open-legal-products Tietosuojaseloste ja seloste käsittelytoimista
Tämä työnkulku tuottaa tarkistettavan luonnoksen, ei oikeudellista neuvontaa. Selosteen oikeudellinen riittävyys ja julkaisukelpoisuus on tarkistettava tietosuojavastaavalla tai juristilla.
Ohjeet
Kyse on kahdesta eri asiakirjasta, jotka usein sekoitetaan. Selvitä ensin, kumpaa käyttäjä tarvitsee (tai molempia):
- Tietosuojaseloste / informointi (GDPR 13–14 art) — rekisteröidylle annettava, julkinen, selkokielinen kuvaus siitä, miten hänen tietojaan käsitellään.
- Seloste käsittelytoimista (GDPR 30 art) — rekisterinpitäjän sisäinen dokumentaatio käsittelytoiminnoista (osoitusvelvollisuus); ei julkaistava, esitetään valvontaviranomaiselle pyydettäessä.
Sovellettava sääntely: EU:n yleinen tietosuoja-asetus (EU) 2016/679, jota tietosuojalaki (1050/2018) täsmentää kansallisesti. Jos käytettävissä on suomalaisen oikeuden hakulähde (esimerkiksi Finlex-tietokanta tai oikeudellinen hakutyökalu), tarkista artikla- ja pykäläviittaukset ajantasaisesta lähteestä ennen lopullista vastausta. Jos hakulähdettä ei ole käytettävissä, älä esitä säännöksen sisältöä varmana: merkitse viittaus muotoon [tarkistettava] ja pyydä käyttäjää toimittamaan ajantasainen säädösteksti.
A. Tietosuojaseloste (informointi, 13–14 art)
Kerää käsittelyn tiedot käyttäjältä ja laadi seloste, joka sisältää vähintään:
- Rekisterinpitäjä ja yhteystiedot (sekä tietosuojavastaavan yhteystiedot, jos nimetty).
- Käsittelyn tarkoitukset ja oikeusperuste (6 art; arkaluonteisilla tiedoilla myös 9 art). Jos peruste on oikeutettu etu, nimeä mikä etu.
- Henkilötietoryhmät ja tietolähteet (erityisesti jos tietoja ei ole saatu rekisteröidyltä itseltään, 14 art).
- Vastaanottajat tai vastaanottajaryhmät (ml. käsittelijät).
- Siirrot EU/ETA:n ulkopuolelle ja suojatoimet, jos siirretään.
- Säilytysaika tai sen määräytymisperuste.
- Rekisteröidyn oikeudet (tarkastus, oikaisu, poisto, rajoittaminen, siirto, vastustaminen) ja oikeus peruuttaa suostumus, jos käsittely perustuu suostumukseen.
- Oikeus tehdä valitus valvontaviranomaiselle (tietosuojavaltuutetun toimisto).
- Onko tietojen antaminen lakisääteinen tai sopimukseen perustuva vaatimus, ja antamatta jättämisen seuraukset.
- Automaattinen päätöksenteko ja profilointi (22 art) sekä sen logiikka, jos sellaista on.
Kirjoita selkokielellä: informoinnin on oltava tiivis, läpinäkyvä, ymmärrettävä ja helposti saatavilla (12 art). Vältä juridista jargonia; kuvaa käsittely konkreettisesti.
B. Seloste käsittelytoimista (30 art)
Laadi sisäinen seloste, joka sisältää kustakin käsittelytoiminnosta:
- Rekisterinpitäjän (ja mahdollisen yhteisrekisterinpitäjän, edustajan, tietosuojavastaavan) tiedot.
- Käsittelyn tarkoitukset.
- Rekisteröityjen ryhmät ja henkilötietoryhmät.
- Vastaanottajaryhmät (ml. kolmannet maat).
- Siirrot kolmansiin maihin ja suojatoimet.
- Säilytysaikojen määräytyminen mahdollisuuksien mukaan.
- Teknisten ja organisatoristen turvatoimien yleinen kuvaus.
Käsittelijän seloste on suppeampi (30(2) art). Pienen organisaation poikkeus (30(5) art) on kapea — älä oleta sen soveltuvan ilman tarkistusta.
Tulostemuoto
Tuota muokattava asiakirjaluonnos. Merkitse täydennettävät kohdat hakasulkein; älä keksi säilytysaikoja tai turvatoimia, vaan kirjaa vain käyttäjän antamat tiedot. Erota selvästi julkinen tietosuojaseloste ja sisäinen käsittelytoimien seloste. Lisää loppuun merkintä: "Luonnos — tarkistettava ennen julkaisua/käyttöä."
Rajaukset
- Älä vahvista GDPR-artikloja (12–14, 30 art) tai tietosuojalain pykäliä muistista — lähteestä tai [tarkistettava].
- Työnkulku ei määritä käsittelyperustetta eikä arvioi DPIA-tarvetta — seloste edellyttää, että nämä on jo selvitetty.
- Työnkulku ei toimita selostetta valvontaviranomaiselle; seloste käsittelytoimista esitetään vain pyydettäessä.