5 keskeistä syytä hyödyntää tietovirtakaavioita tietosuojassa
5 keskeistä syytä hyödyntää tietovirtakaavioita tietosuojassa
Sen sijaan että dokumentoisit henkilötietojen käsittelytoimiasi pelkällä tekstillä ja Excel-lomakkeilla, tietovirtojen visualisointi tarjoaa ymmärrettävän ja konkreettisen tavan kuvata henkilötietojen käsittelyä. Jotkut yritykset tyytyvät tekemään tietovirtakartan käyttäen esimerkiksi MS Visio -ohjelmaa. Toiset yritykset ottavat kaiken hyödyn irti ja käyttävät työkaluja, jotka mahdollistavat GDPR:n edellyttämien tietojen dokumentoinnin tietovirtakartan yhteydessä.
Millainen on hyvä tietovirtakaavio? Tietovirtakaavio ja sen taustalla oleva tietomalli kuvaa yksittäisen tietueen alkuperän ja matkan ajan kuluessa eri käsittelypisteiden läpi. Mikä tahansa käsitelty henkilötietotyyppi voi kulkea useiden IT-järjestelmien, tietovarastojen, palvelimien, laitteiden ja muiden tiedon käsittelypisteiden kautta sen käsittelyn aikana.
Yksi monien yritysten kohtaama ongelma on, että ne eivät tiedä, miten kaikki henkilötiedot ovat päättyneet järjestelmiinsä ja tietovarastoihinsa. Yhden järjestelmän tietoinventaarioon katsominen ei anna kattavaa kuvaa siitä, mitkä ovat rekisteröidyn ryhmät tai mistä konkreettisista lähteistä henkilötieto on alunperin kerätty.
Miksi pelkän tietovirtojen kuvaamisen lisäksi on tärkeää dokumentoida tiedon kulku kaaviossa?
Tässä 5 keskeistä syytä:
Rekisteröityjen informointi. Jos et ymmärrä henkilötietojen elinkaarta tai kaikkia henkilötietojen käsittelyyn liittyviä elementtejä, on suuri riski, ettet voi informoida rekisteröityjä oikein. Et voi luoda ja ylläpitää GDPR:n edellyttämiä läpinäkyviä tietosuojaselosteita, ellet ymmärrä kaikkia käsittelyvaiheita, jotka tapahtuvat henkilötiedon elinkaaren aikana. Mikäli et tunne kaikkia henkilötiedon elinkaaren aikana tapahtuvia vaiheita, et kykene informoimaan rekisteröityjä kaikista käyttötarkoituksista, vastaanottajista tai siirroista kolmansiin maihin.
Rekisteröityjen oikeudet. Kuten tiedämme, henkilötietojen liikkuminen tapahtuu usein monien pisteiden ja vaiheiden kautta. Kaikki järjestelmät, tietokannat, varmuuskopiot, asemat, laitteet, palvelimet, tiedostot ja arkistokaapit on käytännössä tunnistettava, jotta rekisteröityjen oikeudet voidaan täysin toteuttaa. Tietovirtojen ja elinkaaren kuvaaminen auttaa paljastamaan yllättäviäkin säilytyspaikkoja, jonne henkilötiedot päätyvät. Ja missä ikinä säilytätkään henkilötietoja, tulisi siellä olla teknisiä ja organisatorisia toimenpiteitä varmistamaan, että rekisteröityjen oikeudet voidaan toteuttaa täysin.
Tiedon siirtoihin liittyvien riskien tunnistaminen. Varsinkin digitaalisia palveluita käytettäessä henkilötietoja siirtyy usein kolmansissa maissa olevien pisteiden läpi. Henkilötiedon elinkaareen liittyy monesti järjestelmiä ja tietovarastoja, jotka sijaitsevat Yhdysvaltalaisilla palvelimilla. Tuntematta henkilötiedon elinkaarta, saatat tahattomasti sivuuttaa tarpeen toteuttaa henkilötietojen siirtoja koskeva riskiarviointi (TIA).
Kolmansiin osapuoliin liittyvien riskien tunnistaminen. Henkilötietoja voi liikkua korkean riskin kolmansien osapuolten kautta, lisäten riskiä koko käsittelylle. Tyypillisesti käsittelytoimintojen tietovirrat koostuvat useista järjestelmistä, tietovarastoista, palvelimista ja konesaleista, ja kuhunkin niihin liittyy alikäsittelijöitä. Joidenkin näiden alikäsittelijöiden tietosuojan taso voi olla heikko ja aiheuttaa suuremman riskin rekisteröidyille käsittelyn seurauksena. Tietovirtojen kuvaaminen ja henkilötiedon elinkaaren dokumentointi auttaa pitämään kirjaa riskipisteistä ja ohjaa sinua esittämään oikeita kysymyksiä todellisten riskien tunnistamiseksi.
Tietoturvariskien tunnistaminen. Kun tunnet henkilötiedon elinkaaren ja siihen liittyvät järjestelmät, rajapinnat ja erilaiset vaiheet, tunnistat helpommin tilanteita, joissa erilaiset tietoturvariskit voivat toteutua. Ilman tietovirtojen kuvaamista saatat unohtaa ne tilanteet, joissa tietoturva on heikoimmillaan, etkä välttämättä osaa varautua tietomurtoihin tai muihin tilanteisiin, joissa henkilötietoihin päästään käsiksi luvattomasti.