Uuden tietosuojavastaavan tehtävä alkaa usein tilanteesta, jossa henkilötietoja käsitellään monissa järjestelmissä, mutta kokonaiskuva vastuista, sopimuksista ja toimintatavoista on hajallaan. Hyvä aloitus ei tarkoita sitä, että kaikki pitää korjata kerralla. Tärkeintä on tunnistaa suurimmat henkilötietojen käsittelyyn liittyvät riskit, sopia vastuista ja rakentaa työlle realistinen rytmi.
Tietosuojavastaava auttaa organisaatiota toteuttamaan GDPR ja muun tietosuojasääntelyn vaatimuksia käytännössä. Rooli liittyy tiiviisti myös tietoturvaan, kyberturvallisuuteen, riskienhallintaan, henkilöstön osaamiseen ja organisaation johtamiseen.
Uusi tietosuojavastaava – mitä sinun tulee tietää tehtävässä aloittaessasi?
- mitä tietosuojavastaavan tehtäviin ja asemaan kuuluu
- milloin tietosuojavastaava on nimettävä
- miten tietosuoja, tietoturva ja kyberturvallisuus eroavat toisistaan
- mistä GDPR-työ ja tietosuojan dokumentointi kannattaa aloittaa
- miten toimitaan tietoturvaloukkauksessa ja henkilötietojen tietoturvaloukkauksessa
- miten rakennat tietosuojan vuosikellon ja ensimmäisten kuukausien toimintasuunnitelman
Mitä tietosuojavastaava tekee?
Tietosuojavastaava eli DPO (Data Protection Officer) on organisaation asiantuntija ja neuvonantaja henkilötietojen käsittelyyn liittyvissä kysymyksissä. Tehtävään kuuluu seurata tietosuojasääntelyn noudattamista, neuvoa johtoa ja henkilöstöä, tukea tietosuojan vaikutustenarviointeja sekä toimia yhteistyössä valvontaviranomaisen kanssa.
Käytännössä tietosuojavastaava voi esimerkiksi:
- neuvoa, mikä on henkilötietojen käsittelyn oikeusperuste
- tarkistaa, ovatko tietosuojaselosteet, käsittelytoimien kuvaukset ja säilytysajat ajan tasalla
- osallistua uuden järjestelmän, palvelun tai toimintamallin tietosuojan arviointiin
- auttaa määrittelemään toimintatavan rekisteröidyn tarkastus-, korjaus- ja poistopyyntöihin
- seurata tietosuojariskejä, poikkeamia ja kehitystoimenpiteitä
- lisätä henkilöstön tietosuojaosaamista koulutuksilla ja käytännön ohjeilla.
Tietosuojavastaava ei kuitenkaan siirrä vastuuta organisaatiolta itseltään. Rekisterinpitäjä ja johto vastaavat siitä, että henkilötietoja käsitellään lainmukaisesti ja että toiminnalle on riittävät resurssit. Tietosuojavastaavan pitää voida toimia tehtävässään riippumattomasti: hän neuvoo, arvioi ja nostaa esiin puutteita, mutta ei päätä yksin esimerkiksi käsittelyn liiketoiminnallisesta tarkoituksesta.
Milloin tietosuojavastaava on nimettävä?
Tietosuojavastaava on nimettävä erityisesti silloin, kun organisaatio on viranomainen tai julkishallinnon toimija. Nimeäminen on pakollista myös silloin, kun organisaation ydintoiminta edellyttää laajamittaista, säännöllistä ja järjestelmällistä henkilöiden seurantaa tai laajamittaista erityisten henkilötietoryhmien tai rikostuomioita ja rikkomuksia koskevien tietojen käsittelyä.
Kaikilla yrityksillä nimeämisvelvollisuutta ei ole. Monelle organisaatiolle nimetty tietosuojavastaava tai muu selkeä tietosuojan vastuuhenkilö on silti järkevä ratkaisu: henkilötietoja käsitellään käytännössä HRä, asiakkuuksissa, markkinoinnissa, taloushallinnossa, järjestelmissä ja yhteistyökumppaneiden kanssa.
Velvollisuuden arvioinnissa kannattaa katsoa organisaation todellista toimintaa, ei vain henkilöstömäärää. Jos tulkinta on epäselvä tai käsittely sisältää erityisen riskialtista tietoa, asia kannattaa arvioida asiantuntijan kanssa.
Tietosuoja, tietoturva ja kyberturvallisuus – miten ne liittyvät toisiinsa?
Tietosuoja, tietoturva ja kyberturvallisuus kulkevat usein samassa keskustelussa, mutta ne eivät tarkoita samaa asiaa.
| Kokonaisuus | Mitä se tarkoittaa käytännössä? | Tietosuojavastaavan näkökulma |
|---|---|---|
| Tietosuoja | Henkilötietoja käsitellään lainmukaisesti, läpinäkyvästi ja vain tarpeeseen. | Varmistetaan esimerkiksi oikeusperusteet, informointi, säilytysajat ja rekisteröidyn oikeudet. |
| Tietoturva | Tiedon luottamuksellisuus, eheys ja saatavuus suojataan. | Arvioidaan, ovatko henkilötietojen suojaustoimet riskin tasoon nähden riittäviä. |
| Kyberturvallisuus | Organisaation digitaalisia palveluja, järjestelmiä ja toimintaa suojataan kyberuhilta. | Yhteistyötä tehdään erityisesti IT ja tietoturvavastuullisten kanssa, kun uhka voi vaarantaa henkilötietoja. |
Tietosuojavastaavan ei tarvitse olla tietoturva- tai kyberturvallisuusteknologian asiantuntija. Hänen on kuitenkin osattava kysyä oikeita kysymyksiä, tunnistaa tilanteet, joissa henkilötietojen suoja voi vaarantua, ja tehdä yhteistyötä oikeiden henkilöiden kanssa.
Tietosuojavastaavan tehtävässä tarvitaan ymmärrystä myös tietoturvasta ja kyberturvallisuudesta. Omaa osaamistaan voi täydentää esimerkiksi Tietosuojan ja tietoturvan perusteet – turvallisempaa arkea jokaiselle -koulutuksessa tai perehtymällä tarkemmin digitaalisiin uhkiin Kyberturvallisuuden perusteet – tunnista uhat ja suojaa organisaatiosi -etäkoulutuksessamme.
Mistä uuden tietosuojavastaavan kannattaa aloittaa?
Uuden tietosuojavastaavan ensimmäinen tehtävä ei ole kirjoittaa pitkää ohjeistusta tai tarkastaa kaikkea yksin. Aloita kuuntelemalla, kartoittamalla ja priorisoimalla. Näin saat tietosuojatyöhön uskottavan alun.
1. Varmista toimeksianto, asema ja yhteys johtoon
Sovi heti, mitä tehtäväsi käytännössä sisältää, kenelle raportoit ja mistä saat tukea. Selvitä, kuka tekee päätökset henkilötietojen käsittelystä, kuka omistaa keskeiset järjestelmät ja keiden kanssa käsittelet poikkeamia. Tietosuojavastaavan on saatava tehtäväänsä riittävät resurssit, tieto ja pääsy organisaation toiminnan kannalta olennaisiin asioihin.
2. Kartoita henkilötietojen käsittelyn kokonaisuus
Selvitä, missä henkilötietoja syntyy, mihin niitä tallennetaan, kuka niitä käyttää ja mihin tarkoitukseen. Käy aluksi läpi ainakin:
- asiakas- ja markkinointitiedot
- työntekijä-, rekrytointi- ja työterveystiedot
- taloushallinnon ja sopimushallinnan tiedot
- verkkopalvelut, analytiikka, kameravalvonta ja kulunvalvonta, jos niitä käytetään
- pilvipalvelut, muut järjestelmät sekä henkilötietojen käsittelijät.
Tavoite on muodostaa ajantasainen kuva käsittelytoimista. Se auttaa tunnistamaan, puuttuuko tietosuojaselosteita, sopimuksia, säilytysaikoja, oikeusperusteita tai selkeitä vastuita.
3. Nosta ensin esiin suurimmat riskit
Kaikki havaittu ei ole yhtä kiireellistä. Priorisoi tilanteet, joissa käsitellään paljon henkilötietoja, arkaluonteisia tietoja tai haavoittuvassa asemassa olevien henkilöiden tietoja. Kiinnitä huomiota myös uusiin järjestelmiin, tekoälyratkaisuihin, ulkoistuksiin ja tilanteisiin, joissa tietoa siirtyy organisaation ulkopuolelle.
Kysy jokaisesta merkittävästä käsittelystä: mikä on tarkoitus, mikä on oikeusperuste, mitä tietoja todella tarvitaan, kuinka kauan niitä säilytetään ja miten ne on suojattu? Jos käsittelyyn liittyy todennäköisesti korkea riski rekisteröityjen oikeuksille ja vapauksille, voi olla tarpeen tehdä tietosuojan vaikutustenarviointi eli DPIA.
4. Tee toimintamallit näkyviksi
Tietosuojatyö toimii vasta, kun ihmiset tietävät, miten tilanteissa toimitaan. Varmista käytännön menettelyt ainakin seuraaville:
- rekisteröidyn tietopyyntö, oikaisu- ja poistopyyntö
- henkilötietojen tietoturvaloukkaus ja muu tietoturvapoikkeama
- uuden järjestelmän tai palveluntarjoajan käyttöönotto
- henkilötietojen käsittelijäsopimukset
- henkilöstön ohjeistus ja tietosuojakoulutus.
GDPR-dokumentaatio: mitä pitää olla hallinnassa?
Tietosuojan dokumentointi ei ole itseisarvo. Sen tarkoitus on osoittaa, että organisaatio tietää, mitä henkilötiedoille tehdään ja että käsittelylle on perusteltu, hallittu toimintatapa.
Uuden tietosuojavastaavan kannattaa selvittää ainakin seuraavat kokonaisuudet:
- käsittelytoimien seloste tai muu ajantasainen käsittelytoimien kuvaus
- tietosuojaselosteet ja muu rekisteröityjen informointi
- henkilötietojen käsittelyn oikeusperusteet
- säilytysajat ja poistamisen käytännöt
- henkilötietojen käsittelijöiden kanssa tehdyt sopimukset
- tietosuojan vaikutustenarvioinnit ja niiden seuranta
- tietoturvaloukkausten dokumentointi sekä muut poikkeamien käsittelytavat.
Hyvä dokumentaatio vähentää myös arjen epävarmuutta. Kun vastuut, järjestelmät ja toimintaohjeet ovat löydettävissä, rekisteröidyn pyyntöön tai poikkeamatilanteeseen ei tarvitse reagoida tyhjästä.
Tietoturvaloukkaus vai henkilötietojen tietoturvaloukkaus?
Tietoturvapoikkeama voi olla esimerkiksi palvelukatko, haittaohjelma, väärään osoitteeseen lähtenyt sähköposti tai käyttöoikeuksien virhe. Henkilötietojen tietoturvaloukkaus syntyy, kun tapahtuma vaarantaa henkilötietojen luottamuksellisuuden, eheyden tai saatavuuden.
Jokainen poikkeama kannattaa kirjata ja arvioida nopeasti. Jos henkilötietojen tietoturvaloukkauksesta aiheutuu todennäköisesti riski rekisteröityjen oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava siitä valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa. Jos riski on suuri, myös rekisteröityjä on yleensä informoitava ilman aiheetonta viivytystä.
Tietosuojavastaava tukee arviointia, dokumentointia ja oppien viemistä käytäntöön. Hän ei saa jäädä yksin poikkeaman hoitajaksi: mukana tarvitaan tavallisesti ainakin toiminnan omistaja, IT tai tietoturva, viestintä ja tarvittaessa johto.
Rakenna tietosuojan vuosikello
Tietosuoja ei ole kertaprojekti. Selkeä vuosikello tekee työstä ennakoitavaa ja varmistaa, että olennaiset asiat palaavat käsittelyyn ennen kuin niistä tulee ongelma.
| Ajankohta | Esimerkkejä tietosuojavastaavan työstä |
|---|---|
| Kvartaaleittain | Riskien, poikkeamien, rekisteröityjen pyyntöjen ja kehitystoimien seuranta. |
| Keväällä | Käsittelytoimien, tietosuojaselosteiden ja säilytysaikojen läpikäynti. |
| Uusien hankintojen yhteydessä | Tietosuojan ja tietoturvan arviointi ennen käyttöönottoa, sopimusten tarkistus. |
| Vähintään vuosittain | Henkilöstön tietosuojakoulutus, johdon katsaus ja toimintamallien harjoittelu. |
| Poikkeaman jälkeen | Dokumentointi, arviointi, korjaavat toimenpiteet ja opit henkilöstölle. |
Vuosikello kannattaa sovittaa organisaation omaan toimintaan. Esimerkiksi HR-prosessit, budjetointi, järjestelmähankinnat, auditoinnit ja raportointijaksot ovat hyviä kiintopisteitä tietosuojan seurannalle.
Milloin uusi tietosuojavastaava tarvitsee asiantuntija-apua?
Kaikkea ei tarvitse ratkaista itse. Pyydä apua ajoissa, kun kyse on esimerkiksi laajamittaisesta henkilötietojen käsittelystä, terveystiedoista, lasten tiedoista, kansainvälisistä tiedonsiirroista, uudesta tekoälyratkaisusta, merkittävästä tietoturvaloukkauksesta tai vaikeasta oikeusperusteen tulkinnasta.
Tietosuojavastaavan vahvuus ei ole kaikkien yksityiskohtien muistaminen. Se on kyky tunnistaa, mikä pitää selvittää, kuka organisaatiossa omistaa asian ja milloin tarvitaan lisäosaamista.
Usein kysytyt kysymykset uudesta tietosuojavastaavasta
Milloin yrityksen pitää nimittää tietosuojavastaava?
Tietosuojavastaava on nimettävä esimerkiksi viranomaisissa ja julkishallinnossa sekä tietyissä laajamittaista seurantaa tai erityisiä henkilötietoryhmiä käsittelevissä organisaatioissa. Yrityksen kannattaa arvioida velvollisuus oman toimintansa ja käsittelyn laajuuden perusteella.
Onko tietosuojavastaava vastuussa GDPR noudattamisesta?
Tietosuojavastaava neuvoo, seuraa ja tukee tietosuojan toteutumista. Vastuu henkilötietojen lainmukaisesta käsittelystä säilyy rekisterinpitäjällä eli käytännössä organisaatiolla ja sen johdolla.
Mitä eroa on tietosuojalla ja tietoturvalla?
Tietosuoja koskee henkilötietojen lainmukaista käsittelyä ja rekisteröidyn oikeuksia. Tietoturva suojaa tietoa ja järjestelmiä esimerkiksi asiattomalta käytöltä, katoamiselta ja muuttumiselta. Hyvä tietoturva on tärkeä osa tietosuojan toteutumista.
Mitä tietosuojavastaavan pitää tehdä tietoturvaloukkauksessa?
Tietosuojavastaava osallistuu tilanteen arviointiin, dokumentointiin ja tarvittavien ilmoitusten valmisteluun. Hän tukee myös sen selvittämistä, mitä korjaavia toimia tarvitaan, jotta vastaava tilanne ei toistu.
Tarvitaanko tietosuojan vaikutustenarviointi eli DPIA aina?
Ei aina. DPIA tarvitaan ennen käsittelyä silloin, kun suunniteltu henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille.
Miten tietosuojavastaava kehittää henkilöstön osaamista?
Koulutus kannattaa kohdentaa työtehtävien mukaan. Kaikki tarvitsevat perusymmärryksen henkilötietojen turvallisesta käsittelystä, kun taas HR, esihenkilöt, asiakaspalvelu, IT ja johto tarvitsevat omiin vastuisiinsa liittyviä syventäviä käytäntöjä.
Sopivatko tietosuoja- ja tietoturvakoulutukset myös muille kuin tietosuojavastaavalle?
Kyllä. Tietosuoja ja tietoturva ovat koko organisaation yhteinen asia. Uusi tietosuojavastaava hyötyy roolinsa kokonaisuudesta, henkilöstö perustason toimintaohjeista ja IT- sekä vastuuhenkilöt kyberturvallisuuden ja riskienhallinnan syventämisestä.
Uusi tietosuojavastaava tarvitsee selkeän alun – ei valmista vastausta kaikkeen
Tietosuojavastaavan tehtävässä onnistuminen alkaa kokonaiskuvasta: mitä henkilötietoja organisaatio käsittelee, missä suurimmat riskit ovat, kuka vastaa mistäkin ja miten tietosuojaa seurataan arjessa. Kun työ on priorisoitu ja yhteistyö johdon, HR, IT, tietoturvan ja liiketoiminnan kanssa toimii, tietosuojasta tulee hallittava osa normaalia toimintaa.
Uusi tietosuojavastaava – käytännön opas tehtävässä aloittamiseen on käytännönläheinen etäkoulutus sinulle, joka olet aloittanut tietosuojavastaavan tehtävässä tai vastaat organisaatiosi tietosuojatyön koordinoinnista. Koulutuksessa saat selkeän rungon tehtävän aloittamiseen, tietosuojariskien tunnistamiseen ja oman työn vuosirytmin rakentamiseen.
