Kysymys ei liity suoraan Melindan tietosuojaliitteeseen ts. Kansalliskirjaston ja Melindan väliseen sopimukseen.

Kukin rekisterinpitäjä määrittelee itse tietojen keräämisen tarkoituksen ja perusteen.

Kysymys ei liity Melindan  tietosuojaliitteeseen.

Henkilötietolainsäädännön näkökulmasta rekisterinpitäjän tulee ilmoittaa rekisteröidylle vastaanottajaryhmät ts. se, mihin tieto siirretään. Eroa on siis siinä, jääkö tieto suppean piirin käyttöön vai laitetaanko se internetiin.

Muutoin tiedon lähde vaikuttaa esim. rekisterinpitäjän salassapitovelvollisuuteen ja henkilön yksityisyyden suojaan, ts. asiaan vaikuttaa muukin kuin tietosuojalainsäädäntö.

Kysymys on rekisterinpitäjän velvollisuudesta, joka ei liity Melindan tietosuojaliitteeseen, ts. Kansalliskirjaston ja Melinda-kirjaston väliseen sopimukseen.

Rekisterinpitäjä on velvollinen ilmoittamaan rekisteröidyille (esim. tietosuojaselosteessa) mm. henkilötietojen säilyttämisestä ja poistamisesta.

Melindassa julkaistut metatiedot ovat julkisia, joten niille ei määritellä tietojen säilytysaikaa.

1: "Sopijapuolet sopivat muuttavansa Sopimusta tässä Tietosuojaliitteessä kuvatulla tavalla, ja tämä tietosuojaliite korvaa Sopimuksen tietosuojaa koskevat ehdot" ja “Jos tämä Tietosuojaliite ja Sopimus ovat ristiriidassa keskenään, pätee tämä Tietosuojaliite ennen Sopimusta”

On arveluttavaa muuttaa pääsopimuksen ehtoja erillisellä liitteellä, muutos tulee tehdä pääsopimukseen tai erillisen sopimuksen kautta.

Melindan pääsopimuksen kohdan 18 mukaisesti liitteitä voidaan liittää osaksi sopimusta palvelun ohjausryhmän (s.o. tiedonhallinnan ohjausryhmän) hyväksynnällä.

Tietosuojaliitteen lisäämistä varten voidaan kuitenkin laatia muutossopimus, jonka molemmat sopijapuolet allekirjoittavat.

Ei muutosta liitteeseen.

Voidaan laatia muutossopimus, jolla tietosuojaliite otetaan osaksi Melindan palvelusopimusta.

1: "Organisaatioiden vastuut"

Melindaan tallennetuissa tiedoissa Kansalliskirjasto on rekisterinpitäjä, mutta kirjaston oman taustajärjestelmän Melindaan tallentamien tietojen osalta Melinda-kirjasto on rekisterinpitäjänä.

Rekisterinpitäjänä toimii taho, joka määrittää rekisterin käytön edellytykset ja määrää rekisteristä (ts. hallinnoi rekisteriä).

Rekisterinpitäjän ja henkilötietojen käsittelijöiden roolit tulee kuvata yksiselitteisesti, koska tällä on olennaista vaikutusta GDPR:ssä esitettyihin vastuukysymyksiin.

Taulukosta tulee myös käydä ilmi mikä taho toimii tietojen käsittelijänä.

3.1: Rekisterinpitäjän määritelmä on hieman lavea ja antaa ymmärtää, ettei kumpikaan osapuoli vastaa muusta kuin oman rekisterinsä omasta käsittelystä.

Henkilötietojen käsittelijän rooli on määritettävä, jos toisen rekisterinpitäjyyden alaisia tietoja voidaan käsitellä.

Yleinen kirjasto

Yliopistokirjasto

Sopimus on kahden rekisterinpitäjän välinen sopimus. Kumpikaan sopijapuolista ei toimi tämän sopimuksen kohteena olevien henkilötietojen käsittelijänä.

Koska sopijapuolten välinen kahden rekisterinpitäjän rooli ei käy selkeästi ilmi, on syytä lisätä tämän toteava lause liitteen alkuun.

Lisäys liitten kohtaan 1:

Sopijapuolet toteavat, että kukin sopijapuoli toimii rekisterinpitäjänä, ja että tämä tietosuojaliite kuvaa rekisterinpitäjien välisessä suhteessa noudatettavia tietosuojan ehtoja.

3.3: "Sopijapuolet sitoutuvat esittämään tiedot Rekisteröidyille "

Informointivelvoite rekisteröitävälle, miten toteutetaan?

Miten on tarkoitus että tämä tehdään käytännössä? Voisiko Melinda hoitaa tämän keskitetysti?

Tässä kohdassa listatut tiedot tulisi viedä esimerkiksi keskitetylle rekisteriseloste -sivustolle, jotta tiedot voidaan toimittaa viittaamalla mainittuun palveluun/osoitteeseen.

Velvoite listassa mainittujen asioiden läpikäymisestä kaikkien tekijöiden kanssa on hyvin raskas prosessi.

Ammattikorkeakoulukirjasto

Yleinen kirjasto

Yliopistokirjasto

Tietosuojalainsäädäntö määrittelee milloin ja miten rekisteröityjä pitää informoida. Informointitapa voi olla seloste, johon on linkki tietojen keräämissivustolla.

Liitteen kohtaa voidaan täsmentää lisäämällä viittaus tietosuojalainsäädäntöön. Rekisterinpitäjän tulee tuntea omien rekisteriensä osalta lain velvoitteet.

Kansalliskirjasto päivittää Melindan tietosuojaselosteen ja Melinda-kirjastot voivat toki hyödyntää sitä huolehtiessaan omasta informointivelvollisuudestaan. Jokainen rekisterinpitäjä on kuitenkin vastuussa omien rekisteriensä tietosuojaselosteista.

Muutos kohtaan 3.3:

Sopijapuoli sitoutuu omalta osaltaan tietoja ensimmäisen kerran kerätessään ilmoittamaan rekisteröidyille tietojen keräämisestä ja käsittelemisestä Tietosuojalainsäädännön mukaisesti silloin kun ilmoittaminen on tarpeellista. Rekisteröidyille ilmoitetaan mm:

3.3: "Melinda-kirjaston tulee omassa tiedottamisessaan ottamaan erityisesti huomioon sen, että sen Melindaan tallentama tieto on tallentamisen jälkeen kenen tahansa vapaasti käytettävissä."

Po. "Melinda-kirjaston tulee omassa tiedottamisessaan ottaa erityisesti huomioon se, että sen Melindaan tallentama tieto on tallentamisen jälkeen kenen tahansa vapaasti käytettävissä."

3.3: Henkilötietojen kerääminen. Sopijapuolet toteavat, että ne kumpikin omalta osaltaan tietoja ensimmäisen kerran kerätessään ilmoittavat rekisteröidyille tietojen keräämisestä ja käsittelemisestä."

Webinaariesityksessä:
K: "Informointivelvoite rekisteröitävälle, miten toteutetaan?"
V: “Jos organisaatio kerää henkilötiedot rekisteröidyltä, tulee organisaation informoida rekisteröityä asetuksen mukaisesti silloin, kun henkilötietoja saadaan.

Esim. jos kirjastotietokantaan tallennetaan esikoiskirjailijan tietoja, pitääkö tietojen tallentamisesta informoida? Kirjastojärjestelmän tietosuojaseloste organisaation verkkosivuilla? Kirjastojärjestelmäähän asiakas ei nyt "näe" kun käyttöliittymä on Finna jonka tietosuojaselosteessa asia on mainittu.

Kysymykset eivät suoraan liitty Melindan tietosuojaliitteeseen.

Henkilötietolainsäädännön näkökulmasta rekisterinpitäjä on informointivelvollinen rekisteröidylle. Jos kirjasto kerää kirjastotietokannan tiedot suoraan rekisteröidyltä (esim. esikoiskirjailija), ilmoitus tietojen käsittelystä, siirroista ym. tulee ilmoittaa tässä yhteydessä. Jos tiedot on koottu julkisesta lähteestä, informoinnin voi hoitaa esim. tietosuojaselosteella.

Finnassa mukana olevat organisaatiot ovat vastuussa omien rekisteriensä osalta tietosuojaselosteistaan. Ks. myös Finnan tietosuojaliitettä koskevat kommentit ja vastaukset.

3.3: Finna-tietosuoja (https://www.finna.fi/Content/privacy) ja luku "Finna-palvelun aineistot ja henkilötiedot" kertoo Finnan kautta löytyvän aineiston ja kuvailevien tietojen tietosuoja-asioista.

Melindan tietosuojaselosteessa (https://melinda.kansalliskirjasto.fi/F/UAVQM259HNYY33RB6VS3QJD2QVBPB4UGTF6VHJ4E3A3JIHHDU7-04613?func=file&file_name=tietosuoja.htm) puhutaan vain palvelua käyttävien tietosuojasta. Ei Metatiedoista. Pitäisikö Melinda-tietosuojaselosteessa olla asioita kuvattu samassa laajuudessa kuin Finnassa?

3.3: Webinaariesitysessä sanottiin: “Jokainen organisaatio vastaa omissa palveluissa/rekistereissä ylläpitämiensä ja kansallisiin palveluihin tuomiensa (Finna, Melinda, julkaisuarkistot) metatietojen lainmukaisuudesta. Mm. KAM-juridiikkaryhmä työstää yhteisiä linjauksia/tulkintoja.”

Pitääkö Finnan ja Melindan tietosuoja-tietojen lisäksi jokaisella kirjastolla olla tietosuojaseloste omassa kirjastojärjestelmässä olevien metatietojen sisältämistä henkilötiedoista vaikka tällä hetkellä asiakaskäyttöliittymänä olisikin Finna?

Jos pitää olla, laatiiko KK selosteen, jota kirjastot voivat käyttää?

Kukin henkilörekisterin ylläpitäjä (olipa henkilötietoja metatiedoissa tai muualla) vastaa omista rekistereistään ja on velvollinen täyttämään tietosuojalainsäädännön rekisterinpitäjälle asettamat velvoitteet.

Kirjastot voivat käyttää Kansalliskirjaston laatimia tietosuojaselosteita (Finna ja Melinda) pohjina tai malleina, mutta täydentää niitä omia rekistereitään koskevilla osuuksilla.

3.4 ja 3.5: Rajoittamatonta käyttöoikeutta ("sopimuksen mukaiset tarkoitukset") ei lähtökohtaisesti voida myöntää. Tältä osin tulisi määritellä mihin sopimuksen mukaisilla tarkoituksilla viitataan, joko pääsopimuksessa tai tietosuojaliitteissä.

Myös henkilötietojen käsittelijä vastaa toimintansa lainmukaisuudesta, eikä rekisterinpitäjä voi täysin ottaa vastatakseen henkilötietojen käsittelijän toimintaa.

Tämän sopimuksen kohdan tarkoituksena on ilmaista periaate, että luovutuksen vastaanottaja voi luottaa siihen, että luovuttaja on hoitanut lain mukaiset velvollisuutensa, mm. tiedottanut rekisteröityjä tietojen luovuttamisesta.

Sopimuksen tarkoitus ilmenee pääsopimuksesta.

Kumpikin osapuoli toimii rekisterinpitäjänä, ja vastaa omasta toiminnastaan. 

Osalla kirjastoista on lakisääteinen velvollisuus kerätä tietoja – tällöin niillä ei ole asetuksen mukaista velvollisuutta informoida rekisteröityä. Jos lakisääteistä velvollisuutta ei ole, kirjasto on rekisterinpitäjänä velvollinen huolehtimaan informoinnista.

Kansalliskirjasto on katsonut hyväksi informoida rekistereistään tietosuojalainsäädännön velvoitteita laajemmin.

3.5: "Sopijapuolet toteavat, että Kansalliskirjaston lakisääteisen tehtävän hoitaminen edellyttää riittävien tietojen keräämistä ja saataville asettamista, ja että Kansalliskirjasto näin ollen kerää tietoja metatietovaranto Melindaan lakisääteisen tehtävänsä ja yleisen edun perusteella."
JA "3.8 Rekisteröityjen oikeuksiin vastaaminen. Molemmat sopijapuolet ovat velvollisia täyttämään Rekisteröityjen Tietosuojalainsäädäntöön perustuvat oikeudet. Rekisteröity voi siten esittää Tietosuojalainsäädäntöön liittyviä vaatimuksia kummalle tahansa tai molemmille Osapuolille."

Kohdassa 3.5 todetaan, että KK:lla on laajempia velvollisuuksia henkilötietojen keräämisen suhteen. Oletus on, että korkeakoulukirjastolla on vähäisemmät tarpeet koota tietoa. Aiheutuuko tästä ristiriitaa kohtaan 3.8:aan, jossa tasavertaisesti velvoitetaan molemmat toimijat vastaamaan velvoitteisiin? Olisiko syytä tunnistaa (mahdolliset) erilaiset tarpeet ja velvoittaa jotenkin sitä toimijaa enemmän, jolla on eniten tarpeita koota henkilötietoja?

Miten Fennican auktoriteettitiedot?

Silloin kun molemmat  osapuolet ovat rekisterinpitäjiä, ne ovat  velvollisia vastaamaan tietopyyntöön oman rekisterinsä osalta, eikä tietopyyntöä näin ollen voida ohjata ns. oikealle taholle.

Kansalliskirjasto laatii kuitenkin yhteistyössä kirjastojen kanssa ohjeistusta erilaisiin metatietoihin ja tilanteisiin (esim. Fennica) liittyen.

Koska tuotamme kansallisia palveluja (Finna, Melinda, julkaisuarkistot) pitkälti yhdessä, käytännössä ratkaisemme myös tietopyynnöt ja mahdolliset ongelmatilanteet yhdessä.

Jos opinnäytetyön tallentaminen perustuu lakisääteiseen tehtävään, tiedot poistetaan lakisääteisen säilytysajan päättyessä. Tietosuoja-asetuksessa säädetyt rekisteröidyn oikeudet (ml. oikeus pyytää tietojensa poistamista) syrjäytyvät erityislainsäädännön tieltä.

Ks. myös Finnan tietosuojaliitettä koskevat kommentit ja vastaukset.

3.7: Tietoturva ”Kumpikin sopijapuoli sitoutuu toteuttamaan tekniset, fyysiset ja organisatoriset toimenpiteet…”

Kommentit: Lisätään lauseeseen sana ”riittävät”

 --> ”Kumpikin sopijapuoli sitoutuu toteuttamaan riittävät tekniset, fyysiset ja organisatoriset toimenpiteet…”

Muutos kohtaan 3.7:

Kumpikin sopijapuoli sitoutuu toteuttamaan riittävät tekniset, fyysiset ja organisatoriset toimenpiteet, joilla kumpikin sopijapuoli varmistaa omalta osaltaan Henkilötietojen käsittelyn korkean turvallisuustason ja, joilla suojellaan Henkilötietoja luvattomalta tai laittomalta käsittelyltä sekä tahattomalta menettämiseltä, tuhoamiselta, vahingolta, muutokselta tai luovuttamiselta.

Koska molemmat osapuolet ovat rekisterinpitäjiä, ne ovat  velvollisia vastaamaan tietopyyntöön oman rekisterinsä osalta, eikä tietopyyntöä näin ollen voida ohjata ns. oikealle taholle.

Melinda-palvelun luonteen vuoksi liitteeseen voidaan kuitenkin lisätä velvoite ilmoittaa tietopyynnöstä muille sopijakumppaneille.

Lisäys kohtaan 3.8:

Se sopijapuoli, jolle tietopyyntö on esitetty, on velvollinen ilmoittamaan tietopyynnöstä ja siihen annetusta vastauksesta toisille sopijapuolille.

3.11: "(kuten esimerkiksi sähköpostitse tai SMS-viestillä)"

SMS-viesti voi olla hyvä lähettää ensitiedotteena mutta varsinainen ilmoitus tulee tehdä asiakirjan muodossa, jotta poikkeaman käsittelyä voidaan seurata.

"Tekstari" voi olla hieman huono väline tämän tyyppiselle ilmoittamiselle, mutta sinällään OK, jos tämä on sovittu toimintatapa.

Yleinen kirjasto

Yliopistokirjasto

Muutos kohtaan 3.11:

(kuten esimerkiksi sähköpostitse)

Kommentit:

Ehdotamme, että lisätään lauseeseen sana ”kirjallisia”. → ”…Kansalliskirjaston antamia kirjallisia ohjeita…”

Luottamuksellisuuteen liittyvät ohjeet voidaan toimittaa kirjallisina, ja muutenkin pääsääntöisesti, mutta Kansalliskirjasto antaa ohjeistusta myös mm. webinaareissa.

"Dokumentoitu" on tässä tilanteessa parempi muotoilu.

Muutos kohtaan 4:

Sopijapuolet takaavat, että heidän työntekijänsä ja neuvonantajansa, jotka luovuttavat ja käsittelevät Henkilötietoja kohdan 3 mukaisesti, noudattavat tätä Liitettä sekä Kansalliskirjaston antamia dokumentoituja ohjeita ja toimivat huolellisesti niiden mukaisesti.