Vinkkejä projektiin

Jos et ole vielä aloittanut projektia…

Näin hoidat koko projektin kätevästi Pro Tietosuoja -palvelulla

1. Kokoa hyvä ja motivoitunut ryhmä tai ota pienessä organisaatiossa itsesi lisäksi ainakin yksi sparraaja (osallistujat eri vastuualueilta, esimerkiksi talous- ja henkilöstöhallinnosta, myynnistä ja markkinoinnista, tietohallinnosta).
2. Pidä aloituspalaveri. Se tarvitsee rauhallisen paikan ja riittävästi aikaa. Tutustu ryhmän kanssa Pro Tietosuojan käytännönläheisiin ja helposti ymmärrettäviin kysymyksiin ja työkaluihin (katso edeltä vinkkejämme selvitettävistä ja pohdittavista kysymyksistä).
3. Palaverin jälkeen on hyvä pitää pieni tuumaustauko ja jättää asiat hautumaan. Osallistujat voivat sen aikana rauhassa miettiä omaa vastuualuettaan ja tietosuoja-asetusta.
4. Jatkopalaverissa ryhmä kokoaa vastaukset ja syöttää kohta kohdalta ensimmäiset vastaukset järjestelmään. Tässä vaiheessa ei tavoitella täydellisyyttä tai lopullista muotoa, koska vastauksia on helppo täydentää ja muuttaa tarvittaessa.
5. Kun kaikkiin kysymyksiin on vastattu, on muodostunut organisaation ensimmäinen dokumentaatio. Hyvin tehtynä se täyttää asetuksen vaatimukset. Muista kuitenkin, että dokumentaation kehittäminen ja ylläpito ei lopu tähän. Tiedot vanhenevat nopeasti ja salakavalasti.
6. Seuraava askel on riskien arviointi. Vastatkaa palvelun kysymyksiin ja arvioikaa vaarat, riskit, ongelmat ja puutteet.  Näin syntyy riskien arvioinnin dokumentti. Varmistakaa, että  sovituista toimenpiteistä ja päivämääristä pidetään kiinni!
7. Kouluta koko henkilöstö niin, että jokainen ymmärtää asetuksen sisällön. Erityisen tärkeää tämä on niille, jotka käsittelevät eniten henkilötietoja. Tietoturva koskee koko henkilöstöä! Muista huoneentaulu!
8. Merkitse suoritetut koulutukset koulutusrekisteriin. Näin pystyt milloin tahansa todistamaan, että koulutusvelvoite on täytetty. Huomioi jatkokoulutustarve koulutussuunnitelmassa!
9. Kouluta koko henkilöstö myös tekemään poikkeamailmoitus tietoturvaan liittyvistä puutteista ja havainnoista sekä tietoturvaloukkauksista.
10. Älä usko, että kaikki tulee valmiiksi kerralla. Työ jatkuu vuodesta toiseen… 

Huoneentaulu

1. Tietosuoja koskee myös meitä!
2. Varmista, että henkilötietojen käsittely on oikeutettua ja asianmukaista!
3. Huolehdi henkilötietojen oikeasta käsittelystä ja dokumentoinnista!
4. Muista tietojen elinkaari. Tuhoa vanhentuneet ja tarpeettomat tiedot!
5. Säilytä henkilötiedot turvallisesti. Laita samalla tietoturva kuntoon!
6. Kartoita sopimukset ja huolehdi, että niissä on sovittu henkilötiedoista!
7. Kouluta henkilöstö. Huolehdi, että asia otetaan vakavasti!
8. Varaudu tietojen kyselyyn ja ongelmatilanteisiin etukäteen!
9. Mieti tarvittava vakuutusturva ja sen sopivuus!
10. Paranna hyvällä toiminnalla imagoa – huomioi maineriski!
11. Muista, että tietosuojan ylläpito on jatkuva prosessi!

Lataa huoneentaulu pdf-muodossa

Mitä on mietittävä ja selvitettävä? Vinkkejä:

Henkilötiedot

• Perehdy asetukseen. Ymmärrä sen merkitys oman organisaation kannalta.
• Ota selvää mitä henkilötiedot ovat.
• Mitä henkilötietoja meillä on ja missä muodossa ne ovat?
• Miksi meillä on juuri näitä henkilötietoja ja –rekistereitä?
• Lait ja niiden tulkinta kiristyvät – rekisteröityjen oikeudet vahvistuvat.
• Kenen vastuulla tietosuojasta ja -turvasta huolehtiminen on organisaatiossamme?
• Lähes jokaisella on joitain henkilötietoja 

Rekisteriselosteet

• Laita rekisteriselosteet ja tietosuojaselosteet kuntoon.
• Selvitä onko organisaatiosi rekisterinpitäjä vai -käsittelijä. Selvitä henkilötietojen käsittelyn oikeusperusteet.

Tietojen suojaus ja tuhoaminen

• Kuinka henkilötiedot on suojattu?
• Tee riskien arviointi ja tarvittavat muutokset järjestelmissä ja toiminnassa.
• Rekisterit tarvitsevat huoltamista, huolehdi siitä, ja mieti tarkkaan uusien rekistereiden perustaminen ja niiden elinkaari.
• Tuhoa kaikki vanhentuneet ja tarpeettomat henkilötiedot.
• Tee ohjeet oikeasta tiedon tuhoamisesta, muista tietojen eri muodot.
• Älä tee tarpeettomia käyttäjäoikeuksia ja -tunnuksia varsinkaan asiaan kuulumattomille.
• Huolehdi tietoturvasta ja sen ylläpidosta!

Dokumentaatio ja koulutus

• Tee asetuksen edellyttämä hyvä dokumentaatio (osoitusvelvollisuus).
• Kouluta henkilöstö, suunnittele henkilöstölle tiedottaminen.

Päivitykset ja ulkoistukset

• Päivitä sopimukset ja henkilötietojen käsittelyn ulkoistukset asetuksen mukaisiksi (tietohallinto, taloushallinto, terveyspalvelut , pilvi- ja some -palvelut, mainostoimisto, HR, verkkokaupat ym.).
• Ketkä ulkopuoliset käsittelevät organisaatiosi henkilötietoja? Missä tietoja käsitellään, miten ja mihin ne on tallennettu?
• Onko tietoja siirretty tai tallennettu EU:n ulkopuolelle?
• Selvitä kumppanien nykytilanne ja varautuminen ongelmatilanteisiin.

Varautuminen ongelmiin

• Varaudu tietojen katselu-, tarkastelu- ja tuhoamispyyntöihin.
• Varaudu tahalliseen häiriköintiin ja kiusantekoon.
• Varaudu tietoturvaloukkauksiin.
• Varaudu ilmoituksen tekemiseen viranomaisille.
• Ohjeista menettely loukkaustilanteissa ja kouluta henkilöstö hyvissä ajoin.
• Varaudu ongelmatilanteisiin etukäteen (miten toimitaan akuutissa tilanteessa).

Huomaa hyöty

• Vakuutu, että etukäteen varautuen kustannukset ja resurssit ovat hallittavissa paremmin kuin hallitsemattomassa kriisitilanteessa.
• Ota hyöty tehdyistä toimista liiketoiminnan kehittämisessä ja huomaa, että toiminta  tehostuu ja antaa kilpailuetua.

Poista puutteet, vakuuta

• Mieti onko yrityksessä liiketoiminnan kannalta kriittisiä puutteita tai riskejä.
• Pidä huoli, etteivät puutteet asetukseen varautumisessa vaaranna asiakas- tai kumppanuussuhteita.
• Tarkista onko vakuutusturva riittävä (sanktioita ja sakkoja vakuutukset eivät korvaa).
• Paranna imagoa ja mieti maineriskin mahdollisuutta.

Toimi nyt! Luo käytänteet!

• Selvitä laatu- ja toimintajärjestelmien vaatimukset (sertifikaatit/auditoinnit).
• Luo organisaatiollesi sopivat hyvät käytänteet ja valvo niitä.
• Toimi nyt! Älä siirrä huomiseksi sitä minkä voit tehdä tänään.
• Pysy ajan tasalla ja huolehdi ylläpidosta sekä tarvittaessa uudelleenarvioinnista. Kuka on vastuuhenkilö?
• Suunnittele aikataulu, vastuuhenkilöt ja anna resurssit.
• Lopputuloksena tulisi olla selkeä tieto nykytilanteesta, riskeistä ja puutteista sekä valmis suunnitelma korjaavista toimenpiteistä