GDPR-osion päivitykset: Oikeus rajoittaa tietojen käsittelyä

Mikä on oikeus rajoittaa käsittelyä?

- Yleinen tietosuojadirektiivi (GDPR) tarkoittaa, että henkilö (rekisteröity) voi paremmin hallita sitä, mitä hänen henkilötiedoilleen tapahtuu. Asetuksen 18 §:ssä täsmennetään yksilön oikeutta rajoittaa organisaatiota ja tapaa käyttää tietoja.

Rekisteröidyllä tulee olla syy tietojen rajoittamiseen, esimerkiksi hän saattaa pitää tietoja virheellisinä tai hän ei usko, että hän on antanut suostumuksensa tietojensa käyttöön sillä tavalla kuin se on antanut. Katsotaanpa sitä tarkemmin.

Milloin henkilö voi käyttää oikeuttaan rajoittaa käsittelyä?

Information Commissioner's Office (ICO) toteaa, että:

• henkilö kiistää henkilötietojensa paikkansapitävyyden ja olet tarkistamassa tietojen oikeellisuutta;
• tietoja on käsitelty laittomasti (eli GDPR:n ensimmäisen periaatteen laillisuusvaatimuksen vastaisesti) ja henkilö vastustaa poistamista ja pyytää sen sijaan rajoitusta;
• et enää tarvitse henkilötietoja, mutta henkilö tarvitsee sinun säilyttävän ne oikeudellisen vaatimuksen esittämiseksi, esittämiseksi tai puolustamiseksi; tai
• henkilö on vastustanut tietojensa käsittelyä 21 artiklan 1 kohdan mukaisesti, ja harkitset, syrjäyttävätkö oikeutetut perusteesi henkilön perusteet.

Vaikka erot ovat selvät, voit nähdä, että käsittelyn rajoittaminen liittyy GDPR:n oikaisu- (16 artikla) ​​ja vastustusoikeuteen (21 artiklan 1 kohta). Tämä tarkoittaa, että on suositeltavaa, että jos saat oikaisu- tai vastalausepyynnön, rajoitat automaattisesti käsittelyä pyynnön tarkistuksen aikana.

Miten rajoitat tietojenkäsittelyä GDPR:n mukaisesti?

Tehokas GDPR:n tämän osan hallintaan, kuten monet muut, riippuu prosessin suunnittelusta. Henkilötietojen käsittelyyn kuuluu kerääminen, jäsentäminen, levittäminen ja poistaminen, joten sinun on otettava nämä huomioon prosessia luodessasi.

Lisäksi käyttämäsi säilytystapa on yhtä tärkeä. Jos saat rajoituspyynnön, voit siirtää tiedot tilapäisesti erilliseen käsittelyjärjestelmään. Voit myös tehdä tiedot poissa käytöstä tai poistaa ne sieltä, missä ne tällä hetkellä ovat nähtävillä, kuten esimerkiksi verkkosivustolla.

Jos olet aiemmin jakanut nämä tiedot toisen organisaation kanssa, sinun on ilmoitettava heille pyynnöstä.

Milloin rajoitus voidaan poistaa tai evätä?

Yleensä käsittelyn rajoitus on väliaikainen tila, jos se johtuu tarkkuudesta tai välttämättömyydestä. Kun nämä kysymykset on käsitelty ja olet ilmoittanut asiasta henkilölle, voit poistaa rajoituksen.

Voit hylätä rajoituspyynnön, jos uskot sen olevan perusteeton tai liiallinen. ICO sanoo:

Jos katsot, että pyyntö on ilmeisen perusteeton tai liiallinen, voit:

• pyytää "kohtuullista maksua" pyynnön käsittelemisestä; tai

• kieltäytyä käsittelemästä pyyntöä.

Kummassakin tapauksessa sinun on perusteltava päätöksesi.

Sinun tulee perustaa kohtuullinen maksu pyynnön noudattamisesta aiheutuviin hallintokuluihin. Jos päätät periä maksun, sinun tulee ottaa viipymättä yhteyttä kyseiseen henkilöön ja ilmoittaa siitä hänelle. Sinun ei tarvitse noudattaa pyyntöä ennen kuin olet saanut maksun.

Jos hylkäät pyynnön, sinun on kerrottava henkilölle, miksi olet tehnyt tämän päätöksen, selitettävä hänen oikeutensa tehdä valitus ICO:lle ja ilmoitettava hänelle oikeudellisista oikeuksista.

Puhuimme tarpeesta ottaa käyttöön käytännöt näiden pyyntöjen käsittelyn helpottamiseksi. Mutta onko organisaatiollasi käsittelyä hallussaan oleville henkilötiedoille? ISMS.onlinella on ratkaisu siitä.