Jos organisaatiosi käsittelee henkilötietoja, olet todennäköisesti törmännyt lyhenteeseen GDPR. Lyhyeen tietosuoja-asetukseen liittyy paljon mutua tietoa, mutta virallinen nimike ja käytännön vaikutukset jäävät usein epäselviksi. Asetus tuli voimaan 25.5.2018 ja muuttaa merkittävästi tietosuojasääntelyä tuoden uusia velvoitteita suomalaisiin organisaatioihin. Tämä artikkeli avaa, mistä asetuksessa on kyse ja mitä se tarkoittaa käytännössä suomalaisille organisaatioille.

4 liittyvaa artikkelia

Annettu: 27.4.2016 · Voimaan: 25.5.2018 · Virallinen nimi: (EU) 2016/679 · Sääntelyalue: Henkilötietojen käsittely · Soveltamisala: EU ja ETA

Pikakatsaus

1Vahvistetut faktat
2Mikä on epäselvää
  • Tarkat rangaistussummat vaihtelevat tapauskohtaisesti
  • Yksittäisten HETU-käsittelytilanteiden laajuus
  • Tulkintakäytäntöjen yhtenäistyminen EU-maiden välillä
3Aikajanasignaali
  • 2016-05: Asetus annettu EU:ssa
  • Kesä 2017: Ensimmäiset organisaatiot aloittivat valmistelun
  • 25.5.2018: Sovellaminen alkaa kansallisesti
  • Maaliskuu 2021: TIEKE-kysely paljasti haasteita
4Mitä seuraavaksi
  • Julkisten organisaatioiden tulkintakäytäntöjen tarkennus
  • Pienten yritysten tietosuojaosaamisen parantaminen
  • EDPB:n uusien ohjeiden implementointi
Tieto Arvo
Asetusnumero 2016/679
Annettu 27.4.2016
Voimaan 25.5.2018
Viranomainen Tietosuojavaltuutettu
Soveltuu EU-jäsenmaat ja ETA

Mikä on yleinen tietosuoja-asetus?

Yleinen tietosuoja-asetus, joka tunnetaan kansainvälisesti lyhenteellä GDPR (General Data Protection Regulation), on Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä. Asetus tuli voimaan toukokuussa 2016 ja sitä alettiin soveltaa kaikissa EU-maissa keväällä 2018. Oikeusministeriön mukaan tietosuoja-asetus on vakiinnuttanut henkilötietojen suojan huomioimisen osaksi organisaatioiden toimintaa.

Henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavaan luonnolliseen henkilöön liittyviä tietoja. Tämä kattaa henkilötietojen keräämisen, tallentamisen ja käytön EU-kansalaisten tiedoille, ja organisaatioiden on osoitettava noudattamisensa. Suomessa Tietosuojavaltuutetun toimisto tarjoaa organisaatioille tietoa rekisterinpitäjien velvoitteista.

GDPR:n virallinen nimi ja tausta

Asetuksen virallinen nimi on Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27. huhtikuuta 2016. EU:n yleinen tietosuoja-asetus on suoraan sovellettava kaikissa jäsenmaissa, mikä tarkoittaa, ettei kansallista täytäntöönpanolainsäädäntöä tarvita asetuksen voimaansaattamiseksi.

Henkilötietojen määritelmä

Henkilötiedot kattavat kaiken informaation, joka voidaan yhdistää tunnistettuun henkilöön. Esimerkiksi nimi, sähköpostiosoite, puhelinnumero ja henkilötunnus ovat henkilötietoja. DNV:n mukaan organisaatioissa on pidettävä tiedot vain tarpeellisen ajan ja käytettävä teknisiä turvatoimia niiden suojaamiseksi.

Milloin tietosuoja-asetus tuli voimaan?

Asetus annettiin 27. huhtikuuta 2016, mutta sitä alettiin soveltaa kansallisesti 25. toukokuuta 2018. Tämä kahden vuoden siirtymäaika antoi organisaatioille aikaa valmistautua uusiin vaatimuksiin. Esimerkiksi Eilakaislassa GDPR-muutosprosessi aloitettiin kesällä 2017 sopimusten kartoittamisella ja henkilötietovirtojen määrittelyllä.

TIEKE:n verkkokyselyssä maaliskuussa 2021 noin 350 yritystä arvioi tietosuojaosaamistaan. Tulokset osoittivat, että kolme vuotta GDPR:n voimaantulon jälkeen suomalaisyritykset tunsivat asetuksen, mutta haasteita oli edelleen osoitusvelvollisuudessa, tietoturvassa ja vaikutustenarvioinneissa.

Annettu päivämäärä

EU:n yleinen tietosuoja-asetus annettiin virallisesti 27. huhtikuuta 2016. Annettu päivämäärä on tärkeä, sillä se määrittää asetuksen voimaantulon alkupisteen EU-lainsäädännössä.

Soveltamisalku

Varsinainen soveltaminen alkoi 25. toukokuuta 2018. Tästä päivämäärästä lähtien kaikkien EU-alueella toimivien organisaatioiden on noudatettava asetuksen vaatimuksia sekä julkisella että yksityisellä sektorilla. Kuntaliiton mukaan soveltamisala kattaa henkilötietojen käsittelyn riippumatta käsittelyn paikasta, myös tietyissä EU:n ulkopuolisissa tapauksissa.

Toimituksen huomautus

Tietosuojavaltuutetun toimisto tarjoaa organisaatioille ajantasaista tietoa rekisterinpitäjien velvoitteista ja käytännön soveltamisesta.

Miksi GDPR-asetusta tarvitaan?

GDPR-asetusta tarvitaan kahdesta pääasiallisesta syystä. Ensinnäkin se vahvistaa EU:ssa asuvien henkilöiden oikeuksia omiin henkilötietoihinsa. Toiseksi se yksinkertaistaa kansainvälistä toimintaa luomalla yhtenäisen sääntelykehyksen koko EU:n alueelle. Oikeusministeriön selvityksessä todettiin, että haasteena on ollut, että organisaatiot kokevat asetuksen vaikeaselkoiseksi ja tulkinnanvaraiseksi.

Oikeusministeriö selvitti GDPR:n soveltamiskokemuksia Suomessa lausuntokierroksella, johon osallistui 66 organisaatiota julkiselta ja yksityiseltä sektorilta. Selvityksen mukaan organisaatiot kokevat asetuksen kuormittavaksi ja haastavaksi yhteensovittaa muun lainsäädännön kanssa.

Oikeuksien vahvistaminen

GDPR vahvisti henkilötietojen suojaa ja antoi keinoja hallita tietojen käsittelyä. Rekisterinpitäjän on toimitettava maksuton jäljennös henkilötiedoista pyynnöstä. Tämä tarkoittaa käytännössä, että jokainen EU-kansalainen voi pyytää nähtäväkseen itseään koskevat tiedot.

Yksinkertaistaminen

Ennen GDPR:ää jokaisella EU-maalla oli oma tietosuojalakinsa. EU-komissio tarjoaa työkaluja organisaatioiden GDPR-noudattamisen tarkistamiseen, mikä helpottaa yhtenäisten käytäntöjen omaksumista. Tietosuojaselosteessa tulee informoida rekisteröidyn oikeuksista ja nimetä yhteyshenkilö.

Mitä EU-asetus tarkoittaa?

EU-asetus on lainsäädännöllinen väline, joka on suoraan sovellettava kaikissa EU-maissa ilman kansallista täytäntöönpanolainsäädäntöä. Tämä eroaa direktiivistä, joka vaatii kansallisen implementoinnin. GDPR-asetuksen mukaan soveltamisala kattaa henkilötietojen käsittelyn EU-alueella toimivissa organisaatioissa.

Suomessa sovelletaan sekä henkilötietolakia että GDPR:ää henkilötietojen käsittelyyn. ETA-maat, kuten Norja, Islanti ja Liechtenstein, ovat myös integroituneet samaan sääntelykehykseen.

Asetuksen ja direktiivin ero

Keskeinen ero on siinä, että asetus on suoraan voimassa olevaa oikeutta kaikissa jäsenmaissa, kun taas direktiivi antaa jäsenmaille liikkumavaraa kansallisessa toteutuksessa. Tämä tekee GDPR:stä yhdenmukaisemman mutta toisaalta myös tiukemman, sillä poikkeusmahdollisuudet ovat rajalliset.

Soveltamisala

GDPR sovelletaan henkilötietojen käsittelyyn EU-alueella toimivissa organisaatioissa riippumatta käsittelyn paikasta. Lisäksi asetusta sovelletaan tietyissä EU:n ulkopuolisissa tapauksissa, kun käsitellään EU-kansalaisten tietoja. Opetushallitus ohjeistaa GDPR:n soveltamisesta perusopetuksessa ja toisella asteella.

Onko hetu salassapidettävä?

Henkilötunnus (HETU) on henkilötieto, ja sen käsittelyä säädellään tietosuoja-asetuksen mukaisesti. Suomessa henkilötunnusta pidetään erityisen arkaluonteisena tunnisteena, sillä se mahdollistaa henkilön yksilöimisen lähes missä tahansa yhteydessä. Salassapito riippuu kuitenkin kontekstista: joissakin tapauksissa HETU on välttämätön (esim. pankkipalvelut), kun taas toisissa tilanteissa sen käyttö on kiellettyä tai rajoitettua.

Organisaation johdon on huolehdittava ajantasaisista tietoturvaohjeista henkilöstölle GDPR:n noudattamiseksi. GDPR:n noudattaminen osoitetaan dokumentoinnilla ja seurannalla, ja prosessi alkaa nykytila-analyysillä.

HETU henkilötietona

Henkilötunnus on selkeästi henkilötieto, sillä se on ainutlaatuinen tunniste jokaiselle Suomen kansalaiselle. Tietosuoja-asetuksen mukaan henkilötietojen käsittelyn on oltava lainmukaista, reilua ja läpinäkyvää. Tämä koskee myös HETU:n käsittelyä.

Käsittelyn rajoitukset

Henkilötunnusta saa käyttää vain silloin, kun se on välttämätöntä tietyn palvelun tai oikeudellisen velvoitteen kannalta. Organisaatioiden on arvioitava, onko HETU:n kerääminen ja säilyttäminen todella tarpeen vai voisiko sama tarkoitus palvella muilla tunnisteilla.

Miksi tämä merkitys

Suomalaisissa organisaatioissa HETU:tä käytetään rutiininomaisesti monissa yhteyksissä. GDPR:n myötä organisaatioiden on dokumentoitava peruste, miksi juuri henkilötunnus on tarpeen kussakin käsittelytilanteessa.

Vahvistetut tiedot

  • Voimaantulo 25.5.2018
  • Asetus (EU) 2016/679
  • 66 organisaatiota osallistui Oikeusministeriön lausuntokierrokseen
  • 350 yritystä arvioi tietosuojaosaamistaan maaliskuussa 2021

Epäselvät asiat

  • Tarkat sakotus käytännössä tapauskohtaisia
  • Tulkintakäytäntöjen yhtenäistyminen EU-maiden välillä
  • Pienten yritysten todellinen compliance-taso

Tietosuoja-asetus vakiinnuttanut henkilötietojen suojan huomioimisen osaksi organisaatioiden toimintaa.
— Oikeusministeriö

Kolme vuotta sitten voimaan astunut tietosuoja-asetus vaikuttaisi olevan yrityksille tuttu asia, mutta käytännön soveltamisessa riittää vielä haasteita.
— TIEKE (Tietoyritysten kehittämisyhdistys)

Mitä tämä tarkoittaa? Tietosuoja-asetus on tuonut Suomeen selkeän sääntelykehyksen, mutta organisaatioiden käytännön toteutus vaihtelee merkittävästi. Suurista yrityksistä 70 % ja pienistä 60 % ilmoitti olevansa tyytyväisiä GDPR:n soveltamiseen liiketoiminnassaan. Ero kuitenkin kaventuu, kun tarkastellaan yksittäisiä compliance-osatekijöitä: osoitusvelvollisuus ja tietoturvaaskareet koetaan haastaviksi kaikenkokoisissa organisaatioissa.

Aiheeseen liittyvää: Laina ilman luottotietoja · Kuinka käyttää VPN

Lisälähteet

dnv.fi, tieke.fi, digiturvamalli.fi, edpb.europa.eu, tietosuojakeskus.fi, privacy-regulation.eu, tietosuoja.fi, tietosuoja.fi, commission.europa.eu

Ala missa naita

Usein kysytyt kysymykset

Mikä on tietopyyntö GDPR:ssa?

Tietopyyntö eli rekisteröidyn oikeus tarkistaa omat tietonsa tarkoittaa, että rekisterinpitäjän on toimitettava maksuton jäljennös henkilötiedoista pyynnöstä. Pyyntöön on vastattava kuukauden kuluessa. Tietosuojavaltuutetun toimisto ohjeistaa käytännön toteutuksessa.

Kenelle GDPR ei sovellu?

GDPR ei sovellu täysin yksityiseen, henkilökohtaiseen käyttöön. Jos käsittelet omia tietojasi ilman liiketoiminnallista tai julkista tarkoitusta, asetus ei koske sinua. Lisäksi kolmansien maiden organisaatiot, jotka eivät kohdista toimintaansa EU-kansalaisiin, voivat olla asetuksen ulkopuolella.

Mitä tietosuojavaltuutettu tekee?

Tietosuojavaltuutetun toimisto on Suomen riippumaton valvontaviranomainen. Se valvoo GDPR:n noudattamista, käsittelee valituksia ja antaa ohjeita organisaatioille. Toimisto tarjoaa myös mallipohjia ja tulkinta-apua tietosuojaselosteisiin ja vaikutustenarviointeihin.

Miten GDPR eroaa tietosuojalaista?

GDPR on EU-asetus, joka on suoraan sovellettava kaikissa jäsenmaissa. Se korvaa ja laajentaa aiemman henkilötietolain. Suomessa henkilötietolakia sovelletaan edelleen täydentävästi, mutta pääasiallinen sääntelykehys on nyt GDPR.

Voiko GDPR sakottaa?

Kyllä, GDPR:n rikkomisesta voidaan tuomita sakkoja. Enimmäissakot ovat 20 miljoonaa euroa tai 4 % yrityksen maailmanlaajuisesta liikevaihdosta. Todelliset sakot vaihtelevat tapauskohtaisesti ja riippuvat rikkomuksen vakavuudesta, organisaation yhteistyöhalukkuudesta ja korjaustoimenpiteistä.

Mitä tehdä tietovuodon yhteydessä?

Tietovuodosta on ilmoitettava Tietosuojavaltuutetun toimistoon 72 tunnin sisällä, jos vuoto todennäköisesti aiheuttaa riskin rekisteröidyille. Jos riski on korkea, rekisteröidyille itselleen on ilmoitettava suoraan. Organisaatiolla on oltava dokumentoidut prosessit tietoturvaloukkauksien käsittelyyn.

GDPR:n päivitykset?

EDPB (European Data Protection Board) julkaisee säännöllisesti ohjeita ja suuntaviivoja GDPR:n tulkintaan. Esimerkiksi ohje 02/2024 artiklasta 48 käsittelee tietojen siirtoa kolmansiin maihin. Organisaatioiden on seurattava näitä päivityksiä ja päivitettävä käytäntöjään tarvittaessa.