Viime syksynä tarkastin turkulaisen urheiluseuran tietosuojakäytännöt. Seuralla oli 210 jäsentä ja Excel-tiedosto, johon oli kerätty 15 vuoden aikana jäsenten nimet, osoitteet, puhelinnumerot, sähköpostit, syntymäajat — ja 38 jäsenen kohdalla terveystietoja (allergiat, lääkitys). Entisiä jäseniä ei ollut koskaan poistettu. Tiedostossa oli 2 300 riviä.
Hallitus oli yllättynyt kuullessaan, että yhdistyslain 11 § edellyttää jäsenluetteloa — mutta ei anna lupaa säilyttää kaikkea tietoa ikuisesti. Ja että terveystiedot ovat GDPR:n erityisiä henkilötietoryhmiä, joiden käsittely vaatii nimenomaisen suostumuksen.
Tämä on tavallista. Suurin osa yhdistyksistä kerää tietoja hyvässä uskossa mutta ilman selkeää käsittelyperustetta, ilman rekisteriselostetta ja ilman poistokäytäntöä. Tietosuoja-asetus koskee kaikkia — myös pieniä yhdistyksiä, urheiluseuroja ja asunto-osakeyhtiöitä.
Rakenna GDPR-vaatimusten mukainen jäsenrekisteri valmiilla sarakkeilla käsittelyperusteelle, suostumusajalle ja poistoaikatauluille.
Lataa pohja →Yhdistyslain (503/1989) 11 § edellyttää, että rekisteröidyn yhdistyksen on pidettävä jäsenluetteloa, johon merkitään kunkin jäsenen nimi ja kotipaikka. Nämä tiedot ovat lakisääteisiä — niiden käsittelyperuste on GDPR 6 artiklan 1 kohdan c alakohta (lakisääteinen velvoite).
Kaikki muu tieto — sähköposti, puhelin, syntymäaika, tilinumero, valokuva — edellyttää erillistä käsittelyperustetta. Tietosuoja-asetus tunnistaa kuusi perustetta (6 artikla), joista yhdistyksille olennaisimmat ovat:
| Käsittelytarkoitus | Peruste | Artikla |
|---|---|---|
| Nimi ja kotipaikka (yhdistyslaki) | Lakisääteinen velvoite | 6(1)(c) |
| Sähköposti, puhelin (jäsenviestintä) | Oikeutettu etu | 6(1)(f) |
| Jäsenmaksun laskutus | Sopimus (jäsenyys) | 6(1)(b) |
| Valokuvan julkaisu verkkosivuilla | Suostumus | 6(1)(a) |
| Jäsentietojen luovutus sponsoreille | Suostumus | 6(1)(a) |
| Terveystiedot (urheiluseurat) | Nimenomainen suostumus (9 art.) | 9(2)(a) |
| Kirjanpitoaineisto (tositteet) | Lakisääteinen velvoite | 6(1)(c) |
GDPR 13 artikla edellyttää, että rekisteröidylle kerrotaan käsittelystä keräyshetkellä. Käytännössä tämä tarkoittaa tietosuojaselostetta (aiemmin rekisteriseloste), joka annetaan uudelle jäsenelle liittymisvaiheessa.
Tietosuojavaltuutetun toimisto (TSV) suosittelee, että seloste sisältää vähintään:
Selosteen ei tarvitse olla juridista kieltä. Kaksi A4-sivua selkeällä suomella riittää. Tärkeintä on, että se on olemassa ja että se jaetaan jokaiselle uudelle jäsenelle.
Yhdistyslain 11 § antaa jäsenelle oikeuden tutustua jäsenluetteloon. Tämä ei kuitenkaan tarkoita, että koko rekisterin sisältö olisi kaikkien jäsenten nähtävissä. TSV on linjannut, että yhdistys voi rajoittaa luettelon jakamista niihin tietoihin, jotka ovat välttämättömiä jäsenoikeuksien toteuttamiseksi — eli käytännössä nimeen ja kotipaikkaan.
GDPR 15–22 artiklat takaavat rekisteröidyille joukon oikeuksia, joihin yhdistyksen on kyettävä vastaamaan. Useimmat yhdistykset saavat korkeintaan yhden tai kaksi tällaista pyyntöä vuodessa — mutta käsittelyprosessin on oltava olemassa.
GDPR 32 artikla edellyttää "asianmukaisia teknisiä ja organisatorisia toimenpiteitä." Yhdistykselle tämä tarkoittaa käytännössä:
Jos tapahtuu tietoturvaloukkaus — jäsentietoja vuotaa, tiedosto katoaa ilman varmuuskopiota tai ulkopuolinen pääsee käsiksi rekisteriin — yhdistyksen on ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa (33 artikla), mikäli loukkaus aiheuttaa riskin rekisteröidyille.
Esimerkkejä yhdistystoiminnassa:
Vaikka loukkausta ei tarvitsisi ilmoittaa tietosuojavaltuutetulle (riski ei ole merkittävä), yhdistyksen on silti dokumentoitava tapaus sisäisesti: mitä tapahtui, ketkä olivat osallisia, mitä toimenpiteitä tehtiin. Tämä on 33 artiklan 5 kohdan nimenomainen vaatimus.
Koskeeko GDPR pieniä yhdistyksiä, joissa on alle 30 jäsentä?
Kyllä. Tietosuoja-asetus koskee kaikkia, jotka käsittelevät henkilötietoja rekisterissä tai automatisoidusti — yhdistyksen koosta riippumatta. Excel-tiedosto jäsenten nimillä ja osoitteilla on henkilörekisteri. Poikkeus koskee vain täysin henkilökohtaista käyttöä (2 artiklan 2 kohdan c alakohta).
Mitä tietoja yhdistys saa kerätä jäsenistään?
Yhdistyslain 11 § edellyttää vähintään nimeä ja kotipaikkaa. Muut tiedot (sähköposti, puhelin, syntymävuosi) edellyttävät erillistä käsittelyperustetta — tyypillisesti oikeutettua etua tai sopimusta. Tietojen minimoinnin periaate (5 artiklan 1 kohdan c alakohta) tarkoittaa: kerää vain se, mitä toiminta todella vaatii.
Pitääkö vanhoja jäsentietoja poistaa?
Kyllä. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohta edellyttää säilytyksen rajoittamista. Eronneita jäseniä koskevat tiedot tulisi poistaa viimeistään vuoden kuluessa eroamisesta, ellei kirjanpitolaki edellytä pidempää säilytystä taloushallinnon tositteille (6 vuotta kirjanpitolain 2:10 § mukaan).
Onko rekisteriseloste pakollinen?
GDPR 13 artikla edellyttää, että rekisteröidylle annetaan tieto käsittelystä keräyshetkellä. Käytännössä tämä tarkoittaa tietosuojaselostetta, joka kertoo mitä tietoja kerätään, miksi, millä perusteella ja kuinka kauan ne säilytetään. TSV tarjoaa mallipohjan verkkosivuillaan.
Rakenna jäsenrekisteri, jossa GDPR-vaatimukset ovat valmiina — käsittelyperuste, suostumuskirjaus, säilytysajat ja loukkausloki.
Lataa pohja →Elina Korhonen · Tietosuoja-asiantuntija · Turku
Artikkeli on kirjoitettu tiedotustarkoituksessa eikä se ole oikeudellista neuvontaa. Ota yhteys lakimieheen tai tietosuojavaltuutetun toimistoon yksittäistapauksissa.