske vain suuria asiakasrekistereitä. Ne koskevat myös arjen työtä, jos työssä käsitellään henkilötietoja.

Yleisen tietosuoja-asetuksen 4 artiklan mukaan henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Käytännössä nimi, henkilötunnus, sijaintitieto ja verkkotunnistetieto voivat olla henkilötietoja. Tieto voi olla henkilötieto myös silloin, kun nimi puuttuu, jos henkilö voidaan tunnistaa muulla tavalla.

Sama artikla määrittelee käsittelyn laajasti. Käsittelyä ovat esimerkiksi kerääminen, tallentaminen, järjestäminen, säilyttäminen, käyttö, luovuttaminen, poistaminen ja tuhoaminen. Tämä tarkoittaa, että asiakaslistan lähettäminen sähköpostilla, työntekijän tietojen katsominen henkilöstöjärjestelmästä tai vanhan yhteystietolistan säilyttäminen verkkolevyllä voi olla henkilötietojen käsittelyä.

Rekisterinpitäjä on taho, joka päättää, miksi ja miten henkilötietoja käsitellään. Kunnassa se voi olla esimerkiksi toimielin tai organisaatio, joka määrittää palvelun tietojen käytön. Yrityksessä se on yleensä organisaatio, joka päättää asiakas- tai henkilöstötietojen tarkoituksesta ja käytännöistä.

Lisää henkilötiedon tunnistamisesta käsitellään artikkelissa Mikä on henkilötieto ja milloin se lakkaa olemasta henkilötieto?.

Kuusi periaatetta näkyvät näin työpäivässä

Yleisen tietosuoja-asetuksen 5 artikla kokoaa henkilötietojen käsittelyn periaatteet. Ne ovat käytännön tarkistuslista jokaiselle työtilanteelle, jossa henkilötieto näkyy, siirtyy tai tallentuu.

Periaate	Mitä se tarkoittaa tavallisessa työssä	Arkinen esimerkki
Lainmukaisuus, kohtuullisuus ja läpinäkyvyys	Henkilötietoja käsitellään laillisella perusteella, reilulla tavalla ja ymmärrettävästi.	Asiakkaalle kerrotaan, miksi yhteystiedot kerätään ja mihin niitä käytetään.
Käyttötarkoitussidonnaisuus	Tiedot kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten.	Tapahtuman ilmoittautumistietoja ei käytetä myöhemmin muuhun tarkoitukseen ilman asianmukaista perustetta.
Tietojen minimointi	Kerätään vain tarpeelliset tiedot.	Lomake ei kysy syntymäaikaa, jos pelkkä nimi ja yhteystieto riittävät asian hoitamiseen.
Täsmällisyys	Tiedot pidetään oikeina ja tarvittaessa ajan tasalla.	Vanhentunut osoite korjataan, kun henkilö ilmoittaa muutoksesta.
Säilytyksen rajoittaminen	Tietoja säilytetään tunnistettavassa muodossa vain tarpeellisen ajan.	Vanhaa listaa ei jätetä yhteiselle levylle vain siksi, että sitä saatetaan joskus tarvita.
Eheys ja luottamuksellisuus	Tiedot suojataan luvattomalta käytöltä, katoamiselta ja vahingoittumiselta.	Henkilötietoja sisältävää tiedostoa ei jaeta avoimella linkillä koko organisaatiolle.

Periaatteet toimivat yhdessä. Tietoa ei voi käsitellä turvallisesti, jos sitä on kerätty liikaa. Tieto ei ole läpinäkyvästi käsiteltyä, jos henkilö ei ymmärrä, miksi sitä tarvitaan. Säilytys ei ole rajattua, jos vanhoja tiedostoja jää yhteisiin kansioihin ilman vastuuta.

Lainmukaisuus ei tarkoita, että kaikkeen kysytään suostumus

Moni ajattelee, että henkilötietojen käsittely perustuu aina suostumukseen. Yleisen tietosuoja-asetuksen 6 artikla ei sano näin. Sen mukaan käsittely on lainmukaista vain, jos vähintään yksi artiklassa mainituista edellytyksistä täyttyy.

Suostumus on yksi peruste. Muita perusteita ovat sopimus, lakisääteinen velvoite, elintärkeiden etujen suojaaminen, yleistä etua koskeva tehtävä tai julkisen vallan käyttö sekä oikeutettu etu. Oikeutettu etu ei kuitenkaan koske viranomaisen tehtäviensä yhteydessä tekemää tietojenkäsittelyä 6 artiklassa mainitulla tavalla.

Tämä näkyy arjessa selvästi. Työsuhteen palkkatietoja ei käsitellä siksi, että työntekijä antaa vapaan luvan joka kuukausi. Kunnan lakisääteistä palvelua varten kerättyjä tietoja ei käsitellä samalla tavalla kuin uutiskirjeen tilausta. Asiakassopimuksen hoito ei ole sama asia kuin markkinointilistan kokoaminen.

Lainmukaisuus vaatii myös ymmärrystä erityisistä henkilötietoryhmistä. Yleisen tietosuoja-asetuksen 9 artikla koskee esimerkiksi terveystietoja, ammattiliiton jäsenyyttä, geneettisiä tietoja ja biometrisiä tietoja henkilön yksiselitteistä tunnistamista varten. Artiklan lähtökohta on kielto, ellei jokin siinä mainittu poikkeus sovellu. Tavallisessa työssä tämä tarkoittaa erityistä varovaisuutta, kun tieto kertoo terveydestä, vakaumuksesta tai muusta arkaluonteisesta asiasta.

Läpinäkyvyys tarkoittaa selkeää tietoa ja toimivaa reittiä pyyntöihin

Läpinäkyvyys ei ole vain verkkosivulla oleva tietosuojaseloste. Yleisen tietosuoja-asetuksen 12 artikla edellyttää, että rekisteröidylle annettavat tiedot ovat tiiviitä ja läpinäkyviä. Niiden pitää olla myös helposti ymmärrettäviä ja saatavilla selkeällä ja yksinkertaisella kielellä. Arkityössä tämä tarkoittaa, että ihminen saa ymmärrettävän vastauksen siihen, mitä tietoja hänestä käsitellään ja miksi.

Yleisen tietosuoja-asetuksen 13 artikla koskee tilanteita, joissa tiedot kerätään rekisteröidyltä itseltään. Rekisterinpitäjän on kerrottava muun muassa käsittelyn tarkoitukset, oikeusperuste, vastaanottajat sekä säilytysaika tai sen määrittämisen perusteet. Jos tietoja ei ole saatu rekisteröidyltä, 14 artikla sisältää vastaavat tiedot. Lisäksi on kerrottava, mistä henkilötiedot on saatu.

Rekisteröidyn oikeudet täydentävät periaatteita. Yleisen tietosuoja-asetuksen 15 artikla koskee oikeutta saada pääsy tietoihin. 16 artikla koskee tietojen oikaisua. 17 artikla koskee tietojen poistamista. 18 artikla koskee käsittelyn rajoittamista. 20 artikla koskee oikeutta siirtää tiedot järjestelmästä toiseen tietyissä tilanteissa.

Työpaikan kannalta tärkeää on tunnistaa pyyntö. Asiakas voi pyytää nähdä omat tietonsa. Työntekijä voi huomata, että hänen tietonsa on väärin. Palvelun käyttäjä voi kysyä, mistä häntä koskevat tiedot ovat peräisin. Tällaiset pyynnöt eivät ole vain asiakaspalveluasioita. Ne liittyvät suoraan asetuksen periaatteisiin.

Rekisteröidyn oikeuksista jatkaa artikkeli Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Tietoturva on yksi periaatteista, ei erillinen lisä

Eheys ja luottamuksellisuus kuuluvat yleisen tietosuoja-asetuksen 5 artiklan periaatteisiin. Henkilötietoja on käsiteltävä tavalla, joka varmistaa niiden asianmukaisen turvallisuuden. Artikla mainitsee suojan luvattomalta ja lainvastaiselta käsittelyltä. Se mainitsee myös suojan vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta ja vahingoittumiselta.

Tämä näkyy tavallisissa valinnoissa. Henkilötietoja sisältävä liite lähetetään vain oikealle vastaanottajalle. Pääsy tietoihin annetaan vain niille, jotka tarvitsevat niitä työssään. Yhteisiä kansioita ei käytetä henkilötietojen säilytyspaikkana ilman selkeää tarkoitusta. Paperi ei jää neuvotteluhuoneen pöydälle, jos siinä on henkilötietoja.

Jos henkilötietojen turvallisuus pettää, kyse voi olla henkilötietojen tietoturvaloukkauksesta. Yleisen tietosuoja-asetuksen 4 artiklan mukaan se voi olla esimerkiksi henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai pääsy tietoihin.

Yleisen tietosuoja-asetuksen 33 artikla velvoittaa rekisterinpitäjän ilmoittamaan henkilötietojen tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä. Ilmoitus on tehtävä mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus on tullut ilmi. Poikkeus koskee tilannetta, jossa loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Henkilötietojen käsittelijän on ilmoitettava loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan sen tietoonsa.

Yleisen tietosuoja-asetuksen 34 artikla koskee ilmoitusta rekisteröidylle. Ilmoitus tarvitaan, kun henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille.

Loukkauksen tunnistamista käsittelee lisää artikkeli Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta.

Periaatteet eivät ratkaise kaikkea automaattisesti

Periaatteet eivät ole lupa käsitellä henkilötietoja aina, kun käsittely tuntuu hyödylliseltä. Käsittelylle tarvitaan oikeusperuste, tarkoitus ja vain tarpeelliset tiedot. Jos tarkoitus muuttuu, yleisen tietosuoja-asetuksen 6 artiklan 4 kohta edellyttää arviointia siitä, onko myöhempi käsittely yhteensopivaa alkuperäisen tarkoituksen kanssa. Arviointia ei tarvita vain, jos käsittely perustuu suostumukseen tai unionin tai jäsenvaltion lainsäädäntöön, joka on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide 23 artiklan 1 kohdassa tarkoitetun tavoitteen turvaamiseksi.

Periaatteet eivät myöskään poista erityisten tietojen rajoja. Yleisen tietosuoja-asetuksen 9 artiklan piiriin kuuluvia tietoja ei voi käsitellä samalla rutiinilla kuin tavallisia yhteystietoja. Esimerkiksi terveystieto vaatii erillistä huomiota, koska artiklan lähtökohta on käsittelyn kielto ja poikkeukset on lueteltu erikseen.

Säilytyksen rajoittaminen ei tarkoita, että kaikki tiedot poistetaan heti, kun asia on hoidettu. Asetuksen 5 artiklan mukaan henkilö saa olla tunnistettavissa vain niin kauan kuin se on tarpeen käsittelyn tarkoitusten toteuttamiseksi. Joissakin tilanteissa tietoja voidaan säilyttää pidempään asetuksessa mainittuja arkistointi-, tutkimus- tai tilastotarkoituksia varten, kun asianmukaiset toimet ovat käytössä.

Rekisteröidyn oikeudet eivät myöskään ole aina rajattomia. Esimerkiksi 17 artikla sisältää tilanteita, joissa poistamista koskevaa oikeutta ei sovelleta. Artikla 20 rajaa oikeuden siirtää tiedot tilanteisiin, joissa käsittely perustuu suostumukseen tai sopimukseen ja käsittely tehdään automaattisesti. Lisäksi oikeus ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.

Osoitusvelvollisuus tekee periaatteista johdon asian

Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan periaatteisiin liittyy osoitusvelvollisuus. Rekisterinpitäjä vastaa siitä, että periaatteita noudatetaan. Sen on myös pystyttävä osoittamaan tämä.

Tämä tekee periaatteista käytännön kysymyksen johdolle ja esihenkilöille. Organisaation on tiedettävä, missä henkilötietoja käsitellään. Sen on osattava kuvata, miksi tietoja tarvitaan. Sen on tunnistettava, kuka pääsee tietoihin ja milloin tietoja ei enää tarvita. Sen on myös pystyttävä näyttämään, että henkilöstö ymmärtää oman roolinsa.

Osoitusvelvollisuus ei synny pelkästä hyvästä tarkoituksesta. Se tarvitsee toistettavia käytäntöjä. Esimerkkejä ovat selkeät ohjeet, vastuut, käsittelyyn liittyvät tiedot, pyyntöjen käsittelytapa, tietoturvaloukkausten käsittely ja henkilöstön osaamisesta jäävä näyttö.

Henkilöstön näkökulmasta kuusi periaatetta ovat arjen kysymyksiä. Onko tällä tiedolla selkeä tarkoitus? Tarvitaanko se todella? Näkeekö sen vain oikea henkilö? Onko tieto oikein? Säilyykö se liian pitkään? Tietääkö henkilö, miksi hänen tietojaan käsitellään?

Kun nämä kysymykset muuttuvat yhteiseksi tavaksi toimia, periaatteet eivät jää juridiikan kieleksi. Ne muuttuvat tavallisiksi päätöksiksi sähköpostissa, lomakkeissa, asiakaspalvelussa, henkilöstöhallinnossa ja tietojärjestelmien käytössä.