Henkilötietojen käsittelyyn liittyy useita toisiaan täydentäviä periaatteita, jotka löytyvät yleisen tietosuoja-asetuksen (GDPR) 5 §. Henkilötietoja käsitellessä on olennaista varmistaa, että tiedot on kerätty tiettyä laillista tarkoitusta varten ja että niitä käsitellään reilusti ja rekisteröidyn kannalta läpinäkyvästi. Lisäksi kerättyjen henkilötietojen tulee olla oleellisia rekisterinpitäjän tarkoituksia varten, ja tiedot tulee suojata asianmukaisin keinoin. Alla käsitellään eri vaatimuksia ja periaatteita tarkemmin.
KÄSITTELYPERIAATTEET
Henkilötietojen käsittelyperiaatteita ovat lainmukaisuus, kohtuullisuus ja läpinäkyvyys, käyttötarkoitussidonnaisuus, tietojen minimointi, täsmällisyys, säilytyksen rajoittaminen sekä eheys ja luottamuksellisuus.
Lainmukaisuus, kohtuullisuus ja läpinäkyvyys: Lainmukaisuus edellyttää sitä, että henkilötietojen käsittelylle on laissa mainittu oikeudellinen peruste. Tietojen käsittely voi perustua esimerkiksi sopimukseen, suostumukseen tai lakisääteiseen velvoitteeseen. Erityisiin henkilötietoryhmiin, kuten terveystietoihin, liittyvässä henkilötietojen käsittelyssä tulee noudattaa erityistä tarkkuutta, jolloin lainmukaisuusvaatimus korostuu entisestään.
Kohtuullisuusperiaatteen mukaan rekisterinpitäjän tulee käsitellä henkilötietoja reilusti, asianmukaisesti ja rekisteröidyn huomioon ottaen. Tämä periaate suojaa rekisteröityä siltä, että rekisterinpitäjä käsittelisi hänen henkilötietojaan ilman rekisteröidyn antamaa tietoista ja yksilöityä suostumusta.
Läpinäkyvyysperiaate pyrkii tasaamaan rekisteröidyn ja rekisterinpitäjän välistä epätasapainoa. Rekisterinpitäjällä on usein paljon tietoa rekisteröidystä kerättyjen tietojen perusteella, kun taas rekisteröity ei välttämättä ole edes käsittänyt tietojen keräämisen tarkoitusta. Pahimmassa tapauksessa rekisteröity ymmärtää tietojen keräämisen luonteen ja merkityksen vasta, kun hänen kannaltaan epäsuotuisa seuraus on jo syntynyt. Läpinäkyvyydellä pyritään välttämään tätä epätasapainoa ja periaatteeseen kuuluukin, että tiedot henkilötietojen käsittelystä tulee olla helposti ja ymmärrettävästi rekisteröidyn saatavilla. Ei siis riitä, että vain tietosuojaan perehtynyt ihminen ymmärtää tietojen käsittelyn tarkoituksen, vaan jokaisen ihmisen, taustasta huolimatta, tulisi ymmärtää, miten hänen henkilötietojaan käsitellään. Tietojen helposti saatavuus puolestaan edellyttää, ettei henkilön tarvitse etsimällä etsiä olennaisia tietoja henkilötietojen käsittelystä. Tiedot tulisi löytää helposti esimerkiksi saman internet-sivuston alabannerista.
Käyttötarkoitussidonnaisuus: Rekisterinpitäjän mahdollisuus käyttää keräämiään henkilötietoja mielivaltaisesti on rajoitettu. Käyttötarkoitussidonnaisuuden mukaisesti henkilötiedot on ensinnäkin kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten. Toisekseen henkilötietoja ei saa myöhemmin käsitellä alkuperäisten tarkoitusten vastaisesti. Yhteensopivaksi henkilötietojen käsittelyksi voidaan katsoa esimerkiksi yleisen edun mukainen arkistointitoimi tai käsittely tieteellistä tutkimusta varten, kunhan GDPR:n asettamia suojatoimia, kuten henkilötietojen aggregointia, noudatetaan.
Tietojen minimointi: Kun rekisterinpitäjä kerää henkilötietoja, on kerättävien tietojen määrä rajattava siihen, mikä on rekisterinpitäjän tarkoituksen kannalta asianmukaista ja olennaista. Ylimääräisiä tietoja ei siis voi kerätä vain ”varmuuden vuoksi”. Näin ollen esimerkiksi nettishoppailun yhteydessä on olennaista selvittää asiakkaan toimitusosoite, mutta henkilötunnuksen pyytäminen johtaisi liian laajaan henkilötietojen käsittelyyn.
Toisena esimerkkinä voidaan käyttää Taksi Helsinki -tapausta, jossa oli kyse kameravalvonnasta takseissa. Kaikissa rekisterinpitäjän takseissa oli turvakamerat, joiden tarkoituksena oli taata turvallisuus ajon aikana. Rekisterinpitäjä käsitteli videomateriaalia kaikkien taksien osalta, mutta ääninauhoja vain osassa tapauksia. Tämän perusteella apulaistietosuojavaltuutettu katsoi, että kuvamateriaalin käsittely oli rekisterinpitäjän normaalia toimintaa, jolla saavutettiin henkilötietojen käsittelyn tarkoitus (turvallisuuden varmistaminen), mutta ääninauhojen käsittely ylitti tietojen minimoinnin periaatteen.
Sen lisäksi, että henkilötietoja tulee kerätä niin vähän kuin mahdollista, minimointiperiaate edellyttää myös, että kerätyt henkilötiedot poistetaan siinä vaiheessa, kun niitä ei enää tarvita.
Täsmällisyys: Kerättyjen henkilötietojen tulee olla täsmällisiä ja tarvittaessa päivitettyjä. Rekisterinpitäjän tulee myös mahdollisuuksien mukaan varmistaa, että virheelliset tai vanhentuneet henkilötiedot poistetaan tai oikaistaan viipymättä. Näin ollen rekisterinpitäjän kannattaa säännöllisin väliajoin tarkistaa kerätyt henkilötiedot ja niiden ajantasaisuus.
Säilytyksen rajoittaminen: Tietosuojalainsäädännössä ei ole määritelty tarkkaa henkilötietojen säilytysaikaa, mutta henkilötietoja saa säilyttää ainoastaan niin kauan kuin se on tarpeen alkuperäisen tietojenkäsittelyn tarkoituksen toteuttamiseksi. Kun henkilötietojen käsittelylle ei enää ole tarvetta, on tiedot joko poistettava tai anonymisoitava siten, ettei henkilö ole enää tunnistettavissa tiedoista.
Rekisterinpitäjän pitää pystyä perustelemaan, miksi se säilyttää henkilötietoja tietyn ajanjakson ajan. Tällainen peruste voi esimerkiksi olla reklamaatioiden käsittelyn helpottaminen, jolloin myyjänä toimivan rekisterinpitäjän voi olla tarkoituksenmukaista säilyttää henkilötietoja vielä tietyn ajan asiakassuhteen päättymisen jälkeen.
Vaikka lähtökohtaisesti tietojenkäsittelyajan tulee olla niin lyhyt kuin mahdollista, voi tietojen pidempiaikainen säilyttäminen olla myös lakiin perustuva velvollisuus. Näin on esimerkiksi kirjanpitolaista seuraavien kirjanpitovelvotteiden tapauksessa. Tämän lisäksi arkistointiin, tutkimukseen tai tilastointiin liittyvissä erityistapauksissa voi poikkeuksellisesti säilyttää henkilötietoja alkuperäistä käyttötarkoitusta kauammin.
Eheys ja luottamuksellisuus: Henkilötietoja on käsiteltävä eheästi ja luottamuksellisesti siten, että henkilötiedot pysyvät turvassa. Eheysperiaatteen mukaan henkilötietoja ei saa muuttaa ilman rekisteröidyn suostumusta. Luottamuksellisuus puolestaan edellyttää, ettei tietoja käsitellä laittomasti tai luvattomasti, ja että tiedot suojataan vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta.
Henkilötietoja voidaan suojata esimerkiksi teknisin keinoin, kuten salasanoin, tietoturvapäivityksin tai sisäänkirjautumisen rajoituksin. Tämän lisäksi henkilötietoja voidaan suojata myös organisatorisin toimenpitein. Henkilötietoihin pääsy voidaan mahdollistaa esimerkiksi vain niille henkilöille, jotka todella tarvitsevat kyseiset tiedot tehtäviensä hoitamiseksi.
Osoitusvelvollisuus: Muista periaatteista hieman irrallinen, mutta lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatetta vahvasti täydentävä osoitusvelvollisuus löytyy GDPR 5 § 2 momentista. Lainkohdan mukaan rekisterinpitäjä vastaa siitä, että lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteita on noudatettu koko henkilötietojen käsittelyn elinkaaren ajan, ja lisäksi rekisterinpitäjän on pystyttävä osoittamaan noudattavansa näitä periaatteita käsitellessään henkilötietoja.
Rekisterinpitäjä voi toteuttaa osoitusvelvollisuuttaan esimerkiksi seuraavin keinoin:
- Pitämällä kirjaa sellaisista toimenpiteistä, joilla on pyritty tunnistamaan tietoturvariskejä.
- Luomalla kuvauksia henkilötietoihin liittyvistä käsittelytoimista tai toimintaperiaatteista.
- Kirjaamalla yksityiskohtaisesti, millä oikeusperusteella henkilötietoja kerätään ja miksi tiettyyn perusteeseen on päädytty.
- Luomalla tietopaketteja ja järjestämällä henkilöstökoulutuksia, jotka liittyvät henkilötietojen käsittelyyn.
- Tekemällä raportteja mahdollisista tietoturvaloukkauksista, niiden selvittämisestä ja niiden seurauksena parantuneista käytänteistä.
Pitkäkestoisella dokumentaatiolla rekisterinpitäjä voi osoittaa ottavansa tietosuojakysymykset ja henkilötietojen suojelun vakavasti. Mikäli rekisterinpitäjä ei kykene erilaisin keinoin osoittamaan osoitusvelvollisuuttaan, voi tästä seurata hallinnollisia seuraamuksia, kuten mittavia sakkoja.
Lue täältä lisää henkilötietojen käsittelystä suostumuksen perusteella.
Lähde §: yleinen tietosuoja-asetus, Apulaistietosuojavaltuutetun ja seuraamuskollegion päätökset (Dnro 8393/161/2019)
24.02.2017
Päivitetty 06.07.2024
Suomen Juristit lakimies
Nopeaa apua lakiasioihin.
