Yksittäinen sähköposti, jossa yritykseltä kysytään, mitä henkilötietoja se sinusta hallussaan pitää, saattaa vaikuttaa vähäpätöiseltä hallinnolliselta pyynnöltä. Mutta viimeaikaisten eurooppalaisten valvontapäätösten mukaan tuo yksi pyyntö voi olla se lanka, joka purkaa koko yrityksen tietosuojan epäonnistumiset, ja se voi maksaa yritykselle miljoonia euroja. GDPR:n rekisteröidyn oikeudet, välineet, joiden avulla tavalliset ihmiset voivat päästä käsiksi henkilötietoihinsa, korjata niitä, poistaa niitä tai siirtää niitä, ovat yhä enemmän mekanismi, jota valvojat käyttävät paljastaakseen paljon suurempia ongelmia organisaatioiden sisällä.

Mitä GDPR:n rekisteröidyn oikeudet ovat, ja miksi ne ovat tärkeitä

GDPR:n mukaan kenellä tahansa, jonka henkilötietoja EU:ssa toimiva yritys tai organisaatio käsittelee, on joukko täytäntöönpanokelpoisia oikeuksia. Näihin kuuluvat oikeus tietää, mitä tietoja kerätään, oikeus saada kopio näistä tiedoista, oikeus virheellisten tietojen korjaamiseen, oikeus pyytää tietojen poistamista (usein kutsuttu "oikeudeksi tulla unohdetuksi") sekä oikeus saada tietosi siirrettävässä muodossa, jotta ne voidaan siirtää toiseen palveluun.

Nämä oikeudet eivät ole uusia. Ne ovat olleet olemassa siitä lähtien, kun GDPR tuli voimaan. Muutoksessa on se, miten niitä käytetään. Valvojat ja tuomioistuimet kohtelevat yhä useammin yksittäistä rekisteröidyn pyyntöä ja sitä, miten yritys siihen vastaa, ikkunana yrityksen kokonaisvaltaiseen tiedonhallintaan. Jos yritys ei pysty vastaamaan suoraviivaiseen kysymykseen, kuten "mitä tiedät minusta ja missä tiedot säilytetään", täydellisesti ja ajallaan, tämä epäonnistuminen viestii usein syvemmistä rakenteellisista ongelmista: tiedot ovat hajallaan toisistaan irrallaan olevissa järjestelmissä, omistajuus tiimien välillä on epäselvä tai prosesseja ei ole koskaan suunniteltu yksilöiden oikeudet mielessä.

Miten yksi valitus muuttui miljoonien eurojen sakoksi

Viimeaikaiset eurooppalaiset päätökset havainnollistavat tarkalleen, miten tämä toteutuu käytännössä. Henkilö käyttää perusoikeuttaan, usein jotain niin yksinkertaista kuin pyytää pääsyä omiin tietoihinsa tai pyytää tietojensa poistamista. Yritys vastaa puutteellisesti, myöhässä tai ei ollenkaan. Siitä, mikä alkaa rutiininomaisena valituksena tietosuojaviranomaiselle, eskaloituu täysimittaiseksi tutkinnaksi, ja tuo tutkinta paljastaa usein ongelmia, jotka menevät paljon alkuperäistä pyyntöä pidemmälle: tietoja säilytetään ilman perustetta, käsittely on epäjohdonmukaista osastojen välillä tai järjestelmiä ei ole koskaan asianmukaisesti auditoitu vaatimustenmukaisuuden osalta.

Tuloksena on, että näihin tapauksiin liittyvät sakot voivat nousta miljooniin euroihin, vaikka laukaisijana oli yksittäinen henkilö, joka käytti oikeuksia, jotka olivat jo olemassa paperilla. Tämä kaava osoittaa, että rekisteröidyn oikeudet eivät ole vain vaatimustenmukaisuuden valintaruutu. Ne ovat aktiivinen täytäntöönpanovipu, jota valvojat ovat valmiita käyttämään, ja yksi valitus riittää usein avaamaan oven.

Tämä heijastelee sitä, mitä tapahtui Uberin 825 miljoonan euron GDPR-sakolle, joka keskittyi automatisoituihin päätöksiin, kuten tilien keskeytyksiin, jotka tehtiin ilman riittävää läpinäkyvyyttä tai ihmisen tekemää tarkistusta. Molemmissa tilanteissa taustalla oleva ongelma oli sama: henkilötietoja käsiteltiin laajassa mittakaavassa ilman järjestelmiä, joilla ne voitaisiin asianmukaisesti tilittää, kun joku esitti kysymyksiä tai kyseenalaisti päätöksen.

Mitä yritysten kiirehtiminen vaatimustenmukaisuuteen paljastaa tietojesi altistumisesta

Kuluttajille näihin täytäntöönpanotarinoihin kätkeytyy tärkeä opetus. Jos valvojat havaitsevat, että yrityksillä on vaikeuksia tuottaa täydellinen ja tarkka kuva yksilön tiedoista virallisesti pyydettäessä, se viittaa vahvasti siihen, että monilla organisaatioilla ei ole selkeää sisäistä kuvaa asiasta. Henkilötiedot sijaitsevat usein useammassa paikassa kuin yritykset ymmärtävät: markkinointitietokannoissa, tukipyyntöjärjestelmissä, analytiikka-alustoilla, kolmannen osapuolen toimittajilla ja varmuuskopioissa, joita ei ole koskaan kartoitettu täysin.

Tämä pirstoutuminen on juuri syy siihen, miksi yksittäinen rekisteröidyn pyyntö voi paljastaa niin paljon. Se pakottaa yrityksen todella jäljittämään, missä tietosi sijaitsevat, ja usein tämä harjoitus paljastaa puutteita, joiden olemassaolosta organisaatio ei ollut tietoinen. Toisin sanoen sama pyyntö, joka suojelee oikeuksiasi, toimii myös käytännön auditoitina siitä, miten vakavasti yritys suhtautuu tietosuojaan.

Miten käyttää oikeuksiasi ja auditoida oma tietojalanjälkesi

Sinun ei tarvitse odottaa, että valvoja toimii puolestasi. GDPR:n rekisteröidyn oikeudet ovat käytettävissäsi suoraan, ja niiden käyttäminen on usein yksinkertaista:

  • Lähetä tietopyyntö. Kysy yritykseltä suoraan, mitä henkilötietoja se sinusta hallussaan pitää, mistä ne ovat peräisin ja kenen kanssa ne on jaettu.
  • Pyydä korjauksia. Jos jokin palautettu tieto on virheellinen tai vanhentunut, sinulla on oikeus saada se korjatuksi.
  • Pyydä poistamista, kun se on aiheellista. Jos et enää käytä palvelua tai yrityksellä ei ole laillista syytä säilyttää tietojasi, pyydä tietojen poistamista.
  • Pyydä siirrettävyyttä. Jos haluat siirtää tietosi toiselle palveluntarjoajalle, pyydä ne jäsennellyssä, yleisesti käytetyssä muodossa.
  • Seuraa vastausaikoja. Yritysten odotetaan yleensä vastaavan määritellyssä määräajassa. Viivästykset tai puutteelliset vastaukset voidaan raportoida kansalliselle tietosuojaviranomaisellesi.

Mitä tämä tarkoittaa sinulle

GDPR:n rekisteröidyn oikeuksiin liittyvä kasvava täytäntöönpanoriski on lopulta hyvä uutinen yksilöille. Se tarkoittaa, että paperilla olevien oikeuksien takana on todellisia seurauksia, kun ne jätetään huomiotta. Jos olet koskaan miettinyt, kuinka paljon henkilötiedoistasi pyörii yrityksen järjestelmissä, tietopyynnön jättäminen on laillinen ja vaivaton tapa ottaa selvää. Se ei maksa sinulle mitään, ja yrityksillä on laillinen velvollisuus vastata.

Samalla nämä tapaukset muistuttavat, että tietosuojan epäonnistumiset harvoin pysyvät rajattuina. Yritys, joka hoitaa yhden henkilön tietopyynnön huonosti, hoitaa usein tiedonhallintaa huonosti laajemminkin, mikä vaikuttaa kaikkiin, joiden tiedot kulkevat sen järjestelmien kautta.

Aloita tunnistamalla kaksi tai kolme palvelua, joilla on hallussaan merkittäviä henkilötietoja sinusta, kuten entinen työnantaja, tilaamispalvelu, jota et enää käytä, tai alusta, johon liittyy arkaluontoisia tietoja, ja jätä virallinen tieto- tai poistopyyntö. Kiinnitä huomiota siihen, kuinka nopeasti ja täydellisesti he vastaavat. Tuo vastaus kertoo sinulle paljon siitä, miten vakavasti kyseinen organisaatio suhtautuu GDPR:n rekisteröidyn oikeuksiin ja ovatko tietosi todella hallinnassa.