Tietosuojavaatimukset

Tietosuojavaatimukset ovat henkilötietojen käsittelyä koskevia sääntöjä ja menettelyjä, joiden tarkoituksena on suojata yksilön yksityisyyttä ja varmistaa oikeuksien toteutuminen. Ne ohjaavat sitä, miten rekisterinpitäjä ja mahdollinen henkilötietojen käsittelijä käsittelevät, säilyttävät ja siirtävät henkilötietoja.

Lainsäädäntö ja rakenteet. EU:n yleinen tietosuoja-asetus (GDPR) sekä Suomen tietosuojalaki muodostavat peruskehyksen. Keskeisiä käsitteitä ovat rekisterinpitäjä ja käsittelijä, oikeutettu peruste käsittelylle sekä tietojen minimointi, tarkoituksen rajoitus ja säilytysajat. Käsittelylle on oltava lainmukainen peruste, kuten suostumus, sopimus, lakisääteinen velvoite tai rekisteröidyn etu. Yleensä toimenpiteet vaativat dokumentointia ja vastuullisuutta.

Tietosuoja-periaatteet ja riskienhallinta. Tietojen käsittely tulisi toteuttaa läpinäkyvästi, oikeudenmukaisesti ja läpinäkyvästi sekä säätää vähimmäistarpeen periaatteeseen. Tehokkaat tekniset ja organisatoriset toimenpiteet (TOM) suojavat tietoja sekä arvioidaan ja hallitaan riskejä. Suurten tai korkean riskin käsittelyt—esimerkiksi uudet teknologiat tai laajat profilointi—vaativat tietosuoja-arvioinnin (DPIA).

Käyttäjien oikeudet ja ilmoitusvelvoitteet. Rekisteröidyillä on oikeus saada pääsy tietoihinsa, oikaista, poistaa tai rajoittaa käsittelyä, siirtää tiedot sekä tehdä vastustus- tai automaattisen päätöksen vastustaminen. Tietosuojavalvontaviranomaiselle on ilmoitettava tietoturvaloukkauksista 72 tunnin kuluessa, ja tarvittaessa rekisteröidyille tiedotetaan haitan ilmetessä.

Kansainväliset siirrot ja valvonta. Henkilötietojen siirrot kolmansiin maihin edellyttävät asianmukaisia suojatoimia, kuten adequacy-dynaamian tai Standard Contractual Clauses -järjestelyjä. Valvovat viranomaiset valvovat noudattamista ja voivat määrätä seuraamuksia.