Euroopan unionin uuden tietosuoja-asetuksen aiheuttamat muutokset yrityksen käytänteisiin

Abstract

Euroopan unionin uusi tietosuoja-asetus tulee voimaan alkuvuodesta 2018. Opinnäytetyössä tarkastellaan, mitä vaatimuksia uusi asetus asettaa yritysten tietosuojalle. Työssä selvitetään rekisteröityjen oikeuksia ja rekisterinpitäjien velvollisuuksia. Tutkimuksessa kerrotaan myös tietosuoja-asetukseen liittyvistä määritelmistä.

Työtä varten haastateltiin kolmen eri yrityksen (Hansel Oy, Kesko Oyj ja OP) tietosuojasta vastaavia erityisasiantuntijoita. Kyseiset yritykset valittiin sattumanvaraisesti, kuitenkin niin, että ne ovat tunnettuja, suomalaisia, isoja yrityksiä. Näiden lisäksi haastateltiin Suomen tietosuojavaltuutettua.

Tuloksissa selviää, että yritykset ovat alkaneet valmistautua uuden tietosuoja-asetuksen tuomiin vaatimuksiin mm. tietojärjestelmien uudistamisella. Lisäksi uusia rekrytointeja tietosuojaan ollaan suunnittelemassa. Nämä tulevat lisäämään yritysten kustannuksia. Yrityksissä pidetään tärkeänä henkilökunnan kouluttamista uuden asetuksen tuomiin muutoksiin. Tietosuojavaltuutetun mukaan uuden tietosuoja-asetuksen myötä tietosuojan merkitys korostuu entisestään ja näin tietosuoja saa lisää painoarvoa ja sitä kautta edistää yritysten kilpailukykyä.

Asetus ei ole aukoton. Se tuo mukanaan myös erilaisia tulkintaongelmia eri maiden välillä. Myös isot sanktiomaksut arveluttavat.

Kuitenkin kokonaisuudessaan uutta tietosuoja-asetusta pidetään hyvänä. Sen uskotaan tuovan koko EU:n alueelle lisää yhtenäisyyttä (samat säännöt kaikilla), lisäävän kilpailua ja tuovan kaupankäyntiin (varsinkin verkkokauppaan) lisää luotettavuutta.

The EU’s new General Data Protection Regulation (GDPR) (Regulation (EU) 2016/679) enters into force at the beginning of the year 2018. The aim of this thesis is to explain what kind of requirements it will bring to a company’s data protection. This thesis examines the rights of the registered users (customers) and obligations of the controllers. This thesis also explains the definitions related to the regulation.

The thesis uses interviews with three senior advisers who work with these issues in different companies (Hansel OY, Kesko Oyj and OP). Companies were chosen from a random base but ones which were well-known (Finnish as well as large companies). In addition, data was collected from an interview with the Data Protection Ombudsman.

The results of this thesis indicate that companies have started to prepare the new requirements of the regulation, i.e. they are modernizing their data systems. Also new requirements for the data protection sectors are on the table. These actions will increase company costs. Companies put weight on the training of personnel that are working with these new requirements. According to the Data Protection Ombudsman the new regulation will increase the data protection and therefore data protection will get more value and this way companies competitiveness will improve.

The regulation is not solid as it entails different interpretations between countries moreover the big sanctions seem slightly questionable. All in all the new data protection regulation is considered to be a good reform. The objectives of the regulation are to gain more control of personal data (same rules for everybody), and increase competition and the reliability of the trade (for example in an online store).