GDPR eli yleinen tietosuoja-asetus (EU 2016/679) on Euroopan unionin asetus, joka säätelee henkilötietojen käsittelyä. Käytännössä se tarkoittaa, että jokaisen yrityksen, joka kerää, tallentaa tai muutoin käsittelee luonnollisten henkilöiden tietoja, on noudatettava asetuksen velvoitteita. Tietosuojavaatimukset koskevat yrityksen koosta tai toimialasta riippumatta lähes kaikkia organisaatioita, jotka toimivat EU:n alueella tai käsittelevät eurooppalaisten henkilötietoja.
Monessa yrityksessä tietosuoja mielletään kertaluonteiseksi projektiksi eikä jatkuvaksi prosessiksi. Tämä johtaa tilanteeseen, jossa käytännöt jäävät dokumentoimatta, henkilöstöä ei kouluteta säännöllisesti ja tietojenkäsittelyn perusteet vanhenevat. Kun valvontaviranomainen tai asiakas pyytää selvitystä, vastauksia ei löydy. Tilanne korjaantuu, kun tietosuoja integroidaan osaksi yrityksen normaalia hallintoa eikä sitä käsitellä erillisenä compliance-tehtävänä.
Kun yritys käyttää ulkopuolisia palveluntarjoajia, kuten pilvipalveluja, markkinointialustoja tai palkanlaskentapalveluja, syntyy helposti epäselvyyttä siitä, kuka vastaa mistäkin. Ilman kirjallisia tietojenkäsittelysopimuksia vastuu henkilötietojen suojaamisesta jää määrittelemättä. Tämä on yksi yleisimmistä GDPR-rikkomusten lähteistä. Ratkaisu on kartoittaa kaikki ulkopuoliset käsittelijät ja varmistaa, että sopimukset täyttävät asetuksen vaatimukset.
GDPR on EU:n tietosuoja-asetus, joka velvoittaa kaikkia organisaatioita, jotka käsittelevät EU:ssa asuvien henkilöiden tietoja. Asetus koskee sekä EU:hun sijoittautuneita yrityksiä että EU:n ulkopuolisia toimijoita, jos ne tarjoavat palveluja tai seuraavat henkilöiden käyttäytymistä EU:n alueella. Yrityksen koko ei ratkaise soveltamisalaa.
Asetus kattaa kaiken henkilötietojen käsittelyn, kuten asiakastietojen tallentamisen, henkilöstöhallinnon tiedot, verkkosivujen evästeet ja markkinointirekisterit. Henkilötieto on mikä tahansa tieto, joka voidaan yhdistää tunnistettavaan luonnolliseen henkilöön, kuten nimi, sähköpostiosoite, IP-osoite tai sijaintitieto.
Pienet ja keskisuuret yritykset olettavat usein virheellisesti, ettei asetus koske niitä. Todellisuudessa velvoitteet ovat pääosin samat riippumatta siitä, onko kyseessä muutaman hengen startup vai suuri korporaatio. Tietyt kevennykset, kuten seloste käsittelytoimista, koskevat alle 250 henkilön organisaatioita vain rajoitetuissa tilanteissa.
GDPR velvoittaa yritykset käsittelemään henkilötietoja lainmukaisesti, läpinäkyvästi ja tarkoituksenmukaisesti. Keskeisiä velvollisuuksia ovat käsittelyperusteiden määrittäminen, rekisteröityjen oikeuksien toteuttaminen, tietoturvan varmistaminen ja tarvittaessa tietosuojavastaavan nimittäminen.
Käytännön velvoitteet voidaan jakaa useampaan osa-alueeseen:
GDPR edellyttää, että organisaatio ylläpitää selostetta käsittelytoimista. Tämä asiakirja kuvaa, mitä henkilötietoja käsitellään, mihin tarkoitukseen, millä oikeusperusteella, kuinka kauan ja kenelle tietoja mahdollisesti luovutetaan. Seloste on pidettävä ajan tasalla ja esitettävä pyydettäessä valvontaviranomaiselle.
Selosteen lisäksi dokumentaatioon kuuluu tyypillisesti tietojenkäsittelysopimukset ulkopuolisten palveluntarjoajien kanssa, tietosuojailmoitukset eri rekisteröityryhmille sekä mahdolliset tietosuojavaikutusten arvioinnit riskialttiissa käsittelytoimissa. Vaikutustenarviointi on pakollinen esimerkiksi silloin, kun käsittely voi aiheuttaa korkean riskin henkilöiden oikeuksille.
Dokumentaation taso ja laajuus skaalautuvat käsittelyn luonteen mukaan. Organisaatio, joka käsittelee arkaluonteisia tietoja tai suorittaa laajamittaista profilointia, tarvitsee kattavampaa dokumentaatiota kuin yritys, jonka käsittely rajoittuu perustason asiakasrekisteriin.
Rekisterinpitäjä on taho, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä puolestaan käsittelee tietoja rekisterinpitäjän lukuun ja ohjeiden mukaisesti. Ero on merkittävä, koska vastuut ja velvoitteet jakautuvat eri tavoin näiden roolien välillä.
Esimerkiksi verkkokauppa on tyypillisesti rekisterinpitäjä asiakkaidensa osalta. Jos verkkokauppa käyttää ulkopuolista logistiikkayritystä toimitusosoitteiden käsittelyyn, logistiikkayritys toimii henkilötietojen käsittelijänä. Näiden välillä on oltava kirjallinen tietojenkäsittelysopimus, jossa määritellään käsittelyn ehdot.
Sama organisaatio voi olla eri tilanteissa sekä rekisterinpitäjä että henkilötietojen käsittelijä. Tilitoimisto on rekisterinpitäjä omien työntekijöidensä tietojen osalta, mutta henkilötietojen käsittelijä asiakkaidensa palkanlaskentatietojen suhteen. Roolien tunnistaminen on lähtökohta oikeiden sopimusjärjestelyjen rakentamiselle.
GDPR-rikkomuksesta voidaan määrätä hallinnollinen sakko, joka on enintään 20 miljoonaa euroa tai neljä prosenttia yrityksen edellisen tilikauden maailmanlaajuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Lisäksi rekisteröidyillä on oikeus vaatia korvausta aiheutuneesta vahingosta.
Seuraamusten vakavuus vaihtelee rikkomuksen luonteen, laajuuden ja tahallisuuden mukaan. Valvontaviranomaiset voivat myös antaa huomautuksia, varoituksia tai väliaikaisia käsittelykieltoja ennen rahallisia seuraamuksia. Yhteistyö valvontaviranomaisen kanssa ja nopeat korjaustoimenpiteet vaikuttavat tyypillisesti seuraamusten suuruuteen.
Taloudellisten seuraamusten lisäksi tietosuojarikkomuksilla on maineeseen kohdistuvia vaikutuksia. Asiakkaiden luottamuksen menettäminen ja julkinen huomio voivat aiheuttaa liiketoiminnallista haittaa, joka ylittää hallinnollisen sakon suuruuden. Tietoturvaloukkausten julkistamisvelvollisuus tarkoittaa, että vakavat tapaukset tulevat usein julkisiksi.
Lakiapua tietosuoja-asioissa on perusteltua hankkia silloin, kun yritys käynnistää uuden henkilötietoja käsittelevän palvelun, solmii tietojenkäsittelysopimuksia, kohtaa tietoturvaloukkauksen tai saa valvontaviranomaisen yhteydenoton. Myös merkittävät muutokset liiketoimintamallissa voivat edellyttää tietosuojakäytäntöjen päivittämistä.
Tietosuoja-asioiden oikeudellinen arviointi on tilannesidonnaista. Käsittelyperusteiden oikeellisuus, vaikutustenarvioinnin tarve ja sopimussuhteisiin liittyvät vastuukysymykset riippuvat aina yrityksen toiminnan yksityiskohdista. Yleinen tietosuojakoulutus tai verkkosivuilta löytyvät malliasiakirjat eivät aina kata kaikkia tilanteeseen liittyviä muuttujia.
Me Hedman Partnersilla tarjoamme kattavat tietosuojaneuvontapalvelut, olipa kyse tietosuojastrategian rakentamisesta alusta alkaen tai jo olemassa olevan suunnitelman kehittämisestä. Ensimmäinen yhteydenotto on maksuton, joten tietosuojaan liittyvän tilanteen kartoittaminen on helppo aloittaa ilman sitoutumista.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.