Tietosuoja-asetuksen soveltaminen kuvataidekoulun tarpeisiin : case: Lohjanseudun kuvataidekoulu

Abstract

Opinnäytetyön tavoite on tutkia uuden EU:n yleisen tietosuoja-asetuksen vaikutuksia kuvataidekoulun käytäntöihin. Opinnäytetyön toimeksiantaja on Lohjanseudun kuvataidekoulun kannatusyhdistys ry. Tietoperustana toimi EU:n yleinen tietosuoja-asetus sekä siitä kirjoitettu, erityisesti pienen organisaation tarpeisiin suunniteltu kirja EU-tietosuoja-asetuksen vaatimukset.

Opinnäytetyössä käytettiin oikeusmuotoilua, eli palvelumuotoilun käyttöä juridiikassa. Aluksi tutkittiin, mitä kuvataidekoulun käytäntöjä tarvitsee muuttaa, sekä verrattiin kuvataidekoulun nykytilaa ja tietosuoja-asetuksen vaatimuksia. Tämän jälkeen käytettiin menetelmänä benchmarkingia, jossa tutkittiin erilaisia tietosuojaselosteita, erästä valmista versiota, sekä joitakin tietosuojaselosteen malleja.

Opinnäytetyön tuloksena todettiin yhdessä kuvataidekoulun rehtorin kanssa, että helpoin tapa toteuttaa tietosuoja-asetuksen vaatimia määräyksiä kuvataidekoululla on tietosuojaselosteen luonti. Selosteen perustana toimi tietosuoja-asetuksessa mainitut vaatimukset siitä, mitä rekisteröidyille on kerrottava.

Johtopäätöksessä todetaan, että tietosuoja-asetus on erityisesti suunniteltu suuremmille organisaatioille, joissa tapahtuu automaattista päätöksentekoa ja henkilötietoja käytetään muun muassa kohdennettuun mainontaan. Pienemmille, paikallisille organisaatioille uusi asetus tuottaa enemmän päänvaivaa. Siihen tarvitsee tutustua ja paneutua tarkasti, esimerkiksi mitä on kerrottava rekisteröidyille, miten henkilötietojen kanssa kuuluu toimia ja missä niitä pitää säilyttää.

The purpose of the thesis is to study how the EU’s new general data protection regulation effects an art school. I made the thesis to the Lohja’s regional art school Supporting Association. Theory parts were mostly based on the EU's general data protection regulation and a book designed to study the GPRD from smaller organizations perspective.

The thesis involved legal design, the use of service design in jurisdictions. Initially, I studied what of the art school’s practices needed to change, and compared the current state of the art school and the requirements of the data protection regulation. A benchmarking method was then used to examine different privacy statements, I used a completed version, and some data protection templates.

As a result of the thesis, the principal of the arts school concluded that the easiest way to implement the regulations required by the data protection regulation is to create a privacy statement. The basis for the report was the requirements set out in the Data Protection Regulation for what must be reported to the data subjects.

The my conclusions state that the Data Protection Regulation is specifically designed for larger organizations where automated decision-making takes place, and personal data is used for example targeted advertising. For smaller, local organizations, the new GDPR produces more things to be done. You need to be thoroughly aware what GDPR consist, for example what needs to be told to the registrars about how the personal information is involved and where.