“Meillä on tietosuoja kunnossa”

Kuulemme työssämme usein lauseen: “Meillä on tietosuoja kunnossa.” Yleensä se sanotaan varmuudella ja hyvässä hengessä. Silti juuri silloin herää usein tarve esittää muutama jatkokysymys.

Melko usein käy nimittäin ilmi, että tietosuojan ajatellaan olevan kunnossa siksi, että tarvittavat dokumentit on joskus laadittu, sopimuspohjat löytyvät ja suuremmilta ongelmilta on vältytty.

Ajattelutapa on ymmärrettävä, mutta samalla hieman harhaanjohtava.

Tietosuoja ei ole yksittäinen projekti tai kansio, joka tehdään kerran valmiiksi. Se ei myöskään tarkoita sitä, että verkkosivuilta löytyy tietosuojaseloste tai että asiasta on joskus keskusteltu organisaation sisällä.

Keskeinen kysymys on se, vastaavatko dokumentit ja käytännöt aidosti tämän päivän toimintaa.

Kun keskustelemme organisaatioiden kanssa tietosuojasta, palaamme usein samoihin käytännön kysymyksiin:

• Tiedetäänkö organisaatiossa aidosti, mitä henkilötietoja käsitellään?

• Onko henkilötietojen käsittelylle tunnistettu oikeat perusteet?

• Kuvaavatko tietosuojaselosteet todellista arkea vai vain sitä, miten asioiden pitäisi toimia?

• Onko riskejä arvioitu käytännössä vai onko vain oletettu, ettei ongelmia synny?

• Tiedetäänkö, mitä tekoälypalveluita organisaatiossa käytetään ja miten ne vaikuttavat henkilötietojen käsittelyyn?

Erityisesti tekoälyn nopea yleistyminen on muuttanut tilannetta merkittävästi. Monessa organisaatiossa uusia työkaluja otetaan käyttöön vauhdilla ilman, että niiden vaikutuksia tietosuojaan ehditään arvioida kunnolla.

Useimmiten kyse ei ole välinpitämättömyydestä, vaan siitä, että arki menee nopeasti eteenpäin ja tietosuoja jää helposti irralliseksi asiaksi muun toiminnan rinnalle.

Todellisuudessa tietosuoja on kuitenkin osa päivittäistä toimintaa. Se liittyy asiakassuhteisiin, luottamukseen, henkilöstön toimintaan ja siihen, miten uusia teknologioita käytetään vastuullisesti.

Siksi tietosuojasta pitäisi puhua enemmän käytännön näkökulmasta — ei pelkästään juridisina velvoitteina tai pakollisina dokumentteina.

Lause “meillä on tietosuoja kunnossa” onkin harvoin keskustelun päätös. Usein keskustelu alkaa vasta tästä.