EU:n tietosuoja-asetuksen liiketoimintavaikutukset yrityksille

Transkriptio

1 EU:n tietosuoja-asetuksen liiketoimintavaikutukset yrityksille itsmf Aamiaisseminaari Jukka Lång, asianajaja, CIPP/E

2 Sisältö EU:n tietosuojauudistus osana digitalisaation murrosta GDPR = General Data Protection Regulation Uudistuksen keskeisin sisältö Kasvavista velvoitteista huolehtiminen käytännössä Näkemyksiä ja suosituksia tietohallinnolle ja riskienhallintaan

3 DIGITALISAATION MURROS

4 Data on kaiken keskiössä Cloud Computing, Big Data, IoT, Connected Home, AI Datan määrä kasvaa räjähdysmäisesti Innovaatiot perustuvat yhä useammin henkilötietojen hyödyntämismahdollisuudelle Tiedosta on tullut tuotannontekijä

5 Maailman arvokkaimmat brändit 2008 ja Brändi Arvo (MUSD) Brändi Arvo (MUSD) 1 Google Google General Electric Apple Microsoft Microsoft Coca-Cola AT&T China Mobile Facebook IBM VISA Apple Amazon McDonald's Verizon Nokia McDonald's Marlboro IBM Lähde: Kantar Millward Brown

6

7 Dataa hallinnoivat organisaatiot paljon vartijana Yksilön digitaalinen jalanjälki uhkien lähde Data muodostuu useissa tilanteissa henkilötiedoista Verkottunut tietojen käsittely heikentänyt toimijoiden kontrollia ja hämmentänyt vastuita Kyberturvallisuusuhat todellisia Yksityisyys on perusoikeus Itsemääräämisoikeus omista tiedoista Oikeus tietää omien tietojen käsittelystä

8 DIGITALISAATION JURIDINEN DISRUPTIO

9 Datan vallankumouksen komplikaatiot Yksityisyyden suojan kyseenalaistuminen Omistusoikeuden käsitteen särkyminen Aseettomuus kyberuhkien edessä Vastuiden hämärtyminen Riski fokuksen katoamisesta

10 GDPR

11 EU ja kiristyvä tietosuojalainsäädäntö EU ottanut hyvin kunnianhimoisen asenteen datan sääntelyyn Tulossa merkittäviä rajoituksia digitaaliselle liiketoiminnalle esimerkkejä GDPR:n soveltamisalasta: käsittelyn ulkoistaminen ja pilviratkaisujen käyttö datan kerääminen, käyttö ja jakaminen asiakkaiden profilointi Big Data analytiikan hyödyntäminen tietojärjestelmien lokien hallinta

12 Tietosuojan uusi rooli GDPR pakottaa organisaatiot muuttamaan suhtautumistaan dataan Laajat velvoitteet datan käsittelyssä Rajoitetut datan hyödyntämisoikeudet Käyttötarkoitussidonnaisuuden orjuus Kasvavat vastuut ja sakkouhka

13 Henkilötiedon käsite Henkilötiedolla tarkoitetaan: kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä rekisteröity, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella (GDPR 4 art. kohta 1)

14 EU:N TIETOSUOJAUUDISTUS

15 Tietosuojauudistuksen vaiheet Komission ehdotus tammikuu 2012 Neuvoston versio kesäkuu 2015 Virallinen hyväksyminen OM:n työryhmän mietintö EU:n tietosuojaneuvosto Kevät Parlamentin versio maaliskuu 2014 Suomen HaV:n lausunto joulukuu 2015 Trilogineuvotteluiden ratkaisu joulukuu 2015 Voimaantulo

16 EU:n tietosuojauudistuksen ydin Sääntely harmonisoituu EU:n digitaaliset sisämarkkinat Yksilöiden oikeudet laajentuvat Kontrolli omaan dataan Yritysten velvollisuudet lisääntyvät Riskit kasvavat Valvonta voimistuu Sanktiot ja laaja soveltamisala

17 Tietosuojaviranomaisten toimivaltaan kuuluvat hallinnolliset sanktiot tulevat tilkitsemään tietosuojan seuraamusjärjestelmässä olevan ammottavan aukon. [ ] Lainvastaisesta toiminnasta, joskaan ei tässä yhteydessä varsinaisesti rikoksesta, hyötyvä rekisterinpitäjäorganisaatio on päässyt kuin koira veräjästä. Tietosuojavaltuutettu Reijo Aarnio blogi , Totuus hallinnollisista sanktioista

18 Uusi sanktiouhka Asetuksen rikkomisesta voi seurata rikkomuksen vakavuuden perusteella määräytyvä hallinnollinen sakko Ylempi sakkoluokka euroa tai 4 % liikevaihdosta Lasketaan yrityksen (konsernin) edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta Kansallisella tietosuojaviranomaisella merkittävä harkinnanvara sakon määrästä

19

20 Asetuksen ensisijaisena tavoitteena on edistää digitaalisten sisämarkkinoiden kehittymistä, kilpailukykyä ja talouskasvua. Siksi olen huolestuneena seurannut tietosuoja-aiheista viestintää, jonka kärkenä on suoranaisesti pelotella toimijoita sanktioilla. Se on mielestäni erinäisiltä kouluttajilta ja konsulteilta lyhytnäköistä kerman kuorintaa, joka kääntyy itseään vastaan. Tietosuojavaltuutettu Reijo Aarnio blogi , Totuus hallinnollisista sanktioista

21

22 Uudet vastuusuhteet Vastuu henkilötiedoista suhteessa rekisteröityihin ja viranomaisiin ollut nykylain alla rekisterinpitäjän roolissa olevalla yrityksellä Käsittelijän roolissa olevien palveluntarjoajien vastuuasema ja riskit muuttuvat GDPR:n myötä olennaisesti Taustalla käsittelijöiden roolin ja merkityksen kasvu henkilötietojen käsittelyssä

23 Käsittelijän roolin ja palveluntarjoajien juridisen aseman merkittävä muutos Lisää tehtäviä ja vastuita Kirjallinen sopimus pakolliseksi Sopimuksen vähimmäissisältö määritelty Suorien sanktioiden ja vastuun mahdollisuus Käsittelijän riskien merkittävä kasvu

24 UUSIA VAATIMUKSIA JA UUDISTUMISEN TARVE

25 GDPR edellyttää organisaatiolta investointeja uudenlaiseen tekemiseen 1. Data-assettien haltuunottaminen 2. Uusien toimintatapojen omaksuminen 3. Vaatimustenmukaisuuden hallinta 4. Kyvykkyyksien luominen 5. Organisoituminen ja tietosuojafunktion perustaminen

26 Compliancesta accountabilityyn Compliance Vaatimustenmukaisuus Lainsäädännön noudattamisen varmistaminen Do it Accountability Osoittamisvelvollisuus Lainsäädännön noudattamisen osoittaminen Prove it

27 GDPR:stä seuraavia käytännön vaatimuksia 1(2) Suunnitteleminen Data Protection by Design and Default Data Protection Impact Assessments Sertifiointimahdollisuuksien arvioiminen Varautuminen Valmiuden luominen tietoturvaloukkauksista ilmoittamiselle Riskiarvioinnit Toimittajien ja alihankintaketjujen hallinta (sopimukset)

28 GDPR:stä seuraavia käytännön vaatimuksia 2(2) Kehittäminen Tietosuojavaatimusten implementoiminen järjestelmiin (Subject Access, Data Portability, Right to be Forgotten) Datan poistopolitiikka Dokumentoiminen Osoittamisvelvollisuuden toteuttaminen ( paper trail ) Järjestelmien lokit Selosteiden päivittäminen/ tietotilinpäätös

29 Organisaatiolle tietosuojavastaava? Velvollisuus nimittää tietosuojavastaava vain: 1) julkisella sektorilla; 2) jos organisaation ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laajuutensa ja/tai tarkoitustensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa; tai 3) jos organisaation keskeiset tehtävät muodostuvat arkaluonteisten henkilötietojen käsittelystä

30 Asetuksen kustannusvaikutukset = välittömät kustannukset = välilliset kustannukset

31 LIIKETOIMINTAVAIKUTUKSET JOHTOPÄÄTÖKSIÄ

32 Yritysjärjestelytilanteet konkretisoivat datan arvon ja tietosuojan merkityksen Havaittujen riskien hintavaikutus yrityskauppatilanteissa Tietosuoja-asetus muuttaa nykytilannetta potentiaalisille riskeille asetettavissa olevan hintalapun seurauksena Datan arvo voidaan maksimoida konsernin rakennejärjestelyn kautta keskittämällä ja monistamalla dataan kohdistuvia oikeuksia Mahdollisuus jakaa dataa konserniyhtiöiden kesken

33 GDPR:n liiketoimintavaikutukset First thoughts - uusia compliance-kustannuksia ja ylimääräistä työtä - tietoturvan juridisoituminen - tuotteiden ja palveluiden toteutuksen sääntely - abstrakteja ja epäselviksi jääviä velvollisuuksia - suomalaisille vierasta ajattelua - pakottaa tietosuojan osaksi muita toimintoja Second thoughts + konkreettisia työkaluja käytännön ongelmien ratkaisemiseksi + boostia hallinnolliseen tietoturvaan + Laadullisesti paremmat tuotteet ja palvelut + joustavaa sääntelyä ja mahdollisuus parhaiden käytäntöjen etsimiseen + globaalien markkinoiden avautuminen + tuo tietosuojan osaksi muita toimintoja

34 Kiitos! Jukka Lång Head of Data Protection, Marketing & Consumers Osakas, OTM, FM, CIPP/E Puh Sähköposti: