Mitä yksityisyysilmoituksessa on oltava?

Tietosuojaselostteen kiinteät osat

Tietosuojaselostteessa mainitaan useimmissa tapauksissa, kuka käsittelee tietoja, miksi, ja millaisia oikeuksia rekisteröidyllä on asiassa. Käytännössä kyse on tietoja käsittelevän organisaation henkilöllisyydestä ja yhteystiedoista sekä tietosuojavaltuutetun yhteystiedoista, jos sellainen on määrätty. Lisäksi siinä kerrotaan, mihin tarkoituksiin tietoja käytetään ja millä oikeusperusteella — ajattele sopimuksen täyttämistä, oikeudellista velvoitetta tai oikeutettua etua, jolloin tämä etu on myös nimettävä.

Lisäksi selostteessa on ilmoitettava, kenelle tiedot luovutetaan, menevät ne EU:n ulkopuolelle, ja kuinka kauan niitä säilytetään — tai jos kiinteää määräaikaa ei voi antaa, mitä kriteerejä sille käytetään. Myös rekisteröidyn oikeudet ovat esillä: pääsy, oikaisu, poisto, käsittelyn rajoitus, vastustaminen, siirrettävyys ja mahdollisuus peruuttaa annettu suostumus. Lopuksi selostteessa mainitaan oikeus tehdä valitus valvontaviranomaiselle, ja — jos se on relevanttia — onko tietojen toimittaminen oikeudellinen tai sopimuksellinen velvoite ja mitä siitä seuraa, jos joku kieltäytyy, sekä tapahtuuko automatisoitua päätöksentekoa tai profilointia.

Tämä on artiklan 13 vaatimus GDPR:stä

Tämä luettelo seuraa suoraan GDPR:n artiklan 13 mukaisesti, joka määrää, millaisia tietoja organisaatio antaa silloin, kun se kerää henkilötietoja rekisteröidyltä itseltään. GDPR on asetus ja nämä vaatimukset pätevät sisällöllisesti samalla tavalla kaikissa jäsenmaissa; erot ovat siinä, missä valvontaviranomaisessa mainittu valitusoikeus käytännössä toteutetaan — Suomessa Tietosuojavaltuutetun toimistossa, Saksassa asianomaisen liittovaltion valvontaviranomaisen kautta. Asetuksen itse voi katsoa täydellisen teksti ja lisäselvitys saatuaan, ja Suomen käytäntöä varten Tietosuojavaltuutetun toimiston verkkosivua.