Sofokus - Digitaalisen liiketoiminnan kumppani

Tietosuoja-asetus GDPR tulossa 2018

6 loka 2017 • Trendit ja signaalit

GDPR eli EU:n yleinen tietosuoja-asetus (General Data Protection Regulation) on ollut voimassa 25.5.2018 alkaen. Se koskee jokaista organisaatiota, joka käsittelee EU-kansalaisten henkilötietoja: käsittelylle pitää olla peruste, käsittely pitää pystyä todistamaan jälkikäteen ja rikkomuksesta voi seurata sakko, jonka yläraja on 20 miljoonaa euroa tai 4 prosenttia yrityksen maailmanlaajuisesta liikevaihdosta.

Tämä kirjoitus on julkaistu lokakuussa 2017 ennen asetuksen voimaantuloa, ja se taustoittaa asetuksen keskeiset käsitteet. Muutamia avaintermejä selitettynä:

GDPR = General Data Protection Regulation
Henkilötieto = kaikki tunnistettava luonnollista henkilöä koskeva tieto
Tietosuojavastaava = henkilö, joka vastaa organisaation tietosuoja-asetuksen toteutumisesta
Rekisteröity = henkilö, jonka tietoja käsitellään
Rekisteri = jäsennelty tietojoukko, joka sisältää henkilötietoja
Rekisterinpitäjä = taho, joka määrää henkilötietojen käsittelyn tarkoitukset ja keinot
Käsittelijä = taho, joka käsittelee henkilötietoja rekisterinpitäjän mukaan
Tietotilinpäätös = vapaaehtoinen raportti, joka antaa kokonaiskuvan organisaation tietojenkäsittelystä tällä hetkellä
Anonymisointi = tietojen tunnistettavuuden poistaminen
Suostumus = vapaaehtoinen, tietoinen, yksilöity ja yksiselitteinen ilmaisu, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn

Lyhyesti taustoista

Tietoturvallinen henkilötietojen käsittely ei ole uusi asia mutta sen merkitystä pyritään korostamaan tällä uudella asetuksella. Tarkoitus on suojella kuluttajia, asiakkaita, nopeasti muuttuvan teknologia-alan tuomilta muutoksilta – kansalaiset ovat siis tämän asetuksen keskiössä. Tietosuoja-asetus ja sen vaatimuksien mukaan yrityksen/toimijan tulee nimetä itselleen tietosuojavastaava, jos sen ydintehtävät muodostuvat henkilötietojen käsittelystä sekä se on laajamittaista (esim. sairaalat, pankit, jne.).
Tietosuojavastaava toimii sidoskohtana viranomaisiin ja vastaa asetuksen oikeaoppisesta noudattamisesta sekä sovittujen käytäntöjen toteuttamisesta käytännössä yrityksen sisällä. Kaikki alkaa yleensä kartoituksella tiedon määrästä ja siitä missä sitä säilytetään. Tietoturvarikkomukset tulee myös ilmoittaa 72 tunnin kuluessa rikkomuksen havaitsemisesta tietosuojavaltuutetulle sekä vakavammissa tapauksissa myös rekisteröidyille.

70 % on huolissaan siitä, että yritykset saattavat käyttää tietoja muuhun kuin siihen tarkoitukseen, johon ne on kerätty. (Lähde: Eurobarometri tietosuojasta, 2015)

Tiedonkäsittely ja tietosuoja-asetus

Henkilötiedoksi luokitellaan mikä tahansa tunnistettava ja yksilöivä tieto, esimerkiksi IP-osoite, nimi, puhelinnumero, käyttäjätunnus, henkilötunnus, sähköpostiosoite, jne. Mitä näihin henkilötietoihin itseensä tulee, on niiden siirtäminen ja säilyttäminen vapaata EU-alueen sisäpuolella. Siirrot alueen ulkopuolelle on mahdollista jatkossa vain erityisperustein. Alle 16-vuotiaiden henkilötietojen käsittely ei ole sallittua ilman vanhemman suostumusta mutta jäsenvaltioilla on mahdollisuus soveltaa alempaa ikärajaa, joka voi alimmillaan olla 13 vuotta.
Tiedon oikeaoppiselle käsittelylle ja arkistoinnille tulee aiempaa painavampi merkitys, kansalaisella on oikeus pyytää kaikkia syöttämiään tietoja järjestelmästä koneellisesti siirrettävässä muodossa. Tietosuoja-asetus määrää näin. Myös ”unohdetuksi tuleminen” tulee olla mahdollista eli tietojen täydellinen poistaminen kaikista yrityksen järjestelmistä. Tämä on haaste paperiarkistoinnille ja varmuuskopioiden säilyttämiselle.

Vielä kaksi linkkiä alkupisteeksi lisätutkimuksille: