Tietosuojapalvelut

5G ja sen vaikutuksia tietosuojaan

5G-verkkojen yleistyessä organisaatioiden tulee arvioida tietojenkäsittelyyn liittyvät riskit uudestaan ja jopa aikaisempaa tarkemmin. EU:n yleinen tietosuoja-asetus (GDPR) edellyttää jo nyt riskiperusteista henkilötietojen käsittelyä, mutta jatkossa riskiarvioinnin merkitys kasvaa entisestään.

5G-verkko edellyttää entistä useampia tukiasemia, sillä 5G-verkon tukiasemien kantosäde on lyhyempi kuin 4G-verkossa. Lisäksi 5G-verkossa data ei läpäise seiniä samalla tavalla kuin 4G-verkossa, joten tukiasemia täytyy todennäköisesti sijoittaa myös rakennusten sisälle. Tästä syystä 5G-verkon käyttäjän mukanaan kantaman älylaitteen sijaintitiedot ovat todennäköisesti aikaisempaa yksityiskohtaisempia. Sijaintitiedot ovat henkilötietoja ja niiden käsittely niihin perustuvien palvelujen tuottamiseksi (esimerkiksi mainonta tai profilointi) edellyttää paikannettavan suostumusta. Ilman suostumusta ihmisiä saa paikantaa vain hätätapauksissa poliisin tai pelastusviranomaisen määräyksestä.

Mikäli työnantaja aikoo paikantaa työntekijää osana teknistä valvontaa, on siihen oltava asiallinen peruste ja tarve, esimerkiksi työturvallisuuden varmistaminen tai työn tehokas ohjaaminen. Ennen paikantamista on toteutettava tietosuojan vaikutustenarviointi, jonka avulla määritetään käsittelyn tarpeellisuus ja oikeasuhtaisuus, tunnistetaan riskit ja tarvittavat toimenpiteet riskien hallitsemiseksi. Työnantaja on myös velvollinen käymään paikantamisen käyttötarkoitukset läpi työpaikan yhteistoimintamenettelyssä ja laatimaan kirjalliset säännöt paikantamisesta.

Kansainvälisissä henkilötietojen siirroissa huomioitavaa

Kun henkilötietoja siirretään Euroopan talousalueen (ETA) ulkopuolelle kolmansiin maihin, EU:n yleisen tietosuoja-asetuksen (GDPR) takaama henkilötietojen suojan taso voi heiketä. Tästä voi aiheutua riskejä henkilöille, joiden tietoja siirretään. Siksi tietosuoja-asetuksessa määritellään edellytyksiä, joilla henkilötietoja voidaan siirtää ETA-alueen ulkopuolelle.

Henkilötietojen siirto ETA-alueen ulkopuolelle edellyttää muiden tietosuojalainsäädännön vaatimusten noudattamisen lisäksi erityistä siirtoperustetta, esimerkiksi:

• komission vastaavuuspäätös tietosuojan riittävyydestä kohdemaassa
• komission hyväksymät vakiosopimuslausekkeet 

Kun siirtoperuste on määritelty, tietoja siirtävien organisaatioiden on tarkistettava tapauskohtaisesti, taataanko siirrettäville henkilötiedoille kolmannen maan lainsäädännössä sellainen henkilötietojen suojan taso, joka vastaa ETA-alueen tasoa. Riskiarviointiin käytetään vaikutustenarviointia (Transfer Impact Assessment, TIA).

Jos käytetty siirtoperuste ei riitä takaamaan EU:n vaatimuksia vastaavaa tietosuojan tasoa, sitä voidaan täydentää asianmukaisilla suojatoimilla, esimerkiksi tietojen salauksella tai pseudonymisoinnilla. Ellei täydentäviä suojatoimia löydy riittävän tietosuojan takaamiseksi, ei siirtoa voi tehdä.

Pilvipalvelut ja tietosuoja

Pilvipalveluissa käsiteltävien tietojen käsittely tai säilytys sekä pilvipalvelun tuottamiseen liittyvät ylläpito- ja muut hallinnointitoimet voivat sijaita maantieteellisesti eri sijainneissa, myös Euroopan talousalueen ulkopuolella sijaitsevilla palvelimilla. Tällöin henkilötietojen käsittelyn tulee tapahtua EU:n yleisen tietosuoja-asetuksen (GDPR) mukaisesti. Eri sijainteihin voi liittyä erilaisia riskejä.

Moni yritys käyttää yhdysvaltalaisten Amazonin, Microsoftin ja Googlen pilvipalveluita. Myös Teamsin, Skypen ja Office 365:n käyttö pilvessä tarkoittaa, että henkilötietoja käsitellään pilvessä. Aiemmin henkilötietojen käsittely näissä pilvipalveluissa oli ongelmatonta, sillä Yhdysvaltojen ja EU:n välillä oli Privacy Shield -järjestely, jonka EU-tuomioistuin kuitenkin kumosi kesällä 2020 (ns. Schrems II -päätös).

Henkilötietojen siirto ETA-alueelta Yhdysvaltoihin edellyttää muiden tietosuojalainsäädännön vaatimusten noudattamisen lisäksi erityistä siirtoperustetta, käytännössä useimmiten komission hyväksymiä vakiosopimuslausekkeita, tapauskohtaista riskiarviointia (Transfer Impact Assessment, TIA) sekä asianmukaisia suojatoimia, mm. henkilötietojen salausta ja pseudonymisointia. Pilvipalveluntarjoajalla on tyypillisesti pääsy kaikkeen palvelussa selväkielisessä muodossa käsiteltävään tietoon. 

Pilvipalveluissa käsiteltävien henkilötietojen suojaus voidaan jakaa rekisterinpitäjän ja pilvipalveluntarjoajan (henkilötietojen käsittelijän) vastuulle kuuluviin osuuksiin. Rekisterinpitäjän vastuulle sisältyy tyypillisesti sekä pilvipalvelun asiakasjärjestelmän osuus että rekisterinpitäjän muiden tiedonkäsittely-ympäristöjen osuus, esimerkiksi pääsyoikeuksien määrittäminen, vahva tunnistautuminen ja valvonnan automatisointi. Joidenkin tietojen suojaamisen arvioinnissa saattaa olla riittävää nojautua esimerkiksi pilvipalveluntarjoajan tuottamaan itsearviointiin, mahdollisiin muihin sertifiointeihin sekä sopimusteknisiin sitoumuksiin. Joidenkin tietojen suojaamisen arvioinnissa on perusteltua edellyttää lisäksi ulkopuolisen riippumattoman tahon tekemää todennusta. On suositeltavaa pyrkiä laatimaan sopimus yhdysvaltalaisen emoyhtiön sijasta eurooppalaisen tytäryhtiön kanssa, jolloin tiedot sijaitsevat eurooppalaisissa konesaleissa.

Euroopan komissio pääsi maaliskuussa 2022 periaatetasolla Yhdysvaltojen kanssa sopimukseen uudesta tietosuojaviitekehyksestä (Trans-Atlantic Data Privacy Framework), jonka tarkoituksena on varmistaa, että henkilötietojen siirtoja Yhdysvaltoihin voitaisiin edelleen jatkaa. Uuden säännöstön voimaantulon aikataulu on yhä epäselvä.

Lasten henkilötietojen suoja harrastustoiminnassa

Maassamme on lukuisia seuroja ja yhdistyksiä, jotka tarjoavat alakouluikäisille monipuolista vapaa-ajan harrastustoimintaa sekä liikunnan että taiteen parissa. Seurat ja yhdistykset sekä niissä toimivat opettajat, valmentajat ja monet vapaaehtoiset käsittelevät lasten ja nuorten henkilötietoja harrastuksissa, tapahtumissa ja kilpailuissa. He kaikki ovat tärkeässä roolissa lasten ja nuorten henkilötietojen suojan toteutumisessa.

Seurat ja yhdistykset eivät kuitenkaan aina ole tietoisia tietosuojan merkityksestä ja omista velvollisuuksistaan. Myös tietotekniset ja tietoturvaan liittyvät taidot voivat olla puutteellisia. Toisinaan käsitellään arkaluonteisiakin tietoja. Alaikäisten parissa toimivien seurojen ja yhdistysten lisäksi myös lapset ja nuoret itse sekä heidän huoltajansa tarvitsevat lisää selkokielistä tietoa ja tukea huolehtiakseen lasten ja nuorten henkilötietojen suojasta ja neuvoakseen heitä tietosuojaan liittyvissä asioissa.

Kävimme läpi satunnaisotannalla avointa harrastetoimintaa alaikäisille tarjoavien taidekoulujen ja liikuntaseurojen verkkosivuja selvittääksemme, millä tavoin he informoivat lapsia, nuoria ja heidän huoltajiaan henkilötietojen käsittelystä.

Havaitsimme, että monilla verkkosivuilla kerrotaan evästekäytännöistä, mutta ei mainita muusta henkilötietojen käsittelystä, käsittelyn tarkoituksesta ja oikeusperusteesta, tietojen säilytysajoista, mahdollisista kansainvälisistä tietojensiirroista tai rekisteröityjen oikeuksista. Sivuilta löytyy runsaasti vanhentunutta tietoa. Joillakin sivuilla viitataan jo kumotun henkilötietolain mukaiseen rekisteriselosteeseen. Monet myös ilmoittavat käyttävänsä Google Analytics -palvelua. Eräässä tietosuojaselosteessa ilmoitetaan, että henkilötietoja voidaan siirtää EU- ja ETA-alueen ulkopuolelle, mutta ainoastaan Privacy Shield - järjestelyyn sitoutuneille yrityksille. Lisäksi käsittelyn käyttötarkoitus ja oikeusperuste näyttävät usein sekoittuvan keskenään. Tiedostamme myös sen, että kaikkein pienimmillä seuroilla ja yhdistyksillä ei välttämättä edes ole verkkosivuja tai some-kanavaa käytössään.

Tietoyhteiskunnan kehittämiskeskus ry Tieke on käynnistänyt kaksivuotisen hankkeen ”Tietosuoja haltuun harrastustoiminnassa”, jonka tuotoksia ja viestintää kannattaa seurata. Myös meidän asiantuntijamme ovat tukenasi tietosuoja-asioissa, joten tarvitessasi apua älä epäröi ottaa meihin yhteyttä.