Vaikutustenarviointi

Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Se on tarkoitettu jatkuvaksi riskien tunnistamisen ja hallitsemisen prosessiksi. Vaikutustenarviointi on tehtävä ennen käsittelyn aloittamista ja sitä on päivitettävä tarvittaessa.

Vaikutustenarvioinnissa kuvataan henkilötietojen käsittelyä, arvioidaan käsittelyn tarpeellisuutta, oikeasuhteisuutta ja henkilötietojen käsittelystä aiheutuvia riskejä sekä tarvittavia toimenpiteitä, joilla riskeihin puututaan. Vaikutustenarviointi on tehtävä silloin, kun suunnitellaan henkilötietojen käsittelyä, joka todennäköisesti aiheuttaa korkean riskin henkilöiden oikeuksille ja vapauksille.

Vaikutustenarvioinnin tavoitteena on arvioida, onko jäljelle jäänyt riski oikeutettu ja hyväksyttävissä käsillä olevissa olosuhteissa. Vaikutustenarviointi auttaa rekisterinpitäjää tietosuojalainsäädännön vaatimusten noudattamisessa, sen dokumentoinnissa ja osoittamisessa.

Jos rekisterinpitäjä on nimennyt tietosuojavastaavan, rekisterinpitäjän on pyydettävä tämän neuvoja vaikutustenarvioinnin tekemisessä. Jos henkilötietoja käsittelee osittain tai kokonaan henkilötietojen käsittelijä, hänen on autettava vaikutustenarvioinnin tekemisessä.

Vaikutustenarviointi voi koskea yksittäistä käsittelytoimea tai käsittelytoimien ryhmää. Yhtä arviota voidaan käyttää ainoastaan samankaltaisten käsittelytoimien vaikutustenarvioinnissa.

Vaikutustenarviointia on päivitettävä toimintaympäristön, lainsäädännön tai käsittelytoimista aiheutuvien riskien muuttuessa. Muutokset voivat liittyä käsittelyn kontekstiin, tarkoituksiin, käsiteltäviin henkilötietoihin (keiden henkilötietoja tai mitä henkilötietoja käsitellään), vastaanottajiin, tietojen yhdistämiseen, suojaustoimenpiteisiin, tietojen siirtoon EU:n ja ETAn ulkopuolelle tai uuden teknologian käyttöönottoon. Päivittämisen tarvetta on lisäksi suositeltavaa arvioida säännöllisesti, esimerkiksi kahden vuoden välein.

Vaikutustenarvioinnin tekemistä koskevia vaatimuksia sovelletaan myös ennen 25.5.2018 alkaneisiin, edelleen käynnissä oleviin käsittelytoimiin. Rekisterinpitäjän on siis tehtävä käynnissä olevan käsittelyn osalta vaikutustenarviointi silloin, kun siihen olisi velvoite muutoinkin tietosuojalainsäädännön mukaan.

Milloin henkilötietojen käsittely vaatii vaikutustenarviointia?

Velvoite tehdä vaikutustenarviointi voi seurata

  • tietosuoja-asetuksessa yksilöidyistä käsittelytilanteista
  • siitä, että käsittelytoimenpide on lisätty tietosuojaviranomaisen luetteloon
  • kansallisesta lainsäädännöstä. 

Vaikutustenarviointi tietosuoja-asetuksessa yksilöidyissä käsittelytilanteissa

Vaikutustenarviointi on tehtävä silloin, kun suunniteltu käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Vaikutustenarviointi on tehtävä erityisesti silloin, kun

  • henkilötietojen käsittelyssä käytetään uutta teknologiaa
  • käsitellään laajamittaisesti rikostuomioita, rikkomuksia tai erityisiä henkilötietoryhmiä, kuten terveystietoja, etnistä alkuperää, poliittisia mielipiteitä, uskonnollista vakaumusta tai seksuaalista suuntautumista
  • henkilön henkilökohtaisia ominaisuuksia arvioidaan automaattisen käsittelyn avulla, järjestelmällisesti ja kattavasti, ja arvio johtaa päätöksiin, joilla on oikeusvaikutuksia tai jotka muuten vaikuttavat henkilöön merkittävästi
  • yleisölle avointa aluetta valvotaan järjestelmällisesti ja laajamittaisesti.

Tietosuojaryhmä on laatinut ohjeen, jossa se antaa esimerkkejä tilanteista, joissa vaikutustenarviointi tulee tehdä. Ohjeen mukaan tietosuojaa koskeva vaikutustenarviointi on yleensä tehtävä myös silloin, jos henkilötietojen käsittelyssä täyttyy kaksi seuraavista kriteereistä. Mitä useampia kriteerejä käsittely täyttää, sitä todennäköisemmin se aiheuttaa korkean riskin rekisteröidyille.

Tutustu tietosuojaryhmän tietosuojan vaikutustenarvioinnin ohjeeseen (pdf)

Kriteerit korkean riskin arvioimiseksi

Kansallinen lainsäädäntö

Kansallisessa lainsäädännössä voidaan edellyttää vaikutustenarvioinnin tekemistä yleisen tietosuoja-asetuksen kansallisen liikkumavaran puitteissa.

Esimerkiksi tietosuojalain 31 §:n historiallisessa ja tieteellisessä tutkimuksessa sekä tilastoinnissa määrätyistä rekisteröidyn oikeuksista poikkeamisen yhtenä edellytyksenä voi olla vaikutustenarvioinnin tekeminen ja sen toimittaminen tietosuojavaltuutetulle.

Vaikutustenarviointi liittyy tässä tapauksessa tilanteeseen, jossa rekisterinpitäjä käsittelee erityisiä henkilötietoja tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja historiallisen ja tieteellisen tutkimuksessa sekä tilastoinnissa ja haluaa poiketa määräytyistä rekisteröidyn oikeuksista.

Lue lisää: Rekisteröidyn oikeuksista poikkeaminen tieteellisen tai historiallisen tutkimuksen tai tilastoinnin yhteydessä

Tietosuojavaltuutetun toimiston ohje vaikutustenarvioinnin tekemiseen

Tietosuojavaltuutetun toimisto on laatinut ohjeen rekisterinpitäjien tueksi tietosuojan vaikutustenarvioinnin tekemistä varten. Ohjeen rinnalle on laadittu myös yksinkertainen Excel-kirjaamistyökalu, jota voi halutessaan käyttää vaikutustenarvioinnin tekemiseen.

Ohjetta voi soveltuvin osin käyttää myös rikosasioiden tietosuojalain mukaiseen vaikutustenarviointiin. Eroavaisuuksia ja yhtymäkohtia selvennetään ohjeen liitteessä II.