Den nationella dataskyddslagen träder i kraft den 1.1.2019

EU:s allmänna dataskyddsförordning, det vill säga GDPR trädde i kraft den 25 maj 2018 och gäller i princip all behandling av personuppgifter. Medlemsstaterna skulle utnyttja det nationella handlingsutrymmet som lämnats i dataskyddsförordningen för att stifta egna lagar, och Finlands riksdag har nu för sin del antagit dessa lagar, då den nationella dataskyddslagen träder i kraft. Det rör sig om parallell lagstiftning som ska tillämpas tillsammans med dataskyddsförordningen. Ur finsk synvinkel fastställs i den antagna dataskyddslagen vissa undantag och förtydliganden till EU:s dataskyddsförordning. Dessa omfattar till exempel samordningen av yttrandefrihet och skyddet av personuppgifter, tillhandahållandet av informationssamhällets tjänster direkt till barn samt reglering avseende vissa särskilda persongrupper. Behandling av personuppgifter som rör särskilda personkategorier kan bland annat ske i samband med försäkringsverksamhet, medlemskap i fackföreningar eller tjänster som organiseras och tillhandahålls av aktörer inom hälso- och socialvården. För att säkerställa yttrandefriheten, till exempel inom journalistik, föreskrivs också undantag och befrielser, där bland annat personers rätt att granska uppgifter som rör dem själva begränsas. Undantag gäller även forskning, arkivering och statistik. I Finland har man beslutat att ett barn måste vara minst 13 år för att direkt kunna erbjudas tjänster i informationssamhället. För barn som är yngre än så krävs föräldrarnas samtycke för att de ska kunna börja använda sociala medietjänster som kräver att personuppgifter lämnas ut. Ansvaret för att samtycke föreligger ligger hos tjänsteleverantören, det vill säga den registeransvarige. Det utrymme för flexibilitet som EU-förordningen ger när det gäller åldersgränsen var 13–16 år. Alla myndighetsuppgifter som krävs enligt dataskyddsförordningen samlas hos dataskyddsombudet. Det sanktionskollegium som inrättas vid dataskyddsombudets kontor har möjlighet att ålägga böter för överträdelser av bestämmelserna. Dessa kan i mildaste fall uppgå till högst 10 miljoner euro eller 2 % av den totala omsättningen och i allvarligaste fall till 20 miljoner euro eller 4 % av den totala omsättningen. Dataskyddsombudet har även tillgång till mildare sanktionsalternativ. Det är värt att notera att böter inte kan åläggas myndigheter och organisationer inom den offentliga förvaltningen. I dataskyddslagen finns också en bestämmelse om skydd av anmälarens identitet. Detta innebär att identiteten på den person som anmäler en misstänkt överträdelse av bestämmelserna ska hållas hemlig om det, utifrån omständigheterna, kan bedömas att detta skulle medföra nackdelar för anmälaren. Dataskyddslagen och tillhörande lagändringar innehåller även bestämmelser om brott mot dataskyddslagstiftningen. Detta kan vara fallet om en person som är anställd hos den registeransvarige olovligen utforskar personuppgifter i strid med deras användningsändamål. Straffet kan vara böter eller fängelse i högst ett år. Årsskiftet är ett bra tillfälle att granska sitt företags dataskydd och säkerställa att det uppfyller kraven i både EU:s dataskyddsförordning och den nationella dataskyddslagen. Protect har även expertis inom GDPR-frågor och vi stöder gärna företag i arbetet med att säkerställa efterlevnaden av kraven.