Limiting use of personal information to purposes according to objectives related to privacy

The Data Protection Officer (or other responsible person) has drawn up operating instructions for personnel handling personal data. In addition, the Data Protection Officer is ready to advise the controller, personal data processing partners or their own staff on compliance with GDPR or other data protection requirements.

Processing of personal data is only lawful if one of the legal bases set out in the General Data Protection Regulation is met. The organization must be able to communicate the purpose of the processing and the legal basis to the data subject and, where appropriate, to the supervisory authority.

The documentation shall include at least:

• the legal basis for the processing and the necessary additional information
• the parties to whom the processing has been outsourced
• related data sets

Organisaatio kerää henkilötietoja vain tietyssä, nimenomaisessa ja laillisessa tarkoituksessa, eikä käsittele henkilötietoja alkuperäisten tarkoitusten kanssa yhteensopimattomalla tavalla myöhemmin.

Periaatteen toteutuminen tulisi varmistaa säännöllisesti kokonaisuuden näkökulmasta vertaamalla hallintajärjestelmän dokumentaatiota (etenkin tietojen käyttötarkoitukset) henkilötietojen todelliseen hyödyntämiseen organisaation arjessa.