GDPR-asetus ja noudattaminen Alfame Systems Oy:ssä

Abstract

Euroopan unionin yleinen tietosuoja-asetus astui voimaan toukokuun 25. päivänä 2018. Voimaantulo asetti henkilötietojen käsittelijöille ja rekisterien pitäjille suoria velvoitteita.

Opinnäytetyöni tavoitteena tutustuin Euroopan Unionin uuteen tietosuoja-asetukseen ja pohdin sen vaikutuksia Alfame Systems Oy:n toiminnan kannalta. Tietosuoja-asetukseen tutustuin osallistumalla useampaan aihepiiriin liittyvään koulutukseen ja tutustumalla aihepiiriin liittyvään kirjallisuuteen. Teoriaan tutustuessani toteutin tarvittavat dokumentaatiot osoitusvelvollisuuden tueksi.

Opinnäytetyön teoriaosuudessa käsitellään ensiksi Suomessa aikaisemmin vallinnutta tapaa käsitellä henkilötietoja, jonka jälkeen syvennytään tarkemmin GDPR:n sisältöön ja vaatimuksiin. Tutkimus-osuudessa selvitin kyselyn ja haastatteluiden avulla, miten organisaatiossa tunnistetaan tietoturva ja -suoja asiat ja tietosuoja-asetus.

Tutkimuksen tuloksena havaitsin, että tietoturva pitää saada osaksi yrityskulttuuria. Tietoturvaan liittyvät dokumentaatiot täytyy olla helposti löydettäviä ja sisällöt täytyy tuoda lähelle arkipäiväistä toimintaa. Lisäksi tavat oppia vaihtelevat henkilöiden mukaan, joten täytyy huomioida erilaiset tavat tietoisuuden lisäämiseksi. Tutkimustuloksien avulla on tarkoitus jatkokehittää yrityksen tietoturvaa.

The General Data Protection Regulation of the European Union entered into force on 25 May 2018. The entry into force imposed direct obligations on processors of personal data and registrars.

The aim of my thesis was to get acquainted with the new data protection regulation of the European Union and to consider its effects on the operations of Alfame Systems Oy. I became acquainted with the Data Protection Regulation by participating in training on several topics and by getting familiar with literature on the topic. After getting acquainted with the theory, I implemented the necessary documentation to support the obligation to demonstrate compliance.

The theoretical part of the thesis first describes with the way of processing personal data that previously prevailed in Finland, after which we delve deeper into the content and requirements of the GDPR. In the research part, I used a survey and interviews to find out how information security and protection issues and the data protection regulation are understood in the organization.

As a result of the research, I observed that information security needs to be integrated into the corporate culture. Security-related documentation must be easy to find and the content must be brought close to everyday activities. In addition, ways of learning vary from person to person, so different ways of raising awareness need to be considered. The research results enable further developing the information security of the company.