EU:n tietosuoja-asetus (GDPR) ja Tasapuolisesti ry

17.08.2020 · Antti Laukkanen

Yleistä

EU:n yleinen tietosuoja-asetus ja sen kansallista soveltamista täsmentämään ja täydentämään tehty Suomen tietosuojalaki koskettavat myös Tasapuolisesti ry:n toimintaa.
Suomen tietosuojavaltuutetun nettisivuilla edellä mainittujen asetuksen ja lain sisällöt on esitetty helposti ymmärrettävällä suomen kielellä ja ne myös löytyvät sieltä helposti. Suosittelen käyttämään tätä sivustoa ensimmäisenä lähteenä, mihin tahansa tarkoitukseen tarvitsetkaan tietoa tietosuojasta.

GDPR = General Data Protection Regulation eli yleinen tietosuoja-asetus

"Se on henkilötietojen käsittelyä sääntelevä laki, jota alettiin soveltaa kaikissa EU-maissa keväällä 2018. Tietosuoja-asetus antaa paremman suojan henkilötiedoillesi ja enemmän keinoja hallita tietojesi käsittelyä. Lainsäädäntöuudistuksen tavoitteena on ollut parantaa henkilötietojen suojaa ja tietosuojaoikeuksia, vastata uusiin digitalisaatioon ja globalisaatioon liittyviin tietosuojakysymyksiin, yhtenäistää tietosuojasääntelyä kaikissa EU-maissa sekä edistää digitaalisten sisämarkkinoiden kehittymistä."

Tasapuolisesti ry:tä koskevat asiat tietosuojalaissa

Tietosuojalaki koskee Tasapuolisesti ry:tä, sillä henkilötietojen käsittely liittyy meillä jäsenrekisteriimme ja sähköpostilistaamme. Nettisivuillamme kävijöistä emme kerää mitään sellaista tietoa, minkä perusteella yksikään ihminen olisi tunnistettavissa.

"...tietosuoja-asetusta tulee noudattaa, jos yhdistys käsittelee henkilötietoja."

Alla jotain siitä, mitä meidän olisi hyvä tietää ja soveltaa käytäntöön yhdistyksen toiminnassa. Lisätietoja saat klikkamalla alaotsikkoa. Se vie tietosuojavaltuutetun sivustolle vastaavaan kohtaan.
Jos huomaat virheitä tai puutteita ja ilmoitat siitä meille, niin kiitos. Huomaa kuitenkin, että alla oleva teksti on vielä kesken.

1. Henkilötietojen käsittely

"Henkilötietoja ovat kaikki tiedot, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan henkilöön. Henkilötietoja ovat sellaiset tiedot, joiden perusteella henkilö voidaan tunnistaa suoraan tai välillisesti esimerkiksi yhdistämällä yksittäinen tieto johonkin toiseen tietoon, joka mahdollistaa tunnistamisen. Henkilö voidaan tunnistaa esimerkiksi nimen, henkilötunnuksen tai jonkin hänelle tunnusomaisen tekijän perusteella."

"Yhdistys voi käsitellä erityisiä henkilötietoryhmiä koskevia tietoja vain, mikäli se pystyy osoittamaan, että käsittely on perusteltua yhdistyksen toiminnan tarkoituksen kannalta ja jäsen tietää tämän. Esimerkiksi liittyessään poliittiseen yhdistykseen jäsen ymmärtää henkilötietojensa tulevan rekisteröidyksi ja jäsenyyden myös välillisesti ilmaisevan poliittisen näkemyksen. Tiedot on suojattava, eikä niitä saa luovuttaa edelleen.
Uskonnollista vakaumusta, terveyttä ja poliittisia mielipiteitä koskevat tiedot kuuluvat EU:n tietosuoja-asetuksen mukaan nk. erityisiin henkilötietoryhmiin (arkaluontoiset tiedot). Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on lähtökohtaisesti kielletty. Lähtökohtaisesta kiellosta huolimatta erityisiin henkilötietoryhmiin kuuluvia tietoja voidaan käsitellä, kun kieltoon on säädetty poikkeus EU:n tietosuoja-asetuksessa tai erikseen muualla lainsäädännössä. Tavallisin suoraan tietosuoja-asetuksesta seuraavista poikkeuksista on rekisteröidyn nimenomainen suostumus."
Lisätietoa myös: https://tietosuoja.fi/usein-kysyttya-yhdistystoiminta

2. Tietosuojaperiaatteet

"Tietosuojaperiaatteita on noudatettava aina, kun käsitellään henkilötietoja."

3. Arvioi riskit ja suunnittele toimenpiteet tietosuojan toteuttamiseksi

"Rekisterinpitäjän on arvioitava henkilötietojen käsittelyyn liittyviä riskejä aina, ennen kuin se ryhtyy käsittelemään henkilötietoja."

4. Osoita noudattavasi tietosuojasäännöksiä

"Osoitusvelvollisuus tarkoittaa, että rekisterinpitäjän on myös pystyttävä osoittamaan noudattavansa tietosuojalainsäädäntöä."

5. Kerro käsittelystä rekisteröidylle

Meidän tulee kertoa henkilötietojen käsittelystä rekisteröidylle ymmärrettävästi ja läpinäkyvästi. Meidän tulee mm. kertoa heille, mitä tietoja kerätään ja mistä niitä kerätään.

6. Rekisteröidyn oikeudet

"Kun rekisterinpitäjä käsittelee henkilötietoja, sen on toteutettava asianmukaiset toimenpiteet rekisteröityjen tietosuojaoikeuksien toteuttamiseksi. Sen on myös helpotettava rekisteröidyn oikeuksien käyttämistä."

7. Tietoturvaloukkaukset
"Henkilötietojen tietoturvaloukkauksella tarkoitetaan tapahtumaa, jonka seurauksena henkilötietoja tuhoutuu, häviää, muuttuu, henkilötietoja luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta."
Tietoturvaloukkauksen vakavuudesta riippuen rekisterinpitäjä saattaa tietosuoja-asetuksen mukaan olla velvollinen ilmoittamaan loukkauksesta valvontaviranomaiselle ja rekisteröidyille.

8. Tietosuojavastaava

Ei koske Tasapuolisesti ry:tä tällä ainakaan hetkellä.

9. Henkilötietojen käsittelijät

Ei koske Tasapuolisesti ry:tä tällä ainakaan hetkellä.

10. Henkilötietojen siirto Euroopan talousalueen ulkopuolelle
"Henkilötietojen siirto Euroopan talousalueen ulkopuolelle edellyttää siirtoperustetta ja muiden tietosuojalainsäädännön vaatimusten noudattamista."

Kuitenkin osaan ETA:n ulkopuolisia maita henkilötietoja voi siirtää ilman eri hakemuksia.

"Komission tähän mennessä antamat vastaavuuspäätökset koskevat seuraavia maita: Andorra, Argentiina, Färsaaret, Guernsey, Israel, Mansaari, Japani, Jersey, Uusi-Seelanti, Sveitsi ja Uruguay. Lisäksi komissio on antanut osittaiset vastaavuuspäätökset koskien Kanadaa (kaupalliset organisaatiot)."

Jäsenten ja sähköpostilistalaisten sähköpostiosoitteiden säilyttäminen Sveitsiläisen Protonmailin järjestelmissä onnistuu siis yhtä hyvin kuin ETA:n sisälläkin ja ilman erillisiä toimenpiteitä

Kenellä saa olla pääsy jäsenrekisteriin

"Pääsy jäsenrekisteriin tulee olla niillä yhdistyksen toimihenkilöillä, joiden tehtävien hoidon kannalta tämä on tarpeen. Myös yhdistyksen jäsenellä on yhdistyslain mukaan oikeus tutustua jäsenrekisterin tietoihin."

"Toimivalta käsitellä jäsenten tietoja päättyy, kun toimihenkilön asema yhdistyksessä lakkaa. Toimihenkilön on luovutettava hallussaan oleva henkilötietoaineisto, eikä hän saa ottaa siitä itselleen kopioita."

Saako yhdistys käyttää henkilötunnusta jäsentiedoissa?
Yleensä ei. Poikkeuksena on tilanne, jossa jäsen on antanut henkilötunnuksen käyttöön suostumuksensa, käsittelystä on säädetty lailla tai on olemassa muu erityisen tärkeä syy yksiselitteiseen yksilöimiseen, eikä yksilöintiä voi tehdä muutoin kuin henkilötunnuksen avulla.
Lisätietoa: https://tietosuoja.fi/usein-kysyttya-yhdistystoiminta