GDPR:n poikkeukset selitettynä: milloin sinun ei tarvitse noudattaa sitä

GDPR:n poikkeukset selitettynä: milloin sinun ei tarvitse noudattaa sitä

Yleisen tietosuoja-asetuksen (GDPR) tultua voimaan vuonna 2018 EU:n asukkaiden henkilötietoja käsittelevien yritysten on täytynyt noudattaa yhtä maailman vankimmista tietosuojalaeista. Monet eivät kuitenkaan tiedä, ettei GDPR koske kaikkia henkilötietojen käsittelyn tyyppejä.

Laissa on selkeästi määriteltyjä poikkeuksia, joissa GDPR ei joko sovellu lainkaan tai tietyt velvoitteet ovat lievempiä. Näiden tunteminen voi säästää yrityksesi aikaa, vaivaa ja turhia vaatimustenmukaisuuskuluja.

Tässä artikkelissa selitämme seitsemän tilannetta, joissa GDPR ei sovellu tai tarjoaa osittaisia poikkeuksia, todellisten esimerkkien ja asiantuntijataustan kera.

---

---

1. Henkilökohtainen tai kotitalouskäyttö

Jos käsittelet tietoja puhtaasti yksityiseen tai henkilökohtaiseen käyttöön, GDPR ei sovellu. Tätä kutsutaan ”kotitalouspoikkeukseksi”.

Esimerkki:

• Yhteystietojesi tallentaminen henkilökohtaiseen puhelinluetteloon
• Lomakuvien julkaiseminen yksityisessä ryhmäkeskustelussa

GDPR soveltuu, jos:

• Ylläpidät mainoksia sisältävää blogia tai YouTube-kanavaa
• Tallennat julkisia tiloja kotivalvontajärjestelmällä

Tämä poikkeus on voimassa vain, kun tietoja ei käytetä kaupallisiin, ammatillisiin tai julkisiin tarkoituksiin.

---

2. Viranomaiset: rikosoikeus ja kansallinen turvallisuus

GDPR ei koske tietoja, joita valtion viranomaiset käsittelevät lainvalvontaa, kansallista turvallisuutta tai puolustusta varten.

Sovelletaan:

• Lainvalvontadirektiiviä (EU) 2016/680, ei GDPR:ää

Koskee:

• Poliisia, tuomioistuimia, armeijaa ja kansallisia tiedustelupalveluja

Jos olet yksityinen yritys, joka tarjoaa turvallisuusohjelmistoja tai -palveluja, tämä ei vapauta sinua GDPR:stä.

---

3. Täysin anonyymit tiedot

Jos keräämäsi tiedot on anonymisoitu täysin – eli niistä ei enää voida tunnistaa yksittäistä henkilöä suoraan tai välillisesti – GDPR ei sovellu.

Esimerkkejä:

• Yhdistetyt tilastot ilman henkilötunnisteita
• Tuotteen käytön analytiikassa käytetyt tiedot, joista ei voi tunnistaa henkilöä

Ole varovainen: Pseudonymisoidut tiedot (jotka on yhdistetty käyttäjätunnukseen tai tunnisteeseen) katsotaan GDPR:n mukaan edelleen henkilötiedoiksi.

Muistutus: GDPR:n johdanto-osan 26 kappaleen mukaan, jos henkilön uudelleentunnistaminen on mahdollista, poikkeus ei päde.

---

4. Manuaaliset tiedot, jotka eivät ole osa arkistojärjestelmää

GDPR soveltuu automaattiseen käsittelyyn ja manuaalisiin tietoihin, jotka muodostavat osan jäsenneltyä arkistojärjestelmää. Jos manuaaliset tiedot ovat kuitenkin todella jäsentymättömiä, ne voivat jäädä soveltamisalan ulkopuolelle.

Esimerkki:

• Satunnaiset käsinkirjoitetut muistiinpanot paperilla, joita ei ole lajiteltu nimen, päivämäärän tai muun tunnisteen mukaan

Tämä poikkeus on suppea, ja nykyisessä digitaalisessa maailmassa se soveltuu harvoin verkkoyrityksiin.

---

5. Oikeudelliset vaateet ja menettelyt

Kun henkilötietoja käsitellään nimenomaisesti oikeudellisten oikeuksien toteen näyttämiseksi, käyttämiseksi tai puolustamiseksi, GDPR tarjoaa rajoitettuja poikkeuksia joihinkin rekisteröidyn oikeuksiin (kuten oikeuteen tulla unohdetuksi).

Esimerkki:

• Oikeudenkäyntiriitaan liittyvien sähköpostien säilyttäminen
• Tietojen luovuttamisesta kieltäytyminen, jos se vaarantaisi oikeusjutun

Muista: nämä poikkeukset eivät salli henkilötietojen rajoittamatonta käyttöä – ne koskevat vain oikeudellisen tarpeen yhteydessä.

---

6. Sananvapaus ja journalismi

Sananvapauden turvaamiseksi GDPR sallii EU:n jäsenvaltioiden säätää poikkeuksia journalistiselle, taiteelliselle tai akateemiselle sisällölle.

Koskee:

• Uutisjulkaisuja, jotka käsittelevät tietoja yleisen edun vuoksi
• Akateemisia laitoksia, jotka julkaisevat henkilötietoja sisältävää tutkimusta

Huomaa: tämä poikkeus on määritelty eri tavoin eri EU-maissa, ja sitä on punnittava yksityisyyden suojan oikeuksia vasten.

---

7. EU-oikeuden ulkopuoliset toiminnot

GDPR ei koske tietojenkäsittelyä, joka on kokonaan EU-oikeuden soveltamisalan ulkopuolella – esimerkiksi ulkopolitiikkaan tai EU:n toimielinten johtamiin sotilasoperaatioihin liittyvissä asioissa.

Tämä on harvinaista kaupallisissa yritysympäristöissä, mutta hyödyllistä tietää hallinnossa, puolustuksessa tai diplomatiassa toimiville organisaatioille.

---

Yhteenveto

GDPR on yksi maailman kauaskantoisimmista tietosuojasäädöksistä, mutta se ei ole kaikenkattava. Kun ymmärrät, milloin ja missä laki ei sovellu, yrityksesi voi:

• Välttää turhaa juridista työtaakkaa
• Kohdentaa resursseja korkeamman riskin käsittelyyn
• Keskittyä todellisiin vaatimustenmukaisuusriskeihin

Tästä huolimatta, jos yrityksesi käsittelee käyttäjätietoja mihin tahansa kaupallisiin tarkoituksiin, GDPR todennäköisesti soveltuu, ja GDPR-vaatimukset täyttävän CMP:n käyttö on edelleen järkevä ja skaalautuva ratkaisu.

---

Lähteet

GDPR:n artikla 2: aineellinen soveltamisala
https://gdpr-info.eu/art-2-gdpr/

Johdanto-osan 26 kappale – anonyymit tiedot
https://gdpr-info.eu/recitals/no-26/

Direktiivi (EU) 2016/680 – lainvalvonta
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016L0680

EDPB:n ohjeet tietosuojasta ja journalismista
https://edpb.europa.eu/our-work-tools/our-documents/guidelines_en