10.1 Pyyntöjen vastaanottaminen

10.2 Rekisteröidyn tunnistaminen

10.3 Kolmansien esittämät pyynnöt

10.4 Määräajat

10.5 Maksut

10.6 Hankinnat ja muut yhteistyöt

10.7 Rekisterinpitäjän osoitusvelvollisuus

10.8 Vastuunjako tietosuojaoikeuksien toteuttamisessa

10.1 Pyyntöjen vastaanottaminen

Tietosuoja-asetuksessa ei ole muotovaatimuksia pyyntöjen esittämiselle. Tietosuoja-asetus ei kiellä pyyntöjen esittämistä myöskään suullisesti. Rekisterinpitäjien tulisi tarjota käyttäjäystävälliset yhteydenottokanavat pyyntöjä varten, kuten lomake, jolla pyyntö voidaan esittää. Pyyntöjen esittämistä ja niiden käsittelyä voidaan myös sujuvoittaa esimerkiksi kertomalla lomakkeen yhteydessä tietosuoja-asetuksen ja julkisuuslain mukaisten pyyntöjen eroista sekä kunnan suorittamista käsittelytoimista, jotta rekisteröidyn on helppo täsmentää pyyntöään. 

Pyyntöjen esittämiseen ei kuitenkaan voi vaatia pelkästään tietyn yhteydenottokanavan, kuten lomakkeen käyttämistä. Rekisterinpitäjä ei pääsääntöisesti voi myöskään kieltäytyä käsittelemästä pyyntöä, vaikka se olisi tehty muun kuin ensisijaisen yhteydenottokanavan kautta. Rekisteröity voi siis esittää pyynnön myös vapaamuotoisesti. Rekisterinpitäjän tulee joka tapauksessa varmistaa, että rekisteröity on antanut tarvittavat tiedot pyynnön käsittelyä varten ja että rekisteröity voidaan tunnistaa ennen pyynnön toteuttamista. 

 Tietosuoja-asetuksen mukaan rekisterinpitäjän on helpotettava rekisteröidyn oikeuksien käyttämistä. Oikeuksien käyttämisen helpottamiseksi kunnan on esimerkiksi kommunikoitava rekisteröityjen kanssa selkeällä ja ymmärrettävällä kielellä, erityisesti, kun kyse on esimerkiksi lasten, vieraskielisten tai ikääntyneiden tietojen käsittelystä. Jos rekisterinpitäjä asettaa rekisteröidyn oikeuksien käyttämiselle lisäedellytyksiä, jotka vaativat rekisteröidyltä lisätoimenpiteitä, on rekisterinpitäjän pystyttävä asianmukaisesti perustelemaan asetetut edellytykset. Väärälle rekisterinpitäjälle tulleet pyynnöt siirretään toimivaltaiselle rekisterinpitäjälle hallintolain 21 §:n mukaisesti.

10.2 Rekisteröidyn tunnistaminen

Henkilön tunnistaminen erotuksena henkilön yksilöinnistä

Tunnistamisella varmistetaan, että pyynnön esittänyt henkilö on juuri se henkilö, joka hän väittää olevansa. Esimerkiksi henkilötunnusta ei ole tarkoitettu henkilöiden tunnistamiseen vaan yksilöimiseen. Yksilöinti puolestaan tarkoittaa, että rekisteröity ja hänen henkilötietonsa voidaan yksiselitteisesti erottaa muista henkilöistä ja heidän henkilötiedoistaan.

Tietosuojalain 29 §:n 5 momentin mukaan rekisteröidyn henkilöllisyyden selvittämiseen hänen ilmoittamiensa tai toimittamiensa tietojen taikka esittämiensä asiakirjojen avulla (tunnistaminen) ei saa käyttää yksinomaan henkilötunnusta tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmää, koska tunnus voi olla myös muiden kuin asianomaisen henkilön tiedossa. Säännös ei kuitenkaan estä henkilötunnuksen käyttöä yhtenä tietona muiden joukossa henkilöä tunnistaessa. 

Tunnistaminen tietosuoja-asetuksessa

Tietosuoja-asetuksessa ei ole tarkkoja säännöksiä siitä, kuinka rekisteröity on tunnistettava ennen tietosuojaoikeuksien toteuttamista. Tietosuoja-asetuksen mukaan rekisterinpitäjä voi pyytää rekisteröidyltä lisätietoja rekisteröidyn henkilöllisyyden vahvistamiseksi, jos sillä on perusteltu syy epäillä pyynnön tehneen henkilön henkilöllisyyttä. Näin voi olla mahdollisesti, jos pyyntö esitetään esimerkiksi muulla kuin henkilön tavallisesti käyttämällä sähköpostiosoitteella tai muuten kuin todennetun käyttäjätilin kautta. Lisätietojen pyytämisessä rekisteröidyltä on huomioitava tietosuoja-asetuksen yleissäännökset, kuten 

• Tietojen minimoinnin periaate: Lisätietojen pyytäminen ei saa johtaa epäolennaisten tai tarpeettomien henkilötietojen keräämiseen. Henkilöllisyys vahvistetaan lähtökohtaisesti vertaamalla pyynnön tehneen henkilön tietoja rekisterinpitäjän jo hallussa oleviin tietoihin Rekisteröidyltä ei tule esimerkiksi vaatia omakätistä allekirjoitusta lomakkeille. 
• Tietojen luottamuksellisuuden periaate: Henkilö on tunnistettava riittävällä varmuudella, ettei tietoja esimerkiksi tietojen tarkastusoikeuden toteuttamisen yhteydessä luovuteta luvattomasti väärälle vastaanottaj alle. 
• Rekisterinpitäjän velvollisuus helpottaa rekisteröidyn oikeuksien käyttämistä: Tästä syystä rekisterinpitäjä ei lähtökohtaisesti voi vaatia pyynnön tekemistä ja tunnistautumista vain paikan päällä toimipisteessään. 

Kopiota henkilöllisyystodistuksesta ei tule pyytää toimittamaan kunnalle rekisteröidyn henkilöllisyyden vahvistamiseksi. Ensisijaisesti henkilöllisyys tulisi vahvistaa muulla tavalla. Rekisterinpitäjä ei saa pyytää rekisteröidyltä enempää tietoja kuin tämän henkilöllisyyden vahvistamiseksi on tarpeen. Käyntiasioinnissa rekisteröidyltä voidaan joissakin tilanteissa edellyttää virallista henkilöllisyyden osoittavaa asiakirjaa. 

Pyydettäviä lisätietoja ja tunnistamisen tapoja on arvioitava tapauskohtaisesti. Huomioon on otettava esimerkiksi käsiteltävien henkilötietojen tyyppi (esim. tietojen arkaluonteisuus), pyynnön luonne, pyynnön asiayhteys sekä kaikki vahingot, joita tietojen epäasianmukaisesta käsittelystä, kuten luvattomasta luovuttamisesta voisi aiheutua. Esimerkiksi erityisiin henkilötietoryhmiin kuuluviin tietoihin kohdistuvasta tietojen tarkastuspyynnöstä voi perustellusti seurata vahvempi menettely rekisteröidyn tunnistamiseksi. 

Henkilöllisyyden vahvistamisen tavoissa on otettava huomioon myös ihmisten erilaiset tilanteet: esimerkiksi ikääntyneiden tai haavoittuvassa asemassa olevien henkilöiden mahdollisuudet asioida kunnan toimipisteessä tai käyttää sähköisiä järjestelmiä voivat olla rajalliset. Myös lapsilla on oikeus saada tutustua itseään koskeviin tietoihin, mutta heillä ei välttämättä ole välineitä sähköiseen tunnistautumiseen. Rekisterinpitäjän tulee siis arvioida, miten se kykenee ottamaan erilaiset ihmiset huomioon ja toteuttamaan heidän oikeutensa mahdollisimman kattavasti. 

Tunnistamisessa käytettäviä menettelyjä on arvioitava tapauskohtaisesti. Erilaisia tapoja rekisteröidyn tunnistamiseen on useita. Tunnistamisessa voidaan hyödyntää esimerkiksi suomi.fi-tunnistamista. Henkilöllisyys voidaan todentaa myös esimerkiksi vaatimalla rekisteröityä kirjautumaan sähköisen palvelun käyttäjätilille, kysymällä häneltä kysymyksiä, joiden vastaus on vain rekisteröidyn tiedossa tai käyttämällä vahvistuksen saamiseen muita rekisteröidylle kuuluvia viestintätapoja, kuten sähköpostia tai puhelinnumeroa. Vahva sähköinen tunnistaminen on turvallisin ratkaisu käsittelytilanteissa, joihin liittyy erityisen korkeita riskejä rekisteröidylle. 

Jos rekisteröityä ei voida tunnistaa, hän ei voi käyttää tietosuojaoikeuksiaan. Jos rekisterinpitäjä kieltäytyy rekisteröidyn pyynnöstä siksi, ettei tätä pystytä tunnistamaan, rekisterinpitäjän täytyy ilmoittaa asiasta rekisteröidylle ja voitava osoittaa, ettei rekisterinpitäjä pysty vahvistamaan rekisteröidyn henkilöllisyyttä.

Viranomaisen oikeus vaatia ja velvollisuus käyttää sähköistä tunnistamista digipalvelulain mukaan

Digitaalisten palvelujen tarjoamisesta annetun lain (306/2019, digipalvelulaki) 6 §:ssä säädetään edellytyksistä, joiden täyttyessä viranomainen voi vaatia palvelun käyttäjää tunnistautumaan digitaaliseen palveluun, eli verkkosivuilla tai mobiilisovelluksessa. Säännöksen tarkoituksena on rajoittaa tarpeetonta sähköisen tunnistamisen käyttöä ja korostaa sitä, että sähköisen tunnistamisen tarvetta on arvioitava tapauskohtaisesti. 

Viranomainen voi vaatia digitaalisessa palvelussa käyttäjältä sähköistä tunnistamista vain, jos se on tarpeen palvelun tai sen tietosisältöön liittyvien käyttöoikeuksien varmistamiseksi (käyttäjä esimerkiksi pääsee katsomaan palvelussa omia tai edustamansa henkilön tietoja taikka palvelussa olevalle lomakkeelle tulee käyttäjän tietoja esitiedoiksi) tai palvelussa tehtävään toimeen liittyvien oikeusvaikutusten vuoksi (johtuen esimerkiksi viranomaisen asian käsittelystä). Viranomaisen on käytettävä vahvaa sähköistä tunnistamista, kuten verkkopankkitunnistusta, jos palvelussa käsitellään salassa pidettäviä tietoja, joita käyttäjälle annetaan nähtäväksi. 

10.3 Kolmansien esittämät pyynnöt

Rekisteröidyt käyttävät yleensä tietosuojaoikeuksia omiin tietoihinsa itse, mutta myös kolmannen osapuolen on mahdollista esittää pyyntö rekisteröidyn puolesta. Esimerkiksi huoltaja tai muu laillinen edustaja voi yleensä esittää pyynnön alaikäisten puolesta, tai rekisteröity voi valtuuttaa toisen henkilön toimimaan puolestaan. Myös edunvalvojalla ja edunvalvontavaltuutetulla voi tehtäväänsä liittyen olla oikeus esittää pyyntö rekisteröidyn puolesta. Jos joku muu kuin rekisteröity itse esittää pyynnön, rekisterinpitäjän tulee varmistaa, että rekisteröidyn puolesta toimivalla henkilöllä on oikeus esittää pyyntö tämän puolesta. Esimerkiksi alaikäisten kohdalla on varmistettava, onko pyynnön tehnyt henkilö lapsen laillinen edustaja tai onko tällä muu tiedonsaantioikeus. Kunta voi pyytää, että pyynnön tehnyt henkilö esittää asiasta selvitystä tarpeen vaatiessa. 

Tilanteessa, jossa lapsen huollosta erotetulle vanhemmalle on oikeuden päätöksellä annettu tiedonsaantioikeus, on ensimmäiseksi tarkistettava oikeuden päätöksen sanamuoto sekä sen lainvoimaisuus. Tilanteessa toimitaan oikeuden ratkaisun sanamuodon mukaisesti. Yleensä huollosta erotetulle vanhemmalle on voitu antaa huoltajaa vastaava oikeus saada lasta koskevia tietoja. Silloin vanhemmalla on oikeus kaikkiin lasta koskeviin tietoihin (ml. salassa pidettävät tiedot) mutta ei esimerkiksi 

Alle 15-vuotiaalla on oikeus käyttää puhevaltaa itseään koskevassa asiassa silloin, kun hän ikänsä ja kehitystasonsa puolesta kykenee ymmärtämään asian merkityksen. Lisäksi 15 vuotta täyttäneellä ja hänen huoltajallaan tai muulla laillisella edustajalla on kummallakin erikseen oikeus käyttää puhevaltaa lasta koskevassa asiassa. Rekisterinpitäjän tulee siten arvioida tapauskohtaisesti ainakin yläkouluikäisten ja tätä vanhempien alle 18-vuotiaiden osalta, onko rekisteröidyn kantaa syytä tiedustella ennen huoltajan esittämään pyyntöön vastaamista. 

Lapsi voi joskus myös esimerkiksi kieltää tietojen luovuttamisen huoltajalle, jos hän on riittävän kypsä tekemään tällaisen päätöksen. Tällaisissa tilanteissa on arvioitava lapsen kyvykkyyttä tehdä itseään koskevia päätöksiä sekä huomioitava lapsen oikeudet ja edut. Myös esimerkiksi oppilas- ja opiskelijahuoltolain (1287/2013) mukaan alaikäinen ja muu vajaavaltainen voi, ottaen huomioon hänen ikänsä, kehitystasonsa ja muut henkilökohtaiset ominaisuutensa sekä asian laatu, painavasta syystä kieltää huoltajaansa tai muuta laillista edustajansa osallistumasta itseään koskevan opiskeluhuoltoasian käsittelyyn sekä antamasta itseään koskevia salassa pidettäviä opiskeluhuollon tietoja huoltajalleen tai muulle lailliselle edustajalleen, jollei se ole selvästi hänen etunsa vastaista. Arvion vajaavaltaisen edun toteutumisesta tekee opiskeluhuollon henkilöstöön kuuluva sosiaali- tai terveydenhuollon ammattihenkilö.

Lisätietoa: 

• Opetushallitus: Rekisteröityjen oikeuksia koskevien pyyntöjen käsittely 

• Tietosuojavaltuutetun toimiston ja TIEKE Tietoyhteiskunnan kehittämiskeskus ry:n GDPR4CHLDRN-hanke: Tietosuoja on alaikäisen perusoikeus – mitä se tarkoittaa käytännössä?

10.4 Määräajat

Rekisterinpitäjän tulee vastata tietosuojaoikeuksien käyttämistä koskeviin pyyntöihin pääsääntöisesti viipymättä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta. Vastauksessa on kerrottava, mihin toimenpiteisiin rekisterinpitäjä on pyynnön perusteella ryhtynyt. Jos pyyntöjä on monta tai ne ovat monimutkaisia, rekisterinpitäjä voi ilmoittaa pyytäjälle, että se tarvitsee niiden käsittelyyn enemmän aikaa. Tällöin määräaikaa voidaan jatkaa enintään kahdella kuukaudella. Rekisterinpitäjän tulee ilmoittaa rekisteröidylle määräajan pidentämisestä kuukauden kuluessa pyynnön vastaanottamisesta.

10.5 Maksut

Tietosuojaoikeuksien käyttäminen on lähtökohtaisesti maksutonta. Rekisterinpitäjän on varmistettava, että ensimmäinen jäljennös on maksuton, vaikka se katsoisi jäljennöksen toimittamisesta aiheutuvat kustannukset korkeiksi. Aiemmin voimassa olleen henkilötietolain aikana rekisteröidyllä oli oikeus käyttää tarkastusoikeutta kerran vuodessa maksutta. Vuoden aikarajaa maksullisuudelle ei enää tietosuoja-asetuksessa ole, vaan rekisterinpitäjän on arvioitava kohtuullisia väliaikoja pyynnöille tapauskohtaisesti. Arvioon voi vaikuttaa esimerkiksi pyynnön sisältö ja perustelut, tietojen luonne sekä se, kuinka usein henkilötiedoissa tai henkilötietojen käsittelyssä tapahtuu muutoksia. 

Rekisterinpitäjä voi kuitenkin periä rekisteröidyltä kohtuullisen, pyyntöön vastaamisesta aiheutuvien hallinnollisten kustannusten mukaisen maksun, jos rekisteröity esimerkiksi pyytää tarkastusoikeuden nojalla tiedoista useampia jäljennöksiä. Rekisterinpitäjä voi periä pyynnön toteuttamisesta kohtuullisen maksun myös silloin, jos rekisteröidyn pyyntö on ilmeisen perusteeton tai kohtuuton, erityisesti jos pyyntöjä esitetään toistuvasti. Vaihtoehtoisesti rekisterinpitäjä voi kieltäytyä pyynnöstä. Rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus. 

10.6 Hankinnat ja muut yhteistyöt

Rekisterinpitäjän on varmistettava, että rekisteröityjen tietosuojaoikeudet toteutuvat myös, kun kunta on ulkoistanut henkilötietojen käsittelyyn liittyviä tehtäviä esimerkiksi osana hankintoja. Oikeuksien toteutumisen edellytyksistä, mukaan lukien lokitietojen saatavuudesta, on huolehdittava jo hankintoja suunnitellessa, jotta tarpeelliset velvoitteet voidaan huomioida hankinta-asiakirjoissa, kuten tarjouspyynnössä ja sopimuksissa. Henkilötietojen käsittelijän on mahdollisuuksien mukaan avustettava rekisterinpitäjää oikeuksien käyttämistä koskeviin pyyntöihin vastaamisessa. Kunnan tietosuojavastaava tulee ottaa asianmukaisesti ja riittävän ajoissa mukaan henkilötietojen suojaa koskevien kysymysten käsittelyyn.

Lisätietoa: 

• Hankinnat.fi, HANSEL, Kuntahankinnat, Kuntaliitto: Tietosuoja-asetuksen huomioiminen kilpailuttaessa julkisia hankintoja

• Digi- ja väestötietovirasto, eOppiva ja Valtori: Tietosuoja hankinnoissa -koulutus

• Suomi.fi kehittäjille: VAHTI-tietosuojaliite

• Suomi.fi kehittäjille: Hankintojen tietosuoja-asioiden muistilista

10.7 Rekisterinpitäjän osoitusvelvollisuus

Rekisterinpitäjän on pystyttävä osoittamaan, että se on luonut tietosuoja-asetuksen vaatimusten mukaiset toimintamallit rekisteröityjen tietosuojaoikeuksien toteuttamiseksi ja että se on yksittäisten rekisteröidyn pyyntöjen käsittelyssä noudattanut tietosuojalainsäädäntöä. Rekisterinpitäjän on toteutettava tarpeelliset toimenpiteet täyttääkseen osoitusvelvollisuuden vaatimukset. Osoitusvelvollisuus tarkoittaa myös dokumentointivelvollisuutta, käytännössä tiettyjen toimenpiteiden tekemistä ja kirjaamista. Käytännössä rekisterinpitäjän on pystyttävä tarvittaessa palaamaan yksittäiseen rekisteröidyn esittämään pyyntöön ja esimerkiksi silloiseen rekisterinpitäjän pyyntöjen käsittelyä koskevaan sisäiseen ohjeistukseen, jos esimerkiksi tietosuojavaltuutetun toimisto tarvitsee rekisteröidyn pyynnön käsittelystä ja rekisterinpitäjän toimintatavoista lisätietoja. 

Julkisen hallinnon tiedonhallinnasta annetun lain (906/2019, tiedonhallintalaki) 25 §:n mukaan tiedonhallintayksikön on ylläpidettävä viranomaisen käsittelyssä olevista ja olleista asioista asiarekisteriä, johon rekisteröidään asiaa, asiankäsittelyä ja asiakirjoja koskevat tiedot. Rekisteröidyn esittämiä pyyntöjä ja kunnan rekisterinpitäjän niihin lähettämiä vastauksia voidaan lähtökohtaisesti pitää julkisuuslain tarkoittamina viranomaisen asiakirjoina, jolloin niiden tiedonhallintaan sovelletaan tiedonhallintalain rekisteröintisäännöksiä. 

10.8 Vastuunjako tietosuojaoikeuksien toteuttamisessa

Rekisterinpitäjän vastuulla on varmistaa, että rekisteröityjen tietosuojaoikeudet toteutetaan tietosuojalainsäädännön mukaisesti. Rekisterinpitäjän on luotava selkeät sisäiset prosessit ja ohjeet tietosuojaoikeuksien toteuttamiseksi. Varmistettava on erityisesti, että    

• Henkilöstön riittävästä tietosuojakoulutuksesta ja -ohjeistuksesta on huolehdittu, jotta tietosuojaoikeudet voidaan toteuttaa määräajat ja muut lakisääteiset vaatimukset huomioiden. 
• Kunnassa on määritelty, kuka tietosuojaoikeuksien toteuttamisesta vastaa, eli esimerkiksi käsittelee ja dokumentoi esitetyt pyynnöt, tekee tarvittaessa päätökset pyyntöjen toteuttamatta jättämisestä ja huolehtii tietosuojaselosteiden ajantasaisuudesta.  
• Tehtävien asianmukaiseen hoitamiseen on varattu riittävät resurssit. 
• Henkilötietojen käsittelyn kokonaiskuva on kunnassa kartoitettu ja dokumentoitu.  
• Rekisteröidyille – kuten myös esimerkiksi lapsille ja vieraskielisille – on kerrottu selkeästi ja ymmärrettävästi heidän henkilötietojensa käsittelystä sekä siitä, miten he voivat käyttää oikeuksiaan.  
• Tietosuojaoikeuksien käyttäminen on tehty rekisteröidyille helpoksi.  
• Rekisteröidyn tunnistamiseksi on luotu oikeasuhteiset menettelyt.  
• Tietosuojaoikeuksien toteutuminen on varmistettu myös, kun henkilötietojen käsittelyyn liittyviä tehtäviä ulkoistetaan. Myös henkilötietojen oikaisuista, poistoista tai käsittelyn rajoituksista on ilmoitettu jokaiselle vastaanottajalle, jolle henkilötietoja on luovutettu.  
• Tietosuojaoikeuksien toteuttaminen on dokumentoitu osoitusvelvollisuuden noudattamiseksi. 

Tietosuojavastaavan tehtävät ja asema on määritelty tietosuoja-asetuksessa (37–39 artiklat). Tietosuojavastaavan nimenomaisiin tehtäviin kuuluu muun muassa: 

• Antaa tietoja ja neuvoja organisaation sisällä tietosuojalainsäädännön noudattamisesta.
• Seurata henkilötietojen käsittelyyn liittyvien vaatimusten sekä organisaation menettelytapojen noudattamista. 
• Toimia rekisteröityjen yhteyshenkilönä henkilötietojen käsittelyyn liittyvissä asioissa, kuten tietosuojaoikeuksien käyttöön liittyvissä kysymyksissä.
• Tehdä yhteistyötä tietosuojavaltuutetun toimiston kanssa sekä toimia yhteyspisteenä käsittelyyn liittyvissä kysymyksissä.

Tietosuojavastaavalle ei saa antaa tehtäviä tai velvollisuuksia, jotka johtaisivat siihen, että hän määrittää, mihin tarkoituksiin ja millä keinoin rekisterinpitäjä käsittelee henkilötietoja, sillä se on rekisterinpitäjälle kuuluva tehtävä. Mikäli tietosuojavastaavalle annetaan lisätehtäviä, kuten tietosuojaoikeuksia koskevien pyyntöjen käsittelyä, on rekisterinpitäjän huolellisesti arvioitava, ettei tietosuojavastaavalle synny eturistiriitoja tietosuojavastaavan tehtävien kanssa. Tietosuojavastaavan ei esimerkiksi kuulu tehdä henkilötietojen käsittelyyn liittyviä päätöksiä tai olla tilanteessa, jossa hän valvoisi omaa toimintaansa. Kuntaliiton suositus on, että rekisteröidyn pyyntöjen toteuttamisesta vastaisi kunnassa lähtökohtaisesti joku muu kuin tietosuojavastaavan roolissa työskentelevä. 

Myös kunnan muun henkilöstön on hyvä tietää, että erityisesti epäselvissä tilanteissa henkilötietojen käsittelyä koskevissa kysymyksissä tulee olla yhteydessä kunnan tietosuojavastaavaan. Rekisteröityjen oikeuksiin liittyviin tiedusteluihin vastaaminen ja/tai pyyntöjen käsittelyn seuraaminen tuottaa tietosuojavastaavalle myös arvokasta tietoa tietosuojan tasosta omassa organisaatiossa ja lainsäädännön noudattamisesta. 

Lisätietoa:

• Tietosuojavaltuutetun toimisto: Tietosuojavastaavat
• Euroopan tietosuojaneuvosto: 2023 Coordinated Enforcement Action, Designation and Position of Data Protection Officers

Kunnan henkilöstön tulee osata toteuttaa rekisteröidyn tietosuojaoikeudet kunnan ohjeiden mukaisesti. Kunnassa on varmistettava, että henkilötietoja työtehtävissään käsittelevät henkilöt tietävät esimerkiksi, mistä henkilötietojen käsittelyä koskevat tiedot (kuten tietosuojaselosteet) löytyvät, keneltä rekisteröity voi kysyä lisätietoja henkilötietojen käsittelystä ja kenelle tietosuojaoikeuksien käyttöä koskevien pyyntöjen käsittely kuuluu. Näin varmistetaan, että pyynnöt osataan ja voidaan viipymättä välittää oikealle taholle käsiteltäviksi. Jokaisen kunnassa työskentelevän tulee myös tietää, mitä henkilötietojen tietoturvaloukkaus tarkoittaa ja miten toimia, jos sellaista epäilee tai sellaisen havaitsee. Lisäksi henkilöstön on oltava tietoinen siitä, että kunnan tietosuojavastaava tulee ottaa mukaan tietosuojakysymysten käsittelyyn mahdollisimman varhaisessa vaiheessa henkilötietojen käsittelyä, esimerkiksi hankintoja suunniteltaessa.