Sensitiivinen data ja GDPR

Minkä tyyppinen data on sensitiivistä?

Sensitiivinen data on luottamuksellista tietoa, joka on suojattava luvattomalta käytöltä. Sensitiivinen data voi olla ulkopuolisten osapuolten saatavilla VAIN nimenomaisesti myönnetyillä luvilla.
Sensitiivisen datan päätyypit ovat ihmisistä kerätty data, ekologinen data (esim. uhanalaisten lajien sijaintitiedot) ja luottamuksellinen data.

Sensitiivinen henkilötieto on mitä tahansa dataa, joka paljastaa:

henkilötiedot, joista ilmenee rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus,
ammattiliiton jäsenyys,
geneettinen data, biometrinen data, jota käsitellään yksinomaan luonnollisen henkilön tunnistamista varten,
terveyteen liittyvä data,
henkilön seksuaalista käyttäytymistä tai seksuaalista suuntautumista koskeva data.

Sensitiiviseen henkilötietoon sovelletaan GDPR:n mukaisesti erityisiä käsittelyehtoja.

Lisätietoja: Sensitiivisen datan määritelmä

Mitä henkilötieto on?

Henkilötieto on mitä tahansa tunnistettuun tai tunnistettavissa olevaan elossa olevaan henkilöön liittyvää tietoa. Henkilötieto voi olla myös erillisiä tietoja, jotka yhdessä kerättäessä voivat johtaa yhden henkilön tunnistamiseen.

Esimerkkejä henkilötiedoista ovat:

etu- ja sukunimi;
kotiosoite;
sähköpostiosoite;
henkilötunnus;
sijaintitiedot (esimerkiksi matkapuhelimen sijaintitietotoiminto);
(IP-)osoite;
evästetunniste.

Mitä eroa on sensitiivisellä henkilötiedolla ja henkilötiedolla?

Sensitiivinen henkilötieto on erityinen henkilötietojen “erityisiin kategorioihin” kuuluva joukko, jota on käsiteltävä lisäsuojaustoimet huomioiden.
Lisätietoja: Sensitiivisen datan määritelmä.

Yleinen tietosuoja-asetus (GDPR) on Euroopan unionin (EU) tietosuojaa ja tietoturvaa koskeva lainsäädäntö, joka säätelee henkilötietojen hallintaa ja käsittelyä.

Se määrittelee:

mitä henkilötieto on
mitä datan käsittely on
mitkä ovat kaikkien osapuolten roolit (rekisterinpitäjä, henkilötietojen käsittelijä, rekisteröity)
keskeiset periaatteet, jotka säätelevät EU:n tietosuojaa

Jokaisen organisaation, joka säilyttää tai käsittelee EU-kansalaisia koskevia henkilötietoja, on noudatettava GDPR:ää.

GDPR:n näkökulmasta CSC on aina henkilötietojen käsittelijä, joka toimii rekisterinpitäjän puolesta. GDPR edellyttää myös, että tästä suhteesta sovitaan kirjallisesti. Siksi rekisterinpitäjän (ryhmänjohtajan, tutkijan, tutkimusorganisaation tai heidän laillisen edustajansa) on allekirjoitettava CSC:n kanssa Henkilötietojen käsittelysopimus (DPA), joka on sopimus. CSC ei koskaan toimi rekisterinpitäjänä, mutta palvelumme tarjoavat CSC:n käyttäjille kaikki tarvittavat välineet sensitiivisen datan käyttöoikeuksien hallintaan. CSC:n palvelun käyttäjä säilyy täysin vastuullisena datasta, ja hänen on valittava palvelu, joka vastaa datan edellyttämää tietoturvatasoa.

En ole varma, onko käsittelemäni data sensitiivistä vai ei. Mistä saan tukea?

Jos tarvitset apua sen varmistamisessa, soveltuvatko SD-palvelut tutkimusdatasi käsittelyyn, ota yhteyttä organisaatiosi tietosuojavastaavaan tai lakipalveluihin. Voit toimittaa heille tukimateriaaleiksi esimerkiksi seuraavat asiakirjat:

Palvelukuvaukset palveluista SD Connect and SD Desktop sekä teknisiä ja organisatorisia toimenpiteitä kuvaava asiakirja.
CSC:n Henkilötietojen käsittelysopimus (DPA)
GDPR-lomake (käsittelytoimien kuvaus), jonka voi ladata CSC-projektistasi
CSC:n datapolitiikka

Jos tarvitset tukea, ota rohkeasti yhteyttä osoitteeseen servicedesk@csc.fi (aihe: Sensitive Data).

Suomalaisten yliopistojen tietosuojan / lakipalveluiden yhteystiedot

Yliopisto	Yhteystiedot
Aalto-yliopisto	tietosuojavastaava@aalto.fi Tietosuojakäytäntö
LUT-yliopisto	dataprotection@lut.fi tietosuoja@lut.fi Tietosuojakäytäntö
Itä-Suomen yliopisto	tietosuoja@uef.fi Tietosuojakäytäntö
Helsingin yliopisto	tietosuoja@helsinki.fi Tietosuojakäytäntö
Jyväskylän yliopisto	tietosuoja@jyu.fi Tietosuojakäytäntö
Lapin yliopisto	tietosuoja@ulapland.fi Tietosuojakäytäntö
Oulun yliopisto	dpo@oulu.fi Tietosuojakäytäntö
Tampereen yliopisto	dpo@tuni.fi Tietosuojakäytäntö
Turun yliopisto	dpo@utu.fi tietosuoja@utu.fi Tietosuojakäytäntö
Vaasan yliopisto	tietosuojavastaava@uwasa.fi Tietosuojakäytäntö

Minkä tyyppistä sensitiivistä dataa voin käsitellä CSC:n sensitiivisen datan palveluissa?

Mitä tahansa tutkimukseen suostumuksella kerättyä sensitiivistä dataa. Sosiaali- ja terveysdatan toisiokäyttöä koskevan rekisteridatan käsittely on mahdollista vain Findatan tietoluvalla tai Julkisen rekisterin tietoluvalla ja käyttämällä SD Desktop -palvelun rajoitettua versiota (katso: SD Desktop toisiokäyttöön).

Mitä dokumentaatiota minun on toimitettava voidakseni käyttää CSC:n sensitiivisen datan palveluita?

Kun luot CSC-käyttäjätunnuksen ja CSC-projektin MyCSC:ssä, sinua ohjataan tutustumaan CSC:n Henkilötietojen käsittelysopimukseen (DPA) ja hyväksymään se sekä kuvaamaan käsittelemäsi datan tyyppi GDPR-lomakkeessa, jossa kuvataan käsittelytoimia.
Jos sinulla on kysyttävää näistä asiakirjoista tai jos organisaatiosi ja CSC:n välillä tarvitaan täydentävät sopimukset, kirjoita osoitteeseen servicedesk@csc.fi (sähköpostin aihe: Sensitive Data).