Digitaalisen liiketoiminnan edellytysten luominen

Transkriptio

1 Digitaalisen liiketoiminnan edellytysten luominen Nixun aamiaisseminaari Jukka Lång Sisältö Uusi riskilähtöinen tietosuojasääntely Datan haltuunoton, käsittelyn ja hyödyntämisen periaatteet

2 DIGITAALINEN MURROS Miksi säännellä ja miten? Teknologia ohjaa kehitystä Sääntelyn on oltava teknologianeutraalia Sääntelyn on tuettava innovaatioita Yksityisyyden suoja merkitsee enemmän kuin koskaan Yksilön digitaalinen jalanjälki väistämättä kasvussa Tiedon käyttö- ja väärinkäyttömahdollisuudet ennalta arvaamattomia Digitaalisen maailma on globaali ja rajaton Vain ylikansallinen sääntely ja valvonta voivat toimia Eurooppalainen lähestymistapa voi olla kilpailuetu

3 the project could result in up to 30% of the global data market heading to European suppliers and 100,000 data-related jobs being added by The commission also claims the project will reduce energy consumption by 10%, and lead to improvements in healthcare and heavy industry. Red Herring, Inc TIETOSUOJA-ASETUS

4 Keskeiset tavoitteet Digitaalisten sisämarkkinoiden luominen Yhtäläinen sääntely kaikkiin EU-maihin Tietojen liikkuvuuden ja hyödynnettävyyden turvaaminen Vastaaminen teknologian luomiin haasteisiin Muuttuneen toimintaympäristön huomioiminen Yksilöiden oikeuksien turvaaminen Sääntelyn vaikuttavuuden sekä täytäntöönpanon valvonnan tehostaminen Lainsäädäntöhanke ja sen vaiheet Komissio Ehdotus (2012/0011(COD)) Parlamentti Kompromissiratkaisu : LIBE-valiokunnan hyväksymät muutokset Hyväksyntä parlamentin täysistunnossa Äänestystulos: 621 ääntä puolesta, 10 vastaan, 22 poissa Parhaillaan Euroopan unionin neuvoston käsittelyssä Hyväksymisestä käynnistyisi kahden vuoden siirtymäaika

5 UUDEN RISKILÄHTÖISEN SÄÄNTELYN PERIAATTEET

6 Kaikille samat yhteiset pelisäännöt Digitaalisia innovaatioita ei voi rakentaa ilman tietosuojaa Lainmukaisuus, asiallisuus, kohtuullisuus ja läpinäkyvyys Käyttötarkoitussidonnaisuus ja käsittelytarkoituksen rajoittaminen Virheettömyys ja paikkansapitävyys Käsittelyn minimointi Tietoturva ja tietojen eheys Periaatteet prosessien tasolle Sisäänrakennettu tietosuoja (privacy by design) Oletusarvoinen tietosuoja (privacy by default) Rekisterinpitäjän tilivelvollisuus Compliancesta accountabilityyn Asetuksen määrittämä uusi toimintavelvoite Velvollisuus tietosuojavastaavan nimittämiseen Velvollisuus tietosuojavastuullisen johtajan nimittämiseen Laajoja omien toimintojen dokumentointivelvoitteita Valmiuden rakentaminen tietoturvaloukkauksiin reagoimiseen Tietosuojaa koskevien vaikutusten arvioinnin toteuttaminen (PIAs)

7 Sääntelyn vaikuttavuuden tehostuminen Sääntelyn noudattamisen valvontaa tehostetaan uusilla hallinnollisilla sanktioilla Tietosuojaviranomaisille oikeus langettaa rikkomuksen vakavuuden perusteella määräytyvä sakko Rikkomuksista langetettavan sakon suuruus EUR tai, jos korkeampi, 5 % yrityksen globaalista liikevaihdosta Tietosuojasertifioinnilla mahdollisuus vähentää sanktioriskiä The risk inherent in certain data processing operations should be a main criterion for calibrating the data protection obligations. Where the data protection risk is higher, more detailed obligations would be necessary and where it is comparably lower, the level of prescriptiveness can and should be reduced. Council of the European Union, Working Party on Information Exchange and Data Protection (DAPIX)

8 Riskiperusteinen lähestymistapa Tietosuoja integroitavissa osaksi yrityksen muita riskienhallintaprosesseja Lähtökohtana tietoinen päätöksenteko Mahdollista ja perusteltua ottaa huomioon muun muassa - oman toimialan ja toimintaympäristön erityispiirteet, - arvio riskien todennäköisyyksistä, - arvio seuraamuksista rekisteröityjen yksityisyydelle, - kustannukset suhteessa tavoiteltaviin hyötyihin Punnituista riskiarvioista jäävällä paper trailillä mahdollisten vastuiden määräytymisen kannalta merkitystä TIETOSUOJA VÄLTTÄMÄTTÖMYYDESTÄ HYVE

9 Tietosuoja-accountabilitystä menestystekijä First thoughts - uusia compliance-kustannuksia ja ylimääräisiä töitä - abstrakteja ja epäselviksi jääviä velvollisuuksia - suomalaisille vierasta ajattelua - pakottaa tietosuojan osaksi muita toimintoja Second thoughts + konkreettisia työkaluja käytännön ongelmien ratkaisemiseksi + joustavaa sääntelyä ja mahdollisuus parhaiden käytäntöjen etsimiseen + globaalien markkinoiden avautuminen + pakottaa tietosuojan osaksi muita toimintoja This could be an important differentiator and major opportunity for cloud providers, both in Europe and the US, to align their cloud security with the new regulation. AIIM (Association for Information and Image Management), Industry Watch Report

10 Käytännön esimerkkejä 1) Case tietosuojaseloste: asiakasrekisterin hyödyntäminen uuteen käyttötarkoitukseen mahdollisti liiketoiminnan laajentamisen 2) Case pilvipalvelu-ulkoistus: tietojen siirtämistä koskevat rajoitukset suojasivat myös yritystä 3) Case kyberturvallisuusohjeistus: tehokas reagoiminen tietoturvaloukkaukseen oli mahdollista Kiitos! Jukka Lång Head of Data Protection, Marketing & Consumers Senior Attorney, LL.M., M.A., CIPP/E Tel