Tietosuojaviranomainen

Tietosuojaviranomainen

Itävallan tietosuojaviranomainen (DSB) on keskeinen valvontaelin henkilötietojen suojelussa Itävallassa. Se valvoo yleisen tietosuoja-asetuksen (GDPR) ja Itävallan tietosuojalain (DSG) noudattamista, päättää valituksista, käynnistää tarkastusmenettelyjä, määrää seuraamuksia ja edustaa Itävaltaa Euroopan tietosuojaneuvostossa. Sen tehtävänä on turvata perusoikeudet, estää väärinkäytökset ja velvoittaa yritykset sekä viranomaiset noudattamaan tietosuojalainsäädännön mukaisia velvoitteita.

Tietosuojaviranomainen on Itävallan valtiollinen valvontaviranomainen henkilötietojen suojelussa.

Tehtävät ja toimivalta

Tietosuojaviranomainen hoitaa laajaa tehtäväkenttää, joka kaikki palvelee henkilötietojen suojaa:

• Rekisteröityjen valitusten käsittely
• Virallisten tarkastusmenettelyjen toteuttaminen
• Päätöksenteko hallinnollisissa sakkomenettelyissä ja sakkojen määrääminen
• Tietoturvaloukkauksia (Data Breaches) koskevien ilmoitusten vastaanotto ja valvonta
• Lupamenettelyt, esimerkiksi käytännesääntöjen tai sertifiointielinten osalta
• Lausunnot lainsäädäntöhankkeissa

Näin ollen se on keskeinen yhteyspiste niin rekisteröidyille, yrityksille kuin tietosuojavastaavillekin.

Tietosuojan määritelmä

Tietosuoja on perusoikeus päättää itse siitä, kuka käsittelee mitäkin tietoja ihmisestä. Henkilötiedot ovat kaikkia tietoja, jotka liittyvät tiettyyn henkilöön tai tekevät henkilön tunnistettavaksi, kuten nimi, osoite, puhelinnumero, sähköpostiosoite, mutta myös valokuvat, IP-osoitteet tai terveystiedot.

Tietosuoja ei tarkoita, ettei tietoja saisi käsitellä. Se tarkoittaa, että käsittely on sallittua vain selkeiden lakisääteisten edellytysten mukaisesti ja että rekisteröidyillä on kattavat oikeudet. Nämä oikeudet suojaavat väärinkäytöksiltä ja antavat mahdollisuuden hallita omia tietojaan.

Rekisteröityjen oikeudet

Jokainen henkilö voi vaatia tietosuojaviranomaiselta perusoikeuksiensa kunnioittamista. GDPR sisältää tähän selkeän oikeuksien joukon:

• Oikeus saada tietoa: Ennen jokaista tietojenkäsittelyä rekisteröidyille on annettava selkeät ja kattavat tiedot.
• Oikeus tutustua tietoihin: Jokaisella rekisteröidyllä on oikeus saada tietää, mitä tietoja hänestä on tallennettu ja mihin tarkoitukseen.
• Oikeus tietojen oikaisemiseen ja poistamiseen: Virheelliset tiedot on oikaistava, ja luvattomat tiedot on poistettava.
• Oikeus käsittelyn rajoittamiseen: Tietyin edellytyksin käsittelyä saa jatkaa vain rajoitetusti.
• Vastustamisoikeus: Tiettyjä tietojenkäsittelytoimia voidaan vastustaa milloin tahansa.
• Oikeus siirtää tiedot järjestelmästä toiseen: Rekisteröidyt voivat vaatia, että heidän tietonsa siirretään yleisesti käytetyssä muodossa heille itselleen tai toiselle yritykselle.
• Oikeus olla joutumatta automaattisen päätöksenteon kohteeksi: Ketään ei saa asettaa epäedulliseen asemaan yksinomaan automaattisten menettelyjen perusteella.

Nämä oikeudet eivät ole vain teoreettisia, vaan ne voidaan panna täytäntöön – tarvittaessa tietosuojaviranomaisen valitusmenettelyssä.

Yritysten velvollisuudet

Yritykset ja viranomaiset ovat velvollisia toteuttamaan tietosuojan käytännössä, ei vain paperilla. Keskeisiin velvollisuuksiin kuuluvat:

• Käsittelyn oikeusperuste: Jokaisen tietojenkäsittelyn on perustuttava lakisääteiseen perusteeseen, kuten suostumukseen tai sopimukseen.
• Läpinäkyvyysvelvoitteet: Rekisteröidyille on tiedotettava selkeästi, mitä heidän tietoilleen tapahtuu.
• Tekniset ja organisatoriset toimenpiteet (TOMit): IT-turvallisuus ja organisatoriset prosessit on suunniteltava siten, että tiedot on suojattu katoamiselta, väärinkäytöltä tai luvattomalta pääsyltä.
• Käsittelytoimien rekisterit: Yritysten on dokumentoitava jäljitettävästi, mitä tietoja ne käsittelevät.
• Tietoturvaloukkausten ilmoittaminen: Turvallisuuspoikkeamista on ilmoitettava tietosuojaviranomaiselle 72 tunnin kuluessa.
• Tietosuojaa koskevien vaikutustenarviointien tekeminen: Riskialttiissa käsittelyissä on tehtävä yksityiskohtainen analyysi.

Menettelyt tietosuojaviranomaisessa

Tietosuojaviranomaisen menettely on formalisoitu ja sillä voi olla erilaisia muotoja:

Valitusmenettely

Rekisteröidyt voivat tehdä valituksen tietosuojaviranomaiselle, jos he katsovat, että joku käsittelee heidän henkilötietojaan laittomasti. Tämä menettely on suhteellisen matalan kynnyksen menettely.

Käsittelykulku:

1. Rekisteröity tekee kirjallisen valituksen – joko lomakkeella, sähköpostitse tai postitse.
2. Tietosuojaviranomainen tarkistaa, onko valitus muodollisesti sallittu.
3. Valituksen kohteena olevaa osapuolta – yleensä yritystä tai viranomaista – pyydetään antamaan lausunto.
4. Seuraa tosiseikkojen selvittäminen, tarvittaessa täydentävin kysymyksin tai kuulemisin.
5. Lopuksi tietosuojaviranomainen antaa päätöksen, jolla se joko hylkää valituksen tai hyväksyy sen ja määrää korjaavia toimenpiteitä.

Rekisteröidyille tämä menettely on tärkein tapa panna täytäntöön GDPR:n mukaiset oikeutensa.

Viralliset tarkastukset

Tietosuojaviranomainen ei ole riippuvainen vain valituksista, vaan se voi toimia myös virallisen aloitteen perusteella. Tämä tapahtuu erityisesti silloin, kun on viitteitä järjestelmällisistä rikkomuksista tai tietoturva-aukoista.

Erityispiirteet:

• Menettely alkaa ilman rekisteröidyn hakemusta.
• Ilmoittavilla henkilöillä ei ole asianosaisasemaa, eikä heille tiedoteta tuloksesta.
• Tietosuojaviranomainen tarkistaa itsenäisesti, onko rikkomuksia tapahtunut, ja määrää tarvittaessa toimenpiteitä.

Virallisilla tarkastuksilla on vahva ennaltaehkäisevä vaikutus, sillä ne lisäävät painetta yrityksille ja viranomaisille varmistaa tietosuoja jatkuvasti, ei vain reaktiivisesti.

Hallinnolliset sakkomenettelyt

Jos tietosuojaviranomainen havaitsee rikkomuksen, se voi käynnistää hallinnollisen sakkomenettelyn. Tavoitteena on velvoittaa yritykset ja julkiset tahot lopettamaan rikkomukset ja määräämään tuntuvia seuraamuksia.

Mahdollisia seuraamuksia ovat:

• Sakot, jotka voivat olla jopa 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta,
• Määräykset tietojenkäsittelyn lopettamisesta tai mukauttamisesta,
• Varoitukset ja velvoitteet.

Sakkojen suuruus määräytyy rikkomuksen vakavuuden, keston ja tahallisuuden mukaan. Myös aiemmilla rikkomuksilla tai yhteistyöhaluisella käyttäytymisellä menettelyssä on merkitystä.

Peter Harlander
Harlander & Partner Rechtsanwälte „Wer Verfahren vor der Datenschutzbehörde auf die leichte Schulter nimmt, riskiert nicht nur hohe Geldbußen, sondern auch den Verlust von Vertrauen und Reputation.“

Oikeussuojakeinot

Tietosuojaviranomaisen päätökset annetaan päätöksinä. Näitä päätöksiä vastaan rekisteröidyillä on mahdollisuus valittaa liittovaltion hallinto-oikeuteen (BVwG).

• BVwG tarkistaa päätöksen oikeudellisesta ja tosiasiallisesta näkökulmasta.
• Sen päätöksestä on tietyin edellytyksin mahdollista valittaa hallinto-oikeuteen (VwGH) tai perustuslakituomioistuimeen (VfGH).

Näin varmistetaan, että tietosuojaviranomaisen päätökset ovat moniportaisen oikeudellisen valvonnan alaisia.

Kansainvälinen ulottuvuus

Tietosuoja ei ole enää vain kansallinen asia. Tietosuojaviranomainen tekee yhteistyötä muiden eurooppalaisten valvontaviranomaisten kanssa ja on osa Euroopan tietosuojaneuvostoa (EDSA). Se osallistuu rajat ylittäviin tapauksiin, sovittaa päätöksiä yhteen johdonmukaisuusmekanismin puitteissa ja antaa lausuntoja kansainvälisistä tiedonsiirroista, esimerkiksi Yhdysvaltoihin.

Tiedonvapaus

Tietosuojan lisäksi myös tiedonvapaus on saamassa merkitystä. Uuden tiedonvapauslain (IFG) myötä tietosuojaviranomainen ottaa tulevaisuudessa roolin yhteyspisteenä avoimuutta ja virallisten tietojen saatavuutta koskevissa kysymyksissä.

Nämä velvoitteet eivät ole valinnaisia. Niiden laiminlyönti johtaa säännöllisesti tutkintoihin ja äärimmäisissä tapauksissa tuntuviin sakkoihin.

Edunne asianajajan tuella

Menettely tietosuojaviranomaisessa liittyy merkittäviin haasteisiin sekä rekisteröidyille että yrityksille. Rekisteröidyt riskeraavat, etteivät he saa oikeuksiaan täysin toteutettua ilman ammattimaista tukea. Yritykset puolestaan kohtaavat paitsi suuria sakkoja, myös mainevahinkoja ja kalliita prosessimuutoksia. Lisäksi menettelyt ovat erittäin formalisoituja ja sisältävät monimutkaisia oikeudellisia vaatimuksia, joita on vaikea hallita ilman asiantuntija-apua.

Erikoistuneen asianajotoimiston oikeudellinen tuki antaa varmuutta ja varmistaa, että etujasi edustetaan ammattimaisesti alusta alkaen. Hyödyt vankasta tietosuojalainsäädännön kokemuksesta ja johdonmukaisesta edustuksesta viranomaisen edessä.

• tarkistaa, onko kyseinen oikeudellinen aihe sovellettavissa tapauksessasi
• tukee sinua koko menettelyn tai käsittelyn ajan
• varmistaa kaikkien tarvittavien vaiheiden oikeudellisesti turvallisen suunnittelun ja toteutuksen
• tukee vaatimusten laskemisessa, täytäntöönpanossa tai torjumisessa
• turvaa oikeutesi ja etusi kaikkia osapuolia kohtaan

Sebastian Riedlmair
Harlander & Partner Rechtsanwälte „Datenschutz wird oft unterschätzt, dabei entscheidet die richtige Strategie im Umgang mit der Datenschutzbehörde über Erfolg oder Misserfolg.“

Usein kysytyt kysymykset – UKK