Tietosuojarikkomukset, niiden ehkäisy ja käsittely

TIETOSUOJARIKKOMUKSISTA JA
NIIDEN EHKÄISYSTÄ JA
KÄSITTELYSTÄ
27.3.2015
Oikeudellista taustaa
• Perusoikeusuudistuksessa vuodelta 1995, HM 8 §
(ja v. 2000, PerL 10 §) yksityiselämän suoja on
nostettu perusoikeudeksi
• Henkilötietojen suojasta säädetään tarkemmin
erikseen
• Teko, joka loukkaa perusoikeutta ja samalla täyttää
henkilörekisteririkoksen tunnusmerkistön, ei voine
olla vähäinen
• Rikoslain 38 luku 9§ (Henkilörekisteririkos)
https://www.finlex.fi/fi/laki/alkup/1999/19990525
Henkilörekisteririkoksen
tunnusmerkkejä
• Joku käsittelee henkilötietoja mm. vastoin
henkilötietolain (523/1999) tarkoittamaa
käyttötarkoitussidonnaisuutta
• On arvioitava käytettiinkö henkilörekisteritietoja
työtehtäviin vai muuhun tarkoitukseen kuin
työtehtäviin (esim. uteliaisuus/viihdekäyttö)?
• Teko loukkaa rekisteröidyn yksityisyyden suojaa tai
aiheuttaa asianomistajalle muuta vahinkoa tai
olennaista haittaa
Lokitiedot (Euroopan
ihmisoikeustuomioistuimen päätös)
EIT:n päätös 17.7.2008 (I v. Suomi):
• Koski suomalaisen sairaalan toimintaa v. 1992
• Asianomistaja oli saanut HIV-tartunnan ja hän työskenteli samassa sairaalassa,
jossa tartunta oli todettu
• V. 1992 alussa asianomistajalle syntyi epäily, että työkaverit olivat tulleet
tietoisiksi tästä sairaudesta
• Jälkikäteisissä selvityksissä ilmeni, ettei potilastietojen yksittäisiä käyttäjiä
kyetty selvittämään ts. tietojärjestelmällä ei ollut käyttäjiä yksilöivää
käyttöoikeusjärjestelmää eikä sen avulla tuotettavaa ns. käyttölokitusta
• V. 1992 ei ollut nimenomaisia säännöksiä – henkilörekisterilaissakaan
käyttäjäkohtaisesta kirjautumisesta ja käytön lokituksesta (STM A 99/2001, 4 §
vrt. STM määräykset 1993:7)
• Näin ollen säännösten valossa v. 1992 ei edellytetty käyttäjäkohtaisia
käyttöoikeuksia ja käyttölokitusta ja sen pidempiaikaista säilyttämistä
• Em. ei estänyt Euroopan ihmisoikeustuomioistuinta antamasta langettavaa
päätöstä henkilötietojen suojan käytännöllisen ja tehokkaan suojan (“practical
and effective protection”) puuttumisesta
• Luvattoman käsittelyn epäily on kyettävä jälkikäteen selvittämään
Käytönvalvonta mm. lokitietojen
avulla
• Ymmärretään jälkikäteinen käytönvalvonta
rekisterinpitäjävetoisena prosessina
• Ei pelkkänä rekisteröidyn lokitietopyyntönä
• Kyse ei ole työntekijän perusteettomasta
valvonnasta, vaan lakiin perustuvasta
• Työntekijän oikeusturvan toteuttamisesta sekä
• Potilaan yksityisyyden suojaamisesta
• Tehdään prosessi näkyväksi
• Jotta sitä voisi kehittää ja automatisoida
• Osoitetaan johdolle valvontaan liittyvät oikeudelliset ja
tietotekniset haasteet sekä resurssitarpeet
Työnantajan ennakkotoimet
•
Ennen käytön seurannan ja valvonnan
aloittamista
–
–
–
Työntekijät tietoisiksi seurannan ja valvonnan
aloittamisesta
Työntekijät tietoisiksi, mikä on laitonta
henkilötietojen käsittelyä
Työntekijät tietoisiksi laittoman käsittelyn
seuraamuksista
Väärinkäytöksien ehkäiseminen esim.
terveydenhuollossa
Rekisterinpitäjän on ryhdyttävä teknisiin ja organisatorisiin toimenpiteisiin
potilasrekisteritietojen suojaamiseksi luvattomalta käsittelyltä (HetiL 32 §)
•
•
•
•
•
•
•
•
•
•
•
•
tietosuojavastaavan nimeäminen (eArkistoL 20 §)
vastaavan johtajan ohjeet työntekijöille (eArkistoL 20 §)
henkilökunnan tietosuojakoulutus (tietosuojavastaava)
vastaavan johtajan varmistuttava henkilöstön tietosuojaosaamisesta
esim. testit (eArkistoL 20 §)
henkilökohtaiset käyttäjätunnukset (HetiL 5,6,7 ja 32 §)
työtehtävien mukaiset rajatut käyttöoikeudet (HetiL 5,6,7 ja 32 §)
lokirekisteri käytönvalvontaa varten (HetiL 32)
käytönvalvonnan toimintasuunnitelma (vastaava johtaja)
käytönvalvonnan toteuttaminen (tietosuojavastaava koordinoi)
tietosuojan tilasta raportointi johdolle (tietosuojavastaava)
sisäiset auditoinnit ja omavalvontasuunnitelma
sanktiotaulukot rikkomuksiin
Väärinkäytöksien selvittely
1) ASIAN VIREILLESAATTAMINEN JA ESIKÄSITTELY
– Rekisteröity ja tietosuojavastaava tai muu henkilö
– Rekisteröidyn informointi selvittämismenettelyn periaatteista
– Tavoitteena epäilyn riittävä yksilöinti/kohdentaminen
2) PERUSSELVITTÄMINEN
–
–
–
–
Tietosuojavastaava/tietoturvapäällikkö tai muu henkilö
Riittävän yksilöidyn/kohdennetun epäilyn selvittäminen
Hankitaan näyttöä (esim. käyttölokit)
Näytön arviointi ja johtopäätökset
3) TYÖNANTAJAN LOPPUTOIMENPITEET
–
–
–
–
Esimies/henkilöstöjohtaja sekä epäilty työntekijä
Työntekijän kuuleminen (+ luottamusmies)
Johtopäätökset, työoikeudelliset + jatkotoimenpiteet
Päätös tiedoksi työntekijälle ja rekisteröidylle
Seuraamuksia väärinkäyttäjälle
a) Työoikeudelliset seuraamukset
– huomautus, varoitus, työsuhteen irtisanominen/purku
b) Tietosuojaoikeudellinen turvaamistoimenpide
– käyttöoikeuksien rajaaminen, työtehtävien vaihto
c) Rikos- ja vahingonkorvausoikeudelliset
seuraamukset
–
–
–
–
henkilörekisteririkos, henkilörekisteririkkomus
salassapitorikos
virkarikos
mm. kärsimysvahinko
Haasteita riittää
•
•
•
•
•
•
Miten henkilökunta sitoutetaan lokivalvontaan?
Miten asiakasta (=rekisteröityä) voidaan auttaa?
Selvittämisen sisäinen organisointi ?
Miten organisaatio kerää riittävät/tarpeelliset
lokitiedot?
Milloin organisaation tulee harkita selvityksen
laajentamista mahdollisiin muihinkin
rekisteröityihin kohdistuvaan väärinkäyttöön?
Kuka tekee asiassa tutkintapyynnön poliisille?
OPI LISÄÄ TIETOSUOJASTA
WWW.OPITIETOSUOJAA.FI