Vaikutustenarviointi
Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Se on tarkoitettu jatkuvaksi riskien tunnistamisen ja hallitsemisen prosessiksi. Vaikutustenarviointi on tehtävä ennen käsittelyn aloittamista ja sitä on päivitettävä tarvittaessa.
Vaikutustenarvioinnissa kuvataan henkilötietojen käsittelyä, arvioidaan käsittelyn tarpeellisuutta, oikeasuhteisuutta ja henkilötietojen käsittelystä aiheutuvia riskejä sekä tarvittavia toimenpiteitä, joilla riskeihin puututaan. Vaikutustenarviointi on tehtävä silloin, kun suunnitellaan henkilötietojen käsittelyä, joka todennäköisesti aiheuttaa korkean riskin henkilöiden oikeuksille ja vapauksille.
Vaikutustenarvioinnin tavoitteena on arvioida, onko jäljelle jäänyt riski oikeutettu ja hyväksyttävissä käsillä olevissa olosuhteissa. Vaikutustenarviointi auttaa rekisterinpitäjää tietosuojalainsäädännön vaatimusten noudattamisessa, sen dokumentoinnissa ja osoittamisessa.
Jos rekisterinpitäjä on nimennyt tietosuojavastaavan, rekisterinpitäjän on pyydettävä tämän neuvoja vaikutustenarvioinnin tekemisessä. Jos henkilötietoja käsittelee osittain tai kokonaan henkilötietojen käsittelijä, hänen on autettava vaikutustenarvioinnin tekemisessä.
Vaikutustenarviointi voi koskea yksittäistä käsittelytoimea tai käsittelytoimien ryhmää. Yhtä arviota voidaan käyttää ainoastaan samankaltaisten käsittelytoimien vaikutustenarvioinnissa.
Vaikutustenarviointia on päivitettävä toimintaympäristön, lainsäädännön tai käsittelytoimista aiheutuvien riskien muuttuessa. Muutokset voivat liittyä käsittelyn kontekstiin, tarkoituksiin, käsiteltäviin henkilötietoihin (keiden henkilötietoja tai mitä henkilötietoja käsitellään), vastaanottajiin, tietojen yhdistämiseen, suojaustoimenpiteisiin, tietojen siirtoon EU:n ja ETAn ulkopuolelle tai uuden teknologian käyttöönottoon. Päivittämisen tarvetta on lisäksi suositeltavaa arvioida säännöllisesti, esimerkiksi kahden vuoden välein.
Vaikutustenarvioinnin tekemistä koskevia vaatimuksia sovelletaan myös ennen 25.5.2018 alkaneisiin, edelleen käynnissä oleviin käsittelytoimiin. Rekisterinpitäjän on siis tehtävä käynnissä olevan käsittelyn osalta vaikutustenarviointi silloin, kun siihen olisi velvoite muutoinkin tietosuojalainsäädännön mukaan.
Milloin henkilötietojen käsittely vaatii vaikutustenarviointia?
Velvoite tehdä vaikutustenarviointi voi seurata
- tietosuoja-asetuksessa yksilöidyistä käsittelytilanteista
- siitä, että käsittelytoimenpide on lisätty tietosuojaviranomaisen luetteloon
- kansallisesta lainsäädännöstä.
Vaikutustenarviointi tietosuoja-asetuksessa yksilöidyissä käsittelytilanteissa
Vaikutustenarviointi on tehtävä silloin, kun suunniteltu käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Vaikutustenarviointi on tehtävä erityisesti silloin, kun
- henkilötietojen käsittelyssä käytetään uutta teknologiaa
- käsitellään laajamittaisesti rikostuomioita, rikkomuksia tai erityisiä henkilötietoryhmiä, kuten terveystietoja, etnistä alkuperää, poliittisia mielipiteitä, uskonnollista vakaumusta tai seksuaalista suuntautumista
- henkilön henkilökohtaisia ominaisuuksia arvioidaan automaattisen käsittelyn avulla, järjestelmällisesti ja kattavasti, ja arvio johtaa päätöksiin, joilla on oikeusvaikutuksia tai jotka muuten vaikuttavat henkilöön merkittävästi
- yleisölle avointa aluetta valvotaan järjestelmällisesti ja laajamittaisesti.
Tietosuojaryhmä on laatinut ohjeen, jossa se antaa esimerkkejä tilanteista, joissa vaikutustenarviointi tulee tehdä. Ohjeen mukaan tietosuojaa koskeva vaikutustenarviointi on yleensä tehtävä myös silloin, jos henkilötietojen käsittelyssä täyttyy kaksi seuraavista kriteereistä. Mitä useampia kriteerejä käsittely täyttää, sitä todennäköisemmin se aiheuttaa korkean riskin rekisteröidyille.
Tutustu tietosuojaryhmän tietosuojan vaikutustenarvioinnin ohjeeseen (pdf)
Kriteerit korkean riskin arvioimiseksi
Rekisteröidyn työsuorituksen, taloudellisen tilanteen, terveyden, henkilökohtaisten mieltymysten, kiinnostuksen kohteiden, luotettavuuden, käyttäytymisen, sijainnin tai liikkumisen arviointi tai pisteytys (mukaan lukien profilointi ja ennakointi).
Esimerkiksi:
- Rahoituslaitos, joka arvioi asiakkaitaan luottotoimintaan liittyvän viitetietokannan, rahanpesun ja terrorismin rahoituksen torjumiseen liittyvän tietokannan tai petoksia koskevan tietokannan valossa.
- Biotekniikka-alan yritys, joka tarjoaa geenitestejä suoraan kuluttajille voidakseen arvioida ja ennakoida sairauksien riskejä tai terveysriskejä.
- Yritys, joka luo käyttäytymis- tai markkinointiprofiileja, jotka perustuvat sen verkkosivuston käyttöön tai verkkosivustolla liikkumiseen.
Kun päätöksiä tehdään automaattisesti ja päätöksillä on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia. Lue lisää automaattisesta päätöksenteosta
Henkilötietoja voidaan kerätä olosuhteissa, joissa rekisteröidyt eivät välttämättä ole tietoisia siitä, kuka kerää heidän tietojaan ja miten niitä tullaan käyttämään. Lisäksi yksittäisten henkilöiden voi olla mahdotonta välttyä joutumasta tällaisen tietojenkäsittelyn kohteeksi julkisissa tai yleisölle avoimissa tiloissa. Valvonnalla voidaan tarkoittaa esimerkiksi kulunvalvontaa, kameravalvontaa tai vastaavia toimenpiteitä.
Esimerkiksi:
- Rekisteröityjen tarkkailuun, seurantaan tai valvontaan käytettävä tietojenkäsittely sekä tietojen kerääminen verkkojen välityksellä.
- Yleisölle avoimen alueen järjestelmällinen valvonta laajamittaisesti.
Tähän ryhmään kuuluvat muun muassa tietosuoja-asetuksen erityiset henkilötietoryhmät sekä rikoksia ja rikkomuksia koskevat henkilötiedot. Tämän kriteerin alle voi kuulua myös henkilökohtaisia asiakirjoja, kuten sähköposteja, päiväkirjoja, muistiinpanotoiminnolla varustetun e-kirjan lukulaitteen muistiinpanoja ja henkilökohtaisen elämän tallentamiseen tarkoitettujen lifelogging-sovellusten hyvin henkilökohtaisia tietoja.
Esimerkiksi:
- Potilastiedostoja ylläpitävä yleinen sairaala.
- Rikoksentekijöiden tietoja säilyttävä yksityisetsivä.
- Sähköinen viestintä, jonka luottamuksellisuus olisi suojattava.
- Paikannustiedot, joiden kerääminen kyseenalaistaa vapaan liikkuvuuden.
- Taloudelliset tiedot, joita saatetaan käyttää maksuvälinepetoksiin.
- Tiedon kerääminen asiakkaan epäilyttävästä käytöksestä verkkokaupassa.
Tässä yhteydessä merkitystä voi olla myös sillä, onko rekisteröity itse vai jokin kolmas osapuoli jo saattanut tiedot yleisesti saataville. Yleisesti saataville -termille ei ole vakiintunutta määritelmää, vaan arviointi on tehtävä tapauskohtaisesti. Se, että henkilötiedot ovat yleisesti saatavilla, voidaan katsoa arvioinnin kannalta olennaiseksi, jos tietoja on odotettu käytettävän jatkossa tiettyihin tarkoituksiin.
Laajamittaisuutta arvioitaessa suositellaan ottamaan huomioon muun muassa seuraavat asiat:
- asianomaisten rekisteröityjen lukumäärä, joko täsmällisenä lukuna tai osuutena tietystä ryhmästä, kuten kaupungin tai valtion väestöstä
- käsiteltävien tietojen määrä ja/tai käsiteltävien erillisten tietoyksikköjen määrä
- tietojenkäsittelytoimen kesto tai pysyvyys
- käsittelytoimen maantieteellinen ulottuvuus.
Tietokokonaisuuksien yhteen sovittaminen tai yhdistäminen rekisteröidyn kannalta ennakoimattomalla ja odottamattomalla tavalla.
Esimerkiksi:
- Rekisterinpitäjä yhdistää kahdesta tai useammasta eri tarkoituksiin suoritetusta tai eri rekisterinpitäjien suorittamasta tiedonkäsittelytoimesta peräisin olevat tietokokonaisuudet.
- Yritysjärjestelytilanteessa yhdistetään kahden eri toimijan asiakasrekisterit.
Rekisteröidyn voi olla vaikeaa esimerkiksi vastustaa tietojensa käsittelyä tai käyttää muita oikeuksiaan, jos hän on heikossa asemassa rekisterinpitäjään nähden.
Heikossa asemassa olevilla tarkoitetaan esimerkiksi
- lapsia
- työntekijöitä
- potilaita
- ikääntyneitä
- turvapaikanhakijoita.
Uuden teknologian käyttöön voi liittyä uudenlaisia tietojen keräämisen ja käytön muotoja, joihin mahdollisesti liittyy henkilöiden oikeuksiin ja vapauksiin kohdistuva korkea riski. Esimerkiksi tietyillä esineiden internet (IoT) -sovelluksilla voi olla huomattava vaikutus ihmisten arkielämään ja yksityisyyteen, joten ne edellyttävät tietosuojaa koskevan vaikutustenarvioinnin tekemistä.
Esimerkiksi:
- Sormenjälkien ja kasvojen tunnistuksen yhdistäminen kulunvalvonnan parantamiseksi.
- Rekisteröityjen oikeuksien, palvelujen tai sopimusten estäminen.
- Henkilötietojen käsittelyn tavoitteena on sallia tai evätä rekisteröityjen oikeus käyttää palvelua, tehdä sopimus tai muuttaa kyseistä oikeutta.
Esimerkiksi:
- Pankki arvioi asiakkaitaan luottotoimintaan liittyvän viitetietokannan valossa tehdäkseen päätöksen lainan tarjoamisesta.
Kansallinen lainsäädäntö
Kansallisessa lainsäädännössä voidaan edellyttää vaikutustenarvioinnin tekemistä yleisen tietosuoja-asetuksen kansallisen liikkumavaran puitteissa.
Esimerkiksi tietosuojalain 31 §:n historiallisessa ja tieteellisessä tutkimuksessa sekä tilastoinnissa määrätyistä rekisteröidyn oikeuksista poikkeamisen yhtenä edellytyksenä voi olla vaikutustenarvioinnin tekeminen ja sen toimittaminen tietosuojavaltuutetulle.
Vaikutustenarviointi liittyy tässä tapauksessa tilanteeseen, jossa rekisterinpitäjä käsittelee erityisiä henkilötietoja tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja historiallisen ja tieteellisen tutkimuksessa sekä tilastoinnissa ja haluaa poiketa määräytyistä rekisteröidyn oikeuksista.
Tietosuojavaltuutetun toimiston ohje vaikutustenarvioinnin tekemiseen
Tietosuojavaltuutetun toimisto on laatinut ohjeen rekisterinpitäjien tueksi tietosuojan vaikutustenarvioinnin tekemistä varten. Ohjeen rinnalle on laadittu myös yksinkertainen Excel-kirjaamistyökalu, jota voi halutessaan käyttää vaikutustenarvioinnin tekemiseen.
Ohjetta voi soveltuvin osin käyttää myös rikosasioiden tietosuojalain mukaiseen vaikutustenarviointiin. Eroavaisuuksia ja yhtymäkohtia selvennetään ohjeen liitteessä II.