Termipankki
Tietosuojan ja tietosuojalainsäädännön ymmärtämistä helpottaa muutamien perustermien tunteminen. Tällä sivulla selitetään auki tietosuojaan liittyvät keskeisimmät termit.
Henkilöön liittyvät tiedot, jotka paljastavat rodun tai etnisen alkuperän, poliittisia mielipiteitä, uskonnollisen tai filosofisen vakaumuksen, ammattiliiton jäsenyyden, geneettisiä tietoja, biometrisiä tietoja, terveystietoja tai seksuaalista käyttäytymistä tai suuntautumista koskevia tietoja. Näitä tietoja on suojeltava erityisen tarkasti, koska niiden käsittely voi aiheuttaa huomattavia riskejä henkilön perusoikeuksille ja -vapauksille. Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelylle on oltava tietosuoja-asetuksen tai muun lainsäädännön mukainen peruste. Harrastustoiminnassa erityisiin henkilötietoryhmiin kuuluvia tietoja käsitellään esimerkiksi silloin, kun käsitellään tietoja lapsen allergioista, sairauksista tai lääkityksistä.
Lue lisää: Erityisten henkilötietoryhmien käsittely | Tietosuojavaltuutetun toimisto
Artikkeli: Lasten terveystietojen käsittely harrastustoiminnassa
Henkilötietoja ovat kaikki tiedot, joiden perusteella ihminen voidaan tunnistaa suoraan tai välillisesti.
Lue lisää: Mikä on henkilötieto? | Tietosuojavaltuutetun toimisto
Henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun ja rekisterinpitäjän ohjeiden mukaisesti. Henkilötietojen käsittelijä on rekisterinpitäjästä erillinen taho.
Kaikki henkilötietoihin kohdistuvat toimenpiteet henkilötietojen käsittelyn suunnittelusta henkilötietojen poistamiseen ovat henkilötietojen käsittelyä. Esimerkiksi henkilötietojen kerääminen, säilyttäminen, käyttö, siirtäminen ja luovuttaminen. Harrastustoiminnassa henkilötietojen käsittelyä tapahtuu monissa eri yhteyksissä, kuten ilmoittautumisten, tapahtumien ja kilpailujen yhteydessä.
Rekisterinpitäjän on annettava rekisteröidylle kaikki henkilötietojen käsittelyä koskevat tiedot tiiviissä, läpinäkyvässä, helposti ymmärrettävässä ja selkeässä muodossa. Informointi on usein toteutettu tietosuojaselosteen muodossa, jossa kerrotaan rekisteröidyille tarvittavat tiedot henkilötietojen käsittelystä ja rekisteröidyn oikeuksista.
Lue lisää: Rekisteröidyn informointi | Tietosuojavaltuutetun toimisto
Kaikelle henkilötietojen käsittelylle on oltava jokin laissa säädetty peruste. Peruste on määritettävä ennen käsittelyn aloittamista. Tietosuoja-asetuksessa on kuusi eri perustetta, joilla henkilötietojen käsittely on mahdollista: rekisteröidyn suostumus, sopimus, rekisterinpitäjän lakisääteinen velvoite, elintärkeiden etujen suojaaminen, yleistä etua koskeva tehtävä tai julkinen valta sekä rekisterinpitäjän tai kolmannen osapuolen oikeutettu etu.
Lue lisää: Milloin henkilötietoja saa käsitellä? | Tietosuojavaltuutetun toimisto
Rekisterinpitäjällä on velvollisuus osoittaa, että se toimii tietosuoja-asetuksen edellyttämällä tavalla. Osoitusvelvollisuuden toteuttamiseksi rekisterinpitäjän on arvioitava, miten tietosuojaperiaatteet toteutuvat käytännössä sen omassa toiminnassa.
Lue lisää: Osoitusvelvollisuus | Tietosuojavaltuutetun toimisto
Rekisterinpitäjä on se taho, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Harrastustoiminnassa rekisterinpitäjänä voi toimia esimerkiksi yhdistys.
Rekisteröidyllä on oikeus saada tietoa henkilötietojensa käsittelystä, saada tutustua tietoihinsa, oikaista tietojaan, poistaa tietonsa, rajoittaa tietojensa käsittelyä, siirtää tiedot järjestelmästä toiseen, vastustaa tietojensa käsittelyä ja olla joutumatta automaattisen päätöksenteon kohteeksi. Rekisteröity ei välttämättä voi käyttää kaikkia oikeuksia kaikissa tilanteissa. Tilanteeseen vaikuttaa esimerkiksi se, millä perusteella henkilötietoja käsitellään. Jos organisaatio käsittelee alaikäisen lapsen tai nuoren henkilötietoja, myös alaikäisen huoltajalla voi olla oikeus käyttää alaikäisen puolesta tämän oikeuksia.
Lue lisää: Rekisteröidyn oikeudet | Tietosuojavaltuutetun toimisto
Artikkeli: Tietosuoja on alaikäisen perusoikeus – mitä se tarkoittaa käytännössä?
Henkilö, jonka henkilötietoja käsitellään ja joka voidaan tunnistaa joidenkin henkilötietojen perusteella joko suoraan tai välillisesti. Harrastustoiminnassa rekisteröidyllä voidaan tarkoittaa esimerkiksi harrastajaa, yhdistyksen työntekijää tai huoltajaa.
Henkilötietojen käsittelystä säädetään yleisessä tietosuoja-asetuksessa (asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta). Tietosuoja-asetus tulee sovellettavaksi, kun henkilötietoja käsitellään osittain tai kokonaan automaattisesti ja kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa rekisteri tai rekisterin osa. Kun harrastustoiminnassa käsitellään henkilötietoja, tulee toiminnassa huomioida tietosuoja-asetuksessa säädetyt velvollisuudet.
Tietosuojavastaava on organisaation sisäinen asiantuntija, joka seuraa henkilötietojen käsittelyä ja auttaa tietosuojasäännösten noudattamisessa. Tietosuojavastaava toimii myös rekisteröityjen yhteyshenkilönä henkilötietojen käsittelyyn liittyvissä asioissa ja tekee yhteistyötä tietosuojavaltuutetun toimiston kanssa.
Lue lisää: Tietosuojavastaavat | Tietosuojavaltuutetun toimisto
Vahinko tai lainvastainen tapahtuma, jonka seurauksena henkilötietoja tuhoutuu, häviää, muuttuu, henkilötietoja luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta. Henkilötietojen tietoturvaloukkauksia voivat olla esimerkiksi hävinnyt USB-tikku, varastettu tietokone, paperilla olevien henkilötietojen katoaminen, hakkerointi, haittaohjelmatartunta tai henkilötietoja sisältävän kirjeen postitus väärälle henkilölle.
Lue lisää: Tietoturvaloukkaukset |Tietosuojavaltuutetun toimisto.
Vaikutustenarviointi on prosessi, jossa arvioidaan suunniteltujen henkilötietojen käsittelytoimien vaikutuksia tietosuojaan ja yksilön vapauksiin. Vaikutustenarvioinnissa siis tunnistetaan, arvioidaan ja pyritään hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Jos suunniteltu henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin, rekisterinpitäjän on tehtävä tietosuojaa koskeva vaikutustenarviointi. Vaikutustenarviointi voidaan kuitenkin tehdä myös silloin, kun tietosuoja-asetus ei sitä edellytä.
Lue lisää: Vaikutustenarviointi | Tietosuojavaltuutetun toimisto
Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä henkilötietojen käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Tällöin rekisterinpitäjien vastuualueet henkilötietojen käsittelyssä on määriteltävä selvästi, ja keskeisten vastuunjakoperusteiden on oltava rekisteröidyn saatavilla.
