Henkilötietojen turvallisen käsittelyn toteutuminen EU:n tietosuoja-asetusten vaatimusten mukaisesti

Abstract

Tässä opinnäytetyössä tutkitaan henkilötietojen turvallisen käsittelyn toteutumista uuden EU:n tietosuoja-asetuksen vaatimusten mukaisesti. Työssä käydään läpi voimassa olevaa lainsäädäntöä ja miten se ohjaa tietosuojaa ja tietoturvaa ja mitä muutoksia kesällä 2018 voimaan tuleva EU:n tietosuoja-asetus tuo tullessaan. Opinnäytetyö keskittyy lähinnä tekniseen ja operatiiviseen tietoturvaan ja selvittää minkälaisia vaatimuksia nykyinen ja tuleva lainsäädäntö edellyttää näiltä osa-alueilta.

Ehdotus uudesta EU:n tietosuoja-asetuksesta annettiin jo vuonna 2012 Euroopan komission toimesta ja se on yksi merkittävimmistä ja eniten kommentoiduista asetuksista. Neljän vuoden aikana komission ehdotukseen kohdistui merkittävää lobbausta ja reilusti yli 4000 muutosehdotusta, joka osoittaa sen tärkeyden eri organisaatioille unionissa. EU:n tietosuoja-asetus hyväksyttiin 14.4.2016 Euroopan neuvoston ja parlamentin päätöksillä. Uusi asetus tulee olemaan merkittävä muutos ja se tulee edellyttämään merkittävän määrän toimenpiteitä varsinkin suuremmilta organisaatioilta.

Työssä tutustutaan myös tietoturva-alaa ohjaaviin kansallisesti ja kansainvälisesti tunnustettuihin standardeihin ja ohjeisiin sekä toimialan hyväksi todettuihin ratkaisuihin ja toimintamalleihin ja miten näiden toteuttaminen auttaa organisaatioita vastaamaan uusien asetusten ja direktiivien vaatimuksiin.

The purpose of the thesis was to investigate the requirements of the EU general data protection regulation for the secure handling of personally identifiable data. This thesis goes through the existing legislation, how the existing legislation instructs on privacy and information security and what changes will be introduced by the new EU general data protection regulation that will come into in full force in summer 2018. This thesis mainly focuses on the technical and operational information security and what the current and future requirements in this area are.

The initial proposal for the new EU general data protection regulation was introduced by the European Council as early as in 2012, and it has been one of the most significant and commented regulations so far. Within the last four years, major lobbying has been done and over 4000 amendments to the new privacy regulation have been made, which alone shows how important and significant this regulation is for various organisations within the EU. The regulation was approved on 14 April 2016 by the decision of the EU Council and Parliament. The new regulation will be a major change in privacy in the EU and will require a significant number of actions, especially from the larger organisations.

This thesis also introduces the nationally and internationally recognized standards, procedures and the best practises and solutions that guide the information security industry and help organisations to comply with the new regulations and directive requirements.