EU:n tietosuoja-asetus ja sen vaikutukset yrityksen järjestelmiin ja käytäntöihin

Euroopan yleisestä tietosuoja-asetuksesta päätettiin 27.04.2016 Euroopan unionin parlamentissa ja neuvostossa. Tietosuoja-asetukselle määritettiin 2 vuoden siirtymäaika, joka päättyy 25.05.2018. Yleisen tietosuoja-asetuksen tavoitteena on lisätä henkilötietojen suojaus jokaisen perusoikeudeksi sekä yhtenäistää henkilötietojen käsittelyä Euroopan unionin jäsenmaissa. Opinnäytetyön tavoitteena on selvittää toimeksiantajan Euronic Oy:n valmius toimia yleisen tietosuoja-asetuksen alaisuudessa ja ehdottaa mahdollisia korjaustoimia. Tavoitteen saavuttaminen edellyttää tutustumista yrityksen järjestelmiin sekä käytäntöihin varsinkin henkilötietojen käsittelyn osalta. Tietosuoja-asetus vaatii myös riittävää tietoturvaa käsittelyjärjestelmille, joten työhön sisältyy myös kevyt tietoturva selvitys. Tietosuoja-asetus määrittää, että henkilötietoja pitää käsitellä lainmukaisesti, läpinäkyvästi ja asianmukaisesti. Henkilötietojen käsittelylle pitää olla tietosuoja-asetuksen mukainen peruste ja henkilötietoja saa kerätä sekä käsitellä vain tämän perusteen vaatiman verran. Suurin tietosuoja-asetuksen tuoma muutos on osoitusvelvollisuus, joka siirtää todistustaakan henkilörekisterin ylläpitäjälle. Osoitusvelvollisuus edellyttää huomattavan määrän dokumentaatiota ja seurantaa. Toimeksiantajan valmius on selvityksen perusteella hyvä. Henkilötietoja käsitellään turvallisesti, läpinäkyvästi ja tarkoituksenmukaisesti. Myös järjestelmien tietoturvasta on huolehdittu yrityksen oman henkilöstön toimesta. Kehitettävää yrityksellä on käsittelyn seurannassa ja dokumentaatiossa, joita vaaditaan osoittamaan, että tietosuoja-asetusta on noudatettu. Lisäksi on syytä luoda tietosuojaorganisaatio, joka huolehtii, että ehdotetut muutokset toteutetaan ja tietosuoja-asetusta noudatetaan myös tulevaisuudessa uusien järjestelmien ja mahdollisten lakimuutosten jälkeen.The parliament and council of the European union decided on the general data protection regulation (GDPR) on the 27thof April 2016. The regulation was given a 2 -year adoption period that ends on the 25thof May 2018. The aim of the regulation is to add personal data protection as a fundamental right and to unify data processing within the European Union. The aim of this thesis is to determine the readiness of the client Euronic Oy regarding the general data protection regulation and to suggest possible corrections for the found shortcomings. Achieving the aim requires examining the systems and practices of the company regarding the handling of personal data. The regulation also requires the information security of the company to be at an acceptable level which requires an information security investigation. The general data protection regulation requires that personal data is handled transparently, lawfully and fairly. The processing of personal data needs to be based on an accepted purpose and the data can be handled and collected only for that purpose. The biggest change brought by the regulation is the accountability of the data processor that requires comprehensive documentation and monitoring of personal data processing. Based on the investigation the readiness of the client is at good level. The processing of personal data is safe, transparent and appropriate. The information security of the processing systems is taken care of by the personnel of the company. The shortcomings of the company are the documentation and monitoring of the personal data processing that are required to fill the accountability requirement. Additionally, the client should create a data protection organization that is responsible for implementing the suggested changes and to make sure the general data protection regulation is complied with in the future