Tietosuoja-asetuksen tulkinta ja tulevat ohjeet

Tässä kaiken "kaaoksen" keskellä eläessämme olemme koittaneet helpottaa tekemisiämme hahmottamalla maailmamme neljään tasoon: EU-, kansalliseen-, viranomais- sekä arkipäivän tasoon. Arkipäivämme tasolla siihen sisältyy jatkuvasti lisääntyvä määrä yhteydenottoja ja tiedusteluja tietosuoja-asetuksen tulkinnoista. Huomattavaan osaan näistä kyselyistä olemme joutuneet myymään vastaukseksi ei oota; asian tulkintaa ei ole vielä ratkaistu WP29:ssä eikä tietenkään tulevassa EDPB:ssa.

Hätä ei ole kuitenkaan tämän näköinen. Oikeusministeriön asettama TATTI-työryhmä paalutti tukevasti kansallisella tasollamme tulevan tietosuojaviraston roolia, sen rakennetta, tehtäviä ja toimivaltuuksia. Minusta näyttää, että tietosuojavirastolla tulee edelleenkin olemaan vahvana painopisteenä ohjaus- ja neuvontatoiminta. Viranomaistasollamme olemme viemässä eteenpäin useampiakin projekteja ollaksemme valmiina viimeistään 328 päivän kuluttua.

Ohjaukseen ja neuvontaan liittyvää toimivaltaa käytetään kuitenkin pääasiassa Brysselissä. Sieltäkin kuuluu hyvää. WP29 on saanut valmiiksi EU-tason toimijana ohjeensa tietojen siirrettävyydestä (data portability), tietosuojavastaavista ja johtavasta valvontaviranomaisesta (lead authority). Myös vaikutusten arviointia (DPIA) koskeva ohje on julkaistu. Näistä muuten kuluttajien mahdollisuuksia kilpailuttaa palveluntarjoajiaan koskeva siirrettävyysohje on jo ehtinyt saada osakseen kritiikkiä. Komissiohan on luvannut käännättää kaiken tämän ohjausaineiston kaikille EU:n virallisille kielille.

Nyt WP29:ssä työn alla olevat ohjeet:

Sertifiointi: Ohjeessa tullaan mm. esittelemään, mitä toimintoja ja palveluja voisi sertifioida ja kuka voidaan valtuuttaa sertifikaattien myöntäjäksi.

Profilointi: Ohjeessa tullaan esittelemään mm. ero, joka koskee profilointia oikeudellisia vaikutuksia sisältävän päätöksen tekemiseksi ja muussa tarkoituksessa tapahtuvaa profilointia sekä miten rekisteröityjen oikeudet tullaan turvaamaan profilointitilanteissa.

Suostumus: Suostumusohje kirjoitetaan kokonaan uusiksi vastaamaan asetusta.

"Läpinäkyvyysohje" (transparency): Ohjetta tarvitaan sen varmistamiseksi, että rekisterinpito on riittävän läpinäkyvää ja että rekisteröity saa kaiken sen informaation, joka hänelle kuuluu.

Tietoturvaloukkauksista ilmoittaminen (data breach notification: Valitettavasti näyttää siltä, että tästä ohjeesta saattaa tulla todellinen best seller.

Ainakin tämän ohjeiston pyrimme saamaan valmiiksi kuluvan vuoden aikana.

Kansalaisiakaan ei ole unohdettu. Käykääpä tutustumassa osoitteesta www.arjentietosuoja.fi löytyvään videokoulutus- ja nettitestimateriaaliin. Siitä lämmin kiitos JUHTAlle ja muille mukana olleille tahoille sekä erityisesti erinomaisille uutisankkureillemme Arville (VAHTI-pääsihteeri Kimmo Rousku) ja Pirjolle (JUHTA-asiantuntijaryhmän puheenjohtaja Tuula Seppo).

Hyvää kesää kaikille!