GDPRsääntöjä

GDPRsääntöjä, eli yleinen tietosuoja-asetus (GDPR), on EU-lainsäädäntö, joka säätelee henkilötietojen käsittelyä sekä yksilöiden oikeuksia että yritysten ja julkisyhteisöjen velvollisuuksia. Se koskee kaikkia, jotka käsittelevät EU:n alueella asuvien henkilöiden henkilötietoja tai tarjoavat niille tavaroita ja palveluita, sekä dataa EU:n ulkopuolella käsitteleviä toimijoita, joilla on tarjontaa EU:n markkinoille.

Säädöksen tavoitteena on suojata yksilöiden henkilötietoja ja yhdenmukaistaa tietosuojaa EU:n alueella. Keskeisiä periaatteita ovat laillisuus, oikeudenmukaisuus ja läpinävyys; tarkoituksen rajoitus; tietojen minimointi; tarkkuus; säilytyksen rajoitus; eheys ja luottamuksellisuus; sekä vastuu. Henkilötietojen käsittely on sallittua vain, kun siihen on riittävä oikeusperuste, kuten suostumus, sopimus, lakisääteinen velvoite, elintärkeät edut, yleinen etu tai oikeutetut edut.

Kehyskysymys ulottuu erityistapausten suojeluun: erityisiä luottamuksellisia tietoja (kuten terveystiedot) saa käsitellä vain tiukemmin säädellyin perustein. Rekisteröidyn oikeudet ovat keskeisiä: pääsy omiin tietoihinsa, oikaisu, poistaminen (oikeus tulla unohdetuksi), käsittelyn rajoitus, tiedon siirtäminen, vastustaminen sekä oikeus automaattisen päätöksenteon ja profiloinnin rajoituksiin.

Käytännön velvoitteet sisältävät tietosuojalähtöisen suunnittelun ja oletusasetukset, vaikutusarvioinnit (DPIA) korkean riskin käsittelyille sekä tietosuojavastaavan (DPO) nimeämisen joissakin tapauksissa. Tietoturvaloukkauksista on ilmoitettava valvontaviranomaiselle yleensä 72 tunnin kuluessa ja tarvittaessa asianomaisille sekä rekisteröidyille. Kansainväliset siirrot vaativat asianmukaisia suojatoimia, kuten asianmukaisia suojatoimia tai sopimuksia.

Valvonta toteutetaan kansallisilla tietosuojaviranomaisilla, joista Suomessa toimii tietosuojavaltuutettu. GDPR voi johtaa suurimpiin sakkoihin, jopa 20 miljoonaa euroa tai enintään 4 prosenttia vuotuisesta maailmanlaajuisesta liikevaihdosta, riippuen siitä kumpi on suurempi.