Henkilötietorekisterit

Rekisterit ovat henkilötietokokonaisuuksia, joilla on jokin yhteinen nimittäjä. Asiakasrekisterissä tämä voi olla asiakassuhde, henkilöstörekisterissä työsopimus, tapahtumarekisterissä osallistuminen tapahtumaan.
henkilötietojen käsittely
käyttötarkoitussidonnaisuus
käsittelyn lainmukaisuus
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Henkilötietorekisteri on yksi digiturvan avainelementeistä. Tietosuoja-asetus ei varsinaisesti puhu rekistereistä vaan erilaisista käyttötarkoituksista, mutta usein rekisteri on tärkeä organisaatiolle nimenomaan työnjaon ja organisoinnin välineenä. Henkilötietojen käsittelyä on organisaatioissa niin monenlaista, että sitä on selkeämpää niputtaa, sekä organisaation että rekisteröidyn kannalta, selkeisiin kokonaisuuksiin. Näin helpotetaan vastuunjakoa, viestintää sekä koko oman tieto-omaisuuden ymmärtämistä.

Selkeä henkilötietojen käsittely lähtee jo rekisterien nimeämisestä. On helppo ymmärtää, mihin tapahtumarekisteriä käytetään, mitä tietoja siellä on ja miten pitkään niitä säilyteään. Sen sijaan mentäessä tästä turhan pitkälle kumpaankaan suuntaan -"Konsernin X asiakasrekisteri" tai "Järjestelmän XYZ rekisteri" hukataan selkeys. Rekisterin tiedoille kannattaa siis hakea mahdollisimman selkeästi ymmärrettävä yhteinen nimittäjä. Tämä ei mitenkään rajoita tietojen käyttötarkoituksien määrää, käytettyjen järjestelmien määrää eivätkä tietojen fyysistä muotoa tai sijaintia - näistä tietosuojaan vaikuttavista yksityiskohdista on vaan kerrottava selkeästi tietosuojaviestinnän yhteydessä.

Henkilötietorekisterin ydin muodostuu siihen liittyvistä käyttötarkoituksista. Näiden kautta ymmärretään mm. oikeusperusteet ja tietojen säilytysajat - tietyn käsittelyn voi oikeuttaa laki, toisen ainoastaan rekisteröidyltä saatu suostumus. Rekisterille on järkevää nimetä yhteyshenkilö, joka on päävastuussa mm. rekisteriin liittyvästä informoinnista sekä reksiteröidyiltä tulevista yhteydenotoista ja tietopyynnöistä.

Esimerkkejä sisällöistä

  • Myyntiin liittyvät rekisterit: asiakasrekisteri, markkinointirekisteri, tapahtumarekisteri...
  • Henkilöstöön liittyvät: työntekijärekisteri, työnhakijarekisteri, koulutusrekisteri...
  • Muihin sidosryhmiin liittyvät: omistajarekisteri, kunniamerkkirekisteri, kumppanirekisteri...

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Mistä tietovarannoista rekisteri muodostuu?

Iso osa tietosuojaan liittyvistä vaatimuksista ja tiedottamisesta kohdistuu "loogisiin rekistereihin". Rekisteriin voi liittyä useampi erillinen tietovaranto, mutta sen tietoja yhdistää yhteinen käsittelyn perimmäinen tarkoitus.

Mihin tarkoituksiin rekisterin tietoja käsitellään?

Henkilötietorekisterien tiedot on kerättävä tiettyä käyttötarkoitusta varten. Eri käyttötarkoituksiin voi liittyä eri käsittelyn oikeusperuste sekä erilainen määrä henkilötietoa, jotka aiheuttavat erilaisia vaatimuksia rekisterinpitäjälle sekä mm. käsittelystä tiedottamiselle.

Luovutetaanko rekisterin tietoja muuhun käyttöön?

Teidän pitää tiedostaa, luovutetaanko rekisterin tietoja eteenpäin muille organisaatioille. Luovutuksen on aina perustuttava joko rekisteröidyn suostumuksen tai muuhun laissa säädettyyn erityistilanteeseen ja siitä on informoitava tietosuojaselosteessa.

Onko käsittelystä informoitu rekisteröityjä?

Kun käsittelemme ihmisten henkilötietoja, vastuullamme on viestiä heille selkeästi, riittävän ymmärrettävästi ja laajasti käsittelyymme liittyvistä yksityiskohdista. Viestinnässä on kerrottava mm. omat yhteystietomme, käsittelyn tarkoitukset ja oikeusperusteet, käsiteltävät henkilötiedot ja niiden sijainnit sekä henkilötietoja käsittelevät kumppanit.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietosuojaselosteet
Tietosuojaselosteet ovat yksi tapa toteuttaa henkilötietojen käsittelystä vaadittavaa läpinäkyvää, avointa informointia rekisteröidyille.
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Järjestelmätoimittajat
Erilaisia tietojärjestelmiä kertyy vähänkin isompaan organisaatioon kymmeniä tai satoja. Organisaatiolla on kuitenkin vastuu käyttää vain järjestelmätoimittajia, jotka huomioivat toiminnassaan asiallisesti digiturvan. Tärkeä päätös tehdään siis jo siinä vaiheessa, kun hankittavaa järjestelmää valitaan.