GDPRnäkökohtista

GDPR:n näkökohdista viittaa Euroopan unionin yleisen tietosuoja-asetuksen (GDPR) keskeisiin periaatteisiin ja käytäntöihin. Asetus, joka tuli voimaan 25. toukokuuta 2018, tähtää henkilötietojen suojan vahvistamiseen koko EU:ssa. Se soveltuu kaikille organisaatioille, jotka käsittelevät EU:n kansalaisten henkilötietoja tai seuraavat heidän käyttäytymistään EU-markkinoilla, riippumatta organisaation sijainnista.

Keskeiset periaatteet ovat laillisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoituksen rajoittaminen; minimointi; oikeellisuus; säilytyksen rajoittaminen; eheys ja luottamuksellisuus sekä vastuunalaisuus. Lakiin tai rekisteröidyille tarjottavat lailliset perusteet ovat suostumus, sopimus, oikeutetut edut, lakisääteiset velvoitteet, elintärkeät edut sekä yleinen etu tai julkinen tehtävä. Rekisteröidyillä on oikeuksia kuten pääsy tietoihin, oikaisu, poistaminen, rajoittaminen, tietojen siirrettävyys, vastarinta sekä oikeus estää päätöksenteon automaation vaikutukset.

Vastuut ja menettelytavat ovat keskeisiä: rekisterinpitäjien ja käsittelijöiden on varmistettava asianmukaiset tekniset ja organisatoriset toimenpiteet. Korkean riskin käsittelyissä tulee tehdä tietojen suojaamisen vaikutusarviointi (DPIA). DPO:n (tietosuojavastaava) nimittäminen on pakollista tietyissä tilanteissa. Tietoturvatoimet sekä tietojen loukkauksista ilmoittaminen 72 tunnin kuluessa ovat velvoitteita, ja loukkauksista on tiedotettava sekä viranomaisille että tarvittaessa rekisteröidyille. Siirto ETA-alueen ulkopuolelle edellyttää asianmukaisia suojatoimia, kuten sopimuksellisia riittävyyksiä tai ohjeellisia siirtomekanismeja. Privacy by design ja privacy by default -periaatteet ovat oleellisia suunnittelussa.

Valvonta ja seuraamukset voivat sisältää muistutuksia, määräyksiä ja huomattavia taloudellisia sakkoja. Enimmäissakko on 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta liikevaihdosta, kumpi suurempi. Organisaatioiden on ylläpidettävä kirjanpitoa käsittelytoimista ja noudatettava asianmukaisia raportointi- ja dokumentointivaatimuksia.