open-legal-products Rekisteröidyn pyynnöt
Tämä työnkulku tuottaa tarkistettavan luonnoksen, ei oikeudellista neuvontaa. Lopullinen arvio kuuluu ihmisjuristille tai tietosuojavastaavalle.
Ohjeet
Käsittele rekisteröidyn esittämä pyyntö EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 (GDPR) mukaan. Kansallisesti asetusta täsmentää tietosuojalaki (1050/2018); työelämässä lisäksi laki yksityisyyden suojasta työelämässä (759/2004). Oikeudet eivät ole ehdottomia — useimmilla on edellytyksiä ja poikkeuksia.
Vaihe 1: Tunnista pyyntö ja pyytäjä
- Mikä oikeus on kyseessä? Pyyntö voi olla muodoton — tulkitse sisältöä, ei otsikkoa.
- Muistuta rekisterinpitäjää tunnistamaan pyytäjä luotettavasti, jotta tietoja ei luovuteta väärälle henkilölle — mutta kohtuuttomia lisätietoja ei saa vaatia.
- Kirjaa vastaanottopäivä: määräaika alkaa siitä.
Vaihe 2: Määräaika
Vastaus on annettava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta (12(3) art). Määräaikaa voi jatkaa enintään kahdella kuukaudella, jos pyynnöt ovat monimutkaisia tai niitä on useita — viivästyksestä ja sen syystä on ilmoitettava rekisteröidylle kuukauden kuluessa. Toimenpiteet ovat lähtökohtaisesti maksuttomia.
Vaihe 3: Arvioi oikeus ja edellytykset
| Oikeus | Artikla | Keskeiset edellytykset ja poikkeukset |
|---|---|---|
| Tarkastusoikeus | 15 | Jäljennös käsitellyistä tiedoista ja käsittelyn tiedot. Ei saa loukata muiden oikeuksia. |
| Oikaisu | 16 | Virheellisten tietojen korjaaminen, puutteellisten täydentäminen. |
| Poisto ("oikeus tulla unohdetuksi") | 17 | Esim. tietoja ei enää tarvita, suostumus peruttu, käsittely lainvastaista. Ei sovellu, jos käsittely on tarpeen mm. lakisääteisen velvoitteen tai oikeusvaateen vuoksi. |
| Käsittelyn rajoittaminen | 18 | Esim. tietojen oikeellisuus riitautettu — käsittely jäädytetään selvittelyn ajaksi. |
| Siirto-oikeus | 20 | Vain kun käsittely perustuu suostumukseen tai sopimukseen ja tehdään automaattisesti. Jäsennelty, koneluettava muoto. |
| Vastustamisoikeus | 21 | Erityisesti oikeutettuun tai yleiseen etuun perustuva käsittely; suoramarkkinointia saa aina vastustaa. |
| Automatisoidut päätökset | 22 | Oikeus olla joutumatta pelkkään automaattiseen käsittelyyn perustuvan, oikeusvaikutuksia aiheuttavan päätöksen kohteeksi (poikkeuksin). |
Jos käytettävissä on suomalaisen oikeuden hakulähde (esimerkiksi Finlex-tietokanta tai oikeudellinen hakutyökalu), tarkista tietosuojalain (1050/2018) kansalliset täsmennykset ja mahdolliset erityislain poikkeukset ajantasaisesta lähteestä ennen lopullista vastausta. Jos hakulähdettä ei ole käytettävissä, älä esitä säännöksen sisältöä varmana: merkitse viittaus muotoon [tarkistettava] ja pyydä käyttäjää toimittamaan ajantasainen säädösteksti.
Vaihe 4: Laadi vastausluonnos
- Myönteinen: kuvaa toteutettava toimenpide. Tarkastuspyynnössä: kokoa 15 artiklan mukaiset tiedot; huomauta, että jäljennös ei saa paljastaa sivullisten tietoja.
- Kielteinen tai osittainen: perustele, mihin poikkeukseen päätös perustuu, ja kerro rekisteröidylle oikeudesta tehdä valitus tietosuojavaltuutetun toimistolle sekä muista oikeussuojakeinoista. Älä kieltäydy ilman perustetta.
- Ilmeisen perusteeton tai kohtuuton (etenkin toistuva) pyyntö: kohtuullinen maksu tai kieltäytyminen on mahdollinen (12(5) art), mutta poikkeusta on käytettävä varoen ja perustellen.
Kirjoita vastaus asiallisella ja selkeällä yleiskielellä. Merkitse [varmista — tietosuojavastaavan arvioitava] kohtiin, joissa poikkeuksen soveltuminen on tulkinnanvaraista. Jos pyyntö paljastaa laajemman puutteen (esim. tietoja säilytetty liian kauan tai käsittelyperuste puuttuu), nosta se esiin erikseen.
Rajaukset
- Kielteinen tai osittainen päätös ja tulkinnanvaraisen poikkeuksen soveltaminen kuuluvat tietosuojavastaavalle tai juristille.
- Älä vahvista GDPR-artikloja tai tietosuojalain pykäliä muistista — tarkista lähteestä tai merkitse [tarkistettava].
- Työnkulku ei tee kieltäytymispäätöstä, ei tunnista pyytäjää eikä kokoa tietoja järjestelmistä — nämä jäävät rekisterinpitäjälle.
- Viranomaisen julkisuuslakiin perustuva tietopyyntö on eri asia kuin rekisteröidyn GDPR-pyyntö, eikä kuulu tähän työnkulkuun.
- Työnkulku ei asioi valvontaviranomaisen kanssa; se vain kertoo rekisteröidylle valitusoikeudesta.