Tietosuojavastaavan riippumattomuus ISO/IEC 27701:n ja GDPR:n näkökulmasta
Sarah, nopeasti kasvavan FinTech-yhtiön CISO, tunnisti ongelman jo ennen riskikomitean kokouksen alkua. Virheellisesti määritetty pilvitallennussäiliö oli hetkellisesti altistanut esituotantotietokannan, joka sisälsi asiakkaiden testidataa. Kehitystiimi oli korjannut konfiguraation nopeasti. Yksikään tuotantojärjestelmä ei ollut vaikutuksen kohteena. Poikkeamaraportissa tapahtumaa kuvattiin vähäiseksi.
Raportin esittelijä oli kuitenkin Mark, IT-johtaja.
Mark oli myös yhtiön nimetty tietosuojavastaava.
IT-johtajan roolissa Mark korosti korjaustoimien nopeutta, vähäistä operatiivista vaikutusta ja sitä, miksi ilmoittaminen valvontaviranomaiselle ei ollut tarpeen. Tietosuojavastaavan roolissa hänen olisi pitänyt esittää vaativampia kysymyksiä: miksi esituotantodata oli olemassa kyseisessä muodossa, sisälsikö tietoaineisto tunnistettavissa olevia henkilöitä, oliko ympäristöjen eriyttäminen epäonnistunut, paljastiko poikkeama järjestelmätason tietosuojan heikkouden ja voisiko rekisteröidyille aiheutua riskiä, vaikka data ei ollut “tuotannon henkilötietoja”.
Tämä on tietosuojavastaavan riippumattomuusongelma käytännöllisimmässä muodossaan. Kyse ei ole siitä, toimiko Mark vilpillisesti. Kyse on rakenteesta. Henkilö ei voi objektiivisesti valvoa, haastaa ja neuvoa päätöksiä, jotka hän samalla omistaa, hyväksyy tai joita hän puolustaa.
Sama ongelma näkyy SaaS-yhtiöissä, jotka valmistautuvat ISO/IEC 27701:2025 -standardin mukaisiin PIMS-valmiuskatselmuksiin, terveydenhuollon toimittajissa, jotka vastaavat asiakasauditointeihin, finanssialan toimijoissa, joihin kohdistuu DORA-tarkastelua, sekä pk-yrityksissä, jotka pyrkivät pitämään tietosuojan hallinnoinnin kevyenä. Organisaatiolla on paperilla tietosuojavastaava tai tietosuojaneuvonantaja. Tietosuojaseloste on päivitetty. DPIA-pohja on olemassa. Henkilötietojen tietoturvaloukkausrekisteri on valmis. Sitten auditoija esittää yksinkertaisen kysymyksen:
“Kuka on tietosuojavastaavanne tai tietosuojaneuvonantajanne, ja mitä muuta hän tekee?”
Jos vastaus on “IT-johtaja”, “CISO”, “lakiasiainjohtaja”, “operatiivinen johtaja”, “HR-johtaja”, “markkinointijohtaja” tai “henkilö, joka hyväksyy käyttöoikeuksia, johtaa poikkeamien käsittelyä, allekirjoittaa DPIA:t ja katselmoi samat kontrollit”, organisaatiolla ei ole pelkästään resursointiongelmaa. Sillä on hallinnointiongelma.
ISO/IEC 27701:2025:n ja GDPR:n osoitusvelvollisuuden kannalta tietosuojavastaavan riippumattomuus ei ole seremoniallinen asia. Se on kontrolli. Se yhdistää roolisuunnittelun, tehtävien eriyttämisen, johdon katselmoinnin, riskien käsittelyn, näyttörekisterit, sisäisen tarkastuksen ja eskalointipolut.
Tässä Clarysec auttaa organisaatioita muuttamaan riippumattomuuden epämääräisestä oikeudellisesta ilmaisusta toistettavaksi ja auditoitavaksi toimintamalliksi seuraavien avulla: [P02] Hallinnointirooleja ja vastuita koskeva politiikka, [P02S] Hallinnointirooleja ja vastuita koskeva politiikka – pk-yritys, [PIMS] Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikka, [DP] Tietosuoja- ja yksityisyydensuojapolitiikka, Zenith Blueprint: auditoijan 30 vaiheen tiekartta ja Zenith Controls: eri vaatimustenmukaisuuskehysten opas.
Kaksoisroolissa toimivan tietosuojavastaavan todellinen riski
GDPR sallii tietosuojavastaavan hoitaa muita tehtäviä, mutta ei silloin, jos nämä tehtävät aiheuttavat eturistiriidan. Article 38 edellyttää, ettei tietosuojavastaava saa ohjeita tietosuojavastaavan tehtävien hoitamisesta, ettei häntä rangaista näiden tehtävien suorittamisesta eikä hänellä ole lisätehtäviä, jotka vaarantavat riippumattomuuden.
Eturistiriita ilmenee yleensä silloin, kun tietosuojavastaavalla on asema, jossa hän määrittää henkilötietojen käsittelyn tarkoitukset tai keinot. Tyypillisiä korkean riskin yhdistelmiä ovat:
- tietosuojavastaava ja IT-johtaja tai CIO
- tietosuojavastaava ja CISO tai tietoturvavastaava
- tietosuojavastaava ja markkinointijohtaja
- tietosuojavastaava ja HR-johtaja
- tietosuojavastaava ja operatiivinen johtaja
- tietosuojavastaava ja sisäisen tarkastuksen vastuuhenkilö
- tietosuojavastaava ja korkean riskin tietojenkäsittelyn tuoteomistaja
Jotkin yhdistelmät eivät ole automaattisesti kiellettyjä, mutta kaikki on arvioitava. Oikeudelliset neuvonantajat, vaatimustenmukaisuuspäälliköt, tietoturvajohtajat ja tietosuojaohjelman vastuuhenkilöt voivat ymmärtää tietosuojan hyvin, mutta ratkaisevaa on, voivatko he valvoa riippumattomasti, haastaa päätöksiä ja eskaloida huolia ilman oman työnsä katselmointia.
| Skenaario | Miksi riippumattomuudella on merkitystä | Eturistiriidan merkki |
|---|---|---|
| DPIA:n hyväksyntä uudelle tekoälypohjaiselle analytiikkatoiminnolle | Tietosuojavastaavan tulee haastaa tarpeellisuus, oikeasuhtaisuus, oikeusperuste, läpinäkyvyys ja suojatoimet | Tietosuojavastaava omistaa myös tuotteen julkaisuajankohdat tai liikevaihtotavoitteet |
| Tietoturvaloukkauksen arviointi lokien luvattoman käytön jälkeen | Tietosuojavastaavan tulee neuvoa henkilötietojen tietoturvaloukkauksen luokittelusta ja ilmoittamisesta | Tietosuojavastaava johtaa tiimiä, jonka kontrollin epäonnistuminen aiheutti poikkeaman |
| Henkilötietojen käsittelijän käyttöönotto pilvianalytiikkaa varten | Tietosuojavastaavan tulee haastaa siirtoon, säilytykseen, alikäsittelijöihin ja käyttöoikeuksiin liittyvät riskit | Tietosuojavastaava neuvotteli sopimuksen ja haluaa saada hyväksynnän valmiiksi |
| Käyttöoikeuden hyväksyntä arkaluonteisiin asiakastietoihin | Tietosuojavastaavan tulee valvoa vähimpien oikeuksien periaatetta ja osoitusvelvollisuutta | Sama henkilö hyväksyy, myöntää ja katselmoi käyttöoikeuden |
| Tietosuojakontrollien sisäinen tarkastus | Auditoijan tulee testata tietosuojan hallinnointi objektiivisesti | Tietosuojavastaava kirjoitti prosessin, suoritti kontrollin ja katselmoi näytön |
Riski ei ole teoreettinen. Eturistiriidassa oleva tietosuojavastaava voi vähätellä tietosuojariskejä budjettien suojaamiseksi, välttää operatiivista kitkaa aiheuttavia suosituksia, epäröidä ilmoittaa loukkauksesta, joka antaa huonon kuvan hänen osastostaan, tai olla kykenemätön haastamaan ylintä johtoa riippumattomasti.
GDPR:n osoitusvelvollisuus tekee tästä näyttökriittistä. Article 5(2) edellyttää, että rekisterinpitäjä vastaa lainmukaisen, kohtuullisen, läpinäkyvän, käyttötarkoitussidonnaisen, minimoidun, täsmällisen, säilytyksen hallitsevan, turvallisen ja osoitusvelvollisen käsittelyn periaatteiden noudattamisesta ja pystyy osoittamaan sen. Tietosuojavastaavan eturistiriita, jota ei arvioida, hyväksytä, lievennetä ja osoiteta näytöllä, heikentää tätä osoittamista.
Mitä riippumattomuus tarkoittaa PIMS-järjestelmässä
Tietosuojan hallintajärjestelmässä (PIMS) riippumattomuus ei aina tarkoita, että tietosuojavastaavan on oltava ulkopuolinen. Se tarkoittaa, että tietosuojavastaava tai tietosuojaneuvonantaja voi hoitaa valvonta- ja neuvontatehtävänsä ilman rakenteellista estettä, operatiivista eturistiriitaa tai painetta hyväksyä päätöksiä, joita hänen tulisi haastaa.
Clarysec erottaa kolme käsitettä, jotka organisaatiot usein yhdistävät:
- Riippumattomuus, eli kyky neuvoa, valvoa ja eskaloida ilman puuttumista.
- Tehtävien eriyttäminen, eli yhteensopimattomien vastuiden erottaminen, kuten korkean riskin toimien hyväksyminen ja toteuttaminen.
- Eturistiriitojen hallinnointi, eli dokumentoitu työnkulku väistämättömien rooliyhdistelmien tunnistamiseen, arviointiin, hyväksymiseen, lieventämiseen ja katselmointiin.
Tämä alkaa johtamisesta ja roolien osoittamisesta. ISO/IEC 27001:2022 kohdan 5.3 mukaan ylimmän johdon tulee varmistaa, että tietoturvallisuuteen liittyvät roolit, vastuut ja toimivaltuudet osoitetaan ja viestitään. ISMS:n päälle rakennetussa PIMS-järjestelmässä sama hallinnointikuri ulottuu luontevasti tietosuojarooleihin.
[P02] Hallinnointirooleja ja vastuita koskeva politiikka määrittää tavoitteensa seuraavasti:
“Ylläpitää hallintomallia, joka toteuttaa tehtävien eriyttämisen, poistaa eturistiriidat ja mahdollistaa ratkaisemattomien tietoturvaongelmien eskaloinnin.”
Tämä lainaus on peräisin Enterprise Governance Roles and Responsibilities Policy -politiikan osiosta “Tavoitteet”, politiikkalauseke 3.2.
Sama politiikka tekee näyttöodotuksesta nimenomaisen:
“Tehtävien eriyttäminen toteutetaan ja dokumentoidaan.”
Tämä lainaus on peräisin Enterprise Governance Roles and Responsibilities Policy -politiikan osiosta “Hallinnointivaatimukset”, politiikkalauseke 5.4.3.
Pk-yritysten osalta Clarysec tunnistaa, ettei täydellinen erottaminen ole aina mahdollista. [P02S] Hallinnointirooleja ja vastuita koskeva politiikka – pk-yritys toteaa:
“Riskien käsittelyn tulee sisältää niiden tapausten tunnistaminen, joissa henkilöillä voi olla keskenään ristiriitaisia tehtäviä (esim. käyttöoikeuden hyväksyntä ja valvonta). Lieventämistoimenpiteitä voivat olla katselmointivaltuuden osoittaminen toiselle henkilölle tai korvaavien kontrollien toteuttaminen (esim. lokit tai pistokokeet).”
Tämä lainaus on peräisin SME Governance Roles and Responsibilities Policy-sme -politiikan osiosta “Riskien käsittely ja poikkeukset”, politiikkalauseke 7.2.1.
Tämä on käytännön standardi pienemmille organisaatioille. Älä teeskentele, ettei eturistiriitaa ole. Tunnista se, hyväksytä se, lievennä sitä, kirjaa se ja katselmoi se.
REG01 ja REG12: Clarysecin näyttötyönkulku
Monissa organisaatioissa roolien eturistiriitoja käsitellään epämuodollisesti. Joku sanoo: “Olemme liian pieniä erillistä tietosuojavastaavaa varten”, eikä päätös koskaan päädy rekisteriin. Kuukausia myöhemmin auditoija pyytää näyttöä, ja organisaatiolla on esittää vain organisaatiokaavio.
[PIMS] Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikka muuttaa tämän hallituksi työnkuluksi. Se edellyttää ylimmän johdon hyväksyntää ennen arkaluonteisten rooliyhdistelmien osoittamista:
“[Kaikki] Ylimmän johdon TULEE hyväksyä REG01:ssä ennen osoittamista rooliyhdistelmät, jotka koskevat tietosuojan vastuuhenkilön / PIMS-päällikön, tietosuojavastaavan / tietosuojaneuvonantajan, tietoturvan vastuuhenkilön, poikkeamanhallinnan koordinaattorin tai sisäisen tarkastuksen / vaatimustenmukaisuuden katselmoijan rooleja.”
Tämä lainaus on peräisin Privacy Roles, Responsibilities and Accountability Policy -politiikan osiosta “Roolien yhdistäminen, eriyttäminen ja riippumattomuus”, politiikkalauseke 4.2.2.
Se edellyttää myös korvaavia kontrolleja väistämättömiin eturistiriitoihin:
“[Kaikki] Tietosuojan vastuuhenkilön / PIMS-päällikön TULEE kirjata REG12:een korvaavat kontrollit väistämättömille tehtävien eriyttämisen ristiriidoille ennen rooliyhdistelmän hyväksymistä.”
Tämä lainaus on peräisin Privacy Roles, Responsibilities and Accountability Policy -politiikan osiosta “Roolien yhdistäminen, eriyttäminen ja riippumattomuus”, politiikkalauseke 4.2.4.
Lisäksi se edellyttää riippumattomuuteen liittyvien huolten nopeaa kirjaamista:
“[Kaikki] Tietosuojavastaavan / tietosuojaneuvonantajan TULEE kirjata roolin riippumattomuutta koskevat huolet tai eturistiriitahuolet REG12:een viiden työpäivän kuluessa niiden tunnistamisesta.”
Tämä lainaus on peräisin Privacy Roles, Responsibilities and Accountability Policy -politiikan osiosta “Roolien yhdistäminen, eriyttäminen ja riippumattomuus”, politiikkalauseke 4.2.5.
Tässä on ero tietosuojadokumentaation ja tietosuojan hallinnoinnin välillä. Politiikka ei vain sano, että “tietosuojavastaavan tulisi olla riippumaton”. Se määrittää, kuka hyväksyy roolien yhdistämisen, mihin eturistiriidat kirjataan, kuinka nopeasti riippumattomuuteen liittyvät huolet on tallennettava ja miten korvaavat kontrollit liitetään mukaan.
[DP] Tietosuoja- ja yksityisyydensuojapolitiikka vahvistaa riippumattomuusvaatimusta:
“Toimii riippumattomasti valvoakseen tietosuojasääntelyn noudattamista.”
Tämä lainaus on peräisin Enterprise Data Protection and Privacy Policy -politiikan osiosta “Roolit ja vastuut”, politiikkalauseke 4.2.1.
Käytännön matriisi tietosuojavastaavan eturistiriidoille
Yksinkertainen eturistiriitamatriisi auttaa johtoa päättämään, mitkä rooliyhdistelmät ovat hyväksyttäviä, mitkä edellyttävät lieventämistä ja mitkä tulisi kieltää.
| Rooli 1 | Rooli 2 | Eturistiriidan taso | Suositeltu toimenpide tai korvaavat kontrollit |
|---|---|---|---|
| IT-johtaja tai CIO | Tietosuojavastaava | Korkea | Vältä mahdollisuuksien mukaan. Tietosuojavastaavan ei tulisi valvoa samaa infrastruktuuritoimintoa, jota hän johtaa |
| CISO tai tietoturvavastaava | Tietosuojavastaava | Korkea | Dokumentoi REG01:een vain, jos muuta vaihtoehtoa ei ole; käytä ulkoista tietosuojakatselmointia loukkauksissa ja DPIA-arvioinneissa |
| Markkinointijohtaja | Tietosuojavastaava | Korkea | Vältä. Markkinointi määrittää usein asiakastietojen käytön tarkoitukset ja keinot |
| HR-johtaja | Tietosuojavastaava | Korkea | Vältä. HR hallinnoi arkaluonteisia työntekijöiden henkilötietoja ja niihin liittyviä politiikkoja |
| Sisäisen tarkastuksen henkilöstö | Tietosuojavastaava | Korkea | Vältä. Sisäisen tarkastuksen on voitava katselmoida tietosuojavastaavan toiminto riippumattomasti |
| Oikeudellinen neuvonantaja | Tietosuojavastaava | Keskitaso | Arvioi huolellisesti, dokumentoi REG01:een ja erota tietosuojavastaavan neuvonta oikeudellisesta neuvonantosuojasta tarvittaessa |
| Vaatimustenmukaisuudesta vastaava johtaja | Tietosuojavastaava | Keskitaso | Arvioi huolellisesti, määritä mandaatti, raportointilinja ja riippumattomat katselmointikontrollit |
| Ulkoinen konsultti | Tietosuojavastaava | Matala | Usein tehokas ratkaisu, jos sopimus takaa riippumattomuuden, pääsyn tietoihin, resurssit ja eskalointioikeudet |
Matriisi ei korvaa hallinnointia. Se on triage-työkalu, joka ohjaa REG01-hyväksyntöjä, REG12-huolia, johdon katselmointia ja sisäisen tarkastuksen suunnittelua.
Viisi vaihetta tietosuojavastaavan eturistiriitojen hallintaan ennen kuin auditoijat löytävät ne
Kun asiakas kysyy: “Tietosuojavastaavamme toimii myös tietoturvavastaavana. Onko se hyväksyttävää?”, vastaus riippuu näytöstä.
Vaihe 1: Kirjaa rooliyhdistelmä REG01:een
Aloita roolien osoittamisrekisteristä. Kirjaa henkilö, virallinen rooli, raportointilinja, delegoidut toimivaltuudet, tietosuojaan liittyvät operatiiviset vastuut, hyväksynnän tila ja katselmointipäivä.
| REG01-kenttä | Esimerkkisisältö |
|---|---|
| Henkilö | Jane Smith |
| Rooli 1 | Tietosuojavastaava / tietosuojaneuvonantaja |
| Rooli 2 | Tietoturvan vastuuhenkilö |
| Rooli 3 | Poikkeamanhallinnan koordinaattori |
| Hyväksyntä vaaditaan | Ylimmän johdon hyväksyntä vaaditaan ennen osoittamista |
| Alustava eturistiriidan luokitus | Korkea tietoturvaloukkauksen arvioinnissa ja käyttöoikeuksien valvonnassa, keskitaso DPIA-katselmoinnissa |
| Hyväksyntäpäätös | Hyväksytty korvaavin kontrollein 12 kuukaudeksi |
| Katselmointipäivä | Neljännesvuosittain ja jokaisen henkilötietojen tietoturvaloukkauksen jälkeen |
Tämä toteuttaa [PIMS] Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikan vaatimuksen ylimmän johdon hyväksynnästä ennen roolin osoittamista.
Vaihe 2: Tee eturistiriita-arviointi
Kysy, missä tietosuojavastaava voisi katselmoida omaa työtään.
| Kysymys | Jos kyllä, eturistiriita on olemassa |
|---|---|
| Hyväksyykö tietosuojavastaava käsittelytoimen, jota hän myöhemmin valvoo? | Kyllä |
| Johtaako tietosuojavastaava tiimiä, jonka epäonnistumista hänen voi olla tarpeen haastaa? | Kyllä |
| Päättääkö tietosuojavastaava loukkauksen vakavuuden ja omistaako hän samalla korjaustoimien mittarit? | Kyllä |
| Onko tietosuojavastaavalla kaupallisia tai operatiivisia KPI-mittareita, jotka liittyvät hyväksyntään? | Kyllä |
| Voiko tietosuojavastaava eskaloida suoraan ylimmälle johdolle ilman suodatusta? | Jos ei, riippumattomuuteen liittyvä huoli on olemassa |
Tavoitteena ei ole luoda täydellistä organisaatiokaaviota. Tavoitteena on estää itsehyväksyntä, piilovaikuttaminen ja heikko eskalointi.
Vaihe 3: Kirjaa korvaavat kontrollit REG12:een
Jos organisaatio ei voi välittömästi erottaa rooleja, kirjaa kontrollit REG12:een.
| Eturistiriita | Korvaava kontrolli |
|---|---|
| Tietosuojavastaava toimii myös poikkeamanhallinnan koordinaattorina | Oikeudellinen neuvonantaja tai ulkoinen tietosuojaneuvonantaja katselmoi henkilötietojen tietoturvaloukkauksia koskevat ilmoituspäätökset |
| Tietosuojavastaava toimii myös tietoturvan vastuuhenkilönä | Sisäinen tarkastus testaa tietosuojan valvontanäytön riippumattomasti joka neljännes |
| Tietosuojavastaava hyväksyy käyttöoikeuden tietosuojalokeihin | Toinen esihenkilö tekee käyttöoikeuskatselmoinnin muuttumattomien lokien perusteella |
| Tietosuojavastaava fasilitoi DPIA-arviointeja | DPIA:n hyväksyntä edellyttää tuoteomistajan, lakiasioiden, tietosuojan ja ylimmän johdon hyväksyntää |
| Tietosuojavastaava osallistuu toimittajavalintaan | Hankinta tai riskikomitea tekee riippumattoman toimittajan tietosuojan huolellisuusarvioinnin |
Tämä on yhdenmukaista [SME-ISP] Tietoturvapolitiikka – pk-yritys -politiikan kanssa:
“Mitään tehtävää ei saa delegoida tavalla, joka poistaa valvonnan tai rikkoo tehtävien eriyttämistä (esim. yksi henkilö ei saa yksin hyväksyä ja toteuttaa samaa korkean riskin toimenpidettä).”
Tämä lainaus on peräisin SME Information Security Policy-sme -politiikan osiosta “Roolit ja vastuut”, politiikkalauseke 4.5.3.
Se on yhdenmukaista myös [P02S] Hallinnointirooleja ja vastuita koskeva politiikka – pk-yritys -politiikan kanssa:
“Delegointi ei saa poistaa valvontaa eikä mahdollistaa luvatonta itsehyväksyntää.”
Tämä lainaus on peräisin SME Governance Roles and Responsibilities Policy-sme -politiikan osiosta “Roolit ja vastuut”, politiikkalauseke 4.5.2.
Vaihe 4: Dokumentoi tietosuojavastaavan neuvonta ja riippumattomuuteen liittyvät huolet
Yleinen auditointihavainto on, että tietosuojavastaavan neuvonta tapahtuu kokouksissa, chat-keskusteluissa tai epämuodollisissa puheluissa, mutta mitään ei kirjata. [PIMS] Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikka edellyttää:
“[Kaikki] Tietosuojavastaavan / tietosuojaneuvonantajan TULEE kirjata tietosuojaneuvonta, valvontahavainnot tai riippumattomuuteen liittyvät huolet REG12:een, kun niitä pyydetään olennaisiin tietosuojapäätöksiin tai vaatimustenmukaisuushuoliin liittyen.”
Tämä lainaus on peräisin Privacy Roles, Responsibilities and Accountability Policy -politiikan osiosta “Roolit ja vastuut”, politiikkalauseke 5.1.3.
Se edellyttää myös siirrettyjen eturistiriitojen oikea-aikaista katselmointia:
“[Kaikki] Tietosuojavastaavan / tietosuojaneuvonantajan TULEE katselmoida sille siirretyt olennaiset rooliristiriidat ja kirjata neuvonta REG12:een 10 työpäivän kuluessa siirrosta.”
Tämä lainaus on peräisin Privacy Roles, Responsibilities and Accountability Policy -politiikan osiosta “Hallinnointi ja valvonta”, politiikkalauseke 6.1.3.
| REG12-kenttä | Esimerkkisisältö |
|---|---|
| Päätös | Asiakaskäyttäytymisen analytiikkatoiminnon julkaisu |
| Tietosuojavastaavan neuvonta | Eteneminen vain, kun DPIA on valmis, tietosuojaseloste päivitetty, säilytysraja asetettu, opt-out-mekanismi toteutettu ja käyttöoikeudet rajoitettu |
| Riippumattomuuteen liittyvä huoli | Tuoteomistaja pyysi julkaisuhyväksyntää ennen DPIA:n valmistumista |
| Eskalointi | Eskaloitu PIMS-päällikölle ja toimitusjohtajalle |
| Lopputulos | Julkaisua lykättiin, kunnes suojatoimet oli toteutettu |
| Näyttölinkit | DPIA, tietosuojaselosteen päivitys, käyttöoikeuskatselmointi, johdon hyväksyntä |
Tämä kirjaus suojaa organisaatiota, mutta se suojaa myös tietosuojavastaavaa. Se osoittaa, että riippumatonta neuvontaa annettiin, vaikka liiketoiminta olisi toivonut nopeampaa etenemistä.
Vaihe 5: Vie eturistiriidat johdon katselmointiin ja sisäiseen tarkastukseen
Tietosuojavastaavan riippumattomuus ei ole kertaluonteinen nimitystarkastus. Sitä tulee katselmoida johdon katselmoinnin, sisäisen tarkastuksen ja korjaavien toimenpiteiden seurannan kautta.
[P02] Hallinnointirooleja ja vastuita koskeva politiikka sisältää vaatimustenmukaisuuden katselmoinnin seuraavasta:
“Eturistiriitojen tai luvattomien delegointien katselmointi.”
Tämä lainaus on peräisin Enterprise Governance Roles and Responsibilities Policy -politiikan osiosta “Soveltaminen ja vaatimustenmukaisuus”, politiikkalauseke 8.2.1.3.
[DP] Tietosuoja- ja yksityisyydensuojapolitiikka pitää myös ylimmän johdon mukana poikkeuksissa:
“Poikkeukset tulee hyväksyttää tietosuojavastaavalla ja ylimmällä johdolla ennen toteutusta.”
Tämä lainaus on peräisin Enterprise Data Protection and Privacy Policy -politiikan osiosta “Riskien käsittely ja poikkeukset”, politiikkalauseke 7.3.1.
Tällä kaksinkertaisella hyväksynnällä on merkitystä. Tietosuojavastaava neuvoo ja valvoo. Ylin johto omistaa päätöksen ja jäännösriskin.
Miten Zenith Blueprint ja Zenith Controls kartoittavat aiheen
Zenith Blueprint sijoittaa roolien osoittamisen ISMS Foundation & Leadership -vaiheen alkuun, vaiheeseen 4: Roolit ja vastuut ISMS:ssä. Siinä todetaan:
“Jos sovellettavissa (erityisesti jos käsittelette henkilötietoja, teillä voi lain mukaan olla tietosuojavastaava). Hän varmistaa, että ISMS on linjassa tietosuojalakien kanssa, ja voi koordinoida auditointeja.”
Vaihe 4 korostaa myös, että ISMS-päällikkö tai tietoturvavastaava koordinoi usein toteutusta, riskien arviointeja, auditointeja ja tietoisuusohjelmia ja että hänellä “tulee olla suora pääsy ylimpään johtoon asioiden eskaloimiseksi”. Sama periaate koskee tietosuojavastaavaa. Tietosuojaneuvonantaja, joka ei voi tavoittaa ylintä johtoa, kun tuotetiimi hylkää DPIA-suosituksia, ei ole aidosti riippumaton.
Controls in Action -vaiheessa, vaihe 22: Organisatoriset kontrollit, Zenith Blueprint selittää tehtävien eriyttämisen:
“Tehtävien eriyttäminen (SoD) on keskeinen kontrolliperiaate, jonka tarkoituksena on vähentää petoksen, virheen tai väärinkäytön riskiä varmistamalla, ettei yhdelläkään henkilöllä ole liiallista toimivaltaa tai pääsyä, jota voitaisiin hyödyntää ilman havaitsemista.”
Se kuvaa myös pk-yritysten todellisuuden:
“Kun henkilöstömäärä rajoittaa toiminnallista eriyttämistä, organisaatiot voivat toteuttaa korvaavia kontrolleja. Näitä voivat olla monivaiheiset hyväksynnät, automatisoidut työnkulkukatselmoinnit tai auditointilokitus säännöllisellä katselmoinnilla. Tarkoitus ei ole täydellisyys, vaan tietoisuus.”
Vaihe 23 yhdistää tietosuojavastaavat, oikeudelliset neuvonantajat ja DPO-roolit tietosuojaoperaatioihin:
“Tietosuojavastaavien, oikeudellisten neuvonantajien tai Data Protection Officer -roolien (DPO) tulee osallistua sen määrittelyyn, miten henkilötietoja käsitellään, erityisesti kansainvälisissä siirroissa, rajat ylittävässä käsittelyssä tai rekisteröidyn oikeuksissa, kuten pääsyssä, oikaisussa ja poistamisessa.”
Se jatkaa auditoijien odottamasta näytöstä:
“Auditoinnin näkökulmasta tämä kontrolli on yhä enemmän tarkastelun kohteena. Auditoijat, valvojat ja asiakkaat haluavat nähdä:
✓ missä henkilötiedot sijaitsevat,
✓ mikä oikeusperuste ohjaa niiden käsittelyä,
✓ miten pääsyä rajoitetaan,
✓ miten poikkeamat ilmoitetaan,
✓ ja miten organisaatio kunnioittaa oikeuksia ja ylläpitää läpinäkyvyyttä.”
Zenith Blueprint selittää myös riippumattoman katselmoinnin objektiivisuuskontrollina:
“Se edellyttää, että organisaation tietoturvallisuuden hallintatapaa katselmoidaan riippumattomasti suunnitelluin väliajoin, jotta sokeat pisteet voidaan paljastaa, oletukset voidaan haastaa ja luottamus voidaan validoida tuoreella näkökulmalla.”
Ja täsmentää:
“Tässä yhteydessä riippumaton ei aina tarkoita ulkopuolista. Se tarkoittaa toiminnallista erillisyyttä ISMS:n operatiivisesta omistajuudesta.”
Tietosuojavastaavan riippumattomuuden osalta tämä tarkoittaa, ettei tietosuojan hallinnoinnin sisäistä tarkastusta tulisi tehdä sen henkilön toimesta, jonka tietosuojavastaavan rooli on katselmoinnin kohteena. Jos organisaatio on liian pieni, käytä ulkoista katselmoijaa tai ylimmän johdon hyväksymää vertaiskatselmointia.
Zenith Controls tunnistaa aiheeseen liittyviksi ISO/IEC 27002:2022 -kontrolleiksi “Information Security Roles and Responsibilities” 5.2, “Segregation of Duties” 5.3 ja “Independent Review of Information Security” 5.35. Tällä kartoituksella on merkitystä, koska tietosuojan riippumattomuus ei ole erillään ISMS-hallinnoinnista. Se on osa samaa auditointilogiikkaa: määritä vastuut, eriytä yhteensopimattomat tehtävät ja katselmoi hallintajärjestelmä riippumattomasti.
Vastaavuuskartoitus ISO/IEC 27701:n, GDPR:n, NIS2:n, DORA:n, NIST CSF:n ja COBIT 19:n välillä
Tietosuojavastaavan riippumattomuudesta puhutaan yleensä GDPR-kysymyksenä, mutta auditoijat ja sääntelyviranomaiset näkevät saman heikkouden useiden viitekehysten kautta.
| Viitekehyksen näkökulma | Mitä se käytännössä kysyy | Tietosuojavastaavan eturistiriitojen hallinnointinäyttö |
|---|---|---|
| ISO/IEC 27701:2025 PIMS | Onko tietosuojaroolit, vastuut, valvonta ja osoitusvelvollisuus määritetty ja toiminnassa? | Tietosuojavastaavan nimitys, REG01-roolien osoittaminen, REG12:n riippumattomuuteen liittyvät huolet, PIMS-johdon katselmuksen pöytäkirjat |
| GDPR | Voiko rekisterinpitäjä osoittaa osoitusvelvollisuuden, tietosuojan hallinnoinnin ja asianmukaiset suojatoimet? | Tietosuojavastaavan neuvontakirjaukset, eturistiriita-arviointi, DPIA-haastamisen näyttö, loukkausneuvonnan lokit |
| ISO/IEC 27001:2022 ja ISO/IEC 27002:2022 | Onko vastuut osoitettu, tehtävät eriytetty ja riippumattomat katselmoinnit tehty? | RACI-matriisi, tehtävien eriyttämisen arviointi, sisäisen tarkastuksen riippumattomuus, kontrollien omistajaluettelo |
| NIS2 | Hyväksyykö ja valvooko johto riskitoimenpiteitä, koulutusta, poikkeamien käsittelyä, jatkuvuutta ja toimitusketjukontrolleja? | Hallintoelimen päätökset, eskalointikirjaukset, kyberturvallisuuden ja tietosuojan hallinnoinnin pöytäkirjat |
| DORA | Valvooko hallintoelin ICT-riskiä, kolmansien osapuolten riskiä, sisäistä tarkastusta, häiriönsietokykyä ja poikkeamien raportointia? | ICT-roolikartta, kolmannen osapuolen eturistiriitakatselmointi, sisäisen tarkastuksen suunnitelma, korjaavien toimenpiteiden seuranta |
| NIST CSF 2.0 | Onko hallinnointi, lakisääteiset velvoitteet, riskinottohalukkuus, roolit ja valvonta integroitu yrityksen riskienhallintaan? | Nykyprofiili ja tavoiteprofiili, hallinnointipuutteiden rekisteri, POA&M, politiikan katselmointinäyttö |
| COBIT 19 ja ISACA-auditointinäkökulma | Onko päätösoikeudet, varmennuksen riippumattomuus, riskinomistajuus ja seurantavastuut erotettu toisistaan? | Päätösoikeusmatriisi, varmennussuunnitelma, eturistiriitalokit, korjaustoimien seuranta |
NIS2 Article 20 asettaa hallintoelimille vastuun hyväksyä ja valvoa kyberturvallisuusriskien hallintatoimenpiteitä ja koulutusta. Article 21 edellyttää asianmukaisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä, mukaan lukien riskianalyysi, poikkeamien käsittely, jatkuvuus, toimitusketjun turvallisuus, vaikuttavuuden arviointi, koulutus, kryptografia, HR-turvallisuus, pääsynhallinta, omaisuudenhallinta, MFA tarvittaessa ja turvallinen viestintä. Jos tietosuojavastaava on myös operatiivinen tietoturvan omistaja, tietosuojan valvonta on silti säilytettävä.
DORA Article 5 edellyttää, että finanssialan toimijat ylläpitävät ICT-riskienhallintaa varten sisäistä hallinnointi- ja valvontakehystä, josta hallintoelin on viime kädessä vastuussa. Article 28 edellyttää ICT-toimittajariskien hallintaa, huolellisuutta, sopimusperusteisia suojatoimia, keskittymäriskin arviointia ja eturistiriitojen huomioon ottamista. Tietosuojavastaava, joka omistaa myös ICT-riskin tai kolmannen osapuolen hyväksynnän, aiheuttaa hallinnointiongelman, jota on hallittava.
NIST CSF 2.0 sijoittaa nämä kysymykset GOVERN-toimintoon: lakisääteiset, sääntelyyn perustuvat, sopimusperusteiset, tietosuojaan ja kansalaisvapauksiin liittyvät velvoitteet on ymmärrettävä ja hallittava, roolien on oltava selkeitä, valvonnan on oltava olemassa ja kyberturvallisuusriskin on oltava linjassa yrityksen riskienhallinnan kanssa. Tietosuojavastaavan eturistiriitaa voidaan käsitellä hallinnointipuutteena, jolle nimetään omistaja, joka dokumentoidaan toimintasuunnitelmaan ja jota seurataan.
Miten auditoijat testaavat tietosuojavastaavan riippumattomuutta
Eri auditoijat käyttävät eri kieltä, mutta heidän kysymyksensä lähentyvät toisiaan.
| Auditoijan tausta | Todennäköinen auditointikysymys | Clarysecin valmistelema näyttö |
|---|---|---|
| ISO/IEC 27701:2025 PIMS -auditoija | Onko tietosuojavastuut osoitettu, eturistiriidat tunnistettu ja valvonta riippumatonta? | PIMS-roolikartta, REG01-hyväksynnät, REG12-etuuristiriitalokit, tietosuojaneuvonnan kirjaukset |
| ISO/IEC 27001:2022 -auditoija | Onko tietoturvaroolit määritetty, yhteensopimattomat tehtävät eriytetty ja riippumaton katselmointi tehty? | RACI, tehtävien eriyttämisen matriisi, sisäisen tarkastuksen suunnitelma, johdon katselmoinnin toimenpiteet |
| GDPR-painotteinen auditoija tai valvoja | Voiko organisaatio osoittaa osoitusvelvollisuuden ja riippumattoman tietosuojavastaavan neuvonnan? | Tietosuojavastaavan nimitys, eskalointikirjaukset, DPIA-neuvonta, loukkausneuvonta, koulutuksen valvonta |
| NIST CSF -arvioija | Onko hallinnointiroolit, lakisääteiset velvoitteet, riskinsietokyky ja valvonta integroitu yrityksen riskienhallintaan? | CSF:n nykyprofiili ja tavoiteprofiili, hallinnointipuutteiden suunnitelma, riskirekisteri |
| DORA-katselmoija | Valvooko johto ICT-riskiä ja eturistiriitoja kolmansien osapuolten ja poikkeamien hallinnoinnissa? | ICT-hallinnointikehys, sisäisen tarkastuksen suunnitelma, poikkeamaraportoinnin roolit, toimittajan eturistiriitakatselmointi |
| NIS2-katselmoija | Hyväksyykö ja valvooko hallintoelin riskitoimenpiteitä, koulutusta ja poikkeamien käsittelyä? | Hallituksen pöytäkirjat, koulutustiedot, riskitoimenpiteet, eskalointinäyttö |
| COBIT 19- tai ISACA-auditoija | Onko päätösoikeudet, varmennuksen riippumattomuus ja seurantavastuut erotettu asianmukaisesti? | Hallinnointikuvaus, varmennuskartta, eturistiriitaregisteri, korjaustoimien seuranta |
Auditoija ei hyväksy vastausta “tietosuojavastaavamme on riippumaton” riittäväksi. Vastauksen on perustuttava näyttöön: tässä on nimitys, tässä roolikartta, tässä eturistiriita-arviointi, tässä hyväksyntä, tässä korvaavat kontrollit, tässä neuvontaloki, tässä eskalointiketju ja tässä johdon katselmoinnin tallenne.
Koulutus: riippumattomuus epäonnistuu, kun tietosuojavastaava ohitetaan
Tietosuojavastaava ei voi pysyä riippumattomana, jos organisaatio ei tiedä, milloin hänet on otettava mukaan. Tuotepäälliköt, tietoturvainsinöörit, HR, myyntioperaatiot, hankinta, tuki ja poikkeamiin reagoivat henkilöt tarvitsevat käytännön herätteet.
[DPS] Tietosuoja- ja yksityisyydensuojapolitiikka – pk-yritys kuvaa tietosuojavastaavan tai tietosuojatoiminnon tukevan seuraavia:
“Tukee riskien arviointeja, koulutusta ja politiikan toteutusta.”
Tämä lainaus on peräisin SME Data Protection and Privacy Policy-sme -politiikan osiosta “Roolit ja vastuut”, politiikkalauseke 4.2.3.
[AT-SME] Tietoturvatietoisuus- ja koulutuspolitiikka – pk-yritys yhdistää tämän GDPR:n koulutusodotuksiin:
“Article 39 – edellyttää, että tietosuojavastaavat valvovat tietoisuutta ja koulutusta soveltuvin osin.”
Tämä lainaus on peräisin SME Information Security Awareness and Training Policy-sme -politiikan osiosta “Viitestandardit ja viitekehykset”, politiikkalauseke 11.4.2.
Koulutuksen tulee opettaa henkilöstöä ottamaan tietosuojavastaava mukaan ennen kuin:
- käynnistetään uusi käsittelyn tarkoitus
- käytetään erityisiin henkilötietoryhmiin kuuluvia tietoja, biometrisiä tietoja, terveystietoja, petoksiin liittyviä tietoja tai rikoksiin liittyviä tietoja
- otetaan käyttöön henkilötietojen käsittelijä asiakastietoja varten
- tehdään DPIA-arviointeja, siirtoarviointeja, säilytysmuutoksia tai tietosuojaselosteen päivityksiä
- suljetaan poikkeama, jossa henkilötietojen luvaton pääsy on voinut tapahtua
- tehdään liiketoimintapäätös, joka hylkää tai muuttaa tietosuojaneuvontaa
Viimeinen kohta on tärkeä. Osoitusvelvollisuus ei edellytä, että liiketoiminta hyväksyy jokaisen tietosuojavastaavan suosituksen. Se edellyttää, että organisaatio kirjaa neuvonnan, dokumentoi päätökset ja osoittaa, kuka hyväksyi jäännösriskin.
Rakenna tietosuojavastaavan riippumattomuuden näyttöpaketti
ISO/IEC 27701:2025- ja GDPR-valmiutta varten Clarysec suosittelee tietosuojavastaavan riippumattomuuden näyttöpakettia. Sen tulee olla riittävän kevyt pk-yrityksille, mutta riittävän vahva yritystason auditointeihin.
| Näyttökohde | Tarkoitus |
|---|---|
| Tietosuojavastaavan tai tietosuojaneuvonantajan nimitystieto | Osoittaa virallisen roolin osoittamisen, soveltamisalan, toimivallan ja raportointilinjan |
| REG01:n rooliyhdistelmän hyväksyntä | Osoittaa, että ylin johto hyväksyi arkaluonteiset rooliyhdistelmät ennen osoittamista |
| Roolien eturistiriita-arviointi | Osoittaa, että yhteensopimattomat tehtävät tunnistettiin ja luokiteltiin |
| REG12:n eturistiriita- ja riippumattomuushuolten loki | Osoittaa huolet, neuvonnan, korvaavat kontrollit ja ratkaisun |
| Tietosuojavastaavan neuvontarekisteri | Osoittaa tietosuojasyötteen DPIA-arvioihin, poikkeamiin, siirtoihin, oikeuksiin, säilytykseen ja henkilötietojen käsittelijöihin |
| Eskalointipolku | Osoittaa, että tietosuojavastaava voi tavoittaa ylimmän johdon ilman puuttumista |
| Sisäisen tarkastuksen riippumattomuustarkistus | Osoittaa, ettei tietosuojan hallinnointia katselmoida yksinomaan operatiivisten omistajien toimesta |
| Johdon katselmuksen pöytäkirjat | Osoittaa, että johto katselmoi eturistiriidat, poikkeukset, poikkeamat ja parantamistoimet |
| Koulutustiedot | Osoittaa, että henkilöstö tietää, milloin tietosuojavastaava on otettava mukaan |
| Korjaavien toimenpiteiden seuranta | Osoittaa, että ratkaisemattomia eturistiriitoja käsitellään ja seurataan |
Tämä näyttöpaketti vastaa suoraan Zenith Blueprint -mallin 30 vaiheen lähestymistapaa. Vaihe 4 määrittää roolit ja vastuut. Vaiheet 8–16 rakentavat riskimoottorin ja osoittavat riskinomistajat. Vaihe 22 operationalisoi tehtävien eriyttämisen. Vaihe 23 käsittelee oikeudellisia ja tietosuojarajapintoja, mukaan lukien tietosuojavastaavan osallistuminen ja riippumaton katselmointi.
Muuta tietosuojavastaavan riippumattomuus näytöksi, älä jätä sitä aikomukseksi
Jos tietosuojavastaava, tietosuojaneuvonantaja, tietoturvavastaava, oikeudellinen neuvonantaja, vaatimustenmukaisuuspäällikkö tai sisäinen auditoija toimii useammassa kuin yhdessä roolissa, älä odota, että auditointi tai poikkeama paljastaa eturistiriidan.
Aloita tällä viikolla kolmella toimenpiteellä:
- Kartoita jokainen tietosuojan hallinnointirooli ja operatiivinen rooli REG01:een.
- Tunnista, missä tietosuojavastaava tai tietosuojaneuvonantaja voi hyväksyä, toteuttaa, valvoa tai auditoida samaa toimintaa.
- Kirjaa väistämättömät eturistiriidat ja korvaavat kontrollit REG12:een ja vie ne johdon katselmointiin.
Clarysec voi auttaa operationalisoimaan tämän seuraavien avulla: Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikka, Hallinnointirooleja ja vastuita koskeva politiikka, Hallinnointirooleja ja vastuita koskeva politiikka – pk-yritys, Tietosuoja- ja yksityisyydensuojapolitiikka, Zenith Blueprint: auditoijan 30 vaiheen tiekartta ja Zenith Controls: eri vaatimustenmukaisuuskehysten opas.
Tietosuojavastaavan riippumattomuudessa ei ole kyse byrokratiasta. Kyse on siitä, että tietosuojaneuvonta voidaan kuulla, eturistiriidat voidaan haastaa ja osoitusvelvollisuus voidaan näyttää toteen silloin, kun sillä on eniten merkitystä.
Lataa Clarysecin politiikkakokonaisuus, käytä Zenith Blueprintiä näyttötyönkulun rakentamiseen tai pyydä valmiusarviointia testataksesi, kestäisikö tietosuojavastaavan riippumattomuusmallinne ISO/IEC 27701:2025:n, GDPR:n, NIS2:n, DORA:n, NIST CSF 2.0:n ja COBIT 19:n mukaisen tarkastelun.
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council