Milloin saan käsitellä henkilötietoja?

Kuusi oikeusperustaa, ja suostumus on vain yksi niistä

Henkilötietoja voidaan käsitellä silloin, kun yksi kuudesta oikeusperusteesta asetuksen (EU) 2016/679 6 artiklassa on sovellettavissa. Suostumus on tunnetuin oikeusperusta, mutta se ei ole ainoa eikä käytännössä usein ilmeisin: käsittely voi olla laillista myös siksi, että se on välttämätöntä sopimuksen täytäntöön panemiseksi, koska siihen liittyy lakisääteinen velvoite, elintärkeiden etujen suojaamiseksi, yleisen edun kannalta tärkeän tehtävän hoitamiseksi tai koska organisaation oikeutettu etu painaa enemmän kuin henkilön etu olla käsittelemättä.

Verkkokaupassa tai palveluntarjoajalla näkyy yleensä kolme näistä oikeusperusteista: sopimus (asiakas tilaa jotakin, ja tietoja tarvitaan toimittamiseen), lakisääteinen velvoite (lasku, joka on pidettävä verolainsäädännön perusteella) ja oikeutettu etu (esimerkiksi verkkosivuston turvallisuus tai uutiskirje olemassa oleville asiakkaille). Suostumus tulee kyseeseen silloin, kun mikään muu oikeusperusta ei sovellu, kuten markkinoinnissa ihmisille, jotka eivät vielä ole asiakkaita — ja siihen suostumukseen sovelletaan sitä, että sen on oltava spesifinen, vapaaehtoisesti annettu ja osoitettavissa.

Tämä on säädettynä asetuksen (EU) 2016/679 6 artiklassa

Asetuksen (EU) 2016/679 6 artiklan 1 kohdassa luetellaan kuusi oikeusperustaa kirjaimissa a–f; mikä oikeusperusta soveltuu tiettyyn käsittelyyn, määräytyy käsittelyn luonteen perusteella eikä valinnasta, joka on tehty jo etukäteen. Tietosuojaviranomainen antaa verkkosivustollaan lisätietoja näiden oikeusperusteiden soveltamisesta käytännössä.