Vastaukset ovat kysymyslistan perässä. Klikkaamalla kysymystä pääset myös suoraan siihen liittyvään vastaukseen.
4.
Saako passikopioita kerätä ja säilyttää työmailla, miten ne tulisi säilyttää ja kuinka kauan?
7.
Saako asunto-osakeyhtiö luovuttaa asukkaiden tiedot yhtiössä korjaustöitä suorittavalle urakoitsijalle? Saako urakoitsija luovuttaa henkilötiedot edelleen omalle aliurakoitsijalleen?
8.
Saako henkilöiden erityisruokavalioita koskevia tietoja käsitellä?
9.
Saako työntekijän työskentelyn yhteydessä käyttämän auton pitää paikannuksessa työaikana?
12.
Muodostavatko puhelimen yhteystiedot henkilörekisterin?
Vastaukset
1.
Asetus ei määrää, miten osoitusvelvollisuus tulee toteuttaa, mutta asetuksen 30 artikla määrää, että rekisterinpitäjän tulee ylläpitää kirjallista selostetta. Selosteen avulla voidaan täyttää myös osoitusvelvollisuutta ja tietosuojaviranomaisen taholta onkin suositeltu käyttämään tietotilinpäätöstä ja tietosuojaselostetta osoitusvelvollisuuden täyttämiseen.
Tietotilinpäätöksen avulla rekisterinpitäjä ensin kartoittaa henkilötietojen käsittelyn, suojauksen ja rekisteröityjen oikeuksien toteuttamisen nykytilan suhteessa asetukseen ja tarvittaessa korjaa puutteet.
Tietosuojaselosteessa osoitetaan tiivistetyssä muodossa, miten rekisterinpitäjä noudattaa asetuksen velvoitteita. RT:n verkkosivulla julkaistu tietosuojaselostemalli on laadittu täyttämään asetuksen vaatima osoitusvelvollisuus ja se on näin ollen hyvin laajaa. Jos rekisterinpitäjä haluaa tehdä tietosuojaselosteensa julkiseksi, on suositeltavaa pohtia, halutaanko kaikki siinä oleva tieto julkaista vai laaditaanko erillinen julkaistava versio, joka sisältää ainoastaan seikat, jotka on velvollisuus informoida rekisteröidylle (RT:n mallissa merkitty punaisella tähdellä). Seloste kokonaisuudessaan taas on mahdollista valvontaviranomaisen suorittamaa tarkastusta varten.
2.
Henkilöä tulee informoida seuraavista asioista:
- yrityksen nimi ja yhteystiedot
- tietosuojavastaavan/tietosuoja-asioiden yhteyshenkilön yhteystiedot
- käsittelyn tarkoitus ja oikeusperuste
- jos käsittely perustuu rekisterinpitäjän tai kolmannen osapuolen ”oikeutettuun etuun”, kyseinen ”oikeutettu etu”
- henkilötietojen luovutusten vastaanottajat (esim. Terveystalo) tai vastaanottajaryhmät (jos varsinaiset tahot ei vielä selvillä)
- jos tietoja siirretään EU:n ulkopuolelle, tieto siirrosta ja siirtoon liittyvistä toimista (sekä henkilötietojen luovutusten että ulkoistusten osalta)
- tietojen säilytysaika tai aika, jonka välein henkilötietojen säilyttämistä tarkastellaan
- tietosuoja-asetuksessa säädetyt rekisteröidyn oikeudet
- onko henkilötietojen kerääminen lakisääteinen tai sopimukseen perustuva vaatimus tai sopimuksen tekemisen edellyttämä vaatimus, onko tiedot pakko toimittaa ja mikä on seuraamus toimittamatta jättämisestä
- jos henkilötietoja käytetään automaattiseen päätöksentekoon (ml. profilointi), siihen liittyvät seikat
Jos tiedot kerätään muualta kuin henkilöltä itseltään, on informoitava lisäksi henkilötietoryhmät (esim. nimi, osoite) ja mistä tiedot on saatu. Rekisteröityä ei kuitenkaan tarvitse tällöin informoida lainkaan, jos häntä on jo aiemmin informoitu nyt kyseessä olevasta käyttötarkoituksesta.
Tietosuoja-asetus ei määrittele, miten henkilöä tulee informoida. Informointi voidaan hoitaa esimerkiksi tietosuojaselosteen avulla, kunhan huolehditaan, että se sisältää kaikki yllä kuvatut seikat. Informointi tulee tehdä kerättäessä tiedot ja se onkin luontevaa hoitaa esim. henkilön perehdytyksen yhteydessä. RT:n verkkosivuilla julkaistu tietosuojaselostemalli on laadittu täyttämään asetuksen vaatima osoitusvelvollisuus ja se sisältää näin ollen enemmän tietoja kuin yllä olevat. Malliin on merkitty punaisella tähdellä seikat, jotka tulee informoida rekisteröidylle. Haluttaessa nuo seikat voidaan myös poimia erilliselle asiakirjalle ja informoida sen avulla rekisteröidylle.
3.
Yhteisen työmaan päätoteuttajan tulee pitää työntekijäluetteloa työmaalla toimivista työntekijöistä ja ilmoittaa kuukausittain Verohallinnolle työmaalla työskentelevät työntekijät ja itsenäiset toimijat. Omien työntekijöiden henkilötiedot saadaan työntekijöiltä itseltään ja niiden käsittelyyn on oikeus työsopimuksen perusteella. Lisäksi edellä mainittuun henkilötietojen käsittelyyn on perusteena lain velvoite. Työntekijöitä tulee informoida heidän henkilötietojensa käsittelystä (ks. edellä kysymys 2.), ml. edellä mainittu henkilötietojen luovutus Verohallinnolle, saataessa henkilötiedot.
Aliurakoitsijoiden työntekijöiden tiedot saadaan joko luovutuksena aliurakoitsijoilta tai aliurakoitsijoiden työntekijöiden itse ilmoittautuessa työmaalle ensimmäisenä työpäivänä. Aliurakoitsijalla on oikeus luovuttaa työntekijöiden henkilötiedot, sillä taustalla on lakisääteinen velvoite (päätoteuttajan velvollisuus pitää työntekijäluetteloa sekä ilmoitusvelvollisuus Verohallinnolle), eikä työntekijöiltä näin ollen tarvita erillistä suostumusta luovutukseen. Aliurakoitsijan on tullut informoida työntekijöitään heidän henkilötietojensa luovuttamisesta urakoiden päätoteuttajille informoidessaan työntekijöitään heidän henkilötietojensa käsittelystä tietosuoja-asetuksen mukaisesti (ks. edellä kysymys 2.).
Päätoteuttajan tulee vastaavasti informoida aliurakoitsijoiden työntekijöitä heidän henkilötietojensa käsittelystä päätoteuttajan taholla, saipa päätoteuttaja henkilötiedot aliurakoitsijalta luovutuksena tai aliurakoitsijan työntekijöiltä itseltään heidän ilmoittautuessaan työmaalle ensimmäisenä työpäivänä. Tämä on luontevaa hoitaa perehdytyksen yhteydessä työntekijän tullessa työmaalle.
Kyseessä on henkilötietojen luovutus aliurakoitsijalta päätoteuttajalle ja päätoteuttajasta tulee siis itsenäinen rekisterinpitäjä kyseisten henkilötietojen osalta. Samoin päätoteuttajan ilmoituksessa Verohallinnolle on kyse henkilötietojen luovutuksesta ja Verohallinnosta tulee itsenäinen rekisterinpitäjä luovutettujen tietojen suhteen. Koska kyse on luovutuksesta eikä ulkoistuksesta, ei tietosuoja-asetuksen mukaista tietosuojasopimusta tarvita aliurakoitsijan ja päätoteuttajan välillä eikä päätoteuttajan ja Verohallinnon välillä eikä asiaa tarvitse huomioida myöskään urakkasopimuksessa. Osapuolten niin halutessa, asiasta voidaan toki tehdä maininta urakkasopimukseen tai jopa erillinen tietosuojasopimus.
4.
Passikopioita saa säilyttää työmailla, jos siihen on tietosuoja-asetuksen mukainen peruste ja ne säilytetään tietoturvallisessa paikassa eli käytännössä lukollisessa kaapissa, johon on pääsy ainoastaan niillä, joiden on tarpeen käsitellä passikopioita. Rakennusalalla sekä työnantajayrityksellä että yhteisen työmaan päätoteuttajalla on lain mukainen velvoite tarkistaa työntekijän kansalaisuus sekä oleskelulupa, jonka myöhemmän todistamisen vuoksi on tarpeen ottaa kopio ulkomaisten työntekijöiden passeista. Näin ollen passikopioiden keräämiselle ja säilyttämiselle tällaisessa tilanteessa on lain ja siis samalla tietosuoja-asetuksen mukainen peruste.
Yhteisen työmaan osalta päätoteuttajan tulee lain mukaan säilyttää tiedot työmaalla työskennelleitä kuuden vuoden ajan työmaan päättymisestä ja näin ollen myös passikopiot on syytä säilyttää kyseinen aika. Muulla kuin yhteisen työmaan päätoteuttajalla on samat säilytysajat työntekijöitä koskevien tietojen osalta, ml. passikopiot, kuin alla kohdassa 5. on selostettu.
5.
Ei tule. Aliurakoitsijalla on tietosuoja-asetuksen mukainen peruste säilyttää työntekijöidensä tietoja niin kauan kuin nämä ovat työsuhteessa ja viisi vuotta tämän jälkeen, sillä työntekijällä on oikeus vaatia saataviaan viiden vuoden ajan työsuhteen päättymisestä. Tästä poiketen työaikalaista johtuvia saatavia työntekijä voi vaatia ainoastaan kahden vuoden ajan työsuhteen päättymisestä ja näin ollen näitä tietoja koskien säilytysaika on lyhyempi. Työtodistusta suppealla tietosisällöllä (nimi ja työsuhteen kesto) työntekijä taas voi vaatia kymmenen vuoden ajan työsuhteen päättymisestä ja siksi ko. tiedot on syytä säilyttää kymmenen vuoden ajan.
6.
Jos urakoitsijan on välttämätöntä saada henkilötietoja pystyäkseen tekemään urakkatarjouksen, on tilaajalla oikeus luovuttaa henkilötiedot urakoitsijalle. Tietosuoja-asetuksen mukaisena luovutus- ja käsittelyperusteena on sopimusta edeltävä tilanne, jossa tarjouksen antaminen edellyttää henkilötietojen luovuttamista urakoitsijoille. Jos henkilötietojen antaminen ei ole välttämätöntä tarjouksen antamiseksi, on henkilötietojen luovuttamiseen saatava kyseisten henkilöiden suostumus, jotta niitä saadaan luovuttaa.
7.
Jos urakoitsija ei voi suorittaa korjaustöitä ilman, että saa asukkaiden tietoja (esim. sen vuoksi, että urakoitsijan on välttämätöntä olla yhteydessä asukkaisiin korjaustöiden suorittamiseksi), on asunto-osakeyhtiöllä rekisterinpitäjänä oikeus luovuttaa henkilötiedot korjaustöiden toteuttamiseksi. Asetuksen mukaisena luovutusperusteina ovat korjautöitä koskevan sopimuksen täytäntöönpano ja rekisterinpitäjän oikeutettu etu. Jos korjaustöiden suorittaminen ei vaadi asukkaiden tietoja, tulee niiden antamiseksi urakoitsijalle saada suostumus kultakin asukkaalta. Samoilla edellytyksillä urakoitsija saa luovuttaa asukkaiden tiedot aliurakoitsijalleen. Asukkaita on informoitava luovutuksesta ja edelleenluovutuksesta ja kukin luovutuksensaaja (urakoitsija ja aliurakoitsija) on itsenäisesti vastuussa rekisterinpitäjänä asukkaiden tietojen käsittelystä ja säilyttämisestä tietosuoja-asetuksen mukaisesti.
8.
Kun henkilö luovuttaa tiedon vapaaehtoisesti eikä tietoa tallenneta pysyvästi henkilörekisteriin, saadaan tietoa käsitellä pyytämättä erillistä suostumusta tiedon käsittelyyn. Jos tämän tyyppisiä tietoja tallennetaan pysyvästi henkilörekisteriin, on suositeltavaa pyytää rekisteröidyn suostumus.
9.
Jos paikannuksen tarve ja tarkoitus täyttää jonkun asetuksen mukaisista käsittelyperusteista, paikannusta saa käyttää. Tällainen voi olla esimerkiksi työturvallisuudesta huolehtiminen, jolloin asetuksen mukaisena perusteena on lakisääteisen velvoitteen noudattaminen sekä rekisterinpitäjän oikeutettu etu, tai työnantajan tarve olla selvillä autojen sijainneista suhteessa työmaihin esim. äkillisten tavarakuljetusten hoitamiseksi työmaille/työmailta, jolloin asetuksen mukaisena perusteena on rekisterinpitäjän oikeutettu etu.
10.
Tavalla tai toisella on varmistettava, että tietojen pyytäjä on se henkilö, josta tietoja pyydetään. Lähtökohtaisesti henkilökohtaisesta sähköpostista lähetetyn pyynnönkin voidaan katsoa riittävästi osoittavan pyynnön esittäjän henkilöllisyyden. Jos kuitenkin herää epäilys pyynnön esittäjän henkilöllisyydestä, tämä voidaan varmistaa esim. pyytämällä henkilö paikan päälle kuvallinen henkilötodistus mukanaan tai pyytämällä toimittamaan allekirjoitettu pyyntö sähköpostitse tai postitse ja tarvittaessa liittämään mukaan esim. kopio kuvallisesta henkilötodistuksesta.
11.
Tiedot saadaan edelleenkin antaa luottamusmiehelle, sillä kyse on työehtosopimuksen mukaisesta velvoitteesta. Kyse on henkilötietojen luovututuksesta ja luottamusmiehestä tulee rekisterinpitäjä, koska luottamusmies käyttää listaa omiin luottamusmiestarkoituksiinsa eikä työnantajan eli alkuperäisen rekisterinpitäjän lukuun. Luottamusmies rekisterinpitäjänä on vastuussa ylläpitämästään rekisteristä ja tietosuoja-asetuksen noudattamisesta sen suhteen. Työnantajan henkilötietojen luovuttajana tulee ainoastaan huolehtia, että sillä on asetuksen mukainen peruste luovuttaa tiedot. Perusteena tässä tapauksessa on TES-määräyksen noudattaminen, joka tietosuoja-asetuksessa katsotaan lain määräystä vastaavaksi.
12.
Kyllä muodostavat. Pelkästään yksityishenkilön tai kotitalouden käyttöön tarkoitettuihin henkilötietoihin ei kuitenkaan sovelleta tietosuoja-asetusta. Jos puhelimessa on myös muuhun tai pelkästään muuhun kuin yksityishenkilön tai kotitalouden käyttöön tarkoitettuja henkilötietoja, sovelletaan puhelimen henkilörekisteriin noilta osin tietosuoja-asetusta.
13.
Kaupunkien ja kuntien rakennusjärjestyksissä on tyypillisesti velvoite, jonka mukaan sisääntulokerroksessa tulee olla näkyvillä huoneistot ja niiden haltijat. Näiden rakennusjärjestysten määräysten taustalla on mm. turvallisuusnäkökohta pelastusviranomaisia varten. Näin ollen tietosuoja-asetuksen mukaisina perusteina henkilötietojen julkaisemiselle rappukäytävässä ovat rakennusjärjestyksen velvoitteen täyttäminen sekä samalla rekisterinpitäjän (asunto-osakeyhtiön) oikeutettu etu. Näiden taustalla taas on rekisteröidyn (asukkaan) elintärkeän edun turvaaminen eli pelastusviranomaisten löytäminen perille. Ohessa esimerkki Helsingin kaupungin rakennusjärjestyksestä:
”Porrashuoneen sisääntulokerroksessa tulee näkyvällä ja tarvittaessa erikseen valaistavalla paikalla olla taulu, johon on merkitty kunkin huoneiston haltijan suku- tai toiminimi. Huoltomiehen tai talonmiehen sekä isännöitsijän yhteystiedot tulee merkitä porrashuoneeseen näkyvälle paikalle. Huoltomiehen tai talonmiehen yhteystietomerkinnät pitää pystyä lukemaan myös rakennuksen ulkopuolelta.”