Askel 1: Aloita nykytilan selvittämisestä. Lähtökohtana tietosuoja-asetuksen edellyttämille muutoksille on aina yrityksen tietosuojan nykytilan selvittäminen. Yrityksen olemassa olevia toimintatapoja, prosesseja ja dokumentaatioita on arvioitava suhteessa tietosuoja-asetuksen vaatimuksiin. Olennaista on tunnistaa, mitä henkilötietoja yritys käsittelee ja mihin näitä henkilötietoja käytetään ja siirretään.
Askel 2: Luo yritykselle sisäiset käytännöt. Yrityksen tulee nimetä tietosuojavastaava tai vastuuttaa tietosuoja-asiat selkeästi jollekin henkilölle yrityksen sisällä. Yrityksen on määriteltävä ja dokumentoitava, miten yrityksessä käsitellään henkilötietoja, miten yrityksessä toimitaan tietoturvaloukkaustilanteessa ja miten rekisteröityjen tietopyynnöt toteutetaan. Yrityksen on kyettävä dokumentoinnin avulla todistamaan, että se on toiminut tietosuoja-
asetuksen mukaisesti.
Askel 3: Päivitä dokumentit. Yrityksen on tarkistettava ja tarvittaessa päivitettävä rekisteröidyille suunnattu informaatio kuten tietosuojaselosteet, suostumuslausekkeet, evästeilmoitukset, jne. Tietosuoja-asetuksen vaatimukset on huomioitava myös yrityksen sopimuksissa kuten asiakas- ja toimittajasopimuksissa.
Askel 4: Muista tietosuojan jatkuva ylläpitäminen ja kehittäminen. Yrityksien on hyvä muistaa, että tietosuoja-asetuksen johdosta suunniteltuja tai tehtyjä toimenpiteitä ei tule nähdä kertaluonteisena projektina vaan jatkuvana kehitysprosessina. Tämä tarkoittaa muun muassa säännöllistä riskien, käytäntöjen ja dokumenttien arviointia ja päivittämistä.
Eduskunnassa vielä valmisteilla oleva kansallinen tietosuojalaki ja sitä seuraava erityislainsäädäntö sekä EU:ssa valmisteilla oleva sähköisen viestinnän tietosuoja-asetus tuovat muutoksia. Yritysten velvoitteet tarkentuvat myös viranomaisten lisääntyvän ohjeistuksen ja tulkintojen sekä tuomioistuimien antamien ennakkotapausten myötä. Saksassa on jo saatu ensimmäinen ennakkotapaus liittyen tietojen minimoinnin periaatteen soveltamisesta. Tämä tarkoittaa sitä, että myös Suomessa tietosuojaviranomainen valvoo henkilötietojen käsittelyä, vaikka uusi tietosuojalaki ei vielä ole voimassa.
JARI PIITTINEN
Legal Intern
Ernst & Young Oy
NOORA ERVASTI
Associate Legal Counsel
Ernst & Young Oy