GDPR - Mitä minun tulee tietää henkilö-/asiakastietojen säilytyksestä?

[#1]

MITÄ MINUN TULEE TIETÄÄ HENKILÖ-/ASIAKASTIETOJEN SÄILYTYKSESTÄ? 

EU:n tietosuojalain uudistuksen mukainen tietosuoja-asetus (GDPR) tulee voimaan 25.5.2018 alkaen. Tietosuoja-asetusta sovelletaan lähtökohtaisesti kaikkeen henkilötietojen käsittelyyn. Tietosuoja-asetus määrää säännökset rekisteröityjen oikeuksista sekä rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuuksista. Lain tarkoituksena on taata korkeatasoinen ja johdonmukainen suoja henkilötietojen käsittelyssä sekä helpottaa henkilötietojen vaihtoa viranomaisten kesken.

Tietosuoja-asetusta on tarkoitus  täydentää ja täsmentää kansallisella lainsäädännöllä. Tietosuojalain on tarkoitus tulla voimaan 25.5.2018.

Tiedoilla on myös säilytysvelvollisuus, kuten palkkojen ja verovapaiden matkakustannusten säilytysvelvollisuus, palkkakirjanpito on säilytettävä tilikauden päättymisestä kymmenen vuotta.

Mikäli ohjelma sisältää henkilötietoja, rekisterinpitäjän on huolehdittava tietosuoja-asetuksien mukaisten tietosuojaperiaatteiden noudattamisesta, henkilötietojen käsittelyjen kaikissa vaiheissa. Rekisterinpitäjällä on velvollisuus oikaista virheelliset tiedot ja poistettava tarpeettomat tai vanhentuneet henkilötiedot. Henkilötietojen oikaisu- tai poistopyynnön vastaanottamisen jälkeen on viipymättä, kuitenkin viimeistään kuukauden kuluessa ryhdyttävä niiden korjauksiin tai poistamiseen.

Tietosuojaperiaatteiden mukaan henkilötietoja on

• käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi
• käsiteltävä luottamuksellisesti ja turvallisesti
• kerättävä ja käsiteltävä tiettyä, nimenomaista ja laillista tarkoitusta varten
• kerättävä vain tarpeellinen määrä henkilötietojen käsittelyn tarkoitukseen nähden
• päivitettävä aina tarvittaessa ‒ epätarkat ja virheelliset henkilötiedot on poistettava tai oikaistava viipymättä
• säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

Yrityksessä on hyvä tehdä kartoitus henkilötietojen nykytilasta. Lisäksi kannattaa laatia suunnitelmat ja käytännöt henkilötietojen keräämisestä, päivittämisestä, säilyttämisestä ja poistamisesta. Yrityksen on voitava osoittaa noudattavansa rekisterinpitäjän velvollisuuksia, henkilötietolain mukaisesti. Yrityksen on varmistettava se, että henkilötietoja kysyvä taho on oikeutettu kysymään ja saamaan pyytämänsä tiedot, samoin on tietojen poistopyynnön suhteen. Yrityksessä on hyvä olla henkilö joka tuntee henkilötietolain vaatimukset henkilötietojen käsittelyn osalta ja vastaa niistä.