Käyttäjien oikeudet omiin henkilötietoihinsa
Rekisteröidyn oikeudet Navigoran käsittelemiin ja tallentamiin henkilötietoihin liittyen
Tässä asiakirjassa kuvataan Navigora-verkkopalveluun rekisteröityneen henkilön oikeudet sekä se, miten rekisteröitynyt henkilö voi käyttää näitä oikeuksia.
Miten rekisteröity saa tietoa henkilötietojen keräämisestä ja käsittelystä?
Rekisterinpitäjä (Navigora Oy) on velvollinen antamaan rekisteröidylle tietoja henkilötietojen käsittelystä. Olemme koonneet tähän asiakirjaan ohjeet tietosuoja-asetuksen mukaisista oikeuksista sekä siitä, miten rekisteröity voi käyttää näitä oikeuksia.
Rekisteröidyllä on oikeus saada pääsy omiin tietoihinsa
Henkilöllä on oikeus pyynnöstä saada rekisterinpitäjältä tieto siitä, käsitelläänkö hänen henkilötietojaan rekisterissä. Jos henkilötietoja käsitellään, rekisteröidyllä on oikeus saada pääsy omiin tietoihinsa yleisen tietosuoja-asetuksen ja luottotietolain mukaisesti:
Tietojen käsittelyn tarkoitukset ja oikeusperusteet
Kuvaukset henkilötietoryhmien tietosisällöstä, vastaanottajista ja säilytysajoista
Rekisterinpitäjän on toimitettava kopio käsitellyistä henkilötiedoista
Käyttäessään Suomen luottotietolain tai yleisen tietosuoja-asetuksen mukaista oikeutta tutustua tietoihin rekisteröidyn on todistettava henkilöllisyytensä joko käymällä paikan päällä tai liittämällä kirjalliseen pyyntöönsä virallisen henkilöllisyystodistuksen oikeaksi todistettu valokopio tai skannattu kopio. Tällöin henkilölle toimitetaan luottotietolain 30 §:ssä tarkoitetut tiedot sekä mahdollisten lisätietojen (esim. työnantajatiedot) jälkeen tiedot muista rekistereistä. Eri rekistereistä peräisin olevat tiedot on pyydettävä erikseen.
Rekisterit, jotka sisältävät rekisteröidyn henkilön tunnistettavia tietoja:
Yrityksen vastuuhenkilöt
Navigoran asiakastietokannan yhteyshenkilötiedot
Navigoran omat työntekijätiedot (mukaan lukien henkilötunnus)
Rekisterit, joihin tarvitaan lisätietoja:
Käyttäjähallinnon henkilötiedot (yritystietopalvelun rekisteröityneiden käyttäjien henkilötiedot)
Yritystietopalvelun päätöksentekijätiedot
Navigoran markkinointitietokanta
Rekisteröidyn oikeus vastustaa henkilötietojen käsittelyä
Rekisteröidyllä on oikeus erityistilanteeseensa liittyvistä syistä, vastustaa häntä koskevien henkilötietojen käsittelyä (yleinen tietosuoja-asetus, 21 artikla), kun käsittely perustuu yleisen edun mukaiseen tehtävän suorittamiseen tai oikeutettujen etujen toteuttamiseen.
Navigora-verkkopalvelussa tämä voi koskea yritysten vastuuhenkilöiden tietojen käsittelyä. Koska näiden tietojen käsittelyä säännellään laissa (luottotietolaki ja tietosuojalaki), ei yleensä voi syntyä tilannetta, jossa käsittelyä estäisi jokin henkilökohtainen syy.
Jos henkilötietoja käsitellään suoramarkkinointitarkoituksiin, rekisteröidyllä on oikeus milloin tahansa kieltää häntä koskevien henkilötietojen käsittely tällaisessa markkinoinnissa.
Rekisteröidyn oikeus henkilötietojen oikaisemiseen, käsittelyn rajoittamiseen sekä oikeus tulla unohdetuksi (tietojen poistaminen)
Rekisteröidyllä on oikeus saada rekisterinpitäjältä ilman aiheetonta viivytystä häntä koskevien epätarkkojen ja virheellisten henkilötiedot oikaistuiksi. Käsittelyn tarkoitusten huomioon ottaen rekisteröidyllä on oikeus saada puutteelliset henkilötiedot täydennettyä, esimerkiksi lisätietojen avulla.
Henkilötietojen oikaiseminen
Rekisteröidyllä on oikeus vaatia rekisterinpitäjältä häntä koskevien epätarkkojen ja virheellisten henkilötietojen oikaisemista ilman aiheetonta viivytystä.
Henkilötietojen käsittelyn rajoittaminen
Rekisteröidyllä on oikeus vaatia rekisterinpitäjältä käsittelyn rajoittamista, jos jokin seuraavista neljästä perusteesta täyttyy:
Rekisteröity kiistää henkilötietojen paikkansapitävyyden. Tällöin tietojen käsittelyä on rajoitettava ajaksi, jonka kuluessa rekisteröity voi tarkistaa henkilötietojen paikkansapitävyyden.
Käsittely on lainvastaista, mutta rekisteröity vastustaa henkilötietojen poistamista ja pyytää sen sijaan niiden käytön rajoittamista.
Rekisteröity ei enää tarvitse henkilötietoja käsittelyn tarkoituksiin, mutta hän tarvitsee niitä oikeudellisten vaateiden esittämiseksi, toteuttamiseksi tai puolustamiseksi.
Rekisteröity on vastustanut henkilötietojen käsittelyä muihin tarkoituksiin kuin suoramarkkinointiin, kunnes on selvitetty, ovatko rekisteröidyn edut painavampia kuin käsittelyn edut.
Jos käsittelyä on rajoitettu, tiedot voidaan säilyttää, mutta niiden käsittely on sallittua vain tietyissä tapauksissa. Tällaisia tapauksia ovat esimerkiksi rekisteröidyn suostumus, oikeudellisten vaateiden esittäminen, toteuttaminen tai puolustaminen sekä toisen luonnollisen tai oikeushenkilön oikeuksien suojaaminen.
GDPR:n 18 artiklan 2 kohdan mukaan tietoja voidaan käsitellä yleisen edun vuoksi rajoitusvaatimuksesta huolimatta.
Oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”)
Rekisteröidyllä on oikeus vaatia rekisterinpitäjää poistamaan häntä koskevat henkilötiedot ilman aiheetonta viivytystä, jos jokin seuraavista kuudesta poistamisperusteesta täyttyy:
henkilötietoja ei enää tarvita niihin tarkoituksiin, joihin ne on kerätty tai joita varten niitä on muutoin käsitelty
rekisteröity peruuttaa suostumuksensa, johon käsittely perustuu, eikä käsittelylle ole muuta laillista perustetta
jos rekisteröity vastustaa henkilötietojensa käsittelyä suoramarkkinointitarkoituksiin tai käyttää muutoin vastustamisoikeuttaan eikä käsittelylle ole muita laillisia perusteita
henkilötietoja on käsitelty lainvastaisesti
henkilötiedot on poistettava, jotta voidaan noudattaa rekisterinpitäjään unionin lainsäädännön tai jonkin jäsenvaltion lainsäädännön nojalla sovellettavaa lakisääteistä velvoitetta
henkilötiedot on kerätty tietoyhteiskunnan palvelujen tarjoamisen yhteydessä.
Oikeus tietojen poistamiseen ei kuitenkaan koske tapauksia, joissa tietojen käsittely on tarpeen esimerkiksi yleisen edun mukaisen tehtävän suorittamiseksi.
Ilmoitus henkilötietojen oikaisusta, poistamisesta ja käsittelyn rajoittamisesta vastaanottajille
Rekisterinpitäjän on ilmoitettava henkilötietojen oikaisusta, poistamisesta tai käsittelyn rajoittamisesta jokaiselle vastaanottajalle, jolle henkilötiedot on luovutettu, ellei tämä osoittaudu mahdottomaksi tai vaadi kohtuutonta vaivaa. Rekisterinpitäjän on ilmoitettava rekisteröidylle näistä vastaanottajista, jos rekisteröity sitä pyytää.
Navigora ei ole velvollinen pitämään lokitiedostoa kaikista henkilötietojen luovutuksista (vastuullisen tahon tietojen luovutukset, päätöksentekoon liittyvien tietojen luovutukset). Tällaisiin tietoihin liittyvistä oikaisuista, poistamisista ja käsittelyn rajoituksista ilmoittaminen on siten mahdotonta.
Miten rekisteröidyille ilmoitetaan tietoturvaloukkauksista?
Jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa suuren riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta seuraavasti:
Rekisteröidyille on ilmoitettava asiasta henkilökohtaisesti ilman aiheetonta viivytystä.
Ilmoitus valvontaviranomaiselle on tehtävä ilman aiheetonta viivytystä ja, mikäli mahdollista, 72 tunnin kuluessa siitä, kun tietoturvaloukkaus on tullut tietoon. Ilmoitus on tehtävä 55 artiklan mukaisesti, paitsi tilanteissa, joissa henkilötietojen tietoturvaloukkaus ei todennäköisesti aiheuta riskiä oikeuksille tai vapauksille. Jos ilmoitusta ei tehdä 72 tunnin kuluessa, rekisterinpitäjän on annettava valvontaviranomaiselle perusteltu selitys.
Käsittelijän on ilmoitettava henkilötietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä sen jälkeen, kun se on saanut siitä tiedon.
Ilmoituksessa on oltava vähintään seuraavat tiedot:
kuvaus henkilötietojen tietoturvaloukkauksesta. Mahdollisuuksien mukaan siihen on sisällytettävä myös tiedot asianomaisten rekisteröityjen ryhmistä ja arvioidusta lukumäärästä sekä henkilötietoryhmistä ja niiden arvioidusta määrästä;
ilmoitettava tietosuojavastaavan nimi ja yhteystiedot tai muun yhteyshenkilön tiedot, jolta voi saada lisätietoja
kuvailla henkilötietojen tietoturvaloukkauksen todennäköisiä seurauksia
kuvata toimenpiteet, joita rekisterinpitäjä on ehdottanut tai toteuttanut henkilötietoturvaloukkauksen johdosta, sekä tarvittaessa toimenpiteet haitallisten vaikutusten lieventämiseksi.
Rekisterinpitäjän on dokumentoitava kaikki henkilötietoturvaloukkaukset, mukaan lukien loukkaukseen liittyvät olosuhteet, sen vaikutukset sekä toteutetut korjaavat toimenpiteet.
Valvontaviranomaisen on voitava varmistua tämän asiakirja-aineiston avulla siitä, että tämä on tehty.
Rekisteröidyn oikeus siirtää rekisterinpitäjälle toimittamansa henkilötiedot
Rekisteröidyllä on oikeus saada hänestä tallennetut henkilötiedot, jotka hän on toimittanut rekisterinpitäjälle. Nämä tiedot on toimitettava jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa. Rekisteröidyllä on oikeus siirtää kyseiset tiedot toiselle rekisterinpitäjälle.
Rekisteröidyllä on tämä oikeus silloin, kun tietojen käsittely perustuu suostumukseen tai sopimukseen ja käsittely tapahtuu automaattisesti.
Tämä oikeus siirtää tietoja järjestelmästä toiseen ei koske lainkaan esimerkiksi yrityksen johtajia tai päätöksentekijöitä koskevia tietoja, koska näiden tietojen käsittely ei perustu sopimukseen tai suostumukseen, vaan muihin käsittelyperusteisiin.
Navigora-verkkopalvelussa tällaisia henkilötietoja ovat yritystietopalvelun asiakkailta itseltään saadut asiakastiedot sekä palveluihin liittyvät ostotapahtumat.
Rekisteröidyn oikeus tehdä valitus valvontaviranomaiselle, nostaa kanne ja saada korvausta aiheutuneesta vahingosta
Jokaisella rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle (Suomessa tietosuojavaltuutetulle), jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittely rikkoo asetusta.
Lisäksi rekisteröidyllä on oikeus tehokkaaseen oikeussuojaan, jos hän katsoo, että hänen GDPR:n mukaisia oikeuksiaan on loukattu, koska hänen henkilötietojensa käsittely ei ole ollut GDPR:n mukaista.
Jos henkilölle aiheutuu aineellista tai aineetonta vahinkoa GDPR:n rikkomisen seurauksena, hänellä on oikeus saada korvausta kärsimästään vahingosta rekisterinpitäjältä tai henkilötietojen käsittelijältä.