Tietosuoja kirjastoissa

Transkriptio

1 Tietosuoja kirjastoissa Ari Andreasson, tietosuojavastaava Konsernihallinto, kehittämisyksikkö

2 Lainattua Sakkojen ja sanktioiden lisäksi tietosuojarikkeistä voi seurata paljon negatiivista julkisuutta ja ryppyjä asiakassuhteisiin. Samaan aikaan yritysten on hyödynnettävä digitalisaation ja uusien teknologioiden tarjoamia mahdollisuuksia menestyäkseen globaalissa kilpailussa. Blogi: Hannu Kasanen / Deloitte

3 Tietosuojan taustaa Terveydenhuollossa pitkään tunnistettu asia vrt. Hippokrateen vala (n vuotta sitten) Osatekijöinä salassapitovelvollisuus ja siihen liittyvä vaitiolovelvollisuus ja hyväksikäyttökielto Itsemääräämisoikeutta Luottamuksellisesta asiakassuhdetta tukevaa käyttäytymistä Henkilötietojen oikeaoppista käsittelyä Yksityisyyden suoja on tiedollista kotirauhaa Data on uusi öljy ja tietosuoja on ympäristönsuojelua Sähköisissä järjestelmissä vahingon torjunta on halvempaa kuin vahingon korjaaminen

4 Tietosuojatyö Kilpailukyvyn lähde Asiakasnäkökulma Asiakkaiden yksityisyyden suoja paranee Asiakkaat käyttävät rohkeasti palveluita, joihin luottavat Organisaation näkökulma Organisaatio näyttäytyy luotettavana palvelujen antajana ja haluttuna yhteistyökumppanina Organisaation tuottavuus ja tehokkuus kasvaa (kustannussäästöt) Riskien todennäköisyydet ja vaikutukset pienenevät Henkilöstön näkökulma Henkilöstön osaaminen ja oikeusturva paranevat Kansalaistaidot karttuvat

5 Salassapito Salassapito sekä tietojen ja tietojärjestelmien käyttö perustuvat lainsäädäntöön sekä normiohjaukseen Salassapidolla tarkoitetaan asiakirjojen salaisuuden säilyttämisvelvollisuutta sekä vaitiolovelvollisuutta Salassapitoon kuuluu myös hyväksikäyttökielto Salassapito koskee kaikkia salassa pidettäviä tietoja riippumatta siitä, miten tai mihin ne on tallennettu tai millä tavalla tieto on saatu (kirjallisesti, suullisesti tai havainnoimalla) On tärkeä tunnistaa omaan toimialaan liittyen mitkä tiedot ovat salassapidettäviä ja mitkä julkisia Tietojen luvaton käyttö on rikos, johon pitää puuttua! Ari Andreasson

6 Ari Andreasson

7 Ari Andreasson

8 Ari Andreasson

9 Käyttölokitiedot Jotta henkilötiedot voidaan suojata sivullisilta, olisi syytä tietää kuka niitä ylipäätänsä on käsitellyt Tähän apukeinona on nk. käyttöloki, jonka pitäisi lokittaa myös pelkkä tietojen katselu (ei vain tietojen tallentamista ja muutosta) Oleellista on asia huomioida ohjelmistokehityksessä ja varsinkin hankittaessa uusia tietojärjestelmiä Käyttö- ja luovutuslokien kerääminen on ollut pakollista jo 10 vuotta sosiaali- ja terveydenhuollossa Kansalaisilta tulee viikoittain sote-sektoriin liittyen käyttölokitiedusteluja, mutta nykyään hieman myös muista toimialoista, joten kansalaiset ovat entistä valveutuneempia ja kiinnostuneita siitä kuka heidän henkilötietojaan käsittelee ja miksi Ari Andreasson

10 EU:n yleinen tietosuoja-asetus Tietosuoja-asetus julkaistiin Euroopan unionin virallisessa lehdessä L 119. Valmistelu kesti yli 4 vuotta Asetukseen liittyy siirtymäaika. Sitä sovelletaan 25. toukokuuta 2018 lähtien Tavoitteena tietosuoja-asioiden harmonisointi kaikissa EU-maissa ja asetusta tulee soveltaa yhdenmukaisesti kaikissa EU:n jäsenvaltioissa Suomennos asetuksesta

11 Asetuksen sisältö ja tavoite

12 Hyötyjä ja riskejä Positiivisia riskejä: Oikein toteutettu tietosuojatyö ja oikein mitoitettu tietosuoja mahdollistaa organisaation näkymisen luotettavana ja haluttuna työnantajana ja yhteistyökumppanina, koska osaamme oikeaoppiset henkilötietojen käsittelyprosessit Työntekijät, työnhakijat ja kansalaiset luottavat meihin ja käyttävät ahkerasti sähköisiä palveluitamme Tietosuojatietouden lisääminen parantaa kaikkien kansalaistaitoja ja -tietoja alati enemmän digitalisoituvassa maailmassa Negatiivisia riskejä: Rekisterinpitäjillä riski joutua oikeasti ankaraan vastuuseen (myös imagoriskit ovat suuret) Mahdollisia suuria hallinnollisia seuraamuksia tietosuojan tai tietoturvan laiminlyönneistä (myös imagotappiot) Henkilötietojen liittyviä erilaisia pyyntöjä voi alkaa tulemaan enenevästi, jotka voivat viedä aikaa ja vaativat tulkintaa kuinka toimitaan: Kuka tietojani katselee ja miksi? Haluan tietoni poistettavaksi organisaation rekryjärjestelmästä! Henkilötietojen käsittelyriitoja voidaan saattaa EU-tasoisesti ratkaistavaksi, jolloin voi tulla yllättäviäkin ratkaisuja, jotka poikkeavat suomalaisista oikeusasteiden ennakkoratkaisuista tai totutuista käytänteistä

13 Mitä kannattaa tehdä siirtymäaikana? 1. Tietosuojavastaava Varmistaa, että organisaatiolla (esim. kunnalla) on jatkossakin tietosuojavastaava, vaikka organisaatio ei sote-palveluita ei olisi järjestämisvastuulla Tietosuojavastaava, tehtävät ja asemoituminen pitää käsitellä uudelleen (artiklat 37-39) 2. Tietosuojan nykytila-analyysin laatiminen Tarkoittaa organisaation henkilötietojen käsittelyn ja tietosuojakyvykkyyksien nykytilan arviointia suhteessa tietosuojaasetuksen vaatimuksiin Inventaari siitä mitä henkilötietovarantoja on ja miten niitä käsitellään Auttaa kehittämissuunnitelman laatimisessa Rekisteriselosteiden päivittäminen jatkossa tehtävä entistä laajempi kuvaus (artikla 30) 3. Sopimuksien hallinta Pitää käydä läpi ne sopimukset, joilla on ulkoistettu henkilötietojen käsittelyä Apua tarvitaan esim. lakipuolelta sekä sisäiseltä tarkastukselta, jos sellainen organisaatiossa on Varmistaa prosessi niin, että uusiin sopimuksiin otetaan riittävät lausekkeet mukaan 4. Riskienhallinnan kehittämien Vaikuttavuusarviointi tehtävä suuririskisessä henkilötietojen käsittelyssä (DPIA=Data Protection Impact Assessment, artikla 35) 5. Asetuksen huomioiminen meneillään olevissa järjestelmähankkeissa sekä sovelluskehityksessä Otettava huomioon muutostarpeet tai muutoin uusi palvelu ei täytä lainsäädännön vaatimuksia Uusissa järjestelmähankinnoissa huomioita tietoturva- ja tietosuojavaatimukset tarkasti, koska uusiin järjestelmiin on helpompi saada ne toteutumaan kuin olemassa oleviin tehdä muutoksia. Tällaisia ovat esim. käyttö- ja luovutuslokit.

14 Tietosuojan nykytilan kartoittaminen ja analyysi (pääkohdat) Selvitä tilivelvollisen johdon käsitys organisaation tietosuojasta esim. järjestä seminaari ja/tai kirjallinen kysely Kartoita olemassa oleva tietoturvan- ja tietosuojan johtamismalli Resurssit, vastuunjako Tunnista organisaation tietovarannot ja niiden hallintajärjestelmät (mukaan lukien käyttövaltuudet) Kuinka suuri osa tiedoista on salassa pidettäviä? Tietojen omistajuudet Mikä on omistajan velvoitteet ja oikeudet? Rekisterihallintoon liittyvien linjauksien läpikäynti Rekisterinpitäjät, rekisteriselosteet (jatkossa tarkemmat kuvauksen henkilötietojen käsittelystä) Tietosuojariskien kartoitus ja analysoiminen Toimeksiantosopimuksien sisällön läpikäynti (henkilötietojen käsittelyyn liittyvät liitteet) ICT-vaatimusmäärittelyt hankittavissa tietojärjestelmissä Miten tietojohtaminen onnistuu? Selvitä mitä mittareita/tunnuslukuja on jo olemassa ja mitä pitää kehittää Käytönvalvonnan organisointi Rekisteröityjen oikeuksien toteuttaminen ja toteutuminen Lopuksi laadittava yhteenveto löydöksistä ja siitä mikä on varsinainen johtopäätös olemassa olevasta tilanteesta Ari Andreasson

15 Rekisterinpitäjän vastuu -osoitusvelvollisuus Enää ei riitä, että kertoo noudattavansa lakeja, vaan se pitää pystyä myös osoittamaan Keinoina mm. Käytännesäännöt ja sertifioinnit Tietoturvan ja tietosuojan omavalvontasuunnitelma Tietotilinpäätös-raportointi Tarkkaan laaditut kuvaukset henkilötietojen käsittelyprosesseista

16 Tampereen kaupunki ja seutukuntayhteistyö Seudun yhteinen tietoturvaryhmä, jossa jäsenet myös isoimmilta ICTsopimuskumppaneilta (Sonera ja Tieto) seudun yhteinen tietoturvapolitiikka seudun yhteinen henkilöstön tietoturva- ja tietosuojaopas seudun yhteinen tietojen ja tietojärjestelmien käyttö- ja salassapitositoumus (sähköinen hyväksyntä) seudun yhteinen mobiilipolitiikka seudun yhteiset käyttövaltuusperiaatteet seudun yhteiset sähköisten viestintävälineiden käyttösäännöt

17 Käytännössä huomioitavaa Asiakastietojen käsittelyohjeiden ajantasaisuus ja niiden perehdyttäminen henkilöstölle Työntekijöihin liittyvät arkaluonteiset tiedot ja niiden käsittelyprosessit varmistettava mm. työntekijöiden terveydentilatiedot Henkilöstön osaamisen mittaaminen liittyen henkilötietojen käsittelyyn (verkkokurssit, testit, kyselyt jne.) Tietojärjestelmien käyttöoikeuksista huolehdittava tarpeettomat tunnukset poistettava ja varmistettava että oikeudet vastaavat työtehtäviä Varautuminen ICT-häiriötilanteisiin (jatkuvuussuunnittelu) Tietosuoja- ja tietoturvapoikkeamien raportointi (tietyissä tilanteissa jatkossa ilmoitusvelvollisuus rekisteröidyille sekä tietosuojaviranomaiselle) Mietittävä (kriisi)viestintä, jos henkilötietoja vuotaa sivullisille ja siitä voi aiheutua vakavaa vaaraa henkilöiden yksityisyydelle Tietojen luovutuksissa oltava tarkkana! Luovuttaja vastaa siitä, että selvittää onko luovutuksen saajalla oikeus tietoihin ja missä laajuudessa Salassa pidettäviä henkilötietoja ei saa käsitellä kuin silloin kun työtehtävät sitä edellyttävät. Luvaton käyttö on rikos.

18 Tietojen luovutukset Salassa pidettävien tietojen osalta tietojen luovutuksissa on oltava tarkkana: Luovuttaja vastaa sen varmistamisesta, että luovutuksen saajalla on oikeus tietoihin (ja missä laajuudessa) Onko tietojen luovuttamiseen asiakkaan nimenomainen suostumus tai onko tiedon antamisesta tai oikeudesta tiedon saamiseen erikseen laissa säädetty? Jos tietoja pyytää joku muu kuin asiakas, niin onko hän (esim. alaikäisen) laillinen edustaja? Turvakiellon alaiset yhteystiedot (viranomainen saa käsitellä, kun se on välttämätöntä sivullisille ei saa luovuttaa) Erityisen tarkkana pitää olla, jos henkilötietoja kysellään puhelimitse ja alkaa haistamaan palaneen käryä! Ari Andreasson

19 Tietosuojariskeistä Datan avaaminen anonymisoinnin varmistaminen Datan analysointi alati kasvavista henkilörekistereistä Ennustavat algoritmit Ohjelmistorobotiikka digityöntekijät Vanhojen tietojärjestelmien puutteet esim. henkilötietojen käytön lokittamisessa Ulkoisten palveluntuottajien valvonta henkilötietojen käsittelyssä Mobiililaitteiden ja applikaatioiden heikko hallinta

20 Käytännön tietosuojariskejä 1. Käyttöoikeuksien ja käsittelyvaltuuksien hallinnan puutteet: Tietojärjestelmien käyttöoikeuksia on voimassa, vaikka ei pitäisi Käyttöoikeuksiin liittyvät valtuudet voivat olla vääränlaiset eivätkä vastaa työtehtäviä (esim. liian laajat tai liian suppeat oikeudet/valtuudet) 2. Liian vähäinen henkilötietojen ja niiden käsittelyssä käytettävien tietojärjestelmien käyttökoulutus henkilöstölle: Aikaansaa hitautta ja tyhjäkäyntiä asiakastietojen käsittelyssä Lisää johdon riskejä myös kustannuksien osalta Voi vaarantaa salassapitovelvoitteen (esim. sosiaalisessa mediassa varomaton kirjoittelu) Altistaa henkilöstön menemään ansaan herkemmin erilaisten huijaus/kalasteluviestien tai kiristyshaittaohjelmien osalta

21 3. Huono sopimus- ja hankintaosaaminen: Jälkikäteen on erittäin vaikeaa muuttaa voimassaolevia sopimuksia Lisäksi on hankalaa ja tai kallista saada jälkikäteen haluttuja toiminnallisuuksia tietojärjestelmiin, mikäli niitä ei ole osattu suunnitella ja tilata hankintaprosessiin liittyvän vaatimusmäärittelyn yhteydessä 4. Tietojen luovutukset: Sosiaalinen hakkerointi on yleinen tapa pyrkiä saamaan pääsy salassa pidettäviin tietoihin. Tämä pätee asiakastietojen lisäksi myös liikesalaisuuksiin. Puhelimessa tai sähköpostitse voidaan kysyä vihamielisen tahon toimesta hyvinkin uskottavan tarinan avulla erilaisia salaisia tietoja 5. Tietosuojattavan jätteen käsittelyprosessin puutteet: Salassa pidettäviä tietoja sisältävää pienmateriaalia kuten paperit, usb-tikut, cd-levyt, muistikortit voivat päätyä huolimattoman käsittelyn seurauksena kaatopaikalle tai muuten sivullisille. Tähän liittyy myös erittäin suuri imagoriski! SER-romun eli sähkö- ja elektroniikkaromun huono hallinta. Vanhoja puhelimia ja tietokoneita voi jäädä lojumaan pitkäksikin aikaa työntekijöiden pöytälaatikkoihin tai kotiin, jos hävitysprosessia ei ole suunniteltu ja siitä tiedotettu kunnolla

22 Tietosuojavinkit henkilöstölle Lue huolellisesti läpi organisaatiosi tietoturva- ja tietosuoja-ohjeet Käsittele asiakastietoja vain kun työtehtävät sitä edellyttävät Muista kunnioittaa asiakkaiden ja työkavereiden yksityisyyttä Varo paljastamasta sivullisille luottamuksellisia tietoja työpaikan ulkopuolella esim. sosiaalisessa mediassa Lukitse tietokone, kun se ei ole valvonnassasi (Windows-lippu ja L) Huolehdi mobiililaitteista hyvin (älypuhelimet, kannettavat, tablettitietokoneet jne.) Hävitä tietosuojattava jäte asianmukaisesti Älä hätäänny, jos jotain poikkeavaa henkilötietojen käsittelyn suhteen tapahtuu vaan kerro esimiehelle mitä on tapahtunut

23 Lisätietoa (tietosuojavaltuutetun toimiston kotisivu) opasauttaarekisterinpitajiaeuntietosuojaasetukseenvalmistautumisessa.html asittelykirjas.html Julkisen hallinnon digitaalisen turvallisuuden johtoryhmän (VAHTI) raportti VAHTI-raportti 1/2016 EU-tietosuojan kokonaisuudistus (Arin ylläpitämä nettisivusto)