Yksityisyyssuojavaatimukset

Yksityisyyssuojavaatimukset ovat henkilötietojen käsittelyyn liittyviä sääntöjä, käytäntöjä ja teknisiä ratkaisuja, joiden tarkoituksena on turvata yksilön yksityisyyttä sekä varmistaa henkilötietojen oikeellisuus, luottamuksellisuus ja saatavuus. Ne koskevat muun muassa sitä, miten tietoja kerätään, säilytetään ja käytetään sekä miten niihin pääsee käsiksi.

Euroopan unionin yleinen tietosuoja-asetus GDPR muodostaa yksityisyyssuojan keskeisen kehyksen. Se määrittää periaatteet ja velvoitteet rekisterinpitäjille ja käsittelijöille sekä oikeudet rekisteröidyille. Suomessa noudatetaan lisäksi kansallista tietosuojalainsäädäntöä ja hallinnollisia ohjeita, ja valvontaviranomaisena toimii tietosuoja-alan viranomainen, jonka tehtävänä on valvoa säädösten noudattamista.

Keskeiset periaatteet ovat lainmukaisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoitussidonnaisuus; tietojen minimointi; säilytyksen rajoittaminen; tiedon oikeellisuus; eheys ja luottamuksellisuus sekä tilivelisuus. Käsittelyn on perustuttava lailliseen oikeusperusteeseen, kuten suostumukseen, sopimukseen tai lakisääteiseen velvoitteeseen. Rekisteröidyllä on oikeuksia kuten pääsy tietoihin, oikaiseminen, poistaminen, käsittelyn rajoittaminen, tietojen siirtäminen sekä vastustaminen automaattista päätöksentekoa kohtaan.

Käytännössä yksityisyyden suoja edellyttää riskinarviointia, esim. tietosuoja­vaikutusten arviointia DPIA:tä korkean riskin käsittelyissä, sekä privacy by design - ja privacy by default -näkökulmien integrointia suunnitteluun. Tietoturvatoimenpiteet ovat sekä teknisiä että organisatorisia. Tietoturvaloukkauksista on ilmoitettava valvontaviranomaiselle ja tarvittaessa rekisteröidyille, usein 72 tunnin kuluessa.