Tietosuojaasetuksen

Tietosuoja-asetus, EU:n yleinen tietosuoja-asetus (GDPR), on Euroopan unionin lainsäädäntö henkilötietojen käsittelystä. Asetus harmonisoi tietosuoja-velvoitteet koko unionissa ja asettaa sekä rekisteröidyille että organisaatioille oikeudet ja velvollisuudet. Se tuli voimaan 25. toukokuuta 2018 ja soveltuu sekä julkiseen että yksityiseen sektoriin sekä tilanteisiin, joissa EU:n alueella käsitellään EU-kansalaisten tai asukkaiden henkilötietoja.

Periaatteet: Käsittelyn on oltava laillista, oikeudenmukaista ja läpinäkyvää; tarkoitussidonnaisuus; tietojen minimointi; täsmällisyys; säilyttämisen rajoittaminen; eheys ja luottamuksellisuus; sekä vastuu.

Oikeudet ja suostumus: Rekisteröidyllä on oikeus päästä tietoihinsa, oikaista, poistaa (oikeus tulla unohdetuksi), rajoittaa käsittelyä, siirtää tiedot toiseen järjestelmään sekä vastustaa käsittelyä. Hänellä on myös oikeus vastustaa automaattista päätöksentekoa ja profilointia tietyissä tilanteissa. Suostumuksen on oltava vapaaehtoinen, yksiselitteinen ja tietoon perustuva; erityistiedot vaativat tiukempia suojatoimia.

Velvoitteet ja valvonta: Organisaatioiden on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, nimettävä tietosuoja-asioista vastaava (DPO) joissain tapauksissa, ja tehtävä vaikutustenarviointi DPIA korkean riskin käsittelyissä. Tietoturvaloukkauksista on ilmoitettava valvontaviranomaiselle 72 tunnin kuluessa ja tarvittaessa rekisteröidyille. Kansainväliset siirrot kolmansiin maihin edellyttävät asianmukaisia suojatoimia. Valvontaviranomaisina toimivat kansallisissa jäsenmaissa vastaavat viranomaiset; Suomessa sitä hoitaa Tietosuojavaltuutettu. Rikkomuksista voidaan määrätä huomattavia seuraamuksia.