Page 22

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 21 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Seuraamusmaksuja GDPR:n rikkomisesta on Suomessa määrätty lukuisia. Suurimmat sakot sai Posti, kuten alkusanoissa aiemmin kerroin. Seuraavaksi suurimmat 750 000 euron sakot sai perintäyhtiö Alektum, joka jätti vastaamatta ihmisten pyyntöihin tarkistaa omat tietonsa sekä hidasti asian tutkintaa välttelemällä viranomaisia. Seuraamusmaksu määrättiin tammikuussa 2023. Muita ”lottovoittajia” ovat muun muassa ParkkiPate ja Taksi Helsinki. Lähde: https://www.tivi.fi/uutiset/kohuissa-ryvettynyt-perintayhtio-sai-750-000-eurongdpr-sakot-jatti-vastaamatta-tietopyyntoihin/702c0407-a946-4a45-b5b8-1d972f0e13db Lienee sanomattakin selvää, että organisaation maine voi kärsiä, mikä voi vaikuttaa liiketoimintaan pitkällä aikavälillä. Esimerkki: Yritys, joka ei huolehdi asiakkaidensa tietosuojasta, voi menettää asiakkaita kilpailijoilleen. Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo reaktiivisesti sekä aktiivisesti tietosuojalainsäädännön noudattamista. • Käsittelee kanteluita ja ilmoituksia rekisteröidyiltä (esim. kansalaisilta), jotka epäilevät tietosuojarikkomuksia. • Tutkii tietoturvaloukkauksia, joita rekisterinpitäjät ovat itse ilmoittaneet. • Käynnistää omia valvontahankkeita ja selvityksiä, esimerkiksi tarkastamalla tiettyjä sektoreita (esim. terveydenhuolto, oppilaitokset, yksityiset yritykset). • Osallistuu EU-tasoiseen valvontayhteistyöhön muiden maiden valvontaviranomaisten kanssa. Yksi tärkeimmistä tietoturvaprojekteissa käyttämistäni työkaluista on datakartta, jossa avataan koko organisaation tiedon käsittely eri formaateissa paperia myöten. Näin ollen tietosuojaselosteessa pystytään viittaamaan kätevästi suoraan datakarttaan. Tavoitteena on, että tietosuojaseloste säilyy samanlaisena, vaikka organisaation toiminta tietojenkäsittelyn osalta muuttuisi. Datakartta kannattaakin laajentaa henkilötietojen käsittelystä koko organisaation tietojen käsittelyä koskevaksi. Kätevää, kun yhdellä vilkaisulla, yhdessä dokumentissa hahmottaa hetkessä koko organisaation tiedon käsittelyn järjestelmiä/ohjelmia myöten! Muistettava asia on myös DPA eli Data Processing Agreement eli Sopimus henkilötietojen käsittelystä. Kun käsitellään asiakkaan henkilötietoja asiakkaan lukuun, esimerkiksi tilitoimisto käsittelee asiakkaan kirjanpidon aineistoja, niin tällöin näiden kahden osapuolen on tehtävä Sopimus henkilötietojen käsittelystä. Annan toisen esimerkin ICT-palveluista. Asiakkaalla on käytössä Microsoft 365 palvelu, jossa olennaisena osana on käyttäjien tunnistaminen Entra ID -palvelulla sekä käyttäjien hallinta. Kun käyttäjien tilejä (Microsoft 365 tilejä) hallinnoi ulkopuolinen ICT-palveluntarjoaja, on Sopimus henkilötietojen käsittelystä solmittava. Kyberresilienssisäädös Cyber Resilience Act (CRA) on Euroopan unionin kyberkestävyyssäädös, joka koskee digitaalisia tuotteita. Tavanomaisen yrityksen, joka ainoastaan käyttää digitaalisia tuotteita