GDPR mahdollisimman selkeästi

Olemme huomanneet, että jotkin EU GDPR (General Data Protection Regulation)-tietosuoja-asetuksen yksityiskohdat ovat vaikeaselkoisia. Koetan tässä selventää keskeisimpiä asioita. Mutta pitää ehdottomasti lukiessa pitää mielessä, etten ole tietosuojajuristi enkä voi ottaa vastuuta tulkinnoista.

Kyseessä ei ole direktiivi, joka on tavallaan ohje tai raamitus normin rakentamiseksi vaan asetus, joka on lain kaltainen ja suoraan sovellettavaa oikeutta. Noudattaminen on siis välttämätöntä eikä non-profiteille ole mitään erillistä määritystä mikä on henkilötietoa ja mikä on rekisteri.

Voi olla yllätys, että nyt myös kuva pääsääntöisesti on henkilötietoa: kuvantunnistusohjelmat ovat kaikkien käytettävissä ja niinpä kuva voi kertoa paljon enemmän kuin 1000 sanaa. Mapissa oleva, tietojärjestelmän sisältämä sekä verkkolevyjen ja taulukoiden sisältämä henkilötieto on rekisteriä. Sisältö ratkaisee, ei formaatti. On myös huomioitava, että henkilötietojen säilyttäminen on tietojen käsittelyä. Kun liitto tai järjestö pitää yllä yhdistystensä jäsenrekisteriä, pitää kullakin yhdistyksellä olla sopimus liiton kanssa. Tämä siis siinä tapauksessa, että jäsenjärjestöt ovat juridisesti itsenäisiä eli niillä kullakin on oma y-tunnuksensa.

GDPR yleisperiaatteet henkilötietojen käsittelylle

1. Osoitusvelvollisuus

On pystyttävä osoittamaan, että asetuksen periaatteita on noudatettu. Ei siis riitä, että jonkin asian toteuttamisesta on sovittu vaan on voitava näyttää, että näin on tosiaan toimittu. Ei ole vaikkapa vaan sovittu, että mapeissa olevat rekisterit tuhotaan ja siirretään tietoturvalliseen sähköiseen paikkaan. On tärkeää dokumentoida, että näin on tapahtunut.

2. Lainmukaisuus, kohtuullisuus ja läpinäkyvyys

Henkilötiedon käsittelyyn on oltava laillinen peruste. Henkilötiedon säilyttäminen ja käsittely voi perustua suostumukseen, oikeutettuun etuun tai sopimukseen. Non-profitin kannattaa kiinnittää huomiota suostumukseen sekä sopimukseen. Suostumus on ylivoimaisesti yleisin – ja järjestön kannalta huonoin vaihtoehto. ”Suostun, että tietojani säilytetään rekisterissä Y”. Kun ihminen ottaa rastin pois, ei järjestöllä ole mitään edellytyksiä pitää tietoja. Suostumuksen sijaan sopimuksellisuus antaa järjestölle enemmän liikkumavaraa. Kun ihminen tilaa uutiskirjeen ja järjestö toimittaa palvelun, on syntynyt sopimus. Sopimusperusteista henkilötietoa ei niin vaan tarvitsekaan poistaa. Tämä on juristikikkailua, mutta se kannattaa tehdä, jotta voi myöhemmin kontaktoida ihmisiä esimerkiksi heidän houkuttelemiseksi uudelleen toimintaan.

3. Käyttötarkoitussidonnaisuus

Tietoa kerätään ja käytetään juuri siinä tarkoituksessa mitä rekisteriselosteessa on ilmoitettu.

4. Tietojen minimointi

Tiedon on oltava asianmukaista ja oleellista. Tietoa saa kerätä vain sen verran mikä on tarpeellista. Tässäkin otsikko kertoo kaiken oleellisen.

5. Täsmällisyys

Tietosisällön tulee olla täsmällistä, päivitettyä ja virheetöntä. Täydellistä virheettömyyttä ei voi vaatia, mutta esimerkiksi monien rekisterien ongelma, duplikaatit, eivät ole sallittuja. Jotkut tietojärjestelmät eivät juuri piittaa onko henkilön tiedot jo valmiiksi rekisterissä vaan perustavat uuden kontaktikortin jäsenen tilatessa lehden tai ilmoittautuessa tapahtumaan. Samoin ihmisten muuttaessa rekistereihin jää helposti vanhentuneita kontakteja väärillä tiedoilla – tätä voi taklata automatisoimalla osoitteiden päivityksen suoraan Postin tietojärjestelmästä.

6. Säilytyksen rajoittaminen

Tietoa on lupa säilyttää vain niin kauan kuin se on tarpeen käsittelyn tarkoituksen kannalta. Tässäkin kohdin rekisteriseloste kannattaa laatia huolella, jotta esimerkiksi historiankirjoitus ei käy mahdottomaksi.

7. Eheys ja luottamuksellisuus

Kohta viittaa periaatteista eniten tietosuojan teknisiin ja organisatorisiin toimiin tietojen suojaamiseksi.

Rekisteröityjen oikeudet

1. Oikeus päästä tietoihin määräajassa

Rekisteröidylle on järjestettävä pääsy häntä koskeviin tietoihin pääsääntöisesti kuukauden kuluessa tietopyynnöstä. Hyvällä syyllä kaksi kuukautta sallitaan mutta ei enempää. Samalla on syytä kuitenkin varmistua, että tietoja pyrkii näkemään juuri rekisteröity, eikä joku hänenä esiintyvä.

2. Oikeus tulla unohdetuksi

Laillisuuden ohella tähän liittyy mahdollisesti työllistävä seikka: kun henkilö haluaa, että hänen tietonsa poistetaan, voi olla suuri työ löytää duplikaatit, joissa kenties on eri osoite tai vaikka sukunimi. Yhdelläkään järjestöllä ei ole aikaa moiseen tietojen metsästykseen.

3. Oikeus siirtää tiedot koneluettavassa muodossa järjestelmästä toiseen

Nyt menee vahvasti maallikkotulkinnan puolelle mutta oletan, että tämän kohdan noudattamisessa haetaan linjaa vielä jonkin aikaa. Mikä katsotaan tarkoituksenmukaiseksi ja kohtuulliseksi niin rekisteröidylle kuin rekisterinpitäjälle, sitä emme vielä tiedä.

Osa asetuksen vaatimuksista on täysin selviä, osassa haetaan vielä linjaa. Kiistatonta on, että järjestöjen tulee toimia asiassa. Sekä laillisuuden täyttämiseksi että oman ylimääräisen työn välttämiseksi järjestön kontaktit on syytä koota siten, että pääsynhallinta on keskitetty ja ammattimaisesti hoidettu.