Henkilötietojen laadukas käsittely

Tieto, tiedon elinkaari ja tiedon elinkaaren hallinta ovat käsitteitä, joita vain harvat miettivät päivittäin saati sitten päivätöikseen. Aiemmassa blogitekstissämme käsittelimme aihetta asiakastietojen näkökulmasta, mutta tässä tekstissä aiheeseen keskitytään henkilötiedon käsittelyn kehittämisen näkökulmasta.

Henkilötietoa on kaikenlainen luonnollista henkilöä koskeva tieto, joka voidaan tunnistaa häntä koskevaksi. (Henkilötietolaki 3§)

Puhuttaessa omista työntekijöistä on henkilötiedon elinkaaren hallinta yksinkertaista. Tietoa syntyy ja sitä muutetaan alkaen rekrytointiprosessista, päättyen työsuhteen loppumiseen ja aikanaan sitä seuraavaan tietojen poistoon. Tiedon keräämiselle ja käsittelylle on olemassa selvä peruste, työsuhde. Tästä vastaa henkilön esimies rekrytoidessaan ja pitäessään kehityskeskusteluja, henkilö itse päivittäessään tietojaan intraan tai puhelinluetteloon. Henkilöstöhallinnon (HR) edustajilla on keskeinen rooli tukea esimiestä näissä tehtävissä ja osaltaan varmistaa, että omat ja sidosryhmien vaatimukset tulevat täytetyiksi.

Kokemuksiimme pohjautuen yllä mainittu yksinkertainen tilanne muuttuu kuitenkin selvästi haastavammaksi, kun tarkasteluun otetaan ulkopuolisiset työntekijät, kuten esimerkiksi siistijät, erilaiset huoltohenkilöstön jäsenet ja konsultit. Kuten työntekijöilläkin, heidänkin tietojen käsittelyn perusteena on sopimus – joskaan ei työsopimus. Tilannetta voi edelleen monimutkaistaa tuomalla henkilötietoon vielä uusia lisäulottuvuuksia, kuten esimerkiksi toimittajat, henkilöasiakkaat ja yritysasiakkaat. Mutta näissäkin tapauksissa tietojen käsittelyn perusteena on sopimus tai muu erikseen etukäteen hankittu peruste käsitellä henkilötietoja.

Työntekijä on luonnollisesti keskiössä HR:n ja esimiehen päivittäisessä tekemisessä. Haaste ”ulkopuolisten” osalta on, että he eivät ole minkään yksittäisen tahon omistuksessa, eivätkä usein myöskään oman organisaation toiminnan keskiössä. Tästä seuraa se, että ulkoiset henkilöt eivät ole täten myöskään kenenkään vastuulla. Jaetusta omistajuudesta johtuen tarvitaan sitä tukevia toimintatapoja. Käytännössä tämä tarkoittaa merkittävää kehitysponnistusta eri toimintojen edustajilta. Heidän tulee miettiä miten asia tulee järjestää, kouluttaa ja jalkauttaa osaksi päivittäistä tekemistä. Tässä työssä auttaa henkilötietoihin liittyvän selvityksen tekeminen, jota ohjaavat aiemmin mainitun lain ja asetuksien lisäksi organisaation omat vaatimukset sekä mahdolliset sidosryhmiltä tulevat vaatimukset.

Henkilötietojen selvitys tuottaa tuloksenaan konkreettisia hyötyjä.

Henkilötietojen selvityksessä keskeisiä asioita on löytää vastaukset esimerkiksi seuraaviin kysymyksiin: miksi henkilötietoa kerätään, milloin sitä kerätään, mitä tietoelementtejä henkilötietoihin kuuluu, kuinka tietosisältöjä kategorisoidaan ja asetetaan hierarkioihin, minne tieto tallennetaan, miten tietoa hallinnoidaan kenellä on siihen pääsy, kuinka tieto ohjaa organisaation toimintaa esim. pääsynhallinnan alueella ja millaiset tietomuutokset henkilötiedoissa toimivat työprosessien herätteinä. Tehtävän selvityksen tulee leikata läpi toimintojen ja organisaatiosiilojen.

Ylätason vaatimuksena on oltava konsernitason näkyvyys henkilötiedon elinkaaresta, johon kuuluvat luonti, käyttö, ylläpito, passivointi ja poistaminen. Lisäksi on selvitettävä järjestelmät, joissa henkilötietoa käsitellään ja kuinka tieto siirtyy eri järjestelmien välillä turvallisesti. Selvitystä laadittaessa on luontaista käydä myös rekisteriselosteet läpi ja pohtia tarvitseeko niitä päivittää ja voisiko niitä jotenkin järkeistää.

Selvityksen yhteydessä luodaan mahdollisten arkkitehtuuri- ja prosessikuvausten sekä tietomallien lisäksi sisällöltään konsernitasoinen henkilödatastandardi. Datastandardi kuvaa konsernille keskeiset henkilötietoelementit, joita henkilöistä kerätään riippumatta heidän suhteestaan organisaatioon. Laadittavasta henkilödatastandardista käy ilmi laatuvaatimukset, jotka laadukkaan henkilötiedon tulee täyttää. Näin ollen sillä pystyy osaltaan vastaamaan henkilötietolain vaatimukseen tietojen oikeellisuudesta. Suunniteltaessa tietojärjestelmämuutoksia tai erilaisia organisaatiomuutoksia pystytään helposti arvioimaan muutoksen vaikutusta henkilötietoihin käyttämällä apuna henkilödatastandardia sekä muuta dokumentaatiota.

Henkilötietojen selvittäminen organisaation toiminnan ja turvallisuuden kehittämisen välineenä.

Tilaajalleen merkittävää lisäarvoa tuottaa selvityksessä havaittujen ja priorisoitujen kehityskohteiden käyttöönotto. Käyttöönotto tarkoittaa, että organisaatiossa päivittäinen työ muuttuu, joten muutosjohtamiseen kannattaa panostaa asianmukaisesti. On myös hyvä muistaa, että itse selvitystyökin yleensä tuottaa lisäarvoa, kun saadaan tuotetuksi ajantasainen kuvaus ja jaettu ymmärrys siitä, miten henkilötietoa käsitellään organisaation eri toiminnoissa, prosesseissa ja järjestelmissä.

Kehittämällä henkilötietojen käsittelyä ja kasvattamalla organisaation ymmärrystä käsittelyprosesseista, mahdollistetaan osaltaan myös tietoturvan, -suojan ja organisaation tietoturvapolitiikan jatkokehittäminen. Jos organisaatio on suunnittelut ottavansa menestyksekkäästi käyttöön pääsy- ja käyttöoikeushallintajärjestelmän (IAM/IDM), se kannattaa tehdä edellä kuvatun selvitystyön jälkeen. Jalkautettuna laadukas ja ajantasainen henkilödatastandardi mahdollistaa myös järjestelmien reaaliaikaisen tilanseurannan erilaisten kerättävien ja analysoitavien meta- ja lokitietojen avulla. Tällöin esim. organisaation tietoturvaan vaikuttavat poikkeamat normaalista toiminnasta on mahdollista tunnistaa jo varhaisessa vaiheessa jatkotoimia varten.

Organisaation henkilötietojen käsittelyn kehittämiseen liittyy merkittäviä ulkoisia paineita mm. julkisen keskustelun sekä lainsäätäjien tahoilta. Uhan, pakon tai ylimääräisen rasitteen asemesta se kannattaa kuitenkin nähdä mahdollisuutena ja käyttää tilaisuus hyväksi oman toiminnan kehittämiseksi ja turvaamiseksi.