Tietosuojavaltuutetun päätös luetteloksi käsittelytoimista, joiden yhteydessä on tehtävä vaikutustenarviointi

Päivitetty 21.12.2018

Tietosuoja-asetuksen 35 artiklan 1 kohta edellyttää, että vaikutustenarviointi tehdään silloin, kun käsittelystä todennäköisesti seuraa korkea riski rekisteröidyn oikeuksille ja vapauksille.

Tietosuoja-asetuksen 35 artiklan 3 kohta sisältää ei tyhjentävän listan käsittelytoimista, jotka vaativat vaikutustenarvioinnin.

Tietosuoja-asetuksen 35 artiklan 4 kohdan mukaan tietosuojaviranomaisen on laadittava ja julkaistava luettelo käsittelytoimien tyypeistä, joiden yhteydessä rekisterinpitäjän tulee tehdä tietosuojaa koskeva vaikutustenarviointi.

Luettelon luonne

Tämä luettelo ei ole tyhjentävä.

Viittaus ohjeistuksiin

Tämä luettelo täydentää tietosuoja-asetuksen 35 artiklan 1 kohtaa. Tämä lista on laadittu Tietosuojaryhmä 29 lausunnon 248 (Ohjeet tietosuojaa koskevasta vaikutustenarvioinnista ja keinoista selvittää ”liittyykö käsittelyyn todennäköisesti” asetuksessa (EU) 2016/679 tarkoitettu "korkea riski") pohjalta ja tämä luettelo täydentää ja täsmentää tätä lausuntoa.

Tietosuojavaltuutetun toimisto katsoo, että seuraavien käsittelytoimien yhteydessä tulee tehdä vaikutustenarviointi:

Biometriset tiedot

Rajoittamatta tietosuoja-asetuksen 35 artiklan 3 kohdan soveltamista, vaikutusten arviointi tulee tehdä silloin, kun biometrisiä tietoja käsitellään henkilön yksiselitteistä tunnistamista varten ja lisäksi vähintään yksi seuraavista kriteereistä täyttyy:

  • biometrisiä tietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
  • biometrisiä tietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia
  • biometrisiä tietoja käsitellään järjestelmällisen valvonnan yhteydessä
  • biometrisiä tietoja käsitellään laajamittaisesti
  • biometrisiä tietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
  • käsiteltävät biometriset tiedot ovat heikossa asemassa olevien rekisteröityjen
  • uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
  • biometristen tietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua

Geneettiset tiedot

Rajoittamatta tietosuoja-asetuksen 35 artiklan 3 kohdan soveltamista, vaikutusten arviointi tulee tehdä, kun geneettisiä tietoja käsitellään ja lisäksi vähintään yksi seuraavista kriteereistä täyttyy:

  • geneettisiä tietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
  • geneettisiä tietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia rekisteröityyn
  • geneettisiä tietoja käsitellään järjestelmällisen valvonnan yhteydessä
  • geneettisiä tietoja käsitellään laajamittaisesti
  • geneettisiä tietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
  • käsitellään heikossa asemassa olevien rekisteröityjen geneettisiä tietoja
  • uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
  • geneettisten tietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua

Sijaintitiedot

Kun sijaintietoja käsitellään ja vähintään yksi seuraavista kriteereistä täyttyy

  • sijaintitietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
  • sijaintitietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia
  • sijaintitietoja käsitellään järjestelmällisen valvonnan yhteydessä
  • sijaintitiedot paljastavat arkaluontoisia tai luonteeltaan hyvin henkilökohtaisia tietoja
  • sijaintitietoja käsitellään laajamittaisesti
  • sijaintitietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
  • heikossa asemassa olevien rekisteröityjen sijaintitietoja käsitellään
  • uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
  • sijaintitietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua

Poikkeaminen rekisteröidyn informoinnista tietosuoja-asetuksen 14.5 artiklan nojalla

Kun rekisterinpitäjä poikkeaa rekisteröidyn informoinnista tietosuoja-asetuksen 14 artiklan 5 b-kohdan perusteella ja lisäksi vähintään yksi seuraavista kriteereistä täyttyy

  • henkilötietoja käsitellään henkilön arvioimiseksi tai pisteyttämiseksi
  • henkilötietoja käsitellään automaattisessa päätöksenteossa, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia
  • henkilötietoja käsitellään järjestelmällisen valvonnan yhteydessä
  • henkilötietoja käsitellään laajamittaisesti
  • henkilötietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin
  • heikossa asemassa olevien rekisteröityjen henkilötietoja käsitellään
  • henkilötietoja käsitellään uusien teknisten ja organisatoristen ratkaisujen innovatiivisten käytön tai soveltamisen yhteydessä
  • henkilötietojen käsittely estää rekisteröityjä käyttämästä oikeutta tai palvelua

Whistleblowing

Ilmiantojärjestelmien kautta organisaation henkilöstön jäsen tai muu taho voi nimettömänä tuoda ilmi organisaation epäeettistä ja arvojen vastaista toimintaa tai sisäisiä rikkomuksia. Ilmiantojärjestelmien tavoitteena voi olla esimerkiksi varmistaa, että organisaation päivittäisessä hallinnossa noudatetaan asianmukaisesti päätöksenteko- ja valvontajärjestelmän periaatteita.