GDPR ja tietoturva: kytke suojatoimet käsittelyyn

Hyvin hoidettu tietoturvallisuuden hallintajärjestelmä tarjoaa GDPR:n toteuttamiseen hyödyllisiä prosesseja: käyttöoikeuksien hallinnan, poikkeamien käsittelyn, toimittaja-arvioinnin ja toimintakyvyn turvaamisen. Tietosuojatyössä kysytään lisäksi, miksi käsittely on lainmukaista, oikeasuhteista ja läpinäkyvää. Nämä kysymykset kohtaavat samassa liiketoiminnassa, mutta ne edellyttävät eri päätöksiä.

Johdon tehtävä on kytkeä ne toisiinsa ilman, että toinen korvaa toisen. Hyvin suojattu asiakastietokanta voi silti sisältää tietoja, joita yrityksen ei olisi pitänyt kerätä. Pätevä asiakassopimus ei osoita, että jokainen tietokantaan pääsevä tarvitsee pääsyn. ISO 27001 -sertifikaatti ei ratkaise kumpaakaan kysymystä.

Käytännön lähtökohta on siksi käsittely eikä kontrolliluettelo. Selvitä, mitä liiketoiminta haluaa henkilötiedoilla tehdä, arvioi, onko toiminta sallittua, ja valitse sitten suojatoimet sen mukaan, mitä epäonnistumisesta seuraisi. Säilytä perustelut, näyttö, vastuuhenkilö ja seuraava tapahtuma, jonka pitäisi käynnistää uudelleenarviointi.

Määritä, mitkä käsittelyt ja vastuut kuuluvat soveltamisalaan

Yleinen tietosuoja-asetus (GDPR) sääntelee henkilötietojen käsittelyä. Käsittelyä on muun muassa tietojen kerääminen, säilyttäminen, katsominen, luovuttaminen, muuttaminen ja poistaminen. Henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja; ne eivät rajoitu nimiin tai ilmeisen arkaluonteisiin tietoihin.

Työsähköpostiosoitteet, työntekijätunnisteet, laitetunnisteet, sijaintihistoriat ja asiakastukikeskustelut voivat kaikki olla henkilötietoja. Se, onko tietty tunniste henkilötieto, riippuu asiayhteydestä ja keinoista, joita todennäköisesti käytetään henkilön tunnistamiseen. Nimien korvaaminen viitenumeroilla tuottaa yleensä pseudonymisoituja eikä anonyymejä tietoja, jos tunnistaminen on edelleen mahdollista. Pseudonymisoidut henkilötiedot kuuluvat yhä GDPR:n soveltamisalaan.

Tarkista alueellinen soveltamisala ennen toimintamallin valintaa

3 artikla kattaa käsittelyn, joka tapahtuu EU:ssa sijaitsevan toimipaikan toiminnan yhteydessä, vaikka itse käsittely tapahtuisi muualla. Se voi kattaa myös EU:n ulkopuolisen organisaation, jos sen käsittely liittyy tavaroiden tai palvelujen tarjoamiseen unionissa oleville henkilöille tai heidän käyttäytymisensä seurantaan unionissa. Pelkkä verkkosivuston saavutettavuus ei ratkaise kohdentamiskysymystä; arvioi todellinen tarjonta ja seuranta.

Kun 3 artiklan 2 kohtaa sovelletaan, 27 artikla voi edellyttää edustajan nimeämistä unioniin. Sen poikkeukset ovat rajallisia eivätkä riipu pelkästään yrityksen koosta. Satunnaista käsittelyä koskeva poikkeus edellyttää lisäksi arkaluonteisia tietoja ja riskiä koskevien edellytysten täyttymistä. Edustaja ei korvaa rekisterinpitäjää, tietosuojavastaavaa eikä vastuullista johtoa.

GDPR tuli voimaan 24.5.2016, ja sitä on sovellettu 25.5.2018 alkaen. Tämänhetkisissä päätöksissä erota voimassa oleva lainsäädäntö ehdotetuista kevennyksistä. Lehdistötiedote mahdollisesta poikkeuksesta ei ole peruste lopettaa olemassa olevaa vaatimustenmukaisuusprosessia.

Määritä roolit toiminnan, ei yrityksen nimityksen perusteella

Rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun. Yhteisrekisterinpitäjät määrittävät yhdessä tarkoitukset ja keinot, ja niillä on oltava 26 artiklan mukainen järjestely, joka kuvastaa niiden vastuita.

Yhdellä yrityksellä voi olla useita rooleja. Ohjelmistotoimittaja voi olla käsittelijä asiakkaiden lataamien tietojen osalta ja rekisterinpitäjä omassa palkanlaskennassaan, käyttäjätilien hallinnassa ja osassa tietoturvatoimintoja. Toimittajasopimuksen nimitys on merkityksellinen, mutta se ei voi syrjäyttää sitä, mitä osapuolet todellisuudessa tekevät.

Ensimmäisen tuotoksen tulisi olla lyhyt soveltamisalapäätös: sovellettavat toiminnot, organisaatioyksiköt, rekisterinpitäjän tai käsittelijän roolit, markkinat ja avoimet kysymykset. Nimeä vastuuhenkilö ratkaisemaan epävarmuudet ennen kuin niihin liittyvä käsittely alkaa tai laajenee.

Erota liiketoiminnan tarkoitus oikeusperusteesta

5 ja 6 artikla muodostavat perustan tavanomaiselle henkilötietojen käsittelylle. Tietoturva on yksi osa tätä perustaa, ei keino kiertää sitä.

5 artiklan periaatteet esitetään yleensä seitsemänä: lainmukaisuus, kohtuullisuus ja läpinäkyvyys; käyttötarkoitussidonnaisuus; tietojen minimointi; täsmällisyys; säilytyksen rajoittaminen; eheys ja luottamuksellisuus; sekä osoitusvelvollisuus. Osoitusvelvollisuus edellyttää, että rekisterinpitäjä vastaa vaatimustenmukaisuudesta ja pystyy osoittamaan sen. Se ei edellytä tiettyä ohjelmistotuotetta, mutta se edellyttää puolustettavissa olevaa perustelua, jota tukee asianmukainen näyttö.

Muunna jokainen periaate liiketoiminnan kysymykseksi:

Valitse jokaiselle tarkoitukselle oikeusperuste

6 artikla tarjoaa kuusi oikeusperustetta. Niiden edellytykset ovat tärkeämpiä kuin nimet:

• Suostumus: vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jonka voi peruuttaa.
• Sopimus: käsittely on tarpeen henkilön kanssa tehdyn sopimuksen täytäntöön panemiseksi tai pyynnöstä tehtävien sopimusta edeltävien toimien toteuttamiseksi.
• Lakisääteinen velvoite: käsittely on tarpeen sovellettavan lakisääteisen velvoitteen noudattamiseksi.
• Elintärkeät edut: käsittely on tarpeen jonkun elintärkeiden etujen suojaamiseksi.
• Yleisen edun mukainen tehtävä: käsittely on tarpeen yleisen edun mukaisen tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi, ja sille on vaadittu oikeudellinen perusta.
• Oikeutettu etu: käsittely on tarpeen oikeutettujen etujen toteuttamiseksi, edellyttäen että ne punnitaan henkilön etuja, oikeuksia ja vapauksia vastaan.

Älä luettele useita perusteita keskenään vaihdettavana varmuutena. Määritä peruste, joka todella tukee kutakin tarkoitusta, ja kerro siitä täsmällisesti. Ehdon lisääminen asiakassopimukseen ei automaattisesti tee käsittelystä tarpeellista sopimuksen kannalta. Samoin oikeutettu etu edellyttää arviointia; se ei ole yleinen lupa käyttää saatavilla olevia tietoja.

Käytännön suosituksena dokumentoi oikeutetun edun arviointi, joka käsittelee tavoiteltua etua, tarpeellisuutta, vaikutuksia ihmisiin, heidän kohtuullisia odotuksiaan ja suojatoimia. Harkitse vähemmän puuttuvia vaihtoehtoja. Pidä analyysi oikeassa suhteessa toimintaan, mutta riittävän täsmällisenä, jotta hankkeen ulkopuolinen henkilö ymmärtää sen.

Suostumus ei ole aina turvallisempi vaihtoehto. Sen on oltava aidosti vapaaehtoinen silloin, kun olosuhteet edellyttävät valinnanvapautta, ja peruuttamisen on toimittava käytännössä. Työsuhteissa on erityistä syytä epäillä, annetaanko suostumus vapaaehtoisesti. Peruuttaminen lopettaa kyseiseen suostumukseen perustuvan käsittelyn jatkossa; se ei automaattisesti poista tietoja, joihin sovelletaan erillisiä lainmukaisia säilytysvelvollisuuksia. Älä jälkikäteen vaihda saman käsittelyn perustetta toiseen pelkästään siksi, että suostumus on peruutettu. Kaikki erillinen käsittely, kuten lakisääteinen säilyttäminen, tarvitsee oman sovellettavan perusteensa ja asianmukaisen läpinäkyvyyden.

Erityisiin henkilötietoryhmiin kuuluvien tietojen, kuten terveystietojen, käsittely edellyttää 9 artiklan mukaista edellytystä 6 artiklan perusteen lisäksi. Rikostuomioita ja rikkomuksia koskeviin tietoihin sovelletaan erillisiä 10 artiklan vaatimuksia. Yrityksen ei pitäisi hyväksyä kumpaakaan ryhmää pelkästään siksi, että tavanomainen asiakastietojen käsittely on jo arvioitu.

Rakenna käsittelytoimien seloste, joka ohjaa päätöksiä

30 artiklan mukaiset selosteet käsittelytoimista ovat hyödyllisiä, koska ne kytkevät oikeudellisen analyysin operatiiviseen todellisuuteen. Rekisterinpitäjän seloste sisältää käsittelyn tarkoitukset, rekisteröityjen ryhmät ja henkilötietoryhmät, vastaanottajat, siirrot, mahdollisuuksien mukaan suunnitellut poistamisen määräajat sekä mahdollisuuksien mukaan yleisen kuvauksen turvatoimista. Käsittelijöillä on erilainen selostevelvollisuus, joka kattaa rekisterinpitäjien lukuun suoritettavan käsittelyn.

Alle 250 työntekijän organisaatioita koskeva poikkeus on ehdollinen. Se ei kata käsittelyä, joka ei ole satunnaista, joka todennäköisesti aiheuttaa määritellyn riskin tai joka sisältää määriteltyjä arkaluonteisia tietoryhmiä. Pienyrityksen, joka käsittelee jatkuvasti työntekijöiden tai asiakkaiden tietoja, ei pidä olettaa, että henkilöstömäärä poistaa sen selostevelvollisuudet.

Käytä käsittelytoimia järjestäytymisen yksikkönä. ”Pilvi-infrastruktuuri” on yleensä liian laaja selittämään, miksi tietoja käsitellään. ”Asiakastukipyyntöjen hallinta” on hyödyllisempi, koska sillä on tarkoitus, tunnistettavat ihmiset, tietoryhmät, vastaanottajat, säilytyssäännöt ja tukevat järjestelmät.

Käytännön työseloste voi ulottua lakisääteisiä kenttiä pidemmälle:

• Liiketoiminnan vastuuhenkilö ja tietosuojan tarkastaja.
• Tarkoitus ja asiaankuuluva oikeusperuste.
• Tietolähteet, tietoryhmät ja kohderyhmät.
• Rekisterinpitäjän, käsittelijän tai yhteisrekisterinpitäjän suhteet.
• Sovellukset, tiedonsiirrot ulos, lokit ja seuraavat vastaanottajat.
• Säilytyssäännöt ja se, miten poistaminen toteutetaan.
• Viittaukset tietosuojaselosteisiin, oikeuksien käsittelyyn, toimittajiin ja siirtoihin.
• Vaikutustenarvioinnin esiarvioinnin tulos ja siihen liittyvät suojatoimet.
• Hyväksymispäivä, avoimet toimenpiteet ja uudelleenarvioinnin laukaisijat.

Lisäkentät ovat suositus koordinoinnin tueksi, eivät väite siitä, että 30 artikla nimenomaisesti edellyttäisi jokaista kohtaa. Niiden arvo on siinä, että ne tekevät selosteesta käyttökelpoisen lanseerauksen, tietopyynnön, toimittajamuutoksen tai poikkeaman aikana.

Täsmäytä seloste niihin järjestelmiin, joita ihmiset todella käyttävät

Vuosittainen kysely tuskin paljastaa jokaista taulukkolaskentavientiä, kokeilusovellusta tai tiimitason tekoälytilausta. Vertaa selostetta hankintatietoihin, hyväksyttyjen sovellusten luetteloihin, järjestelmäluetteloihin ja prosessinomistajien haastatteluihin. Käy läpi jaetut levyt ja manuaaliset luovutukset silloin, kun ne vaikuttavat toimintaan olennaisesti.

Älä sekoita omaisuusluetteloa käsittelytoimien selosteeseen. Omaisuusluettelo kuvaa järjestelmät ja riippuvuudet; käsittelytoimien seloste kuvaa henkilötietojen käyttötavat. Kytke ne toisiinsa niin, että yksi sovellus voi tukea useita tarkoituksia ilman, että tarkoitukset sulautuvat epämääräiseksi kuvaukseksi.

Lisätietoa työnkulusta on artikkelissa tietojen kartoitus ja tietosuoja. Kartoituksen tulisi tuottaa tarkastettava luettelo poikkeamista, ei oletusta siitä, että jokainen havaittu tietokenttä on luokiteltu tai arvioitu oikeudellisesti oikein.

Muunna 32 artikla suojatoimiksi todellisia seurauksia vastaan

GDPR:n 32 artikla edellyttää, että rekisterinpitäjät ja käsittelijät toteuttavat riskiä vastaavat tekniset ja organisatoriset toimenpiteet. Arvioinnissa otetaan huomioon uusin tekniikka, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä ihmisten oikeuksiin ja vapauksiin kohdistuvien riskien todennäköisyys ja vakavuus.

Merkityksellisiä seurauksia ovat tietojen vahingossa tai lainvastaisesti tapahtuva tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen ja luvaton pääsy tietoihin. Tämän vuoksi saatavuus ja eheys ovat yhtä tärkeitä kuin luottamuksellisuus. Palvelun saatavuuden menettäminen voi vahingoittaa ihmisiä, vaikka tietoja ei olisi varastettu.

Yleinen toteamus siitä, että ”käytössä on alan standardien mukainen tietoturva”, ei riitä selittämään, miksi suojatoimet sopivat tiettyyn toimintaan. Aloita skenaarioista: keihin se voisi vaikuttaa, mitä voisi tapahtua, kuinka todennäköistä se on ja kuinka vakava vaikutus voisi olla. Kytke sitten jokainen tärkeä skenaario ennaltaehkäiseviin, havaitseviin ja palauttaviin toimenpiteisiin.

Käyttöoikeusrajoitusten tulee seurata tarkoitusta

Asiakastuen osalta kysy, mitkä tukihenkilöt tarvitsevat mitäkin asiakastietoja, tarvitsevatko arkaluonteiset liitteet erillisiä rajoituksia ja milloin väliaikaisen pääsyn tulisi päättyä. Ota huomioon pääkäyttäjätason hallinta, toimittajan tukipääsy, massaviennit, jaetut tilit ja hätäpääsy.

Hyödyllistä näyttöä ovat roolimääritykset, käyttöoikeuksien hyväksynnät, työsuhteen alkamiseen, muutoksiin ja päättymiseen liittyvät tallenteet, pääkäyttäjäoikeuksien järjestelyt ja suoritetut käyttöoikeuskatselmoinnit. Käyttöoikeuspolitiikka osoittaa aiotun säännön. Tuore katselmointi, jossa tarpeettomat oikeudet on poistettu, osoittaa, että sääntöä myös noudatetaan.

Johdon tulisi kysyä, pystyykö organisaatio erottamaan valtuutetun pääsyn asianmukaisesta käytöstä. Työntekijällä voi olla teknisesti pätevä tili, ja hän voi silti käyttää tietoja luvattomaan tarkoitukseen. Koulutus, valvonta, käyttöoikeuksien suunnittelu ja tutkintaprosessit ovat kaikki tärkeitä.

Salaus edellyttää käyttöönottopäätöstä

32 artikla mainitsee salauksen ja pseudonymisoinnin harkittavien toimenpiteiden joukossa; se ei aseta yleistä salausvelvoitetta kaikkiin tilanteisiin. Kun salaus valitaan, määritä, mitä se suojaa ja mitä ei.

Siirronaikainen salaus suojaa päätepisteiden välillä liikkuvia tietoja, kun protokollat ja päätepisteiden todennus on määritetty oikein. Tallennetun tiedon salaus suojaa tallennettuja tietoja tietyissä uhkaskenaarioissa. Kumpikaan ei automaattisesti estä valtuutettua sovellusta tai ylläpitäjää näkemästä selväkielistä tietoa.

Tarkista, kuka hallitsee avaimia, miten pääsy niihin on eriytetty ja miten avaimet luodaan, vaihdetaan, mitätöidään, varmuuskopioidaan ja palautetaan. Palveluntarjoajan hallinnoima salaus voi olla asianmukainen joitakin riskejä vastaan ja jättää toiset ratkaisematta. Salaus, jonka avaimet ovat saman vaarantuneen toimijan käytettävissä, ei välttämättä vastaa arvioitavaan skenaarioon.

Johdon päätös ei koske sitä, minkä algoritmin se itse toteuttaa. Se koskee sitä, vastaako ratkaisu asiaankuuluvaan riskiin ja pystyykö tekninen vastuuhenkilö perustelemaan tämän johtopäätöksen. Kontrollitason erot on kuvattu artikkelissa salaus ja avaintenhallinta.

Toimintakyky on osoitettava, ei oletettava

32 artikla koskee jatkuvaa luottamuksellisuutta, eheyttä, käytettävyyttä ja vikasietoisuutta sekä kykyä palauttaa tietojen saatavuus ja pääsy niihin oikea-aikaisesti poikkeaman jälkeen. Onnistunut varmuuskopiointiajo ei osoita, että liiketoiminta pystyy palauttamaan käyttökelpoisen palvelun.

Aseta palautumisodotukset käsittelyn ja keskeytyksen seurausten perusteella. Testaa palautus, riippuvuudet, tunnistetiedot ja henkilötietojen käsittely palautetuissa ympäristöissä. Säilytä näyttö siitä, mitä palautettiin, kuinka kauan se kesti, mikä epäonnistui ja mitä korjattiin. Säilytys- ja poistosääntöjen on otettava huomioon myös varmuuskopioiden toiminta.

Testaa tehokkuus asiaankuuluvalla näytöllä

32 artiklaan sisältyy menettely toimenpiteiden säännölliseksi testaamiseksi, tutkimiseksi ja arvioimiseksi. Sopiva menetelmä riippuu kontrollista: käyttöoikeuskatselmoinnit, palautusharjoitukset, konfiguraatiotarkistukset, haavoittuvuusarvioinnit, toimittajakatselmoinnit ja poikkeamaharjoitukset voivat kaikki olla osa sitä.

Tunkeutumistestaus voi olla hyödyllistä, mutta se ei ole yleinen korvike näille toiminnoille eikä yleinen GDPR-vaatimus. Kirjaa testattu laajuus ja rajoitukset. Yhden sovelluksen testi ei osoita, että äskettäin käyttöön otettu markkinoinnin tiedonvienti, toimittajayhteys tai palautusprosessi olisi riittävästi hallinnassa.

Säilytä jokaisesta olennaisesta suojatoimesta vastuuhenkilö, toteutuksen kuvaus, asiaankuuluva näyttö, arviointipäivä ja seuraavan uudelleenarvioinnin laukaisija. Tämä on käytännöllinen näyttörakenne, ei 32 artiklan määräämä malli.

Hyödynnä ISMS:ää yhdistämättä tietoturvan ja tietosuojan johtopäätöksiä

ISO/IEC 27001 koskee rajattua tietoturvallisuuden hallintajärjestelmää. Sen riskiarviointi, riskien käsittely, operatiiviset prosessit, sisäinen auditointi ja johdon katselmus voivat tukea GDPR:n suojatoimien hallintaa.

Päällekkäisyys on arvokasta. Käyttöoikeuksien hallinnan näyttöä, toimittaja-arviointeja, poikkeamaharjoituksia ja palautustestejä ei usein tarvitse luoda uudelleen tietosuojaa varten. Niiden merkityksellisyys on kuitenkin tarkistettava suhteessa käsittelytoimeen ja nykyiseen soveltamisalaan.

Riippumattoman sertifiointielimen myöntämä sertifiointi koskee ilmoitettua ISMS:n soveltamisalaa. Se ei automaattisesti kata jokaista tuotetta, yksikköä, toimittajaa tai käsittelytointa. Soveltamisalaselvitys (Statement of Applicability) kirjaa kontrollien sovellettavuuden ja käsittelypäätökset; se ei ole ilmoitus siitä, että kaikki GDPR-velvoitteet on täytetty.

ISO 27001 ei myöskään itsessään ole yleinen lakisääteinen tietoturvaloukkausten ilmoitusjärjestelmä. GDPR:n ilmoitusvelvollisuudet on arvioitava erikseen. Vastaavasti GDPR:n noudattaminen ei osoita, että organisaatio olisi toteuttanut kaikki ISO 27001 -sertifioinnin edellyttämät vaatimukset.

GDPR sisältää sertifiointimekanismeja 42 ja 43 artiklassa. Tällainen sertifiointi ei vähennä rekisterinpitäjän tai käsittelijän vastuuta, eikä se vastaa ISO 27001 -sertifikaattia tai yleistä ilmoitusta lainmukaisuudesta.

Johdon kysymys koskee siksi näytön uudelleenkäyttöä erillisin johtopäätöksin: mitä tämä aineisto osoittaa, mitä järjestelmiä ja ajanjaksoa se koskee ja mitkä tietosuojakysymykset jäävät vastaamatta?

Anna johdolle, tietoturvalle ja tietosuojalle erilliset vastuut

Toimiva toimintamalli edellyttää muutakin kuin yhteistä vaatimustenmukaisuuden sähköpostilaatikkoa. Liiketoiminnan vastuuhenkilöiden tulisi kuvata ja perustella käsittelynsä; tietoturvan tulisi arvioida ja toteuttaa asiaankuuluvat suojatoimet; tietosuoja-asiantuntijoiden tulisi neuvoa oikeudellisissa vaatimuksissa, rekisteröityjen oikeuksissa, tietosuojaselosteissa ja arvioinneissa. Johdon on tarjottava resurssit ja ratkaistava olennaiset päätökset lain puitteissa.

Tietosuojavastaavaa ei vaadita automaattisesti jokaisessa yrityksessä. 37 artikla kattaa viranomaiset ja julkishallinnon elimet tuomioistuimia koskevin poikkeuksin sekä organisaatiot, joiden ydintoimintaan kuuluu määriteltyä laajamittaista seurantaa tai arkaluonteisten tietojen käsittelyä. Kansallinen lainsäädäntö voi asettaa lisävaatimuksia, joten tarkista asiaankuuluvat lainkäyttöalueet.

Nimitetyllä tietosuojavastaavalla on riippumattomat neuvonta- ja valvontatehtävät, hänet on otettava mukaan asianmukaisesti ja riittävän ajoissa, ja hän raportoi suoraan ylimmälle johdolle. Tietosuojavastaavaa ei pidä ohjeistaa päätymään toivottuun johtopäätökseen, eikä hänelle pidä antaa ristiriitaisia vastuita, joissa hän määrittäisi käsittelyn tarkoituksia ja keinoja.

Älä tee tietosuojavastaavasta jokaisen kontrollin omistajaa, jokaisen liiketoiminnallisen tarkoituksen hyväksyjää ja samojen päätösten auditoijaa. Se keskittää yhteensopimattomia vastuita ja voi saada operatiiviset tiimit uskomaan, että vastuu on siirtynyt pois niiltä.

Hyödyllinen hyväksymismerkintä yksilöi ehdottavan vastuuhenkilön, asiantuntijaneuvonnan, huomioon otetun näytön, päättäjän, ehdot ja avoimet toimenpiteet. Jos johto valitsee suositellusta poikkeavan lainmukaisen lähestymistavan, kirjaa perustelut. Johto ei voi muuttaa puuttuvaa oikeusperustetta tai pakollista sopimusehtoa vaatimustenmukaiseksi merkitsemällä sen ”hyväksytyksi riskiksi”.

Tietoturvajohtajan ja tietosuojavastaavan vastuita käsittelevä opas selittää vastuurajan tarkemmin. Toimitusjohtajalle keskeinen valvontakysymys on, päätyvätkö erimielisyydet jollekulle, joka pystyy muuttamaan käsittelyä, rahoittamaan suojatoimen tai pysäyttämään ehdotuksen, eikä pelkästään hyväksymään asiakirjaa.

Arvioi toimittajat roolin, sopimuksen ja toteutuksen kautta

Toimittajien tietoturvakatselmointi ja GDPR:n mukainen toimittajakatselmointi ovat osin päällekkäisiä, mutta eivät samoja. Selvitä ensin, onko toimittaja käsittelijä, itsenäinen rekisterinpitäjä, yhteisrekisterinpitäjä vai onko sillä eri rooleja eri palveluissa.

28 artiklan mukaan rekisterinpitäjien on käytettävä käsittelijöitä, jotka antavat riittävät takeet asianmukaisista teknisistä ja organisatorisista toimenpiteistä. Käsittelijäjärjestelyt edellyttävät sitovaa sopimusta tai muuta kelpoista oikeudellista asiakirjaa, joka kattaa määrätyn sisällön. Pelkkä salassapitolauseke ei täytä tätä vaatimusta.

28 artiklan vaatimuksiin kuuluvat:

• Käsittelyn kohde, kesto, luonne ja tarkoitus.
• Henkilötietojen tyypit ja rekisteröityjen ryhmät.
• Rekisterinpitäjän velvollisuudet ja oikeudet.
• Käsittely dokumentoitujen ohjeiden mukaisesti, mukaan lukien asiaankuuluvat siirtoja koskevat määräykset.
• Salassapito ja 32 artiklan mukaiset turvatoimet.
• Muiden käsittelijöiden käyttämisen edellytykset.
• Avustaminen rekisteröityjen pyyntöjen käsittelyssä ja määriteltyjen vaatimustenmukaisuusvelvoitteiden täyttämisessä.
• Tietojen palauttaminen tai poistaminen palvelujen päättyessä sovellettavien lakisääteisten vaatimusten mukaisesti.
• Tieto- ja auditointijärjestelyt vaatimustenmukaisuuden osoittamiseksi.

Tarkista sopimuksen ohella myös palvelun todelliset käyttöehdot. Toimittaja voi luvata poistaa tiedot ja silti säilyttää joitakin lokeja erillistä rekisterinpitäjänä toteuttamaansa tarkoitusta varten. Yritystilaus voi rajoittaa tietojen käyttöä koulutukseen, vaikka kokeilutili ei rajoita. Käsittelijä voi käyttää useita alihankkijoita, joilla on eri sijainnit ja tukijärjestelyt.

Alihankkijan käyttö voidaan 28 artiklan mukaan hyväksyä erikseen tai yleisesti. Kun käytetään yleistä kirjallista lupaa, käsittelijän on ilmoitettava rekisterinpitäjälle suunnitelluista lisäyksistä tai vaihdoksista, jolloin rekisterinpitäjällä on mahdollisuus vastustaa niitä. Operatiivinen kysymys on, kuka vastaanottaa nämä ilmoitukset ja arvioi ne ennen kuin ne katoavat valvomattomaan sähköpostilaatikkoon.

Pidä sopimuskatselmointi erillään siirtoarvioinnista. 28 artiklan mukainen sopimus ei sellaisenaan tarjoa V luvun mukaista siirtomekanismia. Käsittelysopimuksen allekirjoittaminen ei myöskään luo oikeusperustetta rekisterinpitäjän toiminnalle.

Käsittele ehdot, joista ei voi neuvotella, liiketoimintapäätöksenä

Pienemmillä asiakkailla voi olla rajallinen neuvotteluvoima. Tämä tekee varhaisesta arvioinnista entistä tärkeämpää, ei vapaaehtoista. Dokumentoi puute, kysy saatavilla olevia vaihtoehtoja ja harkitse konfiguraation muuttamista, tietojen vähentämistä, toisen palvelun valitsemista tai hankkeesta luopumista.

Jos pakollinen vaatimus jää täyttämättä, johdon hyväksyntä ei voi korjata sitä. Jos kyse on valinnasta lainmukaisten vaihtoehtojen välillä, joissa jäännösriskit ovat erilaiset, johto voi päättää dokumentoidun neuvonnan perusteella. Hankintojen tulisi erottaa nämä tilanteet toisistaan sen sijaan, että kaikki huolenaiheet kerätään yhden poikkeusluokan alle.

Toimittajakatselmoinnin tulisi päättyä päätökseen, ehtoihin, viittauksiin näyttöön ja uudelleenkatselmoinnin laukaisijoihin, ei pelkästään täytettyyn kyselylomakkeeseen.

Suunnittele oikeuksien käsittely ennen ensimmäistä vaikeaa pyyntöä

15–22 artikla tarjoavat oikeuksia, kuten oikeuden saada pääsy tietoihin, oikaista ja poistaa tietoja, rajoittaa käsittelyä, siirtää tiedot järjestelmästä toiseen ja vastustaa käsittelyä, sekä suojan tiettyjä yksinomaan automatisoituja päätöksiä vastaan. Näillä oikeuksilla on erilaiset edellytykset ja poikkeukset; yksi ”poista kaikki” -työnkulku ei palvele niitä kaikkia.

12 artiklan mukaan organisaatioiden on vastattava ilman aiheetonta viivytystä ja tavallisesti kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella pyyntöjen monimutkaisuus ja määrä huomioon ottaen, mutta henkilölle on ilmoitettava tästä perusteluineen ensimmäisen kuukauden kuluessa. Pyynnöt ovat yleensä maksuttomia; maksut tai kieltäytyminen ovat mahdollisia vain asetuksen mukaisin edellytyksin, kuten ilmeisen perusteettomien tai kohtuuttomien pyyntöjen kohdalla, ja rekisterinpitäjän on osoitettava tämä.

Rakenna operatiivinen polku, joka toimii asiakastuen, henkilöstöhallinnon, myynnin ja tietosuojan kanavissa:

1. Kirjaa vastaanotto, pyydetyt oikeudet ja määräaika.
2. Vahvista asianomainen rekisterinpitäjä ja laajuus.
3. Varmenna henkilöllisyys oikeasuhteisesti, jos on perusteltua epäiltävää.
4. Paikanna tiedot ja tunnista asiaankuuluvat järjestelmät, vastaanottajat ja käsittelijät.
5. Arvioi sovellettavat edellytykset, poikkeukset ja muiden ihmisten oikeudet.
6. Valmistele vastaus tai toimenpide ja tarkasta se.
7. Toimita turvallisesti ja säilytä asianmukainen merkintä valmistumisesta.

Älä vaadi rutiininomaisesti henkilöllisyystodistuksia, jos vähemmän puuttuva varmennus riittäisi. Älä myöskään luovuta arkaluonteisia tietoja vain siksi, että joku tietää sähköpostiosoitteen. Myös varmentaminen on henkilötietojen käsittelyä ja edellyttää oikeasuhteista lähestymistapaa.

Tietopyyntöön vastaaminen edellyttää yleensä muutakin kuin luettelon tietoryhmistä. 15 artikla kattaa jäljennöksen käsiteltävistä henkilötiedoista ja lisätietoja. Tarkasta kolmansien osapuolten tiedot ja oikeudet ennen luovuttamista; älä pidä toisen henkilön nimen esiintymistä perusteena pidättää kaikkea.

Tietojen poistaminen ei ole ehdotonta. Lakisääteiset säilytysvelvollisuudet ja muut 17 artiklan poikkeukset voivat tulla sovellettaviksi. Kun poistaminen on tarpeen, määritä, miten se ulottuu yhdistettyihin palveluihin ja asiaankuuluviin vastaanottajiin ja miten varmuuskopioista palauttaminen ei huolimattomasti tuo poistettuja tietoja takaisin. Selitä mahdolliset lainmukaiset rajoitukset täsmällisesti.

Automaatio voi seurata määräaikoja ja järjestää hakuja, mutta jonkun on päätettävä, ovatko tulokset täydellisiä, ovatko peitot perusteltuja ja sovelletaanko poikkeusta. Nopeasti tuotettu vakiovastaus ei ole hyödyllinen, jos siitä puuttuu järjestelmä, joka sisältää pyydetyt tiedot.

Tarkempi työnkulku on kuvattu artikkelissa rekisteröidyn tietopyynnöt. Johdon tulisi säännöllisesti testata edustava pyyntö vastaanotosta turvalliseen toimitukseen sen sijaan, että se luottaisi pelkästään julkaistuun menettelyyn.

Käytä vaikutustenarviointeja suunnitelman haastamiseen ennen hyväksyntää

35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi (DPIA) vaaditaan ennen käsittelyä, joka todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Asetus nimeää erityisiä tapauksia, kuten tietyt merkittävät automatisoidut arvioinnit, arkaluonteisten tietojen laajamittaisen käsittelyn ja yleisölle avoimien alueiden järjestelmällisen laajamittaisen valvonnan. Myös asiaankuuluvien valvontaviranomaisten luettelot on otettava huomioon.

Esiarvioi ehdotetut toiminnot varhaisessa vaiheessa. Käytännön suosituksena säilytä perustelut silloin, kun esiarviointi päätyy siihen, ettei vaikutustenarviointia tarvita, erityisesti rajatapauksissa. Lyhyt esiarviointimerkintä mahdollistaa päätöksen uudelleenarvioinnin, kun laajuus, teknologia tai tarkoitus muuttuu.

Täydellisen vaikutustenarvioinnin tulisi käsitellä neljää toisiinsa liittyvää osaa:

• Järjestelmällinen kuvaus suunnitellusta käsittelystä ja sen tarkoituksista, mukaan lukien tarvittaessa oikeutettu etu.
• Tarpeellisuus ja oikeasuhteisuus suhteessa näihin tarkoituksiin.
• Rekisteröityjen oikeuksiin ja vapauksiin kohdistuvat riskit.
• Suunnitellut toimenpiteet riskien käsittelemiseksi ja vaatimustenmukaisuuden osoittamiseksi.

Älä aloita ja lopeta tietoturvauhkien luetteloon. Kysy ensin, ovatko ehdotetut tiedot, tiheys, vastaanottajat ja päätöksentekoprosessi tarpeellisia. Vähemmän puuttuva ratkaisu voi poistaa riskin tehokkaammin kuin ylimääräinen tekninen kontrolli.

Esimerkiksi työntekijöiden tuottavuushankkeessa voidaan ehdottaa jatkuvaa kuvakaappausten keräämistä. Salaus ja rajattu pääsy voisivat vähentää tietojen paljastumisen riskiä, mutta vakavat kysymykset oikeasuhteisuudesta, valvonnasta, työntekijöiden odotuksista ja vähemmän puuttuvien keinojen soveltuvuudesta jäisivät jäljelle. Liiketoiminnan tarkoitus on tutkittava ennen kuin tietoturvaratkaisussa on mieltä.

Arvioi ihmisiin kohdistuva riski, ei vain yrityksen altistumista

Ota huomioon taloudellinen menetys, syrjintä, identiteetin väärinkäyttö, luottamuksellisuuden menettäminen, palveluista sulkeminen ja muut asiaankuuluvat vaikutukset. Skenaariolla voi olla vähäinen taloudellinen vaikutus yritykseen ja huomattava vaikutus yksilöön.

Dokumentoi ehdotetut riskiä vähentävät toimet, niiden toteutuksesta vastaavat ja jäännösarvio. Pyydä tietosuojavastaavan neuvoa, jos tietosuojavastaava on nimetty. Arvioi, edellyttävätkö toiminnan tai riskin muutokset arvioinnin päivittämistä.

36 artikla edellyttää ennakkokuulemista valvontaviranomaisen kanssa, jos vaikutustenarviointi osoittaa, että käsittely aiheuttaisi korkean riskin, ellei riskiä vähennetä toimenpiteillä. Jos organisaatio ei pysty riittävästi käsittelemään tätä korkeaa riskiä, se ei voi korvata vaadittua kuulemista sisäisellä ”hyväksytty”-tilalla. Johto voi suunnitella toiminnan uudelleen, lykätä sitä tai luopua siitä; se ei voi määrätä muiden ihmisten oikeuksista ikään kuin ne olisivat pelkästään liiketoimintariski.

Kytke poikkeamiin reagointi GDPR:n mukaisiin ilmoituspäätöksiin

Henkilötietojen tietoturvaloukkaus tarkoittaa tietoturvaloukkausta, joka johtaa henkilötietojen vahingossa tai lainvastaisesti tapahtuvaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn tietoihin. Se on laajempi käsite kuin hyökkääjän tekemä tietokantavarkaus. Väärään osoitteeseen lähetetty liite, kadonnut suojaamaton laite tai henkilötietojen saatavuuteen tai eheyteen vaikuttava poikkeama voi edellyttää arviointia.

33 ja 34 artiklan mukaan rekisterinpitäjät arvioivat kaksi eri ilmoituskynnystä:

72 tunnin määräaika lasketaan tietoon tulemisesta, ei pelkästään alkuperäisen poikkeaman aikaleimasta tai seuraavasta työpäivästä. Jos ilmoitus tehdään myöhemmin, sen mukana on esitettävä syyt viivästykseen. Tietoja voidaan toimittaa vaiheittain, jos kaikkea ei ole mahdollista toimittaa kerralla ilman aiheetonta lisäviivytystä.

Valmistele eskalointiketju etukäteen: poikkeaman johtaja, tietosuojaneuvoja, vastuullinen päättäjä rekisterinpitäjän puolella, tekniset tutkijat, viestintä ja toimittajien yhteyshenkilöt. Selvitä asianomaisen viranomaisen ilmoituskanava ennen hätätilannetta. Käsittelijän ei pidä odottaa omaa lopullista riskijohtopäätöstään ennen kuin se ilmoittaa rekisterinpitäjälle.

Poikkeamakirjauksessa tulisi kuvata, mitä tapahtui, mitkä tiedot ja ketkä ihmiset ovat osallisina, todennäköiset seuraukset, rajaaminen ja korjaavat toimet sekä ilmoituspäätökset. 33 artiklan 5 kohta edellyttää henkilötietojen tietoturvaloukkausten dokumentointia, mukaan lukien niihin liittyvät tosiseikat, vaikutukset ja korjaavat toimet. Säilytä perustelut myös silloin, kun ilmoitusta ei tehdä, jotta päätös voidaan ymmärtää myöhemmin.

Salaus voi vaikuttaa riskiin ja 34 artiklan mukaiseen analyysiin, mutta vain silloin, kun sen suoja on merkityksellinen ja tehokas. ”Palvelu käyttää salausta” ei riitä, jos hyökkääjä pääsi selväkielisiin tietoihin vaarantuneen tilin kautta. 34 artikla sisältää myös muita poikkeuksia, kuten myöhemmät toimenpiteet, joilla varmistetaan, ettei korkea riski todennäköisesti enää toteudu; arvioi todelliset edellytykset yleisen poikkeuksen soveltamisen sijaan.

Harjoittele yhtä skenaariota, jossa on mukana toimittaja, ja toista, jossa on kyse sisäisestä tietojen paljastumisesta. Harjoituksen tulisi testata teknisen rajaamisen lisäksi näytön keräämistä ja päätösvaltaa.

Käsittele kansainväliset siirrot erillisenä arviointina

V luvun siirtovaatimukset ovat voimassa GDPR:n muiden vaatimusten rinnalla. Siirtomekanismi ei tarjoa 6 artiklan mukaista oikeusperustetta, eikä oikeusperuste poista tarvetta asianmukaiseen siirtojärjestelyyn.

Kartoita todelliset vastaanottajat ja pääsypolut. EU:ssa sijaitseva datakeskus on merkityksellinen seikka, mutta se ei yksinään osoita, ettei siirtoja kolmansiin maihin tapahdu tai että kaikki tietosuojavelvoitteet täyttyvät. Ota huomioon tukipääsy, alihankkijat, ylläpitopääsy, edelleenluovutukset ja osapuolet.

GDPR:n siirtokehys sisältää 45 artiklan mukaiset tietosuojan riittävyyttä koskevat päätökset, 46 artiklan mukaiset asianmukaiset suojatoimet ja 49 artiklan mukaiset rajatut poikkeukset. Tarkista asiaankuuluva mekanismi ja sen soveltamisala päätöksentekohetkellä.

Jos käytetään riittävyysjärjestelyä, joka rajoittuu siihen osallistuviin organisaatioihin, varmista tarkka vastaanottaja ja katettu toiminta. Konserniyhtiö tai samankaltainen toiminimi ei välttämättä ole katettu vastaanottaja. Säilytä tarkistuksen tulos ja päivämäärä.

Jos käytetään vakiosopimuslausekkeita, valitse osapuolten todellisia rooleja vastaavat lausekkeet ja täytä asiaankuuluvat liitteet. Arvioi kohdemaan lainsäädäntö ja käytännöt sekä se, tarvitaanko lisätoimenpiteitä suojan tehokkuuden varmistamiseksi. Pelkkä allekirjoitettu sopimus ei vastaa jokaiseen siirtoriskiä koskevaan kysymykseen.

Käytännöllisessä siirtoasiakirjassa tulisi yksilöidä tietojen viejä ja tuoja, tiedot ja tarkoitukset, sijainnit ja pääsy, edelleensiirrot, valittu mekanismi, asiaankuuluva arviointi, tekniset tai organisatoriset toimenpiteet ja uudelleenarvioinnin laukaisijat. Palveluntarjoajan dokumentaatio voi tukea tätä työtä, mutta kysymys siitä, ”onko palveluntarjoajalla arviointi”, ei ole sama asia kuin sen asiaankuuluvien havaintojen arvioiminen.

Johdon tulisi tietää, mitkä palvelut riippuvat tietystä mekanismista ja mitkä muutokset edellyttäisivät uudelleenarviointia. Tämä tukee harkittua varautumissuunnitelmaa ilman oletusta, että jokainen toimittaja tarvitsee samanlaisen sopimuksellisen varavaihtoehdon.

Arvioi tekoälyn käyttö käsittelynä, ei pelkkänä uutena työkaluna

Tekoälysovellus voi tuoda mukanaan uusia vastaanottajia, päätellä lisää henkilötietoja, säilyttää kehotteita tai mahdollistaa uuden tarkoituksen. Nämä muutokset ovat merkityksellisiä, vaikka sovellus hyödyntäisi organisaation olemassa olevaa kertakirjautumista ja käyttöoikeuksien hallintaa.

Ennen kuin hyväksyt henkilötietojen käytön tekoälypalvelussa, selvitä:

• Tarkka tehtävä ja se, ovatko henkilötiedot tarpeellisia.
• Syötteiden, tuotosten ja asianomaisten henkilöiden ryhmät.
• Palveluntarjoajan rooli kussakin käytössä, mukaan lukien mahdolliset koulutus- tai kehittämistarkoitukset.
• Säilytys, ihmisten pääsy tietoihin, alihankkijat ja siirtojärjestelyt.
• Sopimukselliset sitoumukset ja asiaankuuluvat konfiguraatioasetukset.
• Täsmällisyyteen, tietojen paljastumiseen, oikeuksien käsittelyyn ja päätöksentekoon liittyvät riskit.

Älä oleta, että jokainen mallintarjoaja on yksinomaan käsittelijä. Sen rooli riippuu sen suorittamasta käsittelystä ja sen määrittämistä tarkoituksista. Samoin 28 artiklan mukainen sopimus ei automaattisesti tee ehdotetusta tiedonsiirrosta lainmukaista. Arvioi tarkoitus, oikeusperuste, läpinäkyvyys, tarpeellisuus ja kaikki muut sovellettavat vaatimukset.

Jos yritys on itse käsittelijä, tekoälypalveluntarjoajan käyttöönotto voi luoda alihankkijasuhteen. Tarkista asiakkaan ohjeet ja sovittu hyväksymismenettely ennen asiakastietojen lähettämistä. Uutta sopimusmuutosta ei aina tarvita, mutta olemassa olevia sopimuksellisia ja lakisääteisiä järjestelyjä on noudatettava.

22 artikla koskee tiettyjä yksinomaan automaattiseen käsittelyyn perustuvia päätöksiä, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia. Muodollinen ihmisen tekemä tarkastus ei ratkaise asiaa, jos tarkastaja ei pysty merkityksellisesti arvioimaan tai muuttamaan lopputulosta. Rekrytointi-, kelpoisuus- ja rahoituspäätökset edellyttävät erityistä tarkkuutta.

Tekoälysäädös ja GDPR asettavat erilliset velvoitteet. Tekoälysäädöksen mukainen arviointi ei korvaa vaikutustenarviointia, eikä GDPR:n noudattaminen osoita tekoälysäädöksen noudattamista. Käytä soveltamisajankohtien osalta Euroopan komission ajantasaista tekoälysäädöksen yleiskatsausta sen sijaan, että vanha käynnistysaikataulu siirtyisi nykyiseen hankkeeseen.

Sisäisessä tietosuojatyössä tekoäly voi laatia kuvausluonnoksia hyväksytyistä lähteistä, verrata asiakirjoja tai ehdottaa kysymyksiä. Käsittele sen tuotosta luonnoksena. Uskottavalta näyttävä oikeusperuste, huomiotta jäänyt vastaanottaja tai virheellinen säilytystä koskeva toteamus voi tehdä viimeistellystä asiakirjasta olennaisesti virheellisen.

Automatisoi koordinointi ja säilytä vastuullinen tarkastus

Kasvaviin organisaatioihin kertyy toistuvaa työtä: käsittelytoimien selosteiden päivityksiä, oikeuspyyntöjen määräaikoja, toimittaja-asiakirjoja, arviointien toimenpiteitä, vanhenevaa näyttöä ja katselmointipäätöksiä. Automaatio voi järjestää syötteet ja määräajat. Sen ei pidä hämärtää eroa tietojen keräämisen ja puolustettavissa olevaan johtopäätökseen pääsemisen välillä.

Aloita vakiintuneesta prosessista ja selkeistä vastuista. Epäselvän luovutuksen automatisointi voi levittää epäselvyyttä entistä nopeammin. Määritä, mikä avaa tehtävän, kuka sen vastaanottaa, mitä näyttöä tarvitaan, kuka tarkastaa tuloksen ja mikä päättää työn.

Tekoälyavusteisessa luonnostelussa säilytä hyväksytyt lähteet ja tunnista epävarmuudet. Älä anna tuotetun tiivistelmän huomaamatta korvata toimittajasopimusta tai arviointia. Tarkastajien tulisi pystyä erottamaan toimitetut tosiseikat, päätellyt ehdotukset ja avoimet kysymykset.

Sovella vähimpien oikeuksien periaatetta myös itse työnkulkuun. Oikeuspyyntöjen asiakirjat, poikkeamakirjaukset ja työntekijöitä koskevat arvioinnit voivat sisältää arkaluonteisia tietoja. Laaja pääsy vaatimustenmukaisuuden työtilaan voi heikentää niitä rajoituksia, joita dokumentoidaan. Minimoi henkilötiedot näytössä ja rajoita pääsyä aineistoon, joka aidosti edellyttää tunnistamista.

Hyödyllisiä johdon mittareita ovat erääntyneet toimenpiteet, puuttuvat vastuuhenkilöt, olennaisen muutoksen jälkeen tarkastusta odottavat merkinnät sekä kontrollit, joiden näyttö on vanhentunutta tai riittämätöntä. Pelkät asiakirjamäärät kertovat vähemmän. Mittaa, saadaanko päätökset ja korjaavat työt valmiiksi, ei vain sitä, onko tekstiä tuotettu enemmän.

Esimerkki: markkinointi-integraatio, joka hyödyntää tietoturvakontrolleja

Seuraava esimerkki on havainnollistava. Oletetaan, että kasvavalla B2B-ohjelmistoyrityksellä on vakiintunut asiakastietokanta, tuotantopalvelun kattava ISMS ja ehdotettu kampanja-alusta. Markkinointi haluaa lähettää käyttöönottoviestejä ja myöhemmin markkinoida lisätuotteita. Alusta saisi yhteystiedot, tuotteen käyttötapahtumat ja asiakastuen vapaamuotoiset muistiinpanot. Esimerkki ei viittaa mihinkään todelliseen asiakastulokseen tai Secanin ominaisuuteen.

1. Erota ehdotetut tarkoitukset

Alkuperäisessä pyynnössä puhutaan ”asiakassitoutumisen parantamisesta”. Liiketoiminnan vastuuhenkilö muotoilee sen uudelleen tarkoiksi tarkoituksiksi: tarpeellinen palvelun käyttöönotto, vapaaehtoinen markkinointiviestintä ja kampanjoiden tuloksellisuuden analysointi.

Tietosuojan tarkastaja arvioi kunkin tarkoituksen perusteen sen sijaan, että asiakassopimusta sovellettaisiin kaikkiin kolmeen. Markkinointiviestintään voivat soveltua myös kansalliset sähköistä suoramarkkinointia koskevat säännöt. Yritys ei oleta, että GDPR:n mukainen oikeutetun edun analyysi yksinään ratkaisee nämä erilliset vaatimukset.

Ensimmäinen tuotos on tarkoitusta ja perustetta koskeva päätös, jossa avoimet kysymykset on osoitettu vastuuhenkilöille. Markkinointi ei voi aloittaa laajennettua käyttöä pelkästään siksi, että integraatio on läpäissyt teknisen tietoturvatarkastuksen.

2. Supista ehdotettua tietovirtaa

Asiakastuen muistiinpanot ovat käteviä personointiin, mutta tarpeettomia hyväksytyn käyttöönottoviestin kannalta. Ne voivat myös sisältää tietoja, joiden asiakkaat eivät odottaneet päätyvän markkinointikäyttöön. Ratkaisusta ne poistetaan.

Tekninen vastuuhenkilö rajaa tuotetapahtumat niihin, joita hyväksytty työnkulku tarvitsee, ja jättää pois yksityiskohtaiset käyttäjähistoriat silloin, kun koostetut tai yksinkertaisemmat tapahtumatiedot riittävät. Tämä vähentää altistumista ennen kuin uusia kontrolleja lisätään.

Käsittelytoimien seloste kuvaa nyt todelliset tietokentät, asianomaiset käyttäjät, vastaanottajan, tarkoitukset ja säilytysperiaatteen. Tietosuojaseloste tarkistetaan hyväksyttyä toimintaa eikä alkuperäistä laajaa pyyntöä vasten.

3. Tarkista toimittaja- ja siirtojärjestelyt

Hankinta selvittää alustan roolin kampanjoiden toimittamisessa ja tarkistaa, onko palveluntarjoajalla omia erillisiä tarkoituksia. Tiimi käy läpi 28 artiklan mukaisen sopimuksen, alihankkijajärjestelyt, poistoehdot, tukipääsyn ja sovellettavan siirtomekanismin.

EU:ssa tapahtuva hosting-vaihtoehto kirjataan merkitykselliseksi tosiseikaksi, eikä sitä pidetä siirtoanalyysin päätepisteenä. Jos vaadittuja tietoja puuttuu, tehtävä pysyy avoinna, ja lanseerauksen ehdoissa yksilöidään, mitä on ratkaistava.

4. Hyödynnä tietoturvanäyttöä harkiten

Integraatio voi hyödyntää yrityksen identiteettikontrolleja ja olemassa olevaa käyttöoikeuksien hallintaprosessia. Näiden kontrollien näyttö linkitetään eikä sitä luoda uudelleen. Uudella kampanja-alustalla on kuitenkin omat käyttöoikeutensa, tiedonvientinsä ja säilytysasetuksensa.

Tietoturvasta vastaava arvioi tilin vaarantumisen, luvattoman massaviennin, virheellisen tapahtumakohdistuksen ja markkinointikieltojen menettämisen. Tiimi rajaa pääsyä, hyväksyy tarvittavat integraatio-oikeudet, testaa kohdistuksen soveltuvalla testiaineistolla ja tarkistaa, miten tiedot poistetaan tai estetään.

Olemassa oleva tuotantopalvelun palautusharjoitus ei osoita, että kampanjoiden asetukset voidaan palauttaa oikein. Vastuuhenkilö tarkistaa erikseen tämän työnkulun kannalta merkityksellisen palautuskäyttäytymisen.

5. Viimeistele arviointi ja hyväksyntä

Tietosuojan tarkastaja tekee vaikutustenarvioinnin esiarvioinnin todellisen toiminnan perusteella ja kirjaa perustelut. Tiimi varmistaa myös, miten tietopyynnöt, vastustamiset ja poistopyynnöt ulottuvat alustalle. Erityisesti markkinoinnin vastustamista ei saa kumota seuraava tietokantasynkronointi.

Johto käy läpi tiiviin päätöspaketin: hyväksytyt tarkoitukset, poistetut tiedot, toimittajia ja siirtoja koskevat johtopäätökset, suojatoimet, avoimet ehdot, oikeuksien käsittely ja nimetyt vastuuhenkilöt. Jokainen ratkaisematon pakollinen vaatimus estää asianomaisen käsittelyn sen sijaan, että se muutettaisiin hyväksytyksi liiketoiminnalliseksi poikkeukseksi.

6. Säilytä seuraava laukaisija

Hyväksyntä on sidottu arvioituun konfiguraatioon. Käyttäytymiseen perustuvan pisteytyksen lisääminen, asiakastuen muistiinpanojen lataaminen, palveluntarjoajan koulutusehtojen muuttuminen tai uuden vastaanottajan käyttöönotto käynnistää uudelleenarvioinnin. Tiimi voi hyödyntää muuttumatonta tietoturvanäyttöä samalla kun se arvioi uudet tietosuojakysymykset.

Tämä on keskeinen ero: yhteiset suojatoimet voivat pysyä pätevinä, vaikka tarkoitus, vastaanottaja tai vaikutus ihmisiin muuttuu olennaisesti.

Ota lähestymistapa käyttöön rajatulla ensimmäisellä soveltamisalalla

Valitse yksi käsittelytoimi, jolla on näkyvä liiketoiminnan omistaja ja hallittavat riippuvuudet. Asiakastuki, työntekijöiden perehdytys tai edustava tuotteen työnkulku voi paljastaa puutteita ilman, että koko organisaatiota tarvitsee ensin suunnitella uudelleen.

Käytännön suosituksena aloita neljällä tuotoksella:

• Sovittu kuvaus käsittelystä ja roolien arviointi.
• Luettelo tietosuojapäätöksistä, mukaan lukien peruste, tietosuojaseloste, säilytys, oikeudet ja vaikutustenarvioinnin esiarviointi.
• Skenaariopohjainen suojatoimien arviointi, joka on kytketty olemassa olevaan tietoturvanäyttöön.
• Hyväksymismerkintä, jossa on vastuuhenkilöt, avoimet toimenpiteet ja muutosten laukaisijat.

Secanissa tiimit voivat aloittaa rajatulla soveltamisalalla, mallintaa tukevat sovellukset, järjestelmät, palvelut ja palveluntarjoajat sekä kytkeä näytön vaatimuksiin, kontrolleihin ja päätöksiin. Puuttuvasta näytöstä ja avoimista tarkastuskysymyksistä voi tulla vastuuhenkilöille osoitettuja tehtäviä. Tekoälyavusteiset ehdotukset pysyvät luonnoksina, joiden lähteet ovat jäljitettävissä ja jotka edellyttävät nimenomaista ihmisen hyväksyntää. Näin tietoturvan ja tietosuojan tarkastajilla on yhteinen näyttöympäristö, ja heidän erilliset johtopäätöksensä pysyvät näkyvissä; se ei korvaa käsittelytoimien selosteita, oikeuksien toteuttamista eikä oikeudellista analyysia.

Laajenna vasta, kun ensimmäistä työnkulkua on harjoiteltu. Testaa sitä vasten toimittajamuutos, oikeuspyyntö ja asiaankuuluva poikkeamaskenaario. Jos tiimi ei pysty tunnistamaan vastuuhenkilöä, hakemaan näyttöä tai selittämään päätöstä, korjaa toimintaprosessi ennen kuin lisäät uusia toimintoja.

Johdon katselmusta varten kysy kolme kysymystä: vastaako seloste nykyistä käsittelyä, vastaavatko suojatoimet ihmisiin kohdistuviin seurauksiin ja avaako olennainen muutos päätöksen luotettavasti uudelleen? Nämä kysymykset tarjoavat käytännöllisen seuraavan askeleen tietoturvan varmistuksen kytkemiseksi GDPR:n mukaiseen osoitusvelvollisuuteen.

Kysymykset, jotka johdon tulisi ratkaista nimenomaisesti

Voiko toimitusjohtaja hyväksyä GDPR-poikkeuksen?

Johto voi valita lainmukaisten vaihtoehtojen välillä ja kohdentaa resursseja riskien käsittelyyn. Se ei voi luopua lakisääteisistä vaatimuksista, hyväksyä käsittelyä ilman sovellettavaa perustetta tai korvata vaadittua ennakkokuulemista sisäisellä hyväksynnällä.

Edellyttääkö jokainen käsittelyn muutos uutta vaikutustenarviointia?

Ei. Arvioi muutos suhteessa korkean riskin kynnykseen ja tarkista olemassa olevat arvioinnit, kun toiminta tai riski muuttuu. Dokumentoitu esiarviointipäätös on hyödyllisempi kuin joko täydellisen vaikutustenarvioinnin automaattinen laatiminen tai oletus, että vanha tulos pätee aina.

Mitä tulisi tarkastella ensin, kun resurssit ovat rajalliset?

Priorisoi käsittely, jolla voi olla vakavia seurauksia ihmisille, avoimet lainmukaisuutta tai sopimuksia koskevat kysymykset sekä operatiiviset määräajat, kuten oikeuspyynnöt ja tietoturvaloukkauksiin reagointi. Käytä näytön puutteita tutkinnan ohjaamiseen, mutta älä oleta, että toiminta, josta puuttuu eniten asiakirjoja, välttämättä aiheuttaa suurimman riskin.

Mikä viranomainen valvoo GDPR:n noudattamista, ja mitä rikkomukset voivat maksaa?

Selvitä käsittelyn kannalta toimivaltainen valvontaviranomainen. Rajat ylittävässä käsittelyssä johtavan valvontaviranomaisen mekanismi riippuu yleensä rekisterinpitäjän tai käsittelijän EU:ssa sijaitsevasta päätoimipaikasta tai ainoasta toimipaikasta, ja muut asianomaiset valvontaviranomaiset osallistuvat menettelyyn. 27 artiklan mukainen edustaja ei luo EU:ssa sijaitsevaa toimipaikkaa eikä pääsyä tähän mekanismiin.

83 artikla säätää kahdesta hallinnollisten sakkojen pääasiallisesta enimmäistasosta: enintään 10 miljoonaa euroa tai 2 % yrityksen edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sekä enintään 20 miljoonaa euroa tai 4 %, sen mukaan, kumpi kullakin tasolla on suurempi. Sovellettava taso riippuu rikkomuksesta; kyse on enimmäismääristä, ei automaattisista seuraamuksista. Viranomaiset ottavat olosuhteet huomioon ja voivat myös määrätä korjaavia toimenpiteitä tai rajoittaa käsittelyä. 82 artikla säätää erikseen oikeudesta korvaukseen, jos rikkomus aiheuttaa aineellista tai aineetonta vahinkoa.