Tietosuoja kieltää henkilötietojen käsittelyn – totta vai tarua? No tietenkin tarua. Organisaation, jolla on työntekijöitä, asiakkaita ja/tai on muuten tekemissä ihmisten kanssa, tulee käsitellä henkilötietoja toiminnassaan. Tietyissä asioissa henkilötietojen käsittely on jopa lakisääteinen velvoite.
Velvoite koskee esimerkiksi organisaatioita, jotka joko toimivat EU:ssa tai tarjoavat EU:n alueella oleville henkilöille palveluita ja tuotteita tai kohdistavat heihin tutkimuksia. Tietosuoja-asioihin säännösviitekehyksen antaa EU:n tietosuoja-asetus 2016/679, jonka englanninkielistä lyhennettä GDPR käytetään välillä – ei välttämättä niin oikein – synonyymina tietosuojalle tietosuoja-asetuksen sijaan.
Sovelluskehityksessä, kuten muussakin organisaation toiminnassa, tietosuojan hoitamatta jättäminen voi pahimmillaan johtaa maineen menetykseen, vahingonkorvausvelvoitteisiin sekä sakkorangaistuksiin. Kun tietosuojaa toteutetaan sovelluskehityksessä hyvin (sisäänrakennetusti ja oletusarvoisesti), se tuo parempaa käytettävyyttä, kustannussäästöjä koko ohjelmistoelinkaaren ajalta sekä vastuulliseen toimintaan tyytyväisempiä sidosryhmiä organisaatiolle.
Lähtökohta
Sovelluskehityksessä tulee tietenkin noudattaa yleisesti tietosuoja-asetuksessa määriteltyjä asioita kuten kaikessa muussakin henkilötietojen käsittelyssä. Hyvänä lähtökohtana sovelluskehityksen parissa työskenteleville on vilkaista tarkemmin muutama tietosuoja-asetuksen artikla:
- henkilötietojen käsittelyä koskevat periaatteet (artikla 5)
- rekisteröityjen oikeuksia käsittelevät artiklat (12-22) sekä
- sisäänrakennettu ja oletusarvoinen tietosuoja (artikla 25)
Käsittelyperiaatteet kuvaavat jo ylemmällä tasolla rekisteröityjen oikeuksia, sisäänrakennettua ja oletusarvoista tietosuojaa (Privacy by Design and Privacy by Default) sekä koko hoitoon liittyen osoitusvelvollisuutta, jonka mukaan organisaation on pystyttävä myös todentamaan henkilötietojen käsittelynsä olevan lakisääteisten vaatimusten mukaista.
TÄRKEÄ MUISTISÄÄNTÖ:
Kaikki henkilötietojen käsittelyyn liittyvät ohjeistukset, säännöt ja lainsäädäntö pätevät yhtä lailla myös sovellustestauksessa ja testiympäristöissä käsiteltäviin henkilötietoihin.
Sisäänrakennetun tietosuojan seitsemän periaatetta
Tietosuojaa on toteutettu sovelluskehityksessä jo reilusti ennen tietosuoja-asetuksen soveltamisen alkamista toukokuussa 2018. Jostain syystä sen mukanapito kehitystyössä saatetaan silti edelleen kokea vaikeaksi, ylimääräiseksi tai turhaksi osaksi tehtävää työtä. Ann Cavoukianin kehittämä Privacy by Design – The 7 Foundational Principles eli Sisäänrakennetun tietosuojan seitsemän periaatetta on ollut käsitteenä ja ohjeena mukana järjestelmäsuunnittelussa jo 1990-luvulta lähtien. Periaatteet ovat löytäneet tiensä mukaan myös EU:n tietosuoja-asetukseen (General Data Protection Regulation 2016/679), josta niitä voi tunnistaa useammankin artiklan yhteydestä.
Haluatko kuulla lisää?
Lataa tästä ilmainen eOpas tietosuojasta sovelluskehityksessä. Toivottavasti se antaa tutummalta tuntuvaa virettä tietosuoja-asetuksen määrittämien asioiden istuttamiselle osaksi sovelluskehityksen rutiineja. Voit ottaa myös rohkeasti yhteyttä asiantuntijoihimme. Autamme mielellämme!
