Tietosuojavaltuutetun päätös luetteloksi käsittelytoimista, joiden yhteydessä on tehtävä vaikutustenarviointi
Päivitetty 21.12.2018
Tietosuoja-asetuksen 35 artiklan 1 kohta edellyttää, että vaikutustenarviointi tehdään silloin, kun käsittelystä todennäköisesti seuraa korkea riski rekisteröidyn oikeuksille ja vapauksille.
Tietosuoja-asetuksen 35 artiklan 3 kohta sisältää listan käsittelytoimista, jotka vaativat vaikutustenarvioinnin. Lista ei ole tyhjentävä.
Tietosuoja-asetuksen 35 artiklan 4 kohdan mukaan tietosuojaviranomaisen on laadittava ja julkaistava luettelo käsittelytoimien tyypeistä, joiden yhteydessä rekisterinpitäjän tulee tehdä tietosuojaa koskeva vaikutustenarviointi.
Luettelon luonne
Tämä luettelo ei ole tyhjentävä.
Viittaus ohjeistuksiin
Tämä luettelo täydentää tietosuoja-asetuksen 35 artiklan 1 kohtaa. Tämä lista on laadittu Tietosuojaryhmä 29 lausunnon 248 (Ohjeet tietosuojaa koskevasta vaikutustenarvioinnista ja keinoista selvittää ”liittyykö käsittelyyn todennäköisesti” asetuksessa (EU) 2016/679 tarkoitettu "korkea riski") pohjalta ja tämä luettelo täydentää ja täsmentää tätä lausuntoa.
Tietosuojavaltuutetun toimisto katsoo, että seuraavien käsittelytoimien yhteydessä tulee tehdä vaikutustenarviointi:
Biometriset tiedot
Rajoittamatta tietosuoja-asetuksen 35 artiklan 3 kohdan soveltamista, vaikutusten arviointi tulee tehdä silloin, kun biometrisiä tietoja käsitellään henkilön yksiselitteistä tunnistamista varten ja lisäksi vähintään yksi seuraavista kriteereistä täyttyy:
- biometrisiä tietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
- biometrisiä tietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia
- biometrisiä tietoja käsitellään järjestelmällisen valvonnan yhteydessä
- biometrisiä tietoja käsitellään laajamittaisesti
- biometrisiä tietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
- käsiteltävät biometriset tiedot ovat heikossa asemassa olevien rekisteröityjen
- uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
- biometristen tietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua
Geneettiset tiedot
Rajoittamatta tietosuoja-asetuksen 35 artiklan 3 kohdan soveltamista, vaikutusten arviointi tulee tehdä, kun geneettisiä tietoja käsitellään ja lisäksi vähintään yksi seuraavista kriteereistä täyttyy:
- geneettisiä tietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
- geneettisiä tietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia rekisteröityyn
- geneettisiä tietoja käsitellään järjestelmällisen valvonnan yhteydessä
- geneettisiä tietoja käsitellään laajamittaisesti
- geneettisiä tietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
- käsitellään heikossa asemassa olevien rekisteröityjen geneettisiä tietoja
- uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
- geneettisten tietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua
Sijaintitiedot
Kun sijaintietoja käsitellään ja vähintään yksi seuraavista kriteereistä täyttyy
- sijaintitietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
- sijaintitietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia
- sijaintitietoja käsitellään järjestelmällisen valvonnan yhteydessä
- sijaintitiedot paljastavat arkaluontoisia tai luonteeltaan hyvin henkilökohtaisia tietoja
- sijaintitietoja käsitellään laajamittaisesti
- sijaintitietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
- heikossa asemassa olevien rekisteröityjen sijaintitietoja käsitellään
- uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
- sijaintitietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua
Poikkeaminen rekisteröidyn informoinnista tietosuoja-asetuksen 14.5 artiklan nojalla
Kun rekisterinpitäjä poikkeaa rekisteröidyn informoinnista tietosuoja-asetuksen 14 artiklan 5 b-kohdan perusteella ja lisäksi vähintään yksi seuraavista kriteereistä täyttyy
- henkilötietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
- henkilötietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia
- henkilötietoja käsitellään järjestelmällisen valvonnan yhteydessä
- henkilötietoja käsitellään laajamittaisesti
- henkilötietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
- heikossa asemassa olevien rekisteröityjen henkilötietoja käsitellään
- henkilötietoja käsitellään uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
- henkilötietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua
Whistleblowing
Ilmiantojärjestelmien kautta organisaation henkilöstön jäsen tai muu taho voi nimettömänä tuoda ilmi organisaation epäeettistä ja arvojen vastaista toimintaa tai sisäisiä rikkomuksia. Ilmiantojärjestelmien tavoitteena voi olla esimerkiksi varmistaa, että organisaation päivittäisessä hallinnossa noudatetaan asianmukaisesti päätöksenteko- ja valvontajärjestelmän periaatteita.