Kuva: Daniel Korpai/Unsplash
Muistilista henkilötietojen käsittelyyn Venäjällä
Venäjän henkilötietolaki koskee niin toimistoja kuin kansainvälistä verkkokauppaa Venäjällä.
Neljä kirjainta – G,D,P ja R – ovat vilkkuneet viime vuosina tiuhaan erilaisten organisaatioiden työpöydillä. Henkilötietojen käsittelyyn liittyviä kysymyksiä on ratkottu niin Euroopan unionissa kuin Venäjälläkin.
Sekä EU:n GDPR-tietosuoja-asetuksella että Venäjän henkilötietolailla on sama päätarkoitus, eli määritellä tiedon keräämisen ja käsittelyn reunaehdot. Molemmissa on siten myös varsin samanlaiset pääperiaatteet.
Kun liiketoimintaa harjoitetaan yli rajojen, saatetaan henkilötietoihin soveltaa useampia säädöksiä.
Tässä tueksi muistilista henkilötietojen käsittelyyn Venäjällä.
- Dokumentoi tietojen keruun ja säilyttämisen nykytilanne. Miten tiedot kerätään ja kuka niitä käsittelee? Kauanko tietoja säilytetään ja miten ne poistetaan? Tietojen käsittelystä on laadittava viranomaisille tietosuojaseloste ja lain noudattaminen on tarvittaessa pystyttävä osoittamaan.
- Mikä on roolisi henkilötietojen käsittelyssä? Rekisterinpitäjäksi katsotaan yritys, joka päättää henkilötietojen käsittelyn tarkoitukset ja tavat, henkilötietojen käsittelijäksi taho, joka käsittelee tietoja rekisterinpitäjän puolesta.
- Säilytä venäläiset henkilötiedot Venäjällä. Venäjän lainsäädäntö velvoittaa säilyttämään henkilötiedot venäläisellä serverillä. Yritys voi pitää tietoja kopiona myös omalla serverillään Venäjän ulkopuolella, kunhan niitä hallinnoidaan ensisijaisesti Venäjällä. Venäjällä oleva serveri on ilmoitettava Roskomnadzorille.
- Tee tietojenkäsittelysopimus venäläisen kumppanin, eli paikallisen henkilötietojen käsittelijän kanssa. Siinä sovitaan tietojen käsittelystä Venäjän lainsäädännön mukaisesti.
- Jos esimerkiksi venäläisestä tytäryhtiöstä tehdään myös rekisterin pitäjä, sovitaan tästä tietojensiirtosopimuksella.
- Venäjällä kaikki henkilötietojen käsittely perustuu lähtökohtaisesti kyseessä olevan henkilön kirjalliseen suostumukseen. Tämä on huomioitava henkilötietoja kerätessä esimerkiksi suostumuslausekkeella.
- Tarkista, ulottuuko Venäjän henkilötietolaki verkkosivuillesi tai verkkokauppaasi. Laki koskee sivujasi, jos niillä on esimerkiksi venäläinen domain, venäjänkielistä sisältöä, Venäjälle kohdistuvaa markkinointia tai mahdollisuus maksaa ruplissa.