henkilötietolainsäädännön

Henkilötietolainsäädäntö käsittää sekä EU:n yleisen tietosuoja-asetuksen (GDPR) että Suomen kansallisen lainsäädännön, jolla asetusta täydennetään. Se säätelee henkilötietojen keräämistä, tallentamista, käyttämistä, siirtämistä ja poistamista sekä rekisteröityjen oikeuksia. Sääntöjen soveltaminen koskee sekä julkisia että yksityisiä toimijoita ja sekä automatisoitua että manuaalista käsittelyä.

Keskeiset periaatteet ovat laillisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoituksenmukaisuus; minimointi; oikeellisuus; säilytyksen rajoitus; tietoturva sekä vastuu. Henkilötietojen käsittelyä voidaan tehdä vain laillisen perusteella, kuten suostumus, sopimus, lakivelvoite, elintärkeät edut, yleinen etu tai rekisteröidyn oikeutettu etu; erityistiedot vaativat tiukemman perustein asetetut säännöt.

Oikeudet rekisteröidyillä kattavat pääsyn omiin tietoihinsa, oikeuden oikaista virheelliset tiedot, oikeuden poistamiseen (unohdusoikeus), oikeuden rajoittaa käsittelyä, vastustaa käsittelyä sekä oikeuden siirtää tiedot toiseen järjestelmään. Suostumuksen voi milloin tahansa peruuttaa.

Vastuulliset ja velvoitteet: rekisterinpitäjä ja käsittelijä ovat vastuussa asianmukaisista teknisistä ja organisatorisista turvatoimista. Datanhallinnan edistämiseksi voidaan määrätä tietosuojavastaava (DPO), ja DPIA toteutetaan tarvittaessa. Tietoturvaloukkauksista tulee ilmoittaa sekä valvontaviranomaiselle että rekisteröidyille yleensä 72 tunnin kuluessa.

Valvonta ja seuraamukset: Suomessa GDPR:n noudattamista valvoo Tietosuojavaltuutettu. Rikkomuksista voidaan määrätä hallinnollisia seuraamuksia sekä esittää korvausvaatimuksia rekisteröidylle.

Kansainväliset siirrot: henkilötietoja voidaan siirtää kolmansiin maihin vain asianmukaisin suojatoimin, kuten asianmukaisuuspäätöksellä tai sopimusten turvin (esim. standard Contractual Clauses).