Datankäyttökäytännöt

Datankäyttökäytännöt ovat organisaation ohjeistuksia, menettelytapoja ja periaatteita datan hankinnasta, käsittelystä, tallennuksesta, jakamisesta sekä poistamisesta. Ne koskevat sekä henkilötietoja että muuta liiketoiminnan dataa ja niitä toteutetaan sekä sisäisessä toiminnassa että ulkoisten kumppanien kanssa.

Käytännöt määritellään osana data governance -kehystä ja niiden noudattamisesta vastaa usein tietojen omistaja (data controller) sekä mahdollisesti käsittelijä (data processor). Tarvittaessa määritellään tietosuojavastaava (DPO). Lainsäädännön ja toimialakohtaiset vaatimukset ohjaavat käytäntöjä, erityisesti EU:n yleistä tietosuoja-asetusta (GDPR) sekä kansallista säädöstä.

Periaatteisiin kuuluvat laillisuus, oikeudenmukaisuus ja läpinäkyvyys; tarkoituksen rajoittaminen; tietojen minimointi; oikeellisuus; säilytyksen rajoittaminen; eheys ja luottamuksellisuus; sekä vastuu. Läpinäkyvyys ja privacy by design -periaate huomioidaan jo suunnitteluvaiheessa.

Tietojen elinkaari kattaa keräämisen, luokittelun ja pääsynhallinnan, salauksen sekä tarvittaessa pseudonymisoinnin tai anonymisoinnin, tiedon jakamisen, säilytysvaiheiden aikataulut sekä turvallisen poistamisen. Henkilötietojen käsittelyssä varmistetaan oikeusperusteet, rekisteröityjen oikeudet ja asianmukaiset suostumukset.

Turvallisuusvaatimukset sisältävät riskin arvioinnin, suojaukset kuten salaus sekä pääsynhallinta, auditointi sekä incident- ja ilmoitusmekanismit. Yhteistyössä toimittajien kanssa noudatetaan vahvoja tietohallintakäytäntöjä, sopimusehtoja sekä DPIA- ja jatkuvan seurannan vaatimuksia.

Kulttuurinen oma- ja koko organisaation sitoutuminen sekä säännöllinen koulutus tukevat käytäntöjen pysyvyyttä ja kehittämistä.