Tietosuoja-asetuksen (GDPR) vaatimusten käyttöönotto Jari Ala-Varvi 03 / 2017 30.3.2017 1
Miksi? GDPR tietosuoja-asetus astui voimaan 25.5.2016 ja siirtymäaika päättyy 24.5.2018 Perusoikeuksien suoja monimutkaistuvassa yhteiskunnassa Euroopan ihmisoikeussopimus 8 Artikla oikeus nauttia yksityis- ja perhe-elämään, kotiin ja kirjeenvaihtoon kohdistuvaa kunnioitusta Samojen perusoikeuksien toteutuminen myös monimutkaistuvassa teknologiaympäristössä Markkinoiden ja kilpailun edistäminen Vahvistaa avoimuutta ja läpinäkyvyyttä kuluttajien ja markkinoiden välisessä toiminnassa ja lisätä luottamusta markkinoihin ja siellä toimiviin yrityksiin Digitaalitalouden kehitys sisämarkkinoiden ja EU-kumppanien alueella (Digital Single Market) 30.3.2017 2
Tärkeät käsitteet, artikla 4 Henkilötieto ja rekisteröity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella Rekisterinpitäjä luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu elin, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot Taho, jonka vuoksi henkilötietoja kerätään ja käsitellään Henkilötietojen käsittelijä luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu elin, joka käsittelee henkilötietoja rekisterinpitäjän lukuun Toimii rekisterinpitäjän ohjauksessa ja valvonnassa 30.3.2017 3
Henkilötietojen käsittelyn oikeutus Käsittelylle on aina oltava tarve. Rekisteröidyn oma suostumus Sellaisen sopimuksen täytäntöönpano, jossa rekisteröity on sopimusosapuolena (esim. tilaus / palvelusopimus / työoikeus ) Rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi Rekisteröidyn elintärkeiden etujen suojelemiseksi Lisäksi on täytettävä kaikki muut asetuksen velvoitteet mm. edellä mainittujen asioiden hallinnasta ja dokumentoinnista. 5.1.2018 4
Rekisterinpitäjän velvoitteet Täydentää rekisterinpitäjän ja käsittelijän vastuita ja velvollisuuksia sekä toteutustapaa. Tuo uutena mm. Riskiperusteinen lähestymistapa Riskit on arvioitava, dokumentoitava ja niihin varautumisen toimenpiteet suunniteltava dokumentoidusti Sisäänrakennettu ja oletusarvoinen tietosuoja (Privacy by design/default) Palvelut on oltava oletusarvoisesti tietoturvallisia ja tietosuojan huomioivia rekisteröityjen edut ja oikeudet huomioiden Osoitusvelvollisuus (accountability) ennen riitti, että kertoo toimivansa lain mukaan, nyt se pitää voida osoittaa Ilmoitusvelvollisuus tietosuojaloukkauksista viranomaiselle ja rekisteröidyille Edellyttää kykyä havainnoida loukkaukset! Tietosuojan vaikutustenarviointi tietyissä olosuhteissa PIA: Privacy Impact Assessment / DPIA: Data Protection Impact Assesment Tietosuojavastaavan nimeäminen tietyissä olosuhteissa Tietoturvakontrollien korostuminen henkilötietojen suojaamisessa Henkilötietojen siirtoon liittyviä velvoitteita 30.3.2017 5
Uutta nykyiseen käsittelijälle Lisää velvollisuuksia käsittelijälle Uutena mm. Velvollisuus käsitellä henkilötietoja ainoastaan rekisterinpitäjän antamien dokumentoitujen ohjeiden ja lainsäädännön mukaisesti Varmistettava henkilöstön salassapitovelvollisuus Tehtävä riskiarviot ja niihin perustuvat suojaustoimet kuten salaus; varmistaa luottamuksellisuuden, eheyden, käytettävyyden ja vikasietoisuuden; palautumisen varmistus; turvallisuuden tason säännöllinen testaus Ilmoitusvelvollisuus tietoturvaloukkauksesta rekisterinpitäjälle viivytyksettä Rekisterinpitäjän ja käsittelijän laadittava kirjallinen sopimus mille asetettu muotovaatimuksia. Myös käsittelijään voi kohdistua taloudellisia sanktioita 5.1.2018 6
Julkishallinnon osalta Viranomaisrekisterien erottaminen muista rekistereistä Rekisterien käsittelyn pelisäännöt julkisista harkinnanvaraisesti julkisista salassapidettävistä tiedoista Asianosaisen tiedonsaantioikeus rekistereistä Sopimukset ulkoisten käsittelijöiden kanssa 7
Rekisteröidyn oikeudet 1. 2. 3. 4. 5. 6. Oikeus saada läpinäkyvää informaatiota henkilötietojen käsittelystä Rekisteröidyn oikeus saada pääsy tietoihin Oikeus tietojen oikaisemiseen ja oikeus tulla unohdetuksi Oikeus käsittelyn rajoittamiseen Rekisterinpitäjän velvollisuus ilmoittaa vastaanottajille henkilötietojen oikaisusta, poistosta ja rajoituksesta Oikeus siirtää tiedot järjestelmästä toiseen 7. Vastustamisoikeus (yleinen etu, julkinen valta tai oikeutettujen etujen suojaaminen, 6. art. e, f) 8. 9. 10. 11. 12. Automatisoidut yksittäispäätökset ja profilointi Oikeus tulla informoiduksi henkilötietojen tietoturvaloukkauksista Lasten erityisasema Oikeus saada valvontaviranomaiselta apua Oikeus luottaa tietoturvaan 30.3.2017 8
Miten aloitan? Tietosuoja-asetuksen velvoitteiden käyttöönotto on käytännössä projekti, jossa Tunnistetaan ja dokumentoidaan henkilötietorekisterit, henkilötietojen elinkaari sekä tietovirrat organisaatiossa Suoritetaan riskienarviointi ja tietoturvatestaukset Suunnitellaan ja tehdään käyttöönottosuunnitelma riskikontrolleille Erityistilanteissa ja tarvittaessa voidaan joutua tekemään vaikutustenarviointi sekä nimeämään tietosuojavastaava. Aloitukseen löytyy internetistäkin lukuisia ohjeita Esim: http://www.tietosuojakuntoon.fi Ota oppaaksi henkilötietolaki, tietosuojavaltuutetun toimisto http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6jfq8 WnQ7/Ota_oppaaksi_henkilotietolaki.pdf 30.3.2017 9
Vaikeaa? Asetuksen velvoitteet pystyy jokainen täyttämään Se on aikaa vievää, jolloin ulkopuolinen asiantuntija voi tulla kysymykseen, mutta asetus itsessään ei vaadi ihmeitä Muutama vinkki Integroi riskien käsittely nykyiseen riskienhallintaprosessiin Käytä nykyistä IT-dokumentaatio ja rekisteriselosteita kohteiden tunnistamiseen Osallista jokaisen henkilöstöryhmän edustaja alusta asti avoimeen keskusteluun - auttaa myös kohteiden tunnistamisessa Pyydä sopimuskumppaneilta ja asiakkailta tietoa, mitä he toivovat sinulta Aloita pala kerrallaan tärkeimmästä ja vakioi käsittelyprosessi - helpottaa laajentamisessa 10
Mitä sitten konreettisesti pitäisi saada aikaan? Osoitusvelvollisuuden täyttymiseksi organisaatiosta olisi hyvä löytyä: tietosuojapolitiikka ja -organisoituminen; roolit ja vastuut ja kokousten muistiot tietosuojaselosteet, tarvittaessa seloste käsittelytoimista henkilötietojen tietovirtakuvaukset ja tietosäilöjen kuvaukset kuvaukset rekistero ityjen oikeuksien takaamiseksi tehdyistä toimenpiteistä tehdyt tietosuojan riskien arvioinnit hallintakeinoineen ja seurantamuistioineen tietoturvatestauksen tulokset Sisaä nrakennetun ja oletusarvoisen tietosuojan toteuttaminen Henkiloẗietoja ka sitteleva lle henkilo sto lle suunnattavat ohjeet ja koulutussuunnitelma Dokumentaatio mahdollisista henkiloẗietojen loukkauksista Mahdollisesti tietotilinpaäẗo s keinona toteuttaa osoitusvelvollisuus 11
Tiedotus ja koulutus Henkilöstön osallistaminen ja tiedonhankinta Projektin määrittely Taustatietojen ja dokumentaation kerääminen Toteutuksen työnjako ja vastuut Kohteiden tunnistus Henkilötietorekisterien ja tietovirtojen tunnistaminen ja kuvaaminen Tietojen elinkaaren selvitys Tietoturvatestaukset Nykyisten kontrollikeinojen ja henkilötietoon kohdistuvien haavoittuvuuksien tunnistaminen Tietosuojan vaikutustenarviointi (DPIA / PIA) Laajuus määräytyy asetuksen perusteella (art. 35) Toiminnalliset ja tekniset riskit (osittain edelliseltä) Riskien ja seurausten tunnistaminen Riskikarttojen luonti ja kontrollikeinojen suunnittelu Raportointi ja kontrollikeinojen implementointisuunnitelma Välittömät tietoturvakontrollit Kehityssuunnitelma ja vuosikello Tarvittaessa sopimusten muutokset 5.1.2018 13
Kiitos mielenkiinnosta! Jos jokin jäi askarruttamaan, kysy lisää: info@opsec.fi Opsec Oy 03 / 2017 30.3.2017 14