Tietosuojan uudistus on näkynyt hyvin julkisessa keskustelussa ja uusia koulutustilaisuuksia putkahtaa kuin sieniä sateella, kuten varmaankin olet huomannut. Tietoa tarvitaan kyllä, mutta millainen tieto on oikeasti tarpeellinen sinulle, tavalliselle pienyrittäjälle? Jo pelkästään kirjainyhdistelmä GDPR voi olla sinulle vieras puhumattakaan useista EU-asetuksen käyttämistä termeistä. EU:n tietosuoja-asetus on siis nimeltään General Data Protection Regulation ja se tulee voimaan Suomessakin 25.5.2018. Se koskee lähes kaikkia suomalaisia yrityksiä niiden koosta riippumatta – mukaan lukien sinun yrityksesi.
Miksi uusi tietosuoja pelottaa?
Tulevia muutoksia
Tietosuoja-asetus kiristää yritysten tietosuojaan liittyviä vaatimuksia. Samalla se asettaa yrityksellesi niin sanotun “syyllisyysolettaman”. Yrityksesi on asetuksen voimaan tultua pystyttävä osoittamaan, että se noudattaa EU:n tiukentuneita tietosuojavaatimuksia. Tämä osoittamisvelvollisuus on valvovaa viranomaista kohtaan olemassa, vaikka mitään tietoturvaan liittyvää ongelmaa ei olisikaan yrityksessä ilmaantunut. Tämän lisäksi sinun on oma-aloitteisesti ilmoitettava tietomurrosta.
Sanktiot
Tiukentuneiden vaatimusten lisäksi tietosuojarikkomuksesta voidaan määrätä sakkoja, jonka maksimimäärä on 20 miljoonaa euroa tai 4 % yrityksen maailmanlaajuisesta liikevaihdosta. Enimmäismäärä on näistä suurempi. Sakkojen lisäksi asetuksen mukaan on olemassa myös vahingonkorvausvelvollisuus.
Esimerkiksi jos Suomessa toimivan yrityksesi liikevaihto on 100.000,00 tai vaikkapa 30.000,00 euroa, voidaan tietosuojarikkomuksesta määrätä yrityksellesi enimmillään 20 miljoonan euron suuruinen sakko. Ups.
Nykytila
Yksi suurimpia huolenaiheita on se, että yritysten tietosuoja ei ole tällä hetkellä edes nykyisen lainsäädännön tasolla. Yrityksillä on siis runsaasti kurottavaa, jotta saadaan tietosuoja paitsi nykyisten myös uusien tiukennettujen vaatimusten mukaisiksi. Tämä ongelma on kansainvälinen, kuten alla olevasta lainauksestakin ilmenee.
Yrityksissä 70 % työntekijöistä pääsevät käsiksi tietoihin, joihin heillä ei lain mukaan pitäisi olla pääsyä.
“70% of employees have access to data they should not”
What’s Your Data Strategy? Harvard Business Review, May-June 2017.
Tämäkään lohduttava tieto ei kuitenkaan poista juuri Sinun yrityksesi vastuuta tietosuojan lainmukaisuudesta, valitettavasti.
Apua artikkeleista ja koulutuksesta?
Aiheesta löytyy myös internetistä maksuttomia kirjoituksia, joiden mainostetaan kertovan ymmärrettävästi uusien säännösten kiemurat. Kuitenkin niissä yleensä käytetään asetuksen vaikeaselkoisia käsitteitä sellaisenaan ja useimmiten sen vuoksi, koska kirjoittaja ei itsekään ole sisäistänyt termin todellista käytännön merkitystä.
Sama koskee useimpia tietosuojakoulutuksia. Mikä on sellaisen koulutuksen arvo, jossa referoidaan suomen kielellä muutamia kohtia 99 artiklaa sisältävästä 200 sivuisesta asetuksesta? Tai jossa kaupallisen tietoturvapalveluita tarjoavan organisaation edustaja selostaa uusia säännöksiä omien palveluidensa tarvetta perustellakseen?
Koulutuksiin osallistujat ovat saaneet mukaansa mielenkiintoisia urbaaneja legendoja. Kuten esimerkiksi sen, että tietosuoja ei missään tapauksessa koskisi sellaisia yrityksiä, joilla on vain yritysasiakkaita.
Vaikka lukisit kaikki artikkelit ja kävisit kaikki tarjolla olevat koulutukset, et mitä ilmeisimmin saa juuri sinun yrityksesi toiminnan kannalta riittävästi tietoa. Tiedon hankinnan lisäksi sinun on vielä muutettava oman yrityksesi toiminta ja tekniset ratkaisut uuden lain vaatimusten tasolle. Ja kaiken lisäksi vielä laadittava tai päivitettävä tietosuojaselosteet. Kuka tekee tämän työn puolestasi 25.5.2018 mennessä?
Miten siis oikeasti valmistaudut uudistukseen?
Tiedonhankinnan lisäksi on korkea aika ryhtyä käytännön toimiin, jotta yrityksesi on valmis ottamaan vastaan uuden tietosuoja-asetuksen sen voimaan tullessa 25.5.2018.
Toimistomme on kehittänyt vaiheittaisen etenemistavan, johon sisältyy maksutonta tietoa sekä tarvittaessa maksullista pakettihintaista konsultaatiota. Haukataan tietosuoja-kakusta pala kerrallaan lokakuussa 2017 aloittaen. Loogisia portaita edeten sinun ei tarvitse olla kauhuissasi ensi vuonna.
Jos tämä kirjoitus on mielestäsi ymmärrettävää tekstiä, on myös tämä palvelu juuri sinulle oikea.
Tietosuojaterveisin Inga Koskinen.
