Tietosuojavastaavan elämää Julkisen hallinnon digitaalisen kehittämisen ohjelma Seminaari 2.9.2019 Vesa Nyman Kuntaliiton ja Finnish Consulting Groupin tietosuojavastaava 2.9.2019
Esityksen sisältö Toimintaympäristö: Suomen Kuntaliitto ry ja Finnish Consulting Group Tietosuojaprojektista jatkuvaan tietosuojatyöhön siirtyminen Tietosuojavastaavan arjen elämää juuri nyt 2
Toimintaympäristö Kuntaliitto -konserni FCG Finnish Consulting Group -konserni 3
Tietosuojaprojektista jatkuvaan tietosuojatyöhön
Tietosuojaprojektista jatkuvaan tietosuojatyöhön: Tietosuojatyön ulkoinen auditointi 1/2 Tietosuojaprojektin loppuvaiheessa tilattiin ulkoinen auditointi tietosuojatyön Tietosuojatyön ydinprosessit Liiketoiminnan ydinprosessit Dokumentaation läpikäynti Auditointi koettiin arvokkaaksi Parempi käsitys tietosuojatyön nykytilasta Toimenpidesuositukset priorisoidusti Riippumaton raportointi johdon suuntaan 5
Tietosuojaprojektista jatkuvaan tietosuojatyöhön: Tietosuojatyön ulkoinen auditointi 2/2 Auditointiraportin merkittävimmät toimenpidesuositukset: Verkkosivustojen evästekäytännöt suositellulle tasolle Tietosuojaorganisaation laajentaminen merkittävästi Sisäänrakennetun tietosuojan prosessin kehittäminen ja jalkautus Toimittajien auditointiprosessin luominen 6
Tietosuojaprojektista jatkuvaan tietosuojatyöhön: Tietosuoja-/tietoturvatyön hallintamalli & vuosikello 1/3 Otimme käyttöön tietosuoja- ja tietoturvatyön hallintamallin, jossa kvartaalin pituinen PDCA- sykli 7
Tietosuojaprojektista jatkuvaan tietosuojatyöhön: Tietosuoja-/tietoturvatyön hallintamalli & vuosikello 2/3 8
Tietosuojaprojektista jatkuvaan tietosuojatyöhön: Tietosuoja-/tietoturvatyön hallintamalli & vuosikello 3/3 Kokonaisuus Politiikat, perusohjeistukset Henkilötietojen peruskäsittely organisaatiossa Seloste käsittelytoimista (Artikla 30) Prosessien ja assettien arviointi ja dokumentointi Käsittelytoimien riskien hallinta Assettien riskien hallinta Vaikutustenarviointi (Artikla 35) Sisäänrakennetun ja oletusarvoisen tietosuojan prosessi Toimittajien arviointiprosessi Tietoturvaloukkausten havainnointi Tietoturvaloukkausten hallinta Rekisteröityjen oikeuksien toteutuminen Tietosuojan koulutus & tietosuojatesti Tietosuojan hallintamalli Tietosuoja-/tietoturvatyön vuosikello Vaatimustenmukaisuus Toimivuus Tietoisuus Tietosuojan raportointi 9
Tietosuojaprojektista jatkuvaan tietosuojatyöhön: Privacy Champion -toiminta Liiketoiminta-/yksikkökohtainen Privacy Champion Ensisijainen kontaktipiste omassa yksikössä tietosuoja-asioissa Valvoo ja ohjeistaa tietosuojan toteutumista omassa yrityksessä/yksikössä Erityisen tärkeää olla mukana henkilötiedon käsittelyn muutoksissa ja ohjata tekemään tarvittavat toimet Sisäänrakennetun tietosuojan prosessin käynnistys Mukana tietosuojadokumentaation päivityksissä Vie vaikeimmat tietosuoja-asiat tietosuojavastaavalle mietittäväksi Eskaloi ongelmat oman yrityksen johdolle sekä tietosuojavastaavalle Saa tietosuojakoulutusta säännöllisesti 10
Arjen elämää juuri nyt
Tietosuojavastaavan arjen elämää juuri Vaikutustenarviointien laatimista ja katselmointia Toimittajien pyydetään vaikutustenarviointiluonnoksia entistä enemmän. Palvelu-/järjestelmäkuvauksien päivityksiä (tietosuoja- ja tietoturvaosiot) Lakimuutoksien & liiketoiminta-alojen erityislainsäädännön läpikäyntiä Käsittelytoimien vaatimustenmukaisuuden läpikäyntiä Koulutukset / tietoiskut Poikkeamien hallintaa Toimeksiantosopimusten tarkennukset toiveita sopimuspohjien yksinkertaistamiselle ja liiketoimintakohtaiselle räätälöinnille 12
Kiitos mielenkiinnosta! Vesa Nyman tietosuojavastaava@kuntaliitto.fi kuntaliitto.fi PL 200, 00101 Helsinki Kuntatalo, Toinen linja 14 00530 Helsinki