Title: Tietosuoja
Course: Digiturvastartti > Section: Opiskele ja tee

Mitä on tietosuoja?

Kun puhutaan tietosuojasta, tarkoitetaan henkilötietojen suojaa. Yksityisyyden ja henkilötietojen suoja on jokaiselle kuuluva, lailla turvattu perusoikeus. Henkilötietojen turvallinen ja lainmukainen käsittely varmistaa tämän oikeuden toteutumisen.

EU:n yleinen tietosuoja-asetus (tunnetaan myös lyhenteillä GDPR tai TSA) on asetus, jota sovelletaan kaikissa EU-maissa, myös Suomessa. Sen tarkoituksena on suojata yksilön oikeuksia digitaalisessa maailmassa. Suomessa sääntelyä täydentävät useat kansalliset lait, kuten tietosuojalaki, työelämän tietosuojalaki, rikosasioiden tietosuojalaki ja sähköisen viestinnän palvelulaki.

Tietosuojaviranomaisena Suomessa toimii Tietosuojavaltuutetun toimisto. Se valvoo sääntelyn noudattamista ja voi määrätä huomautuksia, ohjeita tai seuraamusmaksuja, jos henkilötietoja käsitellään lainvastaisesti.

Keskeisiä tietosuojaan liittyviä käsitteitä:

- Henkilötiedot: Kaikki tiedot, joiden avulla henkilö voidaan suoraan tai epäsuorasti tunnistaa, kuten nimi, sähköpostiosoite tai IP-osoite.
- Erityiset henkilötiedot: Tiedot, jotka koskevat esimerkiksi terveyttä, poliittisia mielipiteitä tai uskonnollista vakaumusta. Näitä suojellaan erityisen tarkasti, ja niiden käsittely on yleensä kiellettyä ilman selkeää laillista perustetta.
- Rekisteröity: Henkilö, jonka tietoja käsitellään. Esimerkiksi opiskelija, asiakas tai työntekijä.
- Rekisterinpitäjä: Organisaatio, joka päättää, mihin tarkoitukseen ja miten henkilötietoja käsitellään (esim. korkeakoulu).
- Henkilötietojen käsittelijä: Taho, joka käsittelee tietoja rekisterinpitäjän lukuun ja ohjeiden mukaan (esim. IT-palveluntarjoaja).
- Henkilötietojen käsittely: Kaikki toimet, joita kohdistetaan henkilötietoihin – kuten kerääminen, tallentaminen, siirtäminen tai poistaminen.

Esimerkkejä henkilötiedoista:

- Etunimi ja sukunimi
- Kotiosoite
- Henkilökohtainen sähköpostiosoite, esim. etunimi.sukunimi@yritys.com
- Puhelinnumero
- Paikannustiedot
- IP-osoite
- Lemmikin terveystiedot
- Potilas- ja terveystiedot
- Perinnölliset sairaudet
- Yksityisen elinkeinonharjoittajan nimi ja Y-tunnus

Huom! Yleiset sähköpostiosoitteet (esim. info@yritys.fi) ja anonymisoidut tiedot eivät ole henkilötietoja. Jos henkilötietoja käsitellään vain yksityisesti ja yksityiskäyttöön, esimerkiksi ystävät ja perheenjäsenet oman puhelimen osoitekirjassa, ei tietosuojalainsäädäntöä sovelleta.

Pohdintatehtävä: Tiedätkö, mitä eroa on anonymisoinnilla ja pseudonymisoinnilla? Onko pseudonymisoitu tieto edelleen henkilötietoa – miksi tai miksi ei?

Rekisteröidyn oikeudet

Kun rekisterinpitäjä käsittelee henkilötietoja, sen on toteutettava asianmukaiset toimenpiteet rekisteröityjen tietosuojaoikeuksien toteuttamiseksi. Rekisteröidyn oikeuksien toteutumisen tulee olla helppoa ja lähtökohtaisesti rekisteröidylle maksutonta.

Tietosuoja-asetuksen mukaan rekisteröidyllä on oikeus

- saada tietoa henkilötietojensa käsittelystä
- saada tutustua hänestä käsiteltyihin tietoihin
- saada tietonsa oikaistuksi
- saada tietonsa poistetuksi ja tulla unohdetuksi
- saada tietojensa käsittelyä rajoitettua
- saada tietonsa siirrettyä järjestelmästä toiseen
- vastustaa tietojensa käsittelyä
- olla joutumatta automaattisen päätöksenteon kohteeksi

Aina rekisteröity ei voi käyttää kaikkia oikeuksia täysimääräisesti tai laisinkaan. Tilanteeseen voi vaikuttaa esimerkiksi se, millä perusteella henkilötietoja käsitellään kuten jos henkilötietojen käsittely perustuu lakiin. Tällöinkin rekisteröidyllä on oikeus saada tieto siitä, miksi pyyntö oikeuksien toteuttamisesta on evätty sekä saada tieto valitusoikeudesta valvontaviranomaiselle.

Tietosuoja minun organisaatiossani

Hyvin todennäköisesti organisaatiosi toimii rekisterinpitäjän roolissa ja siihen nähden sinäkin olet rekisteröity. Sinun on tärkeää sekä rekisteröidyn roolissa, mutta myös organisaatiosi työntekijänä, olla tietoinen organisaatiosi tietosuojakäytännöistä, jotta voit varmistaa henkilötietojen käsittelyn olevan lainmukaista, turvallista ja eettistä.

Organisaatioilla voi olla sisäisiä käytäntöjä ja ohjeita, jotka koskevat henkilötietojen käsittelyä. Näihin voi kuulua:

- Henkilötietojen käsittelyn hyväksyntä: Kuka saa käsitellä henkilötietoja ja mihin tarkoituksiin.

- Tietosuojavastaava: Nimetty henkilö, jonka rooliin kuuluu tietosuojan valvonta. Tarkista, kuka sinun organisaatiossasi on tietosuojavastaava ja miten hänet tavoittaa.

- Salasanakäytännöt: Turvalliset tavat käsitellä kirjautumistietoja ja muita arkaluonteisia tietoja.
- Tietoturvaloukkauksista ilmoittaminen: Organisaation sisäiset ohjeet siitä, miten tietoturvaloukkauksista ilmoitetaan ja miten niihin reagoidaan.
- Tietosuojaselosteet: Usein ne löytyvät organisaation verkkosivuilta. Tietosuojaseloste on laadittava, kun henkilötietoja kerätään, ja sen tulee olla saatavilla kaikille, joiden tietoja käsitellään. Tietosuojaselosteessa tulee esimerkiksi kertoa, mitä tietoja kerätään, miksi niitä kerätään, kuinka kauan niitä säilytetään ja miten ne suojataan.

- Koulutukset ja tiedottaminen: Miten organisaatio kouluttaa henkilöstöä tietosuojan ja tietoturvan osalta.
- Tunnista mahdolliset tietoturvariskit ja miten niihin voidaan varautua.

Tällä kurssilla tutustut Metropolian ohjeistuksiin.

Tietoturvaloukkaukset

Henkilötietoon kohdistuva tietoturvaloukkaus tarkoittaa tilannetta, jossa henkilötietoja esimerkiksi tuhoutuu, katoaa, muuttuu, päätyy vääriin käsiin tai luvattomasti jaettavaksi. Tämä voi tapahtua myös vahingossa – esimerkiksi jos lähetät vahingossa sähköpostin, joka sisältää toisen henkilön tietoja, väärälle vastaanottajalle.

Jos epäilet tai havaitset tietoturvaloukkauksen, ilmoita siitä heti organisaatiosi ohjeiden ja roolisi mukaisesti.

Organisaatiolla eli rekisterinpitäjällä tulee olla toimintaohje tietoturvaloukkausten varalle. Ilmoitukset voi olla keskitetty vastuuhenkilölle. Rekisterinpitäjän vastuulla on:

- arvioida loukkauksen vakavuus ja mahdolliset seuraukset rekisteröidyille,
- tiedottaa rekisteröityjä, jos riski on merkittävä,
- kirjata ja dokumentoida kaikki loukkaukset sekä toteutetut toimenpiteet.

Tietoturvaloukkauksen seuraukset voivat olla vakavia. Esimerkiksi:

- identiteettivarkaus tai petos,
- mahdolliset haitat työnsaannissa tai opiskelussa,
- maineen menetykset ja sosiaaliset vaikeudet,
- taloudelliset tappiot – esim. verkkokauppaostoksia tehty luvattomasti nimissäsi,
- ylimääräistä selvitystyötä ja stressiä.

Muista nämä: Tunnista tietoturvaloukkaukset, toimi nopeasti ja tunne oman organisaatiosi ohjeet. Nopeus ja tiedottaminen ovat keskeisiä keinoja suojata rekisteröityjen oikeuksia.

Tietoturvaloukkaukset työelämässä

Jos joudut työntekijänä tietoturvaloukkauksen uhriksi, sinulle koituvat harmit ja vahingot ovat suurelta osin samoja kuin yksityishenkilönäkin. Riippuen paljastuneista tiedoista, voi näillä olla vaikutuksia asemaasi työyhteisössäsi. Seuraukset voivat olla kuitenkin laajempiakin.

Työntekijänä sinulla on vastuu niistä henkilötiedoista, joita itse käsittelet työnantajasi eli rekisterinpitäjän lukuun. Vastuullasi on noudattaa työnantajasi ohjeita ja toimintatapoja henkilötietojen käsittelyssä, mikä myös ennaltaehkäisee tietoturvaloukkausten tapahtumista. Mahdollisia seurauksia työelämässä tietoturvaloukkauksista voi olla:

- Työnantajallesi voi aiheutua taloudellinen ja mainevahinko, joka voi vaikuttaa työnantajasi kykyyn jatkaa toimintaansa.
- Sopimusrikkomukset sopimuksiin, joihin työnantajasi on sitoutunut, jos salassapidettävää tietoa paljastuu. Sopimusrikkomuksilla on negatiivinen vaikutus työnantajaasi luotettavana sopimuskumppanina sekä yleensä taloudellinen seuraamus.
- Ikävässä tapauksessa sinulle voi jopa koitua korvausvelvollisuus työnantajaasi kohtaan, jos voidaan osoittaa, että olet työntekijänä käyttäytynyt huolimattomasti tai jopa tahallisesti ohjeistuksesta piittaamatta.

Milloin henkilötietoja saa käsitellä?

Henkilötietojen käsittelylle on olemassa edellytyksiä ja rajoituksia. Henkilötietoja saa käsitellä, ts. käsittely on lainmukaista, ainoastaan, jos vähintään yksi alla luetelluista edellytyksistä täyttyy. Puhutaan tällöin henkilötietojen käsittelyn oikeusperusteista.​

1. Rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Suostumuksen on oltava nimenomainen, yksilöity, vapaaehtoinen ja peruutettavissa. ​
2. Käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä.​
3. Käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.​
4. Käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi. ​
5. Käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi.​
6. käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

Huomaa, että yllä mainitut käsittelyn oikeusperusteet eivät sovellu erityisten henkilötietoryhmien käsittelyyn sellaisinaan. Erityisiä henkilötietoja saa käsitellä, kun jokin laissa tarkemmin eritellystä kymmenestä edellytyksistä täyttyy. Näitä oikeusperusteita ovat muun muassa rekisteröidyn antama nimenomainen suostumus, elintärkeiden etujen suojaaminen tai lakiin perustuva henkilötietojen käsittely.

Tietosuojaperiaatteet

Sen lisäksi, että henkilötietojen käsittelylle on tunnistettu jokin käsittelyn salliva oikeusperuste, on henkilötietojen käsittelyssä noudatettava tietosuojaperiaatteita. Nämäkin periaatteet tulevat suoraan tietosuojalainsäädännöstä. Sinun on hyvä tuntea periaatteet sekä oman tietosuojasi kannalta rekisteröitynä, mutta myös muiden henkilötietoja käsitellessäsi.

Lainmukaisuus, läpinäkyvyys ja kohtuullisuus

- Henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi.

Käyttötarkoitussidonnaisuus ja tietjen minimointi

- Henkilötietoja voi kerätä ja käsitellä ainoastaan tiettyä, nimenomaista ja laillista tarkoitusta varten.​
- Henkilötietoja ei saa kerätä enempää kuin käsittelyn tarkoitukseen nähden on tarpeen.

Täsmällisyys, eheys ja luottamuksellisuus

- Henkilötietoja on käsiteltävä turvallisesti ja luottamuksellisesti.​
- Henkilötietoja on päivitettävä tarvittaessa ja virheelliset tai muutoin epätarkat tiedot on poistettava tai oikaistava viipymättä.​

Säilytyksen rajoittaminen
- Henkilötietoja ei saa säilyttää kauempaa kuin on olemassa peruste tietojen käsittelylle. Henkilötietojen poistosta on siis huolehdittava kun peruste lakkaa.​

Kaikkien tietosuojaperiaatteiden on toteuduttava samanaikaisesti aina, kun henkilötietoa käsitellään.

Muista: Tietosuoja ei ole kaikille ja joka tilanteessa samanlainen asia. Jatkossa perehdyt siihen tarkemmin oman roolisi mukaisesti – olitpa sitten opinnäytetyön tekijä, tutkija, asiantuntija tai esihenkilö. Osaamisvaatimukset kasvavat vastuun mukana: mitä enemmän ja arkaluontoisempia henkilötietoja käsittelet, sitä tarkemmin sinun on tunnettava tietosuojan velvoitteet.