Tämä sivu on osa Opetushallituksen tietosuojaopasta kasvatuksen, opetuksen ja koulutuksen järjestäjille. Linkityksen tietosuojaoppaan muihin aiheisiin löydät sivun lopusta.
Kädet tietokoneen näppäimistöllä
Kuva: Unsplash

Toiminnan järjestäjän yleisiin velvollisuuksiin rekisterinpitäjänä kuuluu arvioida henkilötietojen käsittelyn aiheuttamia riskejä rekisteröidyille sekä ryhtyä tarvittaviin toimenpiteisiin niiden poistamiseksi tai vähentämiseksi. Tämän yleisen velvollisuuden lisäksi järjestäjällä on tiettyjen edellytysten täyttyessä velvollisuus toteuttaa nimenomainen tietosuojan vaikutustenarviointi ennen henkilötietojen käsittelyn aloittamista. Tietosuojavaltuutetun toimiston verkkosivuilla on saatavilla ohje vaikutustenarviointien laadintaan sekä malliasiakirjapohjia, joita toiminnan järjestäjä voi hyödyntää arvioissaan (ks. linkki sivun lopussa). 

Vaikutustenarviointi auttaa toiminnan järjestäjää tunnistamaan käsittelyyn liittyvät riskit sekä ohjaa tarvittaviin toimenpiteisiin niiden vähentämiseksi. Vaikutustenarvioinnin tarkoituksena on määrittää, onko käsittelyyn liittyvä riski oikeutettu ja hyväksyttävissä, jotta käsittely voidaan aloittaa. Vaikutustenarviointi auttaa järjestäjää myös osoittamaan, että se on huolehtinut sisäänrakennetusta ja oletusarvoisesta tietosuojasta laissa edellytetyllä tavalla.

Vaikutustenarvioinnin laatimisvelvoite voi perustua tietosuoja-asetukseen ja sen tulkintaa täsmentävään tietosuojatyöryhmän ohjeeseen, tietosuojavaltuutetun listaan vaikutustenarviointia vaativista käsittelytoimista tai kansalliseen lainsäädäntöön. Toiminnan järjestäjän on tapauskohtaisesti tarkistettava, edellyttääkö suunniteltu käsittely vaikutustenarvioinnin laatimista. Mikäli toiminnan järjestäjä päätyy arviossaan siihen, ettei vaikutustenarviointia tarvitse tehdä, perustelut ratkaisulle tulee dokumentoida.

Tietosuoja-asetuksen mukaan vaikutustenarviointi on pakollista erityisesti silloin, kun

  • käytetään uutta teknologiaa,
  • käsitellään laajamittaisesti erityisiä henkilötietoryhmiä,
  • henkilön henkilökohtaisia ominaisuuksia arvioidaan automaattisen käsittelyn avulla (kuten profilointi) järjestelmällisesti ja kattavasti ja kun arvio johtaa päätöksiin, joilla on oikeusvaikutuksia tai jotka muuten vaikuttavat henkilöön merkittävästi, tai kun
  • yleisölle avointa aluetta arvioidaan järjestelmällisesti ja laajamittaisesti.

Tietosuojatyöryhmän määrittämien kriteerien perusteella korkea riski voi syntyä myös silloin, kun kyseessä on

  • rekisteröidyn taloudellisen työsuorituksen, taloudellisen tilanteen, terveyden, henkilökohtaisten mieltymysten tai kiinnostuksenkohteiden, luotettavuuden tai käyttäytymisen, sijainnin tai liikkumisen arviointi tai pisteytys, ml. profilointi ja ennakointi,
  • automaattinen päätöksenteko, jolla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia,
  • rekisteröityjen järjestelmällinen valvonta,
  • erityisten henkilötietojen tai muuten hyvin henkilökohtaisten tietojen käsittely,
  • tietojen laajamittainen käsittely,
  • tietokokonaisuuksien yhdistäminen rekisteröidyn kannalta ennakoimattomalla ja odottamattomalla tavalla,
  • heikossa asemassa olevien henkilötietojen käsittely,
  • uusien teknisten tai organisatoristen ratkaisujen soveltaminen tai innovatiivinen käyttö, sekä
  • tapaukset, joissa käsittelytoimet estävät rekisteröityjä käyttämästä oikeutta, palvelua tai sopimusta.

Tietosuojatyöryhmän mukaan rekisterinpitäjä voi useimmissa tapauksissa lähteä siitä, että kaksi kriteeriä täyttävä käsittely edellyttää vaikutustenarvioinnin laatimista. Mitä useampi kriteeri täyttyy, sitä todennäköisemmin käsittelystä aiheutuu korkea riski. Rekisterinpitäjä voi kuitenkin eräissä tapauksissa katsoa, että yhdenkin kriteerin täyttyminen edellyttää vaikutustenarvioinnin tekemistä. Ottaen huomioon, että varhaiskasvatuksessa, opetuksessa ja koulutuksessa käsitellään laajasti erityyppisiä alaikäisten henkilötietoja, edellytykset vaikutustenarvioinnin tekemiselle täyttyvät yleensä herkästi.

Tietosuojavaltuutetun listauksessa on täsmennetty vaikutustenarvioinnin laatimisvelvollisuutta biometristen tietojen, geneettisten tietojen, sijaintitietojen, rekisteröidyn informoinnista poikkeamisen sekä whistleblowingin eli ilmiantojärjestelmien osalta. Lisätietoja ja esimerkkejä tilanteista, joissa vaikutustenarviointi on tehtävä, löytyy tietosuojavaltuutetun verkkosivuilta. 

Takaisin ylös

Vaikutustenarvioinnille on määritelty pakollinen vähimmäissisältö. Vaikutustenarviointiin on sisällytettävä ainakin

  • järjestelmällinen kuvaus suunnitelluista käsittelytoimista ja käsittelyn tarkoituksista (ml. tarvittaessa rekisterinpitäjän oikeutetut edut),
  • arvio käsittelytoimien tarpeellisuudesta ja oikeasuhtaisuudesta tarkoituksiin nähden,
  • arvio rekisteröityjen oikeuksille ja vapauksille aiheutuvista riskeistä, sekä
  • suunnitellut toimenpiteet riskeihin puuttumiseksi ja tietosuoja-asetuksen noudattamisen osoittamiseksi.

Rekisterinpitäjä voi päättää sille sopivasta vaikutustenarvioinnin toteutus- ja dokumentointitavasta. Vaikutustenarviointi tulee kuitenkin toteuttaa ja kirjata siten, että rekisterinpitäjä voi sen perusteella osoittaa luotettavasti jälkikäteen menetelleensä asianmukaisesti. Rekisterinpitäjän tulee pyytää neuvoa vaikutustenarvioinnin tekemiseen tietosuojavastaavalta, jos sellainen on nimitetty. Henkilötietojen käsittelijän on tarvittaessa autettava rekisterinpitäjää vaikutustenarvioinnin laatimisessa.

Vaikutustenarvioinnin jälkeen rekisterinpitäjän tulee arvioida säännöllisesti käsittelyn rekisteröidyille aiheuttamia riskejä ja toteutettujen toimenpiteiden riittävyyttä. Vaikutustenarviointia on myös päivitettävä tarvittaessa esimerkiksi lainsäädännön, toimintaympäristön tai riskien muuttuessa. Vaikutustenarviointiin voi sisältyä salassa pidettävää tietoa esimerkiksi teknisten ja organisatoristen turvatoimien osalta, mikä tulee huomioida vaikutustenarviointiasiakirjojen käsittelyssä (ks. laki viranomaisten toiminnan julkisuudesta, 24.1 § 7 k). Vaikutustenarviointia ei ole pakko julkaista, mutta rekisterinpitäjän olisi hyvä harkita julkisten ja tiettyjen yleisten osien kuten yhteenvedon tai päätelmien julkaisemista läpinäkyvyyden edistämiseksi.

Käytännössä huomioitavia asioita:

  • Vaikutustenarvioinnin toteutukselle kannattaa varata riittävästi aikaa ja resursseja, sillä se voi edellyttää useamman eri alan asiantuntijan työpanosta.
  • Vaikutustenarviointi voi kohdistua yksittäiseen käsittelytoimeen, mutta joissakin tilanteissa kuten laajemmissa projekteissa tai hankkeissa voi olla tarkoituksenmukaisempaa ja taloudellisempaa käsitellä laajempaa käsittelytoimien kokonaisuutta.
  • Yhtä vaikutustenarviointia voidaan käyttää samankaltaisiin vastaavia korkeita riskejä aiheuttavien käsittelytoimien arviointiin. Samankaltaisuutta arvioitaessa tulisi riskien lisäksi huomioida muun muassa käsittelyn luonne, laajuus, asiayhteys ja tarkoitus.
  • Jos käsittelytoimeen osallistuu yhteisrekisterinpitäjiä, niiden on määriteltävä tarkasti kullekin erikseen kuuluvat velvollisuudet. Yhteisrekisterinpitäjien laatimassa vaikutustenarvioinnissa tulisi määritellä, kenen osapuolen vastuulla on huolehtia erilaisista riskien käsittelyyn sekä rekisteröityjen oikeuksien ja vapauksien suojeluun suunnitelluista toimenpiteistä.
  • Vaikutustenarviointeihin kohdistuvat yksittäiset tietojenluovutuspyynnöt ratkaistaan järjestäjää velvoittavan lainsäädännön mukaisesti.
  • Suunnitelluista käsittelytoimista tulisi tarvittaessa kuulla käsittelyn kohteena olevia henkilöitä tai näiden edustajia.
Takaisin ylös

Ennakkokuulemisella tarkoitetaan menettelyä, jossa rekisterinpitäjän on kuultava valvontaviranomaista ennen henkilötietojen käsittelyn aloittamista. Velvollisuus ennakkokuulemiseen syntyy, jos vaikutustenarviointi osoittaa, että käsittelyyn liittyy korkea riski, jota rekisteripitäjä ei voi asianmukaisin toimenpitein vähentää saatavilla oleva tekniikka ja toteuttamiskustannukset huomioiden. Mikäli ennakkokuulemisen edellytykset täyttyvät, järjestäjän on toimitettava tietosuojavaltuutetun toimistolle seuraavat tiedot kuulemista varten:

  • tarvittaessa rekisterinpitäjän, yhteisrekisterinpitäjien ja käsittelyyn osallistuneiden henkilötietojen käsittelijöiden vastuualueet erityisesti konsernin sisällä suoritettavaa käsittelyä varten,
  • suunnitellun käsittelyn tarkoitus ja keinot,
  • toimenpiteet ja toteutetut suojatoimet rekisteröidyille kuuluvien oikeuksien ja vapauksien suojaamiseksi tämän asetuksen nojalla,
  • tapauksen mukaan tietosuojavastaavan yhteystiedot,
  • toteutettu tietosuojan vaikutustenarviointi, sekä
  • muut valvontaviranomaisen pyytämät tiedot.

Ennakkokuuleminen voi tulla kyseeseen vasta kun vaikutustenarviointi on toteutettu. Jos tietosuojavaltuutetun toimisto katsoo saamiensa tietojen perusteella, että suunniteltu käsittely rikkoisi tietosuoja-asetusta, se antaa kirjalliset ohjeet järjestäjälle niistä toimenpiteistä, joihin on ryhdyttävä riskin alentamiseksi. Toimenpiteet tulee toteuttaa ennen henkilötietojen käsittelyn aloittamista. Tietosuojavaltuutetun toimisto voi myös käyttää ennakkokuulemisen yhteydessä sille annettuja toimivaltuuksia, kuten varoitusta.

Tietosuojavaltuutetun toimiston on annettava ohjeet viimeistään kahdeksan viikon kuluessa kuulemispyynnön saapumisesta. Määräaikaa voidaan tarvittaessa jatkaa kuudella viikolla, jos se on tarpeen suunnitellun käsittelyn monimutkaisuuden vuoksi. Jos tietosuojavaltuutetun toimisto pidentää käsittelyaikaa, sen on ilmoitettava järjestäjälle määräajan jatkamisesta sekä viivästymisen syystä kuukauden kuluessa pyynnön vastaanottamisesta. Näitä määräaikoja voidaan pidentää, kunnes tietosuojavaltuutetun toimisto on saanut tiedot, joita se on mahdollisesti pyytänyt kuulemista varten.

Takaisin ylös