Digitaalisen liiketoiminnan edellytysten luominen Nixun aamiaisseminaari Jukka Lång Sisältö Uusi riskilähtöinen tietosuojasääntely Datan haltuunoton, käsittelyn ja hyödyntämisen periaatteet
DIGITAALINEN MURROS Miksi säännellä ja miten? Teknologia ohjaa kehitystä Sääntelyn on oltava teknologianeutraalia Sääntelyn on tuettava innovaatioita Yksityisyyden suoja merkitsee enemmän kuin koskaan Yksilön digitaalinen jalanjälki väistämättä kasvussa Tiedon käyttö- ja väärinkäyttömahdollisuudet ennalta arvaamattomia Digitaalisen maailma on globaali ja rajaton Vain ylikansallinen sääntely ja valvonta voivat toimia Eurooppalainen lähestymistapa voi olla kilpailuetu
the project could result in up to 30% of the global data market heading to European suppliers and 100,000 data-related jobs being added by 2020. The commission also claims the project will reduce energy consumption by 10%, and lead to improvements in healthcare and heavy industry. Red Herring, Inc. 15.10.2014 TIETOSUOJA-ASETUS
Keskeiset tavoitteet Digitaalisten sisämarkkinoiden luominen Yhtäläinen sääntely kaikkiin EU-maihin Tietojen liikkuvuuden ja hyödynnettävyyden turvaaminen Vastaaminen teknologian luomiin haasteisiin Muuttuneen toimintaympäristön huomioiminen Yksilöiden oikeuksien turvaaminen Sääntelyn vaikuttavuuden sekä täytäntöönpanon valvonnan tehostaminen Lainsäädäntöhanke ja sen vaiheet Komissio Ehdotus 25.1.2012 (2012/0011(COD)) Parlamentti Kompromissiratkaisu : LIBE-valiokunnan hyväksymät muutokset 21.10.2013 Hyväksyntä parlamentin täysistunnossa 12.3.2014 Äänestystulos: 621 ääntä puolesta, 10 vastaan, 22 poissa Parhaillaan Euroopan unionin neuvoston käsittelyssä Hyväksymisestä käynnistyisi kahden vuoden siirtymäaika
UUDEN RISKILÄHTÖISEN SÄÄNTELYN PERIAATTEET
Kaikille samat yhteiset pelisäännöt Digitaalisia innovaatioita ei voi rakentaa ilman tietosuojaa Lainmukaisuus, asiallisuus, kohtuullisuus ja läpinäkyvyys Käyttötarkoitussidonnaisuus ja käsittelytarkoituksen rajoittaminen Virheettömyys ja paikkansapitävyys Käsittelyn minimointi Tietoturva ja tietojen eheys Periaatteet prosessien tasolle Sisäänrakennettu tietosuoja (privacy by design) Oletusarvoinen tietosuoja (privacy by default) Rekisterinpitäjän tilivelvollisuus Compliancesta accountabilityyn Asetuksen määrittämä uusi toimintavelvoite Velvollisuus tietosuojavastaavan nimittämiseen Velvollisuus tietosuojavastuullisen johtajan nimittämiseen Laajoja omien toimintojen dokumentointivelvoitteita Valmiuden rakentaminen tietoturvaloukkauksiin reagoimiseen Tietosuojaa koskevien vaikutusten arvioinnin toteuttaminen (PIAs)
Sääntelyn vaikuttavuuden tehostuminen Sääntelyn noudattamisen valvontaa tehostetaan uusilla hallinnollisilla sanktioilla Tietosuojaviranomaisille oikeus langettaa rikkomuksen vakavuuden perusteella määräytyvä sakko Rikkomuksista langetettavan sakon suuruus EUR 100.000.000 tai, jos korkeampi, 5 % yrityksen globaalista liikevaihdosta Tietosuojasertifioinnilla mahdollisuus vähentää sanktioriskiä The risk inherent in certain data processing operations should be a main criterion for calibrating the data protection obligations. Where the data protection risk is higher, more detailed obligations would be necessary and where it is comparably lower, the level of prescriptiveness can and should be reduced. Council of the European Union, Working Party on Information Exchange and Data Protection (DAPIX) 3.7.2014
Riskiperusteinen lähestymistapa Tietosuoja integroitavissa osaksi yrityksen muita riskienhallintaprosesseja Lähtökohtana tietoinen päätöksenteko Mahdollista ja perusteltua ottaa huomioon muun muassa - oman toimialan ja toimintaympäristön erityispiirteet, - arvio riskien todennäköisyyksistä, - arvio seuraamuksista rekisteröityjen yksityisyydelle, - kustannukset suhteessa tavoiteltaviin hyötyihin Punnituista riskiarvioista jäävällä paper trailillä mahdollisten vastuiden määräytymisen kannalta merkitystä TIETOSUOJA VÄLTTÄMÄTTÖMYYDESTÄ HYVE
Tietosuoja-accountabilitystä menestystekijä First thoughts - uusia compliance-kustannuksia ja ylimääräisiä töitä - abstrakteja ja epäselviksi jääviä velvollisuuksia - suomalaisille vierasta ajattelua - pakottaa tietosuojan osaksi muita toimintoja Second thoughts + konkreettisia työkaluja käytännön ongelmien ratkaisemiseksi + joustavaa sääntelyä ja mahdollisuus parhaiden käytäntöjen etsimiseen + globaalien markkinoiden avautuminen + pakottaa tietosuojan osaksi muita toimintoja This could be an important differentiator and major opportunity for cloud providers, both in Europe and the US, to align their cloud security with the new regulation. AIIM (Association for Information and Image Management), Industry Watch Report 21.7.2014
Käytännön esimerkkejä 1) Case tietosuojaseloste: asiakasrekisterin hyödyntäminen uuteen käyttötarkoitukseen mahdollisti liiketoiminnan laajentamisen 2) Case pilvipalvelu-ulkoistus: tietojen siirtämistä koskevat rajoitukset suojasivat myös yritystä 3) Case kyberturvallisuusohjeistus: tehokas reagoiminen tietoturvaloukkaukseen oli mahdollista Kiitos! Jukka Lång Head of Data Protection, Marketing & Consumers Senior Attorney, LL.M., M.A., CIPP/E Tel. +358 40 719 4317 Email: jukka.lang@dittmar.fi Twitter: @JukkaLang