GDPR-tietopyyntö (rekisteröidyn tarkastuspyyntö)

GDPR-tietopyyntö Suomessa eli rekisteröidyn tarkastuspyyntö on kirjallinen pyyntö, jolla rekisteröity käyttää tarkastusoikeuttaan yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan mukaisesti, täydennettynä tietosuojalailla (1050/2018). Rekisterinpitäjän on vahvistettava, käsitteleekö se pyytäjän henkilötietoja, ja toimitettava jäljennös näistä tiedoista vastaten ilman aiheetonta viivytystä ja kuukauden kuluessa yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan mukaisesti. Kansallinen valvontaviranomainen on tietosuojavaltuutetun toimisto.

Tarkastusoikeuden oikeudellinen perusta on yleisen tietosuoja-asetuksen (EU 2016/679) 15 artikla, joka antaa rekisteröidylle oikeuden saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, sekä pääsy näihin tietoihin. Tietosuojalaki (1050/2018) täydentää asetusta kansallisilla säännöksillä ja nimeää tietosuojavaltuutetun toimiston kansalliseksi valvontaviranomaiseksi. Tarkastusoikeus on yksi rekisteröidyn keskeisistä oikeuksista ja perusta muiden oikeuksien, kuten oikaisu- ja poisto-oikeuden, käyttämiselle.

Tarkastusoikeuden laajuus on määritelty yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 1 kohdassa. Rekisteröidyllä on oikeus saada tieto käsittelyn tarkoituksista, kyseessä olevista henkilötietoryhmistä, vastaanottajista, joille tietoja on luovutettu, henkilötietojen suunnitellusta säilytysajasta, oikeudestaan pyytää tietojen oikaisua, poistamista tai käsittelyn rajoittamista, oikeudestaan tehdä valitus valvontaviranomaiselle, tietojen alkuperästä sekä automaattisesta päätöksenteosta ja profiloinnista. Tämä laaja tiedonsaantioikeus mahdollistaa sen, että rekisteröity voi ymmärtää ja valvoa henkilötietojensa käsittelyä.

Oikeus jäljennökseen on tarkastusoikeuden keskeinen osa. Yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 3 kohdan mukaan rekisteröidyllä on oikeus saada jäljennös käsiteltävistä henkilötiedoista. Ensimmäinen jäljennös on maksuton. Jos pyyntö tehdään sähköisesti, tiedot toimitetaan yleisesti käytetyssä sähköisessä muodossa, ellei rekisteröity toisin pyydä. Rekisterinpitäjä voi periä kohtuullisen maksun ainoastaan ilmeisen perusteettomista tai kohtuuttomista, erityisesti toistuvista pyynnöistä.

Vastausaika on tärkeä osa rekisterinpitäjän velvollisuuksia. Yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 3 kohdan mukaan rekisterinpitäjän on vastattava pyyntöön ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella pyyntöjen monimutkaisuuden ja määrän vuoksi, jolloin rekisteröidylle on ilmoitettava jatkamisesta ja sen syistä kuukauden kuluessa.

Henkilöllisyyden varmistaminen on osa pyynnön käsittelyä. Rekisterinpitäjä voi pyytää lisätietoja rekisteröidyn henkilöllisyyden varmistamiseksi yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 6 kohdan mukaisesti, jos rekisterinpitäjällä on perusteltua aihetta epäillä pyynnön tekijän henkilöllisyyttä. Tämä suojaa henkilötietoja luovuttamiselta väärälle henkilölle, mutta sitä ei saa käyttää tarkastusoikeuden tarpeettomaan hankaloittamiseen.

Erot lähisukuisiin asiakirjoihin ovat merkittäviä. Tarkastuspyyntö on rekisteröidyn väline saada pääsy tietoihinsa, kun taas tietosuojaseloste on rekisterinpitäjän väline täyttää informointivelvollisuutensa yleisen tietosuoja-asetuksen (EU 2016/679) 13–14 artiklan mukaisesti. Poistopyyntö perustuu 17 artiklaan ja oikaisupyyntö 16 artiklaan. Laajempi forms-legal.com -kirjasto kattaa nämä täydentävät mallit suomalaiseen tietosuojadokumentaatioon, muun muassa tietosuojaselosteen.

GDPR-tietopyyntö Suomessa tarvitaan tilanteissa, joissa henkilö haluaa tietää, mitä henkilötietoja organisaatio käsittelee hänestä, ja saada pääsyn näihin tietoihin. Tarkastusoikeus yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan mukaisesti koskee kaikkea henkilötietojen käsittelyä, joten pyyntö voidaan osoittaa lähes mille tahansa organisaatiolle.

Epäily henkilötietojen virheellisestä käsittelystä. Kun henkilö epäilee, että organisaatio käsittelee hänen henkilötietojaan virheellisesti tai laajemmin kuin on tarpeen, tarkastuspyyntö antaa mahdollisuuden selvittää käsittelyn laajuuden. Pyynnön perusteella saadut tiedot voivat toimia perustana oikaisupyynnölle yleisen tietosuoja-asetuksen (EU 2016/679) 16 artiklan mukaisesti tai poistopyynnölle 17 artiklan mukaisesti.

Asiakassuhteen tietojen tarkistaminen. Kun henkilö haluaa tarkistaa, mitä tietoja verkkokauppa, pankki, vakuutusyhtiö tai muu palveluntarjoaja on hänestä kerännyt, tarkastuspyyntö antaa kattavan kuvan. Asiakas voi pyytää tietoja tilaushistoriasta, maksutiedoista, asiakaspalveluviestinnästä ja markkinointitarkoituksiin käsitellyistä tiedoista. Tämä on yleistä erityisesti pitkien asiakassuhteiden yhteydessä.

Työsuhteen henkilötietojen tarkastaminen. Kun työntekijä tai entinen työntekijä haluaa tietää, mitä henkilötietoja työnantaja käsittelee hänestä, hän voi tehdä tarkastuspyynnön. Työnantaja käsittelee tyypillisesti tietoja palkanmaksusta, työajasta, poissaoloista, kehityskeskusteluista ja kommunikaatiosta. Tarkastusoikeus koskee myös työsuhteen aikana kertyneitä tietoja, ja sitä rajoittavat tietyt poikkeukset, kuten muiden henkilöiden tietosuoja.

Markkinointiin liittyvien tietojen selvittäminen. Kun henkilö haluaa selvittää, miksi hän saa tiettyä markkinointia tai miten hänen tietojaan käytetään profilointiin, tarkastuspyyntö antaa tiedon käsittelyn tarkoituksista ja mahdollisesta automaattisesta päätöksenteosta yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 1 kohdan h alakohdan mukaisesti. Pyynnön perusteella henkilö voi vastustaa markkinointia 21 artiklan mukaisesti.

Luottotietojen ja perinnän tarkistaminen. Kun henkilöllä on luottotietoihin tai perintään liittyviä asioita, hän voi pyytää tarkastusta luottotietoyhtiöltä tai perintätoimistolta. Tarkastusoikeus koskee luottotietorekisteriä luottotietolain (527/2007) ja yleisen tietosuoja-asetuksen (EU 2016/679) mukaisesti. Henkilö voi tarkistaa, mitä tietoja hänestä on rekisterissä ja ovatko ne paikkansapitäviä.

Valmistautuminen valitukseen tai oikeudelliseen menettelyyn. Kun henkilö valmistautuu valitukseen tietosuojavaltuutetun toimistolle tai oikeudelliseen menettelyyn, tarkastuspyyntö antaa pohjatiedot organisaation suorittamasta käsittelystä. Pyynnön perusteella saadut tiedot voivat osoittaa, onko käsittely ollut lainmukaista, ja toimia näyttönä mahdollisessa valituksessa tai vahingonkorvausvaatimuksessa yleisen tietosuoja-asetuksen (EU 2016/679) 82 artiklan mukaisesti.

Viranomaisen käsittelemien tietojen tarkastaminen. Kun henkilö haluaa tietää, mitä henkilötietoja viranomainen, kunta tai julkinen toimija käsittelee hänestä, hän voi tehdä tarkastuspyynnön. Viranomaisten henkilötietojen käsittelyä säännellään yleisen tietosuoja-asetuksen (EU 2016/679) ja tietosuojalain (1050/2018) ohella julkisuuslainsäädännöllä. Tarkastusoikeutta voivat rajoittaa tietyt lakisääteiset poikkeukset, kuten esitutkintaan tai kansalliseen turvallisuuteen liittyvät tiedot.

Vastauksen viivästyminen tai puutteellisuus. Kun rekisterinpitäjä ei vastaa aiempaan pyyntöön kuukauden määräajassa tai vastaus on puutteellinen, henkilö voi uusia pyynnön ja viitata vastausvelvollisuuteen yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan mukaisesti. Mikäli pyyntöön ei edelleenkään vastata asianmukaisesti, henkilöllä on oikeus tehdä valitus tietosuojavaltuutetun toimistolle 77 artiklan mukaisesti.

Tehokas GDPR-tietopyyntö Suomessa sisältää seuraavat keskeiset osatekijät, jotta rekisterinpitäjä voi tunnistaa rekisteröidyn ja käsitellä pyynnön yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan ja tietosuojalain (1050/2018) mukaisesti.

Rekisteröidyn yksilöinti. Pyynnössä yksilöidään rekisteröity täydellisellä nimellä ja tunnistetiedolla, kuten henkilötunnuksella muodossa DDMMYY-NNNN tai syntymäajalla. Yksilöinti mahdollistaa henkilötietojen löytämisen rekisterinpitäjän järjestelmistä. Rekisterinpitäjä voi pyytää lisätietoja henkilöllisyyden varmistamiseksi yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 6 kohdan mukaisesti, jos pyynnön tekijän henkilöllisyydestä on perusteltua epäilyä.

Yhteystiedot vastausta varten. Pyynnössä ilmoitetaan rekisteröidyn osoite ja sähköposti, joihin vastaus toimitetaan. Selkeät yhteystiedot varmistavat, että henkilötiedot toimitetaan oikealle henkilölle ja oikeaan osoitteeseen. Sähköisesti tehdyssä pyynnössä vastaus toimitetaan tyypillisesti sähköisesti, ellei toisin pyydetä.

Rekisterinpitäjän yksilöinti. Pyynnössä yksilöidään rekisterinpitäjä eli organisaatio, jolle pyyntö osoitetaan, nimellä ja osoitteella tai tietosuojavastaavan sähköpostilla. Rekisterinpitäjä on yleisen tietosuoja-asetuksen (EU 2016/679) 4 artiklan 7 kohdan mukaisesti se, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Oikean rekisterinpitäjän yksilöinti varmistaa, että pyyntö ohjautuu oikealle taholle.

Pyynnön peruste. Pyynnössä viitataan tarkastusoikeuteen yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan ja tietosuojalain (1050/2018) mukaisesti. Selkeä viittaus oikeusperustaan osoittaa rekisterinpitäjälle, että kyse on lakisääteisestä tarkastuspyynnöstä, johon on vastattava määräajassa. Pyyntö ei edellytä perustelua, vaan rekisteröidyllä on tarkastusoikeus ilman erityistä syytä.

Pyynnön laajuus. Pyynnössä määritellään, koskeeko se kaikkia rekisteröityä koskevia henkilötietoja vai tiettyä henkilötietoryhmää tai käsittelytointa. Rekisteröidyllä on oikeus saada pääsy kaikkiin häntä koskeviin henkilötietoihin, mutta pyyntö voidaan myös rajata tiettyyn ryhmään, mikä nopeuttaa käsittelyä. Täsmennys, esimerkiksi tilaushistoria tai asiakaspalveluviestintä, auttaa rekisterinpitäjää kohdistamaan haun.

Pyydettävät tiedot 15 artiklan mukaisesti. Pyynnössä luetellaan yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 1 kohdan mukaiset tiedot: käsittelyn tarkoitukset, henkilötietoryhmät, vastaanottajat, säilytysaika, oikeus oikaisuun ja poistoon, oikeus tehdä valitus tietosuojavaltuutetun toimistolle, tietojen alkuperä ja tieto automaattisesta päätöksenteosta. Tämä kattava luettelo varmistaa, että rekisterinpitäjä toimittaa kaikki vaaditut tiedot. Tämä erottaa forms-legal.com -kirjaston suomalaisen tarkastuspyyntömallin yleisistä malleista.

Oikeus jäljennökseen ja vastausmuoto. Pyynnössä pyydetään jäljennös käsiteltävistä henkilötiedoista yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 3 kohdan mukaisesti ja ilmoitetaan toivottu vastausmuoto, sähköinen tai paperilla. Ensimmäinen jäljennös on maksuton. Rekisterinpitäjä voi periä kohtuullisen maksun vain ilmeisen perusteettomista tai kohtuuttomista, erityisesti toistuvista pyynnöistä.

Vastausaika. Pyynnössä viitataan rekisterinpitäjän velvollisuuteen vastata ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 3 kohdan mukaisesti. Määräajan mainitseminen muistuttaa rekisterinpitäjää vastausvelvollisuudesta ja sen aikarajasta. Määräaikaa voidaan jatkaa enintään kahdella kuukaudella perustellusta syystä.

Valitusoikeus, päiväys ja allekirjoitus. Pyynnössä mainitaan rekisteröidyn oikeus tehdä valitus tietosuojavaltuutetun toimistolle yleisen tietosuoja-asetuksen (EU 2016/679) 77 artiklan ja tietosuojalain (1050/2018) mukaisesti, jos pyyntöön ei vastata asianmukaisesti. Pyyntö päivätään ja allekirjoitetaan, koska päiväys käynnistää kuukauden vastausmääräajan kulumisen. Allekirjoitus vahvistaa pyynnön tekijän tahdon.

GDPR-tietopyyntö Suomessa täytetään oikein noudattamalla seuraavia vaiheita järjestelmällisesti, jotta rekisterinpitäjä voi tunnistaa rekisteröidyn ja vastata pyyntöön yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan mukaisesti.

Vaihe 1 — Yksilöi itsesi rekisteröitynä. Ilmoita täydellinen nimesi ja tunnistetietosi, kuten henkilötunnus muodossa DDMMYY-NNNN tai syntymäaika. Yksilöinti mahdollistaa henkilötietojesi löytämisen rekisterinpitäjän järjestelmistä. Varaudu siihen, että rekisterinpitäjä voi pyytää lisätietoja henkilöllisyytesi varmistamiseksi yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 6 kohdan mukaisesti.

Vaihe 2 — Ilmoita yhteystietosi vastausta varten. Ilmoita osoite ja sähköposti, joihin haluat vastauksen toimitettavan. Selkeät yhteystiedot varmistavat, että henkilötiedot toimitetaan oikealle henkilölle. Jos teet pyynnön sähköisesti, vastaus toimitetaan tyypillisesti sähköisesti, ellet toisin pyydä.

Vaihe 3 — Yksilöi rekisterinpitäjä. Ilmoita sen organisaation nimi, jolle pyyntö osoitetaan, ja sen osoite tai tietosuojavastaavan sähköposti. Rekisterinpitäjä on se, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot yleisen tietosuoja-asetuksen (EU 2016/679) 4 artiklan 7 kohdan mukaisesti. Oikean rekisterinpitäjän yksilöinti varmistaa, että pyyntö ohjautuu oikealle taholle.

Vaihe 4 — Viittaa pyynnön perusteeseen. Totea, että käytät rekisteröidyn tarkastusoikeutta yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan ja tietosuojalain (1050/2018) mukaisesti. Et tarvitse perustelua pyynnöllesi; rekisteröidyllä on tarkastusoikeus ilman erityistä syytä. Selkeä viittaus oikeusperustaan osoittaa, että kyse on lakisääteisestä pyynnöstä.

Vaihe 5 — Määritä pyynnön laajuus. Päätä, koskeeko pyyntö kaikkia sinua koskevia henkilötietoja vai tiettyä henkilötietoryhmää tai käsittelytointa. Jos rajaat pyynnön, täsmennä mitä tietoja se koskee, esimerkiksi tilaushistoria, asiakaspalveluviestintä tai markkinointitarkoituksiin käsitellyt tiedot tietyltä ajalta. Täsmennys nopeuttaa pyynnön käsittelyä.

Vaihe 6 — Luettele pyydettävät tiedot. Pyydä yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 1 kohdan mukaiset tiedot: käsittelyn tarkoitukset, henkilötietoryhmät, vastaanottajat, säilytysaika, oikeus oikaisuun ja poistoon, oikeus tehdä valitus, tietojen alkuperä sekä tieto automaattisesta päätöksenteosta ja profiloinnista. Kattava luettelo varmistaa, että saat kaikki vaaditut tiedot.

Vaihe 7 — Pyydä jäljennös ja valitse vastausmuoto. Pyydä jäljennös käsiteltävistä henkilötiedoista yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 3 kohdan mukaisesti ja valitse toivottu vastausmuoto: sähköinen yleisesti käytetyssä muodossa tai paperilla postitse. Huomioi, että ensimmäinen jäljennös on maksuton; maksu voidaan periä vain ilmeisen perusteettomista tai kohtuuttomista, toistuvista pyynnöistä.

Vaihe 8 — Viittaa vastausaikaan. Pyydä vastausta ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 3 kohdan mukaisesti. Mainitse, että määräaikaa voidaan jatkaa enintään kahdella kuukaudella perustellusta syystä, jolloin rekisterinpitäjän on ilmoitettava jatkamisesta kuukauden kuluessa.

Vaihe 9 — Mainitse valitusoikeus. Totea, että mikäli pyyntöösi ei vastata määräajassa tai vastaus on puutteellinen, sinulla on oikeus tehdä valitus tietosuojavaltuutetun toimistolle yleisen tietosuoja-asetuksen (EU 2016/679) 77 artiklan ja tietosuojalain (1050/2018) mukaisesti. Valitusoikeuden mainitseminen korostaa pyynnön vakavuutta.

Vaihe 10 — Päivää, allekirjoita ja lähetä. Ilmoita paikka ja päiväys (muoto PP.KK.VVVV) ja allekirjoita pyyntö. Päiväys käynnistää kuukauden vastausmääräajan kulumisen. Lähetä pyyntö rekisterinpitäjälle todisteellisesti, esimerkiksi sähköpostilla, jolloin voit osoittaa lähettämisajankohdan. Säilytä jäljennös pyynnöstä ja lähetystodiste mahdollista valitusta varten.

GDPR-tietopyyntö Suomessa perustuu yleiseen tietosuoja-asetukseen (EU 2016/679) ja tietosuojalakiin (1050/2018), jotka määräävät rekisteröidyn tarkastusoikeuden ja rekisterinpitäjän velvollisuudet.

Tarkastusoikeus yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan mukaisesti. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos käsitellään, oikeus saada pääsy henkilötietoihin sekä 15 artiklan 1 kohdassa lueteltuihin tietoihin. Näitä ovat käsittelyn tarkoitukset, henkilötietoryhmät, vastaanottajat, säilytysaika, rekisteröidyn oikeudet, oikeus tehdä valitus, tietojen alkuperä ja tieto automaattisesta päätöksenteosta. Tarkastusoikeus on rekisteröidyn perusoikeus, eikä sen käyttäminen edellytä perustelua.

Vastausaika yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan mukaisesti. Rekisterinpitäjän on toimitettava tiedot rekisteröidylle ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta 12 artiklan 3 kohdan mukaisesti. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä, jolloin rekisterinpitäjän on ilmoitettava rekisteröidylle jatkamisesta ja sen syistä kuukauden kuluessa pyynnön vastaanottamisesta. Tiedot on toimitettava maksutta ensimmäisen jäljennöksen osalta.

Henkilöllisyyden varmistaminen yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 6 kohdan mukaisesti. Jos rekisterinpitäjällä on perusteltua aihetta epäillä pyynnön tehneen henkilön henkilöllisyyttä, se voi pyytää toimittamaan lisätiedot, jotka ovat tarpeen rekisteröidyn henkilöllisyyden vahvistamiseksi. Tämä suojaa henkilötietoja luovuttamiselta väärälle henkilölle. Henkilöllisyyden varmistamista ei kuitenkaan saa käyttää tarkastusoikeuden tarpeettomaan hankaloittamiseen, ja sen on oltava oikeasuhtaista.

Oikeus jäljennökseen yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 3 kohdan mukaisesti. Rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Ensimmäinen jäljennös on maksuton; rekisterinpitäjä voi periä kohtuullisen hallinnollisiin kustannuksiin perustuvan maksun mahdollisista lisäjäljennöksistä. Jos pyyntö tehdään sähköisesti, tiedot toimitetaan yleisesti käytetyssä sähköisessä muodossa, ellei rekisteröity toisin pyydä. Jäljennöksen toimittaminen ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.

Tarkastusoikeuden rajoitukset. Tarkastusoikeutta voidaan rajoittaa tietyissä tilanteissa. Yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 4 kohdan mukaan jäljennöksen toimittaminen ei saa loukata muiden henkilöiden oikeuksia ja vapauksia. Tietosuojalaki (1050/2018) ja erityislainsäädäntö sisältävät kansallisia rajoituksia esimerkiksi esitutkintaan, kansalliseen turvallisuuteen ja toimittajan lähdesuojaan liittyen. Rajoitusten on oltava lain mukaisia ja oikeasuhtaisia, eikä tarkastusoikeutta saa rajoittaa enempää kuin on välttämätöntä.

Tietosuojalaki (1050/2018) kansallisena sääntelynä. Tietosuojalaki täydentää yleistä tietosuoja-asetusta (EU 2016/679) kansallisilla säännöksillä ja nimeää tietosuojavaltuutetun toimiston kansalliseksi valvontaviranomaiseksi. Laki sisältää säännöksiä muun muassa henkilötietojen käsittelyn oikeusperusteista, alaikäisen suostumuksesta, erityisten henkilötietoryhmien käsittelystä sekä tietosuojavaltuutetun toimivallasta ja seuraamuksista. Tietosuojalaki sovittaa GDPR:n kansalliseen oikeusjärjestelmään.

Valitusoikeus yleisen tietosuoja-asetuksen (EU 2016/679) 77 artiklan mukaisesti. Jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittely rikkoo tietosuojasääntelyä tai että hänen tarkastuspyyntöönsä ei ole vastattu asianmukaisesti, hänellä on oikeus tehdä valitus valvontaviranomaiselle. Suomessa valvontaviranomainen on tietosuojavaltuutetun toimisto. Valitus voidaan tehdä riippumatta muista hallinnollisista muutoksenhakukeinoista tai oikeussuojakeinoista. Rekisteröidyllä on myös oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimessa 79 artiklan mukaisesti.

Tietosuojavaltuutetun toimisto valvontaviranomaisena. Tietosuojavaltuutetun toimisto valvoo tietosuojasääntelyn noudattamista Suomessa ja käsittelee rekisteröityjen valituksia. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksiä, huomautuksia ja varoituksia sekä määrätä hallinnollisia seuraamusmaksuja yleisen tietosuoja-asetuksen (EU 2016/679) 58 ja 83 artiklan mukaisesti. Tarkastusoikeuden laiminlyönti voi johtaa valvontaviranomaisen toimenpiteisiin ja korvausvastuuseen 82 artiklan mukaisesti.

Oikeus vahingonkorvaukseen yleisen tietosuoja-asetuksen (EU 2016/679) 82 artiklan mukaisesti. Jos rekisteröidylle aiheutuu aineellista tai aineetonta vahinkoa tietosuojasääntelyn rikkomisesta, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. Tarkastusoikeuden perusteeton epääminen tai pyyntöön vastaamatta jättäminen voi muodostaa korvausvastuun perustavan rikkomuksen. Korvausvaatimus voidaan esittää tuomioistuimessa.

Tavanomaiset virheet GDPR-tietopyyntö Suomessa laadinnassa ja käsittelyssä voivat viivästyttää pyynnön käsittelyä, johtaa puutteelliseen vastaukseen tai vaikeuttaa valitusta.

Virhe 1 — Rekisteröidyn puutteellinen yksilöinti. Pyyntö, jossa rekisteröityä ei yksilöidä riittävästi nimellä ja tunnistetiedolla, vaikeuttaa henkilötietojen löytämistä ja voi johtaa siihen, että rekisterinpitäjä joutuu pyytämään lisätietoja. Ratkaisu: ilmoita täydellinen nimesi ja henkilötunnus muodossa DDMMYY-NNNN tai syntymäaika; tämä mahdollistaa henkilötietojesi löytämisen rekisterinpitäjän järjestelmistä.

Virhe 2 — Väärän rekisterinpitäjän valinta. Pyyntö, joka osoitetaan väärälle organisaatiolle tai henkilötietojen käsittelijälle rekisterinpitäjän sijaan, voi viivästyä tai jäädä käsittelemättä. Ratkaisu: yksilöidy rekisterinpitäjä eli se, joka määrittää käsittelyn tarkoitukset ja keinot yleisen tietosuoja-asetuksen (EU 2016/679) 4 artiklan 7 kohdan mukaisesti; osoita pyyntö suoraan rekisterinpitäjälle tai sen tietosuojavastaavalle.

Virhe 3 — Pyynnön perusteen mainitsematta jättäminen. Pyyntö, joka ei viittaa tarkastusoikeuteen 15 artiklan mukaisesti, voi jäädä tunnistamatta lakisääteiseksi pyynnöksi. Ratkaisu: totea selkeästi, että käytät rekisteröidyn tarkastusoikeutta yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan ja tietosuojalain (1050/2018) mukaisesti; et tarvitse perustelua pyynnöllesi.

Virhe 4 — Liian epämääräinen pyyntö. Erittäin laaja ja täsmentämätön pyyntö voi hidastaa käsittelyä, kun rekisterinpitäjä joutuu selvittämään, mitä tietoja pyyntö koskee. Ratkaisu: jos haluat kaikki henkilötietosi, totea se selkeästi; jos rajaat pyynnön, täsmennä mitä tietoja tai käsittelytoimia se koskee, esimerkiksi tilaushistoria tai markkinointitiedot tietyltä ajalta, mikä nopeuttaa käsittelyä.

Virhe 5 — Pyydettävien tietojen luettelematta jättäminen. Pyyntö, joka ei luettele 15 artiklan 1 kohdan mukaisia tietoja, voi johtaa siihen, että rekisterinpitäjä toimittaa vain osan vaadituista tiedoista. Ratkaisu: luettele pyydettävät tiedot, kuten käsittelyn tarkoitukset, vastaanottajat, säilytysaika ja tieto automaattisesta päätöksenteosta; kattava luettelo varmistaa, että saat kaikki yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan mukaiset tiedot.

Virhe 6 — Jäljennöksen pyytämättä jättäminen. Pyyntö, joka ei pyydä jäljennöstä henkilötiedoista, voi johtaa siihen, että rekisterinpitäjä toimittaa vain yleisen kuvauksen käsittelystä. Ratkaisu: pyydä nimenomaisesti jäljennös käsiteltävistä henkilötiedoista yleisen tietosuoja-asetuksen (EU 2016/679) 15 artiklan 3 kohdan mukaisesti; muista, että ensimmäinen jäljennös on maksuton.

Virhe 7 — Vastausajan huomiotta jättäminen. Pyynnön tekijä, joka ei tiedä kuukauden vastausmääräaikaa, ei osaa reagoida viivästykseen. Ratkaisu: viittaa pyynnössä rekisterinpitäjän velvollisuuteen vastata ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa yleisen tietosuoja-asetuksen (EU 2016/679) 12 artiklan 3 kohdan mukaisesti; seuraa määräajan kulumista päiväyksestä alkaen.

Virhe 8 — Pyynnön päiväämättä ja allekirjoittamatta jättäminen. Pyyntö ilman päiväystä tekee vastausmääräajan kulumisen seuraamisesta vaikeaa, ja allekirjoituksen puuttuminen voi heikentää pyynnön todistusvoimaa. Ratkaisu: päivää pyyntö (muoto PP.KK.VVVV) ja allekirjoita se; päiväys käynnistää kuukauden vastausmääräajan kulumisen ja allekirjoitus vahvistaa pyynnön tekijän tahdon.

Virhe 9 — Lähetystodisteen säilyttämättä jättäminen. Jos pyynnön lähettämisestä ei ole todistetta, vastausmääräajan ylityksen tai pyynnön katoamisen osoittaminen on vaikeaa. Ratkaisu: lähetä pyyntö todisteellisesti, esimerkiksi sähköpostilla, ja säilytä jäljennös pyynnöstä sekä lähetystodiste; nämä ovat tarpeen mahdollista valitusta varten tietosuojavaltuutetun toimistolle.

Virhe 10 — Valitusoikeuden hyödyntämättä jättäminen. Jos rekisterinpitäjä ei vastaa pyyntöön määräajassa tai vastaa puutteellisesti, eikä rekisteröity ryhdy jatkotoimiin, tarkastusoikeus jää toteutumatta. Ratkaisu: mikäli pyyntöösi ei vastata asianmukaisesti, tee valitus tietosuojavaltuutetun toimistolle yleisen tietosuoja-asetuksen (EU 2016/679) 77 artiklan ja tietosuojalain (1050/2018) mukaisesti; voit myös vaatia vahingonkorvausta 82 artiklan mukaisesti, jos rikkomuksesta on aiheutunut vahinkoa.