Page 87

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 86 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA • Poikkeamien vastaanottaminen ja käsittely, esimerkiksi tietomurtojen, epäilyttävien viestien tai muiden turvallisuusuhkien raportointi. • Yhteistyö ICT-osaston ja johdon kanssa riskien arvioimiseksi ja hallitsemiseksi. • Tarvittaessa yhteydenpito viranomaisiin (esim. Kyberturvallisuuskeskus). Hyvä tietoturvan yhteyshenkilö on helposti tavoitettavissa, pitää tiedon ajan tasalla ja rohkaisee työntekijöitä ilmoittamaan kaikista epäilyttävistä tilanteista matalalla kynnyksellä. Tietosuojavastaava Tietosuojavastaava ei voi olla sellaisessa asemassa tai tehtävässä, jossa hänen on määritettävä henkilötietojen käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelyn tarkoitusten ja keinojen määrittely on rekisterinpitäjälle kuuluva tehtävä. Eturistiriitoja voi syntyä, jos tietosuojavastaavaksi on nimetty esimerkiksi tietoturvavastaava tai ylimmän johdon edustaja. Tietosuojavastaavat eivät ole henkilökohtaisesti vastuussa yleisen tietosuoja-asetuksen noudattamatta jättämisestä. Tietosuojasäännösten noudattaminen on rekisterinpitäjän tai henkilötietojen käsittelijän vastuulla. Rekisterinpitäjä on taho (organisaatio tai henkilö), joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Tietosuojavastaava voidaan nimittää myös silloin, kun tietosuoja-asetus ei siihen velvoita. Jos organisaatio nimittää tietosuojavastaavan vapaaehtoisesti, tietosuojavastaavan nimittämiseen, asemaan ja tehtäviin sovelletaan tietosuoja-asetuksen vaatimuksia samalla tavoin kuin silloin, kun nimittäminen on pakollista Jos yrityksellä ei ole asetuksen perusteella velvollisuutta nimetä tietosuojavastaavaa, on suositeltavaa kuitenkin määritellä henkilö, jonka tehtävänä on tietosuoja-asioiden huomioiminen organisaation toiminnassa. Samalla tämä voisi toimia yhteyshenkilönä rekisteröidyn oikeuksiin ja viranomaisvalvontaan liittyvissä kysymyksissä. Vapaaehtoista yhteyshenkilöä voisi kutsua esimerkiksi tietosuojahenkilöksi. Se, pitääkö organisaation nimetä tietosuojavastaava, riippuu organisaation toimialasta. Jos henkilötietojen käsittely yrityksessä rajoittuu omien työntekijöiden ja asiakkaiden tietoihin, tietosuojavastaavaa ei tarvitse nimetä. Organisaation koko tai tietojenkäsittelyn laajuus eivät vaikuta asiaan. Tietosuojavastaava pitää nimetä, jos ihmisiä koskevien tietojen käsittely on organisaation liiketoiminnan ydintä. Tietosuojavastaavaa ei tosin tarvitse nimittää aina tällöinkään. Tietosuojavastaava on nimettävä, kun henkilötietojen käsittely – siis organisaation liiketoiminta – edellyttää rekisteröityjen laajamittaista, säännöllistä ja järjestelmällistä seurantaa. Kriteereitä on paljon, avainsana on seuranta, ja esimerkiksi pienimuotoinen toiminta on sallittua ilman tietosuojavastaavaakin.