Käsittelyperusteet

Käsittelyperusteet ovat GDPR:n mukaan henkilötietojen käsittelyn oikeusperusteita, joiden nojalla rekisterinpitäjä saa käsitellä henkilötietoja. Ennen käsittelyn aloittamista on määriteltävä sovellettava perusta ja vastuu siitä on dokumentoitava rekisteriselostukseen sekä pidettävä ajan tasalla.

Pääperusteet löytyvät artikla 6(1) ja ne ovat: suostumus; sopimuksen toteuttaminen tai valmistelu; lakisääteinen velvoite; elintärkeät edut; tehtävä julkisen edun tai yleisen edun vuoksi; sekä rekisterinpitäjän tai kolmannen oikeutetut edut, kun ne eivät syrjäytä rekisteröidyn oikeuksia ja vapauksia. Näitä perusteita sovelletaan kunkin käsittelytoimenpiteen tarkoituksen mukaan.

Erityisten henkilötietojen käsittelyä koskevat säännöt (art. 9) ovat tiukemmat. Käsittely on sallittua vain poikkeuksellisesti ja tiukkojen ehtojen, kuten rekisteröidyn suostumuksen tai muun lain salliman perustein, esimerkiksi terveydenhuollon, tutkimuksen tai tärkeän yleisen edun toteuttamiseksi sekä asianmukaisin suojatoimin.

Käytännössä käsittelyperusta valitaan tapauskohtaisesti ottaen huomioon tarkoitus, välttämättömyys ja suhteellisuus. Rekisterinpitäjän on dokumentoitava perusta, arvioitava käsittelyn tarve sekä varmistettava rekisteröidyn oikeudet, kuten oikeus päästä tietoihin, oikaista, rajoittaa tai vastustaa käsittelyä. Mikäli perusta muuttuu, on päivitys RoPAan ja mahdollisesti rekisteröidyn informointi tarpeen. Suostumuksen käytössä sen on oltava vapaaehtoinen, tietoon perustuva, yksittäinen ja selvästi annettu; suostumus on peruttavissa milloin tahansa.