GDPR ja ISO 27701: tietosuojavastaavan (DPO) tehtävänsiirtoaineisto

Ilmoitus saapui Marian sähköpostiin harmittomalla otsikolla ”Tiimipäivitys”. David, nopeasti kasvavan fintech-yhtiön tietosuojavastaava, oli hyväksynyt uuden tehtävän. Hän lähtisi kahden viikon kuluttua.

Aluksi Maria, tietoturvajohtaja, käsitteli asiaa kuten mitä tahansa ylimmän johdon avainhenkilön lähtöä. Henkilöstöhallinto hoitaisi työsuhteen päättämisen, IT poistaisi käyttöoikeudet, lakiasiat kävisivät avoimet asiat läpi ja uusi tietosuojavastaava osallistuisi tehtävänsiirtopuheluun. Sitten alkoivat todelliset kysymykset.

”Missä on biometrisen kirjautumisominaisuuden DPIA?”

”Voinko nähdä kirjeenvaihdon Belgian tietosuojaviranomaisen kanssa viime vuoden rajat ylittävää tietovirtaa koskevasta tiedustelusta?”

”Mikä oli perustelu jäännösriskin hyväksymiselle tekoälypohjaisessa luottopisteytysmallissa?”

Seuraavana maanantaina kello 08.17 hallitus halusi varmistuksen siitä, että GDPR:n mukainen osoitusvelvollisuus oli edelleen hallinnassa. Suuri yritysasiakas oli lähettänyt tietosuojaa koskevan due diligence -kyselyn ja pyytänyt uusinta RoPA:a, DPIA-rekisteriä, henkilötietojen tietoturvaloukkauslokia, alikäsittelijäluetteloa, säilytysaikataulua ja näyttöä tietosuojaneuvonnasta. Tuotetiimi halusi hyväksynnän analytiikkamuutokselle. Tuki käsitteli kolmea avointa rekisteröidyn pyyntöä. Hankinta neuvotteli uudelleen henkilötietojen käsittelijän sopimusta. Tietoturva tutki tapahtumaa, johon saattoi liittyä henkilötietoja.

Davidin tehtävänsiirto koostui 30 minuutin puhelusta ja jaetusta asemasta, joka oli täynnä epäyhtenäisesti nimettyjä kansioita. Konteksti, keskustelut, riskinottohalukkuutta koskevat päätökset, viranomaishistoria ja epävirallinen neuvonta poistuivat hänen mukanaan.

Tässä kohdassa tietosuojan hallinnointi joko osoittaa olevansa hallintajärjestelmä tai paljastuu yhden henkilön muistin varaan rakennetuksi.

Tietosuojavastaavan (DPO) tehtävänsiirtoaineisto GDPR:ää ja ISO/IEC 27701:2025:tä varten ei ole HR:n lähtöpaketti. Se on osoitusvelvollisuuden jatkuvuusaineisto. Se kertoo saapuvalle tietosuojavastaavalle, PIMS-päällikölle, auditoijalle, viranomaiselle tai liiketoiminnan sponsorille, mitä käsitellään, miksi käsittely on lainmukaista, mitkä riskit ovat avoinna, missä todentava aineisto sijaitsee, kuka omistaa seuraavan toimenpiteen ja mitä määräaikoja ei saa ohittaa.

Piilevä tietosuojariski: osoitusvelvollisuus yhden roolin varassa

GDPR tekee osoitusvelvollisuudesta nimenomaisen. Article 5(2) edellyttää, että rekisterinpitäjät vastaavat lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden, käyttötarkoitussidonnaisuuden, tietojen minimoinnin, täsmällisyyden, säilytyksen rajoittamisen, eheyden ja luottamuksellisuuden keskeisten periaatteiden noudattamisesta ja pystyvät osoittamaan sen. Articles 4, 6, 9, 10 ja 30 lisäävät toiminnallisen sanaston ja näyttöodotukset, joiden on säilyttävä roolimuutoksessa: henkilötiedot, käsittely, oikeusperuste, erityisiin henkilötietoryhmiin liittyvät käsittelyedellytykset, henkilötietojen tietoturvaloukkauksen määritelmä ja käsittelytoimien selosteet.

Kysymys ei ole siitä, oliko organisaatiolla osaava tietosuojavastaava. Kysymys on siitä, pystyykö tietosuojaohjelma toimimaan tietosuojavastaavan vaihtuessa.

Kun tietosuojavastaava lähtee, organisaation on edelleen tiedettävä:

• Mitkä käsittelytoimet ovat aktiivisia, keskeytettyjä, käytöstä poistettuja tai katselmoinnin kohteena.
• Mitkä oikeusperusteet ja erityisiä henkilötietoryhmiä koskevat käsittelyedellytykset tukevat kutakin toimintoa.
• Mitkä DPIA:t sisältävät ratkaisemattomia riskejä tai ehdollisia hyväksyntöjä.
• Mitkä rekisteröityjen pyynnöt ovat avoinna, määräajaltaan pidennettyjä, hylättyjä tai muutoksenhaun kohteena.
• Mistä henkilötietojen tietoturvaloukkauksista on ilmoitettu, mistä ei ole ilmoitettu tai mitkä ovat edelleen arvioitavana.
• Mitkä henkilötietojen käsittelijät, alikäsittelijät ja siirtoperusteet ovat käytössä.
• Mitkä viranomaisviestit, asiakassitoumukset ja auditointitoimenpiteet ovat kesken.
• Mitä tietosuojaneuvontaa on annettu, milloin sitä on annettu ja millä oletuksilla.

Tämä on klassinen avainhenkilöriippuvuus. Tietosuojavastaavan muistista tulee ensisijainen tietovarasto tietosuojapäätöksille, riskienarvioinneille ja viranomaisyhteyksille. Kun henkilö lähtee, organisaatio menettää muutakin kuin roolin haltijan. Se menettää jäljitettävyyden, jota tarvitaan vaatimustenmukaisuuden osoittamiseen.

Clarysecin Enterprise Tietosuojan roolit, vastuut ja osoitusvelvollisuus -politiikka [C1] tekee roolisiirtymästä näyttövelvoitteen:

[Kaikki] Tietosuojavastaavan / PIMS-päällikön TULEE kirjata roolin tehtävänsiirtoa koskeva todentava aineisto REG01:een ja REG12:een 10 arkipäivän kuluessa roolimuutoksesta.

Kohdasta ”Toteutus”, politiikan lauseke 7.1.6.

Sama politiikka edellyttää myös viestintänäyttöä roolin uudelleenkohdistamisen tai henkilön lähdön jälkeen:

[Kaikki] Tietosuojavastaavan / PIMS-päällikön TULEE päivittää roolimuutoksen viestintää koskeva todentava aineisto REG11:een 10 arkipäivän kuluessa roolin uudelleenkohdistamisesta tai lähdöstä.

Kohdasta ”Osoitusvelvollisuutta ja viestintää koskeva näyttö”, politiikan lauseke 4.5.4.

Nämä kaksi lauseketta muuttavat henkilöstömuutoksen auditoitavaksi tietosuojakontrolliksi. Tehtävänsiirto ei enää ole epämuodollista tiedonsiirtoa. Siitä tulee dokumentoitua PIMS-näyttöä.

Mitä tietosuojavastaavan tehtävänsiirtoaineisto käytännössä on

Hyvä tietosuojavastaavan tehtävänsiirtoaineisto ei ole yksittäinen PDF. Se on hallittu näyttökokonaisuus, jossa on indeksi, omistajat, linkit, tilakentät, päätöshistoria ja hakusäännöt. Sen tulee mahdollistaa se, että saapuva tietosuojavastaava ymmärtää organisaation tietosuojan tilan tunneissa, ei viikoissa.

Ajattele sitä tietosuojaohjelman mustana laatikkona. Sen on näytettävä paitsi mitä tapahtui, myös miksi päätökset tehtiin ja mitä seuraavaksi on tehtävä.

Käytännöllisen tietosuojavastaavan tehtävänsiirtoaineiston tulee vastata neljään kysymykseen:

1. Mitkä tietosuojavelvoitteet ja päätökset ovat tällä hetkellä aktiivisia?
2. Mikä todentava aineisto osoittaa, että näitä velvoitteita hallitaan?
3. Kuka omistaa kunkin avoimen asian siirtymän aikana ja sen jälkeen?
4. Mitkä riskit, määräajat tai sääntelyyn liittyvät herkkyydet edellyttävät välitöntä huomiota?

Aineiston ei tule kopioida jokaista tallennetta. Kopiointi luo vanhentunutta näyttöä. Sen sijaan aineiston tulee osoittaa ajantasaiseen tallenteeseen, selittää tila, tunnistaa omistajuus ja merkitä seuraava tarvittava päätös.

Clarysecin Enterprise PIMS:n dokumentoidun tiedon ja todentavan aineiston hallintapolitiikka [C2] muodostaa todentavan aineiston perustan:

[Kaikki] Tietosuojavastaavan / PIMS-päällikön TULEE ylläpitää PIMS:n dokumentoidun tiedon indeksiä REG12:ssa ennen PIMS:n ensimmäistä julkaisua ja sen jälkeen neljännesvuosittain.

Kohdasta ”PIMS:n dokumentoidun tiedon hallinta”, politiikan lauseke 4.1.1.

Se edellyttää myös hakua koskevaa näyttöä:

[Kaikki] Tietosuojavastaavan / PIMS-päällikön TULEE kirjata auditointinäytön hakupyynnöt ja niiden toteutustila REG12:een viiden arkipäivän kuluessa pyynnön vastaanottamisesta.

Kohdasta ”Pääsy, suojaus, haku ja luovutus”, politiikan lauseke 4.4.4.

Tietosuojavastaavan tehtävänsiirtoaineisto tulee siksi rakentaa REG12:n tai vastaavan dokumentoidun tiedon indeksin ympärille. Jos tietosuojan todentavaa aineistoa ei löydetä nopeasti siirtymän aikana, se ei tue osoitusvelvollisuutta silloin, kun auditoija, asiakas tai viranomainen pyytää näyttöä.

Auditointivalmiin tietosuojavastaavan tehtävänsiirtoaineiston ydinosat

Clarysec-toteutuksissa tietosuojavastaavan tehtävänsiirtoaineisto jaetaan tyypillisesti kymmeneen osaan. Nämä osat antavat saapuvalle tietosuojavastaavalle yhden operatiivisen näkymän korvaamatta ajantasaisia järjestelmiä ja rekistereitä.

Aineiston arvokkain osa ei usein ole asiakirjat itsessään. Arvo syntyy asiakirjojen välisestä kontekstista. DPIA voi osoittaa johtopäätöksen, mutta saapuvan tietosuojavastaavan on myös tiedettävä, mitä neuvontaa annettiin, mitkä jäännösriskit hyväksyttiin, mitä ehtoja liitettiin ja seurataanko näitä ehtoja edelleen.

GDPR:n toiminnallinen runko: RoPA, DPIA:t, DSR:t, henkilötietojen tietoturvaloukkaukset ja oikeusperuste

Tietosuojavastaavan tehtävänsiirtoaineiston tulee alkaa GDPR:n toiminnallisesta rungosta. Tässä moni siirtymä epäonnistuu, koska lähtevä tietosuojavastaava tuntee tallenteiden taustahistorian, kun taas saapuva tietosuojavastaava näkee vain katkelmia.

Enterprise Tietosuoja- ja yksityisyydensuojapolitiikka [C3] osoittaa tietosuojavastaavalle vastuun keskeisistä tallenteista:

Ylläpitää käsittelytoimien selostetta (RoPA) GDPR Article 30:n mukaisesti.

Kohdasta ”Roolit ja vastuut”, politiikan lauseke 4.2.2.

Siinä todetaan myös:

Johtaa sääntelyyn liittyvää vuorovaikutusta, toteuttaa tietosuojaa koskevat vaikutustenarvioinnit (DPIA) ja hallinnoi henkilötietojen tietoturvaloukkauksista ilmoittamisen prosesseja.

Kohdasta ”Roolit ja vastuut”, politiikan lauseke 4.2.3.

Ja oikeuksien hallinnan osalta:

Tietosuojavastaavan (DPO) tulee ylläpitää dokumentoidut prosessit rekisteröidyn pyyntöjen (DSR) vastaanottoa, validointia, seurantaa ja vastaamista varten.

Kohdasta ”Politiikan toteutusvaatimukset”, politiikan lauseke 6.4.1.

Nämä eivät ole erillisiä hallinnollisia tehtäviä. Ne muodostavat osoitusvelvollisuuden ketjun.

Jos rekisteröity pyytää poistamista, saapuva tietosuojavastaava tarvitsee RoPA:n järjestelmien ja henkilötietojen käsittelijöiden tunnistamiseen, oikeusperusterekisterin sen arvioimiseksi, soveltuuko poistaminen, säilytysaikataulun säilytyksen rajoittamisen tarkistamiseen, toimittajatiedot poistamisen koordinoimiseksi käsittelyketjussa sekä DSR-rekisterin aikajanan ja vastauksen todentamiseksi. Jos tietosuojavastaava vaihtuu pyynnön käsittelyn aikana, tehtävänsiirtoaineiston on säilytettävä tämä ketju.

Pienemmissä organisaatioissa Clarysecin Tietosuoja- ja yksityisyydensuojapolitiikka-sme [C4] käyttää skaalattua kieltä mutta säilyttää saman osoitusvelvollisuuden periaatteen:

Ylläpitää käsittelytoimien tallenteita

Kohdasta ”Roolit ja vastuut”, politiikan lauseke 4.2.1.

Se edellyttää myös:

Tietosuojakoordinaattorin tulee ylläpitää rekisteriä kaikista henkilötietojen käsittelytoimista, mukaan lukien tietoluokat, tarkoitus, oikeusperuste ja säilytysajat

Kohdasta ”Hallinnointivaatimukset”, politiikan lauseke 5.2.1.

Ja rekisteröityjen pyyntöjen osalta:

Kaikki vastaukset rekisteröidyn pyyntöihin tulee kirjata suojattuun rekisteriin, johon pääsy on rajattu tietosuojakoordinaattorille ja toimitusjohtajalle

Kohdasta ”Politiikan toteutusvaatimukset”, politiikan lauseke 6.5.4.

Sekä yritys- että pk-ympäristöissä tehtävänsiirtoaineiston tulee sisältää tietosuojatoimintojen mittaristo, joka näyttää RoPA:n, DPIA:iden, DSR:ien, henkilötietojen tietoturvaloukkausten, säilytyskatselmusten ja toimittajakatselmusten tilan. Näin organisaatio osoittaa, ettei GDPR:n mukainen osoitusvelvollisuus riipu yhdestä henkilöstä.

ISO/IEC 27701:2025: roolisiirtymä hallittuna PIMS-näyttönä

ISO/IEC 27701:2025 laajentaa tietosuojan hallinnoinnin rakenteiseksi henkilötietojen hallintajärjestelmäksi. Tämä tarkoittaa, että roolisiirtymää tulee käsitellä kuten mitä tahansa muuta hallittua prosessia: suunniteltuna, osoitettuna, todennettuna, katselmoituna ja parannettuna.

Tehtävänsiirtoaineiston tulee sisältää PIMS-jatkuvuuskentät jokaiselle merkittävälle tietosuojaprosessille:

• Prosessin nimi, kuten DPIA, RoPA, DSR, henkilötietojen tietoturvaloukkauksen arviointi tai toimittajan tietosuojakatselmointi.
• PIMS-rooli, kuten tietosuojavastaava (DPO), PIMS-päällikkö, rekisterinpitäjän edustaja tai henkilötietojen käsittelijän edustaja.
• Operatiivinen rooli, kuten rekisterinpitäjä, henkilötietojen käsittelijä, yhteisrekisterinpitäjä tai alikäsittelijä.
• Nykyinen omistaja ja tilapäinen sijainen.
• Todentavan aineiston rekisteriviite.
• Viimeisin katselmointipäivä ja seuraava katselmointipäivä.
• Avoimet päätökset ja ratkaisemattomat riskit.
• Eskalointireitti.
• Linkit politiikkalausekkeisiin, menettelyihin ja mallipohjiin.
• Auditointitila, mukaan lukien viimeisin näyttöpyyntö ja vastaus.

Enterprise Henkilötietojen hallintajärjestelmän politiikka [C5] tekee tietosuojaneuvonnasta itsessään näyttöobjektin:

[Kaikki] Tietosuojavastaavan / tietosuojaneuvonantajan TULEE kirjata tietosuojaneuvonta PIMS:n soveltamisalasta, DPIA-kriteereistä ja korkean riskin päätöksistä REG04:ään ennen asianomaisen päätöksen hyväksymistä.

Kohdasta ”Roolit ja vastuut”, politiikan lauseke 5.1.3.

Tämä lauseke on kriittinen tehtävänsiirron aikana. DPIA-raportti voi osoittaa lopullisen hyväksynnän, mutta REG04 tai vastaava tietosuojaneuvontarekisteri säilyttää päätöksen taustalla olevan ammatillisen perustelun. Ilman sitä uusi tietosuojavastaava ei välttämättä pysty selittämään, miksi organisaatio hyväksyi korkean riskin käsittelytoimen tai mitä seurantaehtoja hyväksyntään liitettiin.

Clarysec kytkee roolisiirtymän myös laajempaan hallinnointiin. Enterprise Hallinnointirooleja ja vastuita koskeva politiikka [C6] toteaa:

Delegointeja tulee seurata rooli- ja vastuurekisterissä, ja alkuperäinen omistaja säilyttää lopullisen osoitusvelvollisuuden.

Kohdasta ”Politiikan toteutusvaatimukset”, politiikan lauseke 6.2.5.

Tämä estää vaarallisimman siirtymäaukon: kaikki olettavat jonkun muun huolehtivan DSR:istä, DPIA:ista, henkilötietojen tietoturvaloukkausten arvioinneista tai viranomaisvastauksista. Vahva tietosuojavastaavan tehtävänsiirtoaineisto sisältää delegointitaulukon ja osoittaa selkeästi, onko kukin vastuu pysyvä, tilapäinen vai neuvova.

Tietovaraston rakentaminen Zenith Blueprintin avulla

Tehtävänsiirtoaineisto on hyödyllinen vain, jos sen taustalla oleva tietovarasto on kunnossa. Sekava jaettu asema ei ole PIMS:n todentavan aineiston järjestelmä.

Clarysecin Zenith Blueprint: auditoijan 30 vaiheen tiekartta [C7] käsittelee dokumentaatiota elävänä hallintajärjestelmänä. ISMS:n perustan ja johtajuuden vaiheessa, vaiheessa 6 ”Dokumentoitu tieto ja ISMS-kirjaston rakentaminen”, Zenith Blueprint neuvoo organisaatioita luomaan rakenteisen ISMS-dokumentaatiotietovaraston:

Nyt on hyvä aika luoda rakenne kaikelle ISMS-dokumentaatiolle (”ISMS-kirjasto”). Esimerkiksi:

✓ Pääkansio nimeltä ”ISMS-dokumentaatio”, jossa on alikansioita, kuten: ✓ Politiikat ja menettelyt: sisältää hyväksytyt politiikkaversiot (esim. tietoturvapolitiikka, hyväksyttävän käytön politiikka) ja menettelyt (tietoturvapoikkeamien hallintamenettely, varmuuskopiointimenettely jne.). ✓ Riskien arviointi ja SoA: kansio riskienarviointiraporteille, riskirekisterille (työtiedosto) ja soveltuvuuslausunnolle (kun se on laadittu). ✓ Koulutus- ja tietoisuustallenteet: koulutuslokit, kopiot toimitetusta sisällöstä, osallistujaluettelot. ✓ Auditointi ja katselmointi: sisäisen tarkastuksen raportit, johdon katselmuksen kokouspöytäkirjat, korjaavien toimenpiteiden lokit. ✓ Poikkeamatallenteet: poikkeamaloki, poikkeamaraportit, opittujen kokemusten asiakirjat. ✓ Omaisuuserät ja inventaario: omaisuusluettelot, tietojen luokittelun tulokset jne. ✓ Annex A -kontrollit (tai ”kontrollikirjasto”): mahdollisesti kontrolliluettelo ja dokumentaatio siitä, miten ne on toteutettu.

Varmista, että tietovarasto on saavutettavissa mutta suojattu. Politiikat voivat esimerkiksi olla kaikille työntekijöille tarkoitetussa vain luku -kansiossa, mutta riskien arvioinnin kansio voidaan rajata ISMS-tiimille ja ylimmälle johdolle.

ISMS:n perustan ja johtajuuden vaiheesta, vaihe 6: Dokumentoitu tieto ja ISMS-kirjaston rakentaminen.

Tietosuojavastaavan tehtävänsiirtoaineistossa sama malli muuttuu PIMS-kirjastoksi. Käytännöllinen ylätason kansio on ”PIMS DPO:n tehtävänsiirto ja osoitusvelvollisuus”, johon on rajattu pääsy tietosuojavastaavalle, PIMS-päällikölle, lakiasioille, tietoturvajohtajalle, sisäiselle tarkastukselle ja hyväksytylle ylimmälle johdolle.

Pk-yrityksissä sama periaate voidaan toteuttaa yksinkertaisemmin. Clarysecin Auditointi- ja vaatimustenmukaisuuden seurantapolitiikka-sme [C8] toteaa:

Kaikki todentava aineisto tulee säilyttää keskitetyssä auditointikansiossa.

Kohdasta ”Politiikan toteutusvaatimukset”, politiikan lauseke 6.2.1.

Kypsyystaso voi vaihdella, mutta periaatteen ei tulisi vaihdella. Tietosuojan todentavan aineiston on oltava keskitettyä, hallittua, indeksoitua ja haettavissa.

ISO-kontrollien ankkurit: roolit, tallenteet ja henkilötietojen suoja

Tietosuojavastaavan tehtävänsiirtoaineisto kytkeytyy vahvasti kolmeen ISO/IEC 27002:2022:n organisatoriseen kontrolliin, jotka esitetään Clarysecin Zenith Controls: vaatimustenmukaisuuksien välinen opas [C9] -aineistossa. Nämä ovat ISO-kontrolleja, eivät Zenithin luoma erillinen kontrollijoukko.

Nämä kontrollit kytkeytyvät myös ISO/IEC 27001:2022:n hallintajärjestelmävaatimuksiin. Clause 5.3 edellyttää organisaation roolien, vastuiden ja toimivaltuuksien määrittämistä ja viestimistä. Clause 7.5 edellyttää dokumentoidun tiedon hallintaa. Clause 6.1 edellyttää riskien ja mahdollisuuksien suunnittelua, mukaan lukien riskien käsittely. Clause 8.1 edellyttää toiminnan suunnittelua ja ohjausta. Clause 9.1 edellyttää seurantaa ja arviointia. Clause 10.2 edellyttää korjaavia toimenpiteitä.

Tietosuojavastaavan tehtävänsiirtoaineisto tukee näitä odotuksia muuttamalla roolisiirtymän hallituksi ja auditoitavaksi näytöksi.

Yhden istunnon harjoitus tietosuojavastaavan tehtävänsiirtoaineiston rakentamiseen

Eroilmoitusta ei tarvitse odottaa. Tee tämä harjoitus ennen tietosuojavastaavan lähtöä, sisäisen tietosuoja-auditoinnin aikana tai uuden tietosuojavastaavan nimittämisen jälkeen.

Vaihe 1: Luo tehtävänsiirron indeksi

Avaa REG12 tai organisaatiosi dokumentoidun tiedon indeksi ja luo osio nimeltä ”Tietosuojavastaavan tehtävänsiirtoaineisto”. Lisää kentät seuraaville tiedoille:

• Näyttökohde.
• Prosessialue.
• Ajantasainen sijainti.
• Omistaja.
• Varahenkilö.
• Viimeksi katselmoitu.
• Seuraava katselmointi.
• Luottamuksellisuustaso.
• Avoin toimenpide.
• Auditointirelevanssi.

Täytä ensimmäiset 25 merkintää. Aloita RoPA:sta, DPIA-rekisteristä, DSR-rekisteristä, henkilötietojen tietoturvaloukkauslokista, toimittajarekisteristä, säilytysaikataulusta, tietosuojaneuvontarekisteristä, viranomaiskirjeenvaihtotiedostosta, tietosuojariskirekisteristä ja PIMS:n soveltamisalasta.

Vaihe 2: Rakenna 30, 60 ja 90 päivän määräaikojen seurantalista

Luo kriittisten määräaikojen mittaristo asioille, joiden määräaika on seuraavan 30, 60 ja 90 päivän aikana. Sisällytä:

• Avoimet rekisteröityjen pyynnöt.
• Odottavat DPIA-hyväksynnät.
• Avoimet henkilötietojen tietoturvaloukkausten arvioinnit.
• Viranomais- tai asiakasvastausten määräajat.
• Toimittajakatselmusten päivämäärät.
• Siirtoihin tai alikäsittelijäilmoituksiin liittyvät määräajat.
• Säilytyskatselmusten virstanpylväät.
• Auditoinnin korjaavat toimenpiteet.

Tämä on sivu, jonka saapuva tietosuojavastaava lukee ensimmäisenä.

Vaihe 3: Kartoita korkean riskin prosessit nimetyille omistajille

Käytä rooli- ja vastuurekisteriä. Dokumentoi kunkin prosessin osalta, oliko lähtevä tietosuojavastaava vastuussa lopputuloksesta, toteutusvastuussa, kuultavana vai informoitavana. Nimeä tilapäinen omistaja jokaiselle käynnissä olevalle prosessille. Seuraa delegointia ja viesti muutos Tietosuojan roolit, vastuut ja osoitusvelvollisuus -politiikan sekä Hallinnointirooleja ja vastuita koskevan politiikan mukaisesti.

Vaihe 4: Säilytä päätöskonteksti

Lisää jokaiselle aktiiviselle DPIA:lle tai korkean riskin päätökselle tiivis päätöshistorian muistiinpano:

• Mitä ehdotettiin?
• Miksi DPIA tarvittiin tai miksi sitä ei tarvittu?
• Mitä tietosuojaneuvontaa annettiin?
• Mitkä riskit ovat jäljellä?
• Kuka hyväksyi jäännösriskin?
• Mitä ehtoja on seurattava?

Tässä REG04 on olennainen. Ilman kirjattua neuvontaa saapuva tietosuojavastaava voi nähdä vain lopullisen hyväksynnän ja menettää näkyvyyden sen taustalla oleviin rajoituksiin.

Vaihe 5: Testaa haku

Pyydä sisäistä tarkastusta tai vaatimustenmukaisuustoimintoa pyytämään viisi kohdetta tehtävänsiirtoaineistosta:

1. RoPA-merkintä korkean riskin käsittelytoimesta.
2. Saman toiminnon DPIA ja neuvontatallenne.
3. Sitä tukeva henkilötietojen käsittelijän sopimus.
4. Tietoihin sovellettava säilytyssääntö.
5. Viimeisin tähän prosessiin liittyvä DSR- tai henkilötietojen tietoturvaloukkauspäätös, jos sellainen on.

Jos tiimi ei pysty hakemaan näitä politiikan määrittämässä ajassa, tehtävänsiirtoaineisto ei ole valmis.

Toimittaja-, henkilötietojen käsittelijä- ja pilviriippuvuudet

Moni tietosuojavastaavan siirtymä epäonnistuu tietosuojan, hankinnan, tietoturvan ja operatiivisen toiminnan rajapinnassa.

Lähtevä tietosuojavastaava voi tietää, että henkilötietojen käsittelijällä on ratkaisematon auditointihavainto, alikäsittelijäilmoitus odottaa katselmointia tai sopimuksesta puuttuvat riittävät poikkeama-avun ehdot. Jos tätä tietoa ei tallenneta, saapuva tietosuojavastaava perii piilevän riskin.

Clarysecin Kolmansien osapuolten ja toimittajien tietoturvapolitiikka-sme [C10] asettaa todentavan aineiston perustan:

Hallinnollisen tai hankintayhteyshenkilön tulee ylläpitää ja päivittää toimittajarekisteriä. Sen tulee sisältää:

Kohdasta ”Hallinnointivaatimukset”, politiikan lauseke 5.4.

Tehtävänsiirtoaineiston tulee linkittää toimittajarekisteri seuraaviin:

• Tietojenkäsittelysopimukset.
• Alikäsittelijäluettelot.
• Siirtodokumentaatio.
• Tietoturvaa koskeva due diligence.
• Poikkeamailmoituslausekkeet.
• Auditointioikeudet.
• Irtautumis- ja poistamisvelvoitteet.
• Avoimet korjaustoimenpiteet.

Tässä myös NIS2 ja DORA ovat merkityksellisiä.

NIS2 edellyttää, että keskeiset ja tärkeät toimijat ottavat käyttöön asianmukaiset tekniset, operatiiviset ja organisatoriset kyberturvallisuusriskien hallintatoimet. Sen riskienhallinta-alueisiin kuuluvat poikkeamien käsittely, liiketoiminnan jatkuvuus, toimitusketjun turvallisuus, turvallinen hankinta ja kehittäminen, haavoittuvuuksien käsittely, vaikuttavuuden arviointi, kyberhygienia, koulutus, kryptografia, henkilöstöturvallisuus, pääsynhallinta ja omaisuudenhallinta.

DORA edellyttää finanssiyhteisöiltä TVT-hallinnointia, TVT-riskien hallintaa, poikkeamien luokittelua ja raportointia, digitaalisen operatiivisen häiriönsietokyvyn testausta sekä kolmansien osapuolten TVT-riskien hallintaa. Kriittisten tai tärkeiden toimintojen osalta DORA edellyttää myös vahvoja sopimuksellisia suojatoimia, pääsy- ja auditointioikeuksia, päättämisoikeuksia, irtautumisstrategioita ja siirtymäjärjestelyjä.

Tietosuojavastaavan tehtävänsiirtoaineiston tulee tunnistaa, missä tietosuojan kannalta olennaiset toimittajat kuuluvat myös operatiivista häiriönsietokykyä koskevien velvoitteiden piiriin. Jos henkilötietojen käsittelijä tukee kriittistä finanssipalvelua tai tärkeää digitaalista palvelua, saapuvan tietosuojavastaavan on ymmärrettävä toimittajan vikaantumisen, viivästyneen poikkeamailmoituksen tai sopimuspuutteen sääntelyvaikutus.

Poikkeamien ja henkilötietojen tietoturvaloukkausten jatkuvuus

Henkilötietojen tietoturvaloukkauksen tietosuojakonteksti vanhenee nopeasti. Tietosuojavastaavan siirtymän aikana on helppoa menettää tieto siitä, miksi päätettiin olla ilmoittamatta, miksi ilmoitus viivästyi tai miksi tietyn henkilöryhmän katsottiin olevan vaikutuksen kohteena.

GDPR määrittelee henkilötietojen tietoturvaloukkauksen laajasti: siihen sisältyy henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai luvaton pääsy. Tietoturvapoikkeamiin reagoinnin on siksi sisällettävä tietosuojan triage, ei vain tekninen rajaaminen.

Zenith Blueprint korostaa Controls in Action -vaiheen vaiheessa 23 tietosuojaan liittyvien kontrollien oikeudellista rajapintaa:

Kontrolli tuo ISMS:ään myös oikeudellisen rajapinnan. Tietosuojavastaavien, oikeudellisten neuvonantajien tai data protection officer -roolien (DPO) on osallistuttava siihen, miten henkilötietoja käsitellään, erityisesti kansainvälisissä siirroissa, rajat ylittävässä käsittelyssä tai rekisteröidyn oikeuksissa, kuten pääsyssä tietoihin, oikaisussa ja poistamisessa. Nämä eivät ole vain oikeuksia, vaan operatiivisia velvoitteita, ja niiden tueksi tarvitaan rakenteiset ja auditoitavat prosessit.

Auditoinnin näkökulmasta tämä kontrolli on yhä useammin tarkastelun kohteena. Auditoijat, viranomaiset ja asiakkaat haluavat nähdä:

✓ Missä henkilötiedot sijaitsevat, ✓ Mikä oikeusperuste ohjaa niiden käsittelyä, ✓ Miten pääsyä rajoitetaan, ✓ Miten poikkeamista raportoidaan, ✓ Ja miten organisaatio toteuttaa oikeudet ja ylläpitää läpinäkyvyyttä.

Controls in Action -vaiheesta, vaihe 23: organisatoriset kontrollit (5.19–5.37).

Jokaisesta avoimesta tai äskettäin suljetusta henkilötietopoikkeamasta tehtävänsiirtoaineiston tulee sisältää henkilötietojen tietoturvaloukkauksen jatkuvuuslomake.

Tämä tukee myös NIS2:n ja DORA:n poikkeamaodotuksia. NIS2 käyttää merkittävissä poikkeamissa vaiheittaista raportointia, johon kuuluvat varhaisvaroitus, ilmoitus, tarvittaessa päivitykset ja loppuraportti. DORA edellyttää finanssiyhteisöiltä merkittävien TVT-poikkeamien havaitsemista, hallintaa, luokittelua ja ilmoittamista sekä alku-, väli- ja loppuraportointia ja juurisyyanalyysiä. Uuden tietosuojavastaavan on pystyttävä erottamaan tietoturvapoikkeama, henkilötietojen tietoturvaloukkaus, merkittävä NIS2-poikkeama ja merkittävä DORA:n TVT-poikkeama, myös silloin kun yksi tapahtuma käynnistää useita työnkulkuja.

Säilytys ja hävitys: hiljainen tehtävänsiirtoriski

Säilytyssäännöt vanhenevat usein roolisiirtymissä, koska ne sijoittuvat lakiasioiden, tallenteidenhallinnan, IT:n ja liiketoimintaomistajien väliin. GDPR:n säilytyksen rajoittaminen kuitenkin edellyttää, ettei henkilötietoja säilytetä pidempään kuin käsittelyn tarkoitusten kannalta on tarpeen.

Enterprise Tietojen säilytys- ja hävityspolitiikka [C11] osoittaa tietosuojalle kontrolliroolin:

Katselmoi ja validoi henkilötietojen säilytysaikataulut varmistaakseen oikeusperusteen säilytyksen jatkamiselle.

Kohdasta ”Roolit ja vastuut”, politiikan lauseke 4.3.2.

Tehtävänsiirtoaineiston tulee tunnistaa katselmointia edellyttävät säilytysaikataulut, järjestelmät, joissa poistaminen on teknisesti rajoitettua, oikeudelliset säilytysvelvoitteet, arkistoidut tietoaineistot, varmuuskopioiden säilytyskysymykset ja henkilötietojen käsittelijöiden poistoriippuvuudet.

Hyödyllinen testi on yksinkertainen. Valitse yksi RoPA-merkintä ja kysy, pystyykö saapuva tietosuojavastaava määrittämään säilytysajan, poistamisen käynnistimen, järjestelmäomistajan, henkilötietojen käsittelijän osallistumisen, varmuuskopioiden käsittelyn ja viimeisimmän katselmoinnin todentavan aineiston. Jos ei pysty, säilytyksen osoitusvelvollisuus ei ole valmis siirtymään.

Vaatimustenmukaisuuksien välinen kartoitus: yksi aineisto, monta odotusta

Vahva tietosuojavastaavan tehtävänsiirtoaineisto ei korvaa lakisääteisiä velvoitteita, mutta se antaa auditoijille ja viranomaisille johdonmukaisen näyttöketjun eri viitekehysten yli.

NIST CSF 2.0 on erityisen hyödyllinen viestintäkerroksena. Sen GOVERN-toiminto edellyttää, että lakisääteiset, sääntelyperusteiset, sopimusperusteiset, tietosuojaan liittyvät ja kansalaisoikeuksiin liittyvät velvoitteet ymmärretään ja hallitaan. Sen Organizational Profiles -menetelmä auttaa organisaatioita määrittämään nyky- ja tavoitetilat, kokoamaan politiikat ja riskisyötteet, tunnistamaan puutteet ja luomaan priorisoidut toimintasuunnitelmat.

Juuri tätä tietosuojavastaavan tehtävänsiirtoaineisto tekee. Se määrittää tietosuojan nykytilan, tunnistaa jatkuvuuden tavoitevaatimukset ja luo priorisoidun korjauslistan.

Miten auditoijat tarkastelevat tietosuojavastaavan tehtävänsiirtoprosessia

Vakavasti otettava auditoija ei tyydy kysymään tietosuojavastaavan nimeä. Hän testaa, onko tietosuojatoiminto häiriönsietokykyinen.

Yleisin havainto ei ole se, ettei tehtävänsiirtoaineistoa ole lainkaan. Yleisin havainto on, ettei aineisto linkitä todentavaa aineistoa päätöksiin. Auditoijat eivät halua vain asiakirjoja. He haluavat jäljitettävyyttä.

Yleiset epäonnistumismallit ja Clarysecin korjaukset

Ensimmäinen epäonnistumismalli on sähköpostilaatikkotehtävänsiirto. Lähtevä tietosuojavastaava välittää sähköposteja, mutta indeksoitua todentavan aineiston rekisteriä ei ole. Clarysec korjaa tämän ohjaamalla todentavan aineiston REG12:een ja linkittämällä jokaisen kohteen prosessiin, omistajaan ja katselmointipäivään.

Toinen on mallipohjainen tehtävänsiirto. Organisaatiolla on DPIA- ja DSR-mallipohjat, mutta ei ajantasaista tilannekuvaa. Clarysec korjaa tämän kriittisten määräaikojen mittaristolla, joka näyttää avoimet määräajat, korkean riskin päätökset ja ratkaisemattomat toimenpiteet.

Kolmas on politiikka ilman delegointia. Politiikat sanovat, että tietosuojavastaava omistaa tietosuojan, mutta kukaan ei kirjaa tilapäistä vastuuta. Clarysec korjaa tämän rooli- ja vastuurekisterin, REG01:een ja REG12:een kirjattavan roolin tehtävänsiirtonäytön sekä REG11:een kirjattavan viestintänäytön avulla.

Neljäs on toimittajasokea piste. Henkilötietojen käsittelijöiden tietosuojatallenteita ei ole linkitetty hankinnan ja tietoturvan tallenteisiin. Clarysec korjaa tämän yhdistämällä toimittajarekisterin, DPA-tietovaraston, alikäsittelijäluettelon, poikkeamalausekkeet, irtautumisvelvoitteet ja tietoturvaa koskevan due diligencen.

Viides on poikkeamakontekstin aukko. Tekninen poikkeamatallenne on olemassa, mutta henkilötietojen tietoturvaloukkauksen tietosuojaperustelu puuttuu. Clarysec korjaa tämän edellyttämällä henkilötietojen tietoturvaloukkauksen jatkuvuuslomakkeita, jotka säilyttävät ilmoitusanalyysin, rekisteröityihin kohdistuvan vaikutuksen, viranomaispäätökset ja opitut kokemukset.

30 päivän tarkistuslista tietosuojavastaavan tehtävänsiirtovalmiudelle

Jos tietosuojavastaava vaihtuisi huomenna, pystyisittekö osoittamaan jatkuvuuden? Käytä tätä tarkistuslistaa.

• Varmista, että tietosuojavastaava, PIMS-päällikkö ja varahenkilöt on kirjattu roolirekisteriin.
• Kirjaa roolin tehtävänsiirtoa koskeva todentava aineisto REG01:een ja REG12:een 10 arkipäivän kuluessa.
• Päivitä roolimuutoksen viestintää koskeva todentava aineisto REG11:een 10 arkipäivän kuluessa.
• Varmista, että REG12:n PIMS:n dokumentoidun tiedon indeksi on ajan tasalla.
• Luo 30, 60 ja 90 päivän tietosuojamääräaikojen seurantalista.
• Katselmoi avoimet DSR:t ja vahvista vastausten omistajat.
• Katselmoi kaikki aktiiviset DPIA:t ja korkean riskin päätökset.
• Varmista, että REG04 sisältää tietosuojaneuvonnan PIMS:n soveltamisalasta, DPIA-kriteereistä ja korkean riskin päätöksistä.
• Täsmäytä RoPA järjestelmiin, toimittajiin ja säilytysaikatauluihin.
• Katselmoi avoimet ja äskettäiset henkilötietojen tietoturvaloukkausten arvioinnit.
• Varmista, että henkilötietojen käsittelijöiden, alikäsittelijöiden ja toimittajien tallenteet ovat täydelliset.
• Validoi henkilötietojen säilytysaikataulut.
• Testaa viiden kriittisen näyttökohteen haku.
• Raportoi siirtymän tila johdolle.
• Lisää opitut kokemukset PIMS:n parantamissuunnitelmaan.

Tee tietosuojan jatkuvuudesta auditointivalmis ennen roolimuutosta

Paras aika rakentaa tietosuojavastaavan tehtävänsiirtoaineisto on ennen kuin kukaan irtisanoutuu, ennen kuin viranomainen kysyy ja ennen kuin poikkeama pakottaa asian esiin.

Clarysec auttaa organisaatioita muuttamaan tietosuojan hallinnoinnin operatiiviseksi näytöksi yhdistämällä politiikkamallit, PIMS-rekisterit, tehtävänsiirron työnkulut, auditointivalmiit tietovarastot ja vaatimustenmukaisuuksien väliset kartoitukset. Aloita Zenith Blueprintistä 30 vaiheen toteutuksen tiekarttaa varten, käytä Zenith Controlsia ISO/IEC 27002:2022 -kontrollien kytkemiseen laajempiin vaatimustenmukaisuusodotuksiin ja yhdenmukaista sisäiset lausekkeesi Clarysecin tietosuoja- ja todentavan aineiston hallintapolitiikkojen kanssa.

Jos tietosuojavastaava vaihtuisi huomenna, säilyisikö organisaatiollanne konteksti jokaisen DPIA:n, henkilötietojen tietoturvaloukkauspäätöksen, RoPA-merkinnän ja viranomaissitoumuksen taustalla?

Jos vastaus on epävarma, seuraava askel on käytännöllinen. Rakenna tehtävänsiirron indeksi, kartoita todentava aineisto, nimeä tilapäiset omistajat ja testaa haku tällä viikolla. Clarysec voi auttaa tekemään aineistosta täydellisen, hallitun ja auditointivalmiin.