✅ Tietosuojavastaava: kuka tarvitsee häntä ja miksi?

Sisällysluettelo

Tietosuojavastaava on yrityksen nimeämä henkilö valvomaan tietosuojan noudattamista yrityksessä. Vastuualue kattaa kaikki henkilötiedot.

Mitä tietosuojavastaava oikein tekee?

Tietosuojavastaava varmistaa, että vain henkilöt, joilla on asianmukainen valtuutus, voivat käyttää heille tarkoitettuja tietoja. Tätä varten käytetyt ohjelmistojärjestelmät on mukautettava tietosuojamääräyksiin ja määritettävä oikein. Tämä vaatii usein ammatillista vaihtoa tietoturvapäällikön tai verkon ylläpitäjän kanssa, minkä vuoksi tietosuojavastaava itse ei saa toimia missään näistä tehtävistä, jotta eturistiriitoja ei synny.

Toinen toiminnan painopiste on johdon neuvonta kaikissa tietosuojakysymyksissä. Hän voi tehdä vain ehdotuksia eikä hänellä ole valtuuksia antaa ohjeita johdolle. Tietosuojavastaava pitää rekisteriä, joka sisältää kaikki henkilötietojen käsittelymenettelyt. Siksi hän on myös suora yhteyshenkilö ulkopuolisille henkilöille yrityksen verkkosivustolla olevien henkilötietojen suojaamisessa. Yrityksen verkkosivuston tietosuojailmoituksessa hän kiinnittää huomiota kerättyjä tietoja koskevien tietojen täydellisyyteen. Tiedonkeruun tyyppi ja tarkoitus, sovellusalue, johon tietosuojailmoitus liittyy, sekä mitä tietoja tallennetaan missä määrin ja mitä näille tiedoille tapahtuu, ovat pakollisia tietoja. Henkilönä, joka on vastuussa tietosuojailmoituksen sisältöä ja suojaamisen arvoisten henkilötietojen käsittelyä koskevista kysymyksistä, hän on velvollinen ilmoittamaan nimensä ja yhteydenottovaihtoehtonsa kysymyksiin.

Hän on myös yrityksen omien työntekijöiden käytettävissä milloin tahansa, jos heillä on tietosuojaan liittyviä kysymyksiä tai ongelmia. Lisäksi hänen tehtävänään on tiedottaa säännöllisesti työntekijöille tietosuojasta ja järjestää tietosuojaa koskevia kursseja aika ajoin.

Kuka tarvitsee tietosuojavastaavan?

Henkilötietojen keräämiseen tarvitaan tietosuojavastaavaa. © Rawpixel.com, Fotolia.com

Liittovaltion tietosuojalain (BDSG §4) mukaan jokaisen yrityksen, joka käsittelee henkilötietoja automaattisesti, on nimettävä tietosuojavastaava. Tämä on tehtävä viimeistään kuukauden kuluttua työn aloittamisesta. Jos nimitystä ei tehdä tai jos nimitetään tietosuojavastaava, joka ei täytä tehtävään liittyviä vaatimuksia, on odotettavissa vastaava sakko.

Tietosuojavastaavan nimittäminen on

riippumatta työntekijöiden määrästä, jos he vastuullisena elimenä keräävät, käsittelevät tai käyttävät henkilötietoja liiketoiminnallisesti
riippumatta työntekijöiden määrästä, jos he vastuullisena elimenä suorittavat automaattisen tietojenkäsittelyn, joka on tarkastettava etukäteen

Muussa tapauksessa tilaus vaaditaan, jos

Vähintään kymmenen työntekijää vastuullisena elimenä käsittelee jatkuvasti automaattista tiedonkeruuta, tietojenkäsittelyä tai tietojen käyttöä
vähintään kaksikymmentä työntekijää käsittelee ei-automaattista tiedonkeruuta, tietojenkäsittelyä tai tietojen käyttöä

Selventääkseen, mitä henkilötiedot ovat, BDSG selittää § 3:

Henkilötiedot ovat yksittäisiä tietoja tietyn luonnollisen henkilön tai asianomaisen henkilön henkilökohtaisista tai tosiasiallisista olosuhteista
Automaattinen käsittely on henkilötietojen keräämistä, käsittelyä tai käyttöä tietojenkäsittelyjärjestelmien avulla
Ei-automatisoitu käsittely on mikä tahansa ei-automatisoitu henkilötietojen kerääminen, joka on rakennettu samalla tavalla ja jota voidaan arvioida tiettyjen ominaisuuksien mukaan
Tietojen kerääminen on asianomaista henkilöä koskevien tietojen kerääminen
Tietojen käsittely tarkoittaa henkilötietojen tallentamista, muuttamista, siirtämistä, estämistä ja poistamista
Tietojen käyttö on henkilötietojen käyttöä, ellei kyse ole tietojen käsittelystä

Kuka voi tulla tietosuojavastaavaksi?

©aukko11.kuva, Fotolia.com

Perusvaatimuksena tietosuojavastaavalle on oltava asianmukainen erikoisosaaminen. Tämä tarkoittaa, että tieto nykyisistä tietosuojasäännöistä ja -ohjeista on tunnettava ja niitä on käytettävä turvallisesti. Myös perusteltua tietoteknistä osaamista sekä oikeudellista ja organisatorista perustietoa on oltava saatavilla. Tulevan tietosuojavastaavan on kyettävä ymmärtämään käytetyt tietojenkäsittelyjärjestelmät voidakseen ehdottaa ja arvioida toimenpiteitä tietojen suojaamiseksi.

Lisäksi perusvaatimuksena on, että nimetyn tietosuojavastaavan on oltava luotettava. Tämä tarkoittaa myös sitä, että hän voi hoitaa tehtävänsä ilman omantunnon ja etujen ristiriitoja. Yrityksessä on tehtäviä, joissa tietosuojatehtävä on ristiriidassa muiden toiminta -alojen etujen kanssa. Seuraavat toimihenkilöt ovat yhtiössä ei sopii tietosuojavastaavaksi:

henkilöstöpäällikkö
Osastopäällikkö
IT -hallinta
Järjestelmänvalvojat
Yrityslakimies

Periaatteessa on eturistiriita kaikkien henkilöiden kohdalla, joiden tietosuojavastaavina joudutaan hallitsemaan itseään. Jokainen, joka pystyy osoittamaan teknisen osaamisen ja luotettavuuden perusvaatimukset, soveltuu yleensä nimitettäväksi tietosuojavastaavaksi.

Miten sinusta tulee tietosuojavastaava?

Tietosuojavastaavaksi ryhtyminen edellyttää, että tehtävän edellytykset täyttyvät. Vastaavan teknisen tiedon on oltava saatavilla ja sitä on voitava soveltaa, samoin kuin luotettavuus on osoitettava. Sisäisille tietosuojavastaaville on suositeltavaa hankkia erityistietoa nykyisistä tietosuojavaatimuksista tietosuojaseminaarien avulla ennen tietosuojavastaavaksi ryhtymistä.

Voidakseen ryhtyä tietosuojavastaavaksi yrityksen on tilattava se kirjallisesti. On täysin riippumatonta, kuuluuko tuleva tietosuojavastaava yhtiöön vai toimiiko hän ulkopuolisena henkilönä. Jotta tietosuojavastaavan nimittäminen olisi laillista, prosessi on suoritettava hyvin muodollisesti määriteltyjen sääntöjen mukaisesti. Seuraavia kohtia on noudatettava (lähde: https://www.datenschutzbeauftragter-info.de/betrieblicher-datenschutzbeauftragter-wie-erhaben-die-bestellung/)

Tilaus on tehtävä kirjallisesti
Tietosuojavastaavan ja yrityksen on allekirjoitettava tilausasiakirja
Tilaus on tehtävä itsenäisesti ja erillään mahdollisesta työsopimuksesta
Työnkuvaus on oltava saatavilla
Yrityksellä on oltava velvollisuus tarjota tietosuojavastaavalle henkilökohtaista ja aineellista tukea hänen työssään

Mitkä ovat tietosuojavastaavan velvollisuudet?

Tietosuojavastaavan velvollisuus on valvoa, että tietosuojaa noudatetaan ja noudatetaan yrityksessä. Hän huomauttaa puutteista ja väärinkäytöksistä ja kehittää strategioita tietosuojan noudattamisen parantamiseksi. Hän on milloin tahansa tavoitettavissa yhteyshenkilönä johdolle ja työntekijöille, joilla on kysymyksiä ja ongelmia tietosuojasta. Tietosuojavastaavan on pidettävä salassa asianomaisen henkilöllisyys tai tiedot, jotka voivat johtaa asianomaisen henkilön tunnistamiseen, ellei häntä vapauteta salassapitovelvollisuudesta. Yrityksissä, joilla on yrityksen verkkosivusto, hän on myös ulkopuolisten saatavilla, jos hänellä on kysyttävää henkilötietojen sisäisestä käsittelystä.

Tietosuojavastaava laatii kerran vuodessa tietosuojaraportin, jossa tietosuojatapaukset luetellaan ja esitetään yksityiskohtaisemmin. Samoin tuloksena olevat tarvittavat toimenpiteet, jotka ovat tarpeen paremman suojan takaamiseksi.

Sisäinen vai ulkoinen tietosuojavastaava?

Kun eurooppalainen yleinen tietosuoja-asetus tulee voimaan vuosina 2022-2023–2022, laadun sinettien sertifioinnille on yhtenäinen oikeudellinen kehys tietosuojatarkastuksia käytettäessä. © dizain, Fotolia.com

On mahdollista nimetä oma työntekijä sisäiseksi tietosuojavastaavaksi tai vaihtoehtoisesti valita ulkoinen palveluntarjoaja. Kumman yrityksen paras ratkaisu riippuu omista mieltymyksistäsi.

Sisäisen tietosuojavastaavan edut ovat:

hyvä tieto yrityksen rakenteesta ja prosesseista
jatkuva saatavuus

Sisäisen tietosuojavastaavan haitat ovat:

korkeammat koulutuskustannukset
päätoiminta kärsii tilapäisesti tietosuojavastaavan toiminnasta
jos eturistiriitoja on tai jos tietosuojavastaavan edellytys puuttuu, häntä ei ole nimitetty
Laajennettu suoja irtisanomista vastaan, suoja irtisanomista vastaan jatkuu vuoden ajan tietosuojavastaavan tehtävän irtisanomisen jälkeen

Ulkopuolisen tietosuojavastaavan edut ovat:

ei eturistiriitoja tai törmäyksiä muihin operatiivisiin tehtäviin
ei seisokkeja omille työntekijöillesi, esimerkiksi koulutuksella
parempi suoja vastuukysymyksissä
säännölliset varoitusajat ovat mahdollisia

Ulkopuolisen tietosuojavastaavan haitat ovat:

Tutustuminen tarvittaviin sisäisiin rakenteisiin ja prosesseihin

Suuremmille yrityksille pääsy ulkopuoliseen tietosuojavastaavaan on yleensä halvempaa ja sisältää vähemmän riskejä. Pienemmille yrityksille, jotka tuottavat vain pieniä määriä henkilötietoja, sisäisen tietosuojavastaavan valinta voi riittää.

Kuinka paljon ansaitset tietosuojavastaavana?

Tietosuojavastaavan palkka riippuu olennaisesti toimialasta, yrityksen koosta ja tietosuojavastaavan vastuualueesta. Mitä suurempi vastuualue ja mitä monimutkaisemmat rakenteet, sitä enemmän voidaan odottaa palkana. On myös ero kokopäiväisen tietosuojavastaavan ja varajäsenen välillä. Julkisissa palkkatietokannoissa palkat ovat 2000–6500 euroa kuukaudessa.

Kuvalähteet (fotolia):

# 89127696 | Tekijä: putilov_denis

#105654764 Rawpixel.com

# 72098640 | Tekijä: blende11.photo

Pixabay.com geralt (CC0 -lisenssi, pixabay.com)

# 72880465 | Kirjailija: dizain