Kryptopalvelun henkilötiedot: tarkastus- ja poistopyyntö erikseen
Avoin tarkistustarve: Selvitä soveltuvuus, poikkeukset ja valvontareitti tietosuoja-asiantuntijan kanssa.
Haluatko tietää, mitä henkilötietoja kryptopalvelu käsittelee, vai haluatko pyytää tietojen poistamista? Nämä ovat eri pyyntöjä. Tietosuojavaltuutetun mukaan rekisterinpitäjän on annettava jäljennös käsittelemistään sinua koskevista henkilötiedoista.10 Poistamisoikeuteen puolestaan liittyy edellytyksiä ja poikkeuksia, joten kaikkien tietojen poistamista ei voi luvata.9
Selvitä, kenelle pyyntö kuuluu
Etsi palvelun tietosuojaselosteesta rekisterinpitäjä ja tapa lähettää tietosuojapyyntö. Palvelun brändinimi ei välttämättä yksin kerro, mikä oikeushenkilö toimii rekisterinpitäjänä. Jos palveluja tarjoaa useampi toimija tai asia on epäselvä, pyydä palvelulta selvennystä ennen kuin lähetät arkaluonteisia asiakirjoja.
Tunnista itsesi palvelun ohjeiden mukaan turvallista kanavaa käyttäen. Älä anna salasanaa, yksityisavainta tai palautussanoja pyyntösi käsittelemiseksi. Voit kysyä, miksi mahdollista lisätunnistamista tarvitaan ja mikä on turvallinen tapa toimittaa pyydetyt tiedot.
Ensin tietojen tarkastus
Tietosuojavaltuutetun mukaan voit pyytää jäljennöksen itseäsi koskevista henkilötiedoista, joita rekisterinpitäjä käsittelee. Viranomaisen ohjeessa mainitaan myös oikeus saada tietoa esimerkiksi käsittelyn tarkoituksesta, tietojen säilytysajasta ja vastaanottajista.10 Pyydä kuvaus selkeästi ja kerro, mihin asiakassuhteeseen pyyntö liittyy.
Voit käyttää esimerkiksi tällaista viestiä:
> Pyydän jäljennöksen minua koskevista henkilötiedoista, joita käsittelette, sekä tiedon käsittelyn tarkoituksista, säilytysajoista ja tietojen vastaanottajista. Kertokaa, jos tarvitsette lisätietoja henkilöllisyyteni varmistamiseen, ja miten ne toimitetaan turvallisesti.
Malli ei osoita, että jokainen palvelun hallussa oleva tekninen tieto olisi juuri sinun henkilötietoasi. Pyydä palvelulta selvitystä, jos vastauksen laajuus jää epäselväksi. Säilytä pyyntö ja vastaus sekä niiden päivämäärät.
Poistopyyntö on erillinen arvio
Voit pyytää henkilötietojen poistamista ja kertoa, mitä tietoja pyyntö koskee. Tietosuojavaltuutettu kuvaa tilanteita, joissa poistamisoikeus voi syntyä, sekä poikkeuksia; esimerkiksi lakisääteisen velvoitteen noudattaminen voi edellyttää tietojen käsittelyä.9 Se, että palvelulla saattaa olla säilytysvelvollisuus, ei kuitenkaan osoita automaattisesti, että kaikki sen tiedot on säilytettävä.
Pyydä, että palvelu kertoo, mitä se poisti ja mitä se ei poistanut sekä millä perusteella. Älä oleta tiettyä rahanpesusääntelyn mukaista säilytysaikaa ilman juuri kyseistä toimijaa, tietoa ja sovellettavaa sääntelyä koskevaa selvitystä. Pyyntö palvelulle ei myöskään takaa lohkoketjuun tallennettujen tietojen poistamista.
Esimerkki: Sanni haluaa selvittää vanhan kryptotilinsä tiedot. Hän pyytää ensin rekisterinpitäjältä jäljennöksen ja säilytysaikoja koskevat tiedot. Saatuaan vastauksen hän pyytää erikseen tiettyjen tarpeettomiksi katsomiensa tietojen poistamista. Jos palvelu sanoo säilyttävänsä osan tiedoista lain vuoksi, Sanni pyytää täsmennystä. Esimerkki ei ratkaise, pitääkö palvelun poistaa juuri nämä tiedot.
Vastaus ja jatkotoimet
Tietosuojavaltuutetun mukaan rekisterinpitäjän on vastattava pyyntöön ilman aiheetonta viivytystä ja yleensä viimeistään kuukauden kuluessa; monimutkaisissa tai lukuisissa pyynnöissä aikaa voidaan jatkaa enintään kahdella kuukaudella, ja jatkaminen on perusteltava.9, 10 Lisäajan ilmoitus ei vielä tarkoita kieltäytymistä.
Jos vastausta ei tule määräajassa tai oikeuksien toteutuminen jää epäselväksi, tutustu tietosuojavaltuutetun ohjeisiin ja mahdollisuuteen ottaa viranomaiseen yhteyttä.10 Säilytä alkuperäinen pyyntö, vastaus ja mahdollinen kieltäytymisen perustelu. Kansainvälisen palvelun kohdalla toimivaltaisen valvontaviranomaisen ja sovellettavan sääntelyn selvittäminen voi vaatia lisäarviota.
Tämä opas koskee henkilötietopyyntöä, ei tilin sulkemisen kaikkia vaiheita eikä jokaisen palveluntarjoajan velvollisuuksien lopullista tulkintaa.
Miten tarkennat pyyntöä ilman tarpeetonta tietojen luovutusta?
Jos olet käyttänyt palvelussa useampaa sähköpostiosoitetta tai asiakasnumeroa, voit kertoa sen pyynnössä, jotta rekisterinpitäjä löytää oikeat tiedot. Pyydä ensin ohje siitä, millaisia tunnistetietoja tarvitaan ja miten ne lähetetään turvallisesti. Tietosuojavaltuutettu neuvoo kääntymään rekisterinpitäjän puoleen ja kuvaa henkilöllisyyden todentamisen osana pyyntöprosessia.10 Älä liitä kaikkea henkilöllisyysaineistoasi varmuuden vuoksi suojaamattomaan viestiin.
Jos saat hyvin yleisluonteisen vastauksen, vertaa sitä kysymyksiisi. Puuttuuko esimerkiksi käsittelyn tarkoitus, säilytysaika tai tieto vastaanottajista? Voit pyytää täsmennystä niistä kohdista, jotka koskevat itseäsi. Jos palvelu perustelee poistamatta jättämistä lakisääteisellä velvoitteella, kysy, mitä tietoja peruste koskee ja kuinka pitkään niitä säilytetään. Viranomaisen ohjeen mukainen poikkeus koskee tilanteita, joissa käsittely on tarpeen kyseisen velvoitteen noudattamiseksi.9
Pidä erillään kolme asiaa: palvelussa olevan tilin sulkeminen, rekisterinpitäjälle esitetty tietopyyntö ja julkiseen lohkoketjuun mahdollisesti tallennettu tieto. Palvelun vastaus ensimmäisestä ei automaattisesti vastaa toiseen tai kolmanteen. Jos et tiedä, missä tieto sijaitsee tai kuka siitä vastaa, muotoile se avoimeksi kysymykseksi, älä lupaukseksi poistamisesta.
Ennen jatkotoimia varmista, että viittaat oikeaan palveluun ja pyynnön päivämäärään. Eri palvelujen vastauksia ei tule yhdistää yhdeksi päätökseksi, jos niiden rekisterinpitäjät ovat eri tahoja.
Mitä vastauksen jälkeen?
Jos rekisterinpitäjä ilmoittaa poistaneensa osan tiedoista, pyydä tarvittaessa selvennystä siihen, mitä tämä tarkoittaa ja mitä tietoja jäi jäljelle. Jos osa tiedoista säilytetään, voit kysyä niiden säilyttämisen perustetta. Oikeuksien toteutuminen riippuu tilanteesta ja sovellettavista poikkeuksista, joten yksittäisestä vastauksesta ei pidä yleistää kaikkiin kryptopalveluihin.9