GDPR-vaikutukset yrityksen tietosuoja- ja tietoturvatyössä

Abstract

GDPR (General Data Protection Regulation) on uusi EU:n yleinen tietosuoja-asetus (2016/679), jota tarkasteltiin tässä opinnäytetyössä pienten ja keskisuurten yritysten näkökulmasta. Opinnäytetyön tavoitteena oli soveltaa tutkittua tietoa GDPR:stä ja muodostaa sen avulla yrityksille kattava selonteko asetuksesta sekä sen vaatimuksista. Lisäksi opinnäytetyössä opastettiin yrityksiä tietosuojaselosteiden ja tietotilinpäätöksen tekemisessä. Opinnäytetyötä varten tehtiin yrityshaastatteluja, mutta salassapitosopimusten vuoksi yrityksiä ei mainittu nimeltä tässä opinnäytetyössä. Yrityshaastattelujen lisäksi tutkimuksessa käytettiin tietolähteinä pääosin internetistä saatavilla olevaa materiaalia ajan tasalla olevan tiedon saamiseksi. Valtaosa tiedoista kerättiin erilaisilta GDPR- ja viranomaissivustoilta sekä webinaari-esityksistä.

Opinnäytetyön alussa käytiin läpi GDPR:ää yleisellä tasolla ja tutustuttiin asetuksessa käytettävään sanastoon. Seuraavissa kappaleissa syvennyttiin rekisteröityjen oikeuksiin, rekisterinpitäjän velvollisuuksiin ja tietosuojavastaavan toimintaan. Kuudennessa kappaleessa esiteltiin GDPR-sovelluksia, jotka helpottavat yritysten tietosuojatyötä. Opinnäytetyön lopussa kerrottiin tietotilinpäätöksen tekemisestä sekä tietosuojatyön teknisestä toteutuksesta.

Yleisellä tasolla opinnäytetyön tavoitteissa onnistuttiin, mutta opinnäytetyön aikana haastateltujen yritysten tietotilinpäätökset eivät ehtineet valmistua, vaan niiden parissa työ jatkuu edelleen. Myös ennakkopäätösten puuttuminen opinnäytetyön tekohetkellä jätti avoimia kysymyksiä, joihin tullaan todennäköisesti saamaan selkeämpää linjausta kevään 2018 aikana tai mahdollisesti vasta myöhemmin soveltamisajan jo alettua.

In this thesis, the EU General Data Protection Regulation (GDPR) is being explored from the point of view of small and medium enterprises (SME). The purpose was to adapt researched information about GDPR and to produce a comprehensive briefing regarding the regulation and its requirements on SMEs. Additionally, the thesis guided SMEs in preparing privacy policies and data balance sheets.

SME representatives were interviewed to get a better understanding of the state of their data protection. The SMEs were not mentioned by name in this thesis, due to the Non-Disclosure agreements (NDAs). In addition to the interviews, information was gathered mainly from GDPR websites, public authority websites and webinar presentations to get up to date information regarding the regulation.

At the beginning of the thesis, the GDPR was reviewed at a general level and the vocabulary of the regulation was introduced. The following chapters focused on the rights of the data subject, responsibilities of the controller and activities of the data protection officer. The sixth chapter presented the GDPR-software, which were made to aid the SMEs’ data protection work. The last chapters included information regarding the preparation of the data balance sheet and the technical part of data protection work.

The targets of the thesis were generally accomplished, however there was not enough time to complete SMEs data balance sheets, during the making of this thesis. Also the lack of prejudicates left some open questions, which will most likely be answered when more explicit policy will be presented during spring 2018 or possibly after the application of the regulation.