Page 88

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 87 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Jos yrityksellä ei ole asetuksen perusteella velvollisuutta nimetä tietosuojavastaavaa, on suositeltavaa kuitenkin määritellä henkilö, jonka tehtävänä on tietosuoja-asioiden huomioiminen organisaation toiminnassa. Samalla tämä voisi toimia yhteyshenkilönä rekisteröidyn oikeuksiin ja viranomaisvalvontaan liittyvissä kysymyksissä. Tätä vapaaehtoista yhteyshenkilöä voisi kutsua esimerkiksi tietosuojahenkilöksi. Tietosuojavastaavan jääviys: Tietosuojavastaavan on oltava riippumaton, eikä hänellä voi olla eturistiriitoja tietosuojavastaavan tehtävien kanssa. Henkilötietojen käsittelyn tarkoitusten ja keinojen määrittely on rekisterinpitäjälle kuuluva tehtävä. Koska jokainen organisaatio on erilainen, eturistiriitoja on tarkasteltava tapauskohtaisesti. No ei monimutkaisteta tätä liikaa. Eturistiriidat estetään, kun tietosuojavastaavaksi ei nimetä tietoturvavastaavaa tai ylimmän johdon edustaja. Asetuksen 39 artiklan 1 kohdan mukaisesti tietosuojavastaava antaa neuvoja tietosuojaan liittyen rekisterinpitäjälle ja henkilötietoja käsitteleville työntekijöille. Hän seuraa asetuksen noudattamista sekä tietosuojaan liittyvän tiedottamisen ja koulutuksen toteutumista omassa organisaatiossaan. Tämän lisäksi tietosuojavastaavan on tehtävässään noudatettava palvelussuhteen laadusta riippuen joko työsopimuslain työntekijälle asettamia velvoitteita tai kunnallisen viranhaltijalain viranhaltijaa koskevia velvoitteita. Työsopimuslain 12 luvun 1.3 §:n mukaan työntekijän, joka tahallaan tai huolimattomuudesta aiheuttaa työssään työnantajalle vahinkoa, on korvattava työnantajalle aiheuttamansa vahinko vahingonkorvauslain 4 luvun 1 §:ssä säädettyjen perusteiden mukaan. Työntekijän vahingonkorvausvelvollisuutta ei voi lisätä enempää työ- kuin työehtosopimuksellakaan. Tietoturvavastaava Tietoturvavastaava vastaa organisaation tietoturvakäytäntöjen suunnittelusta, toteutuksesta ja valvonnasta Tietoturvavastaavan tulee olla riippumaton henkilö, jolla ei ole eturistiriitoja muiden IT- tai liiketoimintatehtävien kanssa. Esimerkiksi IT-järjestelmien pääkäyttäjä tai järjestelmän ylläpitäjä voi olla ongelmallinen tietoturvavastaavana, koska hän valvoisi omia toimiaan. Tai Esimerkiksi IT-päällikkö, joka hallinnoi järjestelmiä, voi olla liian läheisessä suhteessa valvottaviin prosesseihin. Henkilön tulisi olla asemassa, jossa hänellä on mahdollisuus vaikuttaa organisaation tietoturvapäätöksiin ja resursointiin. Voi toimia tietoturvavastaavana: ICT-päällikkö, riskienhallintapäällikkö, compliance officer, erikseen palkattu tietoturva-asiantuntija.