Lain asettanmat vaatimukset henkilörekistereille ohjelmistoprojektissa

Abstract

Henkilötiedot ovat joukko tietoja, joiden avulla ihminen voidaan yksilöidä. Useamman ihmisen tietojen ollessa samassa tietokannassa muodostuu henkilörekisteri. Näitä rekistereitä säädellään lainsäädännöllä. Lainsäädännön tavoitteena on, että henkilötietoja ei voi kerätä ilman perustetta.

Opinnäytetyössä käsitellään henkilörekistereihin liittyvää lainsäädäntöä. Opinnäytetyö on tehty toimeksiantona. Toimeksiantajana on talkootyönä toimivan ohjelmistoprojektin taustaorganisaatio. Ohjelmistoprojektin tarkoituksena on rakentaa uusia tietojärjestelmiä toimeksiantajalle, ja yhtenä osana projektissa ovat henkilörekisterit. Ohjelmistoprojektissa on tarkoitus rakentaa yksi laajempi henkilörekisteri. Koska toimeksiantaja on pieni organisaatio, ei toimihenkilöillä usein ole tarvittavaa lainopillista tietämystä toimiakseen oikealla tavalla. Tiedon hankkiminen ja ajan tasalla pitäminen on aikaa vievää ja asiaan perehtymättömälle vaikeaa.

Opinnäytetyön tarkoituksena on tutkia, miten lainsäädännöllä ohjataan henkilörekistereitä. Työn tavoitteena on laatia ohjeistus henkilörekistereiden lain asettamista vaatimuksista rekistereiden suunnittelussa, ylläpidossa ja hävittämisessä eli koko henkilörekisterien elinkaaren ajan. Opinnäytetyössä pyritään löytämään vastauksia kysymyksiin, mitä oikeuksia on rekisteröidyllä, mitä velvollisuuksia on rekisterinpitäjällä ja miten henkilötietoja tulee käsitellä.

Opinnäytetyö on toiminnallinen ja tutkimusmenetelmänä on lainoppi. Ensisijaisesti lähteenä on käytetty voimassaolevaa lainsäädäntöä ja hallituksen esityksiä. Lainkäytön havainnollistamiseksi on työssä esitelty oikeuden ratkaisuja sekä tietosuojavaltuutetun kannanottoja. Lisäksi lähteinä on käytetty oikeuskirjallisuutta sekä viranomaisen antamaa ohjeistusta. Käytännön näkökulmaa työhön on tuotu tarkastelemalla toimeksiantajan rekistereitä ja hyödyntämällä toimeksiantajan työntekijöiden osaamista. Opinnäytetyön tuloksena syntyi Ohjeistus henkilörekistereiden suunnittelusta, ylläpidosta ja hävittämisestä.

Tutkimuksen johtopäätöksenä voidaan todeta, että henkilörekistereitä ohjaa ensisijaisesti henkilötietolaki, mutta rekisteristä riippuen myös muu lainsäädäntö ja ohjeistus. Rekisteröidyllä on paljon oikeuksia, jotka on otettava huomioon henkilörekisterin koko elinkaaren ajan. Henkilörekistereiden käyttötarkoitukseen on syytä kiinnittää huomiota, koska käyttötarkoituksella määrätään koko henkilörekistereiden käyttö. Rekistereille on syytä luoda selkeä ohjeistus sisäiseen käyttöön, jotta jokainen tietää henkilörekistereiden merkityksen ja käytön. Henkilörekistereiden käyttöoikeuksia on syytä miettiä tarkoin, turhia käyttöoikeuksia on syytä välttää. Tietoturvakysymykset ovat sitä tärkeämpiä, mitä suurempia rekisterit ovat ja mitä enemmän henkilötietoja kerätään internet-palveluiden kautta.

Personal data is a set of information that can help a person to be identified. Date of several forms in the same database prisons of a person register. Law shall regulate these files. Aim of the legislation is that personal data cannot be collected without justification.

The thesis deals with Personal Data Act. This thesis was written as an assignment. The principal is a host organization doing software project with volunteers. The software project is to build new systems for principal and a part of the project is the person registers. The software project is to create the system for one larger person register. Since the client is a small organization, clerical personnel often do not have the necessary legal dogmatic in order to act correctly. To collect information and keeping it up to date is a time-consuming and difficult for the unfamiliar.

Purpose of this thesis is to investigate the Personal Data Act and the aim is to draw up guidelines what the law requires from registers in definition, maintenance and destruction phase covering the whole life cycle. The thesis seeks the answers what are rights of a registered person and what obligations are imposed for registrar and how personal data the shall processed.

This thesis is functional and the method is jurisprudence. The existing legislation and the government's proposals are used as the primary source. The legal decision and statements from Data Protection Ombudsman are presented to illustrate the application of the law. In addition, the legal literature and the guidance provided by the authorities are used sources as well. Studying the principal’s registers and utilizing the principal’s knowledge bring the practical aspect of the thesis. The thesis result is a collection of guidelines how to define, maintain and destroy the person registers.

As a conclusion of the thesis can be said that person registers are primarily controlled by Personal Data Act, but depending on the register by other legislation and guidelines also. The registers have rights, which have to be taken into account during the whole life cycle of the person register. Attention must be paid to the purpose of use of person registers because with the purpose of use the use of the whole person registers is determined. For internal use, on shall create a clear guidance such that everyone knows the significance and the usage of the register. The user rights of the person registers shall be considered thoroughly, and unnecessary user rights shall be avoided. The larger the registers are and the more personal information is gathered the Internet services, the more important the issues selected to information security are.