GDPRvaatimuksia

GDPRvaatimuksia kuvaa EU:n yleinen tietosuoja-asetus (GDPR), joka säätelee henkilötietojen käsittelyä sekä julkisessa että yksityisessä sektorissa. Se asettaa velvoitteita rekisterinpitäjille ja käsittelijöille sekä antaa rekisteröidyille oikeuksia. Suomessa valvonta hoidetaan pääasiassa Tietosuojavaltuutetun toimiston kautta.

Keskeiset periaatteet ovat laillisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoituksen rajoitus; minimointi; oikeellisuus; säilytysrajoitus; turvallisuus ja vastuu. Henkilötietojen käsittelylle on oltava laillinen peruste, kuten suostumus, sopimuksen täytäntöönpano, lakisääteinen velvoite, elintärkeät edut, yleinen etu tai rekisteröidyn oikeutetut edut. Käsittelyn peruste määrittää, mitä saa tehdä ja miten rekisteröidylle ilmoitetaan käsittelystä.

Rekisteröidyillä on oikeuksia kuten päästä tietoihin, oikaista tietoja, poistaa tiedot (oikeus tulla unohdetuksi), käsittelyn rajoittaminen, tietojen siirrettävyys sekä vastustaa käsittelyä ja ei-automaattista päätöksentekoa. Näiden oikeuksien käyttämisestä on tiedotettava rekisteröityä ja varmistettava käytännön mahdollisuus niiden toteuttamiseen.

Käsittelyn vaikutuksiin liittyy DPIA eli tietosuoja-vaikutusten arviointi, erityisesti korkeaa riskiä sisältävissä toimenpiteissä. DPO:n (tietosuojavastaava) voi olla nimetty, jos käsittely on suurta ja/tai kohdistuu laajasti rekisteröityihin, tai jos laki sitä vaatii.

Turvallisuusvaatimukset kattaisivat tekniset ja organisatoriset toimenpiteet (TOM). Ilmoitusvelvollisuus koskee tietoturvaloukkauksia: niiden on yleensä ilmoitettava sekä valvontaviranomaiselle että rekisteröidyille 72 tunnin kuluessa, kun riski ilmenee. Siirrot EU:n ulkopuolelle edellyttävät asianmukaisia suojatoimia, kuten riittäviä suojatoimia tai sopimusperusteisia siirtomenetelmiä (esimerkiksi vakiolausekkeet). Suomessa GDPR:n noudattamista valvovat sekä kansallinen tietosuojavaltuutettu että EU:n mekanismit.