Kategoria: Tietosuoja

Tietosuoja on arjen tekoja

Tietosuoja muodostuu suunnitelmallisuudesta ja arjen valinnoista. Merkittävä määrä tietosuojatyötä tehdään ennen kuin yhtään henkilötietoa on kerätty. Kerroin aikaisemmassa blogipostauksessa tietosuojan suunnitelmallisuudesta. Tässä kuvataan, miten suunnitelma muuttuu arjen teoksi usealla eri tavalla:

Noudata ohjeita!

Noudata henkilötietojen käsittelyyn liittyvää suunnitelmaa ja ohjeita. Kerää vain niitä henkilötietoja, joita oikeasti tarvitaan. Älä kerää lisätietoja varmuuden vuoksi. Tallenna tiedot sovittuun paikkaan. Käsittele ja avaa vain niitä tietoja, joita työssäsi tarvitset. Poista tiedot, kun niitä ei enää tarvita. Jos olet epävarma, miten henkilötietoja tulee käsitellä, niin pyydä lisää ohjeita!

Käytä sovittuja järjestelmiä

Käsittele henkilötietoja niissä järjestelmissä, jotka on kyseistä tehtävää varten hankittu. Yksittäinen työntekijä ei saa käsitellä henkilötietoja esimerkiksi pilvipalveluissa tai muissa järjestelmissä, jos niiden käytöstä ei ole suunnitelmaa ja organisaatiossa tehtyä päätöstä.

Vältä turhia kopioita

Arjen tekeminen vaatii joskus, että henkilötiedoista tehdään listoja, joita käsitellään esim. taulukkolaskentaohjelmassa. Tallenna listaus sovittuun paikkaan. Vältä turhien kopioiden ottamista useaan paikkaan, esimerkiksi omalle koneelle, kotihakemistoon, yhteisille verkkolevyille tai sähköpostiin. Useampi kopio hankaloittaa henkilötietojen asianmukaista hallintaa ja altistaa tiedot myös erilaisille tietoturvariskeille.

Lähetä ja jaa tietoa turvallisesti

Henkilötiedon jakaminen muille tulee tehdä järkevästi ja turvallisesti. Älä lähetä tietoa perinteisellä sähköpostilla. Se muodostaa monia ongelmia. Perinteisessä sähköpostissa tieto liikkuu turvattomasti, tiedosta muodostuu turhia kopioita ja tieto saattaa päätyä väärälle vastaanottajalle. Jaa ennemmin linkki käyttöoikeuksilla rajattuun tiedostoon tai käytä turvasähköpostipalvelua.

Poista turhat tiedot

Henkilötiedot tulee lopulta poistaa, kun tiedolle ei ole enää tarvetta. Älä kuitenkaan poista tietoa heti, kun tieto on sinulle tarpeetonta. Noudata tässäkin organisaation ohjeita. Tiedoilla voi olla pitkiäkin säilytysaikoja. Varmista myös, hoitaako tietojärjestelmä tiedon poistamisen automaattisesti vai pitääkö sinun poistaa tietoa itse. Muista myös ne turhat kopiot! Paperinen materiaali toimitetaan tietosuojaroskikseen.

Auta rekisteröityä

Rekisteröidyllä on monia tietosuojaoikeuksia, mm. oikeus saada tietoa henkilötietojen käsittelystä ja tutustua omiin tietoihinsa. Jos rekisteröity pyytää tällaista, niin suhtaudu tilanteeseen asiakaspalveluhenkisesti. Noudata olemassa olevia ohjeita tai palaa asiaan, kun olet saanut organisaatiosta lisäohjeita.

Ilmoita havainnoista ja poikkeamista

Havaitsitko poikkeamia tai mahdollisia ongelmia henkilötietojen käsittelyyn, tietosuojaan tai tietoturvaan liittyen? Ilmoita tästä viipymättä eteenpäin. Nopean reagoinnin ansiosta isommilta ongelmilta on vielä mahdollista välttyä.

Suunnitelmallinen ja fiksu toiminta tekee henkilötietojen käsittelystä järkevää, vastuullista ja turvallista – arjen tietosuojaa parhaimmillaan!

Tietosuoja on suunnitelmallisuutta

Tietosuojakeskusteluissa korostuvat usein tietomurrot ja hallinnolliset sakot. Valitettavasti ne hämärtävät tietosuojaa kokonaisuutena ja ohjaavat ajattelemaan aihetta kapeasti, ulkoisten asioiden kautta.

Tietosuoja muodostuu suunnitelmallisuudesta ja arjen valinnoista. Merkittävä määrä tietosuojatyötä tehdään ennen kuin yhtään henkilötietoa on kerätty.

Henkilötietojen tietoturvaloukkaukset ja tietomurrot pyritään välttämään hyvällä suunnittelulla ja toteutuksella. Hallinnolliset sakot johtuvat siitä, että suunnitelmallisuutta, tietosuojaperiaatteita ja rekisteröidyn oikeuksia ei ole noudatettu.

Suunnittelu luo pohjan tietosuojalle

Henkilötietojen käsittelyn suunnittelua voi toteuttaa esimerkiksi seuraavien kysymysten kautta:

  1. Mitä olemme tekemässä?
  2. Miksi tarvitsemme henkilötietoja?
  3. Millaisia henkilötietoja oikeasti tarvitsemme?
  4. Miten tietoja tullaan käsittelemään?
  5. Ketkä kaikki tietoja tulevat käsittelemään?
  6. Mille osapuolille tietoja tullaan luovuttamaan?
  7. Miten tietoa tullaan keräämään?
  8. Minne tarpeelliset tiedot tallennetaan?
  9. Kauanko tietoa on tarpeellista säilyttää?
  10. Miten tieto lopulta poistetaan eri paikoista?
  11. Miten ja missä henkilötietojen käsittelystä kerrotaan rekisteröidylle?
  12. Miten ohjeistan muita työntekijöitä, jotta suunnitelma muuttuu käytännön teoiksi?

Miten listaa hyödynnetään käytännössä? Kts. esim. tapahtumien tietosuoja.

Kaikki työntekijät eivät välttämättä joudu suunnittelemaan henkilötietojen käsittelyä työpaikalla, mutta jokaisella henkilötietoja käsittelevällä on merkittävä rooli tietosuojan toteutumisessa. Tästä lisää tämän blogipostauksen toisessa osiossa, joka julkaistaan myöhemmin.

ps. Haluatko hyödyntää tätä blogipostausta omassa yrityksessäsi? Tutustu Arjen digiturvan tehokuuriin. Se sisältää 12 valmista blogikirjoitusta, joiden avulla voit nostaa henkilöstön digiturvaosaamista.

Tapahtumien tietosuoja – 11 kysymystä suunnittelun avuksi

Tapahtumien tietosuoja muodostuu monesta asiasta. Suunnitelmallisuus on tärkeää, sillä iso osa tapahtuman tietosuojatyöstä tehdään jo ennen ilmoittautumisen avaamista. Suunnittele tapahtumien tietosuoja seuraavien kysymysten avulla:

  1. Miksi tapahtuman järjestäminen vaatii henkilötietojen käsittelyä?
  2. Mitä tietoja oikeasti tarvitaan?
  3. Millaista oheistoimintaa tapahtumassa järjestetään ja käsitelläänkö siinä henkilötietoja?
  4. Miten osallistujien tietoja halutaan hyödyntää myöhemmin?
  5. Miten ulkopuolisia palveluntarjoajia hyödynnetään tapahtuman järjestämisessä?
  6. Millaisia valokuvia tapahtumassa otetaan ja missä niitä julkaistaan?
  7. Mille tahoille osallistujien tietoja luovutetaan?
  8. Miten tapahtuman materiaalit lähetetään osallistujille?
  9. Miten ja minne tarpeelliset tiedot otetaan talteen?
  10. Mitä muille tiedoille tehdään tapahtuman jälkeen?
  11. Missä osallistujalle kerrotaan henkilötietojen käsittelystä?

Aihetta on käsitelty laajemmin Talk-verkkolehdessä: Tietosuoja tapahtumissa – mitä pitää huomioida?

Tapahtumien tietosuojan suunnittelussa voi auttaa myös tietovirtojen kuvaaminen.

Tietovirtojen kuvaaminen – miksi se kannattaa tehdä?

Tietovirtojen kuvaaminen on toimenpide, joka auttaa organisaatiota ymmärtämään ja hallitsemaan tietojaan paremmin. Toimenpide auttaa myös EU:n tietosuoja-asetusten vaatimusten täyttämisessä.

Tarkoitus on, että yritys selvittäisi itselleen, miten sen hallussa olevat henkilötiedot kulkevat paikasta toiseen.

Monesti on niin, että jokin asia vaikuttaa täysin selkeältä… kunnes sen pistää paperille. Saan itseni kiinni tästä ajatusharhasta jatkuvasti. Tietojärjestelmäympäristöissä mikään ei ole niin, kuin ensin luulee olevan. Avaan ajatuksiani oheisten kuvioiden kautta.

Kuviossa 1 asiakas tekee tilauksen yrityksen verkkokaupassa. Tilauksen yhteydessä kysytään henkilötietoja, jotta tiedetään, mihin paketti toimitetaan. Kaupankäynnin jälkeen yritys lähettää vielä markkinointiviestintää asiakkaalle sähköpostitse.

Henkilötietoja menee siis verkkokauppaan, paketin toimittajalle ja sähköpostiin. Kohtuullisen yksinkertainen kokonaisuus, joka on helposti selitetty!

Kuvion 1 tietovirtojen kuvaaminen toi kuitenkin mieleen kaikenlaisia yksityiskohtia. Ne ovat seuraavassa kuviossa.

Kuviossa 2 on todellisuus. Verkkokauppasovellus käsittelee vain tilauksen ja tietojen siirron toimittajalle. Sen jälkeen tiedot siirtyvät yrityksen asiakkuudenhallintajärjestelmään (CRM). Uutiskirjeiden lähetyksessä puolestaan hyödynnetään erillistä palvelua. Tekninen kokonaisuus varmuuskopioidaan erilliseen paikkaan. Mikä tahansa kokonaisuuden osa on voitu tilata EU:n ulkopuolella toimivalta palveluntoimittajalta pilvipalveluna, joka puolestaan tuo kokonaisuuteen lisää huomioitavaa.

Tietovirtojen kuvaaminen auttoi hahmottamaan, ettei kyseessä ollutkaan ihan yksinkertainen kokonaisuus.

Henkilötietoinventaario – kaiken hyvän ja pahan alku

Henkilötietoinventaario on henkilötietojen käsittelyn kartoitus, jossa yritys selvittää, missä kaikkialla henkilötietoja käsitellään. Inventaario on kaiken hyvän ja pahan alku. Tieto todellakin lisää tuskaa, mutta samalla mahdollistaa asioiden kehittämisen.

Käytännössä yritysten ja organisaatioiden kannattaa tehdä henkilötietoinventaario, jotta ne pystyvät täyttämään EU:n tietosuoja-asetuksen vaatimukset. Henkilötietoinventaarion toteuttamisesta on kuitenkin muutakin hyötyä.

Suurin hyöty on tulokset, jotka kertovat, missä kaikkialla organisaatio käsittelee tietojaan. Inventaarion avulla saa näkymän omaan organisaatioon sekä sen toimintaan:

Nyt tiedät, mitä et tiennyt.

Näkymästä voidaan tuottaa osia, jotka hyödyttävät muita. Esimerkiksi yhdellä yleisdokumentilla voidaan osoittaa:

  • millaista henkilötietojen käsittelytoimintaa yrityksellä on,
  • mitä tietoja yritys käsittelee, ja
  • mihin tiedot on tallennettu.

Inventaarion tuloksista ilmenee, jos organisaatiossa on päällekkäisiä tietojenkäsittelytoimia. Esimerkiksi kahta eri järjestelmää käytetään yhden ja saman asian toteuttamiseen. Miksi maksaa molemmista?

Inventaarion tulokset auttavat priorisoimaan asioita. Esimerkiksi asiakasdata on olennaista yritykselle. Jos havaitaan, että asiakasdata on ripoteltuna ympäri levyalueita, pilvipalveluita ja vanhoja järjestelmiä, kannattaisi asialle varmasti tehdä jotain. Priorisoidaan tekeminen asiakasdatan keskittämiseen ja vanhojen järjestelmien hallittuun alasajoon sen sijaan, että puuhasteltaisiin jotain muka-olennaista.

Henkilötietoinventaariosta luvatut hyödyt nostavat intoa ja tuovat hymyn naamalle. Let’s do this! Inventaarion työmäärää ei kuitenkaan kannata aliarvioida. Keskisuurissa ja suurissa organisaatioissa naama palautuu peruslukemille hyvinkin nopeasti. Pienet yritykset pääsevät todennäköisesti vähemmällä.

Tuska paatissa muodostuu siitä, että tietoa on paljon. Valtavasti. Eri järjestelmissä. Eri tallennuspaikoissa. Kotimaassa. Ulkomailla. EU:ssa ja sen ulkopuolella. Omalla vastuulla. Muiden vastuulla. Kohta huomaa taas pyörivänsä GDPR:n kauhun kehässä!

Inventaario avaa silmät. Nyt pitää enää uskaltaa katsoa. Käännä katse tuskasta tulokseen. Kun hyväksyy sen, että kaikki ei ole täydellistä ja tekemistä riittää, voi tuloksia hyödyntää moneen asiaan.