GDPR:n vaikutukset yrityksen henkilötietojen käsittelyyn

Abstract

Tämä opinnäytetyö käsittelee GDPR:n vaikutuksia yrityksen henkilötietojen käsittelyyn. EU:n yleinen tietosuojalaki astui voimaan 24.5.2016 ja muuttuu pakottavaksi 25.5.2018. Lain soveltaminen on otettu yrityksissä käyttöön jo kahden vuoden siirtymäaikana, vaikkakin ohjeistuksia itse asetuksesta on annettu vielä tämänkin vuoden puolella. Tässä opinnäytetyössä uutta tietosuojalakia tarkasteltiin suuren yrityksen kannalta, mutta sitä voidaan käyttää ohjeena muillekin yrityksille.

Opinnäytetyö tarkastelee tämänhetkistä henkilötietolakia sekä mitä uutta EU:n yleinen tietosuojalaki tuo tullessaan. Opinnäytetyössä pyrittiin kuvaamaan kaikki ne asiat, jotka jokaisella yrityksellä tulisi olla kunnossa uudistuvan tietosuojalain myötä, selkeästi sekä mahdollisimman yksinkertaisesti.

Ensimmäisenä opinnäytetyössä kuvataan tietosuojaperiaatteet. Tämän jälkeen kuvataan rekisterin velvollisuudet rekisterinpitäjänä sekä henkilötietojen käsittelijänä. Opinnäytetyön lopussa esitellään rekisteröidyn oikeudet sekä sopimuksiin liittyviä seikkoja.

Viimeisenä osiona käsitellään yrityksessä tehtyjä konkreettisia muutoksia. Taulukossa on kuvattuna osat, joita yrityksessä tarkasteltiin ja mihin muutoksia jouduttiin tekemään. Suurimmat muutokset yrityksessä kohdistuivat selosteen tekemiseen, kun tulevaisuudessa uusi tietosuojalaki velvoittaa yritykset pitämään yllä selostetta käsittelytoimista.

The thesis deals with the effects the general data protection regulation has on a company´s personal data protection. The regulation was adopted on 14th April 2016 and becomes enforceable on 25th May 2018. The two-year transition period has given time to companies to make the needed changes in their data protection. The point of view in the thesis is that of a big company, but it can be used in other companies as well.

The thesis examines the current personal data acts and what new the general data protection will bring to personal data protection. The purpose in the thesis was to describe all that should be done in companies before the regulation becomes enforceable, as clearly and simply as possible.

The principles of data protection are discussed at the beginning of the thesis. The second part is about the controller´s and processor´s general obligations. After that, the thesis describes the rights of the data subject and what new GDPR will bring to contracts with other controllers and processors.

In the last section the thesis shows what changes were made in the company because of GDPR. The chart shows the parts that were under inspection. The biggest changes were made in the records of processing activities because starting 25th May 2018 the general data protection regulation obligates companies to keep records of all their processing activities.