YLEISET KIRJASTOT JA TIETOSUOJA 25 11 2020 ULLA

YLEISET KIRJASTOT JA TIETOSUOJA 25. 11. 2020 ULLA VIRRANNIEMI

ALKUVERRYTTELY 25. 11. 2020 ”Minulla ei ole mitään salattavaa” - http: //www. tietosuoj a. fi/fi/index/blogi/6 IU t. CELFH/2018/mk. QJ g. H 3 cv. html. stx ULLA VIRRANNIEMI

TAUSTAA EU GDPR = Euroopan unionin tietosuoja-asetus - Tullut voimaan 24. 5. 2016 Tavoitteena 1. Yhtenäistää ja selkeyttää EU jäsenmaiden tietosuojalainsäädäntöä ja parantaa myös tiedon liikkuvuutta jäsenvaltioiden välillä. Henkilötietojen taloudellinen merkitys 2. Parantaa ja selkeyttää rekisteröidyn oikeuksia. 3. Koskee vain luonnollisia, elossa olevia henkilöitä. 25. 11. 2020 ULLA VIRRANNIEMI

TAVOITTEET Uuden lainsäädännön tavoitteena on • parantaa henkilötietojen suojaa ja rekisteröityjen oikeuksia • vastata uusiin digitalisaatioon ja globalisaatioon liittyviin tietosuojakysymyksiin • yhtenäistää tietosuojasääntelyä kaikissa EU-maissa • edistää digitaalisten sisämarkkinoiden kehittymistä. 25. 11. 2020 ULLA VIRRANNIEMI

PERUSPERIAATTEITA Sisäänrakennetun tietosuojan periaate Järjestelmät, prosessit ja periaatteet on määritelty sellaisiksi, että ne lähtökohtaisesti tukevat tietosuojaa. Oletusarvoisen tietosuojan periaate vain kunkin tarkoituksen kannalta tarpeelliset henkilötiedot Osoitusvelvollisuus Pitää pystyä osoittamaan, että näitä periaatteita on noudatettu organisaation toiminnassa. Pelkkä lain noudattaminen ei riitä, vaan se tulee todentaa. 25. 11. 2020 ULLA VIRRANNIEMI

http: //www. consilium. europa. eu/fi/infographics/data-protection-regulation-infographics/ 25. 11. 2020 ULLA VIRRANNIEMI

SUHDE AIKAISEMPAAN LAINSÄÄDÄNTÖÖN Rekisteröidyn oikeudet vastaavat Suomessa pitkälti aiempaa (Henkilötietolaki) Mm. oikeus tarkistaa itseään koskevat tiedot, velvollisuus korjata virheelliset tiedot, poistettava tarpeeton ja vanhentunut tieto. Uutta: ”Oikeus tulla unohdetuksi” - > ei sovelleta lakisääteisiin rekistereihin, joissa tieto tulee säilyttää lakisääteisesti. (käytännössä esim. kaupalliset rekisterit). Oikeus saada itseään koskevat tiedot sähköisesti ja siirtää tietojaan järjestelmästä toiseen. Tietosuojavastaava (aiemmin vain SOTE, nyt laajasti) Tietoturvaloukkauksista raportointi (valvontaviranomainen ja rekisteröity) Hallinnolliset sanktiot (ei vielä tietoa, koskeeko julkishallinnonorganisaatioita) “Sisäänrakennettu tietosuoja” – järjestelmä on suunniteltu niin, että tietosuoja on helppo osoittaa. Jos henkilötietojen käsittely perustuu suostumukseen, suostumuksen on oltava nimenomainen (ei “poista ruksi, jos ei”, vaan “laita ruksi”, jos hyväksyt 25. 11. 2020 ULLA VIRRANNIEMI

MIKÄ ON HENKILÖTIETO Tieto/tiedot, joiden nojalla joku henkilö voidaan suoraan tai epäsuorasti tunnistaa. Pelkkä ammatti, sukupuoli, kieli, syntymäpaikka eivät välttämättä ole sitä, mutta voivat yhdisteltyinä muodostaa henkilötiedon. Asetus koskee niin julkisia, kuin ei-julkisia henkilötietoja – siksi myös kirjaston aineistorekisteri ja julkaisurekisterit voivat olla henkilörekistereitä. Tietojen kerääminen pystyttävä perustelemaan Myös valokuva, josta henkilö on tunnistettavissa, on henkilötieto – mutta miloin valokuvat muodostavat henkilörekisterin? 25. 11. 2020 ULLA VIRRANNIEMI

ASETUKSESTA ”’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella” 25. 11. 2020 ULLA VIRRANNIEMI

REKISTERI JA KÄSITTELY ’rekisteri’ = mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu. . ’käsittely’ = toiminto tai toiminnot, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista… 25. 11. 2020 ULLA VIRRANNIEMI

REKISTERINPITÄJÄ Luonnollinen tai oikeushenkilö, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Kirjastossa KIRJASTO on rekisterinpitäjä, ei kunta – koska kirjasto määrittelee miksi, mitä ja miten tietoja käsitellään. Kunnan tietohallinto ei voi sisällöllisesti olla rekisterinpitäjä, vaikka tosiasiallisesti esim. tietopyyntöihin tarvitaan apua myös tietohallinnon toimijoilta, jolloin heitä voidaan pitää asetuksessa tarkoitettuina henkilötietojen käsittelijöinä. 25. 11. 2020 ULLA VIRRANNIEMI

ONGELMIA Väärinkäsityksiä, liian tiukkoja tulkintoja… Aitoja epäselvyyksiä Huonot käännökset, olemattomat tulkinnat. 25. 11. 2020 ULLA VIRRANNIEMI

HENKILÖTUNNUS Siilo-ratkaisu – kaikki lainauspalvelun työntekijät eivät automaattisesti pääse käsiksi henkilötunnukseen. Kirjastolla on oikeus pyytää asiakkaaltaan henkilötunnus, niiltä osin Tietosuojalautakunnan päätös 29. 11. 1993 56/1993, liittyen henkilötunnuksen tarpeellisuusvaatimukseen kirjaston lainausrekisterissä on ainakin toistaiseksi voimassa, samoin kuin. Ja tietosuojavaltuutetun lausunto asiakkaan henkilötietojen kysymisestä tietokonetta käytettäessä http: //www. tietosuoja. fi/fi/index/ratkaisut/asiakkaanhenkilotunnuksenkasittely kirjas. html 25. 11. 2020 ULLA VIRRANNIEMI

KIRJASTOKORTTI! ”pseudonymisoimisella’ henkilötietojen käsittelemistä siten, että henkilötietoja ei voida enää yhdistää tiettyyn rekisteröityyn käyttämättä lisätietoja, edellyttäen että tällaiset lisätiedot säilytetään erillään ja niihin sovelletaan teknisiä ja organisatorisia toimenpiteitä, joilla varmistetaan, ettei henkilötietojen yhdistämistä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön tapahdu Elikkä, jos kirjastossa asiakkaan lainaus yms. Tapahtuu kirjastokortilla ja se on linkki tietoihin, niin varsinainen henkilörekisteri voidaan irrottaa lainauksesta (”Siilo”). 25. 11. 2020 ULLA VIRRANNIEMI

ASIAKKAAN TUNNISTAMINEN Asiakkaan tietosuojan kannalta kirjastokortilla on merkitystä. Luotettava tunnistaminen, myös silloin, kun asiakas kysyy esim. itsestään tallennettuja tietoja – esim. puhelimitse ei tietosuojapyyntöön voida suostua. 25. 11. 2020 ULLA VIRRANNIEMI

TIETOPYYNTÖ Asiakkaalla on oikeus saada tieto siitä mitä hänestä on rekisteriin tallennettu. oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen oikeus tietää ja saada ilmoitus erityisesti henkilötietojen käsittelyn tarkoituksista, käsittelyajasta, henkilötietojen vastaanottajista, henkilötietojen automaattisen käsittelyn logiikasta sekä kyseisen käsittelyn mahdollisista seurauksista, jos on kyse profiloinnista. Rekisterinpitäjän olisi hyvä tarjota etäpääsy suojattuun järjestelmään, jossa rekisteröity saa suoran pääsyn henkilötietoihinsa. - Esim asiakas pääsee katsomaan omat tietonsa kirjastorekisteristä. Jos rekisterinpitäjä käsittelee merkittäviä määriä rekisteröityä koskevia tietoja, oikeus pyytää täsmennystä, mitä tietoja pyydetään. 25. 11. 2020 ULLA VIRRANNIEMI

KÄYTÄNNÖSSÄ Tulee olla kirjattuna ylös, miten tietopyyntö tulee esittää, jotta asiakas on tunnistettu luotettavasti. Määräaika sille, kuinka nopeasti asia käsitellään (tavoiteaika). Kirjattuna, kuka hoitaa asian, missä muodossa tiedot toimitetaan, mistä rekistereistä tiedot haetaan. Huomioitavaa – jos henkilö pyytää kunnasta selvitystä, missä kaikissa KUNNAN rekistereissä hänestä on tietoa, niin kirjastoon voi tulla liitännäispyyntö myös sitä kautta. 25. 11. 2020 ULLA VIRRANNIEMI

VOIKO ASIAKAS VAATIA TIETOJAAN POISTETTAVAKSI Lainaajarekisteristä Voi, jos samalla luopuu lainausoikeudesta -> ei ole pakko olla kirjaston asiakas. Kuitenkin myös kirjastolla on oikeuksia, joten esim. lainat on palautettava ja velat maksettava, ennen tietojen poistoa. Muut rekisterit Esim. osallistumistiedot tapahtumiin yms. – voi pyytää. Julkaisutietokannasta (Finnan myötä tullut joissain kirjastoissa esille) Ei oikeutta, ainoastaan oikeus vaatia korjaamaan virheellinen tieto. 25. 11. 2020 ULLA VIRRANNIEMI

TIETOSUOJALOUKKAUS JA SIITÄ RAPORTOINTI 72 tunnin kuluessa viranomaiselle (tietosuojavaltuutettu) ja henkilölle/henkilöille, joita asia koskee. Paitsi, jos ei ole omiaan aiheuttamaan vahinkoa. Joissain tapauksissa ilmoitus viranomaiselle ja julkinen tiedote (jos kaikki henkilötiedot ovat vuotaneet ulos). 25. 11. 2020 ULLA VIRRANNIEMI

TIETOSUOJAVASTAAVA - MITÄ TEKEE? a) antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle sekä henkilötietoja käsitteleville työntekijöille tietoja ja neuvoja, b) seuraa, että noudatetaan tietosuoja-asetusta, siihen liittyviä käytännesääntöjä, ohjeita ja muita säädöksiä (mm. kansallinen lainäädäntö, jahka se valmistuu) c) antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista d) tekee yhteistyötä valvontaviranomaisen kanssa; e) toimii valvontaviranomaisen yhteyspisteenä käsittelyyn liittyvissä kysymyksissä 25. 11. 2020 ULLA VIRRANNIEMI

TIETOSUOJAVASTAAVA – TARVITAANKO KIRJASTOON? ”Rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava aina kun a) tietojenkäsittelyä suorittaa jokin muu viranomainen tai julkishallinnon elin kuin lainkäyttötehtäviään hoitava tuomioistuin; b) rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laajuutensa ja/tai tarkoitustensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa; tai c) rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat laajamittaisesta käsittelystä, joka kohdistuu 9 artiklan mukaisiin erityisiin henkilötietoryhmiin ja 10 artiklassa tarkoitettuihin rikostuomioita tai rikkomuksia koskeviin tietoihin. ” 25. 11. 2020 ULLA VIRRANNIEMI

KÄYTÄNNÖNPOINTTEJA Työntekijöillä on oltava aina henkilökohtaisilla tunnuksilla kirjautuneena järjestelmään, kun käsittelee asiakkaan lainaajatietoja. Kirjastoissa henkilötietojen käsittelyperuste on lähtökohtaisesti joko laki (kirjaston lakisääteinen tehtävä on mm. lainaustoiminnan hoitaminen, johon liittyy rekisterinpito), tai vaihtoehtoisesti asiakkaan perusteltu etu (TULKINTA) Muita käsittelyperusteita sopimus ja asiakkaan suostumus -> lähtökohtaisesti kyse ei olisi näistä. Vastaavasti aineistorekisteriin tallennettujen rekisteritietojen käsittelyssä on myös kyse lakisääteisen tehtävän toteutumisesta (kirjastot muistiorganisaatoina). Tähän perustuu myös oikeus siirtää tekijätietoja esim. kansalliskirjastonrekisteristä yksittäisen kirjaston rekisteriin. 25. 11. 2020 ULLA VIRRANNIEMI

ERITYISTAPAUKSIA Kotipalvelu – asiakkaan suostumus/asiakkaan kanssa tehtävä sopimus. Suosittelu - jos asiakas kirjoittaa suosituksen, niin voi olla, että hän myös samalla hyväksyy ehdon, jossa hänen nimensä näkyy (ja siis tietenkin tallentuu). 25. 11. 2020 ULLA VIRRANNIEMI

MITÄ PITÄÄ TEHDÄ VIIMEISTÄÄN NYT Selvittää mitä rekisterejä kirjastossa on. Varsinaisen asiakasrekisterin lisäksi esim. kotipalveluun liittyvät rekisterit. Kaikki sellaiset tiedostot, joissa on ihmisten henkilötietoja ja joita käyttää useampi, kuin yksi ihminen. Rekisterikohtaiset riskiarviot (millaista tietoa sisältää) Mihin tietoa luovutetaan (HUOM! Tietojen luovutus tilastointiin – tosin asiakasmääriin ja lainoihin liittyvä data on yleensä anomyymiä, mutta tästä huolimatta tämä tulee tuoda esiin. Sopimukset kuntoon ulkopuolisten tiedon käsittelijöiden kanssa. Henkilökunnan jäsenten omat tunnukset. 25. 11. 2020 ULLA VIRRANNIEMI

LAPSET KIRJASTON ASIAKKAANA JA REKISTERÖITYNÄ Erityisesti lasten henkilötietoja on pyrittävä suojaamaan, koska he eivät välttämättä ole kovin hyvin perillä henkilötietojen käsittelyyn liittyvistä riskeistä, seurauksista, asianomaisista suojatoimista tai omista oikeuksistaan. Tällaista erityistä suojaa olisi sovellettava etenkin lasten henkilötietojen käyttämistä markkinointitarkoituksiin tai henkilö- tai käyttäjäprofiilien luomiseen ja lapsia koskevien henkilötietojen keräämistä, kun käytetään suoraan lapsille tarjottuja palveluja. Lapselle voidaan myöntää kirjastokortti vanhemman suostumuksella 25. 11. 2020 ULLA VIRRANNIEMI

LAPSEN IKÄRAJA TIETOYHTEISKUNNAN PALVELUISSA 13 VUOTTA Hallituksen ”…esityksen mukaan tietoyhteiskunnan palvelujen tarjoaminen suoraan lapselle edellyttäisi, että lapsi on vähintään 13 -vuotias. Nuoremmalla olisi oltava vanhempien suostumus esimerkiksi sosiaalisen median ja muiden henkilötietojen antamista edellyttävien palvelujen käyttämiseen. Rekisterinpitäjän vastuulla olisi tarkistaa, että suostumus on olemassa. Suomessa lapsen ikäraja olisi alempi kuin yleisessä tietosuoja-asetuksessa säädetty 16 vuotta. Tietosuojalain valmistelun yhteydessä saaduissa lausunnoissa korostettiin internetin merkitystä nuorille ja puollettiin alemman ikärajan säätämistä. ” http: //oikeusministerio. fi/artikkeli/-/asset_publisher/tietosuojalaki-taydentaisieu-n-tietosuoja-asetusta 25. 11. 2020 ULLA VIRRANNIEMI

HYVIÄ KÄYTÄNTEITÄ Tietojen säännöllinen tarkistaminen asiakkaalta itseltään. Voidaan myös miettiä tehdäänkö linkki esim. väestörekisteriin, mutta siinä taas on omat ongelmansa tietojen siirron suhteen. Lähtökohta tulisi kuitenkin olla, että tiedot tulevat rekisteröidyltä itseltään. Tietojen poisto, kun asiakas ei ole käyttänyt kirjaston palveluita xx-vuoteen (määriteltävä mielellään käyttösäännöissä, mutta ainakin rekisteriselosteessa. ) HUOM! Jos jotain tietoa on kerätty, kannattaa varmistaa MIKSI sitä on kerätty, onko siihen esim. lakisääteinen peruste, ennen kuin ko. tieto poistetaan rekisteristä. HÄTIKÖIDYILLÄ RATKAISUILLA SAADAAN ENEMMÄN VAHINKOA AIKAAN, KUIN SILLÄ, ETTÄ ASOIHIN PEREHDYTÄÄN KUNNOLLA. 25. 11. 2020 ULLA VIRRANNIEMI

LISÄYS Tietosuojavaltuutetun toimistosta tullut vastaus koskien asiakkaan henkilötunnuksen käsittelyä kirjastossa (päivätty 31. 3. 2005). "En näe estettä sille, että asiakkaan niin halutessa, hän voisi käyttää kirjastokortin ohella tai sijasta jotakin muuta henkilöllisyyden osoittavaa todistusta lainatessaan kirjastosta aineistoa. . . Kirjastojärjestelmä tulee kuitenkin rakentaa siten, ettei henkilötunnus toimi lainaajatunnuksena. Henkilötunnuksen käyttö liittyy edelleen vain lainaajakortin antamista ja lainausoikeuden lakkaamista koskeviin tilanteisiin sekä perintätilanteisiin. ” Toisinsanoen Henkilöllisyystodistuksen käyttö voisi olla mahdollista, mutta eri asia on sitten, että henkilökortin (esim. ajokortin) viivakoodin voisi tallentaa ja lainaus tapahtua sen avulla, koska silloinhan lainaus tapahtuu tosiasiassa henkilötunnuksella, koska ajokortin/kelakortin viivakoodi on yhtä kuin henkilötunnus. Käytännössä siis, henkilöllisyystodistuksen esittämällä tiskillä voi lainata, jos kirjaston käyttösäännöt sen sallivat tai jos rinnasteena henkilöllisyyden todentamiseen pidetään sitä, että henkilö kirjastossa varmasti tunnetaan (käytössä myös mm. pankissa), niin sekin onnistuu. Asia olisi kuitenkin hyvä kirjata selkeästi kirjaston käyttösääntöihin. Tästä ilmeisesti pyydetään tietosuojavaltuutetulta uutta lausuntoa. 25. 11. 2020 ULLA VIRRANNIEMI

KEEP CALM AND CARRY ON 25. 11. 2020 ULLA VIRRANNIEMI

LISÄÄ INFOA Arjen tietosuoja: https: //vimeo. com/222342825 Tietosuojan ja tietoturvan huoneentaulu: https: //opitietosuojaa. fi/images/tiedostot/pikakuvakkeet/Ty%C 3%B 6 kalupakki_Tietot urva_huoneen_taulu. pdf Tietosuojasanastoa http: //www. tietosuoja. fi/fi/index/euntietosuojauudistus/sanastoa. html Vahtihankkeita http: //vm. fi/tietosuojan-yhteishankkeet Hallituksen esitys tietosuojalaiksi http: //valtioneuvosto. fi/paatokset/paatos? decision. Id=0900908 f 80595905 Kuvat © Ulla Virranniemi 25. 11. 2020 ULLA VIRRANNIEMI