Tietosuoja-asetus lyhyesti, kun käytät pilvipalvelua

Moduuli 1: Miksi eurooppalainen pilvipalvelu? · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat nimetä tietosuoja-asetuksen roolit ja velvollisuudet, jotka koskevat pilvipalvelun käyttöä, ja selittää miksi vastuu säilyy sinulla, vaikka tiedot ovat toisen hallussa.

Ydinkäsitteet: tietosuoja-asetus (GDPR), henkilötiedot, käsittely, rekisterinpitäjä, henkilötietojen käsittelijä, alikäsittelijä, periaatteet (5 artikla), osoitusvelvollisuus, tietojenkäsittelysopimus (28 artikla), tietoturva (32 artikla), siirto (V luku), tietosuojavaltuutetun toimisto, sakot (83 artikla)

Miksi tietosuoja-asetus liittyy tähän yllättäen

Tietosuoja-asetus (yleinen tietosuoja-asetus, englanniksi GDPR) on eurooppalainen asetus: asetus (EU) 2016/679. Se on ollut suoraan sovellettavana kaikissa EU-maissa 25.5.2018 alkaen. Alankomaissa valvontaa hoitaa Autoriteit Persoonsgegevens (AP), joka on Alankomaiden tietosuojavaltuutetun toimisto; jokaisessa muussa EU-maassa on oma valvontaviranomaisensa, Suomessa tietosuojavaltuutetun toimisto.

Saatat ajatella, että tietosuoja-asetus koskee vain suuryrityksiä, joilla on asiakasrekistereitä. Mutta Rakeinen-leipomokin kuuluu sen piiriin. Sähköpostilaatikossa on tilauksia nimineen, osoitteineen ja puhelinnumeroineen. Verkkokansioissa on työvuorolistoja, palkkakuitteja ja kopio uuden työntekijän henkilötodistuksesta. Kalenterissa on asiakkaiden nimiä toimitusaikojen yhteydessä. Kaikki nämä ovat henkilötietoja: kaikki tunnistettua tai tunnistettavissa olevaa henkilöä koskevat tiedot (4 artiklan 1 kohta). Ja tallentaminen, sähköpostitse lähettäminen, jakaminen ja poistaminen ovat kaikki käsittelyä (4 artiklan 2 kohta).

Yksi poikkeus: puhtaasti yksityinen toiminta, kuten omat perhekuvasi, jää tietosuoja-asetuksen ulkopuolelle (ns. kotitalouspoikkeus, 2 artiklan 2 kohdan c alakohta). Heti kun kyse on työstäsi, yrityksestäsi tai yhdistyksestäsi, tietosuoja-asetus koskee sitä.

Tämä on selitystä, ei lakineuvontaa.

Kolme roolia: kuka on kuka?

Tärkein oivallus: vastuu ei siirry tietojen mukana. Leipomo pysyy rekisterinpitäjänä, vaikka tiedot sijaitsevat pilvipalvelussa. Jos pilvipalvelu lupaa jotain ja asiat menevät pieleen, leipomon on silti pystyttävä osoittamaan, että se teki järkevän valinnan ja sopi asioista kunnolla. Tätä kutsutaan osoitusvelvollisuudeksi (5 artiklan 2 kohta ja 24 artikla).

Huomaa: pilvipalvelu ei ole aina pelkästään käsittelijä. Jos palveluntarjoaja käyttää tietojasi myös omiin tarkoituksiinsa, kuten tuotekehitykseen, mainontaan tai omien järjestelmiensä kouluttamiseen, se on siltä osin itse rekisterinpitäjä. Tämä on yksi niistä asioista, jotka tarkistat käyttöehdoista ja tietojenkäsittelysopimuksesta (oppitunti 9.2).

Periaatteet, jotka liittyvät pilveen

5 artiklassa luetellaan periaatteet, joita jokaisen käsittelyn on noudatettava. Pilvipalvelun valinnan kannalta tärkeimmät ovat seuraavat:

• Käyttötarkoitussidonnaisuus: käytät tietoja vain siihen tarkoitukseen, johon ne on kerätty. Palvelu, joka käyttää asiakastietojasi omiin tarkoituksiinsa, on tämän periaatteen kanssa ristiriidassa.
• Tietojen minimointi: älä säilytä enempää kuin on tarpeen. Siirtyminen on hyvä hetki siivota turhat tiedot (oppitunti 3.2).
• Säilytyksen rajoittaminen: älä säilytä pidempään kuin on tarpeen. Mieti vaikkapa vanhoja työhakemuksia sähköpostilaatikossa.
• Eheys ja luottamuksellisuus: asianmukainen suojaus menetystä, varkautta ja luvatonta pääsyä vastaan. Tätä tarkennetaan 32 artiklassa: ryhdyt toimenpiteisiin, jotka vastaavat riskiä, kuten salaukseen, pääsynhallintaan, häiriöistä palautumiseen ja säännölliseen testaamiseen.

Neljä velvollisuutta, joihin törmäät siirtymän yhteydessä

1. Valitse käsittelijä, joka tarjoaa riittävät takeet (28 artiklan 1 kohta). Sinun on siis selvitettävä, miten palveluntarjoaja suojaa tietoja ja missä se käsittelee niitä. Tähän perehdyt moduulissa 2.
2. Tee tietojenkäsittelysopimus (28 artiklan 3 kohta). Siihen kuuluvat pakolliset aiheet: mitä käsitellään, ohjeet, salassapito, tietoturva, alikäsittelijät, apu tietoturvaloukkauksissa ja mitä tiedoille tapahtuu, kun lopetat palvelun käytön. Tätä käsitellään oppitunnilla 9.2.
3. Pidä selostetta käsittelytoimista (30 artikla). Luettelo käsittelyistäsi: mitä tietoja, miksi, kenen kanssa jaettu, kuinka kauan säilytetään. Siirtymän jälkeen päivität vastaanottajat ja säilytyspaikan (oppitunti 9.3).
4. Noudata ETA:n ulkopuolelle tapahtuvan siirron sääntöjä (V luku, 44-49 artikla). Jos tiedot siirtyvät Euroopan talousalueen ulkopuoliseen maahan, se on sallittua vain jos kyseisessä maassa on riittävä tietosuojan taso (tietosuojan riittävyyttä koskeva päätös, 45 artikla) tai jos käytössä on lisäsuojatoimia, kuten vakiosopimuslausekkeet (46 artikla). Tästä kertoo oppitunti 1.4.

Mitä tapahtuu, jos jotain menee pieleen?

Tietoturvaloukkauksen (esimerkiksi hakkeroidun tilin, jossa on asiakastietoja) sattuessa rekisterinpitäjän on ilmoitettava siitä tietosuojavaltuutetun toimistolle 72 tunnin kuluessa, ellei se todennäköisesti aiheuta riskiä (33 artikla). Käsittelijän on ilmoitettava asiasta rekisterinpitäjälle "ilman aiheetonta viivytystä" (33 artiklan 2 kohta). Siksi hyvässä tietojenkäsittelysopimuksessa kerrotaan, kuinka nopeasti palveluntarjoaja varoittaa sinua.

Tietosuojavaltuutetun toimisto voi määrätä sakkoja. Vakavimmista rikkomuksista enimmäissakko on 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuosiliikevaihdosta, sen mukaan kumpi on suurempi (83 artiklan 5 kohta). Pienille organisaatioille sakko on harvoin suurin riski. Todellinen riski on asiakkaille ja työntekijöille aiheutuva vahinko sekä luottamuksen menetys.

Miksi tämä vaikuttaa pilvipalvelusi valintaan

Tietosuoja-asetus ei kiellä yhdysvaltalaisten pilvipalveluiden käyttöä. Sinun on kuitenkin pystyttävä selittämään, miksi valintasi on vastuullinen: mitä tietoja, mitä riskejä, mitä sopimuksia. Mitä arkaluonteisempia tiedot ovat (terveys, lapset, raha-asiat, henkilöstötiedostot), sitä painavampi tämä punninta on. Leipomolle tilanne on yksinkertainen; fysioterapiapalvelulle tai koululle se painaa paljon enemmän. Palvelu, joka sijaitsee ETA:ssa, käsittelee tiedot ETA:ssa eikä käytä ETA:n ulkopuolisia alikäsittelijöitä, helpottaa tätä punnintaa huomattavasti, koska siirtosäännöt eivät silloin tule kyseeseen.

Käytännössä: näin se näkyy palveluntarjoajalla

Yrityskäyttöön tarkoitetulla palveluntarjoajalla pitäisi olla tietojenkäsittelysopimus ja luettelo alikäsittelijöistä. WebOkén Nextcloud-oppaan usein kysytyissä kysymyksissä kerrotaan, että teet tietojenkäsittelysopimuksen, jos käytät Nextcloudia yritystoiminnassa ja tallennat sinne muiden henkilötietoja. Muilla palveluntarjoajilla vastaava tieto löytyy yleensä otsikon "Tietojenkäsittelysopimus", "Data Processing Agreement (DPA)" alta tai verkkosivun alareunan oikeudellisista asiakirjoista.

Yhteenveto

• Myös pieni organisaatio käsittelee henkilötietoja sähköpostissa, kalenterissa ja tiedostoissa, ja kuuluu siis tietosuoja-asetuksen piiriin.
• Olet rekisterinpitäjä; pilvipalvelu on käsittelijä; sen toimittajat ovat alikäsittelijöitä.
• Vastuu ei siirry mukana: sinun on valittava käsittelijä, joka tarjoaa riittävät takeet, ja pystyttävä selittämään tämä.
• Tärkeitä artikloja: 5 (periaatteet), 28 (käsittelijä ja tietojenkäsittelysopimus), 30 (seloste), 32 (tietoturva), 33 (tietoturvaloukkaus 72 tunnin kuluessa), 44-49 (siirto).
• Tiedot, jotka pysyvät ETA:n sisällä, helpottavat punnintaa, koska siirtosäännöt eivät silloin koske niitä.

Tietovisa

Tehtävä

Tehtävä E1.2: Omat roolisi ja tietosi. Laadi lyhyt luettelo henkilötiedoista, joita organisaatiollasi on pilvessä (sähköposti, kalenteri, tiedostot, chat). Merkitse jokaisen tietolajin kohdalle, kuka on rekisterinpitäjä, kuka käsittelijä, ja onko mukana arkaluonteisia tietoja.

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén palveluita; muilla palveluntarjoajilla toiminta on vastaavaa.

• Nextcloud-opas 15.13: Usein kysytyt kysymykset turvallisuudesta ja yksityisyydestä
• Nextcloud-opas 3.1: Miten WebOké suojaa Nextcloudiasi?
• Asetus (EU) 2016/679 (tietosuoja-asetus), artiklat 4, 5, 24, 28, 30, 32, 33, 44-49 ja 83, EUR-Lex-sivustolla
• Autoriteit Persoonsgegevens (Alankomaiden tietosuojavaltuutetun toimisto), aiheet "Tietojenkäsittelysopimus" ja "Tietoturvaloukkauksen ilmoittaminen": https://www.autoriteitpersoonsgegevens.nl