EU:n tietosuoja-asetus GDPR ja tietosuojaseloste – DevNet Oy

EU:n tietosuoja-asetusta (General Data Protection Regulation, GDPR) aloitetaan soveltamaan
25.5.2018. Tietosuoja-asetuksen tarkoituksena on lisätä henkilötietojen käsittelyn avoimuutta ja
läpinäkyvyyttä sekä vahvistaa rekisteröityjen oikeuksia valvoa henkilötietojensa käsittelyä.
Uudistukselle on tarve: kuluttaminen ja kansalaisten arki digitalisoituu vauhdilla ja riskit
yksityisyyden loukkauksille kasvavat samaa tahtia. Esimerkkejä tästä ovat viime vuosien isot
tietomurrot, joissa on viety jopa miljoonien ihmisten luottokorttitietoja tai salasanoja.

Monet henkilötietojen käsittelyn periaatteet säilyvät ennallaan, mutta rinnalle tulee uusia
tietosuojaa ja henkilötietojen käsittelyä koskevia velvoitteita, joihin rekisterinpitäjien ja
henkilötietojen käsittelijöiden on pystyttävä vastaamaan.
Keskeistä ja uutta tietosuoja-asetuksessa on mm. riskiperusteinen lähestymistapa ja
rekisterinpitäjän osoitusvelvollisuus

Mikä kaikki on henkilötietoa:
Uusi asetus koskee käytännössä kaikkia yrityksiä, koska henkilötietojen käsite on lavea.
Henkilötiedot kattavat järjestelmät, joihin on kerätty luonnollisista henkilöistä tietoja. Tällaisia ovat
mm. verkkokaupat, kuluttaja-asiakasrekisterit, HR-järjestelmät ja järjestelmät, joissa on esimerkiksi
työntekijöiden tietoja, tai sähköpostit, joissa on mainittu henkilö.

Esimerkkejä tapauksista, joissa on myös kyse henkilötiedoista:

1) Yrityksen CRM-tiedoissa on yrityksen yhteyshenkilöt mainittu.2) Yrityksen muistiossa on kuvattu toisen yrityksen edustajan sanoneen x tai y asian, eikä niin, että
se olisi yleisesti todettu, ilman kertojaa. (Esim. talouspäällikkö kertoo kiinteistön arvon toimittajalle
limiitin määrittelyä varten ja limiitin märittelijä määrittelee järjestelmäänsä, että ko.
talouspäällikkö antoi arvion.)
3) Sähköpostit sisältävät usein henkilötietoja, eli katsotaan, että tietty henkilö on lähettänyt viestin.
Mikäli viesti sisältää mitään sellaista sisältöä, jonka voidaan katsoa rajoittavan lähettäjän oikeuksia
tai vapauksia, jos tieto julkaistaisiin, on kyseessä aina henkilötietolain alainen data.
4) Videokameramateriaali

Henkilö X lähettää omasta sähköpostistaan viestin henkilölle Y ja toteaa, että tänään on aika kaunis
päivä > Ei ole henkilötietolain alaista tietoa.

Henkilö X lähettää omasta sähköpostistaan tarjouspyynnön usealle toimijalle > Mikäli tieto tästä
leviäisi, olisi se haitaksi lähettäjälle > Tietosuoja-asetuksen alaista tietoa.

Huom! Mikäli viestiä ei lähetetä henkilön nimissä ja toimijana on vain organisaatio, ei kyse ole
henkilötietolain alaisista tiedoista.

Asetus parantaa yksilön oikeuksia henkilötietojensa käsittelyssä

Jatkossa jokaisella on aiempaa vahvemmat oikeudet mm. tietää mitä tietoa hänestä kerätään,
mihin tarkoitukseen, missä tietoja säilytetään ja kuka tietoja käsittelee.
Tietosuoja-asetus tuo rekisteröidylle mm. oikeudet:

• Tietää mitä tietoja hänestä kerätään
• Mahdollisuuden kieltää itseään koskevan tiedon kerääminen ja käsittely sekä vaatia jo
• kerättyjen tietojen poistamista
• Saada itseään koskevat tiedot koneluettavassa muodossa
• Saada tieto, jos itseään koskevia merkittäviä henkilötietoja on vuotanut ulkopuolisille

Osoitusvelvollisuus

Asetuksen myötä henkilötietoja täytyy käsitellä yrityksissä aiempaa suunnitellummin ja
huolellisemmin.
Keskeisenä asetuksen uudistuksena on rekisterinpitäjälle asetettu nimenomainen
osoitusvelvollisuus
Jokaisen rekisterinpitäjän pitää pystyä osoittamaan henkilötietojen käsittelyä koskevien
periaatteiden noudattaminen
Osoittamisvelvollisuuden toteuttamiseksi keskeisessä roolissa on mm.

Keskeisimmät termit

Henkilötietoa on kaikki tieto, joka on yksilöitävissä tiettyyn henkilöön. Henkilön voi tunnistaa
esimerkiksi nimestä, henkilötunnuksesta, sähköpostista, ip-osoitteesta, tilinumerosta, kuvasta tai
asiakaspalvelun äänitallenteesta.

Rekisterinpitäjällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai
muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn
tarkoitukset ja keinot.

Henkilötietojen käsittelijällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista,
virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun.

Henkilötietojen käsittelijän ja rekisterinpitäjän väliset sopimukset, vastuut ja velvollisuudet
Tietosuoja-asetus edellyttää, että rekisterinpitäjän on tehtävä henkilötietojen käsittelijän kanssa
tietojenkäsittelyä koskeva sopimus tai saatava sitoumus rekisterin käsittelijältä.
Sopimuksen tavoitteena on määritellä henkilötietojen käsittelyä koskevia vastuita ja
velvollisuuksia, joita ovat mm.
Henkilötietojen käsittelijällä:

• Toimia aina rekisterinpitäjän ohjeiden mukaisesti
• Avustaa rekisterinpitäjää tarvittaessa
• Auttaa rekisterinpitäjää ilmoitusvelvollisuuden täyttämisessä mm. tietoturvaloukkausten yhteydessä
• Auttaa rekisterinpitäjää suorittamaan tietosuojaa koskeva vaikutusarviointi henkilötietojen käsittelyyn liittyen
• Luovuttaa tai poistaa käsittelyn tai palvelusopimuksen päätyttyä kaikki henkilötiedot

Rekisterinpitäjällä:

• Huolehtia, että henkilötietojen käsittelyissä on toteutettu riittävät turvatoimenpiteet mm. henkilötietojen häviämisen, muuttamisen ja luvattoman käytön estämiseksi

Sopimusten tulee aina olla kirjallisia. Varmista, että solmittavat sopimukset kattavat myös
mahdolliset alihankkijat. Tärkeää on ymmärtää, että rekisterinpitäjällä on aina ensisijainen
vastuu koko henkilötietojen käsittelyketjusta.

DevNet Oy on huolehtinut sopimisen asiakkaidemme (rekisterinpitäjän) puolesta tietosuojaehdot
liitteellä, joka on lisätty osaksi yleisiä sopimusehtoja. Jos yrityksesi täytyy sopia tietojen
käsittelystä muiden yhteistyötahojen kanssa, löydät sopimukseen pohjia tietosuoja.fi sivustolta.

DevNet Oy vastuut henkilötietojen käsittelijänä

Olemme sitoutuneet uuden tietosuoja-asetuksen noudattamiseen. Asiakkaan puolesta tehtävä
henkilötietojen käsittely perustuu rekisterinpitäjän valtuutukseen/suostumukseen.
Tiedotamme kaikista havaituista poikkeuksista rekisterinpitäjää.

Sopimusliitteellä katetaan vaatimus kirjallisesta sopimisesta tilanteissa, joissa DevNet Oy on
henkilötietojen käsittelijänä asiakkaidemme ylläpitämässä henkilötietorekisterissä.

TIETOSUOJASELOSTE – DevNet Oy

Yleistä
Palveluidemme tarjoaminen edellyttää, että keräämme ja käsittelemme joitakin sinua koskevia
henkilötietoja. Arvostamme kuitenkin yksityisyyttäsi! Niinpä olemme sitoutuneet suojaamaan sitä
ja noudattamaan kaikkea henkilötietojen käsittelyyn sovellettavaa lainsäädäntöä. Tämä
tietosuojaseloste sisältää yleiskuvauksen siitä, mitä henkilötietoja keräämme, millä periaattein sitä
käsittelemme, sekä mitä oikeuksia ja vaikuttamismahdollisuuksia sinulla on henkilötietojasi
koskien.

DevNet Oy käsittelee sinua koskevaa henkilötietoa tämän tietosuojaselosteen ja sovellettavan
lainsäädännön mukaisesti, joten pyydämme sinua lukemaan tämän tietosuojaselosteen
huolellisesti. Saatamme myös tehdä päivityksiä tähän tietosuojaselosteeseen toimintamme
kehittyessä tai lainsäädännön muuttuessa, joten pyydämme sinua käymään tällä sivulla aika ajoin.
Toimimme usein myös suhteessa yritys- tai organisaatioasiakkaisiimme tietosuojalainsäädännön
tarkoittamana henkilötietojen käsittelijänä. Eli käsittelemme rekisterinpitäjän, asiakkaamme,
henkilötietoja tämän lukuun ja ohjeiden mukaisesti. Näiden tietojen käsittelyperiaatteet on
määritelty asiakkaamme tietosuojaselosteissa, joten pyydämme tarvittaessa tutustumaan myös
niihin.

Keskeiset tietosuojaperiaatteemme:

• Tietosi ovat luottamuksellisia ja niitä käsitellään tämän tietosuojaselosteen ja sovellettavan lain mukaisesti.
• Emme luovuta tai siirrä tietoa EU/ETA-alueen ulkopuolelle.
• Käytämme henkilötietoa pääasiassa palveluidemme toimittamiseen, asiakaspalveluun, laskutukseen.
• Sinulla on oikeus tietojen tarkistukseen ja korjaamiseen sekä oikeus tiedon poistamiseen. Poistaminen voidaan toteuttaa niiltä osin joka ei ole ristiriidassa esimerkiksi kirjanpitolain kanssa.

Mitä henkilötietoja minusta kerätään ja mistä lähteistä?

Saamme pääosan keräämistämme henkilötiedoista asiakkaalta itseltään yhteydenoton ja
myöhemmin palvelujen käytön yhteydessä. Palveluidemme käytön yhteydessä myös syntyy uusia
tietoja, joita käsittelemme ja tallennamme tämän tietosuojaselosteen mukaisesti.

Keräämme ja käsittelemme pääasiassa seuraavia tietoja:

• Yritysasiakkaista: y-tunnus, osoite ja muut yhteystiedot, yhteyshenkilöiden nimet ja perustiedot.
• Yksityisasiakkaista: Nimi, syntymäaika, osoite ja muut yhteystiedot (henkilötunnus voidaan tarvita esim. verkkotunnuksen rekisteröintiä varten, mutta sitä ei tallenneta rekisteritietoihin)
• Kaikista asiakkaista: tiedot tilatuista palveluista, palveluiden käyttötiedot ja laskutustiedot.
• Laskutusta varten säilytettäviä ja käsiteltäviä tunnistamistietoja ovat esim. yhteyden muoto, kesto ja alkamisajankohta sekä muut sen kaltaiset tiedot ja tunnisteet, kuten käyttäjätunnukset. Laskutusta varten tunnistamistietoja voidaan säilyttää ja käsitellä niin kauan kuin lasku voidaan laillisesti periä, tai jos lasku on asiakkaan toimesta riitautettu, siihen saakka, kun asia on ratkaistu tai sovittu.
• Palveluiden toteuttamista ja kehittämistä varten käsiteltäviä tunnistamistietoja ovat esim. telepäätelaitteen tyyppi ja sijainti, yhteyden muoto, kesto ja alkamisajankohta sekä muut sen kaltaiset tiedot ja tunnisteet, kuten käyttäjätunnukset. Palveluiden toteuttamista ja kehittämistä varten tunnistamistietoja voidaan käsitellä koko sopimussuhteen ajan.

Millä perusteella henkilötietoja käsitellään?

Huolehdimme siitä, että meillä on aina lain edellyttämä peruste henkilötietojesi käsittelemiselle.
Saatamme käsitellä henkilötietojasi usealla eri perusteella. Kun olet asiakkaanamme, käsittelemme
henkilötietojasi sopimuksen täytäntöönpanemiseksi ja valmistelemiseksi. Lisäksi saatamme
käsitellä tietoja lakisääteisten ja oikeudellisten velvoitteiden täyttämiseksi. Voimme myös käsitellä
henkilötietojasi palveluidemme tietoturvasta huolehtimiseksi ja väärinkäytösten selvittämiseksi.
Käsittelemme myös henkilötietojasi oikeutetun etumme nojalla, joka on palveluidemme
tarjoaminen ja liiketoimintamme harjoittaminen ja kehittäminen sekä näihin liittyvä markkinoinnin
ja myynnin kohdentaminen. Joitakin henkilötietoja saatamme käsitellä myös suostumuksesi nojalla
niihin tarkoituksiin, joihin olet suostumuksesi antanut.

Kuka käsittelee tietojani ja luovutetaanko niitä kolmansille osapuolille?

Pääsääntöisesti henkilötietojasi käsittelee vain yrityksemme henkilöstöön kuuluvat henkilöttehtäviään suorittaessaan. Henkilötietojasi saatetaan luovuttaa yhtiömme kanssa samaankonserniin kuuluville yhtiöille lain sallimissa rajoissa.
Tietojasi saatetaan jossain tapauksessa luovuttaa luottamuksellisesti alihankkijoillemme, jotkakäsittelevät henkilötietoja kirjallisen toimeksiantosopimuksen nojalla. Alihankkijamme käsitteleväthenkilötietoja sovitulla tavalla, kirjallisten ohjeidemme mukaisesti ja vain niiden tarkoitustenedistämiseksi, joita on tässä tietosuojaselosteessa mainittu.
Saatamme myös lain sallimissa rajoissa luovuttaa henkilötietoja oikeuskäsittelyyn liittyen,viranomaisen pyynnöstä taikka tuomioistuimen määräyksestä esimerkiksi väärinkäytösten,petosten tai tekijänoikeusloukkausten selvittämiseksi.
Henkilötietoja saatetaan myös luovuttaa, mikäli olemme osallisena yritys- tailiiketoimintakaupassa tai muussa yritysjärjestelyssä.
Saatamme myös luovuttaa anonymisoitua tai tilastollista tietoa, jota ei ole mahdollista yhdistää
sinuun. Mikäli tällainen tieto ei enää ole katsottavissa henkilötiedoksi, saatamme luovuttaa tietoa
kolmansille osapuolille myös muuta kuin tässä tietosuojaselosteessa mainittua tarkoitusta varten.

Miten tietojani säilytetään ja suojataan?

Tietojasi säilytetään asianmukaisesti suojattuna alan yleisten käytäntöjen mukaisesti.
Henkilötietoja säilytetään pääasiassa vain sähköisinä tietoina ja tiedot ovat omassa sisäisessä
järjestelmässämme tallennettuina. Järjestelmä on suojattu usein erilaisin suojausmenetelmin.
Tietoja pääsevät käyttämään vain yhtiömme työntekijät henkilökohtaisella käyttäjätunnuksellaan
ja vain siltä osin kuin heillä on tarve saada työtehtäviänsä varten tietoja rekisteristä. Toimitilamme
ovat myös turvalliset ja lukitut.

Tietojen antamisen pakollisuus ja antamatta jättämisen seuraukset?

Henkilötietojen antaminen ei ole pakollista, mutta jos et anna henkilötietoja tai salli niiden
käsittelyä, emme todennäköisesti pysty palvelemaan sinua ja täyttämään toimintamme
tarkoitusta.

Käytetäänkö verkkosivulla evästeitä ja mitä ne ovat?

Käytämme evästeitä verkkosivuillamme, jotta voisimme tarjota parhaan mahdollisen
käyttäjäkokemuksen sivuston kävijälle. Evästeet ovat lyhyitä tekstitiedostoja, jotka verkkopalvelin
tallentaa käyttäjän päätelaitteelle. Evästeet antavat meille tietoa siitä, miten käyttäjät käyttävät
verkkosivustoamme. Saatamme hyödyntää evästeitä palveluidemme ja verkkosivustomme
kehittämiseksi, verkkosivuston käytön analysoimiseksi, sekä markkinoinnin kohdentamiseksi ja
optimoimiseksi. Verkkosivuston käyttäjä voi antaa suostumuksensa tai kieltää evästeiden käytön
verkkoselaimensa asetuksista. Useimmat verkkoselaimet sallivat evästeet automaattisesti.
Huomaathan, että evästeiden estäminen saattaa rajoittaa verkkosivustomme toimivuutta.

Millaisia oikeuksia ja vaikutusmahdollisuuksia minulla on?
Suostumuksen peruuttaminen
Mikäli käsittelemme tietojasi suostumuksesi perusteella, voit milloin tahansa peruuttaa
suostumuksen ilmoittamalla siitä meille, esimerkiksi lähettämällä sähköpostia osoitteeseen
helpdesk@devnet.fi.

Pääsy tietoihin
Sinulla on oikeus saada meiltä vahvistus siitä, käsittelemmekö sinua koskevia henkilötietoja sekä
saada tietää mitä sinua koskevia henkilötietoja käsittelemme. Lisäksi sinulla on oikeus saada
täydentäviä tietoja henkilötietojesi käsittelyn perusteista.

Oikeus saada virheet korjatuksi
Sinulla on oikeus pyytää, että korjaamme sinua koskevat virheelliset tai vanhentuneet taikka
muuten puutteelliset henkilötiedot.

Oikeus kieltää suoramarkkinointi
Voit kieltää henkilötietojesi käsittelyn suoramarkkinointitarkoituksia varten lähettämällä
sähköpostia osoitteeseen helpdesk@devnet.fi.

Oikeus vastustaa käsittelyä
Mikäli käsittelemme henkilötietojasi yleisen edun taikka oikeutetun etumme perusteella, sinulla
on oikeus vastustaa sinua koskevien henkilötietojen käsittelyä siltä osin, kuin käsittelylle ei ole
olemassa sellaista huomattavaa syytä, joka syrjäyttäisi sinun oikeutesi taikka käsittely ei ole
tarpeen oikeudellisen vaateen hoitamiseksi. Huomaathan, että tässä tilanteessa emme
todennäköisesti pysty palvelemaan enää sinua.

Oikeus rajoittaa käsittelyä
Sinulla on tietyissä tilanteissa oikeus vaatia, että rajoitamme henkilötietojesi käsittelyä.

Oikeus saada tiedot siirretyksi
Mikäli olemme käsitelleet tietojasi suostumuksesi perusteella tai sopimuksen täyttämiseksi, sinulla
on oikeus saada meille sähköisesti toimittamasi tiedot yleisesti käytetyssä muodossa, jotta tiedot
voitaisiin siirtää toiselle palveluntarjoajalle.