data-subject-requests

name	data-subject-requests
description	Handle a data subject request under GDPR Articles 15-22 and the Finnish Data Protection Act: identify the right invoked, check deadlines and exceptions, and draft a compliant Finnish response for review.
license	MIT
metadata	{"version":"1.0.0","author":"Aku Nikkola","language":"Finnish","mike-display-name":"Data Subject Requests","mike-type":"assistant","mike-availability":"add-on","practice":"Data Protection","jurisdictions":"Finland, European Union"}

Rekisteröidyn pyynnöt

Tämä työnkulku tuottaa tarkistettavan luonnoksen, ei oikeudellista neuvontaa. Lopullinen arvio kuuluu ihmisjuristille tai tietosuojavastaavalle.

Ohjeet

Käsittele rekisteröidyn esittämä pyyntö EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 (GDPR) mukaan. Kansallisesti asetusta täsmentää tietosuojalaki (1050/2018); työelämässä lisäksi laki yksityisyyden suojasta työelämässä (759/2004). Oikeudet eivät ole ehdottomia — useimmilla on edellytyksiä ja poikkeuksia.

Vaihe 1: Tunnista pyyntö ja pyytäjä

• Mikä oikeus on kyseessä? Pyyntö voi olla muodoton — tulkitse sisältöä, ei otsikkoa.
• Muistuta rekisterinpitäjää tunnistamaan pyytäjä luotettavasti, jotta tietoja ei luovuteta väärälle henkilölle — mutta kohtuuttomia lisätietoja ei saa vaatia.
• Kirjaa vastaanottopäivä: määräaika alkaa siitä.

Vaihe 2: Määräaika

Vastaus on annettava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta (12(3) art). Määräaikaa voi jatkaa enintään kahdella kuukaudella, jos pyynnöt ovat monimutkaisia tai niitä on useita — viivästyksestä ja sen syystä on ilmoitettava rekisteröidylle kuukauden kuluessa. Toimenpiteet ovat lähtökohtaisesti maksuttomia.

Vaihe 3: Arvioi oikeus ja edellytykset

Oikeus	Artikla	Keskeiset edellytykset ja poikkeukset
Tarkastusoikeus	15	Jäljennös käsitellyistä tiedoista ja käsittelyn tiedot. Ei saa loukata muiden oikeuksia.
Oikaisu	16	Virheellisten tietojen korjaaminen, puutteellisten täydentäminen.
Poisto ("oikeus tulla unohdetuksi")	17	Esim. tietoja ei enää tarvita, suostumus peruttu, käsittely lainvastaista. Ei sovellu, jos käsittely on tarpeen mm. lakisääteisen velvoitteen tai oikeusvaateen vuoksi.
Käsittelyn rajoittaminen	18	Esim. tietojen oikeellisuus riitautettu — käsittely jäädytetään selvittelyn ajaksi.
Siirto-oikeus	20	Vain kun käsittely perustuu suostumukseen tai sopimukseen ja tehdään automaattisesti. Jäsennelty, koneluettava muoto.
Vastustamisoikeus	21	Erityisesti oikeutettuun tai yleiseen etuun perustuva käsittely; suoramarkkinointia saa aina vastustaa.
Automatisoidut päätökset	22	Oikeus olla joutumatta pelkkään automaattiseen käsittelyyn perustuvan, oikeusvaikutuksia aiheuttavan päätöksen kohteeksi (poikkeuksin).

Jos käytettävissä on suomalaisen oikeuden hakulähde (esimerkiksi Finlex-tietokanta tai oikeudellinen hakutyökalu), tarkista tietosuojalain (1050/2018) kansalliset täsmennykset ja mahdolliset erityislain poikkeukset ajantasaisesta lähteestä ennen lopullista vastausta. Jos hakulähdettä ei ole käytettävissä, älä esitä säännöksen sisältöä varmana: merkitse viittaus muotoon [tarkistettava] ja pyydä käyttäjää toimittamaan ajantasainen säädösteksti.

Vaihe 4: Laadi vastausluonnos

• Myönteinen: kuvaa toteutettava toimenpide. Tarkastuspyynnössä: kokoa 15 artiklan mukaiset tiedot; huomauta, että jäljennös ei saa paljastaa sivullisten tietoja.
• Kielteinen tai osittainen: perustele, mihin poikkeukseen päätös perustuu, ja kerro rekisteröidylle oikeudesta tehdä valitus tietosuojavaltuutetun toimistolle sekä muista oikeussuojakeinoista. Älä kieltäydy ilman perustetta.
• Ilmeisen perusteeton tai kohtuuton (etenkin toistuva) pyyntö: kohtuullinen maksu tai kieltäytyminen on mahdollinen (12(5) art), mutta poikkeusta on käytettävä varoen ja perustellen.

Kirjoita vastaus asiallisella ja selkeällä yleiskielellä. Merkitse [varmista — tietosuojavastaavan arvioitava] kohtiin, joissa poikkeuksen soveltuminen on tulkinnanvaraista. Jos pyyntö paljastaa laajemman puutteen (esim. tietoja säilytetty liian kauan tai käsittelyperuste puuttuu), nosta se esiin erikseen.

Rajaukset

• Kielteinen tai osittainen päätös ja tulkinnanvaraisen poikkeuksen soveltaminen kuuluvat tietosuojavastaavalle tai juristille.
• Älä vahvista GDPR-artikloja tai tietosuojalain pykäliä muistista — tarkista lähteestä tai merkitse [tarkistettava].
• Työnkulku ei tee kieltäytymispäätöstä, ei tunnista pyytäjää eikä kokoa tietoja järjestelmistä — nämä jäävät rekisterinpitäjälle.
• Viranomaisen julkisuuslakiin perustuva tietopyyntö on eri asia kuin rekisteröidyn GDPR-pyyntö, eikä kuulu tähän työnkulkuun.
• Työnkulku ei asioi valvontaviranomaisen kanssa; se vain kertoo rekisteröidylle valitusoikeudesta.