Kuka vastaa asukkaiden tietosuojasta taloyhtiössä?

EU:n yleistä tietosuoja-asetusta (GDPR) sovelletaan kaikissa taloyhtiöissä, mutta sen rinnalla on voimassa Suomen kansallinen tietosuojalaki (1050/2018), joka täsmentää asetuksen soveltamista Suomessa. Lain mukaan rekisterinpitäjän – taloyhtiön – on huolehdittava siitä, että henkilötietojen käsittely täyttää sekä asetuksen että kansallisen lain vaatimukset. Henkilötietolaki ei ole enää voimassa, joten vanhoihin sen mukaisiin käytäntöihin ei voi tukeutua ilman, että ne on päivitetty GDPR:n mukaisiksi.

Tietosuoja-asetus määrittelee henkilötietojen käsittelyperusteet tyhjentävästi. Asetus tuo mukanaan lisää vastuita ja velvollisuuksia rekisterienpitäjille. Sitä vastoin rekisteröityjen oikeudet lisääntyvät. Rekisteröidyllä on oikeus muun muassa pyytää organisaatioilta tietoja omista henkilötiedoistaan ja niiden käytöstä sekä oikeus siirtää ja poistaa omia tietojaan.

Nykyiset laitteet keräävät monenlaista läsnäolotietoa. Saadaan selville, onko asunnossa joku paikalla, kuinka monta henkeä siellä on, mihin kellonaikaan käydään suihkussa, missä huoneissa oleskellaan. Nykyiset datankäsittelyohjelmat pystyvät mittausdatan perusteella tekemään hyvinkin tarkkoja analyysejä ihmisten elämästä.

Vaikka on laillista kerätä näitä tietoja esimerkiksi lämmitysjärjestelmien ohjaamiseen tai vesivahinkovuotojen paikantamiseen, tarkempaa analyysiä ja asukkaiden "kyttäämistä" sellaista ei missään tapauksessa saa tehdä. Tietoja saa käyttää vain ehdottoman välttämättömiin tarkoitusperiin, kertoo asianajaja Kukka Tommila, ilmastoviisaat taloyhtiöt -hankkeen luennolla.

Taloyhtiö on useimmiten henkilötietojen rekisterinpitäjä, koska se päättää tietojen keräämisestä ja käyttötarkoituksesta. Isännöitsijä, huoltoyhtiö tai kameravalvontapalvelu toimii tällöin henkilötietojen käsittelijänä, joka käsittelee tietoja taloyhtiön lukuun.

Rekisterinpitäjän ja käsittelijän välinen suhde on aina sovittava kirjallisesti. Sopimuksen on sisällettävä vähintään ne ehdot, jotka EU:n tietosuoja-asetuksen artikla 28 edellyttää, kuten tietojen suojaaminen, luottamuksellisuus ja poistaminen toimeksiannon päättyessä.

Jos käsittelyä tekee useampi taho (esimerkiksi isännöintiyritys ja turvayhtiö), taloyhtiön hallituksen tulee varmistaa, että jokaisella on sopimuksellinen velvoite noudattaa tietosuojaa ja että vastuut on dokumentoitu.

Jos taloyhtiö ottaa käyttöön järjestelmän, joka voi aiheuttaa korkean riskin yksityisyydelle – esimerkiksi laajamittaisen kameravalvonnan, kasvojentunnistuksen tai älyjärjestelmän, joka seuraa asumisen yksityiskohtia – on tehtävä vaikutustenarviointi (Data Protection Impact Assessment, DPIA).

Arviointi dokumentoi käsittelyn riskit ja sen, miten ne hallitaan. Tietosuojavaltuutetun toimiston verkkosivuilta löytyy mallipohjia ja ohjeita arvioinnin laatimiseen.

Tietosuoja ei toteudu ilman toimivaa tietoturvaa. Taloyhtiön on huolehdittava, että tiedot suojataan teknisin ja organisatorisin keinoin, esimerkiksi pääsynhallinnalla, salasanoilla, salauksella ja säännöllisillä varmuuskopioilla.

Lisäksi jokaiselle henkilörekisterille on määriteltävä tietojen säilytysaika. Kun tietoja ei enää tarvita, ne on poistettava tai anonymisoitava turvallisesti. Säilytysaikoja koskevat päätökset on myös dokumentoitava.

Jos taloyhtiö käyttää ulkopuolisia palveluja, kuten pilvipohjaisia isännöintiohjelmistoja tai kameravalvontajärjestelmiä, on varmistettava, että palveluntarjoaja sijaitsee EU:n tai ETA:n alueella tai että tietojen siirrolle EU:n ulkopuolelle on käytössä EU:n hyväksymät suojatoimet (kuten vakiosopimuslausekkeet).

Taloyhtiön hallituksen vastuulla on varmistaa, että nämä ehdot täyttyvät ja että palveluntarjoaja antaa riittävät takuut tietoturvasta.

Lisäksi on huomioitava, että henkilötietojen joutuessa vääriin käsiin tulee viranomaisille ilmoittaa asiasta mahdollisuuksien mukaan 72 tunnin kuluessa asian ilmitulosta. Tällaisia tilanteita voi tulla eteen muun muassa, jos tiedot tuhoutuvat tai päätyvät tietomurron kohteeksi.

Tietosuojaa valvoo Suomessa Tietosuojavaltuutetun toimisto. Jos taloyhtiö laiminlyö tietosuojasäännökset, valvontaviranomainen voi antaa huomautuksia, määräyksiä tai hallinnollisia sakkoja.

Hallinnollinen sakko voi olla enintään 20 miljoonaa euroa tai 4 prosenttia toiminnan vuotuisesta liikevaihdosta, kuitenkin ottaen huomioon toiminnan luonne ja laajuus. Taloyhtiöiden kohdalla sanktiot määräytyvät käytännössä lievempinä ohjauksina tai huomautuksina.

Taloyhtiön hallitus on viime kädessä vastuussa siitä, että rekisteröityjen oikeudet toteutuvat ja tietoturvariskit hallitaan.

Taloyhtiön on tunnistettava, mitä henkilötietoja se käsittelee, miksi ja millä perusteella. Turhia tietoja ei saa kerätä, ja säilytysaika on aina rajattava. Vanhentuneet tai tarpeettomat tiedot on poistettava huolellisesti.

Jos henkilötietojen käsittely ulkoistetaan – esimerkiksi kameravalvonnan, älylukkojen tai pilvipalvelun muodossa – palveluntarjoajan kanssa on tehtävä kirjallinen sopimus tietosuoja-asetuksen (GDPR artikla 28) mukaisesti. Taloyhtiö vastaa aina siitä, että sopimukset ja käytännöt ovat lainmukaisia, vaikka käytännön toteutus olisi muualla.

Tietosuojan hallinta ei ole yksittäinen dokumentti vaan jatkuva prosessi. Hallituksen kannattaa tarkistaa vuosittain, ovatko rekisterit ja tietoturvakäytännöt ajan tasalla – ja päivittää ne aina, jos järjestelmissä, isännöinnissä tai lainsäädännössä tapahtuu muutoksia.

Asukkaalla tai osakkaalla on oikeus saada tieto siitä, mitä hänestä on tallennettu, ja pyytää virheellisten tietojen oikaisua tai poistamista. Hän voi myös vastustaa tietojen käsittelyä, jos se perustuu oikeutettuun etuun, tai pyytää käsittelyn rajoittamista.

Taloyhtiön on vastattava pyyntöön ilman aiheetonta viivytystä – pääsääntöisesti kuukauden kuluessa. Näistä prosesseista on hyvä antaa käytännön ohje asukkaille esimerkiksi tietosuojaselosteen yhteydessä.

Tietosuoja ei ole kertaluonteinen tehtävä, vaan jatkuvaa huolellisuutta. Hallituksen kannattaa seurata Tietosuojavaltuutetun toimiston ohjeita ja varmistaa säännöllisesti, että yhtiön käytännöt ja sopimukset ovat ajan tasalla. Ajantasaiset ohjeet löytyvät osoitteesta tietosuoja.fi.

Fakta-osiot: asianajaja Kukka Tommila, Ilmastoviisaat taloyhtiöt -hanke luennot