GDPR kolkuttelee ovella – informointikäytännöt laitettava kuntoon 25.5. mennessä

Rekisteröidyn informoinnilla tarkoitetaan sitä, että henkilölle kerrotaan mm. siitä, mitä tietoja hänestä kerätään ja mihin tarkoituksiin niitä käytetään. Informoinnilla toteutetaan tietosuoja-asetuksessa säädettyä läpinäkyvyyden periaatetta; rekisteröidylle on oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään.

Miten informointi toteutetaan?

Informointivelvoitteesta säädetään asetuksen 12 artiklassa. Sen mukaan rekisterinpitäjän on toimitettava kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tarkoituksena on, että kohderyhmään kuuluva keskivertohenkilö saa kattavan ja selkeän kuvan henkilötietojen käsittelyn kokonaisuudesta. Informoinnissa tulisi siis välttää käyttämästä juridista jargonia tai ehdollisia muotoiluja.

Asetuksessa ei säädetä nimenomaisesti, missä muodossa informointi tulee tehdä. Käytännössä hyvä tapa informoinnin toteuttamiseen on tietosuojaselosteen tai -selosteiden käyttö. Seloste voidaan sijoittaa rekisterinpitäjän verkkosivuille helposti saataville vaikkapa siten, että siihen tehdään riittävän erottuva linkki kunkin sivun alatunnisteeseen. Seloste voi koskea yksittäistä henkilörekisteriä (kuten henkilötietolain mukaiset rekisteriselosteet) tai se voidaan laatia käsittelyyn liittyvän palvelun tai prosessin näkökulmasta.

Mitä tietoja rekisteröidylle pitää antaa?

Rekisteröidylle toimitettavasta tietosisällöstä on säädetty 13 ja 14 artiklassa. 13 artikla koskee tilannetta, kun henkilötietoja kerätään rekisteröidyltä. 14 artiklaa taas sovelletaan, kun tietoja ei ole saatu rekisteröidyltä, eli ne on kerätty muusta lähteestä. Tietosisältö on molemmissa tapauksissa lähes sama. Rekisteröidylle tulee kertoa mm. rekisterinpitäjän tunnistetiedot, henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste (kuten suostumus tai sopimuksen täytäntöön paneminen) sekä tietojen säilyttämisaika. Rekisteröityä tulee myös informoida hänelle kuuluvista oikeuksista, kuten tarkastusoikeudesta ja oikeudesta poistaa tiedot.

14 artiklan mukaan rekisteröidylle tulee kertoa myös käsiteltävistä henkilötietoryhmistä (yhteystiedot, asiakkaan muut tunnistetiedot jne.). Vaatimus ei koske siis niitä tilanteita, kun tietoja kerätään suoraan rekisteröidyltä. Henkilötietoryhmät kannattaa kuitenkin ilmoittaa aina, jolloin selosteessa ei tarvitse erotella ilmoitusta kahteen luokkaan sen perusteella, mistä tieto on kerätty.

Milloin tiedot pitää toimittaa?

Kun henkilötietoja kerätään rekisteröidyltä, pitää rekisteröityä informoida käsittelystä silloin, kun henkilötietoja saadaan. Kun tietoja ei ole saatu rekisteröidyltä, rekisteröityä on informoitava:

• kohtuullisen ajan kuluttua, mutta viimeistään kuukauden kuluessa henkilötietojen saamisesta ottaen huomioon tietojen käsittelyyn liittyvät erityiset olosuhteet;
• jos henkilötietoja käytetään viestintään asianomaisen rekisteröidyn kanssa, viimeistään silloin kun rekisteröityyn ollaan yhteydessä ensimmäisen kerran; tai
• jos henkilötietoja on tarkoitus luovuttaa toiselle vastaanottajalle, viimeistään silloin kun näitä tietoja luovutetaan ensimmäisen kerran.

Kaupan liitto on laatinut jäsenilleen ohjeen tietosuojaselosteen laatimisesta.

Lisätietoja on saatavilla myös mm. tietosuojavaltuutetun toimiston verkkosivuilta.

Kuva: Jakub Jirsak/123RF