EU:n uuden tietosuoja-asetuksen soveltaminen alkaa 25.2.2018. Aikaa on rajallisesti, ja asetuksen vaatimusten implementointi on ehdottomasti otettava mukaan sovellus- tai tietojärjestelmähankkeisiin joissa käsitellään henkilötietoja.

Asetuksen vaatimuksista ja sisällöstä on löydettävissä suhteellisen helposti tietoa, mutta käytännön ohjeita vaatimusten toteuttamiseksi ei juurikaan ole ollut saatavilla. Tässä blogikirjoituksessa kerron sinulle käytännön ohjeita kuinka otat asetuksen vaatimukset huomioon Kuilu-kehyksen avulla.

Kuilu-kehyksen avulla varmistat että noudatat EU:n uutta tietosuoja-asetusta.

Oli sitten kyseessä toiminnanohjausjärjestelmän uusiminen, verkkokauppa tai mobiilisovellus, Kuilu-kehystä noudattamalla saat asetuksen mukaisen henkilötietojen hallinnan osaksi projektia.

Kuilu-kehys muodostuu neljästä vaiheesta: Henkilötietojen määrittely, tietojen analysointi, toteutuksen suunnittelu ja testaus. Tässä blogikirjoituksen ensimmäisessä osassa käyn läpi mitä kaksi ensimmäistä vaihetta pitää sisällään.

1. Henkilötietojen määrittely

Listaa aluksi Exceliin kaikki henkilötiedot, joita sovelluksessa/tietojärjestelmässä kerätään, käytetään tai jaetaan kolmansille osapuolille.

Tässä on tärkeätä tunnistaa erityisesti kolmansien osapuolien keräämä tai niille jaettavat tiedot. Kaikkien käytettävien SDK:den, komponenttien tai ohjelmakirjastojen ohjeet ja politiikat on käytävä läpi ja kirjattava ylös, mitä henkilötietoja ne keräävät esim. mainostarkoituksissa.

On hyvä muistaa että sovelluksen kehittäjänä olet vastuussa siitä, että henkilötietoja käsitellään asetuksen mukaisesti. Jos olet ostamassa sovellusta alihankintana, tietosuoja-asetukseen liittyvät vaatimukset on kirjattava sopimukseen.

Sovelluksesta/tietojärjestelmästä riippuen kerättäviä henkilötietoja voi olla mm.:

  • Nimi
  • Henkilötunnus
  • Osoite
  • Email-osoite
  • Keksit (cookies)
  • Paikkatieto
  • Puhelulokit
  • IP-osoitteet

Etenkin arkaluontoisten (asetuksessa erityisten) henkilötietojen kanssa pitää olla tarkkana. Niiden kerääminen on lähtökohtaisesti kielletty, ja käsittelylle on oltava hyvät perusteet.

Arkaluontoisia henkilötietoja on mm.:

  • Maksu- yms. taloustiedot
  • Terveystiedot
  • Rotu tai etninen alkuperä
  • Poliittiset mielipiteet
  • Uskonnollinen tai filosofinen vakaumus
  • Geneettiset tai biometriset tiedot
  • Seksuaalinen suuntautuminen

 2. Tietojen analysointi

Kun tiedät, mitä henkilötietoja sovelluksessa kerätään, on aika analysoida ne tietosuoja-asetuksen vaatimuksia vastaan. (luonnollisesti käytännössä vaiheet 1-3 tehdään enemmän tai vähemmän iteratiivisesti).

Ensimmäisessä vaiheessa listasit kaikki kerättävät henkilötiedot Exceliin jokaisen omalle rivilleen. Lisää nyt ainakin nämä vaatimukset samaan Exceliin jokainen omana sarakkeenaan ja suorita analyysi jokaiselle henkilötietotyypille:

o   Miten tietoa käytetään

Mikä on tarkoitus, johon tietoa kerätään? Edellytetäänkö niitä esim. sovelluksen toiminnallisuuden takia tai esim. yhteystietoja laskuttamista varten? Listaa tähän kohtaan mahdollisimman selvästi kaikki tiedon käyttötarkoitukset.

o   Tiedon minimointi

Rekisteröidyltä on kerättävä vain niitä henkilötietoja, jotka ovat käyttötarkoituksen mukaan tarpeellisia. Analysoi siis, tarvitaanko kyseistä tietoa nyt oikeasti vai kerätäänkö sitä vain esim. ”vanhasta tottumuksesta”.

Tiedon minimointi on yksi asetuksen perusperiaatteista.

o   Kuka käyttää tietoa

Määritä organisaation sisäiset käyttäjät/käyttäjäryhmät jotka käsittelevät tietoa sen eri elinkaaren vaiheissa.

o   Kenelle tietoa jaetaan

Määrittele tarkasti kenelle tietoa siirretään tai luovutetaan. Käytetäänkö organisaation ulkopuolisia tiedonkäsittelijöitä? Luovutetaanko tietoja EU:n ulkopuolelle? Tämä voi hyvinkin tapahtua esim. 3 osapuolten mainosverkon toimesta. Verkkokaupassa tietojen luovutus tapahtuu kun käytetään ulkoisia maksupalveluita.

o   Mihin tietoa tallennetaan

Tiedon tallennuspaikka vaikuttaa merkittävästi siihen, esim. millaisia tietoturvakontrolleja sovellukseen tai järjestelmään on rakennettava. Tässä on määriteltävä kaikki ne paikat johon tietoa tallennetaan sen elinkaaren aikana. Näitä ovat esim. käyttäjän käyttämät mobiililaitteet, tabletit ja tietokoneet, palvelimet sekä pilvipalvelimet.

o   Tiedon säilytysaika

Tähän kohtaan on määriteltävä, kuinka pitkä säilytysaika ko. tiedolla on. Säilytysaika voi määräytyä myös lain mukaan, esim. maksu- tai taloustiedoilla se on kuusi tai kymmenen vuotta, työsuhteeseen liittyviä tietoja pitää säilyttää kymmenen vuotta yms.

Säilytyksen rajoittaminen on myös yksi tietosuoja-asetuksen perusperiaatteista. Tietoja saa pitää tunnistettavina vain niin kauan kun on tarpeen.

o   Lasten henkilötiedot (vanhempien suostumus)

Kerätäänkö henkilötietoja lapsilta? Jos kerätään, niin toteutuksen suunnitteluvaiheessa on mietittävä miten suostumusta pyydetään.

o   Tietojen ylläpito

Voiko rekisteröity itse ylläpitää omia henkilötietojaan? Vai varmistetaanko tietojen ajantasaisuus päivittämällä ne automaattisesti esim. Väestörekisteristä? Tähän kohtaan kirjataan tahtotila siitä, miten tietoa on tarkoitus ylläpitää sen elinkaaren aikana.

Täsmällisyys kuuluu myös tietosuoja-asetuksen perusperiaatteisiin. Virheelliset tiedot on päivitettävä tai ne on poistettava.

Ylläolevat vaatimukset ovat perusvaatimuksia jotka on määriteltävä riipumatta siitä, minkä tyyppistä tietojärjestelmähanketta olet tekemässä. Muita vaatimuksia voi lisätä kehitettävän sovelluksen mukaan.

Tarvitsetko apua Kuilu-kehyksen soveltamisessa? Voin auttaa, ota yhteyttä: antti.nevalainen@privance.com

Seuraavassa blogikirjoituksessa käyn läpi vaiheet:

3. Toteutuksen suunnittelu ja
4. Testaaminen

Saat kakkososan blogikirjoituksesta kun liityt postituslistalle.

Jätä sähköpostiosoitteesi ja saat tiedon uusimmista blogikirjoituksista