tietosuojavelvoitteita

Tietosuojavelvoitteita tarkoitetaan organisaatioiden velvollisuutta käsitellä henkilötietoja lainmukaisesti, läpinäkyvästi ja turvallisesti. EU:n yleinen tietosuoja-asetus (GDPR) muodostaa puitteet, joita jäsenvaltiot täydentävät kansallisella lainsäädännöllä, kuten Suomessa henkilötietolailla.

Velvoitteet jakautuvat rekisterinpitäjille ja käsittelijöille. Rekisterinpitäjä vastaa tietojen käyttötarkoituksesta ja oikeudellisista perusteista; käsittelijä suorittaa määrätyn käsittelyn toimeksiannosta.

Perusperiaatteet ovat laillisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoituksen rajoittaminen; minimointi; oikeellisuus; säilytysrajoitus; eheys ja luottamuksellisuus; sekä tilivelvollisuus.

Käyttäjillä on oikeuksia, kuten pääsy tietoihin, oikaiseminen, käsittelyn rajoitus, poistaminen, tietojen siirtäminen sekä vastustaminen ja automaattisen päätöksenteon rajoitukset.

Organisaatioiden velvoitteisiin kuuluu käsittelytoimintojen dokumentointi, tietosuojavaikutusten arvioinnin suorittaminen kriittisissä tapauksissa (DPIA), sekä tietosuoja-by design ja by default -periaatteiden noudattaminen. Lisäksi on ilmoitettava tietoturvaloukkauksista valvontaviranomaiselle ja, tarvittaessa, rekisteröidylle 72 tunnin kuluessa. Jos rekisterinpitäjä täyttää tietyt ehdot, voidaan asettaa tietosuojavastaava (DPO).

Kolmansiin maihin siirtämistä säädellään: siirto on sallittua asianmukaisilla suojatoimilla, kuten päätöksin tai sopimuksin, joita GDPR sallii.

Valvonta ja seuraamukset: Suomessa valvonnasta vastaa tietosuojavaltuutettu. Rikkomuksista voidaan määrätä huomautuksia, hallinnollisia seuraamuksia ja muita sanktioneja.