Yritys saa uuden yhteyshenkilön tiedot sopimuskumppanilta, täydentää asiakasrekisteriä julkisesta lähteestä tai ostaa ammatillisia yhteystietoja. Henkilö ei itse täyttänyt yrityksen lomaketta, mutta hänen henkilötietojaan käsitellään. GDPR:n 14 artikla määrää, mitä hänelle pitää kertoa ja milloin tiedot on toimitettava.
Kuukausi on enimmäisraja, ei tavallinen odotusaika. Ensimmäinen yhteydenotto tai ensimmäinen luovutus toiselle vastaanottajalle voi aikaistaa informointia. Lähteen vakuutus aineiston lainmukaisuudesta ei ratkaise uuden rekisterinpitäjän velvollisuuksia. Ennen käyttöönottoa tarvitaan oma arvio lähteestä, tarkoituksesta, käsittelyperusteesta, tiedotuksesta ja mahdollisesta poikkeuksesta.
Erota suoraan ja muualta saadut tiedot
Kun henkilö antaa itse häntä koskevat tiedot esimerkiksi lomakkeella, lähtökohtana on 13 artikla. Kun tiedot saadaan muualta, lähtökohtana on 14 artikla. Molempiin sovelletaan lisäksi 12 artiklan selkeyttä ja viestintää koskevia vaatimuksia. Samassa palvelussa voi olla kummankinlaisia tietovirtoja.
Esimerkiksi työnhakija antaa oman hakemuksensa suoraan. Suosittelijalta saatu arvio tulee toisesta lähteestä. Artiklan 14 informointi ei kuitenkaan anna työnantajalle oikeutta kerätä arvioita vapaasti: Suomessa rekrytoinnin taustatietojen hankintaan liittyvät työelämän tietosuojasäännöt on tutkittava erikseen.
Julkinen verkkosivu, yrityshakemisto ja ammatillinen profiili voivat sisältää henkilötietoja. Julkisuus ei yksin vapauta informoinnista. Myöskään se, että tieto liittyy työtehtävään, ei muuta nimetystä työntekijästä kertovaa tietoa pelkäksi yritystiedoksi.
Vastaanottajan rooli on silti tunnistettava. Rekisterinpitäjän lukuun toimiva käsittelijä ei yleensä ratkaise itsenäisesti tämän käsittelyn tarkoitusta tai lähetä omaa rekisterinpitäjän ilmoitustaan samoista toimista. Jos toimittaja käyttää aineistoa omiin tarkoituksiinsa, rooliarvio voi muuttua. Rekisterinpitäjän ja käsittelijän erottelu ratkaisee, kenen informoinnista kulloinkin on kysymys.
Mitä 14 artiklan ilmoituksessa kerrotaan?
Artiklan 14 sisältö muistuttaa suoraan kerättävien tietojen informointia, mutta siinä korostuvat henkilötietoryhmät ja tietojen alkuperä. Henkilön on voitava ymmärtää, mitä yritys hänestä tietää ja mistä tiedot ovat peräisin. Tarkat vaatimukset löytyvät tietosuoja-asetuksen 14 artiklasta.
Ilmoituksessa yksilöidään rekisterinpitäjä ja sen yhteystiedot sekä tarvittaessa edustaja. Tietosuojavastaavan yhteystiedot annetaan, jos tällainen on nimetty. Käsittelyn tarkoitukset, oikeusperuste ja kyseessä olevat henkilötietoryhmät kuvataan ymmärrettävästi. ”Liiketoiminnan tarpeet” ei vielä kerro, käytetäänkö tietoja toimituksen yhteydenpitoon, riskinarviointiin vai mainontaan.
Lisäksi ilmoitetaan vastaanottajat tai vastaanottajaryhmät ja soveltuvin osin ETA:n ulkopuolisia siirtoja koskevat tiedot. Näihin kuuluvat siirtotilanteen mukaisesti tieto riittävyyspäätöksestä tai asianmukaisista suojatoimista sekä mahdollisuus saada niistä jäljennös tai tieto saatavuudesta. Kansainvälisen siirron arviointi on tehtävä todellisten pääsyjen ja osapuolten perusteella ennen ilmoituksen kirjoittamista.
Säilytysajasta kerrotaan aika tai, jos sen ilmoittaminen ei ole mahdollista, ajan määrittämiskriteerit. Oikeutettuun etuun perustuvassa käsittelyssä nimetään tavoiteltu etu. Henkilölle kerrotaan soveltuvista oikeuksista, mahdollisuudesta tehdä valitus valvontaviranomaiselle sekä suostumuksen peruuttamisesta silloin, kun käsittely perustuu asianomaiseen suostumukseen.
Tietojen lähde ja tarvittaessa lähteen julkisuus ilmoitetaan. Lisäksi kerrotaan artiklassa tarkoitetusta automatisoidusta päätöksenteosta, siihen liittyvästä logiikasta, merkityksestä ja mahdollisista seurauksista. Tämä ei koske vain järjestelmän nimeä: merkittävää automaattista päätöstä koskevan kuvauksen pitää auttaa henkilöä ymmärtämään hänelle tapahtuvaa käsittelyä.
Ajoitus: kolme tapahtumaa samassa aikajanassa
Tietojen toimitusajankohta määräytyy kohtuullisen ajan, kuukauden enimmäisrajan ja mahdollisten aikaisempien tapahtumien perusteella. Kohtuullisuudessa huomioidaan käsittelyn erityiset olosuhteet. Jos tietoja käytetään yhteydenottoon, informointi toimitetaan viimeistään ensimmäisessä yhteydenotossa. Jos tietoja on tarkoitus luovuttaa toiselle vastaanottajalle, se toimitetaan viimeistään ensimmäisen luovutuksen yhteydessä.
Tietosuojavaltuutetun informointiohje kuvaa tämän eron suoraan ja muualta kerättyjen tietojen välillä. Organisaation on suunniteltava myös toimitustapa. Pelkkä verkkosivun julkaiseminen ei tavallisesti osoita, että tietystä uudesta käsittelystä on toimitettu tieto kyseiselle henkilölle.
Seuraava projektipalveluyritys ja päivämäärät ovat kuvitteellisia:
| Tapahtuma | Suunniteltu aika | Vaikutus informointiin |
|---|---|---|
| Kumppanin yhteyshenkilölista saadaan | 2. syyskuuta | Kohtuullisen ajan arvio ja kuukauden enimmäisraja alkavat |
| Tiedot annetaan erilliselle tapahtumajärjestäjälle | 4. syyskuuta | Ensimmäinen luovutus aikaistaa toimitusta |
| Osallistujalle soitetaan | 8. syyskuuta | Myöhempi yhteydenotto ei siirrä aikaisempaa velvoitetta |
Yritys toimittaa ilmoituksen 3. syyskuuta ennen suunniteltua luovutusta. Se ei odota lokakuun alkuun tai puheluun. Tämä on esimerkin toteutustapa, ei kaikkiin käsittelyihin asetettu yhden päivän määräaika. Jos luovutus peruuntuu, kohtuullisen ajan vaatimus ja kuukauden enimmäisraja jäävät silti arvioitaviksi.
Aikajana alkaa tietojen saamisesta tähän käsittelyyn, ei siitä, milloin henkilöstä mahdollisesti tulee asiakas. Myöhemmin samalle henkilölle saatu uusi tietoryhmä tai uusi käyttötarkoitus voi edellyttää ilmoituksen täydentämistä. Vanha ilmoitus ei kata muutosta vain siksi, että rekisterinpitäjän nimi pysyy samana.
Täytetty ilmoitus kumppanilta saadusta yhteyshenkilöstä
Kuvitteellinen Kaariprojekti Oy järjestää asiakkaansa henkilöstölle tilatun työpajan. Asiakas toimittaa osallistujien nimet, työsähköpostiosoitteet ja työpajaryhmät. Kaariprojekti arvioi roolinsa ja tässä esimerkissä toimii näiden järjestelytietojen rekisterinpitäjänä. Sillä on dokumentoitu oikeutetun edun arvio työpajan osallistujaviestinnästä. Malli ei ole oletus siitä, että jokainen vastaava järjestely perustuu samaan perusteeseen.
Ilmoituksen ensimmäinen osa kuuluu: ”Kaariprojekti Oy käsittelee nimeäsi, työsähköpostiosoitettasi ja työpajaryhmääsi työpajan käytännön järjestelyjä ja osallistujaviestintää varten. Saimme tiedot työnantajasi Rantatekniikka Oy:n koulutusyhteyshenkilöltä 2. syyskuuta. Lähde ei ole julkinen. Käsittely perustuu oikeutettuun etuumme toteuttaa tilatun työpajan osallistujajärjestelyt.”
Toinen osa täsmentää esimerkin toimintaa: ”Järjestelytiedot poistetaan viimeistään kolmen kuukauden kuluttua työpajasta, ellei yksilöity selvittämätön asia edellytä rajattua säilyttämistä. Tämä aineisto ei sisällä laskutuksen tositteita. Tietoja käsittelevät nimetyt järjestelytyöntekijämme ja ohjeidemme mukainen viestipalvelu. Työpajan paikan järjestävälle Tilapaja Oy:lle annetaan osallistujien nimet kulun järjestämiseksi.” Säilytysratkaisu ja vastaanottajat ovat kuvitteellisen esimerkin tosiseikkoja, eivät valmiita yleissääntöjä.
Loppuosassa annetaan yrityksen todelliseen käyttöönottoon vaihdettavat yhteystiedot, oikeuksien käyttökanava, valitusmahdollisuus sekä soveltuvat siirtotiedot. Esimerkkipalvelussa ei tehdä 22 artiklassa tarkoitettuja automaattisia päätöksiä. Mallia käyttävän yrityksen on tarkistettava tämä omasta käsittelystään. Yhteystietojen ja oikeuksien puuttumista ei korvata sillä, että muu teksti on selkeää.
Kerroksellisessa toteutuksessa ensimmäinen osa ja suora linkki täydellisiin tietoihin toimitetaan henkilölle samassa viestissä. Tietosuojaselosteen malli auttaa järjestämään täydellisen sisällön. Olennaisia tai yllättäviä käyttötapoja ei piiloteta viimeisen liitteen loppuun.
Neljä poikkeusta ja niiden todelliset rajat
Artiklan 14 kohdassa 5 on neljä kirjaimin merkittyä poikkeusta. Niitä sovelletaan vain siltä osin kuin edellytykset täyttyvät. Ensimmäinen koskee tietoja, jotka henkilö on jo saanut. Rekisterinpitäjän pitää pystyä yksilöimään, mitä hänelle annettiin ja kattaako se nykyisen käsittelyn. Kumppanin yleinen tietosuojasivu ei sellaisenaan osoita tätä.
Toinen poikkeus koskee mahdotonta tiedottamista, kohtuutonta vaivaa tai artiklassa tarkoitettua käsittelyn tavoitteiden estymistä tai suurta vaikeutumista. Säännös kiinnittää erityistä huomiota yleisen edun arkistointiin, tutkimukseen ja tilastointiin sekä 89 artiklan suojatoimiin. Poikkeuksen käyttäminen edellyttää konkreettista arviointia. Markkinointilistan suuri koko tai viestien kustannus ei yksin tee informoinnista kohtuutonta.
Kun b alakohdan poikkeus soveltuu, toteutetaan asianmukaiset toimet henkilöiden oikeuksien, vapauksien ja oikeutettujen etujen suojaamiseksi, mukaan lukien tietojen saattaminen julkisesti saataville. Läpinäkyvyyssuuntaviivojen WP260 rev.01 suomalainen versio käsittelee poikkeuksia ja lähteen yksilöimistä. Julkaiseminen on tässä suojatoimi todellisen poikkeuksen yhteydessä; se ei itsessään synnytä poikkeusta.
Kolmas poikkeus edellyttää, että tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti sovellettavassa EU:n tai jäsenvaltion laissa ja laissa vahvistetaan asianmukaiset suojatoimet. Yleinen liiketoimintaa koskeva lupa ei vastaa tätä edellytystä. Neljäs koskee lakiin perustuvaa vaitiolovelvollisuutta, kuten lakisääteistä salassapitoa. Tavallinen sopimuksen salassapitolauseke ei yksin riitä.
Kaariprojekti arvioi aiemman informoinnin poikkeusta. Työnantaja on kertonut henkilöstölle vain ”ulkopuolisesta kouluttajasta” eikä Kaariprojektin tietoryhmistä, säilytyksestä tai oikeuksista. Päätös on, ettei annettu näyttö osoita kaikkien tarvittavien tietojen saamista. Yritys toimittaa oman ilmoituksensa sen sijaan, että merkitsee poikkeuksen hyväksytyksi oletuksen perusteella.
Lähdeketju, markkinointi ja myöhempi käyttö
Lähteenä ei pidä käyttää pelkkää sanaa ”kumppanit”, jos täsmällinen lähde on tiedossa. Jos useita lähteitä on yhdistetty eikä yksittäistä alkuperää voida selvittää, kerrotaan tämä ja annetaan merkitykselliset saatavilla olevat tiedot lähteiden luonteesta. Lähdehistorian säilyttäminen tietueen mukana helpottaa sekä informointia että virheiden selvittämistä.
Ostetun yhteystietolistan ilmoitus ei tee kampanjasta sallittua. Käsittelyperuste, tiedon hankinnan kohtuullisuus ja sähköisen viestinnän kansalliset säännöt ratkaistaan erikseen. Suoramarkkinointiin liittyvä vastustamisoikeus tuodaan näkyvästi esiin, ja kiellot toteutetaan myös listojen myöhemmissä tuonneissa.
Jos tiedot halutaan myöhemmin käyttää toiseen tarkoitukseen, 14 artiklan 4 kohta edellyttää ilmoittamaan uudesta tarkoituksesta ja asianmukaisista lisätiedoista ennen jatkokäsittelyä. Ilmoituksen muuttaminen ei yksin oikeuta yhteensopimatonta uutta käyttöä. Käyttötarkoitussidonnaisuuden arvio tehdään ennen uuden toiminnon käynnistämistä.
Miten toimitus osoitetaan?
Säilytä ilmoituksen versio, lähetysajankohta, käytetty kanava ja mahdollisen poikkeuksen perustelut tarpeellisessa laajuudessa. Jos viesti palautuu toimittamatta, käsittelyä ei merkitä automaattisesti valmiiksi. Selvitä sopiva muu kanava ja arvioi tilanne uudelleen; epäonnistunut lähetys ei sellaisenaan osoita informoinnin mahdottomuutta.
Lopullinen tarkistus vertaa ilmoitusta todellisiin tietovirtoihin. Ovatko nimetyt lähteet oikein, onko ensimmäinen luovutus huomioitu ja vastaako säilytyskuvaus järjestelmän toimintaa? Kun nämä kysymykset ratkaistaan ennen tiedon tuontia, ilmoitus toimii henkilön tiedonsaannin välineenä ja organisaation käyttökelpoisena päätöksenä.