Rekisteröidyn oikeudet ovat GDPR:n eli EU:n yleisen tietosuoja-asetuksen mukaisia yksilölle kuuluvia oikeuksia, jotka koskevat omien henkilötietojen käsittelyä. Nämä oikeudet antavat jokaiselle EU-kansalaiselle mahdollisuuden tarkastaa, korjata, poistaa tai rajoittaa tietojensa käyttöä sekä vastustaa tietyissä tilanteissa henkilötietojen käsittelyä kokonaan. Oikeuksien toteutuminen on rekisterinpitäjän vastuulla.
Valtaosa ihmisistä ei tiedä, mitä tietoja heistä kerätään, miten niitä käytetään tai kenelle niitä luovutetaan. Tämä tietokatkos tarkoittaa käytännössä, että henkilötietoja voidaan käsitellä lainvastaisesti ilman, että asianomainen edes huomaa sitä. Rekisteröidyn oikeuksien tunteminen on ensimmäinen askel oman tietosuojan hallintaan: kun tietää, mitä oikeuksia on olemassa, voi myös vaatia niiden noudattamista.
Vaikka GDPR takaa rekisteröidylle laajat oikeudet, niiden käyttäminen edellyttää toimivaa prosessia rekisterinpitäjän puolelta. Jos organisaatiolla ei ole selkeää menettelyä pyyntöjen käsittelyyn, vastaukset viivästyvät tai jäävät kokonaan saamatta. Rekisteröidyn kannattaa aina esittää pyyntönsä kirjallisesti ja säilyttää siitä kopio, jolloin mahdollinen laiminlyönti on helpompi osoittaa jälkikäteen viranomaiselle tai tuomioistuimelle.
Rekisteröidyn oikeudet ovat GDPR:n 15–22 artikloissa säädettyjä yksilöllisiä oikeuksia, jotka koskevat omien henkilötietojen käsittelyä. Ne velvoittavat rekisterinpitäjää toimimaan läpinäkyvästi ja antavat rekisteröidylle konkreettisia keinoja vaikuttaa tietojensa kohtaloon.
Käytännössä nämä oikeudet kattavat laajan kirjon toimenpiteitä aina tietojen tarkastelusta niiden poistamiseen. Oikeuksien taustalla on ajatus siitä, että henkilötiedot kuuluvat yksilölle, eivät organisaatiolle, joka niitä käsittelee. Rekisterinpitäjällä on velvollisuus vastata rekisteröidyn pyyntöihin pääsääntöisesti kuukauden kuluessa.
Oikeuksien soveltamisala kattaa kaikki tilanteet, joissa henkilötietoja käsitellään automaattisesti tai manuaalisesti osana rekisteriä. Tämä tarkoittaa, että ne koskevat niin verkkopalveluita, työnantajan henkilöstörekisteriä kuin asiakastietokantaakin.
GDPR:n mukaan rekisteröidyllä on seitsemän keskeistä oikeutta: oikeus saada pääsy tietoihin, oikeus tietojen oikaisemiseen, oikeus tietojen poistamiseen, oikeus käsittelyn rajoittamiseen, oikeus siirtää tiedot järjestelmästä toiseen, oikeus vastustaa käsittelyä sekä oikeus olla joutumatta automaattisen päätöksenteon kohteeksi.
Tarkastusoikeus eli oikeus saada pääsy omiin tietoihin on näistä käytännössä keskeisin. Se tarkoittaa, että rekisteröity voi pyytää rekisterinpitäjältä vahvistuksen siitä, käsitelläänkö hänen tietojaan, ja saada kopion käsiteltävistä tiedoista sekä tiedon käsittelyn tarkoituksesta ja perusteesta.
Oikeus tietojen poistamiseen, jota kutsutaan myös oikeudeksi tulla unohdetuksi, ei ole ehdoton. Se soveltuu tilanteisiin, joissa käsittelylle ei enää ole perustetta tai rekisteröity peruuttaa suostumuksensa. Oikeus siirtää tiedot järjestelmästä toiseen puolestaan koskee vain tilanteita, joissa käsittely perustuu suostumukseen tai sopimukseen ja tapahtuu automaattisesti.
Rekisteröidyn oikeuksien käyttäminen tapahtuu esittämällä kirjallinen pyyntö rekisterinpitäjälle. Rekisterinpitäjän on vastattava pyyntöön pääsääntöisesti 30 päivän kuluessa. Pyyntö voidaan esittää vapaamuotoisesti, mutta sen on sisällettävä riittävät tunnistetiedot henkilöllisyyden varmistamiseksi.
Prosessissa on huomioitava, että rekisterinpitäjällä on oikeus varmistaa pyynnön esittäjän henkilöllisyys ennen tietojen luovuttamista. Tämä on tietosuojan kannalta perusteltua, sillä tietoja ei voida luovuttaa ulkopuolisille. Tunnistautuminen voidaan tehdä esimerkiksi vahvan sähköisen tunnistautumisen avulla.
Selkeä ja täsmällinen pyyntö nopeuttaa käsittelyä. Pyynnössä on perusteltua mainita ainakin seuraavat seikat:
Jos rekisterinpitäjä ei vastaa määräajassa tai kieltäytyy pyynnöstä ilman perusteltua syytä, rekisteröidyllä on oikeus tehdä valitus tietosuojaviranomaiselle. Suomessa tämä viranomainen on tietosuojavaltuutetun toimisto.
GDPR sallii rekisteröidyn oikeuksien rajoittamisen tietyissä tilanteissa, kuten kansallisen turvallisuuden, rikostutkinnan tai muun yleisen edun suojaamiseksi. Myös rekisterinpitäjän oikeudelliset vaatimukset tai toisen henkilön oikeuksien suojaaminen voivat oikeuttaa rajoituksiin. Rajoitusten on aina perustuttava lakiin.
Käytännössä rajoitukset ilmenevät useimmiten siten, että tietojen poistopyyntöön ei suostuta, koska käsittelylle on lakisääteinen peruste. Esimerkiksi kirjanpitovelvollisuus edellyttää tiettyjen taloudellisten tietojen säilyttämistä määräajan, vaikka rekisteröity pyytäisi niiden poistamista.
Automaattisesta päätöksenteosta kieltäytymisen oikeutta voidaan rajoittaa, jos automaattinen käsittely on välttämätöntä sopimuksen täyttämiseksi tai perustuu lakiin. Tällöinkin rekisteröidyllä on pääsääntöisesti oikeus vaatia, että asiaan puuttuu ihminen ja että hänellä on mahdollisuus esittää kantansa.
Jos rekisteröity katsoo, että hänen oikeuksiaan on loukattu, ensisijainen keino on tehdä valitus tietosuojavaltuutetulle. Valitus voidaan tehdä, jos rekisterinpitäjä ei vastaa pyyntöön, kieltäytyy perusteettomasti tai käsittelee tietoja lainvastaisesti. Valitus on maksuton, ja tietosuojavaltuutettu voi velvoittaa rekisterinpitäjän korjaamaan tilanteen.
Valituksen lisäksi rekisteröidyllä on oikeus saattaa asia tuomioistuimen käsiteltäväksi. Tietosuoja-asetus mahdollistaa myös vahingonkorvauksen vaatimisen, jos lainvastainen henkilötietojen käsittely on aiheuttanut aineellista tai aineetonta vahinkoa. Aineettomaksi vahingoksi voidaan katsoa esimerkiksi yksityisyyden loukkaus tai mainehaitat.
Oikeudellisen arvioinnin monimutkaisuus riippuu aina yksittäisen tapauksen olosuhteista, käsittelyn laajuudesta ja siitä, millä perusteella henkilötietoja on käsitelty. Me Hedman Partnersilla autamme asiakkaitamme arvioimaan tilanteen ja selvittämään, mitkä toimenpiteet kulloinkin ovat tarkoituksenmukaisimpia. Tietosuojaan liittyvissä kysymyksissä ensimmäinen yhteydenotto toimistoomme on maksuton.