www.pwc.fi Miksi tarvitaan tietotilinpäätös? Lakimiehen kulma Maria Parker 6.6.2014
EU:n uusi tietosuoja-asetus Rekisterinpitäjän tilintekokykyisyys Ehdotuksen mukaan rekisterinpitäjien tulee pystyä osoittamaan noudattavansa lakia eli toteutettava soveltuvia ja tehokkaita toimenpiteitä tietosuojaperiaatteiden toteuttamiseksi ja kyettävä todistamaan tämä. Ehdotuksen mukaan jokaisen rekisterinpitäjän ja käsittelijän on säilytettävä asiakirjat kaikista vastuullaan tapahtuvista käsittelytoimista (tiettyjä poikkeuksia). Tietosuojavaltuutettu suosittelee, että rekisterinpitäjät ja käsittelijät laatisivat säännöllisesti ns. tietotilinpäätöksen ( Laadi tietotilinpäätös 24.4.2012 ). - Siinä kuvattaisiin tietojen käsittelyn nykytila sekä arvioitaisiin tietosuojan ja tietoturvan toteutuminen. - Tietotilinpäätös toimisi johdon ja riskienhallinnan strategisena työvälineenä, sisäisen ja ulkoisen valvonnan apuvälineenä ja olisi omiaan osaltaan rakentamaan luottamusta sidosryhmien keskuudessa. 2
Tietotilinpäätöksen ydin tiedonhallinnan järjestäminen lakisääteisten velvoitteiden vuoksi Liikkeelle tietopääomasta ja sen hallinnoinnista Lakisääteisiä ja muita velvoitteita Tietosuojaregulaatio Toimialaregulaatio Julkisuusvaatimukset laissa ja muutoin Salassapidon ja läpinäkyvyyden hallinta Luottamuksen rakentaminen sisälle ja ulos Tietotilinpäätöksen rooli tuloksen säännöllisenä raportointina Tulos syntyy tarkastasteltaessa organisaation tiedon virtoja sisältä Varmentaa tietovirtojen käsittelyn lainmukaisuuden toteutumisen 3
Tietosuojaperiaatteet Varmistus (tulevan) lainsäädännön noudattamisesta Privacy by design Henkilötietojen käsittely on suunniteltava ennalta prosessina. Privacy by default Rekisterinpitäjä velvoitetaan rakentamaan tietoturvallinen suojattu palvelu oletusarvoisesti. Nykyään kuluttaja huolehtii muun muassa oman sähköpostinsa tietoturvasta. Right to be forgotten Oikeus vaatia tietojen poistamista ja kieltää edelleen levittäminen, erityisesti sosiaalisen median palveluissa. Right to data portability Oikeus saada tiedot rekisterinpitäjältä jäljennöksenä yleisesti käytetyssä sähköisessä ja jäsennellyssä muodossa, joka antaa rekisteröidylle mahdollisuuden käyttää tietoja edelleen ja oikeus siirtää tiedot palveluntarjoajalta toiselle. 4
Soveltuvat ja tehokkaat toimenpiteet Tietosuojaperiaatteiden suojan toteutus Onko tiedonhallinta järjestetty lainsäädännön mukaan? Määritelty käsiteltävät ja säilytettävät tiedot? Määritelty tiedon arvo myös salassapito ja julkisuusvaatimukset huomioon ottaen Määritelty tiedon käsittelytavat tiedon kaikissa voimassaolon vaiheissa? Määritelty tiedon säilyttämisen tilat, tavat, tasot ja muoto? Määritelty tiedon käsittelyn tasot tiedonsaantioikeudet, käyttöoikeudet? = > Testi: Kykeneekö organisaatio todistamaan toimenpiteiden tehon? Dokumentaatiot tiedon tilan hallinnasta rekisteröitymisien todentaminen? Tietopalvelujen tuotantokykyisyys? 5
EU:n uusi tietosuoja-asetus tuo käsittelijälle lisää velvollisuuksia tiedonhallinnan järjestämiseksi Käsittelijälle lisää velvollisuuksia - Rekisterinpitäjän lukuun henkilötietoja käsittelevän annettava takeet, että riittävä tietoturva huomioidaan ja käsittely täyttää asetuksen vaatimukset ja varmistaa rekisteröidyn oikeuksien suojan. - Laadittava kirjallinen sopimus. Tietosuojaa koskeva vaikutustenarviointi ennen käsittelyn aloittamista - Kun tietojenkäsittelytoimiin liittyy niiden luonteen, laajuuden tai tarkoitusten vuoksi rekisteröidyn oikeuksien ja vapauksien kannalta erityisiä riskejä. Producer - sääntely velvoittaisi lähinnä softan tekijöitä Profilointi - Lähtökohtaisesti kielletty. 6
EU:n uusi tietosuoja-asetuksen mukainen ilmoitusvelvollisuus Ilmoitusvelvollisuus tietoturvaloukkauksista laajenee Ehdotuksen mukaan rekisterinpitäjän tulee ilmoittaa henkilötietojen tietoturvaloukkauksista valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 24 tunnin (Muutos: 72h) kuluessa sen ilmitulosta. Esimerkiksi rikoslain mukainen tietomurto ja henkilörekisteririkos Myös rekisteröidylle, jonka tietoja loukkaus koskee, tulee ilmoittaa tietyissä tilanteissa. Johto, tietosuojasta ja tietoturvasta vastaavat: Tarkistettava myös tietoturvaa koskevat järjestelyt, käytännöt ja ohjeistukset. Roolit ja vastuut sekä toimintasuunnitelma poikkeuksellisten tilanteiden varalta tulee olla selvillä (johto, IT-vastaava, lakimies ja viestintä). 7
Säilyttämisvelvoite Jokaisella rekisterinpitäjällä ja käsittelijällä Koskee siis controller- ja processor- roolissa olevia Käytännön haasteet kirkastuvat tietotilinpäätöstä tehdessä: Access rights liian laajaa, unohdetaan IT-palvelujen toimittajat Tietoa otettava ja säilytettävä järjestelmässä onko järjestelmä vain prosessikaavio miten käytännössä -> työn ohjauksen haasteet Tiedon virtojen käsittely ja säilyttäminen eri tasoissa - käyttöliittymät, tietokannat, verkot, käyttöjärjestelmä Tietoa hallinnoidaan päällekkäisesti Arkistoinnin haasteet Dokumentaatio organisaation vastuulla tapahtuvista käsittelytoimista 8
Tietotilinpäätös prosessien kuvaajana Status check ja Sustainability check Status check: Tietojen käsittelyn nykytila Sanity Check: Kartoitetaan organisaation tietopääoman tila Kuvataan organisaation hallinnassa olevia tietovarantoja Compatibility Check Kuvataan organisaation tietovirtoja Kartoitetaan tietovarantojen hallinnan ja tietovirtojen yhteentoimivuutta Sustainability check: Tietosuojan toteutuminen ja kestävyys 9
Tietotilinpäätös välineenä Strategic, Internal & External Toolbox Strategisesti johdon ja riskienhallinnan työväline Kuvastaa miten tietopääomaa hallinnoidaan Raportti tietopääoman johtamisessa esille tulevista asioista Business Development Tool tukee liiketoiminnan kehittämistä ja sen seurantaa Valvonnallisesti lakisääteistä tilinpäätöstä täydentämään Sisäisen ja ulkoisen valvonnan tulisi kiinnittää huomiota itse tietotilinpäätösprosessiin Ei voida kokonaan automatisoida Ulkoisesti rakentaa luottamusta sidosryhmien keskuudessa Raportti tiedonkäsittelyn keskeisistä seikoista 10
EU:n uusi tietosuoja-asetus Tietosuojavastaava Rekisterinpitäjän ja henkilötietojen käsittelijän tulisi tietyin edellytyksin nimittää oma riippumaton tietosuojavastaava - Tietojenkäsittelyä suorittava yritys, jossa on vähintään 250 työntekijää Muutosehdotus: oikeushenkilö, joka käsittelee vähintään 500 rekisteröidyn tietoja vuodessa. - Rekisterinpitäjän tai henkilötietojen käsittelijän keskeiset tehtävät sellaisia käsittelytoimia, jotka luonteensa, laajuutensa ja / tai tarkoitustensa vuoksi edellyttävät rekisteröityjen säännöllistä ja järjestelmällistä seurantaa. Muutosehdotus: jotka edellyttävät järjestelmällistä seurantaa tai profilointia. Tehtävänä neuvoa, seurata henkilötietojen suojaan liittyvien toimintamenetelmien sekä lainsäädännön täytäntöönpanoa ja soveltamista sekä seurata yhtiön käytäntöjä muiltakin osin. 11
Esimerkki tietotilinpäätöstiedot Case ICT - Eritelty keskeisin tietojen käsittelyä ohjaava sisäinen ohjeistus sekä lainsäädäntö - Koottu tietojen käsittelyn tärkeimmät tunnusluvut - Antaa kokonaiskuvan tietojen käsittelyn nykytilasta - Antaa arvion tietosuojan, tietoturvan ja yksityisyyden suojan toteutumisesta - Kirjattu toteutetut ja ehdotetut kehittämistoimenpiteet - Kirjattu havainnot toiminnan mittaamisen kehittämistarpeista - Tarkoitettu ensisijaisesti johdolle toiminnan ja tietosuojan kehittämisen työkaluksi - Suunnittelun, toiminnan ohjauksen, raportoinnin ja johtamisen tukena - Varmistetaan hyvän tietojenkäsittelytavan ja hyvän hallintotavan toteutuminen - Varmistetaan lainsäädännön noudattaminen - Täyttää (lainmukaisen) raportointivelvollisuuden tietosuojavaltuutetulle lokitietojen käsittelystä 12
Tietosuojavaltuutetun toimiston kanta 13
OPERATIONS - Sales database - Customer data - Supplier data - Marketing database FINANCE - Pricing data - Log and networks usage data - Payment data - Invoicing data - Book-keeping data - Controller data TIETO ASSETS - Networks & cloud - Services and product data - IPR and R&D - Other confidential data - Quality Assurance PEOPLE - HR database - Recruitment database - Alumni database - Testing and health care data - Payroll data 14
Compliance aloitettava uuden EU:n tietosuojaasetuksen vaatimustasolle jo nyt Voimaantulo aikaisintaan v. 2015 kahden vuoden siirtymäajalla. Suurta osaa ehdotuksen sisältämistä velvoitteista noudatettava jo nyt. Velvoitteiden laiminlyönnistä merkittäviä hallinnollisia seuraamuksia tietosuojavaltuutetun määräyksestä, enimmillään 1 milj. euroa tai 2 % yrityksen globaalista liikevaihdosta. - Tämä koskee lähtökohtaisesti kaikkia velvoitteita. Johto, tietosuojasta ja tietoturvasta vastaavat: Varmista jo nyt, että organisaatiosi henkilötietojen käsittely on nykyisen lain mukaista ja täsmennä tarvittaessa toimintatapoja. Siten siirtymä uuden regulaation piiriin ei ole niin suuri, kun käsittelyn oikeudellinen suunnittelu on kunnossa. 15
EU:n uusi tietosuoja-asetus Yhteenveto ja toimenpiteet Tietojen kartoitus Sisäiset tarkastusmenetelmät (tietotilinpäätös) Ohjeistukset, policy-asiakirjat, koulutus ja valvonta (yhteistoimintamenettely) Tietosuojavastaavan nimeäminen Rekisteröidyn oikeuksien käytön mekanismit, valitusten käsittely Ilmoitukset tietoturvaloukkauksista Toimintasuunnitelma poikkeustilanteiden varalle. Vastuut organisaatiossa. Tietosuojavelvoitteiden täyttäminen on ennakoivaa riskienhallintaa ja edellyttää tietoturvasta huolehtimista johdon asia, mutta edellyttää henkilöstöltä osaamista. Henkilötietojen käsittelyn järjestäminen sääntelyn vaatimusten mukaisesti tuo organisaatiollenne kilpailuetua ja luottamusta asiakkaiden keskuudessa. 16
Kiitos! Lisätietoja: Maria Parker Lakipalvelut +358 40 726 8707 maria.parker@fi.pwc.com This publication has been prepared for general guidance on matters of interest only, and does not constitute professional advice. You should not act upon the information contained in this publication without obtaining specific professional advice. No representation or warranty (express or implied) is given as to the accuracy or completeness of the information contained in this publication, and, to the extent permitted by law, PricewaterhouseCoopers Oy, its members, employees and agents do not accept or assume any liability, responsibility or duty of care for any consequences of you or anyone else acting, or refraining to act, in reliance on the information contained in this publication or for any decision based on it. 2012 PricewaterhouseCoopers Oy. All rights reserved. In this document, refers to PricewaterhouseCoopers Oy which is a member firm of PricewaterhouseCoopers International Limited, each member firm of which is a separate legal entity.