Heips, uljaat lakiurhot jne! nyt tarvis todellista lakitietoa! Ehkäpä täältä (jos jostain) löytyy auttaja ummikolle?
Lueskelin tuossa juuri henkilötietolakia, mutta silmään ei osunnut sitä mitä etsin: kuinka pitkään yritys voi säilyttää keräämiään asiakastietoja rekisterissään? Ymmärrän, että tod. näk. on niin, että aika vaihtelee vähän sen mukaan millainen rekisteri on kyseessä, mutta onko mahdotonta vastata tähän tyhjentävästi vaikkapa esittämällä useampi linkki finlexiin tai sun muuhun vastaavaan kivijalkaan?
Lueskelin tuossa juuri henkilötietolakia, mutta silmään ei osunnut sitä mitä etsin: kuinka pitkään yritys voi säilyttää keräämiään asiakastietoja rekisterissään? Ymmärrän, että tod. näk. on niin, että aika vaihtelee vähän sen mukaan millainen rekisteri on kyseessä, mutta onko mahdotonta vastata tähän tyhjentävästi vaikkapa esittämällä useampi linkki finlexiin tai sun muuhun vastaavaan kivijalkaan?
Vastaukset 1
Vanhimmat
Hei vaan.. eli kyllä henkilötietojen käsittelyn perusta on todellakin henkilötietolaki, mutta erityissääntelyä löytyy vielä (vaikka keskittäminen yhteen lakiin onkin ollut tarkoitus) esim koskien työelämää, poliisia jne.
Henkilötietojen säilyttämiseen (joka on henkilötietojen käsittelyä) ei ole säädetty mitään määräaikaa. Tämä ratkotaankin henkilötietolaissa olevilla perusteilla.
Käsittelen ensin koko rekisterin säilyttämistä koskevia perusteita ja sen jälkeen siirryn yksittäistä rekisterimerkintää koskeviin perusteisiin koskien asiakassuhdetta (jäi kysymyksesi vähän avoimeksi, että kumpaa tarkoitit).
Ensimmäinen edellytys on, että lain 8 §:ssä mainitut yleiset edellytykset täyttyvät. Mikäli näin on, ei henkilötietojen käsittely (ja siis säilyttäminenkään) ole sallittua.
Lain 34 §:n mukaan tulee tarpeellisuusvaatimuksen täyttyä. Mikäli se ei täyty - siis säilyttämisen osalta - tulee rekisteri hävittää. Näin ollen siis rekisterinpitäjällä tulee olla objektiivisesti hyväksyttävä, tarpeellinen syy säilyttää rekisteri - jollei syytä ole, tulee rekisteri hävittää.
Edelliseen muodostaa poikkeuksen ne rekisterit, joiden säilyttämisestä on erikseen säädetty, sekä ne, jotka tulee 35 §:ssä tarkoitetulla tavalla arkistoida.
Kyseessä on siis rekisterikohtainen arviointi edellä esitetyn perusteella. Mitään yksittäisiä aikoja ei voida yleisesti antaa, eikä sellaisia ole pääsääntöisesti säädettykään.
Asiakastiedoista voidaan erikseen sanoa, että yleensä (siis yksittäisen asiakkaan kohdalla) tulee niin sanotun yhteysvaatimuksen täyttyä. Tällöin siis rekisterimerkintä perustuu asiakkaan ja rekisterinpitäjän väliseen asiakassuhteeseen. Mikäli tämä asiakassuhde katkeaa, eikä ole enää relevantti, ei henkilötietoja saa rekisterinpitäjä enää käsitellä (eikä siis säilyttää (joka on myös käsittelyä tämän lain tulkinnassa)). Näin ollen siis yhteysvaatimuksen puuttuessa (8 § 5-kohta) tulee rekisterimerkintä poistaa.
Yksittäisen rekisteritiedon poistaminen liittyy suoraan siihen perusteeseen, millä merkintä on ensisijassa tehty. Näin ollen siis edellisestä poiketen, on esimerkiksi 8 §:n 1-kohdan mukainen suostumukseen perustuva merkintä poistettava, mikäli suostumus henkilötiedon käsittelyyn perutaan. Olisi työlästä käydä tässä kaikki vaihtoehdot läpi, mutta nuo kaksi lienevät 'maallikon' kannalta relevanteimmat.
Samoin on huomattava, että virheellinen merkintä on korjattava viimeistään vaadittaessa ja väärä merkintä poistettava. Tätä tekstiä voisi jatkaa paljon pidemmälle, joten jos vaikka yksilöisit kysymystä hieman enemmän niin helpottaisi vastaamista.