open-legal-products Tietosuoja-arviointi
Tämä työnkulku tuottaa tarkistettavan arvion, ei oikeudellista neuvontaa. Korkean riskin käsittely, arkaluonteiset tiedot ja DPIA:n johtopäätökset kuuluvat tietosuojavastaavalle ja tarvittaessa juristille.
Ohjeet
Arvioi henkilötietojen käsittelyn tietosuojavaatimukset. Sovellettava sääntely on EU:n yleinen tietosuoja-asetus (EU) 2016/679 (GDPR), jota tietosuojalaki (1050/2018) täsmentää ja täydentää kansallisesti. Työelämän käsittelyyn sovelletaan lisäksi lakia yksityisyyden suojasta työelämässä (759/2004) — se on pakottavaa, työnantajaa sitovaa sääntelyä. Älä viittaa kumottuun henkilötietolakiin (523/1999) voimassa olevana.
Jos käytettävissä on suomalaisen oikeuden hakulähde (esimerkiksi Finlex-tietokanta tai oikeudellinen hakutyökalu), tarkista kansallisen lain pykälät ja GDPR-artiklaviittaukset ajantasaisesta lähteestä ennen lopullista vastausta. Jos hakulähdettä ei ole käytettävissä, älä esitä säännöksen sisältöä varmana: merkitse viittaus muotoon [tarkistettava] ja pyydä käyttäjää toimittamaan ajantasainen säädösteksti.
Vaihe 1: Kuvaa käsittely
- Mitä henkilötietoja käsitellään ja keneltä (rekisteröityjen ryhmät)?
- Mihin tarkoitukseen ja missä kontekstissa?
- Kuka on rekisterinpitäjä; onko käsittelijöitä (alihankkijat, pilvipalvelut — 28 art edellyttää käsittelysopimusta)?
- Siirretäänkö tietoja EU/ETA:n ulkopuolelle?
- Onko kyse erityisistä henkilötietoryhmistä (terveys, etninen alkuperä, vakaumus, ay-jäsenyys, geneettiset ja biometriset tiedot, seksuaalinen suuntautuminen) tai rikostiedoista (10 art)?
Vaihe 2: Määritä käsittelyperuste (GDPR 6 art)
Jokaisella käsittelyllä on oltava vähintään yksi peruste:
- Suostumus (6(1)(a)) — vapaaehtoinen, yksilöity, tietoinen, peruutettavissa. Heikko peruste työsuhteessa epätasapainon vuoksi.
- Sopimus (6(1)(b)) — käsittely tarpeen sopimuksen täyttämiseksi.
- Lakisääteinen velvoite (6(1)(c)).
- Elintärkeä etu (6(1)(d)).
- Yleinen etu / julkinen valta (6(1)(e)) — viranomaistoiminta.
- Oikeutettu etu (6(1)(f)) — edellyttää tasapainotestiä; ei sovellu viranomaisen tehtävien hoitoon.
Erityiset henkilötietoryhmät (9 art): käsittely on lähtökohtaisesti kielletty, ellei jokin 9(2) artiklan poikkeus sovellu (esim. nimenomainen suostumus, työoikeuden velvoitteet, tärkeä yleinen etu). Tarkista myös tietosuojalain kansalliset täsmennykset. Merkitse valittu peruste ja perustele; suostumuksesta dokumentoi vapaaehtoisuus, oikeutetusta edusta tasapainotesti.
Vaihe 3: Tarkista käsittelyn periaatteet (GDPR 5 art)
Käy läpi: lainmukaisuus, kohtuullisuus ja läpinäkyvyys; käyttötarkoitussidonnaisuus; tietojen minimointi; täsmällisyys; säilytyksen rajoittaminen (määrittele säilytysaika); eheys ja luottamuksellisuus; osoitusvelvollisuus (dokumentointi). Nosta esiin, jos jokin periaate ei toteudu.
Vaihe 4: Arvioi DPIA-tarve (GDPR 35 art)
Vaikutustenarviointi on tehtävä, kun käsittely todennäköisesti aiheuttaa korkean riskin rekisteröidyn oikeuksille. Tyypilliset liput:
- Laaja arkaluonteisten tietojen käsittely.
- Järjestelmällinen ja laaja-alainen seuranta (esim. profilointi tai automaattinen päätöksenteko oikeusvaikutuksin, 22 art).
- Henkilöiden järjestelmällinen valvonta yleisellä alueella.
- Uudet teknologiat, laaja rekisteröityjen joukko, haavoittuvat ryhmät (lapset, työntekijät, potilaat).
Kehota tarkistamaan myös tietosuojavaltuutetun toimiston julkaisema lista käsittelytoimista, jotka edellyttävät DPIA:ta. Jos DPIA tarvitaan, kuvaa sen rakenne (käsittelyn kuvaus, tarpeellisuus ja oikeasuhtaisuus, riskit, toimenpiteet) ja muistuta ennakkokuulemisesta (36 art), jos jäännösriski on korkea.
Vaihe 5: Johtopäätös
Tuota tiivis arvio: 1) saako käsitellä — peruste (6/9 art) ja perustelu; 2) periaatteiden täyttyminen ja havaitut puutteet; 3) DPIA-tarve: kyllä / ei / rajatapaus perusteluineen; 4) seuraavat toimet: mitä on dokumentoitava (seloste käsittelytoimista, 30 art), miten rekisteröityjä informoidaan (13–14 art) ja mikä vaatii asiantuntijan arvion — merkitse [varmista].
Rajaukset
- Älä vahvista GDPR-artikloja tai tietosuojalain pykäliä muistista — lähteestä tai [tarkistettava].
- Työnkulku ei laadi valmista vaikutustenarviointia eikä ennakkokuulemista — se arvioi vain DPIA:n tarpeen ja antaa rakenteen.
- Työnkulku ei tee ilmoituksia valvontaviranomaiselle eikä korvaa tietoturvaloukkauksen 72 tunnin ilmoitusta (33 art); korkean riskin loukkauksesta ilmoitetaan myös rekisteröidylle (34 art).
- Tietoturvan tekninen toteutus ei kuulu tähän työnkulkuun — vain turvatoimien tarpeen tunnistaminen.