Uudistuksen sisältö on tarkoitus sinetöidä lopullisesti EU:n ministerineuvostossa lähiviikkoina. Uudistuksesta on käyty neuvotteluja jo lähes neljä vuotta.
EU:n ns. tietosuojapakettiin kuuluu yleisesti sovellettava tietosuoja-asetus ja direktiivi, jota lainvalvonta- ja oikeusviranomaiset soveltavat käsitellessään henkilötietoja muun muassa rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten.
Molempia säädöksiä aletaan soveltaa vuonna 2018.
Tietosuoja-asetus koskee kaikkien kansalaisten henkilötietojen käsittelyä.
– Yhdenmukainen henkilötietolainsäädäntö EU:ssa tukee rajat ylittävää kaupankäyntiä. Kansalaisen on helpompi luottaa esimerkiksi verkkokauppoihin, kun hän tietää, että hänen henkilötietojaan käsitellään kaupanteon yhteydessä asianmukaisesti, oikeusministeriö sanoo.
Tietosuoja-asetuksessa määritellyt rekisteröidyn oikeudet vastaavat suurelta osin nykysääntelyä. Henkilöllä on jatkossakin oikeus esimerkiksi tarkastaa itseään koskevat tiedot.
Jo nykysääntelyn mukaan rekisterinpitäjän on oikaistava virheelliset tiedot ja poistettava esimerkiksi tarpeeton tai vanhentunut henkilötieto (oikeus tulla unohdetuksi). Henkilön oikeutta saada omat tietonsa poistettua ei kuitenkaan sovelleta lakisääteisiin rekistereihin.
Asetuksella luodaan myös uusia oikeuksia, joilla nykyaikaistetaan sääntelyä vastaamaan teknologian kehitystä. Rekisteröity voi saada itseään koskevia tietoja sähköisesti ja hän voi nykyistä helpommin siirtää antamansa henkilötiedot järjestelmästä toiseen. Siirto-oikeutta ei sovelleta julkisella sektorilla.
Asetus rajoittaa lasten henkilötietojen käsittelyä ilman vanhempien suostumusta. Alle 16-vuotiaat eivät siten voi käyttää esimerkiksi sosiaalisen median palveluja ilman vanhempien lupaa. Jäsenvaltio voi päättää myös alemmasta ikärajasta, alimmillaan se voi olla 13 vuotta.
Suomi on korostanut, että tietosuoja-asetuksen puitteissa on mahdollista jatkaa nykyisen kaltaista biopankkitoimintaa, palkkatilastointia ja sukututkimusta. Suomen tavoitteena on ollut erityisesti myös asiakirjajulkisuuden huomioon ottaminen.
Asetukseen onkin sisällytetty artikla, joka mahdollistaa kansallisen julkisuuslain yhteensovittamisen tietosuoja-asetuksen kanssa. Näin hallinnon läpinäkyvyys ja asiakirjojen julkisuus voidaan säilyttää Suomessa.
Rikkomuksista tietosuojaviranomainen voi määrätä rekisterinpitäjälle sakkoa. Sanktioitavat teot on jaettu kolmeen luokkaan, joissa sakon määrä voi olla enintään 10 miljoonaa tai 20 miljoonaa euroa. Tämän lisäksi sakko voidaan määrätä kokonaisliikevaihdon perusteella. Sakkojen ohella on käytettävissä myös lievempiä keinoja, kuten huomautus.
Yrityksille sekä kustannuksia että hyötyjä
Suomalaisille yrityksille aiheutuu uusia kustannuksia muun muassa velvollisuudesta nimittää tietosuojavastaava sekä velvollisuudesta ilmoittaa tietoturvaloukkauksista.
Useassa EU-valtiossa toimiva yritys joutuu nykyisin selvittämään jokaisen jäsenvaltion tietosuojasäännökset erikseen. Jatkossa sovellettavan yhden luukun periaatteen mukaisesti tällainen yritys voi asioida vain yhden tietosuojaviranomaisen kanssa. Tämä vähentää yrityksen kustannuksia nykytilanteeseen verrattuna.
Lisäksi yritykset voivat saada merkittävää taloudellista hyötyä, jos digitalisaatio etenee tietosuojauudistuksen tavoitteen mukaisesti.
EU:n tietosuojasääntelyn yhdenmukaisen soveltamisen varmistamiseksi perustetaan Euroopan tietosuojaneuvosto. Se voi tehdä sitovia päätöksiä asioissa, joissa on kyse henkilötietojen käsittelystä useamman jäsenvaltion alueella.
Tietosuoja-asetuksella kumotaan nykyinen EU:n henkilötietodirektiivi ja asetusta sovelletaan Suomessa sellaisenaan. Tietosuoja-asetus edellyttää kuitenkin Suomessa myös lainsäädäntötoimenpiteitä, sillä jäsenvaltiot voivat antaa asetusta tarkentavaa lainsäädäntöä erityisesti julkisella sektorilla.
Myös julkishallinnolle asetus merkitsee uusia kustannuksia muun muassa tietosuojavastaavan nimittämisen vuoksi.