Kommenttikierroksen tulokset ja tietosuojaliitteen muutokset

Yleiset kommentit:

On hieman epäselvää miksi tällainen tietosuojaliite on tarpeen, kun kyse on julkaisujen jakamisesta.

Olisi hyvä saada perustelut sille, miksi tällainen tietosuojaliite on tarpeen, kun kyse kuitenkin on julkaisujen jakamisesta.

1: Henkilötietojen rekisterinpitäjän ja henkilötietojen käsittelijän roolit olisi hyvä avata tarkemmin. Milloin kyseessä on "sekä että" -rooli?

Sekä-että roolin sijaan on informatiivisempaa puhua yhteisrekisterinpitäjistä ja rekisterinpitäjistä. Kun kyseessä on yhteisrekisteri, se tulisi avata tekstiin selvästi.

Yhteisrekisteri on kahden tai useamman rekisterinpitäjän yhteinen rekisteri. Rekisterinpitäjät määrittävät ja päättävät yhdessä tietojen keräämisen tarkoituksen ja tavat, ja toimivat molemmat rekisterinpitäjinä. 

Kahden tai useamman rekisterin tapauksessa kukin rekisterinpitäjä määrittää ja päättää itse rekisterinsä tietojen keräämisen tarkoituksen ja tavat.

Pelkkä tietojen vaihto kahden tai useamman eri rekisterinpitäjän välillä ei tee rekistereistä yhteisrekisteriä.

Poikkeuksena edellä mainitusta on Julkari, joka on organisaatioiden välinen yhteisrekisteri. Tietosuojalainsäädännön kannalta olennaista on, että Julkaria hallinnoivat organisaatiot ilmoittavat rekisteröidyille, että kyseessä on yhteisrekisteri. Tällä seikalla ei kuitenkaan ole vaikutusta Kansalliskirjaston ja organisaatioiden välisiin palvelusopimuksiin ja nyt laadittavaan tietosuojaliitteeseen.

Tehdyt muutokset:

Kullekin neljälle julkaisuarkistotyypille tehdään oma tietosuojaliite, jossa roolit määritellään mahdollisimman selkeästi.

(a)Tietosuojalainsäädäntö tarkoittaa Suomessa ja Euroopan Unionissa kulloinkin voimassa olevaa ja sovellettavaa tietosuojalainsäädäntöä sekä tietosuojaviranomaisten sitovia ohjeita ja määräyksiä.

Juridinen terminologia on toisinaan yleiskieltä monimutkaisempaa. Tarkan määrittelyn tarkoituksena on  varmistaa sen riittävä laajuus, mistä syystä ”mukaan lukien muttei rajoittuen yleiseen tietosuoja-asetukseen” on tarpeellista pitää määritelmässä. Lisäksi tietosuojaa koskevaan lainsäädäntöön on tulossa muutoksia.

Muotoilu vastaa sopimuksissa tavanomaisesti käytettävää muotoilua, ja sen sopimusoikeudellinen tulkinta on näin ollen selvä.

2: Tietosuojailmoitus tulisi lisätä määritelmiin ja avata sen sisältöä.

Kaikki, mikä selkeyttää asioista sopimista, on kannatettavaa. Lisätään Tietosuojailmoitus määritelmiin. Määrittelyssä käytetään yhtenäistä muotoilua muiden Kansalliskirjaston tietosuojaliitteiden kanssa.

Muutos kohtaan 2:

 “Tietosuojailmoitus” on julkaisuarkiston käyttöliittymään linkitetty tietoalue, jossa on kuvattu julkaisuarkistossa käsiteltävien henkilötietojen tyyppi ja rekisteröityjen ryhmät Tietosuojalainsäädännön edellyttämällä tavalla.

Vastaavasti liitteen kohdassa 12 käytetään termiä Tietosuojailmoitus.

Muutos kohtaan 4.1:

Henkilötietojen Käsittelijä pitää kirjaa kaikista Rekisterinpitäjän puolesta suoritetuista käsittelytoimista.

Kansalliskirjasto ei laskuta asiakasorganisaatioita vuosina 2018-2019 tekemästään tietosuojalainsäädännön edellyttämästä perustyöstä. Mahdollisista myöhemmistä kustannuksista neuvotellaan tapauskohtaisesti, tavoitteena rekisteröityjen henkilöiden mahdollisimman sujuva palvelu ja molemmille sopijapuolille kohtuullinen ratkaisu.

Kohtaa voidaan tarkentaa.

Lisäys kohtaan 5:

Selvyyden vuoksi sopijapuolet toteavat, että tavanomaiset tässä Liitteessä mainitut velvoitteet sisältyvät palveluun, ja että vain selkeästi palvelun ylittävistä sopijapuolelle aiheutuneista kustannuksista voidaan veloittaa kohtuullinen korvaus toiselta sopijapuolelta.

7: Sopijapuolien sijaan voisi mieluummin puhua rekisterinpitäjästä tai käsittelijästä sen mukaan ketä kussakin kohdassa tarkoitetaan. Esim. velvoite ilmoittaa käyttämistään alihankkijoista ei varmaankaan koske rekisterinpitäjää vaan käsittelijää.

Nyt hassusti ottaa kantaa myös rekisterinpitäjän oikeuteen käyttää henkilötietojen käsittelijöitä (?); muutenkin rajaus ”tähän Sopimukseen” – ”..oikeus käyttää tämän sopimuksen kattamaan/yllä kohdassa 1. yksilöityyn..”

Alihankkijoista pitää ilmoittaa etukäteen, jotta rekisterinpitäjällä on mahdollisuus vastustaa niiden käyttöä. Samoin vastustamisen edellytykset (mikäli myös me toimimme käsittelijänä)

Vastaavaa kohtaa on tarkennettu myös muihin palvelusopimuksiin liittyvissä tietosuojaliitteissä, jotta syntyisi yhtenäinen käytäntö.

Uuden ehdotuksen mukainen menettely on kevyin lainmukainen prosessi molemmille osapuolille (Kansalliskirjasto ja asiakasorganisaatiot).  Kansalliskirjasto Rekisterinpitäjänä toimiessaan ei halua tarkastaa/kontrolloida/selvittää kaikkien asiakasorganisaatioiden alihankkijoita vaan se haluaa luottaa. että Käsittelijä toimii sopimuksen mukaisesti. Poikkeuksena tarkennettu EU:n tai ETA:n ulkopuolella olevien alihankkijoiden käyttöä.

Kansalliskirjasto listaa henkilötietojen käsittelijän roolissa käyttämänsä alihankkijat julkaisuarkistojen asiakaswikiin. Tällä hetkellä tällaisia alihankkijoita ei käytetä.

· ”…toimitettava sille tiedot … loukkauksesta” => ”…toimitettava sille tiedot … loukkauksesta ja toimenpiteistä, joihin sen johdosta on ryhdytty tai ryhdytään”

Selvyyden vuoksi kirjaisimme myös muut tietosuoja-asetuksessa mainitut tiedot, joskaan asialla ei ole juridisesti merkitystä.

 9: Paljastaminen/luovuttaminen? Miten pitäisi suhtautua --> _luovuttamisen_ yhteydessä emme varsinaisesti voi velvoittaa ”luovutuksensaajaa” sitoutumaan tähän sopimukseen/liitteeseen, vaan vastaamme oikeudestamme luovuttaa luovutuksen kohteena olevat tiedot. ”Paljastaa” rinnastuu asiallisesti lähinnä käsittelysuhteisiin (ulkoisiin tai ”sisäisiin”), jossa kuvio selvempi.

(Muutosehdotukset:)

”..työntekijänsä ja neuvonantajansa, jotka käsittelevät tämän liitteen 1. kohdassa tarkoitettuja tietoja..”

tai yleinen

Henkilötietojen Käsittelijä (HK) vakuuttaa ja sitoutuu varmistamaan, että kaikki HK:n tai HK:n käyttämän alikäsittelijän alaisuudessa olevat henkilöt, joilla on oikeus käsitellä tässä tarkoitettuja henkilötietoja, ovat sitoutuneet noudattamaan vastaavaa salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

 Liitteen kohdan 7 mukaisesti käsittelijä vastaa alihankkijoistaan ja on velvollinen sitouttamaan alihankkijat Liitteen ehtoihin - ei vaadi toistoa tässä kohdassa. 

Kommentoijan ehdottama ”jotka käsittelevät” on liian suppea. On mahdollista. että tietoja luovutetaan neuvonantajalle, jolla on sitä koskevan lainsäädännön tain muulla perusteella oikeus/velvollisuus muodostaa tiedoista rekisteri. Tällöin kysymys ei ole käsittelijän käsittelystä.

Ehdotettu muutos on sinänsä hyvä, mutta katsomme, että luonnos sisältää kommentoijan ajatuksen.

10: Henkilötietojen siirroista pitää sopia rekisterinpitäjän kanssa etukäteen (ks. kohta 7). Ei kategorista oikeutta siirtää milloin ja mihin vaan.

10: Luonnoksessa todetaan henkilötietojen siirtämisestä, että tarvittaessa Henkilötietojen Käsittelijällä on oikeus siirtää Henkilötietoja muihin maihin (Euroopan talousalueen ulkopuolella) edellyttäen, että siirto tapahtuu Tietosuojalainsäädännön mukaisesti, esimerkiksi käyttäen EU:n mallisopimuslausekkeita. Olemme pyrkineet aktiivisesti välttämään tilanteita, joissa henkilötietoja käsiteltäisiin EU:n ulkopuolella. Aina tätä ei palvelun luonteesta johtuen pystytä välttämään (vaikkapa matkustusasiat). Tietysti on hyvä, että luonnoksessa on tuotu esiin, että siirrot tulee tehdä tietosuojalainsäädännön mukaisesti.

(Esimerkki:)

”XX pitää hyvänä, että sopimusluonnoksessa todetaan, että henkilötietojen käsittely edellyttää yhteistyötä ja käytäntöjen sopimista tietosuojalainsäädännön määräysten noudattamisen lisäksi. VXX pitää tärkeänä, että luovutettaessa henkilötietoja EU:n ulkopuolelle, rekisterinpitäjänä toimivan tahon tulee varmistua siitä, että alihankkija täyttää käsittelijälle tietosuojalainsäädännössä asetetut velvoitteet. Rekisterinpitäjänä toimivan tahon on pystyttävä osoittamaan, että myös sen käsittelijöinä toimivat alihankkijat noudattavat tarkasti tietosuojalainsäädännön vaatimuksia. Tämä edellyttää toimivaa ja läpinäkyvää suhdetta rekisterinpitäjän ja käsittelijänä toimivan alihankkijan kanssa."

11: Erimielisyyksien ratkaiseminen ja korvaukset

Näkemättä pääsopimusta on vaikea ottaa kantaa siihen, ovatko pääsopimuksen vastuunrajoitusehdot ja muut riitatilanteisiin sovellettavat toimintatavat asianmukaisia GDPR-olosuhteissa.

Lähtökohtaisesti vastuunrajoitusehdot pois -> 82 art.

+ lisäys esim. ”Selvyyden vuoksi, 82 artiklan 5. kohdassa mainitun ”korvauksen” katsotaan käsittävän myös toisen osapuolen maksettavaksi koituneet kohtuulliset oikeudenkäyntikulut.” (paitsi jos toimimme jonkin tiedon osalta käsittelijänä -> tällöin kohtuullinen rajoitus ok)

Lähtökohta on, että sopimuksessa ei muuteta vastuunrajoitusta muutoin kuin lain vaatimalta osin (ts. sopimuksessa ei voi sopia mitään lainvastaista).

Julkaisuarkistosopimuksen vahingonkorvausehto on sen mukainen, jota kansalliskirjastossa on yleisesti käytetty. Pääsopimuksessa on suljettu vastuurajoituksen ulkopuolelle tilanne, jossa " jos sopijapuoli on rikkonut tietojen luottamuksellisuutta ". Tämä kattaa kysyjän mainitseman tilanteen.

Yleisesti Kansalliskirjastossa linja on ollut se, että tietosuojavahinkoihin sovelletaan pääsopimuksen vahingonkorvausehtoja. Jos vastuunrajoituksesta on sovittu, se kattaa myös kommentoijan tarkoittaman 82:ssa säädetyn takautumisoikeuden. Eli vastuu myös takautumisoikeustilanteissa on rajoitettu. Tältä pohjalta Liitteen ehto ei vaadi muutosta.

12: Kansalliskirjaston tulisi vastata tietosuojailmoituksen ylläpidosta ja päivittämisestä.

Vastuu tietosuojailmoituksesta on osoitettu jommallekummalle osapuolelle (vain toiselle), vaikka kumpikin voivat olla omalta osaltaan rekisterinpitäjiä. Olisi parempi osoittaa vastuu rekisterinpitäjälle. Jos haluaa täsmentää, voi lisätä esim. ”kumpikin osapuoli osaltaan” tai jotain sinne päin.

Luonnoksessa oli tarkoitettu toinen ehdolla olevista vastuutahoista (Kansalliskirjasto / asiakasorganisaatio) poistettavaksi ja jäljelle jätettäväksi vain vastuutaho. Tätä kohtaa muutettu yhtenäiseksi muiden vastaavien tietosuojaliitteiden kanssa.

Julkaisuarkistojenkin tapauksessa molemmilla osapuolilla voi olla rekisterinpitäjän velvollisuuksia samaan palveluun liittyen. Kansalliskirjasto voi laatia tietosuojailmoituksen pohjan, mutta kumpikin sopijapuoli on vastuussa niiltä osin sen ylläpidosta, kun toimii rekisterinpitäjänä.

Muutos kohtaan 12:

Sopijapuolet toteavat, että  kumpikin sopijapuoli vastaa oman henkilötietorekisterinsä Tietosuoja­ilmoituksen ylläpidosta ja päivittämisestä.

Opinnäytetöiden metatietojen tekijätiedot ovat ilmeisesti lain tarkoittamia henkilötietoja. Mitkä velvoitteet siitä seuraavat? → Rekisteriselostus / rekisteri-ilmoitus? Informointivelvoite rekisteröitävälle, miten toteutetaan?

Henkilötiedolla tarkoitetaan kaikkea tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja. Kaikki tiedot, mitkä metatiedoissa liittyvät siinä mainittuun henkilöön, ovat henkilötietoja.

Rekisterinpitäjän velvollisuudet eivät kuulu palvelusopimusten tietosuojaliitteissä määriteltäviin asioihin.

Yleisesti voidaan kuitenkin todeta seuraavaa.

• Kun kirjasto kerää henkilötietoja rekisteriin, informoinnin kannalta olennainen asia on henkilötietojen lähde, eli kerätäänkö henkilötiedot rekisteröidyltä itseltään vai jostain muualta.
• Jos kirjasto kerää henkilötiedot rekisteröidyltä, tulee kirjaston informoida rekisteröityä asetuksen mukaisesti silloin, kun henkilötietoja saadaan.
• Jos kirjasto kerää henkilötiedot muualta kuin rekisteröidyltä itseltään, kirjaston tulisi toimittaa rekisteröidyille asetuksen artiklan 14 mukaiset tiedot. Tämä informointivelvollisuus ei kuitenkaan koske rekisterinpitäjää, jos:
  • kyseisten tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, erityisesti kun käsittely tapahtuu yleisen edun mukaisia arkistointitarkoituksia tai tieteellisiä ja historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia (tässä tapauksessa kirjaston tulee mahdollisesti tarjota tietoa rekisteröityjen oikeuksista julkisesti saatavilla olevassa muodossa) tai
  • tietojen hankinta perustuu rekisterinpitäjän lakisääteiseen tehtävään.

Kysymys on rekisterinpitäjän velvollisuudesta, joka ei liity palvelusopimusten tietosuojaliitteisiin.

Koska tuotamme kansallisia palveluja (Finna, Melinda, julkaisuarkistot) pitkälti yhdessä, käytännössä ratkaisemme myös tällaiset asiakkaiden lähettämät poistamispyynnöt ja mahdolliset ongelmatilanteet yhdessä.

Vaikka Kansalliskirjasto ei selvitä kaikkien organisaatioiden perusteita koota ja käsitellä henkilötietoja, kysymykseen vastaamiseksi täytyy tehdä jonkinlaista luokittelua, sillä käsittelyn oikeusperuste vaikuttaa siihen, tuleeko ”oikeus tulla unohdetuksi” sovellettavaksi esim. Finnassa.

Käytännössä oikeutta tulla unohdetuksi sovelletaan käytännössä vain tilanteissa, jossa käsittely perustuu rekisteröidyn suostumukseen tai rekisterinpitäjän oikeutettuun etuun sekä jos henkilötietoja on käsitelty lainvastaisesti tai henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai muutoin käsiteltiin. Oikeutta tulla unohdetuksi ei nimenomaisesti sovelleta, jos käsittely on tarpeen esimerkiksi käsittelyä edellyttävän lakisääteisen velvoitteen noudattamiseksi tai jos käsittely tapahtuu yleistä etua koskevan tehtävän suorittamista tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä varten, eikä jos käsittely perustuu yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten, jos oikeus tulla unohdetuksi todennäköisesti estää kyseisen käsittelyn tai vaikeuttaa sitä suuresti. Näin ollen, on todennäköistä, että kirjastoilla ei ole velvollisuutta poistaa tietoja, koska käsittely perustunee johonkin noista perusteista.

Huomionarvoista on, että joka tapauksessa päätöksen mahdollisesta poistamisesta tekee rekisterinpitäjä. Henkilötietojen käsittelijä ei tee itsenäisiä päätöksiä tietojen poistamisesta, vaan se noudattaa ainoastaan rekisterinpitäjän ohjeita. Näin ollen henkilötietojen käsittelijän tulee ainoastaan välittää sille osoitettu poistopyyntö rekisterinpitäjälle ja olla poistamatta tietoa itsenäisesti.

Kysymys ei liity palvelusopimusten tietosuojaliitteisiin.

Jokainen organisaatio vastaa omissa palveluissa/rekistereissä ylläpitämiensä ja kansallisiin palveluihin tuomiensa (Finna, Melinda, julkaisuarkistot) metatietojen lainmukaisuudesta. Mm. KAM-juridiikkaryhmä työstää yhteisiä linjauksia/tulkintoja.

Onko julkisesti esim. internetin kautta saatavilla kirjojen, valokuvien tai muiden aineistojen metatiedoilla (ja niissä olevilla henkilötiedoilla) eri status kuin julkaisemattomilla?

Kysymys ei liity palvelusopimusten tietosuojaliitteisiin.

Henkilötietolainsäädännön näkökulmasta rekisterinpitäjän tulee ilmoittaa rekisteröidylle vastaanottajaryhmät ts. se, mihin tieto siirretään. Eroa on siis siinä, jääkö tieto suppean piirin käyttöön vai laitetaanko se internetiin.

Muutoin tiedon lähde vaikuttaa esim. rekisterinpitäjän salassapitovelvollisuuteen ja henkilön yksityisyyden suojaan, ts. asiaan vaikuttaa muukin kuin tietosuojalainsäädäntö.

Kysymys on rekisterinpitäjän velvollisuudesta, joka ei liity palvelusopimusten tietosuojaliitteisiin.

Rekisterinpitäjä on velvollinen ilmoittamaan rekisteröidyille (esim. tietosuojaselosteessa) mm. henkilötietojen säilyttämisestä ja poistamisesta.

Finnassa julkaistut metatiedot ovat julkisia, joten niille ei määritellä tietojen säilytysaikaa. Finnan tietosuojaselosteessa määritellään käyttäjärekisterin sisältämien henkilötietojen säilyttämisajat.

Tietosuojaliitteen kohdan 1 Tausta taulukossa on pyritty määrittelemään se, milloin sopijapuolet ovat missäkin roolissa. Julkaisuarkistojen tapauksessa ei ole kyse sopijapuolten välisestä yhteisrekisteristä (paitsi Julkarissa).

Rekisterinpitäjän ja käsittelijän määritelmät ovat toiminnallisia termejä, eli osapuolten tosiasiallinen toiminta määrittää kumpia ne ovat vai ovatko kumpiakaan.

Yhteisrekisterinpitäjät päättävät yhdessä mitä tietoja kerätään, miksi eli mikä on keräämisen ja käyttämisen tarkoitus ja miten henkilötietoja käsitellään. Keskeistä on se, että osallistuuko organisaatio käsittelyn tarkoituksen ja keinojen määrittämiseen.

Jos osapuolet toimivat yhdessä määrittäessään tarkoitusta ja keinoja, ne ovat yhteisrekisterinpitäjiä. Jos osapuolet toimivat ainoastaan osittain yhdessä, vaan asia tulee ratkaista tapauskohtaisesti. Rekisterinpitäjän käsite on määritelty laajasti, joten jos ei ole kyse pelkästä henkilötietojen toisen lukuun tapahtuvasta käsittelystä, on taho joko itsenäinen rekisterinpitäjä tai yhteisrekisterinpitäjä. Se, että kumpi taho on, riippuu pitkälti käsittelyn tarkoituksesta, eli onko kummankin osapuolen lopputarkoitus sama henkilötietojen kohteen kannalta.

Sen sijaan pelkkä yhteistyö ei riitä yhteisrekisterin muodostumiseen. Esim. jos eri rekisterinpitäjät toimivat yhteistyössä henkilötietojen käsittelyssä, esimerkiksi toiminnan ketjussa, ei tämä tarkoita sitä, että ne kaikissa tapauksissa pitäisivät rekisteriä yhdessä tai että toinen olisi välttämättä henkilötietojen käsittelijä. Tietojen vaihto kahden osapuolen välillä ilman, että niillä on yhteinen tarkoitus ja keinot yhteisessä toimintojen kokonaisuudessa, on katsottava vain erillisten rekisterinpitäjien väliseksi tietojen siirroksi.

Lisäys kohtaan 3.

2: Määritelmät, kohta c rekisteröity → Rekisteröity on myös kirjailija tai muu tietoaineiston tuottaja.

Rekisteröityjen ryhmät tulee määritellä mahdollisimman selvästi, joten mitä tarkempi kuvaus ryhmistä on, sen parempi. Näin ollen kirjailijoiden ja tietoaineiston tuottajien lisääminen listaan on perusteltua.  Määrittely on mahdollisimman yhtenäinen muiden Kansalliskirjaston palvelusopimusten tietosuojaliitteiden kanssa.

Muutos kohtaan 3:

Rekisteröity tarkoittaa henkilöä (kuten asiakasta, työntekijää tai tietoaineiston tuottajaa), jonka Henkilötietoja henkilötietojen käsittelijä (Henkilötietojen käsittelijä) käsittelee tämän liitteen ja Sopimuksen mukaisesti.

2: Määritelmät, kohta e → Käytännesäännöt olisi varmaan hyvä ottaa tähän mukaan.

Tietosuojaliitteen määritelmissä laki on määritelty koskemaan vain velvoittavaa lainsäädäntöä ja oikeusohjeita. ”Käytännesäännöt” eivät ole yleisesti veloittava laki tai oikeusohje, mistä syystä emme suosittele niiden lisäämistä määritelmiin laiksi.

2: Määritelmät, kohta g → Ehdotus lisäykseksi: Henkilötietojen vahingossa, tahallaan tai huolimattomuudesta tapahtuva lainvastainen tuhoaminen, häviäminen, muuttaminen tai luvaton luovuttaminen taikka luvaton pääsy tietoihin.

Nykyinen määritelmä on yleisen tietosuoja-asetuksen määritelmän mukainen. Ehdotetulla tavalla muuttaminen voisi tuottaa tulkintoja ja sitä myöden ongelmia. Ongelmat voisivat nousta esimerkiksi esiin kysymyksinä siitä, että onko sovittu laajemmasta tai suppeammasta määritelmästä kuin tietosuoja-asetuksessa, ja jos on, mitä siitä seuraa.