Sensitiivinen data ja GDPR
Minkä tyyppinen data on sensitiivistä?
Sensitiivinen data on luokiteltua tietoa, joka on suojattava luvattomalta käytöltä. Sensitiivinen data voi olla ulkopuolisten osapuolten saatavilla VAIN nimenomaisesti myönnetyillä luvilla. Sensitiivisen datan päätyypit ovat ihmisdata, ekologinen data (esim. uhanalaisten lajien sijaintitiedot) ja luottamuksellinen data.
Sensitiivinen henkilötieto on mitä tahansa dataa, joka paljastaa:
-
henkilötiedot, joista ilmenee rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus,
-
ammattiliiton jäsenyys,
-
geneettinen data, biometrinen data, jota käsitellään yksinomaan luonnollisen henkilön tunnistamista varten,
-
terveyteen liittyvä data,
-
henkilön seksuaalista käyttäytymistä tai seksuaalista suuntautumista koskeva data.
Sensitiiviseen henkilötietoon sovelletaan GDPR:n mukaisesti erityisiä käsittelyehtoja.
Lisätietoja: Sensitiivisen datan määritelmä
Mitä on henkilötieto?
Henkilötieto on mitä tahansa tunnistettuun tai tunnistettavissa olevaan elossa olevaan henkilöön liittyvää tietoa. Henkilötieto voi olla myös erilaista tietoa, joka yhdessä koottuna voi johtaa yhden henkilön tunnistamiseen.
Esimerkkejä henkilötiedoista ovat:
-
etu- ja sukunimi;
-
kotiosoite;
-
sähköpostiosoite;
-
henkilötunnus;
-
sijaintitiedot (esimerkiksi matkapuhelimen sijaintitietotoiminto);
-
(IP-)osoite;
-
evästeen tunniste.
Mitä eroa on sensitiivisellä henkilötiedolla ja henkilötiedolla?
Sensitiivinen henkilötieto on henkilötietojen erityinen “erityisiin henkilötietoryhmiin” kuuluva joukko, jota on käsiteltävä lisäsuojaustoimet huomioiden. Lisätietoja: Sensitiivisen datan määritelmä.
Mikä on GDPR?
Yleinen tietosuoja-asetus (GDPR) on Euroopan unionin (EU) tietosuojaa ja tietoturvaa koskeva lainsäädäntö, joka säätelee henkilödatan hallintaa ja käsittelyä.
Siinä määritellään:
-
mitä henkilötieto on
-
mitä datan käsittely on
-
mitkä ovat kaikkien osapuolten roolit (rekisterinpitäjä, henkilötietojen käsittelijä, rekisteröity)
-
keskeiset periaatteet, jotka säätelevät EU:n tietosuojaa
Jokaisen organisaation, joka tallentaa tai käsittelee EU-kansalaisia koskevia henkilötietoja, on noudatettava GDPR:ää.
Mitkä ovat CSC:n ja sen palveluiden käyttäjien roolit GDPR:n näkökulmasta?
GDPR:n näkökulmasta CSC on aina henkilötietojen käsittelijä, joka toimii rekisterinpitäjän puolesta. GDPR edellyttää myös, että tästä suhteesta sovitaan kirjallisesti. Siksi rekisterinpitäjän (ryhmänjohtajan, tutkijan, tutkimusorganisaation tai heidän laillisen edustajansa) on allekirjoitettava CSC:n kanssa Henkilötietojen käsittelysopimus (DPA), joka on sopimus. CSC ei koskaan toimi rekisterinpitäjänä, mutta palvelumme tarjoavat CSC:n käyttäjille kaikki tarvittavat välineet sensitiivisen datan käyttöoikeuksien hallintaan. CSC:n palvelun käyttäjä säilyy täysin vastuullisena datasta, ja hänen on valittava palvelu, joka vastaa datan edellyttämää tietoturvatasoa.
En ole varma, onko käsittelemäni data sensitiivistä vai ei. Mistä saan tukea?
Jos tarvitset apua sen varmistamisessa, soveltuvatko SD-palvelut tutkimusdatasi käsittelyyn, ota yhteyttä organisaatiosi tietosuojavastaavaan tai lakipalveluihin. Voit toimittaa heille tukimateriaaleja, kuten:
- Palvelukuvaukset SD Connectista ja SD Desktopista sekä teknisiä ja organisatorisia toimenpiteitä koskevan dokumentin.
- CSC:n Henkilötietojen käsittelysopimus (DPA)
- GDPR-lomake (käsittelytoimien kuvaus), jonka voi ladata CSC-projektistasi
- CSC:n datapolitiikka
Jos tarvitset tukea, ota rohkeasti yhteyttä osoitteeseen servicedesk@csc.fi (aihe: Sensitive Data).
Suomalaisten yliopistojen tietosuojan / lakipalveluiden yhteystiedot
| University | Contact information |
|---|---|
| Aalto-yliopisto | tietosuojavastaava@aalto.fi Tietosuojakäytäntö |
| LUT-yliopisto | dataprotection@lut.fi tietosuoja@lut.fi Tietosuojakäytäntö |
| Itä-Suomen yliopisto | tietosuoja@uef.fi Tietosuojakäytäntö |
| Helsingin yliopisto | tietosuoja@helsinki.fi Tietosuojakäytäntö |
| Jyväskylän yliopisto | tietosuoja@jyu.fi Tietosuojakäytäntö |
| Lapin yliopisto | tietosuoja@ulapland.fi Tietosuojakäytäntö |
| Oulun yliopisto | dpo@oulu.fi Tietosuojakäytäntö |
| Tampereen yliopisto | dpo@tuni.fi Tietosuojakäytäntö |
| Turun yliopisto | dpo@utu.fi tietosuoja@utu.fi Tietosuojakäytäntö |
| Vaasan yliopisto | tietosuojavastaava@uwasa.fi Tietosuojakäytäntö |
Minkä tyyppistä sensitiivistä dataa voin käsitellä CSC:n sensitiivisen datan palveluissa?
Mitä tahansa tutkimukseen suostumuksella kerättyä sensitiivistä dataa. Sosiaali- ja terveysdatan toisiokäyttöä koskevan rekisteridatan käsittely on mahdollista vain Findatan tietoluvalla tai rekisteriluvalla ja käyttämällä SD Desktop -palvelun rajoitettua versiota (katso: SD Desktop toisiokäyttöön).
Minkä tyyppisiä dokumentteja minun on toimitettava voidakseni käyttää CSC:n sensitiivisen datan palveluita?
Kun luot CSC-käyttäjätunnuksen ja CSC-projektin MyCSC:ssä, sinua ohjataan tutustumaan CSC:n Henkilötietojen käsittelysopimukseen (DPA) ja hyväksymään se sekä kuvaamaan käsittelemäsi datan tyyppi käsittelytoimien kuvauksen lomakkeella. Jos sinulla on kysyttävää näistä dokumenteista tai jos organisaatiosi ja CSC:n välillä tarvitaan täydentävät sopimukset, kirjoita osoitteeseen servicedesk@csc.fi (sähköpostin aihe: Sensitive Data).