Euroopan unionin yleistä tietosuoja-asetusta (General Data Protection Regulation, GDPR) aletaan soveltaa 25.5.2018 alkaen. Tässä jutussa esitellään ensimmäisiä konkreettisia vaiheita siitä, miten yritys voi GDPR:n vaatimuksiin valmistautua. Aloitetaan henkilötietojen kartoittamisesta ja niiden elinkaaresta, digitaalista liiketoimintaa harjoittavan yrityksen näkökulmasta. Yleistietoa GDPR:stä löytyy esimerkiksi Geniemin tarjoaman GDPR Start -palvelun sivulta.

Tietovuot

Jotta yritys pääsee alkuun tietosuojan hallinnan kanssa, on ensimmäisenä kartoitettava henkilötietojen käsittelyn nykytila. Toteutetaan siis henkilötietoinventaario, jonka tavoite on löytää kaikki paikat ja tavat, miten yritys käsittelee henkilötietoja.

Henkilötietoinventaarion toteuttamisen tärkeä osa ovat tietovuot. Tietovuo on käsittellinen virta tietyn järjestelmän läpi kulkevasta (henkilö)tiedosta. Virrasta on tärkeää havaita seuraavat seikat: 1) missä tietoa varastoidaan, 2) missä tietoa muutetaan ja 3) ketkä tietoon pääsevät käsiksi. Alla olevassa kuvassa on esimerkki tietovuosta.

Tietovuoesimerkki

Kuvan esimerkistä voimme havaita miten käyttäjän syöttämät tiedot kulkevat eräässä sovelluksessa. Nuolet kuvaavat tiedon siirtoa, ja jokainen kohta on tarkastettava. Vain ylätason kuvan avulla näemme jo miten alaprojektien tietokannat jäävät puhtaaksi henkilötiedoista, kun virta ei sinne koske. Henkilötietoinventaariossa käydäänkin läpi kaikki järjestelmän käyttötapaukset ja muodostetaan niistä tietovuot. Käyttötapauskohtaiset tietovuot antavat kuvan paikoista, missä tietoa on pakko käsitellä. Siivoamalla henkilötiedot muualta, täytämme GDPR:n vaatimuksen henkilödatan minifioinnista.

Elinkaaren hallinta

Saadaksemme oikea perspektiivi henkilötiedon käsitteestä, nostetaan se ”vain riveistä” tietokannassa omaksi entiteetikseen. Tälle voidaan määritellä elinkaari, jota on mahdollista hallita. Näin meillä on kutakin kerättyä henkilötietoa kohden siisti kokonaisuus — yleisesti hyvä strategia tietosuoja-asetuksen kanssa.

Etukäteen on määriteltävä kauanko henkilötietoja on tarkoitus säilyttää, tai kriteerit sen määräytymiselle. Henkilötiedon elinkaari alkaa suostumuksen hankkimisesta. Tämän jälkeen se voidaan vasta kerätä ja ottaa käsiteltäväksi. Tiedot voidaan myös luovuttaa (suostumuksella) eteenpäin, mutta kun niitä ei enää tarvita, elinkaari päättyy arkistointiin, anonymisointiin, tai poistamiseen.

Henkilötiedon elinkaari

Tiedostamalla henkilötiedon elinkaari voidaan välttyä ikäviltä ”synkronointiongelmilta”. Poistettavista tiedoista on esimerkiksi pidettävä erillinen loki, jotta mahdollisen tietokannan backupista palauttamisen jälkeen ei kerran poistetut tiedot palaa. Pidetään aina myös mielessä mitkä ovat kunkin henkilötiedon säilytyksen kriteerit, jotta elinkaaressa voidaan mennä eteenpäin sulavasti.

Yhteenveto

Kävimme jutussa läpi pari ensimmäistä kohtaa, joilla päästään alkuun tietosuojakysymyksiä ratkoessa. Henkilötietojen inventaarioon esiteltiin tietovuot, ja käytiin vähän läpi tietojen elinkaarta. Kokonaisvaltaiseen yrityksen tietosuojastrategiaan tästä on vielä matkaa — saatamme käydä joitain askelia vielä jatko-osien puitteissa.

Minä teen paraikaa lopputyötäni GDPR:n teknisten kysymysten parissa. Geniem taas on valmis tukemaan sinun organisaatiotasi tietosuojan varmistamiseksi GDPR Startilla. Tämä kirjoituksen suositukset perustuvat valtiovarainministeriön VAHTI-raporttiin GDPR:stä.