Henkilötietojen tietoturva asianajotoimistossa : rekisteröidyn oikeussuojakeinojen käyttö tietoturvaloukkaustilanteessa

Abstract

Asianajotoimiston tietoturvatoimenpiteiden kehittämishankkeen yhteydessä heräsi kysymyksiä tietosuoja-asetuksen myötä tulleista uusista vaatimuksista tietoturvan suhteen. Kehittämishankkeeseen päätettiin sisällyttää tiedonhaku sen selvittämiseksi, mitä oikeudellisia seuraamuksia tietoturvaloukkauksella voi olla asianajotoimistolle, asianajajalle ja siinä työskenteleville. Tämä opinnäytetyö toteutettiin tietoturvahankkeen tiedonhakuvaiheen toteuttamiseksi. Toimeksiantajana oli tamperelainen asianajotoimisto, Asianajotoimisto Kari Miettinen & Co Oy.

Työn tavoitteena oli selvittää rekisteröidyn mahdollisuudet käyttää oikeussuojakeinoja rekisterinpitäjää vastaan. Tarkoituksena oli selvittää, missä ja miten säädetään asianajotoimiston tietoturvasta ja mitä seurauksia sillä on, mikäli tietoturvasta ei huolehdita asianmukaisesti. Tietoturva sisältyy yleisen tietosuoja-asetuksen henkilötietojen käsittelyn periaatteeseen eheys ja luottamuksellisuus (TSA artikla 25 f). Lisäksi tietoturvaan liittyvää sääntelyä on kansallisessa laissa ja asianajajaliiton säännöissä. Rekisteröidyn asemassa olevan oikeussubjektin oikeussuojakeinoja tietoturvaloukkauksen suhteen tarkasteltiin sekä prosessuaalisesta että taloudellisesta näkökulmasta. Lisäksi työssä tarkasteltiin yleisesti asianajotoimiston tietoturvaa koskevaa sääntelyä. Opinnäytetyö toteutettiin lainopillisena tutkimuksena.

Työn tulosten avulla toimeksiantajan tietoturvaprojektia suunnattiin enemmän osoitusvelvollisuuden täyttämiseen ja konkreettisten tietoturvatoimenpiteiden suhteen päädyttiin käyttämään ja konsultoimaan IT-tukea. Työn oikeudellinen viitekehys koostui aiheeseen liittyvästä lainsäädännöstä, oikeuskirjallisuudesta, lausunnoista, tutkimuksista sekä viranomaislähteistä.

The thesis was commissioned by Attorney’s office Kari Miettinen & Co Oy. This study examined the possible legal consequences of personal data breach to an Attorney’s office, attorney and its employees. Study carried out a part of the office’s development project of data security.

The objective of the study was to explore the data subject’s possibilities to exercise judicial remedies against controller. Purpose was to gather information on how attorney’s office’s personal data protection is regulated and what the legal consequenses of failing it are.

Data protection is part of the GDPR’s principle ‘integrity and confidentiality’ (GDPR article 5). Data protection is also regulated by multiple national regulations. Judicial remedies were examined in both processual and economical point of views. The thesis exploited a juridical method.

As a conclusion of the study the data security project was oriented more to perform ’accountability’ instead and IT-support was consulted on questions about appropriate technological protection. Main sources were legislation, legal literature, official’s statements and studies.