Tietosuoja-asetukseen valmistautuminen ohjelmistoalan yrityksessä

Abstract

Opinnäytetyö tehtiin osana toimeksiantajan valmistautumista EU:n tietosuoja-asetukseen. Kaikki henkilötietoa käsittelevät yritykset joutuvat noudattamaan uuden tietosuoja-asetuksen määrittelemiä lakeja kahden vuoden siirtymäajan päättymiseen mennessä 25.5.2018. Opinnäytetyö keskittyy tietosuoja-asetuksen läpikäyntiin ja henkilötiedon käsittelyprosessien kartoitustöiden esittelyyn. Kartoitustyö on laaja ja monivaiheinen prosessi ja sen keskeisimmät vaiheet on tehty ja dokumentoitu osana opinnäytetyötä. Opinnäytetyön tarkoituksena oli kehittää toimeksiantajan henkilötiedon käsittelyprosessit sekä yleiset tietoturvakäytännöt vastaamaan tietosuoja-asetuksen asettamia kriteereitä. Opinnäytetyö sisältää salassapitosopimuksen alaista tietoa, joka on poistettu julkaistusta versiosta.

Opinnäytetyö on toteutettu tutustumalla teoriaosuudessa EU:n tietosuoja-asetuksen keskeisimpiin kohtiin toimeksiantajaa ajatellen. Opinnäytetyön soveltavaan osuuteen sisältyy toimeksiantajan henkilötietoprosessien kartoitus, sekä hallinnollisten ja teknisten tietoturvatoimien esittely. Kartoitustyön apuna on hyödynnetty malliesimerkkeinä toisten organisaatioiden julkaisemia tietotilinpäätöksiä sekä julkaistuja tietosuoja- ja tietoturvaoppaita. Tutkimusmenetelmä on tapaustutkimus ja tutkimuksen tarkoitus kehittävä.

Tavoitteena opinnäytetyölle oli saattaa toimeksiantaja lähemmäs tietosuoja-asetuksen mukaista yritystoimintaa. Opinnäytetyön tuloksena saavutettiin dokumentaatio toimeksiantajan henkilötiedon käsittelystä ja tietoturvatoimenpiteistä sekä poikkeamatilanteessa toimimisesta. Dokumentaatio toimii myös perehdytysmateriaalina. Laadittua dokumentaatiota käytettiin myös materiaalina henkilökunnan koulutukseen koskien tietosuoja-asetusta. Tavoitteena ollut työkokemus ja tietouden lisääminen ajankohtaisesta tietosuojaan liittyvästä aiheesta myös toteutui.

Ennen kaikkea opinnäytetyö auttoi toimeksiantajaa pääsemään lähemmäs kohti tietosuoja-asetuksen vaatimien direktiivien noudattamista. Opinnäytetyön tutkimustulos hyödyntää myös muita yrityksiä toimimalla apuvälineenä samankaltaisten toimenpiteiden toteuttamisessa.

The purpose of this thesis was to present a software company's preparation for the EU General Data Protection Regulation (GDPR). Every company handling personal data registers is obligated to follow the laws set by the regulation at the end of the transition time which ends on 25th May 2018. The thesis is focused around GDPR and presents the project of mapping out the personal data registers and their handling procedures. Mapping out the personal registers consists of different stages which are implemented and documented as a part of this thesis. The aim of this thesis was to develop the commissioning company's personal data register's handling processes to meet the requirements set by the new regulation. This thesis includes classified information which is censored from the published version.

The theoretical part of the thesis includes becoming familiar with and writing down the most important points of the GDPR for the commissioning company. In the practical part, the commissioning company's processes of personal data handling are mapped out and the company’s information security policies are presented. The data balance sheets and information security guides of other organizations have worked as a model examples when executing the personal data mapping and updating the commissioning company's security measures. This thesis was a case study and the aim was to improve already existing methods in the commissioning company.

The goal for this thesis was to help the commissioning company act according to the regulation. The result of this thesis was the documented procedures of personal data handling and information security guides including the guide for working in an incident situation. These documents work as an introduction material for the staff. They also worked as a part of a training material when the company's personnel familiarized themselves with GDPR. The thesis’s writer was also able to gain work experience and to increase knowledge concerning a current information security topic.

Most of all, the thesis helped the commissioning company to familiarize with and work in accordance GDPR and its directives. The thesis' results work also as a guide to other companies encountering the similar actions to these of the commissioning company.