Aina kun yritys kohtaa tietomurron tai jää kiinni henkilötietojen väärinkäytöstä, sama kysymys seuraa perässä: mitä asianosaiset voivat itse asiassa tehdä asialle? Vastaus löytyy joukosta oikeudellisia suojakeinoja, jotka tunnetaan GDPR-oikeuksina ja jotka koskevat jokaista, jonka henkilötietoja organisaatio kerää, tallentaa tai käsittelee Yhdistyneessä kuningaskunnassa tai EU:ssa. Tuore Prospect360:n selvitys purkaa nämä suojakeinot UK GDPR:n mukaisesti kattaen kaiken oikeudesta tarkastella omia tietojasi oikeuteen saada ne poistetuiksi. Näiden oikeuksien ymmärtäminen ei ole vain juridinen harjoitus. Se on käytännön työkalu jokaiselle, joka haluaa enemmän hallintaa siihen, miten hänen henkilötietojaan käytetään, etenkin kun tietomurrot ja sääntelysakot jatkavat otsikoissa pysymistä. ## Mitä oikeuksia yksilöillä on GDPR:n mukaan UK GDPR antaa yksilöille, joita usein kutsutaan rekisteröidyiksi, joukon oikeuksia omiin henkilötietoihinsa. Näihin kuuluvat oikeus tietää, mitä tietoja organisaatio heistä hallussa pitää, oikeus pyytää kopio niistä sekä oikeus saada virheelliset tiedot korjatuiksi. Ehkä tunnetuin on oikeus tietojen poistamiseen, jota kutsutaan joskus oikeudeksi tulla unohdetuksi, ja joka antaa ihmisille mahdollisuuden pyytää organisaatioita poistamaan heidän henkilötietonsa tietyissä olosuhteissa. Muut oikeudet koskevat sitä, miten tietoja käytetään, eivät vain sitä, mitä niitä on hallussa. Yksilöt voivat vastustaa tietyntyyppistä käsittelyä, pyytää, että heidän tietojensa käyttöä rajoitetaan riidan selvittämisen ajaksi, ja joissakin tapauksissa pyytää, että heidän tietonsa siirretään toiselle palveluntarjoajalle. Nämä oikeudet ovat olemassa erityisesti siksi, että henkilötietoja, kun ne on kerätty, voidaan käyttää tavoilla, jotka vaikuttavat ihmisiin kauan sen jälkeen, kun he ovat luovuttaneet ne, oli kyseessä sitten kohdennettu mainonta, automatisoitu päätöksenteko tai yksinkertaisesti myynti kolmannelle osapuolelle ilman selkeää suostumusta. ## Miksi nämä oikeudet ovat tärkeitä: Opit viimeaikaisista tapahtumista GDPR-oikeudet eivät ole abstrakteja oikeudellisia käsitteitä. Ne tulevat kiireellisen ajankohtaisiksi aina, kun yritys menettää hallinnan asiakastiedoista tai sen todetaan käsitelleen niitä väärin. Euroopan sääntelyviranomaiset ovat osoittaneet olevansa valmiita määräämään merkittäviä seuraamuksia, kun organisaatiot eivät kunnioita näitä suojakeinoja. Alankomaiden tietosuojaviranomaisen päätös [sakottaa Uberia 825 miljoonalla eurolla kuljettajia koskevasta GDPR-rikkomuksesta](/en/dutch-dpa-fines-uber-825m-over-driver-gdpr-breach) on yksi selkeimmistä viimeaikaisista esimerkeistä siitä, kuinka vakavasti täytäntöönpanoviranomaiset suhtautuvat rekisteröityjen oikeuksien loukkauksiin. Teleoperaattoreita ja terveydenhuollon palveluntarjoajia koskevat tietomurrot osoittavat, miksi nämä oikeudet ovat tärkeitä tavallisille ihmisille, eivät vain yrityksille. [Odido-tietomurto, jossa paljastui 6,2 miljoonaa tietuetta](/en/odido-data-breach-6-2-million-records-exposed), jätti asiakkaiden varastetut pankkitilitiedot hyökkääjien käsiin, kun taas [Unimedin laskutusmurto, joka paljasti potilaiden tietoja saksalaisissa yliopistosairaaloissa](/en/unimed-billing-breach-exposes-patients-at-german-university-hospitals), paljasti arkaluonteisia lääketieteellisiä tietoja kolmannen osapuolen toimittajan kautta. Molemmissa tapauksissa asianosaisilla oli oikeus tietää, mitä tietoja oli mukana, ja vaatia vastauksia siitä, miten tietoja käytettiin ja suojattiin. Edes valtion ylläpitämät järjestelmät eivät ole immuuneja. [Ranskan ANTS-passiportaalin tietomurto](/en/france-s-ants-passport-portal-breached-what-it-means) osoitti, että henkilöllisyysasiakirjojen infrastruktuuria voidaan vahingoittaa yhtä helposti kuin yksityisten yritysten tietokantoja, mikä vahvistaa, miksi GDPR-oikeudet koskevat laajasti eri sektoreita, eivät vain teknologia-yrityksiä. ## Näin käytät GDPR-oikeuksiasi Näiden oikeuksien käyttäminen alkaa tyypillisesti suoralla pyynnöllä organisaatiolle, joka hallussaan pitää tietojasi, jota kutsutaan usein tietopyynnöksi (Subject Access Request), kun pyydetään nähtäväksi, mitä tietoja on hallussa. Organisaatiot ovat lain mukaan velvollisia vastaamaan määräajassa, eivätkä ne voi yksinkertaisesti jättää huomiotta tai viivyttää loputtomasti näitä pyyntöjä. Jos yritys ei noudata vaatimuksia, yksilöt voivat Yhdistyneessä kuningaskunnassa viedä asian Information Commissioner's Officerille, joka on UK GDPR:n täytäntöönpanosta vastaava sääntelyviranomainen. On hyödyllistä olla täsmällinen pyyntöä tehdessä, olipa kyseessä sitten pyyntö kopiosta kaikista hallussa olevista tiedoista, virheellisen tietueen korjaaminen tai tilin täydellinen poistaminen. Kirjallisen muistiinpanon pitäminen pyynnöstä ja saaduista vastauksista vahvistaa myös asemaasi, jos valituksen tekeminen myöhemmin tulee tarpeelliseksi. ## Mitä tämä tarkoittaa sinulle Jos käytät mitä tahansa verkkopalvelua, olipa kyseessä sitten kyytisovellus tai terveydenhuollon palveluntarjoajan laskutusportaali, sinulla on jo oikeuksia niihin tietoihin, joita yritykset sinusta hallussaan pitävät. Sinun ei tarvitse odottaa tietomurtoa käyttääksesi niitä. Kopion pyytäminen tiedoistasi, niiden tarkistaminen oikeellisuuden varalta tai yrityksen pyytäminen poistamaan tietoja, joita et enää halua sen säilyttävän, ovat kaikki toimia, jotka ovat käytettävissä juuri nyt, riippumatta siitä, onko kyseinen organisaatio koskaan ollut uutisissa. Kun tietomurtoja tapahtuu, kuten nähtiin lääkealan tietovarkaudessa, joka vaikutti [Novo Nordiskin kliinisiin tutkimustietoihin](/en/novo-nordisk-hit-by-1-3tb-breach-clinical-trial-data-stolen), GDPR-oikeutesi tunteminen tarkoittaa, että pystyt paremmin vaatimaan läpinäkyvyyttä siitä, mitä paljastui ja mitä yritys tekee vastauksena. ## Keskeiset huomiot GDPR-oikeuksiesi ymmärtäminen antaa todellista valtaa takaisin sinulle yksilönä sen sijaan, että jättäisit tietosuojan kokonaan yritysten ja sääntelyviranomaisten varaan. Tarkista tietosuojakäytännöt ennen uusiin palveluihin rekisteröitymistä, tee tietopyyntö (Subject Access Request), jos olet epävarma siitä, mitä tietoja yritys sinusta hallussaan pitää, ja älä epäröi viedä ratkaisemattomia huolia Information Commissioner's Officerille. Pysymällä ajan tasalla GDPR-oikeuksista olet yksi yksinkertaisimmista tavoista suojata henkilötietojasi maisemassa, jossa tietomurrot ja sääntelysakot ovat yhä yleisempiä.