Icon
Harhaluuloja liittyen rekisteröityjen tietosuoja-asetuksen mukaisiin oikeuksiin IABlogi

Harhaluuloja liittyen rekisteröityjen tietosuoja-asetuksen mukaisiin oikeuksiin

03.04.2019 | Mari Rusi

Tietosuoja-asetus tuli voimaan melkein vuosi sitten. Yrityksissä varauduttiin siihen, että rekisteröidyt alkavat heti käyttää aktiivisesti tietosuoja-asetuksen mukaisia oikeuksiaan. Monissa yrityksissä kuitenkin pyyntömäärät ovat olleet ennakoitua vähäisempiä. On kuitenkin käynyt ilmi, että rekisteröityjen käsitykset oikeuksistaan poikkeavat usein siitä, mitä ne tietosuoja-asetuksen mukaan ovat.

Rekisteröidyllä ei ole oikeutta saada yksityiskohtaista tietoa siitä, mitä tietoa on missäkin yrityksen järjestelmässä

Rekisteröidyllä on oikeus saada jäljennös käsiteltävistä tiedoista. Rekisteröidyllä ei ole oikeutta saada tietoa siitä, mitä erilaisia tietojärjestelmiä yrityksellä on käytössä ja mitä tietoja kuhunkin eri järjestelmään on tallennettu. Rekisteröidyn osoite voi olla esimerkiksi markkinointirekisterissä ja tilausrekisterissä, mutta riittää, että rekisteröidylle toimitetaan tieto siitä, että yritys käsittelee osoitetietoa. Käsittelyn tarkoitukset on kerrottava, mutta ne voidaan esittää jäljennöksen kanssa toimitettavassa tietosuojaselosteessa tai vastaavassa asiakirjassa.

Rekisteröidyllä ei ole absoluuttista oikeutta tulla unohdetuksi

Rekisteröidyllä ei ole yleistä oikeutta saada kaikki tietonsa poistetuksi yrityksen järjestelmistä, vaan oikeus koskee vain tilanteita, joista on säädetty tietosuoja-asetuksen 17 artiklassa. Tällainen tilanne on esimerkiksi se, että henkilötietojen käsittely perustuu rekisteröidyn suostumuksen ja rekisteröity peruuttaa suostumuksen. Vastaavasti jos henkilötietoja käsitellään ainoastaan suoramarkkinointitarkoituksiin ja henkilö vastustaa tietojen käsittelyä, tulee tiedot rekisteröidyn pyynnöstä poistaa järjestelmistä.

Sen sijaan, esimerkiksi työntekijän tietoja on säilytettävä varsin pitkään työsuhteen päättymisen jälkeenkin erinäisten lakisääteisten velvoitteiden täyttämiseksi (mm. palkkakirjanpito, työaikakirjanpito, työtodistuksen antamisvelvollisuus). Tietoja asiakkaalle tarjotuista palveluista on puolestaan tarpeen säilyttää niin kauan, kun asiakas voi esittää vaatimuksia palvelussa mahdollisesti olleen virheen johdosta ja laskut tulee säilyttää kirjanpitolaissa edellytetyn ajan. Näitä tietoja ei voida poistaa, vaikka rekisteröity poistopyynnön esittäisikin.

Kaikkea henkilötietojen käsittelyä ei voi vastustaa

Rekisteröidyllä on oikeus milloin tahansa vastustaa henkilötietojensa käsittelyä suoramarkkinointitarkoituksiin. Oikeus vastustaa henkilötietojen käsittelyä muutenkin on silloin, kun
i. käsittely perustuu yleistä etua koskevan tehtävän suorittamiseen tai rekisterinpitäjän tai kolmannen osapuolen oikeutettuun etuun; ja
ii. perusteena vastustamiselle on rekisteröidyn henkilökohtainen erityinen tilanne.

Jos kuitenkin rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn oikeudet ja vapaudet tai käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi, käsittelyä voidaan jatkaa vastustamisesta huolimatta.

Usein käsittelyn perusteena on sopimuksen täyttäminen. Tällöin vastustamisoikeutta ei ole muuhun käsittelyyn kuin käsittelyyn suoramarkkinointitarkoituksiin.

Suoramarkkinointi ei aina edellytä suostumusta

Tietosuojan korostaminen on johtanut siihen, että osa rekisteröidyistä olettaa, ettei mitään suoramarkkinointia saa kohdistaa rekisteröityyn ilman rekisteröidyn suostumusta. Näin ei ole, vaan ainoastaan sähköiseen suoramarkkinointiin eli tyypillisimmin sähköpostina ja tekstiviestinä lähetetty suoramarkkinointiin tarvitaan pääsääntöisesti suostumus. Tähänkin on vielä olemassa poikkeus koskien tilannetta, jossa yritys on saanut asiakkaana olevalta luonnolliselta henkilöltä sähköpostiviestiin tai tekstiviestiin liittyvän yhteystiedon tuotteen tai palvelun myynnin yhteydessä. Tällöin kyseinen yritys voi käyttää tätä yhteystietoa omien samaan tuoteryhmään kuuluvien tai muuten vastaavien tuotteiden ja palvelujen sähköisessä suoramarkkinoinnissa.

On syytä huomata, että tuleva EU:n ePrivacy -asetus tulee muuttamaan sähköistä suoramarkkinointia koskevaa sääntelyä.

Rekisteröidyllä ei ole oikeutta saada yksityiskohtaista kuvausta tietojen suojaamisesta

Jotkut rekisteröidyt pyytävät hyvinkin yksityiskohtaisia tietoja yrityksen tietoturvan toteuttamisesta tietosuoja-asetuksen perusteella varmistaakseen, että heidän tietonsa ovat turvassa. Tietosuoja-asetus ei kuitenkaan velvoita tällaisten tietojen antamiseen ja tietoturvan varmistamiseksi on myös tärkeää, ettei liian yksityiskohtaisia tietoja edes toimiteta rekisteröidyille.

Rekisteröidyllä ei ole oikeutta saada tietoa kaikista tietoturvaloukkauksista

Tietosuoja-asetuksen soveltamisen alkamisen jälkeen on esitetty myös vaatimuksia saada tiedot kaikista yrityksessä tapahtuneista tietoturvaloukkauksista. Tietosuoja-asetus ei kuitenkaan edellytä, että yritys raportoisi jokaisen tietoturvaloukkauksen kiinnostuneelle rekisteröidylle.

Pääsääntönä on se, että rekisteröidylle on ilman aiheetonta viivytystä ilmoitettava tietoturvaloukkauksesta, jos se todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille. Vähäinen riski ei siten edellytä ilmoittamista rekisteröidylle. Vaikka riski olisi todennäköisesti korkea, tiettyjen edellytysten täyttyessä ilmoitusta ei kuitenkaan vaadita.

Kirjoittaja Mari Rusi toimii asianajajana Eversheds asianajotoimisto Oy:ssa ja on IAB:n hallituksen jäsen.

22.03.2024

IAB Studio: IAB Finlandin kulissien takana - Haastattelussa Antti Kallio ja Pasi Raassina

Tässä jaksossa IAB Finlandin hallituksen puheenjohtaja Antti Kallio ja IAB:n toiminnanjohtaja Pasi Raassina paljastavat henkilökohtaisia digitaalisia suosikkejaan - mistä podcasteista he saavat inspiraationsa, mitkä uutissivustot pitävät heidät ajan tasalla, ja mitä sarjoja, elokuvia tai pelejä he rakastavat rentoutuessaan.

lue lisää

07.03.2024

Ohjelmallinen Gaming 2024

Ohjelmallisessa ostamisessa Gaming eli pelimainonta on yksi tämän vuoden kiinnostavimpia aiheita. Uutta inventaaria mainospaikoille on kertynyt runsaasti ja myös kohderyhmien osalta on monenlaista kattavuutta. Minun oli ilo haastatella RTL AdAlliancen asiantuntijaa Aleksi Ylitaloa aiheesta. Itse toimin ohjelmallisena asiantuntijana Kinessolla (IPG Mediabrands). Päätimme yhdessä Aleksin kanssa koostaa kaikille uutuutta huokuvan gaming aiheen ympärille key pointit.

lue lisää

05.03.2024

Mainostajat ja toimistot mainonnan hiilijalanjäljillä

Digitalisaation ja mainonnan alati kasvavassa maailmassa on yhä tärkeämpää keskittyä vastuullisuuteen. Tämä artikkeli tarjoaa ohjeistuksen siitä, miten yritykset voivat lähteä liikkeelle mainonnan hiilijalanjäljen kanssa.

lue lisää

28.02.2024

Pelimainonnan myytinmurtajat

Pelimainonta on nopeasti muuttumassa yhdeksi dynaamisimmista ja monipuolisimmista mainonnan muodoista, rikkoen perinteisiä käsityksiä ja avaten uusia ovia mainostajille eri toimialoilla. Viimeaikaiset tutkimukset ja tilastot haastavat vallalla olevat myytit, kuten käsityksen siitä, että gaming mainonta tavoittaa vain nuoria miehiä. Todellisuudessa casual gaming tai ajanvietepelaaminen on noussut pelaamisen suosituimmaksi muodoksi, joka tavoittaa laajasti eri ikäryhmiä ja sukupuolia. Yli 80%:n suomalaisista pelaa digitaalisia pelejä. Mainonnan strateginen sijoittelu peliympäristöihin tarjoaa brändeille ainutlaatuisen mahdollisuuden tavoittaa oman kohderyhmänsä. Tämä artikkeli purkaa yleisimpiä myyttejä pelimainonnasta, valottaen sen todellista potentiaalia ja monipuolisuutta markkinointikanavana. Kanavana joka kykenee tavoittamaan ja sitouttamaan kohderyhmiä uudella ja innovatiivisella tavalla.

lue lisää