Kenen vastuulla on tietosuoja taloyhtiössä?
Taloyhtiöissä kerätään henkilötietoja moneen eri käyttötarkoitukseen. Osakeluettelon ylläpito ja velvollisuus kerätä tietoja osakkaiden tekemistä muutos- ja kunnossapitotöistä (niin sanottu remonttirekisteri) perustuvat asunto-osakeyhtiölakiin. Asukasluetteloa pidetään yllä sitä vastoin, jotta taloyhtiön arki saadaan pyörimään. Lisäksi esimerkiksi älylukkojen ja kameravalvonnan data saa aikaiseksi henkilörekisterin, kuten lämmitystä ja vedenkulutusta seuraavat älylaitteet. Olennaisinta tietosuojan osalta on se, että kaikista näistä syntyy rekistereitä, jotka sisältävät erilaista informaatiota yksittäisistä henkilöistä.
Tietosuoja-asetus määrittelee henkilötietojen käsittelyperusteet tyhjentävästi. Asetus tuo mukanaan lisää vastuita ja velvollisuuksia rekisterienpitäjille. Sitä vastoin rekisteröityjen oikeudet lisääntyvät. Rekisteröidyllä on oikeus muun muassa pyytää organisaatioilta tietoja omista henkilötiedoistaan ja niiden käytöstä sekä oikeus siirtää ja poistaa omia tietojaan.
Huomio
FAKTA. Henkilötietoja ovat kaikki tiedot, jotka pystytään yhdistämään tiettyyn henkilöön. Myös tekninen mittausdata on henkilötietoa, jos sen on yhdistettävissä tiettyyn asukkaaseen, esimerkiksi tapauksessa, jossa asukasluettelon perusteella data on yhdistettävissä asunnossa asuviin.
Mitä tietoja minusta saa kerätä?
Käytännössä kyse on siis siitä, että rekisteröity henkilö tietää, mitä tietoja hänestä kerätään, miksi niitä kerätään ja mihin tietoja käytetään. Taloyhtiön velvollisuutena on huolehtia siitä, että asukkaat saavat tiedon henkilötietojen käsittelyn tarkoituksesta sekä siitä, mihin tietoja mahdollisesti luovutetaan.
Informointi tietojen käsittelystä tapahtuu luontevimmin henkilötietoja kerättäessä eli käytännössä yleensä henkilön muuttaessa taloyhtiöön. Yhtiöt saavat kerätä asukkaastaan vain asukassuhteen hoidon kannalta tarpeellisia henkilötietoja. Erityyppisillä yhtiöillä on kuitenkin toisistaan poikkeavat tarpeet tietää asukkaistaan. Tärkeintä onkin pohtia tarkasti, mitä tietoja oikeasti tarvitaan.
Huomio
FAKTA. Keräämiseen ja kaikkeen käsittelyyn on oltava jokin laissa mainituista perusteista ja jokaiselle eri käsittelytavalle on oltava hyväksyttävä peruste. Vaikka laillisesti kerätystä datasta olisi analysoimalla mahdollista saada tarkempi kuva asukkaiden elämäntavoista ja käyttäytymisestä, ei taloyhtiöllä ole oikeutta sellaiseen.
Nykyiset laitteet keräävät monenlaista läsnäolotietoa. Saadaan selville, onko asunnossa joku paikalla, kuinka monta henkeä siellä on, mihin kellonaikaan käydään suihkussa, missä huoneissa oleskellaan. Nykyiset datankäsittelyohjelmat pystyvät mittausdatan perusteella tekemään hyvinkin tarkkoja analyysejä ihmisten elämästä.
Vaikka on laillista kerätä näitä tietoja esimerkiksi lämmitysjärjestelmien ohjaamiseen tai vesivahinkovuotojen paikantamiseen, tarkempaa analyysiä ja asukkaiden "kyttäämistä" sellaista ei missään tapauksessa saa tehdä. Tietoja saa käyttää vain ehdottoman välttämättömiin tarkoitusperiin, kertoo asianajaja Kukka Tommila, ilmastoviisaat taloyhtiöt -hankkeen luennolla.
Tietosuojaseloste ajan tasalle
Taloyhtiöillä tulee siis olla tietosuojaseloste, josta käy ilmi, mitä tietoja järjestelmät keräävät ja miksi, kuka tietoja ylläpitää ja mihin niitä luovutetaan. Kyseessä on rekisteröidyille suunnattu ja heidän saatavillaan oleva selkeä ja helposti ymmärrettävä kirjallinen asiakirja. Tietosuoja-asetuksen mukaisesti rekisteröidyille on kerrottava entistä laajemmin, läpinäkyvämmin ja aikaisemmassa vaiheessa henkilötietojen käsittelystä. Taloyhtiölle riittää yksi tietosuojaseloste, sillä siihen voidaan yhdistää tieto kaikista taloyhtiön ylläpitämistä henkilörekistereistä.
Huomio
FAKTA. GDPR:n keskeisimmät perusteet:
- Arvioi tiedonkeruun tarve ja laillisuus
- Poista tarpeen vaatiessa henkilötiedot
- Hahmota roolit ja vastuut
- Laadi kirjalliset asiakirjat tietojen käsittelystä ja perusteista
- Kerro rekisteröidyille tietojen käsittelystä
- Huolehdi tietoturvasta
- Huolehdi sopimuksista alihankkijoiden kanssa, jotka käsittelevät dataa
- Ilmoita ja dokumentoi, jos tietoturvaa on loukattu
- Huolehdi rekisteröityjen oikeuksista
Sanktioita ja osoitusvelvollisuus
Taloyhtiöiden hallitus ja isännöitsijä vastaavat siitä, että henkilötiedot käsitellään lain ja asetusten mukaisesti. Viime kädessä vastuussa päätöksistä ja toiminnan lainmukaisuudesta on aina taloyhtiön hallitus, vaikka käytännössä isännöitsijä usein pyörittääkin toimintaa.
Pahimmillaan tietosuoja-asetuksen laiminlyönti voi johtaa tuntuviin sanktioihin. Laiminlyönnistä on kyse esimerkiksi silloin, jos henkilötietojen käsittelystä ei sovita käsittelijöiden kanssa asetuksen vaatimalla tavalla tai mikäli taloyhtiössä ei informoida tietosuojaselosteilla asukkaita ja osakkaita henkilötietojen käsittelystä.
Merkittävä muutos asetuksen myötä tulee olemaan osoitusvelvollisuus. Tämä tarkoittaa sitä, että taloyhtiön pitää pystyä osoittamaan tietosuoja-asetuksen noudattaminen.
Mikäli taloyhtiön henkilötietojen käsittely on voimassaolevan henkilötietolain mukaista, ei vaadittavat lisätoimet ole ylivoimainen tehtävä. Toimenpiteitä tarvitaankin tällöin lähinnä sen suhteen, että taloyhtiö pystyy suoriutumaan osoitusvelvollisuudestaan.
Lisäksi on huomioitava, että henkilötietojen joutuessa vääriin käsiin tulee viranomaisille ilmoittaa asiasta mahdollisuuksien mukaan 72 tunnin kuluessa asian ilmitulosta. Tällaisia tilanteita voi tulla eteen muun muassa, jos tiedot tuhoutuvat tai päätyvät tietomurron kohteeksi.
Huomio
FAKTA. Taloyhtiöillä käyttökelpoisin ja suositeltavine peruste on oikeutettu etu. Oikeutetun edun olemassaolo arvioidaan niin sanotulla tasapainotestillä, jossa rekisterinpitäjän tarvetta punnitaan rekisteröidyn perusoikeuksia vasten. Perusteen on oltava rekisterinpitäjän tai rekisteröidyn oma tarve. Taloyhtiöllä on oikeutettu etu kerätä sellaista tietoa, joka on tarpeen esimerkiksi kunnossapitovastuun täyttämiseksi. Kustannussäästöt ja ilmastoystävällisyys kelvannevat myös perusteiksi.
Miten turvallisin mielin?
Tärkeintä on, että taloyhtiö tunnistaa, mitä henkilötietoja se toiminnassaan käsittelee ja varmistaa, että käsittely täyttää tietosuoja-asetuksen ja muun lainsäädännön asettamat vaatimukset. Taloyhtiön tulee toimittaa rekisteröidyille tietyt tiedot, kuten rekisterinpitäjän yhteystiedot, miksi tietoja kerätään ja ketkä ovat henkilötietojen vastaanottajia.
Turhan tiedon keräämistä on vältettävä sekä tietojen säilytysaika on mietittävä huolellisesti. Lisäksi sopimukset rekisterinpitäjän ja toimeksiannonsaajan välillä on oltava kunnossa ja ajan tasalla.
Henkilötietojen käsittely esimerkiksi kameravalvonnan tai älylukkojen tuoman datan osalta on lain mukaan mahdollista ulkoistaa ulkopuoliselle palvelutarjoajalle. Tällöin esimerkiksi turva-alan yritys, joka toimeksiannosta toteuttaa kameravalvontapalveluita, ei ole rekisterinpitäjä, vaan toimeksiannonsaaja, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. Henkilötietolain mukaan tällaisesta ulkoistamisesta on tehtävä asianmukaiset sopimukset ja sitoumukset rekisterinpitäjän ja toimeksiannonsaajan välillä.
GDPR ei vaikeasta sanamuodostaan huolimatta ole siis mahdottoman pelottava asia, kunhan muistetaan ensisijaisesti kolme tärkeää seikkaa: tietosuojaseloste päivitetään ajan tasalle ja informoidaan osakkaille sekä asukkaille ja sopimukset palvelutarjoajien kanssa hoidetaan tietoturva-asioiden osalta kuntoon.
Huomio
FAKTA. Jos asukas itse haluaa analyysejä omasta datastaan, asukkaiden tulee itse tilata sellaiset palveluntarjoajalta. Tällöin palveluntarjoaja käsittelee tietoja rekisteröidyn kanssa tehdyn sopimuksen mukaan. Taloyhtiö toimii asiassa mahdollistajana ja toimittaa mitatun datan palveluntarjoajalle rekisteröidyn puolesta ja suostumuksella. Tällaiset analyysit toimitetaan ainoastaan analyysin tilaajalle. Taloyhtiöllä ei ole perusteita saada tällaista tietoa.
Fakta-osiot: asianajaja Kukka Tommila, Ilmastoviisaat taloyhtiöt -hanke luennot
Aiheeseen liittyvää
Väestönsuojan kosteusongelmien korjaaminen hankalaa?
Yhtiövastike
Rakentamislaki ja alle 30 neliöiset rakennukset
Älä anna sadeveden tunkeutua perustuksiin
Viikon kysymys: Saako isännöitsijä toimia kokouksen puheenjohtajana?
Huoneistokohtaisen ilmanvaihdon tulee olla hiljainen ja huomaamaton
Luetuimmat
Uusimmat