Yleiset vaatimukset henkilötietojen käsittelylle Euroopan unionin yleisen tietosuoja-asetuksen (GDPR) perusteella

Abstract

Tämän oikeustieteellisen tutkielman tarkoituksena on selvittää, millaisia edellytyksiä Euroopan unionin yleinen tietosuoja-asetus asettaa henkilötietojen käsittelylle Suomessa. Tutkielmassa tarkastellaan ja tulkitaan Euroopan unionin yleisen tietosuoja-asetuksen II (periaatteet) ja III lukujen (rekisteröidyn oikeudet) sisältöä. Tietosuoja-asetus sallii tietyissä tilanteissa kansallista liikkumavaraa, joten tutkielmassa otetaan huomioon myös tietosuojalain (1050/2018) säännökset.

Tietosuoja-asetuksen 5 artiklan mukaiset tietosuojaperiaatteet ovat suurelta osin vanhan henkilötietodirektiivin tietosuojaperiaatteiden kanssa yhtenevät. Uusina yleisinä tietosuojaperiaatteina tietosuoja-asetus on tuonut eheyden ja luottamuksellisuuden periaatteen sekä rekisterinpitäjän osoitusvelvollisuuden. Tietosuoja-asetuksessa noudatetaan lähtökohtaa, jonka mukaan henkilötietojen käsittely on kielletty, ellei sitä ole erikseen sallittu. Jotta henkilötietojen käsittely olisi lainmukaista, tulee vähintään yhden 6 artiklan mukaisen oikeusperusteen täyttyä. Erityisten henkilötietoryhmien käsittely on kiellettyä ilman tietosuoja-asetuksen mukaista poikkeusperustetta.

Tietosuoja-asetus sisältää aiempaa vahvemmat rekisteröidyn oikeudet ja paremmat mahdollisuudet hallita omia tietojaan. Rekisteröidyllä on esimerkiksi oikeus saada tietoa henkilötietojen käsittelystä, oikeus saada pääsy henkilötietoihin, oikeus tietojen poistamiseen ja oikeus käsittelyn rajoittamiseen. Rekisterinpitäjän tulee toteuttaa asianmukaiset toimenpiteet rekisteröidyn oikeuksien toteuttamiseksi. Rekisteröidyn oikeudet vahvistavat rekisteröidyn mahdollisuuksia valvoa itseään koskevaa henkilötietojen käsittelyä ja vaikuttaa siihen. Kaikki rekisteröidyn oikeudet eivät ole käytettävissä kaikissa tilanteissa. Rekisteröidyn oikeuksiin vaikuttaa esimerkiksi käsittelyn oikeusperuste.

Tietosuoja-asetuksen merkittävimpiin uudistuksiin kuuluu sen suora sovellettavuus, jolla luotiin yhtenäinen tietosuojakehys koko Euroopan unionin alueelle. Yhtenäinen lainsäädäntö voidaan nähdä sisämarkkinoiden toimintaa edistävänä tekijänä. Jatkossa tietosuojalainsäädäntö on Euroopan unionin alueella yhtenäistä.