EU:n tietosuoja-asetus ( Asetus (EU) 2016/679 ) tuli voimaan 24.5.2016 ja sitä on sovellettu 25.5.2018 lähtien.
Lyhyesti – milloin GDPR koskee yritystä?
GDPR tulee huomioida, jos yritys kerää tai muutoin käsittelee EU-alueella olevien henkilöiden henkilötietoja tarjotessaan tuotteita tai palveluita tai seuratessaan rekisteröityjen käyttäytymistä. Velvoitteet voivat koskea yritystä myös silloin, vaikka yrityksellä ei olisi kotipaikkaa EU:ssa. Tällöin voi tietyissä tilanteissa syntyä tarve nimetä edustaja EU-alueelle.
Keskeiset compliance-vaatimukset yrityksille
GDPR asettaa yrityksille vaatimuksia erityisesti:
- dokumentaation ja tietosuojakäytäntöjen ylläpitämiseen
- riskialttiiden käsittelyjen arviointiin (esim. DPIA/tietosuojaa koskeva vaikutustenarviointi)
- ”privacy by design” ja ”privacy by default” -periaatteiden huomioimiseen IT- ja prosessisuunnittelussa
- henkilötietojen minimointiin (kerätään vain tarpeellinen)
Tietosuojavastaava (DPO) – milloin se on pakollinen?
Tietosuojavastaava tulee nimetä erityisesti, kun:
- käsittelijänä on viranomainen tai julkinen toimija (tietyin poikkeuksin)
- ydintoiminto edellyttää laajamittaista, säännöllistä ja järjestelmällistä rekisteröityjen seurantaa
- ydintoiminto perustuu laajamittaiseen erityisten henkilötietoryhmien käsittelyyn
Tietosuojavastaavalla tulee olla riittävä asiantuntemus tietosuojalainsäädännöstä sekä tehtävän edellyttämä ammattipätevyys. DPO voi olla yrityksen työntekijä tai ulkoistettu palvelu. DPO:n yhteystiedot tulee julkaista ja ilmoittaa valvontaviranomaiselle, ja DPO raportoi suoraan ylimmälle johdolle.
Tietoturvaloukkaukset – 72 tunnin ilmoitusvelvollisuus
GDPR sisältää ilmoitusvelvollisuuksia, jos havaitaan henkilötietojen tietoturvaloukkaus. Ilmoitus valvontaviranomaiselle tulee tehdä ilman aiheetonta viivytystä ja pääsääntöisesti 72 tunnin kuluessa siitä, kun loukkaus on tullut tietoon (poikkeukset tapauskohtaisesti).
Hallinnolliset sakot ja seuraamusriskit
GDPR mahdollistaa valvontaviranomaisen määräämät hallinnolliset sakot. Tietyissä rikkomuksissa sakko voi olla enintään 4 % edeltävän tilikauden maailmanlaajuisesta liikevaihdosta tai 20 miljoonaa euroa (sen mukaan, kumpi on suurempi). Toisissa rikkomuksissa enimmäistaso on 2 % maailmanlaajuisesta liikevaihdosta tai 10 miljoonaa euroa.
Sakkoja määrättäessä arvioidaan mm. rikkomuksen luonne, vakavuus, kesto, tahallisuus/huolimattomuus, vahingon lieventämistoimet sekä yhteistyö viranomaisen kanssa. Tavoitteena on, että seuraamus on tehokas, oikeasuhteinen ja varoittava.
Yhteenveto: 8 käytännön askelta
Ohessa kahdeksan keskeistä neuvoamme siitä, mitä yrityksen kannattaa tehdä:
- Valmistaudu tietoturvaloukkauksiin ja määritä toimintamalli ilmoituksia varten.
- Nimeä vastuuhenkilöt ja laadi selkeät sisäiset ohjeet.
- Omaksu tietosuoja IT-suunnittelun lähtökohdaksi (privacy by design/default).
- Selvitä käsittelyn oikeusperusta (esim. sopimus, lakivelvoite, oikeutettu etu, suostumus).
- Tarkista tietosuojaselosteet, sopimusehdot ja informointitekstit.
- Huolehdi rekisteröidyn oikeuksien toteuttamisesta käytännössä (prosessi ja aikataulut).
- Arvioi roolisi toimittajana/alihankkijana: käsittelijän velvoitteet ja sopimukset (DPA).
- Rajat ylittävät siirrot: varmista asianmukaiset suojatoimet ja dokumentaatio.
Tässä artikkelissa on käyty tiiviisti läpi keskeiset GDPR-vaatimukset. Yrityksen on käytännössä varmistettava, että prosessit, sopimukset ja dokumentaatio ovat kunnossa, ja että vastuut on määritelty selkeästi.
Usein kysytyt kysymykset GDPR:stä
Koskeeko GDPR myös EU:n ulkopuolista yritystä?
Kyllä, tietyissä tilanteissa. Jos yritys tarjoaa tuotteita tai palveluita EU-alueella oleville henkilöille tai seuraa heidän käyttäytymistään EU:ssa, GDPR voi soveltua, vaikka yritys toimisi EU:n ulkopuolelta.
Milloin tietosuojavastaava (DPO) on pakollinen?
DPO on tyypillisesti pakollinen, jos käsittely on laajamittaista ja ydintoiminnan kannalta keskeistä, erityisesti säännöllisen ja järjestelmällisen seurannan tai erityisten henkilötietoryhmien laajamittaisen käsittelyn yhteydessä. Arvio tehdään aina tapauskohtaisesti.
Mitä pitää tehdä, jos havaitaan henkilötietojen tietoturvaloukkaus?
Loukkaus tulee arvioida nopeasti: mitä on tapahtunut, mitä tietoja koskee ja mitä riskejä se aiheuttaa. Ilmoitus valvontaviranomaiselle tehdään pääsääntöisesti 72 tunnissa siitä, kun loukkaus tuli tietoon, ja tietyissä tilanteissa myös rekisteröidyille ilmoitetaan.
Miten suuret GDPR-sakot voivat olla?
Enimmäistasot ovat 4 % maailmanlaajuisesta liikevaihdosta tai 20 miljoonaa euroa (sen mukaan kumpi on suurempi), tai lievemmissä rikkomuksissa 2 % liikevaihdosta tai 10 miljoonaa euroa. Käytännössä seuraamus määräytyy tapauskohtaisen kokonaisharkinnan perusteella.
* * *
LKOS Law Office Oy on liikejuridiikkaan keskittynyt boutique-toimisto. Mikäli tarvitsette lisätietoa GDPR:n velvoitteista tai käytännön toteutuksesta, pyydämme olemaan yhteydessä.
Tietosuojaterveisin
LKOS Law Office tiimi
Tämä artikkeli on tarkoitettu yleiseksi ohjeeksi eikä ole oikeudellista neuvontaa.