GDPR-kirjaimet puhekuplissa
GDPR-kirjaimet puhekuplissa

EU:n tietosuoja-asetukseen (GDPR) liittyviä käsitteitä

Olemme keränneet tähän joitakin keskeisiä EU:n tietosuoja-asetukseen liityviä käsitteitä määritelmineen.

A

Anonymisointi

Henkilötiedon käsitteleminen siten, ettei se enää ole yhdistettävissä henkilöön edes lisätietojen avulla. Tällainen tieto ei ole enää henkilötietoa. Katso myös Pseudonymisointi.

Automatisoidut yksittäispäätökset ja profilointi

Profilointi on henkilötietojen automaattista käsittelyä, jossa analysoidaan tai ennustetaan henkilön ominaisuuksia, kuten taloudellista tilannetta, ostoaikomuksia, terveyttä, työsuoritusta tai muuta käyttäytymistä. Rekisteröidyllä on esimerkiksi kielteisen lainapäätöksen tapauksessa oikeus riitauttaa automatisoitu päätös, samoin kuin vaatia, että tiedot käsittelee luonnollinen henkilö. Automatisoidut päätökset ja profilointi saavat perustua erityisiin henkilötietoryhmiin, kuten etninen alkuperä, poliittiset mielipiteet tai uskonnollinen vakaumus, ainoastaan tietyissä poikkeustilanteissa. Katso myös Erityiset henkilötietoryhmät.

E

EU:n tietosuoja-asetuksen tulkinta ja oikeuskäytäntö

Moni tietosuoja-asetukseen liittyvä asia täsmentyy vasta valvonta- ja oikeuskäytännön kautta asetusta sovellettaessa. EU:n tietosuojatyöryhmä, niin kutsuttu WP29, julkaisee tietosuoja-asetuksen tulkintaa koskevia ohjeita. Siirtymäaikana myös säädetään tietosuoja-asetusta täydentävänä kansallisena yleislakina tietosuojalaki, josta hallitus on antanut lakiesityksen 1.3.2018. Lisäksi Euroopan tietosuojaneuvosto (European Data Protection Board, EDPB) voi antaa sitovia päätöksiä asetuksen soveltamisesta. EDPB tulee korvaamaan kansallisista tietosuojaviranomaisista koostuvan WP29 -työryhmän. Katso myös WP 29 -työryhmä (Article 29 Working Party).

G

GDPR

EU:n tietosuoja-asetus, viralliselta nimeltään yleinen tietosuoja-asetus. GDPR tuli voimaan jo kaksi vuotta sitten 24.5.2016. Silloin alkoi kahden vuoden siirtymäaika, jonka kuluessa edellytetään, että organisaatiot alkavat noudattaa asetusta. Asetuksen soveltaminen alkaa 25.5.2018.

H

Henkilötieto

Tunnistettuun tai tunnistettavissa olevaan henkilöön liittyvä tieto, kuten nimi, henkilötunnus, kuva, äänite, video tai biometrinen tai geneettinen tieto.

Henkilötietojen erityiset tietoryhmät eli ns. arkaluonteiset henkilötiedot

Näitä tietoja ovat rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, geneettiset tiedot, terveyttä koskevat tiedot, seksuaaliseen käyttäytymiseen liittyvät tiedot. Erityisiä tietoryhmiä koskevia henkilötietoja voidaan käsitellä vain erikseen säädetyillä perusteilla.

Henkilötietojen käsittelijä eli prosessori (processor)

Esimerkiksi yritys, viranomainen tai yhdistys, joka käsittelee henkilötietoja rekisterinpitäjän toimeksiannosta. EU:n tietosuoja-asetuksen myötä henkilötietojen käsittelyyn liittyvät oikeudet ja velvollisuudet muuttuvat merkittävästi henkilötietojen käsittelijän osalta. Katso myös Rekisterinpitäjä.

Henkilötietojen käsittely

Henkilötietoihin kohdistettavat automaattiset ja manuaaliset toimet, kuten tiedon kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen, haku, käyttö, luovuttaminen, levittäminen, yhdistäminen, rajoittaminen, poistaminen ja hävittäminen.

Henkilötietojen tietoturvaloukkaus

Tietoturvaloukkaus, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai pääsy tietoihin.

Henkilötietolaki

EU:n tietosuoja-asetusta eli GDPR:ää edeltävä kansallinen laki, joka kumotaan GDPR:ää täydentävällä tietosuojalailla.

L

Lapsen henkilötietojen käsittely

Alle 16-vuotiaan henkilötietojen käsittely tietoyhteiskunnan palvelua, esimerkiksi erilaisia verkkopalveluja, varten vaatii vanhemman suostumuksen. EU:n jäsenvaltiot voivat kansallisessa lainsäädännössä asettaa alemman ikärajan, ja Suomessa ikärajaa todennäköisesti lievennetään 13 vuoteen.

M

Määräaika rekisteröidyn esittämään pyyntöön reagoimiselle

Rekisteröidyn esittämään pyyntöön on reagoitava yhden kuukauden sisällä. Pyyntöjen monimutkaisuuden ja määrän perusteella määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella. Tällöin rekisterinpitäjän on ilmoitettava rekisteröidylle määräajan jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä kerrottava viivästymisen syyt.

O

Oikeus käsittelyn rajoittamiseen (rajoituspyyntö)

Rekisteröidyllä on oikeus rajoittaa henkilötietojensa käsittelyä esimerkiksi silloin, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden tai jos käsittely on lainvastaista. Katso myös Oikeus saada pääsy tietoihin (tietopyyntö), Oikeus tietojen oikaisemiseen (oikaisupyyntö), Oikeus tietojen poistamiseen eli oikeus tulla unohdetuksi (unohduspyyntö), Oikeus siirtää tiedot järjestelmästä toiseen ja Vastustamisoikeus (vastustamispyyntö).

Oikeus saada pääsy tietoihin (tietopyyntö)

Rekisteröidyllä on oikeus saada pääsy henkilötietoihin, jotka rekisterinpitäjä on tallentanut hänestä. Rekisterinpitäjän on toimitettava rekisteröidylle jäljennös käsiteltävistä henkilötiedoista. Samoin rekisteröidyllä on oikeus saada tietää, mihin tarkoituksiin hänen henkilötietojaan käsitellään sekä mihin hänen henkilötietojaan on luovutettu tai aiotaan luovuttaa, erityisesti kun tietoja luovutetaan kolmansiin maihin. Rekisteröidyllä on myös oikeus mahdollisuuksien mukaan saada tieto siitä, kuinka kauan hänen tietojaan säilytetään. Lisäksi rekisteröidyllä on muun muassa oikeus saada kaikki henkilötietojen alkuperästä käytettävissä olevat tiedot silloin, kun tiedot on kerätty joltain muulta taholta kuin rekisteröidyltä itseltään. Jos rekisteröity pyytää henkilötiedoistaan useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää. Katso myös Oikeus käsittelyn rajoittamiseen (rajoituspyyntö), Oikeus saada pääsy tietoihin (tietopyyntö), Oikeus tietojen oikaisemiseen (oikaisupyyntö), Oikeus tietojen poistamiseen eli oikeus tulla unohdetuksi (unohduspyyntö), Oikeus siirtää tiedot järjestelmästä toiseen ja Vastustamisoikeus (vastustamispyyntö).

Oikeus siirtää tiedot järjestelmästä toiseen

Rekisteröidyllä on oikeus saada häntä koskevat henkilötiedot, jotka hän on toimittanut rekisterinpitäjälle, jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa, ja oikeus siirtää kyseiset tiedot toiselle rekisterinpitäjälle sen rekisterinpitäjän estämättä, jolle henkilötiedot on toimitettu. Tämä oikeus on olemassa, jos henkilötietojen käsittely perustuu rekisteröidyn suostumukseen tai sopimukseen ja jos tietojen käsittely tapahtuu automaattisesti. Rekisteröidyllä on oikeus saada henkilötiedot siirrettyä suoraan rekisterinpitäjältä toiselle, jos se on teknisesti mahdollista. Katso myös Oikeus saada pääsy tietoihin (tietopyyntö), Oikeus tietojen oikaisemiseen (oikaisupyyntö), Oikeus tietojen poistamiseen eli oikeus tulla unohdetuksi (unohduspyyntö)Oikeus käsittelyn rajoittamiseen (rajoituspyyntö) ja Vastustamisoikeus (vastustamispyyntö).

Oikeus tietojen oikaisemiseen (oikaisupyyntö)

Rekisteröidyllä on oikeus vaatia, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat epätarkat ja virheelliset henkilötiedot. Katso myös Oikeus saada pääsy tietoihin (tietopyyntö), Oikeus tietojen poistamiseen eli oikeus tulla unohdetuksi (unohduspyyntö), Oikeus käsittelyn rajoittamiseen (rajoituspyyntö), Oikeus siirtää tiedot järjestelmästä toiseen ja Vastustamisoikeus (vastustamispyyntö).

Oikeus tietojen poistamiseen eli oikeus tulla unohdetuksi (unohduspyyntö)

Rekisteröidyllä on oikeus tulla unohdetuksi eli oikeus edellyttää henkilötietojensa poistamista ilman aiheetonta viivytystä esimerkiksi silloin, kun rekisteröity peruuttaa suostumuksen, johon käsittely on perustunut, tai henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin. Rekisterinpitäjällä on velvollisuus ilmoittaa tietojen poistamispyynnöstä myös niille tahoille, joille se on luovuttanut unohduspyynnön tekijän henkilötietoja. Unohtamispyynnöstä huolimatta rekisterinpitäjällä voi olla laillinen peruste säilyttää tiedot tai osa niistä, jolloin sillä ei ole velvollisuutta poistaa tietoja tai osaa tiedoista. Tietojen säilytys voi olla tarpeen muun muassa lehdistönvapauden toteutumiseksi. Muita syitä tiedon säilyttämiseen unohduspyynnöstä huolimatta voivat olla esimerkiksi tutkimus, tilastointi, kansanterveyteen liittyvä yleinen etu, rekisterinpitäjälle kuuluvan julkisen vallan käyttäminen sekä oikeudellisen vaateen laatiminen, esittäminen tai puolustaminen. Katso myös Oikeus tietojen oikaisemiseen (oikaisupyyntö)Oikeus saada pääsy tietoihin (tietopyyntö), Oikeus käsittelyn rajoittamiseen (rajoituspyyntö), Oikeus siirtää tiedot järjestelmästä toiseen ja Vastustamisoikeus (vastustamispyyntö).

Osoitusvelvollisuus

Rekisterinpitäjän on kyettävä osoittamaan, että se noudattaa tietosuoja-asetusta. Henkilötietojen käsittely on suunniteltava ja dokumentoitava. Rekisterinpitäjän tulee pystyä osoittamaan huolehtivansa muun muassa henkilötietojen käsittelyn lainmukaisuudesta, kohtuullisuudesta ja läpinäkyvyydestä. Samoin tulee kyetä osoittamaan, että organisaatio huolehtii tietojen minimoinnista, täsmällisyydestä, eheydestä, luottamuksellisuudesta, säilytyksen rajoittamisesta sekä käyttötarkoitussidonnaisuudesta.

P

Pseudonymisointi

Henkilötietojen käsitteleminen siten, että niitä ei voida enää yhdistää tiettyyn rekisteröityyn lisätietoja käyttämättä. Lisäksi vaaditaan, että tällaiset lisätiedot säilytetään erillään ja niihin sovelletaan toimenpiteitä, joilla varmistetaan, ettei henkilötietojen yhdistämistä henkilöön tapahdu. Tietoja pseudonymisoimalla rekisterinpitäjä voi muun muassa osoittaa huolehtineensa asianmukaisesti henkilötietojen suojaamisesta. Voidaan käyttää esimerkiksi tutkimuksessa, jossa käsitellään arkaluontoisia tietoja. Pseudonymisoitu tieto on henkilötietoa, koska se on yhdistettävissä takaisin henkilöön. Katso myös Anonymisointi.

R

Rekisterinpitäjä eli controller

Esimerkiksi yritys, viranomainen tai yhdistys, joka yksin tai yhteistyössä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Katso myös Henkilötietojen käsittelijä.

Rekisteröity

Henkilö, jonka henkilötietoja käsitellään. Katso myös Henkilötieto ja Henkilötietojen käsittely.

S

Sanktiot eli hallinnolliset seuraamukset EU:n tietosuoja-asetuksen laiminlyönnistä

Valvontaviranomainen voi antaa asetuksen vaatimusten laiminlyönnistä varoituksen tai huomautuksen, kieltää henkilötietojen käsittelyn tai määrätä esimerkiksi hallinnollisen sakon. Sakon suuruus määrätään jokaisessa tapauksessa erikseen. Siihen vaikuttavat useat seikat, joiden perusteella arvioidaan mm. asetuksen vastaisen menettelyn vakavuutta ja tahallisuutta. Asetuksen mukaan sakkojen määräämisen on oltava tehokasta, oikeasuhteista ja varoittavaa. Näin ollen yhdessä tapauksessa sakko voi olla olosuhteista riippuen esimerkiksi 10 000 euroa, toisessa 500 000 euroa ja kolmannessa vaikka 50 miljoonaa euroa. Niin sanotusta vähäisemmästä tietosuojarikkomuksesta määrättävä sakko on enimmillään 10 miljoonaa euroa.  Poikkeuksena ovat yritykset, joiden liikevaihto on yli 500 miljoonaa euroa. Niiden kohdalla sakon määrä voi olla suurempikin, enimmillään 2 % organisaation edeltävän tilikauden maailmanlaajuisesta liikevaihdosta. Niin sanotusta merkittävästä tietosuojarikkomuksesta määrättävä enimmäissakko on tuplasti suurempi eli suurempi kahdesta seuraavasta: 20 miljoonaa euroa tai 4 % organisaation edeltävän tilikauden maailmanlaajuisesta liikevaihdosta. Katso myös Valvontaviranomainen.

Suostumus

Vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla rekisteröity hyväksyy henkilötietojen käsittelyn. EU:n tietosuoja-asetuksen (GDPR) myötä poistuvan henkilötietolain jako suostumukseen henkilötietojen käsittelyperusteena ja nimenomaiseen suostumukseen erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn oikeusperusteena säilyy. Suostumuksen tulee olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Erityisten henkilötietoryhmien kohdalla suostumuksen on oltava lisäksi nimenomainen. Suostumus on annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, sähköisellä tai suullisella lausumalla. Suostumuksen on katettava kaikki käsittelytarkoitukset. Suostumusta ei voi antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jonkin toimen toteuttamatta. Jos suostumus annetaan sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty, eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. Rekisterinpitäjää koskeva osoitusvelvollisuus koskee myös suostumuksen olemassaoloa. Katso myös Henkilötietojen erityiset henkilötietoryhmät, Osoitusvelvollisuus.

T

Tietosuoja

Rekisteröidyn yksityisyyden suojaaminen, kun hänen henkilötietojaan käsitellään.

Tietosuojaseloste

Rekisterinpitäjän on yleensä syytä laatia rekisteröidyn saatavilla oleva tietosuojaseloste, jonka avulla rekisteröityä informoidaan hänen henkilötietojensa käsittelystä GDPR:n edellyttämällä tavalla. Tietosuojaselosteessa tulisi kuvata henkilötietojen käsittely tiiviissä, avoimessa ja helposti ymmärrettävässä muodossa.

Tietosuojavastaava

Rekisterinpitäjän ja henkilötiedon käsittelijän on tietyissä tilanteissa nimettävä tietosuojavastaava, jonka asema ja toimenkuva on määritelty EU:n tietosuoja-asetuksessa. Tietosuojavastaava on nimettävä muun muassa silloin, jos organisaation ydintehtävät muodostuvat henkilötietojen käsittelystä, joka edellyttää rekisteröityjen säännöllistä ja järjestelmällistä seurantaa laajassa mitassa. Samoin tietosuojavastaava on nimettävä, jos rekisterinpitäjä tai tietojen käsittelijä on viranomainen tai julkishallinnon elin, poikkeuksena tuomioistuimet. Tietosuojavastaava on myös nimettävä, jos rekisterinpitäjän tai tietojen käsittelijän ydintehtävänä on henkilötietojen erityisiin tietoryhmiin, rikostuomioihin tai rikoksia koskeviin tietoihin liittyvä laajamittainen henkilötietojen käsittely. Tietosuojavastaava toimii valvontaviranomaisen ja rekisteröityjen kontaktihenkilönä henkilötietojen käsittelyyn liittyen. Näin ollen tietosuojavastaavan yhteystiedot on julkistettava sekä ilmoitettava ne valvontaviranomaiselle. Tietosuojavastaava seuraa muun muassa henkilötietojen käsittelyn lainmukaisuutta sekä auttaa lainsäädännön velvoitteiden toteuttamisessa. On kuitenkin tärkeää huomata, että vastuu henkilötietojen käsittelyn lainmukaisuudesta kuuluu organisaation johdolle, ei tietosuojavastaavalle.

V

Valvontaviranomainen

Suomessa EU:n tietosuoja-asetuksen mukainen kansallinen valvontaviranomainen on tietosuojavaltuutettu. Valvontaviranomaisella on oikeus määrätä asetusta laiminlyövälle taholle sanktioita, mukaan lukien sakkoja. Katso myös Sanktiot eli hallinnolliset seuraamukset EU:n tietosuoja-asetuksen laiminlyönnistä

Vastustamisoikeus (vastustamispyyntö)

Rekisteröidyllä on oikeus vastustaa henkilötietojensa käsittelyä tietyissä tilanteissa. Vastustamisoikeus koskee muun muassa käsittelyä suoramarkkinointia varten sekä tietyin edellytyksin myös käsittelyä tieteellistä, historiallista tai tilastollista tutkimusta varten. Kansallisella lailla voidaan kuitenkin säätää poikkeuksia tästä oikeudesta. Katso myös Oikeus käsittelyn rajoittamiseen (rajoituspyyntö)Oikeus saada pääsy tietoihin (tietopyyntö), Oikeus tietojen oikaisemiseen (oikaisupyyntö)Oikeus tietojen poistamiseen eli oikeus tulla unohdetuksi (unohduspyyntö), Oikeus käsittelyn rajoittamiseen (rajoituspyyntö) ja Oikeus siirtää tiedot järjestelmästä toiseen.

Vastuu henkilötietojen käsittelyn lainmukaisuudesta

Vastuu henkilötietojen käsittelyn lainmukaisuudesta kuuluu organisaation johdolle.

W

WP 29 -työryhmä (Article 29 Working Party)

EU:n kansallisista tietosuojaviranomaisista koostuva työryhmä, joka julkaisee tietosuoja-asetuksen tulkintaa koskevia ohjeita. Katso myös EU:n tietosuoja-asetuksen tulkinta ja oikeuskäytäntö.

Y

Yleiset tietosuojaperiaatteet

Yleisiä henkilötietojen käsittelyn tietosuojaperiaatteita ovat muun muassa
  • lainmukaisuus, kohtuullisuus ja läpinäkyvyys,
  • käyttötarkoitussidonnaisuus: tiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla,
  • tietojen minimointi: henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään,
  • täsmällisyys: henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä,
  • säilytyksen rajoittaminen: henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten asetuksen 89 artiklan 1 kohdan mukaisesti edellyttäen, että asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi,
  • eheys ja luottamuksellisuus: henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia,
  • sisäänrakennettu ja oletusarvoinen tietosuoja: Ottaen huomioon uusimman tekniikan ja toteuttamiskustannukset sekä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä käsittelyn aiheuttamat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, rekisterinpitäjän on toteutettava tietosuojaperiaatteiden täytäntöönpanoa varten asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta käsittely vastaisi asetuksen vaatimuksia ja rekisteröityjen oikeuksia suojattaisiin.

    Rekisterinpitäjän on myös toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja.

    Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.