Ulkoistaminen ja henkilötiedot

Transkriptio

1 Ulkoistaminen ja henkilötiedot Titta Penttilä Senior Security Manager, Information Security Corporate Security, TeliaSonera , Tietoturva 2013 fi.linkedin.com/in/tpenttila

2 Sisältö Käsitteet tutuiksi Millä edellytyksillä henkilötietoja voi siirtää ulkoistuskumppanille? Tietosuojalainsäädännön huomioiminen ulkoistamisprosessin eri vaiheissa Lukuvinkkejä 2

3 Käsitteet tutuiksi hieman yksinkertaistaen Henkilötieto Tiedot, jotka voidaan yhdistää henkilöön tai hänen perheeseensä (pidempi määritelmä 26 sivua ks. Working party opinion 4/2007 ) Käsittely Kaikki mahdolliset toimenpiteet, jotka voivat kohdistua henkilötietoihin Henkilörekisteri Joukko henkilötietoja joita käytetään samaan tarkoitukseen (huom! Käyttötarkoitus ratkaisee eli tiedot voivat sijaita eri järjestelmissä) Rekisterinpitäjä ( controller ) rekisterin omistaja, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty Käsittelijä ( processor ) taho, joka käsittelee henkilötietoja rekisterinpitäjän lukuun 3

4 Henkilötietojen siirto vai luovutus? Siirto Rekisterinpitäjä -> Käsittelijä Kyse on siirrosta, vaikka henkilötiedot eivät siirry fyysisesti käsittelijälle, jos tiedot ovat käsittelijän saatavilla (esim. etäyhteys). Rekisterinpitäjä säilyy edelleen rekisterinpitäjänä ja vastuullisena. Käsittelijällä ei ole itsenäistä oikeutta henkilötietojen käsittelyyn, vaan se toimii aina rekisterinpitäjän toimeksiannosta tämän lukuun ja tämän ohjeiden mukaan. Lähtökohtaisesti ei edellytä rekisteröidyn suostumusta. Esim. alihankinta- ja ulkoistustilanteet Luovutus Rekisterinpitäjä -> Rekisterinpitäjä Rekisterinpitäjän oikeudet siirtyvät uudelle rekisterinpitäjälle. Luovutuksen saajalla on itsenäinen oikeus käsitellä henkilötietoja. Vaatii usein rekisteröidyn suostumuksen. Esim. liiketoimintasiirto 4

5 Henkilötietojen siirtämisen edellytykset HENKILÖTIETOJEN KÄSITTELYN LAILLISUUS Yleiset edellytykset: esim. asiakkassuhde, työsuhde, suostumus Periaatteet: suunnittelu-/huolellisuusvelvollisuus, tarpeellisuus, virheettömyysja avoimuus, tietoturvallisuus, luottamuksellisuus Käyttötarkoitussidonnaisuus JA RIITTÄVÄ TIETOSUOJAN TASO Suomi, EU ja ETA-maat (& Komission hyväksymät maat) Yhtenäinen säädöstausta (EU tietosuojadirektiivi) ja henkilötietojen vapaa liikkuvuus Data transfer agreement (DTA) HtietoL: annettava asianmukaiset selvitykset ja sitoumukset Muut maat Tietosuojan taso vaihtelee, joten vaaditaan erityisiä takeita Etenemisvaihtoehdot: Komission vakiosopimuslausekkeet Erityiset poikkeusperusteet Itsearviointi 5

6 Henkilötietojen siirto Ulkoistaja Oy Kumppani Oy Käsittelyn suunnittelu REKISTERI- SELOSTE SOPIMUS & OHJEET Käsittelyn rajat HENKILÖREKISTERI käyttötarkoituksensa vuoksi yhteenkuuluva tietojoukko Henkilötietoja Henkilötietoja Henkilötietoja fyysinen siirto Rekisterinpitäjä; vastaa viimekädessä käsittelyn lainmukaisuudesta. Käsittelijä; käsittelee henkilötietoja rekisterinpitäjän lukuun ja tämän ohjeiden mukaan. Lähtökohtaisesti sovelletaan rekisterinpitäjän maan lakia. 6

7 Ulkoistamisprosessin vaiheet Regulaatio Sisäiset ohjeet Asiakasvaateet Riskinottohalukkuus Suunnittelu Toteutus Toiminta Exit Ulkoistaminen Kertaluonteinen tapahtuma, jossa ulkoistamisen kohde siirretään kumppanille Palvelun ostaminen Ulkoistamisen tapahduttua jatkuu palveluiden ostaminen partnerilta. 7

8 Suunnitteluvaihe osa 1: Business case Mitä tietoja ollaan siirtämässä kumppanille? henkilötiedot, tunnistamistiedot jne. Mihin maahan tietoja ollaan siirtämässä? Mitä vaatimuksia kyseisten tietojen siirtämiseen ja käsittelyyn liittyy? Lait, rekisteriseloste, sisäiset ohjeet/prosessit ja mahdolliset asiakasvaateet Mikä on kyseisten tietojen merkitys yhtiön kannalta? business impact assessment Mitä uhkia ja riskejä tietojen siirtoon liittyy ja mitä keinoja on riskien pienentämiseen? Juridisia esteitä on harvoin - tärkeää onkin miettiä, onko ulkoistaminen liiketoiminnan kannalta kokonaisuutena järkevää! 8

9 Suunnitteluvaihe osa 2: Ulkoistuskumppanin valinta ja sopimus Vaatimukset tarjouspyynnön liitteeksi Ehdokkaiden tietosuojan tason todentaminen Itsearviointi esim. ISF Security health check Sertifikaatit esim. ISO Auditointi Henkilötietojen käsittelyä koskevat vaatimukset osaksi sopimusta mm. Salassapitolausekkeet Data transfer agreement (EU/ETA:n sisällä) Mm. oikeus käsitellä tietoja vain rekisterinpitäjän ohjeiden mukaan, noudatettava soveltuvaa lainsäädäntöä ja varmistettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi Komission vakiosopimuslausekkeet (jos siirto EU/ETA:n ulkopuolelle) Yhteiset prosessit / toimintamallit Alihankkijoiden käyttäminen Sanktiot esim. sopimussakko Sopimuksen päättymisen seuraukset 9

10 Toteutus, toiminta ja exit Toteutusvaihe Tavoitteena on, että ulkoistettavat toiminnot siirretään saumattomasti kumppanille Kumppanin henkilöstön koulutus Tietojen turvallinen siirtäminen ja käyttöoikeuksien hallinta Toimintavaihe Toiminnot on siirretty kumppanille ja kumppani tarjoaa sopimuksenmukaista palvelua ulkoistaneelle yritykselle sopimuksen voimassaoloajan Raportointi, auditointi, muutosten huomiointi Exit sopimuksen päättyminen Huomioitava jo sopimuksen tekovaiheessa Varmistuttava tietojen asianmukaisesta siirtämisestä / tuhoamisesta 10

11 Onnistumisen ainekset Ymmärretään henkilötietojen tärkeys ja rekisterinpitäjän vastuu Vastuuta ei voi ulkoistaa Tietosuojan merkitys korostuu nyky-yhteiskunnassa ja ihmisten tietoisuus lisääntyy nopeasti Juridisia sanktioita suurempi riski on, asiakkaiden luottamuksen menettäminen Valmistautumiseen ja selvityksiin varataan riittävästi aikaa ja resursseja Lainsäädännön asettamien vaatimusten selvittäminen Riskien arviointi Kumppanin valinta ja kattava sopimus Tietosuoja ja turva varmistetaan koko ulkoistamisen elinkaaren ajan 11

12 Lukuvinkkejä Henkilötiedon käsite: Data Protection Working party opinion 4/2007 the concept of personal data WP 136 ( ocs/2007/wp136_en.pdf) Ulkoistaminen ja henkilötiedot Data Protection Working party opinion 05/2012 on Cloud Computing ( Tietosuojavaltuutetun toimisto: Henkilötietojen siirto ulkomaille henkilötietolain mukaan ( Tietosuojavaltuutetun toimisto: henkilötietojen käsittelyn ulkoistaminen, yhteiset tietojärjestelmät, verkottuminen ja niihin liittyvät sopimukset ( 12

13 KYSYMYKSIÄ? KOMMENTTEJA? Esitys perustuu AaltoPro:n 7. Tietoturvallisuuden koulutusohjelmaan laatimaani tutkielmaan: sonera_security twitter.com/sonera_security Outsourcing and Transfer of Personal Data Voit ladata sen osoitteessa: KIITOS! 13