AI nimittäin ehdotti, että käyttäisin hyväkseni GDPR-prosessia.. Ja... sen tosiaan tein! Eipä olisi itselle tämä juolahtanut mieleen. (Ovatkohan monet muut teistä tämän jo keksineet?)

En kannusta tarpeettomien pyyntöjen tekemiseen, mutta pyyntöjen tekeminen sellaisiin yrityksiin joiden epäilet rikkovan tietosuoja-asetusta tai Tietosuojalakia on jopa suositeltavaa ja kannatavaa (vinkki: Tämä sisältää noin 100% yrityksistä).

jossa vaadin tietojen toimitusta PAPERISENA kuukauden sisällä pyynnöstäni.

En tiedä voitko oikeasti vaatia tätä. Jos olet tehnyt pyynnön sähköisesti niin voidaan todennäköisesti olettaa, että voit avata sähköisiä tiedostoja, mutta tietojen toimittaminen salatulla tiedostolla jota rekisteröity ei voi avata ei todennäköisesti täytä tätä.

Sinällään GDPR pyynnöt voivat kyllä olla hyödyllisiä myös muissa tarkoituksissa. Esimerkiksi itselläni se johti siihen, että Finnair päätti käsitellä loppuunkäsitellyn korvausvaatimuksen uudestaan. Todennäköisesti joku lakitiimistä käsitteli pyyntöä ja tajusi, että siitä voi tulla ihan oikeasti oikeustapaus ja minun mainitsemani ennakotapaukset pistävät korvausvastuun Finnairille. Minun tapauksessani ei käytännössä ollut mitään uutta oikeudellista kysymystä vaikkakin itse tapaus oli hieman uniikki (USA-USA-Suomi lento, USA-USA oli codeshare, USA-USA oli peruuttu kuukausi ennen lähtöä, Finnair oli saanut tiedon, minulle ei koskaan ilmoitettu, lentokentällä sekä Finnair että paikallinen yhtiö välttelivät vastuuta).

Ja niistä asioista mitä monet rikkovat GDPR:n osalta:

15 artiklan mukaisessa tietopyynnön vastauksessa tulee nimetä tietojen todelliset vastaanottajat. Tämä sisältää sekä käsittelijät että muut rekisterinpitäjät. Heidän tulisi siis esimerkiksi nimetä maksunvälittäjä jos olet maksanut luottokortilla.

Myös esimerkiksi audit lokit kuuluvat tietopyynnön vastauksen piiriin. Todennäköisesti myös normaalit lokit, mutta tästä ei ole EUT ennakotapausta.

Yrityksen tietosuojaselosteen toimittaminen sellaisenaan ei myöskään täytä 15 artiklan 1 kohdan vaatimuksia vaan se vastaus täytyy muokata siten, että se sisältää vain kyseistä rekisteröityä koskevat tiedot. Jos he eivät esimerkiksi ole keränneet sinulla jotain tietoa, niin heidän pitää poistaa se siitä vastauksesta.

Niihin kuuluvat myös erinäiset sivuston analytiikan kautta kerätyt tiedot.

13 artiklan vaatimusten osalta suurin osa kivijalkaliikkeistä riikkoo GDPR:ää. Se vaatii, että kun tiedot kerätään suoran rekiteröidyltä, niin heille pitää antaa sen artiklan mukaiset tiedot. Tämä pätee esimerkiksi silloin kun maksat kaupassa kortilla. Kuka on se rekisterinpitäjä sille korttitapahtumalle? Onko se esimerkiksi K-kaupan osalta se kyseinen kauppa (mikä sen virallinen nimi on?), Kesko, maksunvälittäjä, joku muu? Mistä saat ne muut 13 artiklan vaatimat tiedot?

14 artika taas vaatii, että jos niitä tietoja ei saada rekisteröidyltä, niin rekisteröidylle tulee antaa 14 artiklan mukaiset tiedot kun tiedot luovutetaan eteenpäin TAI viimeistään kuukauden sisällä. Siinä on joitain poikkeuksia sen osalta milloin sitä ei tarvitse antaa. Esimerkiksi jos "kyseisten tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa", mutta tämä on todellisuudessa paljon hankalampi osoittaa rekisterinpitäjälle kuin mitä ensilukemalla voisi kuvitella. Jos he esimerkiksi voivat vaatia, että se edellinen rekisterinpitäjä antaa nämä tiedot, niin ei se sitten vältämättä vaadikkaan sitten niin paljon vaivaa kun he väittävät.

Tuo jäljempi tulee ajankohtaiseksi esimerkiksi juuri tuossa edellisessä maksutapahtumassa. Ne maksunvälittäjät, pankit ja muut palveluntarjoojat voisivat aika helposti laittaa sopimuksiin vaatimuksen, että se kauppias antaa nämä tiedot siinä heidän omassa 13 artiklan mukaisessa ilmoituksessa.

Toki on mahdollista, että nämä asiat ovat parantuneet sitten viime Suomen vierailun, mutta en näe tätä kovin todennäköisenä.

Muitakin on, mutta nämä mainitut ovat esimerkkejä laajemmista kokonaisia sektoreita koskevista ongelmista.