Datan jakaminen on modernin kaupankäynnin elinehto. Olitpa sitten perustamassa uutta pilvipalveluntarjoajaa, tekemässä yhteistyötä markkinointitoimiston kanssa tai integroimassa kolmannen osapuolen HR-järjestelmää, henkilötiedot liikkuvat jatkuvasti organisaatioiden välillä. Mutta tässä on epämiellyttävä totuus: useimmat yritykset aliarvioivat datan jakamisen oikeudellisen miinakentän yleisen tietosuoja-asetuksen (GDPR) nojalla.
Panokset ovat todelliset. Sakot voivat nousta 20 miljoonaan euroon tai 4 prosenttiin maailmanlaajuisesta vuotuisesta liikevaihdosta – kumpi tahansa on suurempi. Taloudellisten seuraamusten lisäksi riskinä on mainehaitta, viranomaisten valvonta ja asianomaisten henkilöiden siviilioikeudelliset vastuuvaatimukset. Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens eli AP) on tehnyt selväksi: tietämättömyys ei ole puolustus.
Tässä artikkelissa käydään läpi seitsemän kriittistä GDPR-riskiä, joita syntyy henkilötietojen jakamiseen liittyen. Jokainen riski perustuu tiettyihin GDPR-säännöksiin, havainnollistetaan tosielämän seurauksilla ja yhdistetään käytännön ohjeisiin, jotka auttavat sinua pysymään vaatimusten mukaisena. Olitpa sitten yrityksen omistaja, vaatimustenmukaisuudesta vastaava henkilö tai Alankomaissa toimiva lakimies, näiden sudenkuoppien ymmärtäminen on olennaista.
1. Tietojen jakaminen ilman pätevää oikeusperustaa (yleisen tietosuoja-asetuksen 6 artikla)
Riski: Et voi jakaa henkilötietoja vain siksi, että se on kätevää tai hyödyllistä. Jokainen tiedonjakotapaus edellyttää pätevää oikeusperustaa GDPR:n 6 artiklan mukaisesti.
Miksi yritykset tekevät virheitä: Monet organisaatiot olettavat, että kaupallinen syy tietojen jakamiseen riittää. Se ei kuitenkaan ole. GDPR tarjoaa kuusi laillista perustetta tietojen käsittelylle: suostumus, sopimusperusteinen tarve, lakisääteinen velvoite, elintärkeät edut, julkinen tehtävä ja oikeutetut edut. Jokaisella on omat erityisvaatimuksensa ja rajoituksensa.
Esimerkiksi "oikeutettuihin etuihin" vedotaan usein tietojen jakamisen perustelemiseksi kumppaneiden tai palveluntarjoajien kanssa. Tämä peruste vaatii kuitenkin huolellisen tasapainottelun: etusi eivät saa syrjäyttää niiden henkilöiden oikeuksia ja vapauksia, joiden tietoja käsittelet. Ja sinun on dokumentoitava tämä arviointi.
Oikeudellinen perustelu: Yleisen tietosuoja-asetuksen 6 artikla sisältää tyhjentävän luettelon laillisista perusteista. Yleisen tietosuoja-asetuksen 5(1)(a) artiklan mukaan kaiken käsittelyn on oltava laillista, asianmukaista ja läpinäkyvää.
Tosimaailman seuraukset: AP on määrännyt sakkoja organisaatioille, jotka jakoivat asiakastietoja kolmansille osapuolille markkinointitarkoituksiin ilman asianmukaista laillista perustetta. Vaikka tiedot olisi anonymisoitu tai yhdistetty, ne ovat edelleen henkilötietoja, jos uudelleentunnistus on mahdollista.
Käytännön takeaway: Ennen henkilötietojen jakamista tunnista ja dokumentoi sovellettava oikeusperuste. Jos jaat oikeutettuja etuja, tee ja kirjaa oikeutettujen etujen arviointi. Jos käytät suostumusta, varmista, että se on annettu vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen.
2. Roolien sekaannus: rekisterinpitäjä vs. käsittelijä (yleisen tietosuoja-asetuksen 4 artiklan 7–8 kohta)
Riski: GDPR tekee eron rekisterinpitäjien (jotka määrittävät käsittelyn tarkoitukset ja keinot) ja henkilötietojen käsittelijöiden (jotka käsittelevät tietoja rekisterinpitäjän puolesta) välillä. Oman roolin – tai kumppanisi roolin – virheellinen määrittäminen luo vakavia vaatimustenmukaisuusaukkoja.
Miksi yritykset tekevät virheitä: Käytännössä roolit voivat olla monitulkintaisia. Jos jaat dataa SaaS-palveluntarjoajan kanssa, onko hän rekisterinpitäjä vai käsittelijä? Entä jos hän käyttää dataasi algoritmiensa parantamiseen? Monet yritykset kutsuvat oletuksena jokaista toimittajaa "käsittelijäksi" analysoimatta suhdetta kunnolla.
Väärä luokittelu on tärkeää, koska rekisterinpitäjillä ja käsittelijöillä on erilaiset velvollisuudet. Rekisterinpitäjien on varmistettava, että käsittelijät antavat riittävät takeet säännösten noudattamisesta (yleisen tietosuoja-asetuksen 28 artikla). Yhteisrekisterinpitäjien on sovittava vastuualueistaan (yleisen tietosuoja-asetuksen 26 artikla). Jos teet sen väärin, saatat joutua vastuuseen tietoturvaloukkauksista, joista et edes tiennyt.
Oikeudellinen perustelu: Yleisen tietosuoja-asetuksen artiklan 4(7) ja (8) määritellään ”rekisterinpitäjä” ja ”henkilötietojen käsittelijä”. Yleisen tietosuoja-asetuksen 24 artiklassa esitetään rekisterinpitäjän vastuuvelvollisuudet.
Tosimaailman seuraukset: Euroopan yhteisöjen tuomioistuin päätti asiassa Muotitunnus (C-40/17), että jopa osittainen käyttötarkoitusten määrittäminen voi tehdä sinusta yhteisrekisterinpitäjän. Tämä tarkoittaa, että sinut voidaan pitää yhteisvastuussa GDPR-loukkauksista, vaikka jokin toinen osapuoli olisi ne aiheuttanut.
Käytännön takeaway: Kartoita tietovirrat ja määritä, kuka päättää miksi ja miten tietoja käsitellään. Dokumentoi tämä kirjallisesti ja varmista, että jokainen osapuoli ymmärtää roolinsa ja velvollisuutensa.
3. Puuttuva tai puutteellinen tietojenkäsittelysopimus (yleisen tietosuoja-asetuksen 28 artikla)
Riski: Jos käytät henkilötietojen käsittelijää käsittelemään henkilötietojasi puolestasi, sinulla on laillinen velvollisuus laatia kirjallinen tietojenkäsittelysopimus. Ei poikkeuksia.
Miksi yritykset tekevät virheitä: On houkuttelevaa ohittaa paperityöt, varsinkin luotettavien tai pitkäaikaisten kumppaneiden kanssa. Mutta ilman vaatimustenmukaista tietosuojasopimusta rikot GDPR:n 28 artiklaa ensimmäisestä päivästä lähtien – vaikka todellista vahinkoa ei tapahtuisikaan.
Asianmukaisen tietosuojasopimuksen on sisällettävä erityisiä pakollisia lausekkeita: käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitus, henkilötietojen tyyppi, rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet. Sen on myös käsiteltävä alihankintakäsittelyä, tietoturvaa ja tietoturvaloukkauksista ilmoittamista.
Oikeudellinen perustelu: Yleisen tietosuoja-asetuksen 28(3) artiklassa luetellaan tietosuojasopimuksen pakollinen sisältö. Yleisen tietosuoja-asetuksen 28(4) artiklassa edellytetään alihankkijoilta nimenomaista valtuutusta.
Tosimaailman seuraukset: AP on määrännyt seuraamuksia organisaatioille, jotka käyttävät henkilötietojen käsittelijöitä ilman riittäviä tietosuojavaltuuksia. Vaikka käsittelijä itse noudattaisi sääntöjä, rekisterinpitäjälle voidaan silti määrätä sakko asianmukaisen sopimuksen tekemättä jättämisestä.
Käytännön takeaway: Käytä standardoitua tietosuojasopimuksen mallia, joka kattaa kaikki artiklan 28(3) vaatimukset. Tarkista olemassa olevat sopimukset varmistaaksesi, että ne ovat GDPR:n mukaisia. Älä ota uusia käsittelijöitä palvelukseen ilman allekirjoitettua tietosuojasopimusta.
4. Laiton siirto ETA:n ulkopuolisiin kolmansiin maihin (GDPR artiklat 44–49 & Schrems II)
Riski: Henkilötietojen siirtäminen Euroopan talousalueen (ETA) ulkopuolelle on tiukasti rajoitettua. Voit tehdä niin vain, jos kohdemaa tarjoaa riittävän suojaustason – tai jos toteutat asianmukaiset suojatoimet.
Miksi yritykset tekevät virheitä: Monet yritykset käyttävät Yhdysvalloissa tai Aasiassa isännöityjä pilvipalveluita, maksupalveluntarjoajia tai analytiikkatyökaluja tietämättään, että ne käynnistävät kansainvälisiä siirtosääntöjä. Vaikka sopimuksesi olisi EU-tahon kanssa, siirtosääntöjä sovelletaan, jos tietoja tallennetaan tai niitä käytetään ETA-alueen ulkopuolella.
Schrems II tuomio (asia C-311/18) mitätöi EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn ja vahvisti, että pelkät mallisopimuslausekkeet eivät riitä. Sinun on myös tehtävä siirtoa koskeva vaikutustenarviointi (TIA) sen arvioimiseksi, heikentävätkö kohdemaan lait mallisopimuslausekkeiden takaamaa suojaa.
Oikeudellinen perustelu: Kansainvälisiä siirtoja säännellään yleisen tietosuoja-asetuksen 44–49 artiklalla. Yleisen tietosuoja-asetuksen V luvussa edellytetään tietosuojan riittävyyttä koskevia päätöksiä (artikla 45) tai asianmukaisia suojatoimia (artikla 46), kuten vakiosopimuslausekkeita.
Tosimaailman seuraukset: AP voi määrätä sinut keskeyttämään tai kieltämään tiedonsiirrot kolmansiin maihin, jos riittäviä suojatoimia ei ole käytössä. Yritykset ovat kohdanneet täytäntöönpanotoimia ja mainehaittaa siirrettyään tietoja Yhdysvaltoihin tekemättä tiedonsiirron jälkeistä vaikutustenarviointia.Schrems II.
Käytännön takeaway: Tunnista kaikki kolmansiin maihin tehdyt siirrot tietovirroissasi. Tarkista, onko olemassa tietosuojan riittävyyspäätös. Jos ei, ota käyttöön vakiosopimuslausekkeet ja tee tiedonvaihtovaikutusten arviointi. Dokumentoi tarvittaessa lisätoimenpiteet (esim. salaus, pseudonymisointi).
5. Tietosuojaa koskevan vaikutustenarvioinnin tekemättä jättäminen (yleisen tietosuoja-asetuksen 35 artikla)
Riski: Tietosuojaa koskeva vaikutustenarviointi (DPIA) on pakollinen, kun tietojen jakaminen todennäköisesti aiheuttaa suuren riskin yksilöiden oikeuksille ja vapauksille. Tähän sisältyy erityisten tietoluokkien laajamittainen käsittely, järjestelmällinen seuranta tai uusien teknologioiden käyttö.
Miksi yritykset tekevät virheitä: Monet organisaatiot pitävät DPIA-arviointeja valinnaisina tai merkityksellisinä vain "suurissa" projekteissa. Todellisuudessa terveystietojen jakaminen kolmannen osapuolen analytiikka-alustan kanssa, tekoälypohjaisten profilointityökalujen käyttöönotto tai useista lähteistä peräisin olevien tietojoukkojen yhdistäminen voivat kaikki johtaa DPIA-vaatimukseen.
DPIA ei ole pelkkä ruudun rastittaminen. Se on jäsennelty prosessi riskien tunnistamiseksi, niiden vakavuuden arvioimiseksi ja niiden lieventämiseksi tarvittavien toimenpiteiden määrittämiseksi. Jos jäännösriskit ovat edelleen korkeita, sinun on kuultava arviointiprosessia hoitavaa tahoa ennen jatkamista.
Oikeudellinen perustelu: Yleisen tietosuoja-asetuksen 35 artikla edellyttää tietosuojaa koskevien vaikutustenarviointien tekemistä korkean riskin käsittelyssä. AP on julkaissut ohjeet siitä, milloin tietosuojaa koskeva vaikutustenarviointi on tarpeen.
Tosimaailman seuraukset: Tietosuoja-arvioinnin tekemättä jättäminen vaadittuna on itsessään GDPR-rikkomus. AP on sakottanut organisaatioita korkean riskin tietojen jakamisesta ilman DPIA-arvioinnin tekemistä, vaikka todellista tietomurtoa ei olisi tapahtunut.
Käytännön takeaway: Tarkista kaikki tietojen jakamiseen liittyvät toiminnot tietosuojaa koskevan vaikutustenarvioinnin käynnistävien tekijöiden varalta. Epävarmoissa tapauksissa tee vaikutustenarviointi. Ota yhteyttä tietosuojavastaavaasi ja dokumentoi arviointiprosessi huolellisesti.
6. Riittämättömät tiedot rekisteröidyille (yleisen tietosuoja-asetuksen 13 ja 14 artikla)
Riski: Läpinäkyvyys on GDPR:n kulmakivi. Aina kun keräät tai jaat henkilötietoja, sinun on ilmoitettava rekisteröidyille, kuka vastaanottaa heidän tietojaan, mihin tarkoitukseen ja millä oikeusperusteella.
Miksi yritykset tekevät virheitä: Tietosuojailmoitukset ovat usein epämääräisiä tai vanhentuneita. Lausekkeet, kuten "saatamme jakaa tietojasi luotettavien kumppaneiden kanssa", eivät riitä. Sinun on määriteltävä vastaanottajien luokat (esim. "pilvipalveluntarjoajat", "markkinointitoimistot") ja tarvittaessa nimettävä ne.
Kun tietoja hankitaan epäsuorasti – esimerkiksi tiedonvälittäjältä tai toiselta rekisterinpitäjältä – GDPR:n 14 artikla asettaa lisätietovelvoitteita, mukaan lukien tiedonlähde.
Oikeudellinen perustelu: Yleisen tietosuoja-asetuksen 13 ja 14 artiklassa luetellaan tiedot, jotka on annettava rekisteröidyille. Yleisen tietosuoja-asetuksen 5(1)(a) artiklan mukaan kaikkien käsittelytoimien on oltava läpinäkyviä.
Tosimaailman seuraukset: AP on määrännyt yrityksille seuraamuksia siitä, etteivät ne ole ilmoittaneet yksilöille heidän tietojensa jakamisesta kolmansille osapuolille. Vaikka jakaminen itsessään olisi laillista, riittämätön läpinäkyvyys on itsenäinen rikkomus.
Käytännön takeaway: Tarkista ja päivitä tietosuojailmoituksesi siten, että ne kuvaavat selkeästi tietojen jakamiskäytännöt. Varmista, että ilmoitukset ovat helposti saatavilla ja kirjoitettu selkeällä kielellä. Kun jaat tietoja uusien kumppaneiden kanssa, päivitä ilmoituksesi ennen jakamisen aloittamista.
7. Pseudonymisointi vääränä turvallisuudentunteena
Riski: Pseudonymisointia – suorien tunnisteiden korvaamista koodeilla tai tokeneilla – kannustetaan GDPR:ssä turvatoimenpiteenä. Se ei kuitenkaan tee tiedoista anonymisoituja. Jos tiedot voidaan edelleen yhdistää takaisin yksilöön, ne ovat edelleen henkilötietoja ja kuuluvat GDPR:n täyden soveltamisalan piiriin.
Miksi yritykset tekevät virheitä: Yritykset usein olettavat, että pseudonymisoitua dataa on "turvallista" jakaa ilman rajoituksia. Käytännössä pseudonymisointi vain vähentää riskiä, ei poista sitä kokonaan. Jos jaat pseudonymisoitua dataa kumppanin kanssa, jolla on pääsy avaimeen tai muihin uudelleentunnistuksen mahdollistaviin tietojoukkoihin, käsittelet silti henkilötietoja.
Oikeudellinen perustelu: Yleisen tietosuoja-asetuksen 4(5) artikla määrittelee pseudonymisoinnin. Yleisen tietosuoja-asetuksen johdantokappale 26 selventää, että pseudonymisoidut tiedot pysyvät henkilötietoina, elleivät ne ole todella anonymisoituja (eli uudelleentunnistaminen ei ole enää mahdollista millään kohtuullisin keinoin).
Tosimaailman seuraukset: AP on ohjeistuksissaan selventänyt, että pseudonymisointi ei ole "vapaus vankilasta" -kortti. Jos uudelleentunnistus on mahdollista, kaikkia GDPR-velvoitteita sovelletaan, mukaan lukien laillisen perustan luominen, tietosuojavaikutusten arvioinnin suorittaminen ja riittävän turvallisuuden varmistaminen.
Käytännön takeaway: Käsittele pseudonymisoituja tietoja henkilötietoina, ellet ole käynyt läpi asiantuntijoiden validoimaa tiukkaa anonymisointiprosessia. Dokumentoi käytössä olevat tekniset ja organisatoriset toimenpiteet uudelleentunnistamisen estämiseksi.
Usein Kysytyt Kysymykset
Milloin tietojen jakaminen on sallittua GDPR:n nojalla?
Tietojen jakaminen on laillista vain, jos sinulla on pätevä oikeusperuste GDPR:n 6 artiklan mukaisesti. Kuusi oikeusperustetta ovat: suostumus, sopimusperusteinen välttämättömyys, lakisääteinen velvoite, elintärkeät edut, julkinen tehtävä ja oikeutetut edut. Sinun on myös noudatettava laillisuuden, oikeudenmukaisuuden, läpinäkyvyyden, käyttötarkoituksen rajoittamisen, tietojen minimoinnin, tarkkuuden, säilytyksen rajoittamisen, eheyden ja luottamuksellisuuden periaatteita (GDPR:n 5 artikla). Käytännössä tämä tarkoittaa sitä, että dokumentoit selvästi, miksi jaat tietoja, varmistat, että tarkoitus on yhdenmukainen alkuperäisen keräämistarkoituksen kanssa, ja että rekisteröidyille tiedotetaan jakamisesta.
Mitä eroa on ohjaimella ja prosessorilla?
A ohjain määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. A suoritin käsittelee tietoja rekisterinpitäjän puolesta erityisten ohjeiden mukaisesti. Tällä erolla on merkitystä, koska rekisterinpitäjät ovat ensisijaisesti vastuussa GDPR-vaatimustenmukaisuudesta, kun taas käsittelijöillä on rajoitetumpia velvoitteita (pääasiassa turvallisuuden ja luottamuksellisuuden varmistaminen). Jos jaat tietoja toimittajan kanssa, joka käsittelee niitä ohjeidesi mukaisesti – esimerkiksi palkanlaskentapalveluntarjoajan tai pilvitallennuspalvelun – he ovat tyypillisesti käsittelijöitä. Jos he myös päättävät, miten tietoja käytetään omiin tarkoituksiinsa, he voivat olla (yhteis)rekisterinpitäjiä. Roolien virheellinen määrittely voi johtaa vastuuvelvollisuuden ja yhteisvastuun puutteisiin rikkomusten yhteydessä.
Milloin tietojenkäsittelysopimus (DPA) on pakollinen?
Tietosuojasopimus on pakollinen aina, kun käytät käsittelijää henkilötietojen käsittelyyn puolestasi (yleisen tietosuoja-asetuksen 28 artikla). Tämä koskee organisaatiosi kokoa tai käsiteltävien tietojen määrää riippumatta. Tietosuojasopimuksen on oltava kirjallinen ja sen on sisällettävä erityisiä pakollisia lausekkeita, kuten käsittelyn kohde ja kesto, luonne ja tarkoitus, tietotyypit ja rekisteröityjen luokat sekä molempien osapuolten velvoitteet turvallisuuden, tietomurtoilmoitusten ja alihankintakäsittelyn suhteen. Ilman vaatimustenmukaista tietosuojasopimusta olet rikkonut tietosuojaa siitä hetkestä lähtien, kun käsittelijä aloittaa käsittelyn, vaikka vahinkoa ei tapahtuisikaan.
Voinko jakaa asiakastietoja EU:n ulkopuolisen tahon kanssa?
Kyllä, mutta vain tiukkojen ehtojen täyttyessä. Yleisen tietosuoja-asetuksen 44–49 artiklan nojalla voit siirtää tietoja kolmanteen maahan, jos: (a) Euroopan komissio on antanut kyseistä maata koskevan tietosuojan tason riittävyyspäätöksen tai (b) olet ottanut käyttöön asianmukaiset suojatoimet, kuten mallisopimuslausekkeet. Schrems II Harkintansa mukaan sinun on myös tehtävä siirtovaikutusten arviointi (TIA) sen arvioimiseksi, heikentävätkö kohdemaan lait (esim. valtion valvonta) vakiosopimuslausekkeiden takaamaa suojaa. Jos riskejä on edelleen, sinun on toteutettava lisätoimenpiteitä, kuten salaus tai tietojen minimointi. Siirrot ilman riittäviä suojatoimia voivat johtaa AP:n täytäntöönpanotoimiin, mukaan lukien siirron keskeyttäminen.
Milloin tietojen jakaminen edellyttää tietosuojavaikutusten arviointia?
Tietosuoja-asetuksen 35 artiklan nojalla tietosuoja-arviointi (DPIA) on pakollinen, kun käsittely todennäköisesti aiheuttaa korkean riskin yksilöiden oikeuksille ja vapauksille. Tähän sisältyvät: erityisten tietoryhmien (esim. terveys-, biometriset ja geneettiset tiedot) laajamittainen käsittely, julkisesti saatavilla olevien alueiden järjestelmällinen valvonta, automatisoitu päätöksenteko, jolla on oikeudellisia tai vastaavia merkittäviä vaikutuksia, ja uusien teknologioiden käyttö. Tietoja jaettaessa DPIA-arviointi on usein tehtävä, jos yhdistetään tietojoukkoja, jaetaan arkaluonteisia tietoja tai käytetään tietoja profilointiin tai tekoälypohjaiseen analytiikkaan. AP on julkaissut luettelon käsittelytoimista, jotka edellyttävät DPIA:n suorittamista. Jos olet epävarma, tee sellainen – parempi katsoa kuin katua.
Mitä sakkoja yrityksille voidaan määrätä GDPR:n rikkomisesta?
GDPR säätää kahdesta sakkotasosta. Alempi taso – jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta – koskee rikkomuksia, kuten asianmukaisten turvatoimenpiteiden laiminlyöntiä tai tietosuojavaikutusten arvioinnin tekemättä jättämistä tarvittaessa. Ylempi taso – jopa 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta – koskee vakavampia rikkomuksia, kuten laillisen perusteen puuttumista käsittelylle, laittomia kansainvälisiä siirtoja tai rekisteröityjen oikeuksien loukkaamista. AP määrittää sakon määrän sellaisten tekijöiden perusteella kuin rikkomuksen luonne ja vakavuus, onko se tahallinen vai tuottamuksesta johtuva, vaikutusten kohteena olevien henkilöiden lukumäärä ja mahdolliset lieventävät toimenpiteet. Viimeaikaiset valvonnan toimet osoittavat, että AP on halukas määräämään huomattavia sakkoja, erityisesti järjestelmällisistä tai tahallisista rikkomuksista.
Onko pseudonymisoitua dataa aina turvallista jakaa?
Ei. Pseudonymisointi vähentää riskiä, mutta ei poista sitä. Yleisen tietosuoja-asetuksen 4(5) artiklan mukaan pseudonymisoinnilla tarkoitetaan suorien tunnistetietojen (kuten nimien) korvaamista koodeilla tai pseudonymisoinneilla. Jos tiedot voidaan kuitenkin edelleen yhdistää takaisin yksilöön – esimerkiksi käyttämällä sinun tai vastaanottajan hallussa olevia lisätietoja – ne ovat edelleen henkilötietoja ja kuuluvat täysin yleisen tietosuoja-asetuksen piiriin. Tämä tarkoittaa, että tarvitset edelleen oikeusperustan, sinun on ilmoitettava rekisteröidyille ja varmistettava riittävä turvallisuus. Vain todellinen anonymisointi – jossa uudelleentunnistaminen ei ole enää mahdollista millään kohtuullisin keinoin – poistaa tiedot yleisen tietosuoja-asetuksen soveltamisalasta. Käytännössä aidon anonymisoinnin saavuttaminen on vaikeaa ja vaatii asiantuntijan validointia.
Mitä minun pitäisi tehdä, jos yritykseeni kohdistuu tietomurto laittoman tietojen jakamisen vuoksi?
Jos havaitset henkilötietomurron – mukaan lukien laittomasta tietojen jakamisesta johtuvan – sinulla on 72 tuntia ilmoittaa tietomurrosta tietosuoja-asetuksen 33 artiklan mukaisesti (ellei tietomurto todennäköisesti aiheuta riskiä yksilöiden oikeuksille ja vapauksille). Sinun on myös ilmoitettava asianomaisille henkilöille ilman aiheetonta viivytystä, jos tietomurto todennäköisesti aiheuttaa heille suuren riskin (tietomurto 34 artikla). Välittömiin toimenpiteisiin kuuluvat: tietomurron rajoittaminen, sen laajuuden ja vaikutuksen arviointi, tapahtuneen ja toimien dokumentointi sekä tietomurrosta ilmoittaminen tietomurron vastaanottajalle heidän verkkoportaalinsa kautta. Ilmoittamatta jättäminen voi johtaa erilliseen sakkoon. Tietomurron vastaanottaja arvioi, onko täytäntöönpanotoimien perusteita tietomurron vakavuuden ja vastauksesi perusteella.
Suojaa yritystäsi – Hanki asiantuntevaa oikeudellista neuvontaa
Tietojen jakaminen on väistämätöntä, mutta GDPR-rikkomusten ei tarvitse olla. Yllä esitetyt seitsemän riskiä eivät ole teoreettisia – ne perustuvat todellisiin lainvalvontatapauksiin, oikeuden päätöksiin ja sääntelyohjeisiin. Jokainen niistä voi johtaa sakkoihin, vastuuvaatimuksiin ja mainevahinkoihin.
Hyvä uutinen? Oikean oikeudellisen kehyksen, selkeän dokumentaation ja ennakoivien vaatimustenmukaisuustoimenpiteiden avulla voit jakaa tietoja luottavaisin mielin ja laillisesti. Mutta oikein toimiminen vaatii enemmän kuin yleisluontoista neuvontaa – se vaatii räätälöityä oikeudellista tukea, joka ymmärtää liiketoimintaasi, tietovirtojasi ja kohtaamiasi erityisiä riskejä.
Älä odota tietosuojavaltuutetun koputusta. Jos et ole varma, ovatko tietojen jakamiskäytäntösi GDPR-yhteensopivia, tai jos tarvitset apua tietosuojasopimusten laatimisessa, vaikutustenarviointien suorittamisessa tai kansainvälisten siirtojen hallinnassa, ota yhteyttä yksityisyyden suojaan erikoistuneeseen lakimieheen. Yrityksesi – ja asiakkaasi – ansaitsevat ehdottomasti vähempää.
