Yhdistyksen tietosuoja alkaa siitä, että jäsenluettelo, tapahtumien osallistujat, vapaaehtoisten työvuorot ja lahjoittajien tiedot erotetaan toisistaan. Sama henkilö voi esiintyä kaikissa neljässä, mutta yhdistys ei saa sen vuoksi käyttää jokaista tietoa jokaiseen tarkoitukseen. Pieni koko tai vapaaehtoistyö ei vapauta henkilötietojen käsittelyn velvoitteista. Toisaalta yhdistyksen ei tarvitse rakentaa suuren konsernin hallintoa, jos sen toiminnan riskit voidaan hallita yksinkertaisilla menettelyillä.
Tässä oppaassa kuvitteellinen Korjausilta ry järjestää aikuisille yhteisiä korjausiltoja. Sillä on 80 jäsentä, 12 vapaaehtoista ja muutama ulkopuolinen tapahtumaosallistuja. Täytetty esimerkki näyttää, mitä hallitus päättää tietojen keräämisestä, jäsenen tiedonsaannista, palveluntarjoajasta ja poistamisesta. Esimerkin määräajat ja ratkaisut ovat tämän rajatun toiminnan valintoja, eivät kaikkia yhdistyksiä koskevia lakisääteisiä säilytysaikoja.
Kuka vastaa jäsenluettelosta?
Yhdistyslain 11 § edellyttää jäsenluetteloa, johon merkitään jäsenen täydellinen nimi ja kotipaikka. Rekisterinpitäjä on yhdistys. Rekisteröidyssä yhdistyksessä hallitus vastaa rekisterinpitäjän tehtävien hoitamisesta. Rekisteröimättömässä yhdistyksessä vastuu kuuluu lain kuvaamalla tavalla puheenjohtajalle tai muulle yhdistyksen asioita hoitavalle henkilölle. Jäsensihteerin nimeäminen käytännön ylläpitäjäksi ei muuta rekisterinpitäjää sihteeriksi.
Korjausilta ry:n hallitus nimeää jäsensihteerin ylläpitäjäksi ja varahenkilön tämän poissaoloja varten. Rahastonhoitaja käsittelee jäsenmaksuja. Tapahtumavastaavat näkevät vain oman tapahtumansa osallistujat. Hallitus hyväksyy käyttöoikeudet, käytettävän palvelun sekä yhteisen osoitteen tietosuojapyyntöjä varten. Päätökset kirjataan pöytäkirjaan niin, ettei pöytäkirjaan samalla kopioida tarpeettomasti jäsenten yksityisiä tilanteita.
Lakisääteinen jäsenluettelo on vain yksi käsittelytoimi. Yhdistyksen käsittelytoimien selosteeseen kirjataan erikseen esimerkiksi tapahtumien hallinta ja vapaaehtoisten yhteystiedot. Alle 250 työntekijän poikkeus ei ole yleinen vapautus selosteesta: säännöllinen jäsenhallinta ei ole satunnaista käsittelyä. Velvoitetta arvioidaan GDPR:n 30 artiklan ehtojen mukaan.
Täytetty jäsenlomake: mitä todella tarvitaan?
Korjausilta poistaa vanhasta liittymislomakkeesta henkilötunnuksen, ammatin ja avoimen kysymyksen terveydentilasta. Tavallisen jäsenyyden hoitaminen ei tässä esimerkissä edellytä niitä. Kotipaikalla tarkoitetaan kotikuntaa; lain vaatimus ei sellaisenaan tee täydellisestä katuosoitteesta pakollista. Postiosoite voidaan tarvita erikseen, jos jäsen haluaa paperisen kokouskutsun eikä sitä voida muuten toimittaa asianmukaisesti.
| Kenttä | Esimerkin ratkaisu | Käyttö ja peruste |
|---|---|---|
| Täydellinen nimi | Pakollinen | Lakisääteinen jäsenluettelo, 6(1)© |
| Kotikunta | Pakollinen | Lakisääteinen jäsenluettelo, 6(1)© |
| Sähköposti tai postiosoite | Valittu yhteystapa | Jäsenyyden käytännön viestintä, erikseen arvioitu oikeutettu etu |
| Liittymis- ja päättymispäivä | Ylläpitäjän merkintä | Jäsenyyden tilanteen selvittäminen |
| Jäsenmaksun tila | Rajattu maksutieto | Maksujen seuranta; tositteiden säilytys arvioidaan erikseen |
| Puhelinnumero | Ei tavalliseen jäsenluetteloon | Vapaaehtoisen työvuoroviestintään erillinen tarpeellisuusarvio |
| Henkilötunnus | Ei kerätä | Tässä toiminnassa ei yksilöintitarvetta, joka perustelisi keräämisen |
Yhdistys ei nimeä kaikkia kenttiä lakisääteisiksi vain siksi, että jäsenluettelosta säädetään laissa. Lisätietojen käsittelyperuste valitaan käyttötarkoituksen mukaan. Korjausilta dokumentoi jäsenviestinnän oikeutetun edun arvioinnissa sen, että jäsen odottaa saavansa kutsut ja tiedon toiminnan muutoksista. Tietoja ei luovuteta mainoskumppaneille, yhteystietoihin pääsee rajattu joukko ja jäsen voi ilmoittaa uuden yhteystavan.
Sopimusperuste voi soveltua tiettyyn jäsenelle tarjottavaan palveluun, jos sen edellytykset täyttyvät. Pelkkä jäsenyyden tai yhdistyksen sääntöjen olemassaolo ei kuitenkaan ratkaise kaikkien käsittelytoimien perustetta. Suostumusta ei pyydetä lain edellyttämän jäsenluettelon ylläpitämiseen, koska luetteloa ei silloin voida lopettaa suostumuksen peruuttamisen perusteella.
Jäsenen oikeus nähdä luettelo ei tarkoita avointa verkkorekisteriä
Yhdistyslain nykyinen 11 § erottaa tiedonsaannin tasot. Jäsenelle on pyydettäessä varattava tilaisuus tutustua täydellisiin nimiin ja kotipaikkoihin. Lisäksi jäsenellä, joka osoittaa etunsa yhdistyksen jäsenenä sitä vaativan, on oikeus nähdä myös muu luetteloon merkitty tieto. Muuhun luovuttamiseen sovelletaan tietosuoja-asetusta ja tietosuojalakia. Siksi kumpikaan yksinkertaistus ei riitä: jäsen ei automaattisesti saa kaikkia kenttiä, mutta muita tietoja ei myöskään voi aina kieltää vetoamalla tietosuojaan.
Korjausillan jäsen pyytää luetteloa tarkistaakseen kokouksen jäsenpohjan. Sihteeri varmistaa pyytäjän jäsenyyden ja järjestää pääsyn nimiin ja kotikuntiin. Jos pyytäjä haluaa lisäksi kaikkien sähköpostiosoitteet, sihteeri pyytää selvityksen siitä, miten hänen etunsa jäsenenä edellyttää näkemistä. Hallitus ratkaisee lisätietojen pyynnön tämän selvityksen perusteella. Se ei lähetä koko järjestelmävientiä, joka sisältäisi myös maksuhuomautukset ja sisäiset ylläpitomerkinnät.
Tämä jäsenyyteen perustuva oikeus on eri asia kuin henkilön oikeus tarkastaa omat henkilötietonsa. Omia tietoja koskeva pyyntö voi ulottua myös tapahtumajärjestelmään ja yhdistyksen sähköposteihin. Jäsenluettelon julkaiseminen avoimella verkkosivulla taas on oma luovutustilanteensa, jota sisäinen tutustumisoikeus ei sellaisenaan oikeuta.
Kerro käytännöt silloin, kun ihminen antaa tiedot
Korjausillan liittymislomakkeella on lyhyt yhteenveto ja linkki täydellisiin tietosuojatietoihin. Yhteenveto kuuluu: ”Korjausilta ry käyttää nimeäsi ja kotikuntaasi jäsenluettelossa sekä valitsemaasi yhteystietoa jäsenyyden hoitamiseen. Jäsenmaksut käsitellään erillisessä maksuseurannassa. Emme liitä sinua yhteistyökumppanien markkinointilistoille. Tietosuojapyynnöt voi lähettää yhdistyksen jäsensihteerille lomakkeessa ilmoitettuun osoitteeseen.”
Yhteenveto ei yksin korvaa kaikkia 13 artiklan tietoja. Täydellisessä ilmoituksessa ovat muun muassa yhdistyksen yhteystiedot, tarkoitukset, perusteet, oikeutetut edut, vastaanottajat, mahdolliset kansainväliset siirrot, säilytysajat tai niiden määräytyminen sekä soveltuvat oikeudet. Tietosuojaselosteen malli auttaa kokoamaan nämä ilman, että samaan lomakkeeseen piilotetaan yleistä hyväksymisruutua kaikelle käsittelylle.
Jos tapahtuman osallistujat tulevat toiselta järjestäjältä, tietojen lähde ja 14 artiklan velvoitteet on arvioitava erikseen. Pelkkä kumppanin lupaus ”kaikki on hoidettu” ei osoita, mitä osallistujille on kerrottu. Muualta saatujen tietojen informointi auttaa erottamaan suoraan osallistujalta kerätyn tiedon kumppanilta saadusta listasta.
Vapaaehtoiset, arkaluonteinen jäsenyys ja valokuvat
Vapaaehtoisen työvuorolistaan merkitään nimi, sovittu vuoro ja yhteydenottotapa. Kaikkien vapaaehtoisten ei tarvitse nähdä toistensa kotiosoitteita. Korjausilta jakaa suljetussa ryhmässä vuorot ja yhdistyksen yhteisen päivystysnumeron. Vaihtoehdoksi tarjotaan yhteydenotto vuorovastaavaan, jotta henkilökohtaista puhelinnumeroa ei tarvitse jakaa koko ryhmälle.
Kaikki yhdistysten jäsenyydet eivät ole erityisiä henkilötietoryhmiä, mutta esimerkiksi poliittinen, uskonnollinen tai ammattiliittoon liittyvä jäsenyys voi paljastaa tällaisia tietoja. GDPR:n 9(2)(d) koskee määrätyin ehdoin voittoa tavoittelemattoman, poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän yhteisön laillista toimintaa. Siihen liittyvät jäsenet, entiset jäsenet tai tarkoituksiin liittyvä säännöllinen yhteydenpito ja asianmukaiset suojatoimet; tietoja ei saa luovuttaa yhteisön ulkopuolelle ilman rekisteröityjen suostumusta tämän poikkeuksen nojalla. Se ei ole kaikkien harrastusyhdistysten yleinen terveystietolupa.
Tietosuojavaltuutetun erityisiä henkilötietoryhmiä koskeva ohje auttaa tunnistamaan lisäedellytyksen. Sen rinnalle tarvitaan myös 6 artiklan peruste. Korjausillan tavallinen jäsenluettelo ei sisällä terveystietoja. Tapahtuman mahdollinen esteettömyyspyyntö käsitellään rajattuna järjestelynä, ei kaikkien hallituksen jäsenten luettavana diagnoosikenttänä.
Valokuvissa yhdistys erottaa tapahtuman järjestämisen ja julkisen mainonnan. Korjausilta pyytää esimerkissään vapaaehtoisen, yksilöidyn suostumuksen tunnistettavan lähikuvan julkaisemiseen yhdistyksen verkkosivulla. Kieltäytyminen ei estä osallistumista. Kuvaajalle kerrotaan etukäteen, ketkä eivät halua kuvaan, ja julkaisuun valitut kuvat tarkistetaan ennen latausta. Tämä on esimerkin valittu menettely, ei väite, että jokainen tapahtumakuva edellyttäisi kaikissa oloissa suostumusta.
Jäsenpalvelu, uutiskirje ja maksupalvelu
Yhdistys ei saa olettaa, että tarpeellisen kokouskutsun vastaanottaminen tarkoittaa suostumusta kaikkeen sähköiseen suoramarkkinointiin. Viestin todellinen tarkoitus ratkaisee. Korjausilta pitää jäsenyyden hallintaan liittyvän viestinnän erillään vapaaehtoisesta uutiskirjeestä, jossa mainostetaan maksullisia yleisötapahtumia. Uutiskirjeen edellytykset arvioidaan sähköisen viestinnän erityissääntöjen mukaan, eikä jäsenmaksu automaattisesti luo poikkeusta ennakkosuostumuksesta. Soveltamista avaa tietosuojavaltuutetun suoramarkkinoinnin ohje.
Pilvipohjainen jäsenpalvelu voi toimia henkilötietojen käsittelijänä yhdistyksen ohjeiden mukaan. Tällöin tarvitaan 28 artiklan käsittelysopimus. Maksupalvelu puolestaan saattaa käsitellä joitakin tietoja omien lakisääteisten velvoitteidensa vuoksi rekisterinpitäjänä. Toimittajaa ei luokitella yksinomaan laskun tai markkinointinimen perusteella. Roolien käytännön arviointi tehdään kullekin toiminnolle.
Korjausilta tarkistaa ennen palvelun käyttöönottoa viennin, poistamisen, varmuuskopiot, alikäsittelijät ja tukihenkilöstön pääsyn. EU:ssa sijaitseva palvelin ei yksin osoita, ettei tietoja siirretä kolmansiin maihin. Selvityksessä huomioidaan myös etätuki. Hallitus säilyttää vastauksen sekä sopimuksen version; pelkkä verkkosivun tietoturvalogo ei korvaa tietoa todellisesta palveluketjusta.
Säilyttäminen ja hallituksen vaihtuminen
Korjausilta poistaa eronneen henkilön aktiivisesta lähetyslistasta, kun jäsenyys on päättynyt ja tarvittavat loppuviestit on toimitettu. Avoin jäsenmaksuasia käsitellään rajatussa maksuseurannassa. Kirjanpitoaineiston lakisääteinen säilyttäminen arvioidaan kyseisen aineiston mukaan; se ei oikeuta säilyttämään koko jäsenprofiilia saman ajan. Mahdollinen riita puolestaan perustelee vain sen selvittämiseen tarpeellisen aineiston erillisen säilyttämisen.
Yhdistys valitsee tavallisen, riidattoman tapahtuman osallistujalistan tarkistettavaksi kahden viikon kuluttua tapahtumasta. Kun laskutus ja käytännön jälkityöt on hoidettu, lista poistetaan. Pysyvä osallistujahistoria ”varmuuden vuoksi” jätetään muodostamatta. Tarkistus on esimerkin toiminnallinen päätös. Säilytyksen rajoittaminen edellyttää, että myös perusteltu pidempi säilytys loppuu tarpeen lakatessa.
Hallituksen vaihtuessa vanha puheenjohtaja ei luovuta henkilökohtaisen sähköpostinsa salasanaa seuraajalle. Yhdistyksen yhteiset aineistot siirretään hallitusti yhdistyksen hallitsemaan palveluun, uuden vastuuhenkilön pääsy tarkistetaan ja vanhat oikeudet poistetaan. Erillinen luovutusmerkintä kertoo, mitä aineistoa siirtyi, mitä vanhoja kopioita poistettiin ja mitkä avoimet tietopyynnöt jäivät hoidettaviksi.
Tarkastuspyynnön koonti kolmesta paikasta
Esimerkin jäsen Leena pyytää kaikki häntä koskevat tiedot. Jäsensihteeri löytää jäsenpalvelusta nimen, kotikunnan, yhteystavan ja jäsenyyden päivämäärät. Rahastonhoitaja löytää maksumerkinnän ja yhden jäsenmaksun oikaisua koskevan sähköpostin. Tapahtumavastaava löytää vielä tulevan korjausillan ilmoittautumisen. Vapaaehtoisten listasta ei löydy Leenaa, joten siihen ei luoda uutta merkintää vain pyynnön käsittelyn vuoksi.
Sihteeri kokoaa henkilötiedot ymmärrettävään vastaukseen ja antaa tiedot myös käsittelyn tarkoituksista ja muista soveltuvista tarkastusoikeuden kohdista. Hän ei lähetä koko hallituksen pöytäkirjaa, jossa on muiden henkilöiden asioita, jos Leenaa koskevat tiedot ja niiden ymmärtämiseksi tarpeellinen asiayhteys voidaan toimittaa muuten. Muiden oikeuksien suojaaminen ei silti oikeuta jättämään kaikkea aineistoa toimittamatta. Pyyntö kirjataan määräajan seuraamiseksi; lähtökohtainen vastausaika on kuukausi, ja mahdollinen jatko edellyttää 12 artiklan ehtojen täyttymistä sekä ajoissa annettua ilmoitusta.
Koonti paljastaa, että vanha vapaaehtoinen on säilyttänyt edellisen vuoden osallistujaluettelon henkilökohtaisella tietokoneellaan. Hallitus ei ilmoita tietopyynnön olevan valmis, ennen kuin myös tämän kopion tilanne on selvitetty. Tiedoston tarpeellisuus arvioidaan ja tarpeeton kopio poistetaan. Samalla vapaaehtoisten perehdytykseen lisätään käytännön ohje: osallistujatietoja käytetään yhdistyksen rajatusta näkymästä, eikä vanhoja vientitiedostoja säilytetä omaa seuraavaa tapahtumaa varten.
Jos Leena ilmoittaa kotikuntansa muuttuneen, päivitys tehdään jäsenpalveluun ja tarpeellisiin aktiivisiin kopioihin. Historiallista, tapahtumahetkellä oikeaa kirjanpitotositetta ei muuteta nykyosoitteeseen vain yhtenäisyyden vuoksi. Oikaisuoikeuden toteuttaminen edellyttääkin erottamaan virheellisen tiedon tiedosta, joka kuvaa oikein aikaisempaa tilannetta.
Täytetty poikkeamatilanne ja hallituksen päätös
Sihteeri huomaa lähettäneensä tapahtumalistauksen väärälle vapaaehtoiselle. Tiedostossa oli nimiä ja yhteystietoja, ei terveystietoja. Hän ilmoittaa heti nimetylle vastuuhenkilölle, pyytää vastaanottajaa poistamaan tiedoston ja selvittää, onko sitä jaettu edelleen. Yhdistys dokumentoi tapahtuman, tiedot, vastaanottajan vastauksen ja riskinarvioinnin. Pelkkä poistopyyntö ei osoita, että riski olisi varmasti poistunut.
Viranomaisilmoituksen ja henkilöille ilmoittamisen edellytykset arvioidaan erikseen GDPR:n 33 ja 34 artiklan mukaan. Tietoturvaloukkauksen käsittelyprosessi kertoo myös 72 tunnin määräajan soveltumisesta. Hallitus korjaa viennin niin, että tapahtumavastaava saa jatkossa vain osallistumisen kannalta tarpeelliset kentät.
Lopullisessa päätöksessään Korjausilta hyväksyy rajatun jäsenlomakkeen ja käyttöoikeudet, siirtää vapaaehtoisten vuoroviestinnän erilliseen näkymään ja hylkää jäsenrekisterin avoimen verkkolinkin. Se nimeää sihteerin tietopyyntöjen vastaanottajaksi ja rahastonhoitajan maksuaineiston säilytyksen tarkistajaksi. Päätös on toteutettavissa myös pienessä yhdistyksessä: jokaiselle tiedolle on tarkoitus, jokaiselle tehtävälle tekijä ja jokaiselle luovutukselle arvioitava peruste. Oikeudellinen kehys tulee yleisestä tietosuoja-asetuksesta, mutta toimivat rajaukset syntyvät yhdistyksen omien tietovirtojen tuntemisesta.