GDPR – Oikeus saada tietoa

On tarpeen lisätä avoimuutta tietojen keräämisen ja käytön suhteen, jotta EU-kansalaiset voivat käyttää oikeuttaan henkilötietojen suojaan. Siksi yleinen tietosuoja-asetus (GDPR) antaa yksilöille oikeuden tulla informoiduksi heidän henkilötietojensa keräämisestä ja käytöstä, mikä johtaa erilaisiin rekisterinpitäjän tiedonantovelvollisuuksiin.
Laki erottaa kaksi tapausta: toisaalta, jos henkilötiedot on saatu suoraan rekisteröidyltä (GDPR:n 13 artikla) ja toisaalta, jos näin ei ole (GDPR:n 14 artikla).

Kun tiedot saadaan suoraan, henkilöä on välittömästi informoitava, eli silloin kun tiedot hankitaan. Sisällöllisesti rekisterinpitäjän tiedonantovelvoitteeseen kuuluu hänen henkilöllisyytensä, tietosuojavastaavan yhteystiedot (jos saatavilla), käsittelyn tarkoitukset ja oikeusperuste, mahdolliset oikeutetut edut, joita tavoitellaan, vastaanottajat henkilötietoja siirrettäessä, ja mahdollinen aikomus siirtää henkilötietoja kolmansiin maihin. Lisäksi oikeus saada tietoa sisältää tietoa säilytyksen kestosta, rekisteröidyn oikeuksista, suostumuksen peruuttamismahdollisuudesta, oikeudesta tehdä valitus viranomaisille ja siitä, onko henkilötietojen antaminen lakisääteinen tai sopimusperusteinen vaatimus. Lisäksi rekisteröidylle on ilmoitettava mahdollisista automatisoiduista päätöksentekotoimista, mukaan lukien profilointi. Vain jos rekisteröity on jo tietoinen edellä mainituista tiedoista, ei ole tarpeen antaa näitä.

Jos henkilötietoja ei ole saatu rekisteröidyltä, hänelle on annettava tiedot kohtuullisen ajan kuluessa, mutta viimeistään kuukauden kuluttua. Tapauksissa, joissa kerättyjä tietoja käytetään ottamaan suoraan yhteyttä rekisteröityyn, hänellä on oikeus saada tiedonanto välittömästi lähestyessään. Sisällön osalta rekisterinpitäjän on annettava samat erityiset tiedot, kuin jos henkilötiedot olisi saatu suoraan rekisteröidyltä. Ainoa poikkeus on tieto velvollisuuksista antaa henkilötietoja, koska rekisterinpitäjällä ei ole tässä tapauksessa päätäntävaltaa. Lisäksi rekisterinpitäjällä on velvollisuus ilmoittaa, mistä lähteistä henkilötiedot ovat peräisin, ja olivatko ne julkisesti saatavilla. Rekisteröidyllä on oikeus saada tieto tarkassa, läpinäkyvässä, ymmärrettävässä ja helposti saatavassa muodossa. Velvollisuus ilmoittaa voidaan täyttää kirjallisessa tai sähköisessä muodossa. On nimenomaisesti todettu, että ns. ’standardoidut kuvamerkit’ voidaan myös käyttää tarkoitetun käsittelyn selkeän ja ymmärrettävän yleiskuvan antamiseksi.

Jos henkilötietoja ei kerätä rekisteröidyltä, poikkeustapauksissa ei ole velvollisuutta informoida. Tämä pätee, jos tietojen antaminen on joko mahdotonta tai kohtuuttoman kallista, kerääminen ja/tai siirto on vaadittu lain mukaan, tai jos tiedot on pidettävä luottamuksellisina ammatillisen salassapitovelvollisuuden tai muun lakisääteisen salassapitovelvollisuuden vuoksi.