GDPR tutuksi
Blogisarjan edellisessä osassa tarkasteltiin tietosuoja-asetuksen (GDPR) tuomia rekisteröidyn oikeuksia omiin tietoihin ja tietojen korjaamiseen. Tässä osassa käsitellään rekisteröidyn oikeutta rajoittaa henkilötietojensa käsittelyä ja sitä, miten tämä vaikuttaa rekisterinpitäjän toimintaan. Oikeudet tulla unohdetuksi, vastustaa ja rajoittaa käsittelyä tarkoittavat henkilötietojen rajaamista pois käsittelyprosesseista. Seuraavaksi perehdytään siihen, miten nämä oikeudet vaikuttavat rekisterinpitäjän toimintaan.
Oikeus tulla unohdetuksi
Oikeutta tietojen poistamiseen kutsutaan myös oikeudeksi tulla unohdetuksi. Tietosuoja-asetus edellyttää, että henkilötietojen käsittelylle on asetuksen mukainen peruste, esimerkiksi asiakkaan suostumus. Asiakkaan kannalta suostumuksen perumisen tulee olla yhtä helppoa kuin suostumuksen antamisenkin. Tiedot tulee poistaa ilman aiheetonta viivästystä, kun asiakas niin pyytää tai vastaavasti silloin, kun tietoja ei enää tarvita alkuperäiseen tarkoitukseen. Henkilötietojen käsittelylle on aina oltava laillinen peruste. Mikäli suostumuksen lisäksi ei ole muita perusteita, on tiedot poistettava, jos asiakas sitä pyytää.
Esimerkiksi pilvipalveluita käytettäessä tietojen fyysinen poistaminen on mahdotonta. Kovalevyä ei voida vain tuhota. Tiedon salaamista voidaan pitää tietojen poistamisena, mutta rekisterinpitäjän tulee huolehtia siitä, että salausta ei jälkikäteen saa mitenkään purettua. Lokitiedostoja ja varmuuskopioita voidaan myös pitää henkilötietoina, jos niistä ilmenee henkilöön yhdistettäviä tietoja. Tästä syystä suunnitelmat lokien ja varmuuskopioiden hävittämiseksi tai salaamiseksi pitää tehdä ja dokumentoida.
Oikeus vastustaa käsittelyä
Tietosuoja-asetus tuo henkilöille oikeuden vastustaa henkilötietojensa käsittelyä ja automaattista päätöksentekoa sekä profilointia. Automaattisella päätöksenteolla tarkoitetaan päätöksentekoa, johon ei osallistu luonnollinen henkilö. Profiloinnilla tarkoitetaan henkilötietojen automaattista käsittelyä, jossa arvioidaan henkilön ominaisuuksia tämän tietoja hyväksi käyttäen. Oikeutta vastustaa automaattista päätöksentekoa ei sovelleta, jos käsittely perustuu henkilön nimenomaiseen suostumukseen tai jos käsittely on välttämätöntä henkilön ja rekisterinpitäjän välisen sopimuksen tekemisen tai täytäntöönpanon kannalta. Lisäksi EU:n oikeus ja kansallinen lainsäädäntö voivat tuoda tähän poikkeuksia.
Mikäli rekisterinpitäjä käsittelee henkilötietoja automaattista päätöksentekoa hyödyntäen tai suorittaa profilointia, tulee siitä ilmoittaa rekisteröidyille. Tietojärjestelmiltä tämä vaatii sitä, että yksittäinen henkilö täytyy pystyä rajaamaan pois automaattisesta päätöksenteosta, profiloinnista tai koko käsittelystä. Järjestelmässä tulee myös huomioida se, että käsittelyn vastustaminen ei suoraan tarkoita tietojen poistamista.
Oikeus käsittelyn rajoittamiseen
Käsittelyn rajoittamisella tarkoitetaan henkilötietojen käsittelyn väliaikaista lopettamista. Rekisteröidyn henkilötiedot tulee siirtää käsittelystä pois, mikäli hän kiistää tietojen paikkansapitävyyden tai käsittelylle ei ole laillista perustetta, mutta rekisteröity ei halua tietoja poistettavan. Henkilötiedot tulee myös rajata käsittelystä pois, mikäli rekisteröity vastustaa kyseistä käsittelyä, mutta rekisterinpitäjä selvittää, onko se oikeutettu käsittelyyn. Tietojen käsittelystä pois rajaaminen on myös tarpeen, vaikka rekisterinpitäjä ei enää tietoja tarvitsisi, mutta rekisteröity tarvitsee niitä oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi.
Järjestelmältä tämä oikeus tarkoittaa sitä, että henkilö täytyy pystyä rajaamaan pois käsittelystä väliaikaisesti. Henkilötietojen on silti löydyttävä järjestelmästä, mutta esimerkiksi käyttöoikeuksia tietoihin tulee rajoittaa ja varmistaa, että tietoja ei käytetä asiakkaan määrittämään tarkoitukseen.
Tietosuoja-asetuksen myötä EU-kansalaiset saavat huomattavasti enemmän valtaa rajoittaa omien tietojensa käsittelyä. Rekisterinpitäjien kannalta tämä tarkoittaa sitä, että henkilötietoja pitää käsitellä entistä vastuullisemmin ja toiminnan tulee olla läpinäkyvää. Vastuullisuus ja läpinäkyvyys henkilötietojen käsittelyssä kasvattavat asiakkaiden luottamusta. Lisäksi rekisterinpitäjien kannattaa toiminnan sujuvuuden kannalta huolehtia, että oikeuksien toteuttaminen onnistuu myös järjestelmien puolesta vaivattomasti. Viimeinen blogisarjan osa koskee läpinäkyvyyttä sekä siihen liittyvää edellä mainittua rekisteröidyn oikeutta ja rekisterinpitäjän ilmoitusvelvollisuutta tietoturvaloukkauksen tapahtuessa.
Kirjoittaja: Eero Paajanen
