Rekisteröidyn tietopyynnöt

Tietosuoja-asetuksen perusteella rekisteröidyllä on aina tiettyjä oikeuksia käytössään, kun käsittelemme häneen liittyviä henkilötietoja. Kutsumme näitä yleisesti tietopyynnöiksi.
rekisteröidyn oikeudet
läpinäkyvä informointi
oikeus saada pääsy tietoihin
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Aina kun käsittelemme henkilötietoja, rekisteröidyillä on oikeuksia tietojaan kohtaan. Heidän tulee aina saada kattavasti tietoa käsittelystä ja heille tulee tarjota mahdollisuus saada pääsy tietoihin, mutta tietyissä tilanteissa tulee myös tarjota mahdollisuus vastustaa käsittelyä tai saada omat tietonsa poistetuksi.

Mikäli näihin tietopyyntöihin ei ole varauduttu ennalta, mm. kartoittamalla käsiteltävät henkilötiedot, niiden sijainnit, käsittelyn tarkoitukset sekä oikeusperusteet, pyyntöjen käsittely voi tulla todella kalliiksi. Nämä aiheet hoidetaan Digiturvamallissa kartoittamalla käsittelyjä ja tietovarantoja muissa kohdissa. Hyvään tietopyyntöprosessiin liittyy kuitenkin myös hallittu pyyntöjen vastaanottomalli, jossa pyyntöjen jättäjät tunnistetaan tehokkaasti ja varmasti eikä turhia tai liian ylimalkaisia pyyntöjä synny, sekä selkeä varsinainen pyyntöjen käsittelyprosessi oikeaoppisen pyynnön vastaanottamisen jälkeen.

Digiturvamalli-ohjelmistosta löytyy oma laajennus sekä tietosuojaselosteiden julkaisuun verkossa että näiden kautta lähetettävien, vahvistettujen rekisteröityjen tietopyyntöjen hallintaan.

Esimerkkejä sisällöistä

  • Oikeus saada pääsy tietoihin
  • Oikeuus tietojen oikaisemiseen
  • Oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”)
  • Oikeus käsittelyn rajoittamiseen
  • Oikeus siirtää tiedot järjestelmästä toiseen
  • Oikeus vastustaa käsittelyä
  • Oikeus vastustaa automatisoitua päätöksentekoa

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Prosessi tietosuojapyyntöjen vastaanottamiseen ja käsittelyyn

Aina kun käsittelemme henkilötietoja, rekisteröidyllä on tiettyjä oikeuksia, mm. saada pääsy tietoihinsa ja tietyissä tilanteissa vastustaa käsittelyä tai saada tietonsa poistetuksi.

Olemme suunnitelleet toimintatavat näitä tilanteita varten, jotka voivat sisältää mm.:

  • tavat, joilla rekisteröity voi tietopyyntöjä lähettää
  • tavat, joilla tietopyynnön lähettäjän henkilöllisyys tarkistetaan
  • henkilöt, jotka auttavat rekisterin yhteyshenkilöä pyynnön käsittelyssä
  • tavat, joilla tiedot toimitetaan rekisteröidylle turvallisesti

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietosuojaselosteet
Tietosuojaselosteet ovat yksi tapa toteuttaa henkilötietojen käsittelystä vaadittavaa läpinäkyvää, avointa informointia rekisteröidyille.