MIKÄ IHMEEN GDPR?

Euroopan unionin yleinen tietosuoja-asetus tuli voimaan 24. toukokuuta 2016. Tietosuoja-asetusta sovelletaan kahden vuoden siirtymäajan jälkeen 25. toukokuuta 2018 alkaen, jolloin henkilötietojen käsittelyn on oltava tietosuoja-asetuksen mukaista.

Tietosuoja-asetus päivittää tietosuojaa koskevaa sääntelyä vastaamaan teknologian kehitykseen ja globalisaatioon liittyviin henkilötietojen suojaa koskeviin haasteisiin. Sillä pyritään tukemaan digitaalitalouden kehitystä sisämarkkinoiden alueella yhdenmukaistamalla jäsenvaltioiden tietosuojaa koskevat säännökset sekä rakentamalla luottamusta.

Tietosuoja-asetuksen tarkoituksena on myös lisätä henkilötietojen käsittelyn avoimuutta ja läpinäkyvyyttä sekä vahvistaa rekisteröityjen oikeuksia valvoa henkilötietojensa käsittelyä. Asetuksen velvoitteiden noudattamista tuetaan tehokkaalla täytäntöönpanolla: asetuksessa on säädetty henkilötietolakia tiukemmat seuraamukset asetuksen vastaisesta henkilötietojen käsittelystä. Valvontaviranomainen voi esimerkiksi määrätä henkilötietojen käsittelyyn liittyviä korjaavia toimenpiteitä ja hallinnollisia sakkoja.

Tietosuoja-asetus koskee kaikkia sen soveltamisalaan kuuluvia henkilötietoja käsitteleviä organisaatioita; niin rekisterinpitäjiä kuin henkilötietojen käsittelijöitä. Asetusta sovelletaan niin yksityisellä kuin julkisella sektorilla riippumatta esimerkiksi henkilötietojen käsittelyn laajuudesta, käsiteltävien henkilötietojen luonteesta tai käytetystä teknologiasta

Tietosuoja-asetuksessa säädetään henkilötietojen käsittelyä koskevista periaatteista, jotka ohjaavat rekisterinpitäjää käsittelemään henkilötietoja rekisteröidyn oikeuksia ja vapauksia kunnioittavalla tavalla. Periaatteet vastaavat monilta osin henkilötietolain periaatteita, vaikka asetuksessa osaa näistä periaatteista on täsmennetty.

Tietosuojaperiaatteita ovat:

  • käsittelyn lainmukaisuus, kohtuullisuus ja läpinäkyvyys
  • käyttötarkoitussidonnaisuus
  • tietojen minimointi
  • tietojen täsmällisyys
  • tietojen säilytyksen rajoittaminen
  • tietojen eheys ja luottamuksellisuus
  • rekisterinpitäjän osoitusvelvollisuus

Rekisterinpitäjää koskevan osoitusvelvollisuuden johdosta rekisterinpitäjän on pystyttävä osoittamaan, että periaatteita noudatetaan. Rekisterinpitäjän on siis arvioitava, mitä periaatteet käytännössä tarkoittavat ja miten ne toteutuvat omassa toiminnassa. Periaatteiden noudattamisen osoittaminen edellyttää rekisterinpitäjältä muun muassa henkilötietojen käsittelyn aiempaa tarkempaa suunnittelua ja dokumentointia.