Milloin tietosuojaa koskeva vaikutustenarviointi on suoritettava?

Tietosuojaa koskeva vaikutustenarviointi on tehtävä aina, kun suunniteltu käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Lähtökohtana vaikutustenarvioinnin tarpeen tunnistamisessa ovat korkean riskin kriteerit. Vaikutustenarviointi on lakisääteinen velvollisuus.

Vinkki: lue lisää vaikutustenarvioinnista ja korkean riskin kriteerien määritelmistä
tietosuojavaltuutetun toimiston ohjeesta.	

Pääsäännön mukaan vaikutustenarviointi on tehtävä, mikäli kaksi tai useampi korkean riskin kriteeri täyttyy (1. jakso). Euroopan tietosuojaneuvoston tulkintaohjeen mukaan epävarmassa tilanteessa vaikutustenarviointi on suositeltavaa laatia.
Velvollisuus laatia vaikutustenarviointi voi seurata myös siitä, että käsittelytoimen tyyppi on lisätty tietosuojaviranomaisen luetteloon (2. jakso).
Lisäksi vaikutustenarviointi vaaditaan aina, kun erityisiä henkilötietoryhmiä (arkaluonteisia tietoja) käsitellään tieteellisen tai historiallisen tutkimuksen tarkoituksiin tai tilastointiin, ja käsittelyssä poiketaan rekisteröidyn (tutkittavan) tietosuoja-asetuksen mukaisista oikeuksista (3. jakso).

1.	Pääsääntö
Vaikutustenarviointi vaaditaan, jos kaksi (2) tai useampi korkean riskin kriteereistä täyttyy.
Esimerkki:	
•	tutkimuksessa käsitellään erityisiin henkilötietoryhmiin kuuluvia ns. arkaluonteisia henkilötietoja
    ja
•	käsittely on laajamittaista	
•	tutkimuksessa yhdistellään henkilötietokokonaisuuksia tutkittavan kannalta ennakoimattomalla tavalla
    ja
•	tutkittavat ovat heikossa asemassa rekisterinpitäjään (kuten lapset, potilaat tai ikääntyneet)	
•	tutkimuksessa sovelletaan uusia teknologisia ratkaisuja (kuten tekoälyratkaisuja)
    ja
•	käsittely on laajamittaista	

Korkean riskin kriteerit — henkilötietojen käsittely tutkimushankkeessa sisältää:
☐		Erityisiin henkilötietoryhmiin kuuluvien tai hyvin henkilökohtaisten tietojen käsittelyä	
☐		Tietojen laajamittaista käsittelyä	
☐		Tietokokonaisuuksien yhdistämistä rekisteröidyn kannalta ennakoimattomalla tavalla	
☐		Heikossa asemassa olevien henkilöiden henkilötietojen käsittelyä	
☐		
Uusien teknisten tai organisatoristen ratkaisujen soveltamista tai innovatiivista käyttöä	
☐		Henkilötietojen arviointia tai pisteytystä	
☐		Automaattista päätöksentekoa, jolla on oikeusvaikutuksia	
☐		Rekisteröityjen järjestelmällistä valvontaa	

2.	Tietosuojaviranomaisen luettelo – erityiset käsittelytilanteet
Tietosuoja-asetuksen mukaan tietosuojaviranomaisen on laadittava ja julkaistava luettelo sellaisten käsittelytoimien tyypeistä, joiden yhteydessä rekisterinpitäjän tulee tehdä tietosuojaa koskeva vaikutustenarviointi. Suomessa kansallisen tietosuojaviranomaisen (tietosuojavaltuutettu) luettelo on julkaistu tietosuojavaltuutetun toimiston internetsivuilla.
Vaikutustenarviointi vaaditaan, mikäli käsittelytyyppi on lisätty tietosuojaviranomaisen luetteloon, jos yksi (1) yllä mainituista korkean riskin kriteereistä liittyy kyseiseen käsittelytyyppiin.
Esimerkki:	
•	tutkimuksessa käsitellään geneettisiä tietoja (erityinen käsittelytilanne)
    ja
•	geneettisten tietojen käsittely on laajamittaista (korkean riskin kriteeri)	
•	tutkimuksessa käsitellään sijaintitietoja (erityinen käsittelytilanne)
    ja
•	sijaintitietoja yhdistetään muihin henkilötietokokonaisuuksiin tutkittavan kannalta ennakoimattomalla tavalla (korkean riskin kriteeri)	
•	tutkittavien (henkilökohtaisesta) informoinnista poiketaan, koska henkilötietojen käsittelyä koskevien tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa (erityinen käsittelytilanne)
    ja
•	tutkimuksessa käsitellään heikossa asemassa olevien tutkittavien henkilötietoja (korkean riskin kriteeri)	

Yksi korkean riskin kriteeri (yllä) täyttyy, ja tutkimushankkeessa käsitellään:
☐		Biometrisiä tietoja henkilön yksiselitteistä tunnistamista varten	
☐		Geneettisiä tietoja	
☐		Sijaintitietoja	
☐		Muualta kuin tutkittavalta itseltään saatuja henkilötietoja ja informoinnista poiketaan	

3.	Rekisteröidyn oikeuksista poikkeaminen
Vaikutustenarviointi vaaditaan suoraan kansallisen tietosuojalain (1050/2018) nojalla, mikäli erityisiä henkilötietoryhmiä käsitellään tieteellisen tai historiallisen tutkimuksen tai tilastoinnin tarkoituksiin, ja rekisteröidyn tietosuoja-asetuksen mukaisista oikeuksista poiketaan.
Vinkki: lue lisää rekisteröidyn oikeuksista poikkeamisesta
tietosuojavaltuutetun toimiston ohjeesta.	

☐		Tutkimuksessa käsitellään erityisiä henkilötietoryhmiä, ja rekisteröidyn oikeuksista poiketaan	

4.	Yhteenveto
☐ Tietosuojavaikutusten arviointi vaaditaan
☐ Tietosuojavaikutusten arviointia ei vaadita

Pvm.: Click or tap to enter a date.
Arvion laatija: Click or tap here to enter text.
Tehtävä: Click or tap here to enter text.