EU:n tietosuoja-asetus 2018 (Ryhmä D)

EU:n tietosuoja-asetus, joka tunnetaan myös nimellä GDPR (General Data Protection Regulation) on henkilötietojen käsittelyä sääntelevä laki, joka tuli voimaan toukokuussa 2018. Tämän lainsäädännön tavoitteena on ollut parantaa henkilötietojen suojaa ja tietosuojaoikeuksia. Se myös vastaa digitalisaatioon liittyviin tietosuojakysymyksiin ja yhtenäistää tietosuojasääntelyä EU maissa. Tietosuoja-asetuksen voimaan tulon huomasi omassa työssä siitä, että kaikki rekisterit tuli kerätä ja ilmoittaa eteenpäin. Ja henkilökohtaisessa elämässä sen huomasi kampaajan ja hierojan käynnillä, kun he esittelivät rekisterinsä ja kertoivat mitä niihin on minusta tallennettu. 

Käsittelemme päivittäin paljon tietoa ja varsinkin henkilötietoja, varsinkin näin oppilaitoksen edustajana. Käytämme päivittäin opiskelijoiden tietoja jonkin opiskelijahallinto-ohjelman kautta. Tai teemme (luvattomia) omia listoja esim. opiskelijoiden edistymisen seurantaan. Tietosuoja-asetus siis koskee meitä mitä suurimmassa määrin. Mutta ajattelemmeko me sitä? Todennäköisesti emme. Minä ainakaan en. 

Mitä sitten tarkoittaa henkilötieto? Henkilötietoja ovat esim. nimi, henkilötunnus, osoite, auton rekisterinumero tai vaikka kuva sormenjäljestä. Lisäksi on olemassa arkaluonteisia henkilötietoja (esim. rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen vakaumus ja ammattiliiton jäsenyys), joita ei saa käsitellä ilman suostumusta tai käsittely on ehdottomasti tarpeellista esim. tutkimus tarkoituksiin.

 Mitä sitten voidaan käsittää sanalla rekisteri. Itse asetuksessa artiklassa 4 kohdassa kuusi, todetaan rekisteristä seuraavaa: ” mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu”. Rekisteri on siis ihan mikä tahansa lista, jossa on tallennettu vähintään henkilön nimi. Esimerkiksi opiskelijoiden nimilista läsnäolijoista on rekisteri. Meidän pitää siis olla varovaisia mitä tietoja tallennetaan ja ainakin muistaa kertoa niistä opiskelijoille. 

Rekistereistä tulee luoda rekisteriseloste, jossa kerrotaan mm. rekisterinpitäjän tiedot, henkilötietojen käsittelyn tarkoitus ja mihin tietoja luovutetaan. Lisäksi yrityksessä tulee olla nimettynä tietosuojavastaava. 

Rekisteröidyllä henkilöllä on oikeuksia. Hänellä on oikeus saada nähtäväksi tiedot, jotka hänestä on tallennettu. Hänellä on myös oikeus tietojen oikaisemiseen ja poistamiseen.

Kaikkien rekistereiden lisäksi kannattaa huomioida erilaisten ulkopuolisten tarjoajien sovellusten ja palvelujen käyttäminen mm. somepalveluiden käyttäminen. Kannattaa valita sellaisia palveluita, joita voi käyttää ilman rekisteröitymistä tai henkilötietojen antamista. Mikäli kuitenkin käytetään tällaisia palveluita, täytyy niiden käyttöön kysyä hyväksyntä alaikäisten huoltajalta, täysi-ikäiset voivat käyttää palvelua omalla vastuullaan. Tätä me emme useinkaan ajattele, ottaessamme käyttöön erilaisia välineitä, joita netti on pullollaan.

GDPR:n tullessa voimaan käytiin kovaa keskustelua monessakin paikassa WhatsApp-ryhmien tiimoilta. Pohdittiin onko se rekisteri, jos opettaja perustaa WhatsApp-ryhmän opiskelijaryhmälle. Osa opettajista ratkaisi asian siten, että opiskelijat perustivat ryhmän ja opettaja tuli mukaan siihen. Tällöin hän ei ollut rekisterin pitäjä. Nykyisin tuntuu, että tämä huoli on jo unohtunut. Niin usea opettaja perustaa ryhmiä WhatsAppiin.

GDPR kannattaa pitää mielessä kaikessa toiminnassa. Siihen liittyvien rikkomusten hallinnollinen sakko on maksimissa 20 miljoonaa euroa tai 4 % yhtiön edellisen vuoden kokonaisliikevaihdosta, riippuen kumpi näistä on suurempi.