Tietosuojaalan

Tietosuojaalan on laaja kenttä, joka kattaa henkilötietojen suojaamisen, yksityisyyden toteuttamisen sekä näihin liittyvän lainsäädäntö- ja käytännötyön. Alalla tarkastellaan, miten henkilötietoja kerätään, säilytetään, käytetään ja jaetaan sekä miten tietosuoja- ja turvallisuusnäkökohdat integroidaan organisaatioiden toimintaan. Keskeistä on vastuullinen tiedonhallinta ja riskien hallinta.

Keskeinen sääntely on EU:n yleinen tietosuoja-asetus (GDPR), joka määrittelee henkilötietojen käsittelyn oikeusperusteita, rekisteröityjen oikeuksia sekä valvonnan periaatteita. Kansalliset lait täydentävät GDPR:ää; Suomessa tätä aluetta ohjaa tietosuojalaki sekä viranomaismääräykset.

Henkilötietojen käsittelyn oikeusperusteita ovat suostumus, sopimus, oikeutettu etu, lakisääteinen velvoite, elintärkeät yleiset edut tai julkisen tehtävän suorittaminen. Rekisteröidyillä on oikeuksia kuten pääsy tietoihin, oikaisu, poistaminen, rajoittaminen, tietojen siirrettävyys sekä vastustaminen; automaatiopäätökset ja profilointi ovat tietyin rajoituksin kiellettyjä.

Tietoturva- ja hallintokäytännöt sisältävät tietosuoja-arvioinnin (DPIA), tietosuoja- ja yksityisyysperiaatteiden käyttöön ottamisen suunnittelussa (privacy by design), tietojen minimoinnin, pseudonymisoinnin ja salauksen. Havaitut tietoturvaloukkaukset on ilmoitettava valvontaviranomaiselle yleensä 72 tunnin kuluessa, ja asianomaisille käyttäjille silloin kun riski on ilmeinen.

Valvonta- ja sääntelyviranomaiset vastaavat täytäntöönpanosta. Suomessa tehtävinä valvontaviranomaisena toimii Tietosuojavaltuutettu. Euroopan tasolla toimivat EU:n tietosuoja-asioista vastaavat viranomaiset ja Euroopan tietosuoja-asetus (EDPB). Kansainvälisessä tiedonsiirrossa noudatetaan asianmukaisia suojatoimia, kuten EU:n standardisopimusehtoja (SCC) tai riittävyyspäätöksiä.