Käyttötarkoitukset

Henkilötietojen käyttötarkoituksen on oltava yksiselitteinen ja ymmärrettävä kuvaus tarkoituksesta, johon henkilöstä kerättäviä tietoja aiotaan käyttää. Käyttötarkoitukset eivät saa olla maailmaa syleileviä (palveluiden tuottaminen), vaan niiden avulla on ymmärrettävä, mitä tietoja tähän tarkoitukseen kohtuudella tarvitaan ja millä perusteella sitä voidaan tehdä.
tietosuoja
GDPR
käyttötarkoitussidonnaisuus
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Käyttötarkoituksila tarkoitetaan niitä prosesseja, joissa käsittelemme henkilötietoja erilaisten toimitojemme suorittamiseen. Käyttötarkoitus sanan ideana on kuvata sitä, että käyttötarkoitukset pitäisi kuvata erittäin selkein sanankääntein, jotta ihmisten on helppo ymmärtää, mitä heidän tiedoilleen tapahtuu. Käyttötarkoitukset on myös eroteltava sillä tasolla, että voimme selvästi osoittaa, mikä oikeusperuste (esim. laki, ihmisen antama suostumus tai sopimus meidän ja rekisteröidyn välillä) oikeuttaa meidät suorittamaan juuri tämän käsittelytoimen.

Kaiken organisaation suorittaman henkilötietojen käsittelyn tunnistaminen ja kartoittaminen on haastava, mutta pakollinen toimenpide; meidän on pystyttävä raportoimaan käyttötarkoitukset yhtä lailla rekisteröidyille tai viranomaisen tarkastaaille. Se vaatii eri yksiköiden osallistumista ja määrätietoista kokonaisnäkemyksen rakentamista. Ennen GDPR-aikaa henkilötietojen käsittelyyn liittyvät vaatimukset eivät ole olleet näin tiukkoja ja ihmiset tietoisia oikeuksistaan, joten tämän on paljolti uuden opettelua myös organisaatioille.

Käyttötarkoituksiin liittyy monia erityistapauksia. Mikäii käsittelymme perustuu suostumukseen, meidän on mm. varmistettava että suostumus on peruttavissa ja voivamme osoittaa jälkikäteen, kuinka suostumus on saatu. Kun käsittelymme perustuu oikeutettuun etuun, meidän tulisi pystyä osoittamaan tehty "tasapainotesti", jossa olemme uskottavasti vertailleet omia etujamme rekisteröityjen yksityisyydensuojaan nähden.Jt

Esimerkkejä sisällöistä

  • Asiakaspalvelun toteuttaminen
  • Henkilöllisyyden vahvistaminen
  • Kulunvalvonta
  • Myyntikontaktointi
  • Palkanmaksu
  • Verkkopalvelun käytön analysointi...

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Mitä tietovarantoja käsittelyssä hyödynnetään?

Suurin osa henkilötietojen käsittelystä suoritetaan tietojärjestelemissä, joten usein näiden tunnistaminen on paras tapa ymmärtää ja kuvata käsittelyä. Useaa tietojärjestelmää voidaan kuitenkin käyttää saman käyttötarkoituksen toteuttamiseen.

Mitä henkilötietoryhmiä käsitellään?

Rekisterinpitäjän tulee oletusarvoisesti käsitellä vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja.

Erityisten henkilötietoryhmien käsittelyä säädetään tarkemmin ja niiden käsittely vaatii oman oikeusperusteensa. Tarkista, sisältyykö tähän käsittelyyn erityisiä henkilötietoryhmiä.

Mihin oikeutus käsittelyyn perustuu?

Henkilötietojen käsittely vaatii aina laillisen oikeusperusteen. Tietosuoja-asetus esittelee kuusi oikeusperustetta, joista yleisimmät ovat suostumus sekä sopimuksen tuottaminen.

Kuka käsittelyn toteuttaa?

Henkilötietojen käsittelyä tehdään monilla eri puolilla yritystä ja usein hyödynnetään myös kumppanien apua. Tiedostamalla selkeät vastuut selkeytätte eri käsittelyn tarkoituksia, joita voi koko organisaatiossa olla paljonkin.

Kuinka pitkään tietoja säilytetään?

Henkilötietoja tulee säilyttää vain niin kauan kuin tarpeen käyttötarkoituksen toteuttamiseksi. Säilytysaika voi vaihdella paljonkin tiedon tyypin, käyttötarkoituksen ja muiden kriteerien mukaan.

Toimialakohtaiset lait voivat antaa tietosuoja-asetusta tarkempia määräyksiä tietojen säilyttämisestä.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietosuojaselosteet
Tietosuojaselosteet ovat yksi tapa toteuttaa henkilötietojen käsittelystä vaadittavaa läpinäkyvää, avointa informointia rekisteröidyille.
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Vaatimustenmukainen
Kun halutaan varmistaa vaatimustenmukainen digiturvatyö, tarvitaan paljon perustasoa syvällisempää raportintia mm. henkilötietojen käsittelystä sekä turvallisuutta varmistavista käytännöistä.