Henkilötietojen käsittelyyn tarvitaan suostumus silloin, kun mikään muu GDPR:n kuudesta lainmukaisesta käsittelyperusteesta ei sovellu tilanteeseen. Suostumus on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Pelkkä oletus tai passiivisuus ei riitä: suostumuksen on oltava aktiivinen teko, ja se on voitava peruuttaa milloin tahansa.
Moni organisaatio pyytää suostumuksen liian myöhään, liian laajasti tai osana pitkää sopimusdokumenttia, jossa se hukkuu muuhun tekstiin. Seurauksena on tilanne, jossa suostumus on muodollisesti olemassa mutta käytännössä pätemätön. GDPR:n mukaan suostumus, joka on sidottu palvelun käyttöehtoihin tai joka on ennalta rastitettu lomakkeessa, ei täytä pätevyyden edellytyksiä. Tilanteen korjaamiseksi suostumusmenettely on erotettava selkeästi muista sopimusehdoista ja pyydettävä ennen käsittelyn aloittamista erillisellä, ymmärrettävällä toimella.
Suostumuksen käyttäminen tilanteessa, jossa jokin muu peruste olisi asianmukaisempi, voi johtaa ongelmiin: jos rekisteröity peruuttaa suostumuksensa, käsittely on välittömästi lopetettava, vaikka liiketoiminnallinen tarve jatkuisi. Toisaalta suostumuksen puuttuminen tilanteessa, jossa se olisi ainoa lainmukainen peruste, altistaa organisaation tietosuojavaltuutetun tutkinnalle ja mahdollisille seuraamusmaksuille. Oikea lähtökohta on arvioida kaikki kuusi käsittelyperustetta järjestelmällisesti ennen kuin suostumus valitaan tai hylätään.
Henkilötietojen käsittely tarkoittaa kaikkia toimenpiteitä, joita henkilötiedoille tehdään niiden elinkaaren aikana. Tähän kuuluvat tietojen kerääminen, tallentaminen, muokkaaminen, siirtäminen, luovuttaminen ja poistaminen. Käsittely on kyseessä jo silloin, kun tietoja pelkästään tallennetaan tai tarkastellaan, vaikka niitä ei aktiivisesti muutettaisi.
GDPR:n tietosuoja-asetus määrittelee henkilötiedot laajasti: kyse on kaikista tiedoista, joiden perusteella luonnollinen henkilö voidaan tunnistaa suoraan tai välillisesti. Nimi, sähköpostiosoite, IP-osoite, sijaintitieto ja jopa käyttäytymisprofiili voivat kaikki kuulua tämän määritelmän piiriin. Käsittelyn laajuus vaikuttaa suoraan siihen, mitä käsittelyperustetta tilanteessa sovelletaan.
Yrityksille tämä tarkoittaa, että lähes kaikki asiakkaita, henkilöstöä tai yhteistyökumppaneita koskevat tietojärjestelmät sisältävät henkilötietojen käsittelyä. Jokainen käsittelytoiminto edellyttää lainmukaista perustetta, ja se on dokumentoitava rekisteriselosteeseen.
Suostumus on ainoa lainmukainen käsittelyperuste silloin, kun käsittelylle ei ole sopimuksellista tarvetta, lakisääteistä velvoitetta, oikeutettua etua eikä muuta GDPR:n 6 artiklan mukaista perustetta. Tyypillisiä tilanteita ovat markkinointiviestintä, tietojen luovuttaminen kolmansille osapuolille kaupallisiin tarkoituksiin sekä arkaluonteisten tietojen käsittely.
Arkaluonteisten tietojen, kuten terveystietojen, poliittisten mielipiteiden tai biometristen tietojen, käsittely edellyttää GDPR:n 9 artiklan mukaista nimenomaista suostumusta, ellei jokin erikseen säädetty poikkeus sovellu. Tässä suostumuskynnys on tavanomaista korkeampi.
Käytännössä suostumus soveltuu parhaiten tilanteisiin, joissa rekisteröidyllä on aito valinnanvapaus ja joissa käsittelyn lopettaminen suostumuksen peruuttamisen jälkeen on organisaatiolle mahdollista ilman merkittävää haittaa. Jos käsittely on välttämätöntä palvelun tarjoamiseksi, oikeampi peruste on usein sopimuksen täytäntöönpano.
GDPR:n mukaan pätevä suostumus on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Suostumuksen on perustuttava aktiiviseen toimeen, kuten tyhjän ruudun rastittamiseen. Ennalta täytetyt lomakkeet, hiljaisuus tai palvelun käyttäminen yksinään eivät täytä näitä edellytyksiä.
Vapaaehtoisuus tarkoittaa, että suostumuksen epäämisellä ei saa olla kielteisiä seurauksia rekisteröidylle. Jos suostumus on sidottu palvelun saamiseen, se ei lähtökohtaisesti ole vapaaehtoinen. Yksilöityvyys puolestaan edellyttää, että suostumus pyydetään erikseen jokaiseen erilliseen käsittelytarkoitukseen.
Tietoisuuden vaatimus velvoittaa rekisterinpitäjää kertomaan selkeästi ainakin seuraavat seikat:
Alaikäisten osalta vaatimukset ovat tiukemmat: alle 13-vuotiaiden kohdalla vaaditaan huoltajan suostumus, ja jäsenvaltiot voivat nostaa tätä ikärajaa 16 vuoteen asti.
Suostumus eroaa muista käsittelyperusteista siten, että se on rekisteröidyn aktiivinen tahdonilmaisu, ei rekisterinpitäjän yksipuolinen arvio. Muut GDPR:n 6 artiklan perusteet, kuten sopimus, lakisääteinen velvoite tai oikeutettu etu, eivät edellytä rekisteröidyn nimenomaista hyväksyntää.
Sopimuksen täytäntöönpano soveltuu tilanteisiin, joissa käsittely on välttämätöntä rekisteröidyn kanssa tehdyn sopimuksen toteuttamiseksi. Lakisääteinen velvoite kattaa tilanteet, joissa lainsäädäntö velvoittaa käsittelyyn, kuten kirjanpitovelvollisuuden yhteydessä. Oikeutettu etu puolestaan edellyttää punnintaa rekisterinpitäjän intressien ja rekisteröidyn oikeuksien välillä.
Keskeinen ero suostumuksen ja oikeutetun edun välillä on se, että suostumuksen peruuttaminen päättää käsittelyoikeuden välittömästi, kun taas oikeutettuun etuun perustuva käsittely voi jatkua, vaikka rekisteröity vastustaisi sitä, jos rekisterinpitäjällä on painavampi peruste. Käsittelyperusteen valinta on strateginen päätös, jolla on pitkäkestoisia vaikutuksia organisaation tietosuojakäytäntöihin.
Suostumus pyydetään oikein esittämällä selkeä, ymmärrettävä pyyntö ennen käsittelyn aloittamista, erillään muista sopimusehdoista. Dokumentoinnissa tallennetaan tieto siitä, keneltä suostumus on saatu, milloin se on saatu, mitä tarkoitusta varten se on annettu ja millä sanamuodolla pyyntö on esitetty.
Prosessissa on huomioitava seuraavat vaiheet:
Dokumentaatio on säilytettävä niin kauan kuin käsittely jatkuu. Valvontaviranomainen voi pyytää todisteita suostumuksesta, joten pelkkä tieto suostumuksen olemassaolosta ei riitä: on pystyttävä osoittamaan myös sen sisältö ja olosuhteet.
Jos suostumusta ei ole pyydetty GDPR:n vaatimusten mukaisesti, käsittelylle ei ole lainmukaista perustetta. Tämä voi johtaa tietosuojavaltuutetun tutkintaan, hallinnollisiin seuraamusmaksuihin sekä velvoitteeseen lopettaa käsittely ja poistaa lainvastaisesti kerätyt tiedot.
GDPR:n mukaiset seuraamusmaksut voivat olla enintään 20 miljoonaa euroa tai neljä prosenttia yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Käytännössä valvontaviranomainen arvioi seuraamuksen suhteessa rikkomuksen vakavuuteen, laajuuteen ja tahalliseen tai huolimattomaan toimintaan.
Tilanteen korjaamiseksi on arvioitava, voidaanko käsittelylle löytää jokin muu lainmukainen peruste jälkikäteen. Jos ei, käsittely on keskeytettävä ja rekisteröidyille on tiedotettava tapahtuneesta. Tietosuoja-asioissa proaktiivinen lähestymistapa on aina suositeltavampi kuin jälkikäteinen korjaus, ja tietosuojaneuvonnan hyödyntäminen käsittelyperusteita arvioitaessa voi auttaa tunnistamaan riskit ennen kuin ne realisoituvat.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.