EUtietosuojalainsäädännössä

EU-tietosuojalainsäädäntö viittaa EU:n yleiseen tietosuoja-asetukseen (GDPR, Regulation (EU) 2016/679) sekä siihen liittyviin säädöksiin ja käytäntöihin, jotka säätelevät henkilötietojen käsittelyä jäsenvaltioissa. GDPR harmonisoi tietosuojaa koko unionissa ja vahvistaa sekä rekisteröityjen oikeuksia että rekisterinpitäjien ja käsittelijöiden velvollisuuksia. Asetus tuli voimaan 25. toukokuuta 2018 ja sen tavoitteena on suojata yksityisyyttä sekä mahdollistaa henkilötietojen vapaa liikkuvuus EU:n sisämarkkinoilla.

Keskeiset periaatteet ovat lainmukaisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoituksen rajoittaminen; tietojen minimointi; oikeellisuus; säilytyksen rajoittaminen; eheys ja luottamuksellisuus sekä vastuuvelvollisuus. Käsittelyn oikeudelliset perusteet voivat olla suostumus, sopimus, oikeudellinen velvoite, elintärkeät edut, yleinen etu sekä rekisteröidyn tai rekisteröityjen oikeutetut edut. Erityiskohdat huomioivat herkät tiedot, joiden käsittelyyn tarvitaan erityisiä suojatoimia ja usein nimenomaista suostumusta tai toisia lain asettamia perusteita.

Käyttäjillä on oikeuksia kuten oikeus saada pääsy omiin tietoihin, oikaiseminen, poistaminen (oikeus tulla unohdetuiksi), käsittelyn rajoittaminen, tietojen siirrettävyys sekä vastustaminen ja suojautuminen profiloinnilta. Henkilötietojen siirtäminen kolmansiin maihin vaatii asianmukaisia suojatoimia tai riittäviä takes-tereita (esim. EU:n hyväksyntä, Standard Contractual Clauses, BCR:it).

Valvonta ja täytäntöönpano perustuvat kansallisiin tietosuojaviranomaisiin, joita koordinoi Euroopan tietosuoja-asian neuvosto (EDPB). Lakia voidaan puittaa DPO-velvoitteilla sekä ilmoitusvelvollisuudella tietoturvaloukkauksista (72 tuntia). Rangaistukset voivat olla jopa 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta.

EU-tietosuojalainsäädäntöön liittyy myös ePrivacy-säädännön kehittäminen, joka täydentää GDPR:ää erityisesti digitaalisen viestinnän aloilla.