myClub Connect tietosuojaohje

Henkilötietojen luovuttaminen rekisterinpitäjien välillä

Tämä ohje koskee myClub-palvelussa toteutettavia henkilötietojen siirtoja rekisterinpitäjältä toiselle rekisterinpitäjälle tämän määrittelemiä käyttötarkoituksia varten, kuten tietojen siirtoa yhdistykseltä liitolle. Ohjeen tarkoituksena on helpottaa myClub-palvelun käyttöä ja ohjata asiakkaita huolehtimaan tietosuojalainsäädännön vaatimuksista tietoja siirrettäessä.

Mikäli sinulla herää kysymyksiä myClub-palvelun toiminnallisuuksiin tai sen käyttöön liittyen, ota yhteyttä myClub-palvelun asiakaspalveluun [e-mail].

Huomioithan, että nämä ohjeet eivät ole tyhjentäviä. Varmista aina tietoja luovutettaessa, että ko. henkilötietojen luovutus tehdään asianmukaisesti ja, että rekisteröidyt ovat tietoisia luovutuksista. Kukin rekisterinpitäjä on vastuussa henkilötietojen luovutuksen lainmukaisuudesta samoin kuin tietojen luovutuksen saajana oleva rekisterinpitäjä siitä, että sillä on lain mukainen oikeus kerätä ja käsitellä ko. luovutettuja tietoja.

Tämä ohjeistus ei koske:

• rekisteröidyn itsensä tekemää henkilötietojen tarkastuspyyntöä koskien hänen omia tietojaan

• tietojen siirtoja rekisterinpitäjältä henkilötietojen käsittelijälle tilanteessa, jossa tietojen käsittelijä käsittelee tietoja rekisterinpitäjän lukuun ja tämän toimeksiannosta. Näin esimerkiksi tilanteessa, jossa laskutuspalveluita tarjoava taho laskuttaa urheiluseuran jäsenmaksut urheiluseuran puolesta ja urheiluseura siirtää tarpeelliset henkilötiedot jäsenistään ko. palveluntarjoajalle. Tällöin ko. palveluntarjoaja saa käsitellä urheiluseuran jäsentietoja vain ko. laskutuspalvelun tarjoamiseksi. Tällaisissa tilanteissa urheiluseuran (rekisterinpitäjän) ja ko. palveluntarjoajan (käsittelijän) välillä tulee olla tietosuojalainsäädännön edellyttämä sopimus henkilötietojen käsittelystä.

• tietojen siirtoja kolmansiin maihin (ts. ETA-alueen ulkopuolelle).

Henkilötietojen luovuttaminen

Miten toimin henkilötietoja keräävänä ja vastaanottavana rekisterinpitäjänä?

Ennen henkilötietojen keräämistä tietoja keräävän rekisterinpitäjän on huolehdittava siitä, että sillä on oikeus kerätä ko. henkilötiedot määritettyä käyttötarkoitusta varten. Tämä tarkoittaa sitä, että rekisterinpitäjän tulee määrittää, millä perusteella (esim. rekisteröidyn suostumus, oikeutettu etu, sopimus, laki) ja mitä käyttötarkoitusta varten ko. henkilötiedot kerätään. Tämän lisäksi on huolehdittava siitä, että kerätään vain määritetyn käyttötarkoituksen edellyttämät henkilötiedot, mutta ei ylimääräisiä, tarpeettomia tietoja.

Henkilötietoja kerättäessä ja käsiteltäessä on aina lisäksi huolehdittava siitä, että rekisteröidyt, joiden tietoja kerätään, ovat tietoisia tietojen keräämisestä ja käsittelystä tietosuojalainsäädännön mukaisesti.

Miten toimin henkilötietoja luovuttavana rekisterinpitäjänä?

Ennen henkilötietojen luovuttamista toiselle rekisterinpitäjälle on tietoja luovuttavan rekisterinpitäjän huolehdittava siitä, että henkilötietojen pyytäjä on määrittänyt luovutettavat henkilötiedot ja ilmoittanut perusteen tietojen luovuttamiselle. Tämä on tärkeää, koska tietoja luovuttava rekisterinpitäjä vastaa siitä, että sillä on lain mukainen peruste henkilötietojen luovuttamiseen. Ilman asianmukaisia tietoja, henkilötietoja luovuttavan tahon voi olla vaikea arvioida, onko tietojen luovuttaminen lainmukaista, ja onko tietojen luovuttajalla peruste luovutukseen. Lisäksi on huolehdittava siitä, että henkilötietojen siirto tapahtuu tietoturvallisesti ja että rekisteröidyt ovat tietoisia tietojensa siirroista tietosuojalainsäädännön mukaisesti. Tarvittaessa tietojen luovutuksesta voidaan laatia erillinen sopimus.

Kun tietojen pyytäjältä on saatu tarvittavat tiedot, tietojen luovuttaja arvioi:

• onko tietopyyntö osoitettu oikealle taholle ja onko tietojen luovuttaja (rekisterinpitäjä) oikeutettu vai velvoitettu luovuttamaan pyydetyt tiedot esitetyn perusteen nojalla?

• onko pyytäjä rajannut pyytämänsä tiedot perusteen edellyttämällä tavalla? Tämä arvioidaan sillä tasolla, kun se on mahdollista tietojen luovuttajan (rekisterinpitäjän) näkökulmasta. Mikäli tiedot voidaan luovuttaa tilastona ts. anonyymissä muodossa, ei henkilötietojen luovuttaminen ole perusteltua. Epäselvissä tilanteissa ota yhteys tietoja pyytävään tahoon.

• miten ja millä tavalla pyydetyt tiedot voidaan toimittaa tietoturvallisesti?

Tietojen päivitys ja virheiden korjaaminen

Tietosuojaperiaatteiden mukaisesti henkilötietoja on päivitettävä aina tarvittaessa. Epätarkat ja virheelliset henkilötiedot on poistettava tai korjattava viipymättä. Mikäli rekisteröity vaatii tietojen oikaisua ja henkilötiedot korjataan pyynnön perusteella, on rekisterinpitäjän tietosuojalainsäädännön mukaisesti mahdollisuuksien mukaan ilmoitettava oikaisusta myös kaikille niille tahoille, joille virheellisiä tietoja on aikaisemmin luovutettu.

Esimerkkejä henkilötietojen luovutuksista rekisterinpitäjien välillä

Keskusjärjestöllä (esim. lajiliitolla) voi olla asiakas- tai jäsenyyssuhteeseen verrattavissa oleva suhde (vakuutus, kilpailulisenssi), joka muodostaa oikeutetun edun keskusjärjestölle käsitellä jäsenyhdistyksen (esim. urheiluseuran) jäsenen henkilötietoja. Näin esimerkiksi tilanteessa, jossa keskusjärjestö vakuuttaa jäsenyhdistyksensä jäsenen yhdistystoiminnassa (tietojen käyttötarkoitus). Tällöin keskusjärjestöllä on oikeus kerätä ja käsitellä jäsenyhdistyksen vakuutettujen jäsenien henkilötietoja ko. käyttötarkoitukseen. Tällaisessa tilanteessa jäsenyhdistys voi luovuttaa vakuutettujen jäseniensä henkilötietoja keskusjärjestölle siinä määrin kuin se on tarpeen vakuutussuhteen vuoksi.

Jäsenyhdistysten säännöissä voi olla määrätty, että jäsenyhdistyksen jäsentietojen luovutus keskusjärjestölle katsotaan kuuluvan yhdistyksen henkilötietojen käsittelytarkoitukseen. Tällaisessa tilanteessa säännöt voivat muodostaa perusteen (oikeutettu etu) jäsentietojen luovuttamiselle keskusjärjestölle.

Kaikissa edellä mainituissa tilanteissa on muistettava informoida (esim. tietosuojaselosteessa) rekisteröityjä henkilötietojen luovutuksesta ja käsittelystä tietosuojalainsäädännön mukaisesti.

myClubin sisäänrakennettu tietosuoja tietojen siirrossa

myClubin sisäänrakennettu tietosuoja tietojen siirrossa henkilötietoja keräävän ja vastaanottavan tahon ja henkilötietoja luovuttavan tahon välillä kattaa seuraavat asiat:

• Henkilötietoja keräävä ja vastaanottava taho ohjataan kirjaamaan järjestelmään tietojen keruun käyttötarkoitus, millä perusteella henkilötietoja kerätään (oikeutettu etu, rekisteröidyn suostumus, sopimus, laki) ja mitkä henkilötiedot kerätään

• Henkilötietoja luovuttava taho näkee Siirrot > Henkilötietojen siirto > Asetukset -välilehdeltä tietojen keruun käyttötarkoituksen, millä perusteella henkilötietoja kerätään ja siirrettävät tiedot.

• Henkilötietoja luovuttava taho määrittelee siirrettävät henkilöryhmät Kokoelmien asetuksista valituilla suodattimilla.

• Mikäli myClub-jäsentilin tietoja kuuluu siirrettäviin tietueisiin, myClub-jäsentilin käyttäjä näkee omilta jäsensivuiltaan keruun käyttötarkoituksen, millä perusteella henkilötietoja kerätään ja mitkä henkilötiedot kerätään.

• Henkilötiedot siirretään tietoturvallisesti ja automaattisesti myClubin toimesta henkilötietoja luovuttavalta taholta, henkilötietoja keräävälle ja vastaanottavalle taholle

• Rekisteröity voi suorittaa tietojensa oikaisun päivittämällä henkilötietonsa suoraan henkilötietoa luovuttavan tahon myClub-jäsentiliin, jolloin tiedot päivittyvät myös henkilötietoja keräävälle ja vastaanottavalle taholle.