Tietosuoja

EU:n yleinen tietosuoja-asetus on voimassa, ja kaikkien on sovellettava sitä 25.5.2018 lukien. Tietosuoja-asetus on suoraan sovellettavaa pakottavaa lainsäädäntöä EU:n alueella.

Lisäksi tulee huomioida asetusta täydentävä kansallinen tietosuojalaki, joka astui voimaan alkuvuonna 2019. Tälle sivulle on koottu ohjeita aiheesta yhdistysten näkökulmasta.

Huomioikaa myös ohjeistukset sivuilla

• Jäsenrekisteri ja tietosuojaseloste
• Kotiseutuarkistot ja tietosuoja
• Kotiseutumuseot ja tietosuoja

Yhteyshenkilö ja neuvonta: järjestöpäällikkö Liisa Lohtander

Tietosuojavaltuutetun toimisto julkaisi tietopaketin yhdistyksille elokuussa 2019:

• Usein kysyttyjä kysymyksiä henkilötietojen käsittelystä yhdistyksissä
• Henkilötietojen käsittely yhdistystoiminnassa -opas (pdf-julkaisu verkossa)

EU:n tietosuoja-asetus ja kansallinen tietosuojalaki pähkinänkuoressa

• Tietosuoja-asetus on tullut voimaan 25.5.2016
• Asetusta sovellettava viimeistään 25.5.2018.
• Kansallinen laki tarkentaa asetusta ja lisää velvoitteita.
• Aiemmin voimassa on ollut henkilötietolaki, paljon samaa, mutta velvoitteet tiukkenevat ja sanktiot kovenevat.
• Uuden asetuksen tavoitteena on varmistaa, että ihmisten oikeus henkilötietojen suojaan ja yksityisyyteen toteutuu myös digiaikana.
• Henkilötietoja ovat kaikki tiedot, joiden nojalla joku elossa oleva henkilö voidaan tunnistaa
• Asetusta sovelletaan henkilötietojen käsittelyyn, kun tiedoista muodostuu rekisteri (esim. jäsenluettelo, arkiston tai museon luettelotiedot)
• Rekisterinpitäjä saa käsitellä henkilötietoja vain tietosuoja-asetuksessa säädetyillä perusteilla:

Esim. henkilön suostumus (voidaan kysyä jäseneltä liittymislomakkeessa, jos kootaan muuta tietoja kuin yhteystieto) tai jos käsittely on tarpeen:
– sopimuksen täytäntöön panemiseksi
– rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi (yhdistyslaki määrää yhdistyksiä)
– yleistä etua koskevan tehtävän suorittamiseksi tai
– rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi

• Organisaatiolla on oltava kyky osoittaa noudattavansa asetusta (seloste auttaa)
• Varsinkin internetiin vietävä aineisto harkittava tarkoin
• Valokuvien ja muiden henkilötietojen viemistä internetiin voidaan pitää henkilötietolain tarkoittamana automaattisena tietojenkäsittelynä
• Tarpeettomia henkilötietovarantoja on syytä välttää

Henkilötietoja ovat esimerkiksi: nimi, osoite, ip-osoite, henkilötunnus, kulttuurinen profiili, sormenjälki kuvana, terveystiedot, sähköpostiosoite, verkkotunnistetiedot, luottokortin numero, sijaintipaikka, joissakin tapauksissa myös puhelinnumero sekä auton rekisterinumero.

EU:n yleinen tietosuoja-asetus ei edellytä rekisteri- tai tietosuojaselosteen laatimista. Rekisteröityjä täytyy kuitenkin informoida henkilötietojen käsittelystä ja organisaatiolla on oltava kyky osoittaa noudattavansa asetusta. Näiden toteuttamiseksi tietosuojaselosteen laatiminen on hyvä ratkaisu.

Huomioikaa ainakin nämä neljä seikkaa:

1. Olkaa tietoisia kaikista keräämistänne henkilötiedoista. Yhdistyslain mukaan jäsenluettelo on pakollinen, siihen kootaan yhteystiedot.
2. Laatikaa rekisteri- ja tietosuojaseloste, jossa kerrotaan kuka kerää, mitä tietoja, miksi kerätään ja miten tiedot on suojattu. Kokoatteko jäsenistä muita kuin yhteystietoja? Miksi? Perustelkaa.
3. Varmistukaa että tietojen keräämiselle on yhdistyslain mukainen perustelu, tietosuoja-asetuksen mukainen perustelu tai henkilön suostumus. Arkaluonteisia tietoja ei saa kerätä.
4. Henkilön pitää pyytäessään saada nähdä, korjata tai poistaa häntä koskevaa tietoa jäsenrekisteristänne.

Kotiseutuliitto 2018 / Liisa Lohtander. Yhteenveto: tietosuoja-asiat yhdistysten näkökulmasta

www.tietosuoja.fi

Päivitetty elokuussa 2019.