Yleinen tietosuoja-asetus (GDPR)
Yleinen tietosuoja-asetus (GDPR) on maailman tiukin yksityisyyttä ja tietoturvaa säätelevä laki. Vaikka sen laati ja hyväksyi Euroopan unioni (EU), se asettaa velvoitteita organisaatioille kaikkialla maailmassa, mikäli ne kohdistavat toimintaansa EU:ssa oleviin henkilöihin tai keräävät heitä koskevia tietoja. Asetuksen soveltaminen alkoi 25.5.2018. GDPR:n rikkomisesta voidaan määrätä ankaria seuraamusmaksuja, jotka voivat nousta jopa kymmeniin miljooniin euroihin (GDPR.eu). Kun puhumme GDPR:stä, puhumme tietosuojasta. Tietosuoja käsittelee henkilötietojen keräämistä, käsittelyä ja luovuttamista. Tietosuoja ja tietoturva ovat toisistaan eroavia käsitteitä: tietosuoja turvaa yksilön oikeuksia ja vapauksia, kun taas tietoturvan tarkoituksena on suojata organisaation resursseja ja etuja. Tietosuojassa keskeistä on henkilötieto, kun taas tietoturvan piiriin kuuluu kaikki organisaatiolle arvokas tietoaineisto. Henkilötieto on tietosuojan ydinkäsite, ja sen määritteleminen on ratkaisevan tärkeää. Henkilötietoa on kaikki tunnistettuun henkilöön liittyvä tieto, kuten nimi, henkilötunnus, sähköpostiosoite, sijaintitieto, IP-osoite, valokuva tai valvontakameratallenne. Henkilötietoja voidaan luokitella myös erityisiin ryhmiin, joita ovat esimerkiksi rotuun tai etniseen alkuperään, poliittisiin mielipiteisiin, uskonnolliseen tai filosofiseen vakaumukseen, ammattiliiton jäsenyyteen, potilastietoihin, terveydentilaan tai seksuaaliseen suuntautumiseen liittyvät tiedot. Henkilötietojen käsittelyyn liittyy joitakin termejä: Rekisteröity (data subject) on henkilö, joka voidaan suoraan tai välillisesti tunnistaa. Rekisterinpitäjä (data controller) on taho, joka määrittelee tietojenkäsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä (data processor) on taho, joka käsittelee henkilötietoja. Henkilötietojen käsittely tarkoittaa mitä tahansa henkilötietoihin kohdistuvaa toimintoa, kuten tallentamista, poistamista tai katselua. GDPR:n keskeiset periaatteet GDPR on eurooppalainen tietosuojalaki, joka tuli voimaan vuonna 2016. Se vahvistaa rekisteröidyn määräysvaltaa omiin tietoihinsa, asettaa tiukkoja velvoitteita rekisterinpitäjille ja antaa jäsenmaille joukon sääntöjä ja määräyksiä. GDPR:n keskeiset osatekijät Tietojen käsittelylle on oltava laillinen peruste, ja käsittelijän on toimittava rekisteröityä kohtaan avoimesti (lainmukaisuus, kohtuullisuus ja läpinäkyvyys). Henkilötietojen käsittelyn tarkoitus on määriteltävä, dokumentoitava ja ilmoitettava rekisteröidylle selkeästi (käyttötarkoitussidonnaisuus). Tietoja saa kerätä vain sen verran kuin määritellyn tarkoituksen toteuttamiseksi on välttämätöntä (tietojen minimointi). Käsiteltävien henkilötietojen on oltava täsmällisiä ja ajan tasalla (täsmällisyys). Henkilötiedot, joita ei enää tarvita, on joko anonymisoitava tai poistettava (säilytyksen rajoittaminen). Henkilötiedot on pidettävä luottamuksellisina ja suojattava sisäisiltä ja ulkoisilta uhilta (eheys ja luottamuksellisuus / tietoturva). Rekisterinpitäjän on kyettävä osoittamaan tietosuojasääntöjen ja -periaatteiden noudattaminen (osoitusvelvollisuus).