Ce diaporama a bien été signalé.
Nous utilisons votre profil LinkedIn et vos données d’activité pour vous proposer des publicités personnalisées et pertinentes. Vous pouvez changer vos préférences de publicités à tout moment.

Tietosuojavastaavan tehtävä ja henkilötietojen käsittelyn perusteita

433 vues

Publié le

Webinaari Snellman-kesäyliopiston järjestämällä Tietosuojavastaavan peruskurssilla (2 op) 1/3, 13.8.2019, Harto Pönkä, Innowise

Publié dans : Données & analyses
  • Soyez le premier à commenter

Tietosuojavastaavan tehtävä ja henkilötietojen käsittelyn perusteita

  1. 1. Tietosuojavastaavan tehtävä ja henkilötietojen käsittelyn perusteita Tietosuojavastaavan peruskoulutus 1/3, Snellman-kesäyliopisto, 2 op Harto Pönkä 13.8.2019 Kuva: Pixabay
  2. 2. Kenellä on vastuu tietosuojasta? Lähde: Kuntaliitto ja VM, Arjen tietosuojaa, 22.6. 2017, http://vm.fi/documents/10623/4914009/Arjen+tietosuoja+- koulutusmateriaali/8d13c7db-0f52-44ee-954a-74f24feade73 Rekisterinpitäjä - Vastuussa rekisterin henkilötietojen käsittelyn lainmukaisuudesta - Voi olla yksi tai useampi henkilö, yritys tai muu organisaatio Organisaation johto ja esimiehet - Kokonaisvastuu henkilötietojen käsittelyn lainmukaisuudesta - Esimerkin näyttäminen Tietosuojavastaava - Vastaa neuvonnasta, kehittämisestä ja seurannasta sekä yhteydenpidosta valvontaviranomaiseen Henkilöstö - Jokainen on vastuussa toiminnastaan - Ohjeiden noudattaminen - Ongelmista ilmoittaminen
  3. 3. Tietosuojavastaavan rooli ja tehtävät
  4. 4. • Tietosuojavastaavan (eng. Data Protection Officer, DPO) tehtävä perustuu yleiseen tietosuoja-asetukseen. • Tietosuojavastaava on nimitettävä, kun – rekisterinpitäjä on julkishallinnon toimija (poislukien tuomioistuimet) – ydintehtävät edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa, tai – henkilötietojen käsittely on laajamittaista, kohdistuu erityisiin henkilötietoryhmiin kuten terveystietoihin, etniseen alkuperään, poliittisiin mielipiteisiin, uskonnolliseen vakaumukseen tai seksuaaliseen suuntautumiseen tai rikoksia koskeviin tietoihin. • Tietosuojavastaavan voi nimittää myös vapaaehtoisesti. – Tietosuojavastaavan rooli määräytyy aina GDPR:n mukaisesti. Tämän takia voi olla suositeltavampaa nimetä tietosuojasta vastaava henkilö. • Konsernilla sekä usealla viranomaisella tai julkishallinnon toimijalla voi olla yhteinen tietosuojavastaava. • Tietosuojavastaava voi olla ulkoistettu palveluntarjoaja. • Jos tietoturvavastaavaa ei nimitetä, kannattaa dokumentoida sen perustelut. Tarvitsetteko tietosuojavastaavan? Lisätietoa: Tietosuoja-asetuksen 4 jakso, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN&toc=OJ:L:2016:119:FULL#d1e3702-1-1
  5. 5. • Organisaation on varmistettava, että tietosuojavastaava otetaan mukaan kaikkien henkilötietoja koskevien kysymysten käsittelyyn. – Jos organisaatio tekee päätöksiä, jotka eivät ole GDPR:n ja tietosuojavastaavan neuvojen mukaisia, tietosuojavastaavalle olisi annettava tilaisuus esittää eriävä mielipiteensä ylimmälle johdolle ja päätöksentekijöille. • Eturistiriitojen välttämiseksi tietosuojavastaava ei voi olla asemassa, jossa hänen on määritettävä henkilötietojen käsittelyn tarkoitukset ja keinot. – Esimerkiksi ylemmät johtoasemat (esim. pääjohtaja, hallintopääjohtaja, talousjohtaja, johtava asiantuntijalääkäri, markkinointiosaston päällikkö, henkilöstöpäällikkö tai tietoteknisen osaston päällikkö) voivat aiheuttaa eturistiriidan. – Eturistiriitojen vuoksi tietosuojavastaavaksi ei yleensä tulisi nimittää tietoturvavastaavaa. • Rekisterinpitäjä tai henkilötietojen käsittelijä ei saa antaa tietosuojavastaavalle ohjeita tämän tehtävien hoitamiseen. • Tietosuojavastaavaa ei saa erottaa tai rangaista tehtävien hoitamisen vuoksi. • Tietosuojavastaava raportoi suoraan organisaation ylimmälle johdolle. • Tietosuojavastaavalla on salassapitovelvollisuus. • Säännösten noudattaminen on rekisterinpitäjän tai henkilötietojen käsittelijän vastuulla. Tietosuojavastaavat eivät ole vastuussa GDPR:n rikkomisesta. Tietosuojavastaavan asema Lähde: Tietosuojatyöryhmä: Tietosuojavastaavia koskevat ohjeet, 2016, https://tietosuoja.fi/documents/6927448/8316711/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf/3aad84e5-bb59-4e64-bdaf- adc1e5f2d719/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf.pdf
  6. 6. • Tietosuojavastaavan nimittämisestä ilmoitetaan organisaation henkilöstölle. – Tietosuojatyöryhmän ohje on ilmoittaa henkilöstölle tietosuojavastaavan nimi ja yhteystiedot. • Tietosuojavastaavan yhteystiedot julkaistaan niin, että rekisteröidyt voivat olla häneen yhteydessä. – GDPR ei edellytä, että tietosuojavastaavan nimi olisi julkisesti esillä esimerkiksi nettisivuilla, mutta tietosuojatyöryhmän ohjeen mukaan se ”voi olla hyvän käytännön mukaista”. Organisaatio voi päättää nimen julkaisusta. • Tietosuojavastaavan yhteystiedot tulee liittää rekisteröityjen informointiin. – Rekisteröidyn tulisi saada informoinnin osana tietosuojavastaavan yhteystiedot riippumatta siitä, saadaanko henkilötiedot rekisteröidyltä itseltään tai muulla tavoin. • Tietosuojavastaavan nimi ja yhteystiedot tulee liittää organisaation selosteeseen käsittelytoimista. • Tietosuojavastaavan ilmoittaminen valvontaviranomaiselle: – Tietosuojavastaavan nimittämisen ilmoituslomake: https://tietosuoja.fi/ilmoitus- tietosuojavastaavasta – Tietoturvaloukkauksesta ilmoitettaessa annetaan tietosuojavastaavan nimi ja yhteystiedot. – Ennakkokuulemisen yhteydessä ilmoitetaan tietosuojavastaavan yhteystiedot. Tietosuojavastaavan ilmoittaminen Lähde: Tietosuojatyöryhmä: Tietosuojavastaavia koskevat ohjeet, 2016, https://tietosuoja.fi/documents/6927448/8316711/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf/3aad84e5-bb59-4e64-bdaf- adc1e5f2d719/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf.pdf
  7. 7. • Tietosuojavastaavalle tulee antaa riittävät resurssit tehtäviinsä, pääsy henkilötietoihin ja käsittelytoimiin sekä koulutusta osaamisen ylläpitämiseen. • Käsittelytoimien luonteesta ja organisaation toiminnasta ja koosta riippuen tietosuojavastaavalle olisi järjestettävä tarvittavat resurssit varmistamalla, että – ylempi johto tukee aktiivisesti tietosuojavastaavan tehtävää – tietosuojavastaavalle varataan riittävästi aikaa tehtävien hoitamiseen – tietosuojavastaavalle järjestetään riittävästi tukea eli varoja, infrastruktuuri (tilat, palvelut, laitteet) ja tarvittaessa henkilöstö – tietosuojavastaavan nimittämisestä ilmoitetaan virallisesti koko henkilöstölle – tietosuojavastaavalle järjestetään pääsy muihin organisaation palveluihin, jotta hän voi saada niiltä olennaista tukea ja tietoa – tietosuojavastaavalle tarjotaan jatkuvasti koulutusta. • Tietosuojavastaavan tueksi voidaan perustaa tiimi tai tietosuojaryhmä. • Jos konsernissa on useita tietosuojavastaavia, tulee heidän yhteistyönsä organisoida ja nimetä esim. tietosuojapäällikkö tai johtava tietosuojavastaava. Tietosuojavastaavan resurssit Lähde: Tietosuojatyöryhmä: Tietosuojavastaavia koskevat ohjeet, 2016, https://tietosuoja.fi/documents/6927448/8316711/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf/3aad84e5-bb59-4e64-bdaf- adc1e5f2d719/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf.pdf
  8. 8. • Ei muodollisia vaatimuksia, vaan tärkeintä on tehtävään sopiva osaaminen. • Asiantuntemuksen taso – Tason oltava suhteessa organisaation käsittelemien tietojen arkaluonteisuuteen, monimutkaisuuteen ja määrään. – Jos esimerkiksi toiminta on erityisen monimutkaista tai siihen liittyy suuri määrä arkaluonteisia tietoja, tietosuojavastaava voi tarvita tavallista enemmän asiantuntemusta ja tukea. • Ammattipätevyys – Olennaista on, että tietosuojavastaavalla on asiantuntemusta tietosuojalainsäädännöstä ja alan käytänteistä ja että hän tuntee yleisen tietosuoja-asetuksen perusteellisesti. – Tietosuojavastaavalla tulisi olla hyvä käsitys käsittelytoimista ja tietojärjestelmistä sekä rekisterinpitäjän tietoturva- ja tietosuojatarpeista. • Valmiudet tehtävien hoitamiseen – Tarvittavia ominaisuuksia ovat esim. itsenäisyys, rehellisyys ja korkea ammattietiikka. – Tietosuojavastaavalla on keskeinen asema organisaation tietosuojakulttuurin vahvistamisessa ja yleisen tietosuoja-asetuksen olennaisten osien täytäntöönpanon varmistamisessa. • Palvelusopimuksen perusteella toimiva tietosuojavastaava – Eturistiriitojen ehkäisemiseksi on suositeltavaa, että tehtävät kuvataan selkeästi ja kullekin asiakkaalle nimetään yksi henkilö ensisijaiseksi yhteyshenkilöksi ja vastuuhenkilöksi. Tietosuojavastaavan pätevyys Lähde: Tietosuojatyöryhmä: Tietosuojavastaavia koskevat ohjeet, 2016, https://tietosuoja.fi/documents/6927448/8316711/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf/3aad84e5-bb59-4e64-bdaf- adc1e5f2d719/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf.pdf
  9. 9. • Yleisen tietosuoja-asetuksen noudattamisen seuranta ja neuvonta – Seuraa tietosuojasääntöjen noudattamista ja tuo esiin havaitsemiaan puutteita. – Antaa tietoja ja neuvoja tietosuojasääntöjen mukaisista velvollisuuksista johdolle ja henkilötietoja käsitteleville työntekijöille (esim. tietosuojakoulutukset ja tukimateriaalit). – Priorisoi toimiaan ja keskittyy kysymyksiin, jotka aiheuttavat tavallista suurempia tietosuojariskejä (riskiperusteinen lähestymistapa). – Raportoi organisaation johdolle asioiden kiireellisyys huomioiden (esim. tietoturvaloukkaukset välittömästi ja pitkäaikainen seuranta vuosittain toimintakertomuksena). • Rooli tietosuojaa koskevissa vaikutustenarvioinneissa – Antaa pyydettäessä neuvoja tietosuojan vaikutustenarvioinnin tekemisestä ja valvoo vaikutustenarviointien toteutusta. • Yhteyshenkilö rekisteröidyille ja valvontaviranomaiselle – On rekisteröityjen yhteyshenkilö henkilötietojen käsittelyyn liittyvissä asioissa. – On tietosuojavaltuutetun toimiston yhteyshenkilö ja yhteistyötaho. • Muut annetut tehtävät, esim. rooli selosteen ylläpidossa – Muihin tehtäviin sopii ylläpitää sisäistä selostetta henkilötietojen käsittelytoimista. – Organisaation johto voi antaa tietosuojavastaavalle lisäksi muita tehtäviä, mutta ne eivät saa aiheuttaa eturistiriitoja: tietosuojavastaava ei saa olla vastuussa päätöksistä, joita hän valvoo. Tietosuojavastaavan tehtävät Lähde: Tietosuojatyöryhmä: Tietosuojavastaavia koskevat ohjeet, 2016, https://tietosuoja.fi/documents/6927448/8316711/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf/3aad84e5-bb59-4e64-bdaf- adc1e5f2d719/Tietosuojavastaavia+koskevat+ohjeet+fi.pdf.pdf
  10. 10. Yhteistyö ja tietosuojakulttuuri Tietosuoja- vastaava Organisaation johto Teknologiasta ja tietoturvasta vastaavat Muu henkilöstö Yhteistyö- kumppanit Asiakkaat Henkilöstö- hallinto Tietosuoja- ryhmä Tietosuojasta huolehtiminen on kaikkien vastuulla, mutta tietosuojavastaavan tehtävänä on varmistaa, että siitä tullaan tietoiseksi ja osataan toimia oikein.
  11. 11. Mitä tietosuojavastaava tekee? • Yhteydenpito eri tahoihin • Tietosuojatyön suunnittelu ja koordinointi • Palaverit, arvioinnit, kommentoinnit • Sisäiset koulutukset ja materiaalit • Henkilötietojen käsittelyn seuranta • Raportointi johdolle ja sen avustaminen • Osaamisen ylläpito, mm. tietosuoja.fi:n ja uutisten seuraaminen, kouluttautuminen
  12. 12. Tietosuojavastaavan vuosikello Lähde: Ari Andreasson, 2014, saatavilla: https://opitietosuojaa.fi/fi/48-tyokalupakki/tyon-organisointi/57-tietosuojavastaavan-vuosikello
  13. 13. Seloste ja informointi
  14. 14. • Rekisterinpitäjän seloste käsittelytoimista (vrt. rekisteriseloste) – Seloste henkilötietojen käsittelystä on organisaation omaan käyttöön – Ei tarvitse julkaista, mutta saa jos haluaa  – Yksi seloste riittää kunhan se sisältää kaikki henkilötietojen käsittelyn tarkoitukset ja niihin liittyvät rekisteröityjen ryhmät/rekisterit – Keskeinen osa GDPR:n osoitusvelvollisuuden täyttämistä – Laatimismuoto vapaa kunhan sisältää tarvittavat tiedot • Rekisteröityjen informointi (vrt. tietosuojaseloste) – Kuten rekisterinpitäjän seloste, mutta sisältää myös rekisteröityjen oikeudet – Pidetään saatavilla / julkaistaan • Henkilötietojen käsittelijän seloste käsittelytoimista – Kuvaus rekisteröityjen ryhmistä ja käsittelytoimista rekisterinpitäjittäin GDPR:n mukaiset selosteet Lähde: Tietosuojavaltuutetun toimisto, 2018, https://tietosuoja.fi/seloste-kasittelytoimista
  15. 15. Lähde: Tietosuojavaltuutetun toimisto, 2018, https://tietosuoja.fi/rekisterinpitajan-seloste-kasittelytoimista Rekisterinpitäjän seloste käsittelytoimista • Yli 250 työntekijän organisaatio  seloste on pakollinen • Alle 250 työntekijän organisaatio  seloste on tehtävä, jos henkilötietojen käsittely ei ole satunnaista, toiminta aiheuttaa todennäköisesti riskejä rekisteröidyille tai jos käsitellään rikoksiin tai rikkomuksiin liittyviä henkilötietoja • Selosteen ei ole pakko olla taulukko – kyseessä on Tietosuojavaltuutetun malli
  16. 16. • Mitä tietoja käsitellään ja mihin tarkoituksiin, säilytysaika, kenelle luovutetaan, rekisteröidyn oikeudet jne. – Taulukko annettavista tiedoista: https://bit.ly/2NgtlqQ • Informointi on tehtävä tilanteessa, jossa tietoja kerätään rekisteröidyltä. Jos henkilötiedot saadaan tai kerätään muulla tavalla, tulee informointi tehdä viimeistään kuukauden kuluessa. • Informoinnin muoto on vapaa, mutta se on tehtävä selkeästi: – Tiedon on oltava tiivistä, läpinäkyvää, helposti ymmärrettävää ja helposti saatavilla. – Selkeä ja yksinkertainen kieli on erityisen tärkeää, kun informoidaan lapsia. • Tieto on annettava kirjallisesti viestintäkanavan mukaisessa muodossa. Rekisteröidyn pyynnöstä voidaan informoida myös puheella. • Käytännössä helpointa on, että informointi on nettisivuilla, josta se voidaan linkittää eri viestintäkanaviin ja esimerkiksi ilmoittautumislomakkeille • Informointi ei ole suostumus, eikä rekisteröidyn tarvitse vahvistaa sen lukemista. Rekisterinpitäjän on kuitenkin syytä dokumentoida, miten informointi on toteutettu. Informointi (tietosuojaseloste) Lähde: Tietosuojavaltuutetun toimisto, 2018, https://tietosuoja.fi/seloste-kasittelytoimista ja https://tietosuoja.fi/rekisteroidyn-informointi
  17. 17. - Jos rekisteri koostu useasta tietojärjestelmästä, joissa on esim. eri säilytysajat ja tietojen luovutus EU:n ulkopuolelle, niin milloin niille tulee laatia eri tietosuojaselosteet? Kysymys: montako tietosuojaselostetta? • Rekisteri ei tarkoita tietojärjestelmää, vaan tiettyyn henkilötietojen käsittelytarkoitukseen liittyviä rekisteröityjen ryhmiä ja niiden tietoja. – Viranomaisten tietojärjestelmistä tulee tehdä tietojärjestelmäseloste (JulkiL), mutta se ei liity rekisteröityjen informointiin / tietosuojaselosteeseen. • Selkeintä on tehdä jokaiselle (pää-)käsittelytarkoitukselle oma tietosuojaseloste. • Kun informointi koostuu laajasta tietokokonaisuudesta, suositellaan nk. monitasoisia tietosuojaselosteita: ensimmäisellä tasolla on tärkeimmät tiedot ja alatasoilla kerrotaan yksityiskohtaisemmin esimerkiksi eri tietotoryhmistä. • Ylätason tietosuojaselosteen tulee sisältää: – Henkilötietojen käsittelytarkoitukset, rekisterinpitäjä ja rekisteröidyn oikeudet. – Tiedot käsittelystä, joka vaikuttaa rekisteröityyn eniten ja joka voi tulla rekisteröidylle yllätyksenä. – Nämä tulee toimittaa rekisteröidylle etukäteen henkilötietojen keruun yhteydessä. Lähteet: Tietosuojavaltuutetun toimisto, 2019, https://tietosuoja.fi/rekisteroidyn-informointi, Tietosuojatyöryhmä, WP260, 2018, https://tietosuoja.fi/documents/6927448/8316711/L%C3%A4pin%C3%A4kyvyys+fi/c102605b- e386-4661-9b51-bf427875c8db/L%C3%A4pin%C3%A4kyvyys+fi.pdf
  18. 18. Henkilötietojen käsittelyn perusteita
  19. 19. Mitä henkilötiedoilla on mahdollista tehdä ja mitä ei?
  20. 20. • Käsittelyn lainmukaisuus, kohtuullisuus ja läpinäkyvyys • Käyttötarkoitussidonnaisuus – Henkilötietoja saa käyttää vain alkuperäisiin ja niiden kanssa yhteensopiviin tarkoituksiin – Kuitenkin myös arkistointi-, tutkimus- ja tilastointikäyttö on yleensä sallittua • Tietojen minimointi – Kerätään ja käsitellään vain tarkoitukseen olennaisia henkilötietoja • Tietojen täsmällisyys – Tietojen päivittäminen, tarkistaminen, virheiden korjaus • Tietojen säilytyksen rajoittaminen – Tietoja säilytetään vain tarvittavan ajan • Tietojen eheys ja luottamuksellisuus – Suojaustoimenpiteet, käytön valvonta, varmuuskopiointi • Rekisterinpitäjän osoitusvelvollisuus Tietosuojaperiaatteet Lisätietoa: Tietosuoja-asetuksen 5 artikla, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN&toc=OJ:L:2016:119:FULL#d1e1793-1-1
  21. 21. • Henkilötietojen käsittely voi perustua: – Henkilön suostumukseen – Sopimukseen, jossa rekisteröity on osapuolena – Rekisterinpitäjän lakisääteiseen velvoitteeseen – Elintärkeiden etujen suojaamiseen (esim. hätätilanne) – Julkisen tehtävän hoitamiseen tai yleiseen etuun – Rekisterinpitäjän tai kolmannen osapuolen oikeutettuun etuun (esim. asiakassuhde tai työsuhde) • Arkaluonteisia henkilötietoja saa käsitellä vain rekisteröidyn nimenomaisella suostumuksella ja lainmukaisissa erityistapauksissa. • Aiemmin kerättyjä henkilötietoja voidaan käsitellä myöhemmin – yleisen edun mukaisia arkistointitarkoituksia, – tieteellisiä tai historiallisia tutkimustarkoituksia – tai tilastollisia tarkoituksia varten Henkilötietojen käsittelyn oikeusperusteet Lähde: Tietosuojavaltuutetun toimisto, 2018, Henkilötietojen käsittelyn oikeusperusteet, http://tietosuoja.fi/fi/index/euntietosuojauudistus/ohjeitarekisterinpitajalle/kasittelyperusteet.html#rekisterinpitajanoikeutettuetu
  22. 22. • Suostumuksen tulee olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen • Suostumusta ei voi antaa: – Vaikenemalla – Valmiiksi rastitetulla ruudulla – Jättämättä jotakin tekemättä • Rekisterinpitäjän on voitava osoittaa suostumuksen olemassaolo • 1.1.2019 voimaan tulleen tietosuojalain mukaan yli 13-vuotias voi antaa itse suostumuksen henkilötietojen käsittelylle tietoyhteiskunnan palveluissa (esim. verkko-, some- ja mobiilipalvelut). Suostumuksen antaminen Lähde: Tietosuojavaltuutetun toimisto ja Oikeusministeriö, 2017, Miten valmistautua EU:n tietosuoja-asetukseen? http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/1Em8rT7IF/Miten_valmistautu a_EUn_tietosuoja-asetukseen.pdf
  23. 23. Rekisterinpitäjä  tarkoitukset  h.tiedot Tarkoitukset ja keinot Rekisteriin kerätyt henkilötiedot Rekisterinpitäjä(t) Rekisterinpitäjä määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot Rekisterinpitäjän tulee käsitellä vain tarkoituksiin tarkoituksenmukaisia henkilötietoja (määrä, laatu, säilytysaika, saatavilla olo) Oikeus- peruste Tietosuojavastaava neuvoo, kouluttaa, seuraa ja raportoi Rekisterinpitäjä päättää ja toimeenpanee, tarvit. kysyy
  24. 24. Käyttötarkoitussidonnaisuus Alkuperäiseen yhteensopivat muut tarkoitukset, joita voi kohtuudella odottaa Yleisen edun mukaiset arkistointitarkoitukset, tieteelliset tai historialliset tutkimustarkoitukset tai tilastolliset tarkoitukset Muut tarkoitukset, joihin ei ole oikeusperustetta OK EI Muut tarkoitukset, joihin on saatu suostumus OK OK Rekisteriin kerätyt henkilötiedot Alkuperäiset tarkoitukset
  25. 25. Samat tiedot ja tarkoitus = sama rekisteri Rekisteriin kerätyt henkilötiedot Alkuperäiset tarkoitukset Rekisteri ei tarkoita vain yhtä tietojärjestelmää tai tietojen säilytyspaikkaa. Rekisteri voi olla hajautettu ja siitä voidaan ottaa osia käyttöön.
  26. 26. Verkkopalvelujen kolme tyyppiä REKISTERINPITÄJÄ Palvelun käyttöönsä tilannut organisaatio HENKILÖTIETOJEN KÄSITTELIJÄ Ulkopuolinen palveluntarjoaja REKISTERINPITÄJÄ Palvelun omistava ja siitä vastaava organisaatio KÄYTTÄJÄT & DATA Palveluun tallennetut sisällöt ja henkilötiedot REKISTERINPITÄJÄ Ulkopuolinen palveluntarjoaja KÄYTTÄJÄT & DATA Palveluun tallennetut sisällöt ja henkilötiedot KÄYTTÄJÄT & DATA Palveluun tallennetut sisällöt ja henkilötiedot OMAT PALVELUT SOPIMUSPALVELUT ULKOPUOLISET PALVELUT Sopimus henkilö- tietojen käsittelystä Käyttöehtosopimus tai suostumus Henkilötiedot pysyvät organisaation omassa hallinnassa Henkilötietoja päätyy ulkopuoliselle rekisterinpitäjälle Palvelua käyttävä organisaatio
  27. 27. Erota oma ja ulkopuolinen rekisteri Rekisteriin kerätyt henkilötiedot (organisaatio rekisterinpitäjänä) Ulkopuolinen somepalvelu (jonka kanssa ei ole sopimusta henkilötietojen käsittelystä) Rekisteröidyn henkilötietoja ei saa luovuttaa toiselle rekisterinpitäjälle, jos siitä ei ole kerrottu alun perin rekisteröidylle tai saatu siihen suostumusta. Jos henkilötietoja kerätään organisaation rekisteriin somepalvelun kautta, tulee siihen olla oikeusperuste sekä huolehtia rekisterinpitäjän informointivelvollisuudesta. Somepalvelua voidaan käyttää viestintään rekisteröityjen kanssa myös silloin, kun aloite siihen tulee heiltä. Tämä on syytä huomioida tietosuojaselosteessa.
  28. 28. • Suostumus (opt-in) – Sähköinen suoramarkkinointi yksityishenkilöille (sähköposti, tekstiviesti ym.) – Suostumuksen pitää olla selvä. Mahdollisuus kieltää suoramarkkinointi ei riitä. – Kerro rekisteröidylle vähintään tietosuojaselosteessa, jos • markkinoinnissa käytetään automaattista profilointia • tietoja luovutetaan muille tahoille (esim. Facebook tai Google) • Rekisterinpitäjän oikeutettu etu – Perinteinen suoramarkkinointi (puhelimitse ja postitse) – Asiakassuhteeseen liittyvä viestintä: voit tiedottaa asiakassuhteeseen liittyvistä asioista ja esimerkiksi siihen liittyvistä tulevista tapahtumista. – B2B-markkinointi: yritysten yhteyshenkilöille voit lähettää markkinointia ilman etukäteissuostumusta. – Jos epäilet oikeutetun edun riittävyyttä, pyydä suostumus. • Mieti rekisteröidyn näkökulmasta, milloin kyse on suoramarkkinoinnista, ja erota se selvästi muusta viestinnästä. • Mainitse markkinointiviestien yhteydessä, miten markkinoinnista voi kieltäytyä ja mistä tietosuojaseloste on luettavissa. • Jos mahdollista, tee toimintoja, joilla rekisteröidyt voivat itse hallita, millaista markkinointia he saavat. Markkinointi, asiakasviestintä ja GDPR
  29. 29. Profilointi  suostumus tai sopimus • Yksittäiset tiedot, esim. pisteet ja edistyminen • Yhteenvedot ja tilastot, lokitiedot • Manuaaliset arvioinnit rekisteröidystä • Yhdistelmänäkymät tiedoista ja toiminnasta • Tiedonlouhinta big datasta • Muut analyysit, joita ei käytetä yksilöitä koskeviin toimenpiteisiin EI GDPR:N TARKOITTAMAA PROFILOINTIA GDPR:N TARKOITTAMAA PROFILOINTIA • Rekisteröidyn tietoihin perustuvat automaattiset luokittelut, jotka liittyvät tämän ominaisuuksiin, kiinnostuksen kohteisiin ja todennäköisyyksiin • Automaattiset arvioinnit, ehdotukset, valinnat, tulkinnat, johtopäätökset jne. • Tietojen yhdistelystä johdetut ennusteet
  30. 30. Käytätkö profilointia markkinoinnissa? Facebookiin viedyt asiakastiedostot Nimi, sähköposti, puhelinnumero, syntymäaika, kaupunki, laitetunniste ym. Rekisteriin kerätyt henkilötiedot / tietojärjestelmät Googleen viedyt asiakasluettelot Nimi, sähköposti, puhelinnumero, postinumero, laitetunniste ym. Manuaalinen kohdentaminen Esimerkiksi sähköpostimarkkinointi manuaalisesti valituille kohderyhmille Markkinoinnissa käytetään profilointia ja autom. päätöksiä Ei profilointia
  31. 31. Ohjeista ainakin nämä! 1. Organisaation rekisterit ja informointitavat 2. Yleiset tietosuojaperiaatteet 3. Henkilötietojen käsittely eri työtehtävissä • Käsittelytarkoitukset ja oikeusperusteet • Henkilötietojen turvallinen säilytys • Salassa pidettävät tiedot ja asiakirjat 4. Mitkä ovat organisaation omassa hallinnassa olevia pilvipalveluita? 5. Miten tietosuojasta huolehditaan ulkopuolisissa pilvipalveluissa kuten sosiaalisen median palveluissa? 6. Saako työssä käyttää omia laitteita ja pilvipalveluita, ja mitä tällöin tulee huomioida? 7. Miten henkilötietojen käsittelyä seurataan? 8. Uusien rekistereiden teossa huomioitavat asiat ja yhteinen toimintamalli 9. Keneltä saa apua, ongelmista ilmoittaminen, tietosuojavastaava
  32. 32. Harto Pönkä http://twitter.com/hponka/ http://slideshare.com/hponka http://harto.wordpress.com/ http://www.innowise.fi/ Kiitos!

×