Tietolähteet

Tietolähteillä tarkoitetaan niitä reittejä tai toimijoita, joiden kautta keräämme tietoja haltuumme. Etenkin henkilötietoja kerättäessä tietolähteet ovat tärkeitä.
tietojen kerääminen
big data
rekisteröityjen informointi
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Erilaiset tetolähteet, joiden kautta henkilötietoja kertyy tietovarantoihimme, on tärkeää tiedostaa mm. tietovirtojen ymmärtämistä varten, avoimen informoinnin mahdollistamiseksi sekä suostumuksen osoittamista varten. Mikäli tietolähteitä ei aktiivisesti pyri käymään läpi, helposti esimerkiksi viestintä rekisteröidyille unohtuu jonkin tietolähteen suhteen.

Mikäli keräämme henkilötietoja muista tietolähteistä, kuin rekisteröidyiltä itseltään, meidän pitää kertoa tietosuojaviestinnän yhteydessä, mistä tiedot on saatu. Emme voi siis salaa onkia tietoja sosiaalisen median profiileista, kumppaneilta tai seuraamalla käyttäjiä - kertomatta siitä ihmisille.

Kun tietolähteitä käydään läpi, on oleellista ymmärtää tietolähteen luotettavuus. Miten varmoja voimme olla siitä, että tiedot ovat oikein? Jos tiedot antaa rekisteröity itse, onko hänet tunnistettu kunnolla ennen tietojen saantia? Tämän perusteella voimme päätellä paljon tietojen luotettavuudesta.

Esimerkkejä sisällöistä

  • viranomainen (Verohallinto, Ulosottovirasto, Kela, jne.)
  • rekisteröity itse nettisivuilla
  • rekisteröity itse täyttää fyysisen lomakkeen
  • henkilökunta kerää tiedot julkisista lähteistä (esim. sosiaalisesta mediasta tai nettisivuilta)
  • tiedot saadaan luovutuksena kumppanilta
  • viranomaisen tarjoama tietopalvelu (Yritys- ja yhteisötietojärjestelmä YTJ)
  • yrityksen tarjoama tietopalvelu (Fonecta Finder, Asiakastieto, jne.)

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Keneltä tiedot kerätään?

Tietoja voi kertyä esimerkiksi rekisteröidyltä itseltään, julkisista tietolähteistä tai muilta organisaatioilta. Tietolähteiden tiedostaminen auttaa hahmottamaan käsittelyyn liittyvät tietovirrat.

Kuinka tietojen oikeellisuus varmistetaan?

Tietosuoja-asetus vaatii rekisterinpitäjää toteutettamaan toimenpiteet, joilla varmistetaan virheellisten henkilötietojen poistaminen ja oikaisu. Parasta on, jos näitä ei kerätä alkuunkaan.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä


Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietosuojaselosteet
Tietosuojaselosteet ovat yksi tapa toteuttaa henkilötietojen käsittelystä vaadittavaa läpinäkyvää, avointa informointia rekisteröidyille.
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.