Tutustu tietosuojalainsäädännön keskeisiin periaatteisiin ja vaatimuksiin. Selkeä opas henkilötietojen käsittelyyn ja rekisterinpitäjän velvollisuuksiin.

Tietosuojalainsäädäntö vaikuttaa jokaisen arkeen, halusimme tai emme. Se suojaa henkilötietojasi ja määrittelee, miten yritykset ja organisaatiot saavat niitä käsitellä. Tutustutaan yhdessä tärkeimpiin asioihin, jotka sinun kannattaa tietää oikeuksistasi ja velvollisuuksistasi.

Tietosuojalainsäädäntö kattaa kaikki henkilötietojen käsittelyyn liittyvät toimet. Henkilötiedoiksi lasketaan kaikki tunnistettavissa olevaan henkilöön liittyvät tiedot, kuten nimi, henkilötunnus, sijaintitiedot tai verkkoidentiteetti.

Keskeisimmät tietosuojaa säätelevät lait Suomessa ovat EU:n yleinen tietosuoja-asetus (GDPR) ja kansallinen tietosuojalaki. Näiden lisäksi kuluttajan digitaalisia oikeuksia suojaavat useat erityislait.

Lainsäädäntö koskee kaikkia yrityksiä, organisaatioita ja viranomaisia, jotka käsittelevät henkilötietoja. Myös yksityishenkilöt ovat velvollisia noudattamaan tietosuojasäännöksiä, jos he käsittelevät henkilötietoja muuten kuin yksityisiin tarkoituksiin.

Tietosuojalainsäädännön keskeisiä periaatteita ovat:

• Tietojen käsittelyn läpinäkyvyys
• Käyttötarkoitussidonnaisuus
• Tietojen minimointi
• Täsmällisyys
• Säilytyksen rajoittaminen
• Eheys ja luottamuksellisuus

Rekisterinpitäjän on pystyttävä osoittamaan noudattavansa näitä periaatteita. Rikkomuksista voidaan määrätä merkittäviä seuraamuksia - GDPR:n mukaiset sakot voivat olla jopa 4% yrityksen globaalista liikevaihdosta tai 20 miljoonaa euroa.

Kyberturvallisuuden merkitys korostuu erityisesti finanssialalla, missä käsitellään arkaluonteisia henkilötietoja.

Tietosuoja-asetuksen mukaan sinulla on useita oikeuksia omien henkilötietojesi suhteen. Voit tarkastaa omat tietosi pyytämällä niitä suoraan rekisterinpitäjältä - tähän heillä on velvollisuus vastata 30 päivän kuluessa.

Keskeisimmät oikeutesi ovat:

• Oikeus saada pääsy tietoihin
• Oikeus tietojen oikaisemiseen
• Oikeus tulla unohdetuksi (tietojen poisto)
• Oikeus käsittelyn rajoittamiseen
• Oikeus siirtää tiedot järjestelmästä toiseen

Tietojesi poistaminen onnistuu tekemällä kirjallinen poistopyyntö rekisterinpitäjälle. Huomaa kuitenkin, että luottotietolain mukaiset tai muut lakisääteiset tiedot eivät kuulu poisto-oikeuden piiriin.

Jos epäilet tietojasi käsiteltävän väärin, voit tehdä valituksen tietosuojavaltuutetulle. Vuonna 2022 tietosuojavaltuutetun toimisto käsitteli yli 1200 tietosuojavalitusta.

Tietojesi tarkastamisessa kannattaa olla proaktiivinen. Pyydä säännöllisesti rekisteriotteita eri palveluntarjoajilta ja tarkista erityisesti pankkisalaisuuden alaisten tietojesi käsittely. Muista, että oikeutesi koskevat myös digitaalisia palveluita ja verkkokauppoja.

Rekisterinpitäjän on toteutettava pyyntösi ilman aiheetonta viivytystä. Jos pyyntöäsi ei toteuteta, sinulla on oikeus saada perusteltu selvitys syistä.

Yritys saa käsitellä henkilötietoja vain, kun sillä on siihen laillinen peruste. Tällaisia perusteita ovat esimerkiksi sopimuksen täyttäminen, lakisääteinen velvoite tai rekisteröidyn suostumus. Käsittelyn tulee aina olla tarkoituksenmukaista ja rajoittua vain välttämättömiin tietoihin.

Tietojen suojaaminen edellyttää yrityksiltä sekä teknisiä että organisatorisia toimenpiteitä. Näihin kuuluvat muun muassa:

• Tietojen salaus ja pseudonymisointi
• Käyttöoikeuksien rajaaminen
• Henkilöstön koulutus
• Säännölliset tietoturva-auditoinnit

Tietosuojarikkomuksissa yrityksen on ilmoitettava tapahtuneesta tietosuojaviranomaiselle 72 tunnin kuluessa. Jos rikkomus aiheuttaa korkean riskin yksilöiden oikeuksille, myös rekisteröidyille on ilmoitettava asiasta. Kuluttajansuojalaki täydentää näitä velvoitteita erityisesti kuluttaja-asiakkaiden osalta.

Vuonna 2023 Suomessa raportoitiin yli 4000 tietoturvaloukkausilmoitusta. Seuraamukset voivat olla merkittäviä:

• Hallinnolliset sakot (max 20M€ tai 4% liikevaihdosta)
• Vahingonkorvausvelvollisuus
• Määräykset korjaavista toimenpiteistä
• Käsittelykiellot

Yritysten on dokumentoitava kaikki henkilötietojen käsittelytoimet ja pidettävä yllä tietosuojaselostetta. Tämä on osa osoitusvelvollisuutta, jolla yritys todistaa noudattavansa tietosuojalainsäädäntöä.

Henkilökohtaisen tietoturvan vahvistaminen lähtee vahvoista salasanoista ja kaksivaiheisesta tunnistautumisesta. Käytä eri palveluissa erilaisia salasanoja ja salasananhallintaohjelmaa niiden säilyttämiseen. Suosi vähintään 12 merkin pituisia salasanoja, jotka sisältävät erikoismerkkejä.

Tietovuodon sattuessa toimi nopeasti:

• Vaihda välittömästi kaikki salasanat
• Ilmoita asiasta palveluntarjoajalle
• Tee rikosilmoitus poliisille
• Ota yhteyttä tietosuojavaltuutettuun
• Seuraa luottotietojasi mahdollisen identiteettivarkauden varalta

Luotettavan palveluntarjoajan tunnistaa selkeästä tietosuojaselosteesta ja läpinäkyvistä käytännöistä. Tarkista aina:

• Yrityksen Y-tunnus ja yhteystiedot
• Tietojen käsittelyn tarkoitus ja perusteet
• Tietojen säilytysaika ja -paikka
• Evästekäytännöt

Vuonna 2023 tehdyn tutkimuksen mukaan 76% suomalaisista on kokenut huolta henkilötietojensa käsittelystä verkossa. Suojaa henkilökohtaisia tietojasi myös:

• Päivittämällä laitteidesi käyttöjärjestelmät säännöllisesti
• Käyttämällä VPN-yhteyttä julkisissa verkoissa
• Tarkistamalla sovellusten käyttöoikeudet
• Välttämällä arkaluonteisten tietojen jakamista sosiaalisessa mediassa

Muista, että tietosuoja on jatkuva prosessi, ei kertaluonteinen toimenpide. Tarkista säännöllisesti omat tietoturvakäytäntösi ja päivitä niitä tarvittaessa.

Mitä henkilötiedot ovat? Kaikki tiedot, joista henkilö voidaan tunnistaa suoraan tai epäsuorasti, kuten nimi, osoite, puhelinnumero tai IP-osoite

Mitkä ovat rekisteröidyn tärkeimmät oikeudet? Oikeus saada pääsy tietoihin, oikeus tietojen oikaisuun, oikeus tulla unohdetuksi ja oikeus siirtää tiedot järjestelmästä toiseen

Milloin organisaatio tarvitsee tietosuojavastaavan? Kun käsitellään laajamittaisesti arkaluonteisia tietoja, suoritetaan säännöllistä ja järjestelmällistä seurantaa, tai kyseessä on julkishallinnon toimija

Mikä on tietosuojaseloste? Dokumentti, jossa kerrotaan, miten organisaatio käsittelee henkilötietoja ja mitä oikeuksia rekisteröidyllä on

Mitä tarkoittaa privacy by design? Tietosuojan huomioimista jo palveluiden ja järjestelmien suunnitteluvaiheessa, ei jälkikäteen lisättynä ominaisuutena

• Tietosuojalainsäädäntö säätelee henkilötietojen käsittelyä ja turvaa yksilöiden yksityisyyden suojaa
• GDPR on EU:n yleinen tietosuoja-asetus, joka koskee kaikkia EU:n alueella toimivia organisaatioita
• Henkilötietojen käsittelyyn tarvitaan aina laillinen peruste ja rekisteröidyillä on vahvat oikeudet omiin tietoihinsa

• Rahanpesun estäminen
• Digitaalinen identiteetti rahoituspalveluissa
• Biometrinen tunnistautuminen
• Kuluttajansuoja ja tekoäly
• Datan analytiikka rahoituspalveluissa
• EU:n kuluttajansuojasäännökset
• Markkinoinnin sääntely
• Regtech-ratkaisut
• Kuluttajansuoja finanssipalveluissa
• Kuluttajansuojan tulevaisuus

• EU:n yleinen tietosuoja-asetus (GDPR)
• Tietosuojalaki (1050/2018)
• Tietosuojavaltuutetun toimisto
• Kyberturvallisuuskeskus
• Kuluttajavirasto

henkilötietojen käsittely rekisteröidyn oikeudet tietoturva

Lainsäädäntö ja kuluttajansuoja