Tietosuoja ja tietoturva sekoitetaan jatkuvasti toisiinsa, mutta yritysjohtajalle niiden ero on kriittinen. Tietosuoja on vastaus kysymykseen miksi ja millä oikeudella henkilötietoja käsitellään. Tietoturva taas on vastaus kysymykseen miten kyseinen tieto pidetään turvassa. Pelkkä tekninen suojaus ei riitä, jos tiedon keräämiselle ei ole laillista perustetta – ja päinvastoin.
Virheen tekeminen jommallakummalla osa-alueella voi johtaa paitsi tuntuvin sakkoihin, myös asiakasluottamuksen menetykseen. Siksi johdon on ymmärrettävä molempien periaatteet ja omat vastuunsa.
Mikä on tietosuoja? Ihmisen oikeus, ei tekninen ominaisuus
Tietosuoja on perusoikeus, joka turvaa yksilön oikeutta omiin henkilötietoihinsa. Se ei ole IT-järjestelmien ominaisuus vaan juridinen ja strateginen kehys, joka määrittelee pelisäännöt henkilötietojen käsittelylle. GDPR eli EU:n yleinen tietosuoja-asetus on tämän kehyksen ytimessä.
Tietosuojan keskeiset periaatteet ovat:
- Lainmukaisuus ja läpinäkyvyys: Henkilötietojen käsittelylle on aina oltava laillinen peruste, kuten sopimus, suostumus tai oikeutettu etu. Käsittelyn on oltava läpinäkyvää sille henkilölle, jonka tietoja kerätään.
- Käyttötarkoitussidonnaisuus: Tiedot on kerättävä tiettyä, nimenomaista tarkoitusta varten. Niitä ei saa myöhemmin käyttää muihin, alkuperäisen tarkoituksen kanssa yhteensopimattomiin tarkoituksiin.
- Tietojen minimointi: Vain käyttötarkoituksen kannalta tarpeellisia henkilötietoja saa kerätä. Jos et tarvitse tietoa, älä kerää sitä.
- Säilytyksen rajoittaminen: Henkilötietoja saa säilyttää vain niin kauan kuin se on tarpeellista niiden käyttötarkoituksen vuoksi.
Tietosuoja varmistaa, että yrityksesi ei ainoastaan suojaa dataa, vaan myös kunnioittaa ihmisten oikeuksia päättää omista tiedoistaan.
Mikä on tietoturva? Työkalut datan suojaamiseen
Tietoturva, tai tietoturvallisuus, on käytännön toimenpiteiden kokonaisuus, jolla suojataan tietoa luvattomalta käytöltä, muuttamiselta, tuhoamiselta tai paljastumiselta. Se on välttämätön työkalu tietosuojan toteuttamiseksi, mutta se kattaa myös muun kuin henkilötiedon, kuten liikesalaisuudet.
Tietoturva jaetaan tyypillisesti kolmeen päätavoitteeseen:
- Luottamuksellisuus: Tieto on vain siihen oikeutettujen henkilöiden saatavilla.
- Eheys: Tieto säilyy muuttumattomana ja oikeellisena koko elinkaarensa ajan.
- Saatavuus: Tieto ja sitä käsittelevät järjestelmät ovat oikeutettujen käyttäjien käytettävissä silloin, kun niitä tarvitaan.
Käytännössä tietoturva tarkoittaa esimerkiksi palomuureja, salaustekniikoita, pääsynhallintaa, henkilöstön kouluttamista ja selkeitä toimintaohjeita. Se on teknisten ja organisatoristen toimenpiteiden yhdistelmä, joka muodostaa suojamuurin datan ympärille.
Vertauskuva: Talo, asukas ja turvajärjestelmä
Eron voi hahmottaa yksinkertaisella vertauksella:
- Talo on yrityksesi hallussa oleva data.
- Asukas on henkilö, jonka tietoja talossa säilytetään (rekisteröity).
- Turvajärjestelmä – lukot, hälyttimet ja valvontakamerat – on tietoturva. Se estää ulkopuolisia pääsemästä sisään ja tekemästä tuhojaan.
- Säännöt siitä, kenelle annetaan avain, miksi hän saa tulla sisään, mitä hän saa talossa tehdä ja kuinka kauan hän saa siellä olla, on tietosuoja. Se turvaa asukkaan oikeuksia ja yksityisyyttä.
Vaikka talossa olisi maailman paras turvajärjestelmä (tietoturva), asukkaan oikeudet eivät toteudu, jos avaimia jaetaan holtittomasti vääriin tarkoituksiin (tietosuojan laiminlyönti).
Yritysjohtajan vastuu: Kaksi puolta samasta kolikosta
Johtajan vastuulla on varmistaa, että organisaatiossa ymmärretään molemmat osa-alueet. Vastuu ei ole siirrettävissä pelkästään IT-osastolle tai lakimiehelle, vaan se on osa liiketoiminnan riskienhallintaa.
Johdon vastuulla tietosuojassa:
- Määrittele strategia: Miksi ja mitä henkilötietoja keräämme? Mikä on käsittelyn laillinen peruste? Liiketoimintajohdon on tehtävä nämä linjaukset.
- Varmista resurssit: Onko yrityksellä osaamista ja työkaluja laatia ja ylläpitää tarvittavaa dokumentaatiota, kuten tietosuojaselosteita ja käsittelytoimien kuvauksia?
- Luo prosessit: Miten varmistamme, että asiakkaat voivat käyttää oikeuksiaan (esim. pyytää tietojensa poistoa)? Miten prosessi toimii käytännössä?
Johdon vastuulla tietoturvassa:
- Arvioi riskit: Mitkä ovat suurimmat uhat tiedoillemme? Onko kyseessä ulkopuolinen hakkeri, inhimillinen virhe vai järjestelmän pettäminen?
- Toteuta suojatoimet: Varmista, että tekniset suojakeinot (salaukset, pääsynhallinta) ovat riittävällä tasolla ja että henkilöstö on koulutettu tunnistamaan tietoturvauhat.
- Valmistaudu pahimpaan: Onko yrityksellä selkeä suunnitelma tietoturvaloukkauksen varalle? Kuka tekee mitä ja missä ajassa? Aikaa reagointiin on vähän.
Yleisimmät virheet, jotka maksavat yritykselle kalliisti
-
Tietosuojaselosteen kopiointi kilpailijalta. Tämä on yksi yleisimmistä ja vaarallisimmista virheistä. Tietosuojaselosteen on kuvattava juuri sinun yrityksesi toimintaa: mitä tietoja keräät, miksi, miten kauan säilytät ja kenelle luovutat. Kopioitu seloste on valvontaviranomaisen silmissä pahempi kuin ei selostetta lainkaan, koska se osoittaa välinpitämättömyyttä ja antaa virheellistä tietoa.
-
Oletus "IT-osasto hoitaa tämän". Tietoturva on pitkälti teknistä, mutta tietosuoja on strateginen ja juridinen kokonaisuus. IT-osasto voi pystyttää palomuurin, mutta se ei voi päättää, onko markkinointirekisterin keräämiselle laillista perustetta. Tämä päätös kuuluu liiketoimintajohdolle.
-
Valmistautumattomuus tietoturvaloukaukseen. Laki vaatii, että vakavasta tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle 72 tunnin kuluessa sen ilmitulosta. Tämä aikaraja on äärimmäisen lyhyt. Jos toimintamallia ei ole harjoiteltu etukäteen, ilmoituksen tekeminen ajallaan on lähes mahdotonta. 72 tuntia ei ole aikaa suunnitella, vaan ainoastaan toimia.
Lopulta tietosuojan ja tietoturvan eron ymmärtäminen ei ole juridista saivartelua, vaan keskeinen osa nykyaikaista riskienhallintaa. Toimiva tietoturva on edellytys lainmukaiselle tietosuojalle, mutta ilman selkeää tietosuojastrategiaa paraskin teknologia suojaa vääriä asioita väärin perustein.
Usein kysytyt kysymykset
Pitääkö pk-yrityksen nimittää tietosuojavastaava (DPO)?
Useimpien pk-yritysten ei tarvitse nimittää erillistä tietosuojavastaavaa. Velvollisuus koskee pääasiassa julkisen sektorin toimijoita sekä yrityksiä, joiden ydintehtävä on laajamittainen tai arkaluonteisten henkilötietojen järjestelmällinen käsittely. Vaikka DPO:ta ei tarvitsisi nimetä, on yrityksessä silti varmistettava, että tietosuoja-asioista vastaa joku tai että vastuut on selkeästi jaettu.
Mikä on DPA ja milloin sitä tarvitaan?
DPA (Data Processing Agreement) eli henkilötietojen käsittelysopimus tarvitaan aina, kun ulkopuolinen palveluntarjoaja käsittelee henkilötietoja yrityksesi lukuun. Tällaisia tilanteita ovat esimerkiksi palkanlaskennan ulkoistaminen, pilvipalvelun käyttö tai markkinointiautomaation ohjelmisto. Sopimuksella varmistetaan, että myös kumppani noudattaa tietosuoja-asetuksen vaatimuksia.
Mitä "henkilötieto" oikeastaan tarkoittaa?
Henkilötieto on laajempi käsite kuin moni olettaa. Se on mikä tahansa tieto, joka voidaan suoraan tai epäsuorasti yhdistää tunnistettavissa olevaan luonnolliseen henkilöön. Nimen ja henkilötunnuksen lisäksi henkilötietoja ovat esimerkiksi puhelinnumero, sähköpostiosoite, kuva, IP-osoite, auton rekisterinumero ja jopa tietyissä tilanteissa sijaintitieto.
