Käsittelyä koskevat perusperiaatteet

Henkilötietojen käsittelyssä on noudatettava seuraavia tietosuoja-asetuksen määrittämiä periaatteita:

• lainmukaisuus, kohtuullisuus ja läpinäkyvyys,

• käyttötarkoitussidonnaisuus,

• tietojen minimointi,

• täsmällisyys,

• säilytyksen rajoittaminen,

• eheys ja luottamuksellisuus sekä

• osoitusvelvollisuus.

Lainmukaisuus, kohtuullisuus ja läpinäkyvyys

Rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta. Sama velvollisuus on sillä, joka itsenäisenä elinkeinonharjoittajana toimii rekisterinpitäjän lukuun.

Henkilöille on oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käsitellään. Käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä. Informoinnissa on käytettävä selkeää ja yksinkertaista kieltä etenkin, jos rekisteröidyt ovat lapsia tai muita heikommassa asemassa olevia ryhmiä.

Henkilötietojen on oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Tämä edellyttää erityisesti sitä, että henkilötietojen säilytysaika on mahdollisimman lyhyt.

Käyttötarkoitussidonnaisuus

Henkilötiedot tulee kerätä tiettyä, nimenomaista ja laillista käyttötarkoitusta varten. Henkilötietojen käsittelyn nimenomaiset tarkoitukset on määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä yksiselitteisesti ja lainmukaisesti.

Henkilötietojen myöhempi käsittely ei myöskään saa lähtökohtaisesti olla yhteensopimaton näiden alkuperäisten tarkoitusten kanssa. Tietoja saadaan myöhemmin käyttää määritellystä tarkoituksesta poikkeavissa yhteyksissä vain, jos se on muuttuneiden olosuhteiden vuoksi tarpeen ja muuttunut käyttötarkoitus ei poikkea olennaisesti alkuperäisestä. Jo kerättyjen tietojen käyttäminen myöhemmin uusiin tarkoituksiin ei näin ollen ole pääsääntöisesti mahdollista ilman käyttäjän suostumusta.

Tietojen minimointi

Kerättyjen ja käsiteltävien henkilötietojen tulee olla asianmukaisia ja olennaisia sekä rajoitettuja siihen, mikä on käyttötarkoitusta varten tarpeellista. Lisäksi on pyrittävä rajoittamaan kerättävien tietojen määrää sekä käyttöä, esimerkiksi käyttöoikeuksia rajaamalla.

Täsmällisyys

Henkilötietojen on oltava täsmällisiä ja päivitettyjä. Rekisterinpitäjän on toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä.

Säilytyksen rajoittaminen

Henkilötiedot, joita ei enää tarvita, on hävitettävä, ellei tietojen säilytys ole perusteltua lainsäädännön velvoitteista, esim. kirjanpitolaista, johtuen. Henkilötietojen poistamisen prosessi on myös syytä suunnitella ja kuvata.

Eheys ja luottamuksellisuus

Henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus. Velvollisuus edellyttää suojaamista luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia.

Osoitusvelvollisuus

Rekisterinpitäjä vastaa siitä, että tietosuoja-asetuksen mukaisia periaatteita on noudatettu kaikissa henkilötietojen käsittelyvaiheissa. Periaatteiden noudattaminen pitää pystyä osoittamaan. Rekisterinpitäjän on arvioitava, mitä periaatteet käytännössä tarkoittavat ja miten ne toteutuvat omassa toiminnassa. Periaatteiden noudattamisen osoittaminen edellyttää rekisterinpitäjältä henkilötietojen käsittelyn aiempaa tarkempaa suunnittelua ja dokumentointia. Tietosuoja-asetuksessa on osoitusvelvollisuutta koskevia vaatimuksia, jotka riippuvat muun muassa organisaation koosta ja henkilötietojen käsittelyn laajuudesta. Tällaisia vaatimuksia ovat esimerkiksi seloste käsittelytoimista ja muut tietojen käsittelyä koskevat informointikäytännöt.