GDPRlainsäädäntö

GDPR-lainsäädäntö viittaa EU:n yleiseen tietosuoja-asetukseen (GDPR), joka säätelee henkilötietojen käsittelyä sekä yksilöiden yksityisyyden suojaa EU:n ja ETA:n alueella. Asetus on suoraan sovellettavissa eikä edellytä erillistä kansallista lainsäädäntöä sen täytäntöön panemiseksi. Sen tavoitteena on yhtenäistää tietosuoja EU:n alueella sekä vahvistaa rekisteröityjen oikeuksia ja datan hallintaan liittyvää vastuullisuutta. GDPR tuli voimaan 25. toukokuuta 2018.

Keskeiset periaatteet ja oikeudet keskittyvät oikeusperusteisiin, rekisteröityjen oikeuksiin sekä vastuun kantamiseen. Käsittelyn on perustuttava lailliseen perusteeseen, kuten suostumukseen, sopimukseen, oikeutettuun etuun tai lakisääteiseen velvoitteeseen. Rekisteröidyllä on oikeus päästä omiin tietoihinsa, oikaista, pyytää poistamista, rajoittaa käsittelyä, siirtää tiedot toiselle palveluntarjoajalle sekä vastustaa käsittelyä, mukaan lukien automaattinen päätöksenteko ja profilointi.

Tietosuoja on huomioitava suunnittelussa ja oletusasetuksissa (privacy by design ja privacy by default). Vaikutusarviointi (DPIA) voi olla tarpeen, kun käsittelyyn liittyy suuri riski rekisteröityjen oikeuksille ja vapauksille. Rekisterinpitäjällä ja käsittelijällä on vastuu tietojen minimi- ja tarkoitussidonnasta sekä asianmukaisista teknisista ja organisatorisista turvatoimista.

Sijainti ja siirrot: henkilötietoja voidaan siirtää Euroopan unionin ulkopuolelle vain, jos asianmukaiset suojatoimet ovat voimassa (esimerkiksi riittävät suojatoimet tai riittävä lainalainen siirtotekniikka).

Sääntelyyn sovelletaan valvontaviranomaisia kansallisissa jäsenvaltioissa; rikkomuksista voidaan määrätä huomattavia sakkoja, jopa 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuosisatasta, kummempi on suurempi.