Organisaatiolla on näyttövelvollisuus asetuksen noudattamisesta. Tätä varten on hyvä laatia omavalvontasuunnitelma.

EU:n tietosuoja-asetus (GDPR = General Data Protection Regulation) vaikuttaa liiketoimintaprosesseihin ja tulevaan lainsäädäntöön. Se koskee jokaista organisaatiota, joka käsittelee eurooppalaisen henkilötietoja. Viisas johto näkee vahvan tietosuojan lisäävän organisaation luotettavuutta ja panostaa asetuksen toteuttamiseen. Hyvä tietosuoja kannattaa tuoda esiin osana yrityskuvaa, sitä ei kannata jättää vain juristien ja tietohallinnon asiaksi vaan se on koko organisaation asia. Organisaation johto on tarvittavien toimenpiteiden mahdollistaja sekä jalkauttaja koko organisaatiossa.

Organisaatiolla on näyttövelvollisuus asetuksen noudattamisesta. Tätä varten on hyvä laatia omavalvontasuunnitelma. Tässä artikkelissa esitämme yksinkertaisen perusrungon siitä, millainen tämä omavalvontasuunnitelma voisi olla.

Tee nämä:

1. Mieti tietosuojalupaus

Tietosuojalupaus: Pidämme henkilötietojen turvallisuudesta huolta tietosuojalainsäädännön mukaisesti. Järjestelmämme ovat suojattuja, emmekä anna tietoja kolmannelle osapuolelle ilman henkilön lupaa.

2. Tunnista henkilötietorekisterit ja niissä olevat tiedot

Huomaa, että myös paperiset asiakirjat mapissa voivat muodostaa henkilötietorekisterin. Määrittele, mihin tietoa käytetään ja kauanko sitä tarvitaan. Jos tiedon säilyttämiselle ei ole perusteita, se tulee poistaa.

3. Tee jokaisesta rekisteristä tietosuojaseloste

Valmiin täytettävän lomakkeen saat osoitteesta www.tietosuoja.fi, josta edelleen polku Etusivu » Materiaalia » Lomakkeet » Rekisteri- ja tietosuojaselosteet. Kirjoita pohjaan heti kaikki sillä hetkellä tiedossa olevat asiat ja täydennä sitä mukaa kuin asiat selviävät. Näin pohja ohjaa työn etenemistä. Kun suunnittelet uutta henkilörekisteriä, niin pohja toimii heti suunnittelun alusta lähtien muistilistana asioista, jotka tulee huomioida.

4. Tee kustakin rekisteristä henkilötietojen käsittelyn prosessikuvaus

jossa kuvaat, kuka tekee, mitä tekee, miksi tekee ja missä tekee. Kuvaa millaiset oikeudet tekijällä on henkilötietojen käsittelyyn.

5. Käy läpi kumppanit, jotka ovat henkilötietojen käsittelijöitä

It-palvelujen toimittajat, it-tuki, rekrytointikumppanit, arkistojen tuhoojat. Tarkista ja tarvittaessa tarkenna kumppanin kanssa tehdyt sopimukset. Sopimusten tulee aina olla kirjallisia ja kattaa kokonaan mahdollinen alihankkijaketju. Rekisterinpitäjällä on ensisijainen vastuu koko käsittelyketjusta.

6. Ohjeista kriisitilanteen toiminta esimerkiksi näin:

Jos ilmenee, että on tapahtunut tietovuoto, niin asiasta ilmoitetaan välittömästi tietosuojavaltuutetun toimistoon. Tämä tulee tehdä mahdollisuuksien mukaan 72 tunnin kuluessa tietovuodon ilmitulosta.

Käyntiosoite: Ratapihantie 9, 6. krs, 00520 Helsinki
Postiosoite: PL 800, 00521 Helsinki
Sähköposti: tietosuoja@om.fi Vaihde: 029 56 66700

Jos on syytä epäillä, että vuodosta on haittaa henkilötiedon henkilölle itselleen, myös häntä tulee informoida!

Esimerkki omavalvontasuunnitelman sisällysluettelosta:

1. Tietosuojalupaus

2. Kriisitilanteen toiminta

3. Henkilörekisterit

3.1 Marrek, Firma Oy:n markkinointirekisteri

• Marrekin prosessikuvaus
• Marrekin tietosuojaseloste
• Marrekin sopimus Käsittelijä Osoite Oy päivältä pp.kk.vvvv liite 1.1
• Marrekin tietosuojalupaus Käsittelijä Osoite Oy päivältä pp.kk.vvvv liite 1.2

3.2 Henrek, Firma Oy:n henkilökuntarekisteri

• Henrekin prosessikuvaus
• Henrekin tietosuoja seloste
• Henrekin sopimus Käsittelijä Palkat Oy päivältä pp.kk.vvvv liite 2.1
• Henrekin tietosuojalupaus Käsittelijä Palkat Oy päivältä pp.kk.vvvv liite 2.2

4. Henkilökunnan koulutus ja jatkuva perehdyttäminen

5. Omavalvontasuunnitelman ylläpito

Teksti: Paula Miinalainen ja Minna Oksanen