Tietosuojaselosteet

Tietosuojaselosteet ovat yksi tapa toteuttaa henkilötietojen käsittelystä vaadittavaa läpinäkyvää, avointa informointia rekisteröidyille.
tietosuojaviestintä
avoin informointi
rekisteröidyn oikeudet
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Tietosuoja-asetuksen yksi johtavista ideoista on, että rekisteröidiyille on selkeästi, avoimesti ja aktiivisesti toimitettava tiedot siitä, kuinka heihin liittyviä henkilötietoja tullaan käsittelemään. Suomessa ollaan totuttu jo henkilötietolain perinnön mukaisesti toteuttamaan viestintä melko laajoina selostedokumentteina, joihin kerätään esimerkiksi yhteen rekisteriin liittyvä tietosuojaviestintä. Tämä on monesti organisaation itsensä kannalta tehokas ja helppo tapa huolehtia siitä, että jokaisesta rekisteristä ja sitä kautta kaikesta henkilötietojen käsittelystä on informoitu vaatimusten mukaisesti, vaikkakin parannettavaa asiakaskokemuksen puolesta saattaa jäädä paljonkin.

Tietosuojaselosteen on oltava helposti saatavilla ja siinä tulee käydä läpi käsittelyn avainasiat, mm. käsittelyn tarkoitukset ja oikeusperusteet, käsiteltävät henkilötiedot, kumppanit joille tiedot myös paljastuvat, lähteet joista tiedot on kerätty, tietojen säilytysaika sekä rekisteröidyn oikeudet, joita hän voi halutessaan ohjeistetulla tavalla käyttää.

Suurin haaste tietosuojaselosteiden kanssa on kyetä selkeään ja ymmärrettävään viestintään, joka saa rekisteröidyn luottamaan rekisterinpitäjään. Yksi tätä helpottava valinta on paloitella oma henkilötietojen käsittely selkeisiin, ei liian isoihin eikä liian pieniin, henkilötietorekistereihin, joilla on rekisteröidyn näkökulmasta ymmärrettävä yleinen tarkoitus. Tämän lisäksi henkilötietojen käyttötarkoitusten tulisi olla rajallisen kokoisia ja yksiselitteisiä, jotta ihminen oikeasti ymmärtää, mitä hänen tiedoillaan aiotaan tehdä.

Digiturvamalli-ohjelmistosta löytyy oma laajennus sekä tietosuojaselosteiden julkaisuun verkossa että näiden kautta lähetettävien, vahvistettujen rekisteröityjen tietopyyntöjen hallintaan.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Rekisterit
Rekisterit ovat henkilötietokokonaisuuksia, joilla on jokin yhteinen nimittäjä. Asiakasrekisterissä tämä voi olla asiakassuhde, henkilöstörekisterissä työsopimus, tapahtumarekisterissä osallistuminen tapahtumaan.
Käyttötarkoitukset
Henkilötietojen käyttötarkoituksen on oltava yksiselitteinen ja ymmärrettävä kuvaus tarkoituksesta, johon henkilöstä kerättäviä tietoja aiotaan käyttää. Käyttötarkoitukset eivät saa olla maailmaa syleileviä (palveluiden tuottaminen), vaan niiden avulla on ymmärrettävä, mitä tietoja tähän tarkoitukseen kohtuudella tarvitaan ja millä perusteella sitä voidaan tehdä.
Tietopyynnöt
Tietosuoja-asetuksen perusteella rekisteröidyllä on aina tiettyjä oikeuksia käytössään, kun käsittelemme häneen liittyviä henkilötietoja. Kutsumme näitä yleisesti tietopyynnöiksi.