Tietosuojakäytäntöä

Tietosuojakäytäntö on organisaation laatima asiakirja, jossa kerrotaan, miten se kerää, käsittelee, säilyttää ja suojaa henkilötietoja. Sen tarkoituksena on tarjota rekisteröidyille ja muille sidosryhmille selkeä kuva tietojen käsittelystä sekä osoittaa, että toiminta täyttää tietosuoja-asetuksen (GDPR) ja soveltuvan kansallisen lainsäädännön vaatimukset.

Tietosuojakäytäntö sisältää tyypillisesti tiedot rekisterinpitäjästä ja käsittelyn tarkoituksista, sekä datan käyttötarkoitukset ja oikeusperusteet (esim. suostumus, sopimus, laillinen velvoite). Siinä mainitaan käsiteltävät henkilötiedot, vastaanottajat tai tiedon siirrot kolmansille osapuolille sekä mahdolliset siirrot ETA-alueen ulkopuolelle ja niihin liittyvät suojatoimet. Lisäksi käytäntö kuvaa säilytysajat tai kriteerit niiden määrittämiseksi sekä käytetyt tietoturvatoimenpiteet.

Käytännössä tietosuojakäytäntö myös määrittelee rekisteröityjen oikeudet, kuten oikeuden päästä tietoihin, oikeuden oikaisuun tai poistamiseen, oikeuden rajoittaa tai vastustaa käsittelyä sekä tietojen siirtämisen mahdollisuus. Siinä annetaan yleiskatsaus yhteydenotto- ja mahdollisiin tietosuojavastaavaan (DPO) tai rekisterinpitäjään liittyviin yhteystietoihin sekä menettelyt mahdollisten tietoturvaloukkauksien ilmoittamiseksi.

Organisaatiot päivittävät tietosuojakäytäntöä säännöllisesti vastaamaan lainsäädännön ja käytäntöjen muutoksia. Käytäntö tulisi olla selkeä ja helposti saatavilla esimerkiksi verkkosivuilla, ja sen tulisi olla ajan tasalla sekä suomen että tarvittaessa muiden kielten käyttäjille.