EU:n tietosuojauudistus – mistä on kyse ja mitä yhdistyksen pitäisi tehdä?
Suomen ja EU:n tietosuojalait ovat uudistumassa. Asiasta on ollut paljon puhetta, mutta mistä oikein on kyse ja mitä Eläkeliiton piireissä ja yhdistyksissä tulisi tehdä uudistuksen johdosta?
Uusi EU:n tietosuoja-asetus (GDPR) astuu voimaan 25.5.2018. Uusi asetus edellyttää toimia kaikilta henkilörekisterien pitäjiltä. Uuden asetuksen tarkoituksena on parantaa henkilötietojen suojaa. Suomen tietosuojalainsäädäntö on tähän astikin ollut melko kattava ja Eläkeliitto on sen velvoitteita jo noudattanut. Tähänkin saakka rekistereitä on voinut ylläpitää yhdistyksen toiminnan toteuttamiseksi, henkilötietoja on pitänyt käsitellä huolellisesti ja rekistereistä on pitänyt laatia tietosuojaselosteet. Mikään ei siltä osin muutu. Jatkossa yhdistysten on kuitenkin syytä suhtautua entistäkin huolellisemmin kaikkeen henkilötietojen käsittelyyn.
Keskeisiä uuden lainsäädännön lähtökohtia ovat seuraavat:
- Tietojen keräämiseen ja käsittelyyn pitää olla laillinen peruste.
- Tarpeettomia tietoja ei saa kerätä eikä säilyttää pidempään kuin on tarvetta.
- Tietoja saavat käsitellä vain ne, joilla on siihen tehtävänsä puolesta tarve ja oikeus.
- Tietoja tulee käsitellä ja säilyttää huolellisesti ja poistettavat tiedot tulee hävittää turvallisesti.
Olennaista on tunnistaa, mitä henkilötietoja Eläkeliiton yhdistys tai piiri kerää ja erityisesti miksi sekä miten tietoja säilytetään ja miten tarkastusoikeus toteutetaan. Periaatteet eivät lähtökohdiltaan ole muuttumassa voimassaolevaan henkilötietolakiin verrattuna.
Henkilötiedot ja henkilörekisterit – mitä ne ovat?
Henkilötietoja ovat kaikki tiedot, joista henkilö voidaan suoraan tai epäsuorasti tunnistaa tai jotka muuten liittyvät johonkin henkilöön. Tällaisia tietoja ovat esimerkiksi nimi, henkilötunnus, ikä, puhelinnumero, osoite, terveystiedot, kuva, pankkiyhteystiedot, tapahtumiin osallistumista koskevat tiedot yms.
Henkilörekisterejä ovat kaikki sähköiset tai muut listat ja materiaalit, myös käsin kirjoittaen ylläpidetyt, joissa henkilötietoja esiintyy. Henkilötietojen keräämiseen on aina oltava perusteltu syy, kuten yhdistyksen jäsenyyteen perustuen (jäsenrekisteri ja/tai jäsenluettelo). Myös yhdistyksen tiettyjä tapahtumia varten keräämät osallistujaluettelot ovat henkilörekistereitä ja niitä varten pätee samat säännöt kuin muidenkin henkilötietojen keräämisessä. Yhdistyksen keräämiä osallistujaluetteloita ovat esimerkiksi teatteriretkelle tai keilailukerhoon ilmoittautuneista kerätty lista. Sillä ei ole merkitystä, miten lista kerätty, esimerkiksi osallistuja voi ilmoittautua puhelimitse tai kirjoittamalla tietonsa itse ilmoittautumislistaan.
Yhteydenpito jäseniin ja markkinointi
Jäsenille tiedottaminen yhdistyksen tapahtumista ja toiminnasta on sallittua edelleenkin. Tietosuojaselosteessa tulee todeta, että henkilön osoitetietoja käytetään yhdistyksen viestintään.
Sähköposteja lähetettäessä osoitteet on aina piilotettava, ellei esimerkiksi hallituksen tai muun pienen ryhmän osalta ole toisin sovittu.
Uuden asetuksen mukaan tietoihin pääsy tulee rajoittaa ainoastaan niille henkilöille, joilla on siihen perusteltu syy. Paperit siis säilytetään lukitussa paikassa ja tiedostot suojattuina tietokoneilla tai palvelimilla käyttäjän henkilökohtaisen salasanan takana.
Kuka saa käsitellä henkilörekisterien tietoja – muista salassapitovelvollisuus
Yhdistyksen tulee päättää ja kirjata, keillä henkilöillä on oikeus käsitellä henkilörekisterien tietoja. Näiden henkilöiden tulee allekirjoittaa salassapitositoumus.
Koska hallitus hyväksyy uudet jäsenet, toteaa mm. jäsenmaksun laiminlyöneet eronneiksi ja vastaa jäsenrekisterin oikeellisuudesta, hallituksen jäsenillä on oikeus saada jäsenluettelotiedot, vaikka eivät kaikki varsinaisesti hoidakaan rekisteriasioita.
Jatkossa saatava henkilöltä suostumus hänen henkilötietojensa käsittelyyn
Jatkossa henkilötietojen käsittelyä on tarkennettava. Nykyiseen lainsäädäntöön verrattuna keskeinen muutos on se, että jatkossa edellytetään nimenomaista suostumusta henkilöltä hänen henkilötietojensa keräämiseen ja säilyttämiseen. Näin ollen esimerkiksi yhdistyksen kerätessä tilaisuuskohtaista osallistujalistaa, eli henkilörekisteriä, olisi osallistujalta / rekisteröityvältä pyydettävä suostumus tietojen keräämiseen. Esimerkiksi internet- pohjaisessa kaavakkeessa ei saisi olla valmiina raksittuna suostumus sarake, vaan rekisteröityjän tulisi itse raksittaa tämä ruutu. Samaa periaatetta on sovellettava esimerkiksi paperikaavakkeessa.
Eli käytännössä yhdistyksen retkeä varten kerättävään nimilistaan olisi saatava siihen merkatun henkilön suostumus. Tämä lain velvoite voidaan yhdistyksissä hoitaa vaikka siten, että dokumenttiin, jolla ilmoittautumisia ym. kerätään, lisätään lause ”antamalla henkilötietoni tähän listaan (esim pikkujoulujen osallistujalista), annan luvan niiden keräämiseen ja tallentamiseen lomakkeessa mainittua tarkoitusta varten.” Suostumus voidaan pyytää myös suullisesti, mutta sen antaminen on kyettävä luotettavasti todentamaan.
On hyvä myös huomioida, että rekisteröidyllä on oikeus peruuttaa antamansa suostumus ja tästä mahdollisuudesta on tiedotettava rekisteröityä. Rekisteröidyllä on myös oikeus tarkastaa rekisteristä omat tiedot ja saada virheelliset tiedot korjatuksi. Rekisteröityä on informoitava tarkastus- ja/tai tarkastusoikeuden käytöstä.
Henkilötietojen käsittelyn periaatteet dokumentoitava
Uuteen tietosuoja-asetukseen sisältyy tärkeänä elementtinä rekisterinpitäjän osoitusvelvollisuus. Käytännössä tämä tarkoittaa, että rekisterinpitäjän on dokumentoitava esimerkiksi henkilötietojen käsittelyn ja suojauksen periaatteet. Erityisen tärkeää on tietää, miten kerättyjä tietoja säilytetään ja luovutetaanko niitä eteenpäin.
Jokaisen henkilörekisterin pitäjän on syytä laatia rekisteri- tietosuojaseloste. Yhdistykset ja piirit voivat tilata omaan käyttöönsä tietosuojaselosteen pohjan Eläkeliitosta.
Yhteenveto:
- yhdistysten tulee tietää millaisia tietoja yhdistyksen jäsenistä on kerätty, missä niitä säilytetään, miten niitä säilytetään ja kuka niitä käyttää?
- kaikkien, jotka käsittelevät henkilötietoja, on ymmärrettävä vaitiolovelvollisuutensa henkilötietoihin liittyvissä asioissa. Esimerkiksi yksittäisen jäsenen osoitetietoa ei saa antaa kolmannelle osapuolelle. Henkilötietoja käsittelevän – esim. yhdistyksen hallituksen jäsenen on tärkeää allekirjoittaa erillinen salassapitositoumus (kts liite)
Kerättävälle henkilötietolistalle on aina oltava yhdistyksen toimintaan perustuva syy. Henkilötiedot on hävitettävä kun syy niiden keräämiselle on poistunut.
Esimerkiksi: yhdistyksen matkalle ilmoittautuminen. Matkalle ilmoittautujalle tulee kertoa, että ilmoittautuneen tietoja ei käytetä muuhun tarkoitukseen. Matkan päätyttyä osallistujalista tulee tuhota. - rekisteri- tietosuojaseloste tulee olla yhdistyksen verkkosivuilla
Lisätietoja järjestöjohtaja Kirsti Mustakallio kirsti.mustakallio@elakeliitto.fi 040 7257 363.
SALASSAPITOSITOUMUS Olen tutustunut tietosuojaa koskevaan yhdistyksen ohjeistukseen ja sitoudun käsittelemään kaikkia yhdistyksen tehtävissä tietooni saamiani henkilötietoja huolellisesti enkä ilmaise tai luovuta näitä tietoja sivullisille. Päiväys: Allekirjoitus /allekirjoitukset: