TIETOSUOJAN AIHEALUE 1 Tietosuojan hallinta Hallintamalli. Organisaatio. 2 Henkilötietoinventaari. 3 Tietosuojariskien hallinta Riskien hallinta

Transkriptio

1 TIETOSUOJAN AIHEALUE 1 Tietosuojan hallinta Hallintamalli Organisaatio 2 Henkilötietoinventaari 3 Tietosuojariskien hallinta Riskien hallinta Riskienhallintatyökalut 4 Viranomaisyhteistyö Toimintatavat Lakisääteiset ilmoitukset Ennakkokuuleminen 5 Tietojen elikaaren hallinta Käsittelyn lainmukaisuus Seloste käsittelytoimista Oikeudelliset käsittelyperusteet Käsittelyn minimointi Tietojen täsmällisyys Säilytyksen rajoittaminen Arkaluonteiset tiedot Vastuuhenkilöiden määrittely Tietojen luokittelu Tietojen anonymisointi Muistivälineiden tuhoaminen Suostumus tietojen käsittelyyn Suostumuksen peruutus Suostumus alle 16-v. tietojen käsittelyyn 6 Tietojen käsittelyn politiikat Tietosuojapolitiikka Salassapitositoumukset Ulkoiset tiedonannot 7 Tietosuojaprosessit Vaikutustenarvioinnit Rekisteröidyn oikeuksien toteutus 8 Sopimusten ja ulkoistusten hallinta Tietojen käsittelijöiden arviointi Sopimusvaatimukset Ohjeistus tietojen käsittelystä Käsittelijöiden toiminnan arviointi Tietojen siirto EU:n ulkopuolelle 9 Tietosuojakoulutus ja -tietoisuus Tietosuojakoulutus Tietoisuuden nostaminen ja ylläpito 10 Tietosuojan ja -turvan valvonta

2 Kontrollien arviointi Kontrollien valvonta 11 Tietoturvaloukkausten hallinta Tietoturvapoikkeamien hallintaprosessi Tietoturvaloukkauksen ilmoitusprosessi 12 Järjestelmien ja niiden hallinnan tietoturvavaa Järjestelmän vastuuhenkilö Järjestelmän muut vastuut Tietoturvauhkien analysointi Säännöllinen testaus Tietosisällön dokumentointi Erityiset tietoryhmät, alle 16-v Tiedon kerääminen rek. Oikeuksien toteuttamis Suostumusten ja kieltojen hallinta Tietojen käsittelyn minimointi Tietojen anonymisointi Salakirjoitus, pseudonymisointi Turvalliset tiedonsiirrot Oletusarvoinen tietosuoja Sovelluskehityksen tietosuojavaatimukset Testausdata Käyttäjien dokumentointi Henkilökohtaiset käyttäjätunnukset Käyttövaltuushallinnan periaatteet Käyttöoikeuksien katselmointi Pääsynvalvontaperiaatteet Salasanapolitiikka Kirjautumisloki Varmuuskopiosuunnitelma Varmuuskopioiden suojaus Varmuuskopioiden palauttaminen Tietojen käsittelyn lokitus Admin-käyttäjien lokitus Lokien suojaus Lokien käyttökelpoisuus Toipumissuunnitelma Tietoturvapäivitykset Järjestelmän tietoturvakuvaus Järjestelmän muu dokumentaatio

3 SISÄLTÖ määritellään tietojen käytön prosessit (tietojen keräys, käyttö, luovutus, poisto, suojaus, suunnittelu, valvonta, rekisteröidyn oikeudet), hallinnolliset rakenteet, roolit ja vastuut, ml. Tietosuojavastaavan nimitys dokumentoitu tehtävien jako, käytännöt, resurssien tunnistaminen, tavoitteet ja seuranta, kehittämissuunnitelma kuvaus tietojen käsittelystä; mitä, miksi, missä, kenelle; kartoitus, dokumentointi, katselmointi säännöllisesti, prosessi luotu Tietosuojariskien tunnistaminen ja hallinta osa riskienhallintaprosessia, hallinta perustuu riskilähtöisyyteen, riskien priorisointi Riskit määritelty riski- ja kontrollimatriisiin, käytetään johdonmukaisesti ja kattavasti Laaditut käytännöt ja sovitut vastuut viranomaisten tietopyyntöjen käsittelemiseksi Käytännöt ja vastuut lakisääteisten ilmoitusten toimeenpanemiseksi Käytännöt ja vastuut tietosuojaviranomaisen ennakkokuulemiseen, jos vaikutustenarvioinnin perusteella syytä Periaatteet ja ohjeistukset lainmukaiseen ja huolelliseen käsittelyyn, dokumentoituna, huomioidaan myös strukturoimaton henkilötieto (s-posti, verkkolevy, työtilat) Kuvaus, jossa rek.pitäjän yhteystiedot, tietojen käsittelyn oikeusperuste ja tarkoitus, kuvaus rekisteröidyistä ja tiedoista, tietojen vastaanottajat, siirrot 3. maahan, säilytysaika Oikeudellisten käsittelyperusteiden tunnistaminen ja dokumentointi selosteeseen Prosessit ja ohjeistukset vain välttämättömien tietojen keräämiseksi/käsittelemiseksi, dokumentoituna käytännöt ja valvontatoimet tiedon elinkaaren eri vaiheissa, pääsy tietoihin rajattu käyttäjätasolla (käyttövaltuusperiaatteet dokumentoitu) Toimintamalli varmistaa tietojen täsmällisyyden ja päivitettävyyden, varmistetaan virheellisten tietojen korjaus Kirjalliset säilytysaikoja koskevat määrittelyperiaatteet ja aikataulut, käytännössä noudatetaan toimintatapojen ja tekniikan avulla, vanhentuneiden tietojen poisto Varmistetaan, että arkaluonteisten tietojen käsittelylle oikeudellinen perusta, erityinen huomio tietojen turvallisuuteen ja käsittelijöiden rajaamiseen Dokumentoidaan selosteessa vastuuhenkilöt Käytänteet ja määrittelyt tietojen luokittelemiseksi ja luokittelun dokumentoimiseksi, viestitään läpi organisaation Määritellään anonymisointiin ja pseudonymisointiin liittyvät periaatteet Kirjallinen ohjeistus henkilötietojen käsittelyyn käytettyjen muistivälineiden hävittämiseen ja tyhjentämiseen Määritetyt käytänteet suostumuksen hankkimisesta ennen tietojen käsittelyä kun suostumus on oikeudellinen käsittelyperuste Määritelty vakiomuotoinen menetelmä suostumuksen peruuttamisen käsittelyyn Toimintatavat alle 16-v. käyttäjien tunnistukseen ja huoltajan suostumuksen tarpeen tunnistamiseksi Sisäinen tietosuojapolitiikka/ohjeistus, joka määrittää ylätason periaatteet ja vastuut tietosuojan hallinnoinnissa ja tietojen käsittelyssä, viestitty läpi organisaation Kirjallinen salassapitositoumus vaaditaan ennen pääsyä henkilötietoihin, jos lakisääteinen salassapitovelvollisuus ei sido Tiedonanto joka informoi rekisteröityjä tietojen käyttötarkoituksesta ja käytänteistä, helposti saatavilla Tietojen käsittelyyn kohdistuvien muutosten hallintaprosessit, kuten vaikutustenarviointi sisällytetty muutoshallinnan prosesseihin, mallipohjat vakinaistettu ja ohjeistettu Määritelty dokumentoitu prosessi rekisteröidyn oikeuksiin liittyvien pyyntöjen käsittelemiseksi Määritelty prosessi tietojen käsittelijöiden ja näiden tietosuojakontrollien arvioimiseksi ennen tietojen luovusta (ulkoistukset ja palvelusopimukset), myös auditointi Tiedon siirtoa varten sopimusvaatimukset, jotka sisältävät tietosuojan ja -turvan vähimmäisvaatimukset, siirretään sopimuksiin ulkoistuksissa ja palveluja ostettaessa Ohjeistus jolla asetetaan käsittelytavat, suojataso ja rajat tietojen käsittelylle ennen tietojen siirtoa/niihin pääsyä Riskperusteinen lähestymistapa määritelty käsittelijöiden arvioimiseksi, dokumentoitu Siirrot tunnistetaan, varmistetaan siirtoperusteiden hankkiminen jos aiheellista Koulutussuunnitelma, säännölliset koulutukset ja uusien työntekijöiden perehdytys, koulutussisällön määrittely ja materiaalit, kohderyhmien tunnistaminen, säännöllisyys, seuranta Tietoisuusohjelma suunniteltu ja jalkautettu (tiedottaminen)

4 Dokumentoitu prosessi tietosuojan hallintatoimien ja kontrollien toimivuuden seuraamiseksi ja valvomiseksi, jatkuvassa syklisessä käytössä, riskiperustaisuus lähtökohtana Dokumentoidut toimenpiteet tietoturvakontrollien tarkoituksenmukaisuuden ja tehokkuuden valvomiseen ja varmistukseen, jatkuva ja syklinen käyttö, riskiperustaisuus lähtökohtana Selkeästi kuvattu poikkeamien käsittelyprosessi (henkilötietopoikkeamien erottaminen muista, havainnointiperiaatteet, tutkinta ja dokumentointi, hallinta- ja vastatoimet, roolit, vastuut, poikkeamien kriittisyyden määritelmät Selkeästi määritetty ja dokumentoitu ilmoitusprosessi, myös tietojen käsittelijän osalta atimukset Määritetty ja dokumentoitu, myös alihankkijat Valvonta- ja ylläpitovastuut määritetty ja dokumentoitu Uhat analysoitu, hallintasuunnitelma laadittu Menettely olemassa Dokumentoitu, luokiteltu tietosisältö Selvitetty ja dokumentoitu onko arkaluonteisia tai alle 16-v tietoja Tarvittavat tiedot koottavissa ilman kohtuutonta vaivaa Järjestelmä tukee kun tarve Varmistettu vain tarpeellisten tietojen käsittely Mahdollisuus anonymisointiin suojatoimena Arkaluonteisten tietojen suojaus Siirrot ulkoisiin järjestelmiin suojattu esim. salatuilla protokollilla Verkkopalvelun käyttäjäasetukset määritelty tietosuojan huomioiviksi Huomioidaan sovelluskehityksessä Testauksessa ei käytetä oikeaa henkilötietoa Käyttäjät ja adminit dokumentoitu Kaikilla hk. Tunnukset Käyttäjän luonti-, muutos- ja poistoprosessi dokumentoitu ja toteutettu määritellyn mukaisesti Säännöllisesti, dokumentoidut periaatteet, pöytäkirjat katselmoinneista Määritelty Määritelty Selvitettävissä milloin riskiarvion mukaan tarpeen Dokumentoitu suunnitelma olemassa, huomioi erilaisten tietojen palautustarpeet Hoidettu ja dokumentoitu asianmukaisesti Säännöllinen testaus, raportit/pöytäkirjat Henkilötietojen käsittelytoimet kirjataan lokiin käyttäjätasolla, arkaluonteisen tiedon osalta myös katselu toimii Lokit suojattu muutoksilta, pääsy rajattu Lokit tuottavat käyttökelpoista informaatiota Määritelty Automatisoitu jakelu, dokumentoitu suunnitelma Järjestelmän ja henkilötietojen suojamekanismit dokumentoitu, perustuvat riskianalyysiin Ajantasaiset prosessi-, käyttötapaus-, tietovirta-, liittymä- ja verkkodokumentaatiot

5 TARVITTAVA DOKUMENTAATIO Kuvaukset hallintarakenteista, määritetyistä vastuista, kuvaukset vastuista toimenkuvauksissa, todiste tsvastaavan nimittämisestä, tämän toimenkuvaus ja todisteet resurssoinnista, osoitus ts-valtuutetulle tehdystä ilmoituksesta, osoitus ts-vastaavan yhteystietojen julkaisusta Tietosuojaorganisaation tehtävät, budjettiluvut, tavoitteet ja mittarit, tietosuojan kehittämissuunnitelma Osoitukset käsittelytoimiin liittyvien asioiden tunnistamisesta Riskienhallintaperiaatteet kuvattuna, kuvaus riskienhallinnan prosessista Osoitus säännöllisistä tietosuojariskianalyyseista, dokumentoidut työkalut Dokumentoitu prosessi viranomaisen pyyntöjen käsittelemiseksi Todisteet valvontaviranomaisille tehdyistä ilmoituksista Kuvaus ennakkokuulemisprosessista Prosessit, toimenpiteet, päätökset ja niiden perustelut dokumentoituna, tietotilinpäätös Dokumentaatio henkilötietojen käsittelytoimista (tietosuojaseloste tai vastaava) Todisteet käsittelyperusteiden dokumentoinnista Tietojen käsittelyn ohjeistus, kuvatut tietojen käsittelytoimet, käyttövaltuusperiaatteet Toimintamallin kuvaus, todisteet tehdyistä muutoksista Säilytysaikoja koskevat periaatteet, säilytysajat, tiedonohjaussuunnitelma, todisteet säilytysaikojen noudattamisesta käytännössä ja säännöllisistä tietojen poistotoimenpiteistä Todisteet käsittelyperusteista, kuvaus arkaluonteisten tietojen käsittelytavoista ja suojausmekanismeista Vastuuhenkilöt rekisteri- tai tietosuojaselosteessa Tietojen luokittelu- ja käsittelysäännöt Edellinen dokumentoituna Hävittämistä ja tyhjentämistä koskeva ohjeistus Osoitus suostumusten arkistoinnista, suostumusten hallinnasta ja suostumuslausekkeet Osoitus suostumuksen peruutusmenetelmästä Kuvaus em. Toimintatavoista, dokumentit erityistoimista jos alaikäisten tietojen käsittely tarpeen, todisteet huoltajien suostumusten arkistoinnista Tietosuojapolitiikka ja periaatteet Todisteet allekirjoitetuista salassapitositoumuksista rekisteri/tietosuojaseloste/tietosuojalauseke Projektityömalli sisältäen kohdan vaikutustenarvioinnin suorittamisesta, siihen liittyvät toimintamallit ja työkalut, todisteet tehdyistä vaikutustenarvioinneista ja toimenpiteistä Prosessikuvaukset, todennettava tapahtumaketju rekisteröidyn pyynnöstä ja seuraavista toimenpiteistä Tietojen käsittelijöiden arvioinnin periaatteet, todisteet auditoinneista Ulkoistusta koskeva sopimusliite, henkilötietojen käsittelijän ohje, todisteen liitteen sisällyttämisestä myös vanhoihin sopimuksiin Ohjeistukset dokumentoituna Määritysten dokumentointi, todisteet auditoinneista Todisteet siitä, miten nämä siirrot erotetaan muista tiedonsiirroista, ja riittävien siirtoperusteiden hankinnasta Koulutussuunnitelma ja -ohjelma, koulutuksen sisältö, osoitus koulutuksiin osallistumisen ja oppimisen seuraamisesta Ohjelma dokumentoitu, samoin läpivientisuunnitelma

6 Prosessikuvaus, arviointityökalut, osoitus säännöllisestä toimenpiteiden implementoinniesta Kuten edellä Kuvaus tietoturvapoikkeamien hallinnan prosessista Prosessikuvaus tietoihin kohdistuvien loukkausten tutkimisesta ja ilmoittamisesta Tiedot dokumentoituna Tiedot dokumentoituna Todisteet suoritetusta analyysistä ja suunnitelluista riskienhallintatoimista Arviointisuunnitelma tai vastaava dokumentaatio Tietosisällön/luokittelun dokumentaatio Dokumentaatio arkaluonteisten tietojen kokonaisuudesta ja suojaustoimista Rekisteröityjen oikeuksien toteuttamisen kuvaus Todista tietokannasta tms. Tekniset kuvaukset Tiedon anonymisoinnin periaatteet Tiedon salauksen/pseudonymisoinnin periaatteet, sopimusehdot Tietoliikenteen salausperiaatteet Todisteet palvelun tietosuoja-asetukista Sovelluskehitysperiaatteet Sovelluskehitysperiaatteet Käyttäjälistaukset Dokumentoidut käyttövaltuusperiaatteet Dokumentoidut käyttövaltuusperiaatteet Dokumentoidut käyttövaltuusperiaatteet, pöytäkirjat katselmoinneista Pääsynhallintaperiaatteet Salasanapolitiikka/-määritykset Pääsynhallintaperiaatteet, lokiperiaatteet Dokumentoitu suunnitelma Ks. Edellä Testausraportit/pöytäkirjat Lokiperiaatteet Lokiperiaatteet Lokiperiaatteet Todiste lokien käytettävyydestä, kuten otos Toipumissuunnitelma Tietoturvapäivitysten jakelusuunnitelma Tietoturvakuvaus Em. Dokumentaatiot