GDPR ja kansallinen tietosuojalaki muodostavat yhdessä sääntelykehyksen, jonka puitteissa henkilötietoja käsitellään Suomessa. EU:n yleinen tietosuoja-asetus (GDPR) on suoraan sovellettavaa unionin oikeutta, joka asettaa yhteiset vähimmäisvaatimukset kaikille jäsenvaltioille. Kansallinen tietosuojalaki täydentää tätä kehystä säätämällä niistä erityistilanteista, joissa GDPR jättää jäsenvaltioille harkintamarginaalia. Molempia sovelletaan samanaikaisesti.
Yleinen virhe on käsitellä GDPR:ää ja kansallista tietosuojalakia erillisinä, toisistaan riippumattomina velvoitteina. Tämä johtaa helposti tilanteeseen, jossa toimija noudattaa toista lakia mutta laiminlyö toisen asettamat täsmennykset. Seuraukset voivat olla konkreettisia: tietosuojavaltuutetun huomautus, hallinnollinen sakko tai rekisteröidyn nostama korvauskanne. Olennainen suunnanmuutos on omaksua kokonaisvaltainen lähestymistapa, jossa molemmat säädökset luetaan toisiaan täydentävinä.
GDPR antaa jäsenvaltioille mahdollisuuden säätää kansallisia poikkeuksia tietyissä tilanteissa, kuten arkaluonteisten tietojen käsittelyssä tai journalistisessa toiminnassa. Jos organisaatio ei tunne näitä poikkeuksia, se saattaa joko rajoittaa toimintaansa tarpeettomasti tai toisaalta ylittää sen, mitä lainsäädäntö tosiasiassa sallii. Ratkaisu on perehtyä tietosuojalain erityissäännöksiin osana tietosuojastrategian rakentamista, ei vasta jälkikäteen.
GDPR on EU:n yleinen tietosuoja-asetus (General Data Protection Regulation, 2016/679), joka tuli sovellettavaksi kaikissa jäsenvaltioissa toukokuussa 2018. Se velvoittaa kaikkia organisaatioita, jotka käsittelevät EU:ssa asuvien henkilöiden henkilötietoja, noudattamaan yhtenäisiä tietosuojaperiaatteita riippumatta siitä, missä maassa toimija sijaitsee.
Asetuksen keskeisiä velvoitteita ovat muun muassa käsittelyn lainmukaisuuden varmistaminen, rekisteröityjen oikeuksien kunnioittaminen sekä tietoturvaloukkausten ilmoittaminen viranomaiselle. GDPR edellyttää myös, että henkilötietoja kerätään vain määriteltyyn tarkoitukseen ja säilytetään ainoastaan niin kauan kuin se on tarpeellista.
Velvoitteet koskevat sekä rekisterinpitäjiä että henkilötietojen käsittelijöitä. Käytännössä tämä tarkoittaa, että myös alihankkijat ja palveluntarjoajat, jotka käsittelevät tietoja toimeksiantajan lukuun, kuuluvat asetuksen soveltamisalan piiriin.
Kansallinen tietosuojalaki (1050/2018) on Suomessa voimassa oleva laki, joka täydentää ja täsmentää GDPR:n soveltamista. Se on olemassa, koska GDPR jättää tietyt kysymykset jäsenvaltioiden omaan harkintaan ja edellyttää kansallista lainsäädäntöä erityistilanteita varten.
Tietosuojalaki sisältää muun muassa säännökset tietosuojavaltuutetun toimivallasta, arkaluonteisten tietojen käsittelystä erityisissä yhteyksissä sekä poikkeuksista, joita sovelletaan esimerkiksi journalistiseen, tieteelliseen tai historialliseen toimintaan. Laki asettaa myös ikärajan lasten suostumukselle tietoyhteiskunnan palveluissa.
Ilman kansallista tietosuojalakia GDPR:n soveltamiseen jäisi aukkoja niissä tilanteissa, joissa asetus nimenomaisesti edellyttää kansallista täydennystä. Tietosuojalaki ei siis kilpaile asetuksen kanssa, vaan toimii sen jatkeena.
Tärkein ero on oikeudellinen luonne: GDPR on EU:n asetus, joka on suoraan sovellettavaa oikeutta kaikissa jäsenvaltioissa ilman kansallista täytäntöönpanoa. Kansallinen tietosuojalaki on puolestaan kansallinen säädös, joka täsmentää asetuksen jättämiä avoimia kohtia Suomen kontekstissa.
Soveltamisalaltaan GDPR on yleissäädös, joka kattaa henkilötietojen käsittelyn laajasti. Tietosuojalaki sen sijaan keskittyy erityistilanteisiin ja poikkeuksiin. Esimerkiksi arkaluonteisten tietojen käsittely työsuhteessa tai viranomaistoiminnassa perustuu usein nimenomaan kansallisen lain erityissäännöksiin.
Toinen keskeinen ero liittyy valvontaan. GDPR:n valvontarakenne on yhteiseurooppalainen, mutta Suomessa valvontaviranomaisena toimii tietosuojavaltuutettu, jonka toimivalta ja menettelyt on määritelty kansallisessa lainsäädännössä.
GDPR on ensisijainen. EU:n oikeuden etusijaperiaatteen mukaan unionin oikeus menee ristiriitatilanteessa kansallisen lain edelle. Kansallinen tietosuojalaki on toissijainen siltä osin kuin se koskee samaa asiaa kuin asetus.
Etusijaperiaate ei kuitenkaan tarkoita, että kansallinen laki olisi merkityksetön. Niissä kohdissa, joissa GDPR nimenomaisesti antaa jäsenvaltioille liikkumavaraa, kansallinen lainsäädäntö täyttää tämän tilan ja on siten sovellettavaa oikeutta. Käytännössä molemmat lait soveltuvat samanaikaisesti, eikä niiden välille useimmiten synny aitoa ristiriitaa.
Tulkinnanvaraisissa tilanteissa on huomioitava, että kansallinen tietosuojalaki on laadittava GDPR:n hengen mukaisesti. Jos kansallinen säännös vaikuttaa poikkeavan asetuksesta, tilanne edellyttää huolellista oikeudellista arviointia.
Suomen tietosuojalaki sisältää useita GDPR:n sallimia kansallisia poikkeuksia. Keskeisimpiä ovat poikkeukset arkaluonteisten tietojen käsittelykiellosta, lasten suostumuksen ikäraja (13 vuotta) sekä erityissäännökset journalistiselle, tieteelliselle ja historialliselle toiminnalle.
Arkaluonteisten tietojen, kuten terveystietojen tai ammattiliittojäsenyyden, käsittely on GDPR:n pääsäännön mukaan kielletty ilman nimenomaista oikeusperustaa. Tietosuojalaki täsmentää, milloin käsittely on Suomessa sallittua esimerkiksi työnantajan tai terveydenhuollon toimijan näkökulmasta.
Lisäksi tietosuojalaki säätää tietosuojavaltuutetun toimivallasta ja menettelyistä, mukaan lukien apulaistietosuojavaltuutettujen tehtävät. Nämä hallinnolliset säännökset eivät sisälly GDPR:ään, vaan ovat puhtaasti kansallista lainsäädäntöä.
Käytännön tietosuojatyössä GDPR muodostaa perustan, ja kansallinen tietosuojalaki täydentää sitä. Lähtökohtana on ensin selvittää, mitä GDPR edellyttää käsillä olevassa tilanteessa, ja sen jälkeen tarkistaa, soveltuuko jokin kansallinen erityissäännös tai poikkeus.
Henkilötietojen käsittelytoimien kartoitus, seloste käsittelytoimista ja tietosuojapolitiikat laaditaan GDPR:n vaatimusten pohjalta. Kun käsittely koskee arkaluonteisia tietoja, erityisryhmiä tai esimerkiksi lasten tietoja, kansallisen tietosuojalain erityissäännökset on otettava mukaan arviointiin.
Oikeudellinen arviointi on aina tapauskohtaista, sillä lopputulokseen vaikuttavat organisaation toimiala, käsiteltävien tietojen luonne ja käsittelyn tarkoitus. Me Hedman Partnersilla autamme organisaatioita rakentamaan tietosuojastrategian, joka huomioi sekä EU-tason vaatimukset että kansallisen sääntelyn erityispiirteet. Ensimmäinen yhteydenotto on maksuton.