Vaatiiko GDPR tietosuojakoulutuksen jokaiselle työntekijälle?

Yleinen tietosuoja-asetus ei nimeä tiettyä kurssia tai tuntimäärää. Sen 5 artikla kuitenkin velvoittaa rekisterinpitäjän osoittamaan, että tietosuojaperiaatteita noudatetaan. Siksi organisaation pitää pystyä näyttämään, että henkilötietoja käsittelevillä työntekijöillä on tehtävään sopiva perusosaaminen.

Mitä jokaisen työntekijän pitää osata henkilötiedoista?

Työntekijän pitää tunnistaa henkilötieto, ymmärtää miksi tietoa käsitellään, tietää käsittelyn oikeusperuste, tunnistaa rekisteröidyn oikeudet ja osata ilmoittaa mahdollisesta henkilötietojen tietoturvaloukkauksesta organisaation sisällä.

Miten henkilöstön tietosuojaosaaminen osoitetaan?

Osaaminen osoitetaan dokumenteilla, jotka kertovat, mitä sisältöä on opetettu, kenelle se on tarkoitettu, mihin yleisen tietosuoja-asetuksen kohtiin se liittyy ja kuka on suorittanut sen. Hyvä näyttö sisältää myös osaamisen tarkistuksen.

Mikä on 72 tunnin sääntö tietosuojassa?

Yleisen tietosuoja-asetuksen 33 artiklan mukaan rekisterinpitäjän on ilmoitettava henkilötietojen tietoturvaloukkauksesta valvontaviranomaiselle mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta, ellei loukkauksesta todennäköisesti aiheudu riskiä ihmisille.

Pitääkö työntekijän ratkaista rekisteröidyn oikeuksia koskevat pyynnöt itse?

Ei yleensä yksin. Työntekijän pitää tunnistaa pyyntö ja ohjata se organisaation sovittuun käsittelyyn. Yleisen tietosuoja-asetuksen 12 artikla asettaa rekisterinpitäjälle määräajat ja velvoitteet vastata rekisteröidyn pyyntöihin.

Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?

GDPR ei määrää yhtä kurssia, mutta rekisterinpitäjän pitää osoittaa, että henkilöstö osaa käsitellä henkilötietoja oikein.

Lyhyesti

Tietosuojaosaaminen tarkoittaa, että henkilötietoja käsittelevä työntekijä tunnistaa henkilötiedon, ymmärtää käsittelyn tarkoituksen ja perusteen, tuntee rekisteröidyn oikeudet ja huomaa mahdollisen henkilötietojen tietoturvaloukkauksen. Yleinen tietosuoja-asetus ei määrää kaikille samaa kurssia, mutta sen 5 artikla asettaa rekisterinpitäjälle vastuun ja velvollisuuden osoittaa, että tietosuojaperiaatteita noudatetaan. Siksi osaaminen pitää pystyä näyttämään työtehtäviin sidotuilla sisällöillä, suorituksilla ja dokumenteilla. Erityisen tärkeää on nopea ilmoittaminen organisaation sisällä, koska 33 artiklassa rekisterinpitäjän ilmoitus valvontaviranomaiselle liittyy 72 tunnin määräaikaan.

Kenelle tietosuojaosaamista tarvitaan?

Tietosuoja koskee työtä silloin, kun työssä käsitellään henkilötietoja. Henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan ihmiseen. Arkinen esimerkki on nimi sähköpostissa, asiakasnumero, työntekijän sairauspoissaolomerkintä tai kuntalaisen hakemus.

Yleisen tietosuoja-asetuksen 4 artikla erottaa kaksi roolia. Rekisterinpitäjä päättää, miksi ja miten henkilötietoja käsitellään. Henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän puolesta. Kunta voi olla rekisterinpitäjä palvelutehtävässään. Yritys voi olla rekisterinpitäjä asiakasrekisterissään. Ulkoinen palveluntarjoaja voi olla henkilötietojen käsittelijä, jos se käsittelee tietoja asiakkaansa lukuun.

Perusosaamista tarvitaan kaikissa tehtävissä, joissa henkilötieto voi näkyä. Se voi olla asiakaspalvelua, henkilöstöhallintoa, laskutusta, opetusta, sosiaalipalvelua, myyntiä tai järjestelmän ylläpitoa. Osaamisen taso riippuu tehtävästä. Kaikkien ei tarvitse osata ratkaista vaikeaa oikeusperustetta. Jokaisen henkilötietoja käsittelevän pitää silti tunnistaa, milloin asia kuuluu tietosuojan piiriin.

Jokaisen perusosaaminen alkaa henkilötiedon tunnistamisesta

Ensimmäinen taito on erottaa henkilötieto muusta tiedosta. Tieto voi olla henkilötietoa myös silloin, kun nimi ei näy suoraan. Esimerkiksi sijaintitieto, verkkotunniste tai yhdistelmä tietoja voi tehdä ihmisestä tunnistettavan.

Toinen taito on tunnistaa erityiset henkilötietoryhmät. Yleisen tietosuoja-asetuksen 9 artikla koskee esimerkiksi terveyttä, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta, ammattiliiton jäsenyyttä, geneettisiä tietoja, biometrisiä tunnistetietoja sekä seksuaalista käyttäytymistä ja suuntautumista koskevia tietoja. Näitä tietoja käsitellään työssä vain, jos käsittelylle on asetuksessa tarkoitettu peruste.

Kolmas taito on ymmärtää, että käsittely on laaja käsite. Yleisen tietosuoja-asetuksen 4 artiklan mukaan käsittelyä voi olla esimerkiksi kerääminen, tallentaminen, käyttö, luovuttaminen, poistaminen tai tuhoaminen. Työn arjessa tämä tarkoittaa, että myös tiedoston avaaminen, asiakastiedon hakeminen tai sähköpostin lähettäminen voi olla henkilötietojen käsittelyä.

Neljäs taito on erottaa pseudonymisoitu tieto nimettömästä tiedosta. Pseudonymisointi tarkoittaa, että tieto ei enää yhdisty tiettyyn ihmiseen ilman lisätietoja. Se ei automaattisesti poista tietosuojan tarvetta, jos lisätiedot ovat olemassa.

Työntekijän pitää ymmärtää käsittelyn periaatteet ja peruste

Yleisen tietosuoja-asetuksen 5 artikla kokoaa henkilötietojen käsittelyn periaatteet. Työn arjessa ne näkyvät yksinkertaisina kysymyksinä.

Osaaminen	Mitä se tarkoittaa työssä	Lähde
Lainmukaisuus ja läpinäkyvyys	Henkilötietoja käsitellään vain sovittuun ja ymmärrettävään tarkoitukseen.	Yleinen tietosuoja-asetus, 5 artikla
Käyttötarkoitussidonnaisuus	Tietoa ei käytetä uuteen tarkoitukseen vain siksi, että se on saatavilla.	Yleinen tietosuoja-asetus, 5 artikla
Tietojen minimointi	Työhön otetaan mukaan vain ne henkilötiedot, joita tehtävä vaatii.	Yleinen tietosuoja-asetus, 5 artikla
Täsmällisyys	Virheellinen henkilötieto huomataan ja korjataan sovitun menettelyn mukaan.	Yleinen tietosuoja-asetus, 5 artikla
Säilytyksen rajoittaminen	Henkilötietoa ei säilytetä tunnistettavassa muodossa pidempään kuin tarkoitus vaatii.	Yleinen tietosuoja-asetus, 5 artikla
Eheys ja luottamuksellisuus	Tieto suojataan luvattomalta käytöltä, häviämiseltä ja vahingoittumiselta.	Yleinen tietosuoja-asetus, 5 artikla

Periaatteiden lisäksi työntekijän pitää ymmärtää, että käsittelylle tarvitaan oikeusperuste. Yleisen tietosuoja-asetuksen 6 artikla listaa perusteet, joiden nojalla käsittely voi olla lainmukaista. Näitä ovat esimerkiksi suostumus, sopimus, lakisääteinen velvoite, elintärkeä etu, yleistä etua koskeva tehtävä, julkisen vallan käyttö ja oikeutettu etu.

Tämä ei tarkoita, että jokainen työntekijä valitsee oikeusperusteen itse. Se tarkoittaa, että työntekijä ymmärtää, ettei henkilötietoja käsitellä vain varmuuden vuoksi tai mielenkiinnosta. Jos käyttötarkoitus muuttuu, asia vaatii uuden arvion.

Rekisteröidyn oikeudet pitää tunnistaa ajoissa

Rekisteröity on henkilö, jonka tietoja käsitellään. Hän voi olla asiakas, kuntalainen, työnhakija, työntekijä, oppilas tai palvelun käyttäjä. Yleisen tietosuoja-asetuksen 12 artikla edellyttää, että rekisterinpitäjä helpottaa rekisteröidyn oikeuksien käyttämistä.

Työntekijän perusosaaminen on pyyntöjen tunnistamista. Henkilö voi pyytää nähdä omat tietonsa. Hän voi pyytää virheen korjaamista. Hän voi pyytää poistamista, käsittelyn rajoittamista tai tietojen siirtämistä. Nämä oikeudet perustuvat yleisen tietosuoja-asetuksen 15–20 artikloihin.

Määräajat ovat rekisterinpitäjän vastuulla. Yleisen tietosuoja-asetuksen 12 artiklan mukaan tiedot toimenpiteistä on toimitettava ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella, kun pyyntöjen monimutkaisuus ja määrä sitä edellyttävät. Rekisteröidylle on tällöin kerrottava jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta.

Työntekijän arjessa tämä tarkoittaa, että pyyntöä ei pidä hukata tavallisen asiakaspalautteen joukkoon. Organisaation pitää tietää, mistä päivästä määräaika alkaa. Siksi perusosaamiseen kuuluu tunnistaa sanat ja tilanteet, jotka voivat olla tietopyyntö tai muu rekisteröidyn oikeuden käyttö.

Henkilötietojen tietoturvaloukkaus pitää huomata nopeasti

Henkilötietojen tietoturvaloukkaus on tilanne, jossa henkilötieto tuhoutuu, häviää, muuttuu, luovutetaan luvatta tai siihen päästään luvatta. Tämä perustuu yleisen tietosuoja-asetuksen 4 artiklaan. Arkinen esimerkki on väärälle vastaanottajalle lähetetty henkilötietoja sisältävä viesti tai kadonnut laite, jossa on henkilötietoja.

Yleisen tietosuoja-asetuksen 33 artikla asettaa rekisterinpitäjälle ilmoitusvelvollisuuden valvontaviranomaiselle. Ilmoitus tehdään ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus on tullut ilmi. Poikkeus koskee tilannetta, jossa loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille.

Henkilötietojen käsittelijän rooli on erikseen mainittu 33 artiklassa. Sen on ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan sen tietoonsa.

Yleisen tietosuoja-asetuksen 34 artikla koskee ilmoittamista rekisteröidylle. Rekisterinpitäjän on ilmoitettava rekisteröidylle ilman aiheetonta viivytystä, kun henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille.

Työntekijän ei tarvitse ratkaista yksin, ilmoitetaanko asiasta valvontaviranomaiselle tai rekisteröidylle. Perusosaaminen on tunnistaa mahdollinen loukkaus ja saada tieto oikeaan sisäiseen kanavaan nopeasti. Tämä liittyy myös henkilöstön kyberhygieniaan. Aihe jatkuu artikkelissa Mitä kyberturvallisuuslaki vaatii henkilöstön kyberhygienialta?.

Miten osaaminen osoitetaan käytännössä?

Osoitusvelvollisuus on yleisen tietosuoja-asetuksen 5 artiklan ydinkohta. Rekisterinpitäjä vastaa periaatteiden noudattamisesta ja sen pitää pystyä osoittamaan noudattaminen. Henkilöstön osaaminen on osa tätä kokonaisuutta, kun henkilöstö käsittelee henkilötietoja.

Käytännön näyttö voi koostua useasta osasta:

mitä henkilötietojen käsittelyn aiheita on käsitelty
mihin yleisen tietosuoja-asetuksen artikloihin sisältö liittyy
mille rooleille sisältö on tarkoitettu
kuka on suorittanut sisällön
miten osaaminen on tarkistettu
miten suoritus voidaan todentaa myöhemmin

Pelkkä osallistumismerkintä kertoo, että henkilö oli mukana. Se ei vielä kerro, ymmärsikö hän sisällön. Siksi osaamisen tarkistaminen on vahvempi näyttö kuin pelkkä läsnäolo. Dokumentointi auttaa myös silloin, kun asiakas tai valvontaviranomainen kysyy, miten organisaatio varmistaa henkilötietojen käsittelyn perusosaamisen.

Hyvä näyttö ei tee organisaatiosta automaattisesti vaatimustenmukaista. Se tukee kuitenkin sitä, että organisaatio voi näyttää järjestelmällisen tavan opettaa ja tarkistaa perusasiat. Lyhyen ja toistuvan opiskelun hyödyistä on lisää artikkelissa Mikro-oppiminen työpaikalla: miksi lyhyt ja toistuva voittaa koulutuspäivän.

Mitä tietosuojaosaamisen vaatimus ei tarkoita?

Yleinen tietosuoja-asetus ei määrää nimeltä tiettyä koulutusta. Se ei määrää, että kaikilla työntekijöillä olisi sama sisältö. Se ei myöskään määrää tiettyä todistuksen muotoa henkilöstön osaamisesta.

Osaamisen vaatimus ei tarkoita, että jokainen työntekijä tekee juridiset päätökset yksin. Oikeusperusteen valinta, erityisten henkilötietoryhmien käsittelyn arviointi ja tietoturvaloukkauksen lopullinen ilmoitusarvio kuuluvat organisaation sovittuun vastuuketjuun.

Rekisteröidyn oikeudet eivät myöskään aina johda pyydettyyn lopputulokseen. Yleisen tietosuoja-asetuksen 17 artiklassa on tilanteita, joissa poistamista koskevaa oikeutta ei sovelleta. Yleisen tietosuoja-asetuksen 20 artiklan mukaan tietojen siirtämistä koskeva oikeus ei koske käsittelyä, joka on tarpeen yleistä etua koskevan tehtävän suorittamista tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä varten.

Tärkeä raja on myös se, että tietosuoja ei ole sama asia kuin kaikki tietoturva. Tietoturva suojaa järjestelmiä ja tietoja. Tietosuoja keskittyy henkilötietoihin ja ihmisten oikeuksiin. Ne liittyvät silti arjessa toisiinsa, koska henkilötietojen tietoturvaloukkaus syntyy usein tietoturvan pettämisestä. Tekoälyn käytössä henkilötietojen käsittely voi liittyä myös tekoälyosaamiseen, jota käsitellään artikkelissa Tekoälyasetuksen 4 artikla: mitä henkilöstön tekoälyosaamisesta vaaditaan.