Todistustaakan täyttyminen yrityksissä : yleinen tietosuoja-asetus

GDPR (General Data Protection Regulation) on uusi EU:n yleinen tietosuoja-asetus, jonka soveltaminen tuo merkittäviä muutoksia tietosuojan sääntelyyn koko EU:n alueella. Tietosuoja-asetus asettaa organisaatioille osoitusvelvollisuuden, joka tarkoittaa, että organisaatioiden tulee pystyä osoittamaan asetuksen vaatimusten ja sen määrittämien tietosuojaperiaatteiden toteutuminen toiminnassaan. Tietosuoja-asetusta tarkasteltiin tässä opinnäytetyössä asetuksen vaatimusten täyttämisen osoittamisen osalta. Opinnäytetyön tavoitteena oli kuvata selkeillä kokonaisuuksilla niitä keinoja, joilla organisaatiot voivat tietosuoja-asetuksen vaatiman osoitusvelvollisuuden täyttää. Toteutettavat keinot oli tarkoitus huomioida niin organisatoriselta kuin tekniseltäkin näkökantilta. Opinnäytetyön kokonaisuutta rakentaessa keskityttiin pääasiallisesti asetuksen määrittämien tietosuojaperiaatteiden tutkimiseen. Näiden tietosuojaperiaatteiden lisäksi opinnäytetyössä tutkittiin tietosuoja-asetuksen sisältämiä muita keskeisiä aiheita. Opinnäytetyön tutkimusmenetelmä oli kvalitatiivinen ja opinnäytetyön toteutuksessa hyödynnettiin tietosuoja-asetusta sekä sen perusteella toteutettuja aineistoja ja kirjallisuutta. Lisäksi toteutuksessa hyödynnettiin laajasti teknisen tietoturvan toteuttamiseen keskittyviä aineistoja, jotta pystyttiin myös tekniseltä tasolta kuvaamaan toimet, joita organisaatioiden tulisi tietosuojaperiaatteiden pohjalta toteuttaa. Opinnäytetyön tavoitteissa onnistuttiin ja lopputuloksena on kattava yhteenveto siitä millaisilla teknisillä ja organisatorisilla toimilla organisaatiot voivat osoitusvelvollisuuden täyttää. Johtopäätöksenä voidaan todeta, että varsinkin dokumentaation osalta vaihtoehtoja osoitusvelvollisuuden täyttämiseen on monia, joten jokainen organisaatio voi valita ne keinot, jotka parhaiten sopivat ja tukevat niiden omaa toimintaa.The EU General Data Protection Regulation (GDPR) is a huge change in data privacy regulation. The aim of the GDPR is protect the rights of individuals and to give EU citizens ultimate control over their personal data. This thesis examines how the requirements defined by the GDPR are implemented. Burden of proof means that the new GDPR puts in place the “accountability principle” according to which every data controller is obliged to prove its fulfillment of legal requirements. The aim of the thesis was to comprehensively describe the mechanisms through which organizations can fulfill the burden of proof as defined by GDPR. The mechanisms to be implemented were to be taken into account both from the organizational and the technical point of view. The focus of this thesis was mainly on examining the data protection principles defined by GDPR. In addition to these data protection principles, the thesis also examines other key issues in the GDPR. The methodology of the thesis was qualitative. The sources used in this thesis were the GDPR, GDPR-related literature as well as extensive materials focusing on the implementation of technical security. The objectives of the Thesis were successful and the final result is a comprehensive summary of what technical and organizational measures organizations need in order to fulfill the burden of proof. As a conclusion, there are many alternatives to fulfilling the burden of proof, so each organization can choose the mechanisms that best suit and support their own operations