EUtietosuojaasetusta

EU-tietosuoja-asetus (General Data Protection Regulation, GDPR) on EU:n tietosuoja-asetus, joka tuli voimaan 25.5.2018. Se luo yhtenäisen kehyksen henkilötietojen käsittelylle EU:ssa ja kansainvälisessä toiminnassa sekä vahvistaa yksilön oikeuksia. Asetus korvaa aiemman tietosuojadirektiivin ja edellyttää vastuullista toimintaa kaikilta käsittelijöiltä.

Soveltamisala: Asetus koskee kaikkia rekisterinpitäjiä ja käsittelijöitä, jotka käsittelevät EU:n kansalaisten henkilötietoja tai tarjoavat tuotteita tai palveluita EU:ssa, sekä seuraavat tai profiloi rekisteröityjen käyttäytymistä. Se sisältää myös ulkomaisen toiminnan ja extraterritorialisen vaikutuksen.

Keskeiset periaatteet ovat laillisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoituksenmukaisuus; tietojen minimointi; tarkkuus; tallennuksen rajoittaminen; turvallisuus ja vastuullisuus.

Käyttäjillä on oikeuksia, kuten oikeus saada pääsy tietoihin, oikaista tai poistaa tietoja, rajoittaa käsittelyä, siirtää tiedot, vastustaa käsittelyä sekä peruuttaa suostumus. Henkilöt voivat myös saada yksityiskohtaisia tietoja käsittelystä ja tehdä valituksen viranomaiselle.

Velvoitteet rekisterinpitäjille ja käsittelijöille sisältävät laillisen perusteet käsittelylle (esim. suostumus, sopimus), tietosuoja-by-design ja default, DPIA:n tarve riskisissä tilanteissa, DPO:n nimeäminen joissain tapauksissa, tietoturva sekä rekisteröityjen oikeuksien käytännön toteuttaminen ja tietoturvaloukkausten ilmoittaminen 72 tunnin sisällä.

Tietojen siirrot kolmansiin maihin vaativat asianmukaisia suojatoimia (esim. asianmukaisuuspäätöksiä tai sopimusmalleja). Valvontaviranomaiset valvovat noudattamista ja voivat määrätä seuraamuksia, joista suurimmat voivat olla merkittäviä. GDPR:n vaikutukset ovat laajoja sekä julkiselle että yksityiselle sektorille.