Vaikutustenarvioinnit tietosuojaan liittyen

Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä.
DPIA (data protection impact assessment)
yksityisyydensuoja
tietosuojariskien hallinta
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Tietosuoja-asetus ohjaa organisaatioita keskittämään korostetusti huomiota ja käytäntöjä sellaiseen henkilötietojen käsittelyyn, josta aiheutuu korkea riski rekisteröityjen oikeuksille ja vapauksille. Tällaisen käsittelyn yhteydessä on toteutettava vaikutustenarviointia.

Työ vaikutustenarviointien parissa alkaa siis itse vaikutustenarvioinnin tarpeellisuuden arvioinnilla. Kun ymmärrämme suorittamaamme henkilötietojen käsittelyä kattavasti, pystymme tunnistamaan kriittisimmät kohdat ja kohdistamaan vaikutustenarvioinnit oikeisiin paikkoihin.

Vaikutustenarvioinnin ideana on:

  • kuvata yksityiskohtaisesti tietty henkilötietojen käsittelyprosessia (esim. tietty käyttötarkoitus tai tiettyyn tietojärjestelmään liittyvä käsittely)
  • tunnistaa oleellisimmat, rekisteröidyille aiheutuvat riskit
  • suunnitella riskejä hallitsevat käytännöt
  • tehdä päätös käsittelyn jatkosta

Vaikutustenarvioinnit ovat tapa syventää oman digiturvatyön riskilähtöisyyttä. Tässä riskejä käsittellään nimenomaan rekisteröidyn näkökulmasta, kun muissa Digiturvakartan kohdissa riskinäkökulma on organisaatiolähtöinen.

Esimerkkejä sisällöistä

Henkilötietojen käsittelyyn sisältyvää riskiä kasvattavat mm.:

  • Henkilötietojen käyttö rekisteröityjen arviointiin tai pisteytykseen
  • Automaattinen päätöksenteko (esim. luottopäätöksen automaattinen teko)
  • Rekisteröityjen järjestelmällinen valvonta (esim. videovalvonta)
  • Erityisiin henkilötietoryhmiin kuuluvien (esim. geneettiset, biometriset tiedot) tietojen käsittely
  • Tietojen laajamittainen käsittely
  • Tietokokonaisuuksien yhdistäminen
  • Heikossa asemassa olevien henkilötietojen käsittely
  • Uusien teknisten tai organisatoristen ratkaisujen soveltaminen tai innovatiivinen käyttö

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Mihin käsittelyyn liittyen vaikutustenarviointi tehdään?

Vaikutustenarviointi käynnistyy kuvaamalla kattavasti suunniteltu henkilötietojen käsittely. Kuvaus kertoo mm. henkilötietojen käsittelyyn liittyvät tarkoitukset, tietolähteet, järjestelmät, järjestelmien ulkopuoliset tietovarannot, kumppaniorganisaatiot, pääsynhallinnan sekä tietojen säilytysajat ja hävitysprosessit.

Digiturvamallissa kuvaus syntyy pääosin käyttötarkoitusten ja tietovarantojen (tietojärjestelmät ja piilotiedot) kautta, joita linkitetään vaikutustenarviointiin.

Millaisia riskejä käsittelyyn liittyy?

Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Voit käyttää valmiita esimerkkejä hyväksi, mutta suosittelemme lisäämään tarkemmin nimenomaan arvioimaanne käsittelyyn liittyviä riskejä.

Tietosuojamallissa kunkin riskin todennäköisyyden ja vakavuuden arviointi suoritetaan erikseen riskin omalla tietokortilla.

Riskien tunnistamisen ja arvioinnin jälkeen seuraavassa kohdassa arvioidaan organisaation toimenpiteitä, joilla näitä riskejä voidaan hallita.

Millaisilla toimenpiteillä riskejä aiotaan vähentää?

Vaikutustenarvioinnissa arvioidaan henkilötietojen käsittelystä aiheutuvia riskejä sekä tarvittavia toimenpiteitä, joilla riskeihin puututaan. Tavoitteena on sen arviointi, onko jäljelle jäänyt riski oikeutettu ja hyväksyttävissä käsillä olevissa olosuhteissa, joten kyse on pitkälti riskien ja turvallisuuden takaamiseksi tehtyjen toimenpiteiden vertailusta.

Voidaanko käsittelyä jatkaa ja tarvitaanko lisätoimia?

Kun vaikutustenarviointi osoittaa, että käsittely aiheuttaa korkean riskin, jonka pienentämiseksi ei voida ryhtyä toimiin, rekisterinpitäjän on kuultava valvontaviranomaista ennen käsittelyn aloittamista.

Mikäli käsittelyyn ryhdytään, on olennaista seurata säännöllisesti valittujen toimenpiteiden riittävyyttä. Vaikutustenarviointi tulee tehdä uudelleen vähintään silloin, kun tunnistat uudenlaisen riskin tai käsittelytoimien sisältämä riski muuttuu.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Käyttötarkoitukset
Henkilötietojen käyttötarkoituksen on oltava yksiselitteinen ja ymmärrettävä kuvaus tarkoituksesta, johon henkilöstä kerättäviä tietoja aiotaan käyttää. Käyttötarkoitukset eivät saa olla maailmaa syleileviä (palveluiden tuottaminen), vaan niiden avulla on ymmärrettävä, mitä tietoja tähän tarkoitukseen kohtuudella tarvitaan ja millä perusteella sitä voidaan tehdä.