Kenen vastuulla on tietosuoja taloyhtiössä?

Tietosuoja-asetus määrittelee henkilötietojen käsittelyperusteet tyhjentävästi. Asetus tuo mukanaan lisää vastuita ja velvollisuuksia rekisterienpitäjille. Sitä vastoin rekisteröityjen oikeudet lisääntyvät. Rekisteröidyllä on oikeus muun muassa pyytää organisaatioilta tietoja omista henkilötiedoistaan ja niiden käytöstä sekä oikeus siirtää ja poistaa omia tietojaan.

Nykyiset laitteet keräävät monenlaista läsnäolotietoa. Saadaan selville, onko asunnossa joku paikalla, kuinka monta henkeä siellä on, mihin kellonaikaan käydään suihkussa, missä huoneissa oleskellaan. Nykyiset datankäsittelyohjelmat pystyvät mittausdatan perusteella tekemään hyvinkin tarkkoja analyysejä ihmisten elämästä.

Vaikka on laillista kerätä näitä tietoja esimerkiksi lämmitysjärjestelmien ohjaamiseen tai vesivahinkovuotojen paikantamiseen, tarkempaa analyysiä ja asukkaiden "kyttäämistä" sellaista ei missään tapauksessa saa tehdä. Tietoja saa käyttää vain ehdottoman välttämättömiin tarkoitusperiin, kertoo asianajaja Kukka Tommila, ilmastoviisaat taloyhtiöt -hankkeen luennolla.

Taloyhtiöillä tulee siis olla tietosuojaseloste, josta käy ilmi, mitä tietoja järjestelmät keräävät ja miksi, kuka tietoja ylläpitää ja mihin niitä luovutetaan. Kyseessä on rekisteröidyille suunnattu ja heidän saatavillaan oleva selkeä ja helposti ymmärrettävä kirjallinen asiakirja. Tietosuoja-asetuksen mukaisesti rekisteröidyille on kerrottava entistä laajemmin, läpinäkyvämmin ja aikaisemmassa vaiheessa henkilötietojen käsittelystä. Taloyhtiölle riittää yksi tietosuojaseloste, sillä siihen voidaan yhdistää tieto kaikista taloyhtiön ylläpitämistä henkilörekistereistä.

Taloyhtiöiden hallitus ja isännöitsijä vastaavat siitä, että henkilötiedot käsitellään lain ja asetusten mukaisesti. Viime kädessä vastuussa päätöksistä ja toiminnan lainmukaisuudesta on aina taloyhtiön hallitus, vaikka käytännössä isännöitsijä usein pyörittääkin toimintaa.

Pahimmillaan tietosuoja-asetuksen laiminlyönti voi johtaa tuntuviin sanktioihin. Laiminlyönnistä on kyse esimerkiksi silloin, jos henkilötietojen käsittelystä ei sovita käsittelijöiden kanssa asetuksen vaatimalla tavalla tai mikäli taloyhtiössä ei informoida tietosuojaselosteilla asukkaita ja osakkaita henkilötietojen käsittelystä.

Lisäksi on huomioitava, että henkilötietojen joutuessa vääriin käsiin tulee viranomaisille ilmoittaa asiasta mahdollisuuksien mukaan 72 tunnin kuluessa asian ilmitulosta. Tällaisia tilanteita voi tulla eteen muun muassa, jos tiedot tuhoutuvat tai päätyvät tietomurron kohteeksi.

Tärkeintä on, että taloyhtiö tunnistaa, mitä henkilötietoja se toiminnassaan käsittelee ja varmistaa, että käsittely täyttää tietosuoja-asetuksen ja muun lainsäädännön asettamat vaatimukset. Taloyhtiön tulee toimittaa rekisteröidyille tietyt tiedot, kuten rekisterinpitäjän yhteystiedot, miksi tietoja kerätään ja ketkä ovat henkilötietojen vastaanottajia.

Turhan tiedon keräämistä on vältettävä sekä tietojen säilytysaika on mietittävä huolellisesti. Lisäksi sopimukset rekisterinpitäjän ja toimeksiannonsaajan välillä on oltava kunnossa ja ajan tasalla.

Henkilötietojen käsittely esimerkiksi kameravalvonnan tai älylukkojen tuoman datan osalta on lain mukaan mahdollista ulkoistaa ulkopuoliselle palvelutarjoajalle. Tällöin esimerkiksi turva-alan yritys, joka toimeksiannosta toteuttaa kameravalvontapalveluita, ei ole rekisterinpitäjä, vaan toimeksiannonsaaja, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. Henkilötietolain mukaan tällaisesta ulkoistamisesta on tehtävä asianmukaiset sopimukset ja sitoumukset rekisterinpitäjän ja toimeksiannonsaajan välillä.

GDPR ei vaikeasta sanamuodostaan huolimatta ole siis mahdottoman pelottava asia, kunhan muistetaan ensisijaisesti kolme tärkeää seikkaa: tietosuojaseloste päivitetään ajan tasalle ja informoidaan osakkaille sekä asukkaille ja sopimukset palvelutarjoajien kanssa hoidetaan tietoturva-asioiden osalta kuntoon.

Fakta-osiot: asianajaja Kukka Tommila, Ilmastoviisaat taloyhtiöt -hanke luennot