Tietosuojan kypsyysanalyysin syventäminen mitä se voisi olla?

Esitys aiheesta: "Tietosuojan kypsyysanalyysin syventäminen mitä se voisi olla?"— Esityksen transkriptio:

1 Tietosuojan kypsyysanalyysin syventäminen mitä se voisi olla?
Synergiaryhmä Metropolia Jaakko Riihimaa IT-pääsihteeri, AAPA

2 Tietosuoja-sivusto / työtilasta
EU tietosuoja-asetus / yhteistyötila suomalaisille korkeakouluille Työtila on tarkoitettu EU tietosuoja-asetuksen implementoinnin tukemiseen suomalaisissa korkeakouluissa Työtilassa tietoa asetuksen implementaation etenemisestä, vastuuhenkilöistä ja hyvistä käytänteistä Työtila: Työtilan tiedostokirjastossa mm. Excel-taulukko ”EU-tietosuoja.xlsx” Korkeakoulujen ”kypsyysmalli” Siihen on pyydetty merkitsemään tilanne korkeakouluittain EU GDPR- prosessin tilasta Samaa mallia sovelletaan 2017 myös eurooppalaisessa bencheit-kyselyssä

3 Kypsyysanalyysin toimenpiteet
Vastuullinen prosessin vetäjä on nimetty (kuka) Informoidaan korkeakoulun johtoa tietosuoja-asetuksen voimaantulosta ja aikataulusta ja saadaan mandaatti asian eteenpäinviemiseen. Aloitetaan olemassa olevan henkilötietojen käsittelyn kartoitus Suunnitellaan alustavasti prosessit, joilla henkilötietojen käsittelyä ja sen lainmukaisia järjestämisiä kyetään seuraamaan ja arvioimaan. Koulutusbudjettiin 2017 on varattu rahaa henkilötietokoulutukseen Keskeiset henkilörekisterit on kartoitettu/tunnistettu Kartoitetaan korkeakoulun ulkopuolelta saapuvat ja ulkopuolelle lähtevät henkilötiedot Selvitetään henkilötietojen tarkka kulku palvelusta ja järjestelmästä toiseen Henkilörekistereistä on olemassa lain vaatimat ajantasaiset rekisteriselosteet Luodaan työnkulkumalli tietosuojakäytäntöjen sisäänajoon osaksi normaalia korkeakoulun toimintaa Määritetään korkeakoulun henkilötiedot, jotka kannattaa pseudonymisoida Hahmotellaan ohjaukseen ja opastukseen soveltuva kielenkäyttö ja fraasit, jotka soveltuvat yhtaikaa sekä palvelun suunnitteluun että siitä informoimiseen Keskeiset henkilötiedon prosessit dokumentoitu mennessä tietosuojavastaava on oltava nimetty (kuka) Tietoturva-auditointi

4 EU:N TIETOSUOJA-ASETUS, kypsyysmalli aikasarja

5 Tietosuojan tilannekuva korkeakouluissa 10.3.2017
vastaavat Yliopistot Ammattikorkeakoulut

6 Tietosuojan tilannekuva korkeakouluissa 10.3.2017
vastaavat Yliopistot Ammattikorkeakoulut

7 EU:N TIETOSUOJA-ASETUS, kypsyysmalli Ammattikorkeakoulujen tilanne 21

8 EU:N TIETOSUOJA-ASETUS, kypsyysmalli Ammattikorkeakoulujen tilanne 15

9 EU:N TIETOSUOJA-ASETUS, kypsyysmalli Ammattikorkeakoulujen tilanne 9.6.2017

10 EU:N TIETOSUOJA-ASETUS, kypsyysmalli Ammattikorkeakoulujen tilanne 31
100 % 0 % 67 % 33 % 50 %

11 EU:N TIETOSUOJA-ASETUS, kypsyysmalli Ammattikorkeakoulujen tilanne 26
100 % 0 % 67 % 33 % 50 %

12 EU:N TIETOSUOJA-ASETUS, kypsyysmalli yliopistojen tilanne 26.9.2017
67 % 100 % 0 % 50 % 33 %

13 Aloitetaan olemassa olevien henkilötietojen käsittelyn kartoitus
Työkaluja tähän esim: Rekisteriselosteet Laatudokumentaatio JHS179 Kartturi (kokonaisarkkitehtuuri) … Kuka vastaa: OHA/opintohallinto, HR/henkilöstö, TKI/TKI-toiminta ”Konsulttina” tietohallinto

14 Suunnitellaan alustavasti prosessit, joilla henkilötietojen käsittelyä ja sen lainmukaisia järjestämisiä kyetään seuraamaan ja arvioimaan Laatujärjestelmän kuvaukset? Keskeiset prosessit ovat???: Opiskelijavalinnan yhteydessä TKI-toiminnan aineistojen keruu ja säilytys, ml. opinnäytetyöt … Näitä pitäisi saada tiedoksi niiltä, jotka ovat vaiheen toimenpiteitä tehneet, eli mitä prosessilla tarkoitetaan Kuka vastaa: OHA/opintohallinto, HR/henkilöstö, TKI/TKI-toiminta, Laatujärjestelmävastaavat

15 Keskeiset henkilörekisterit on kartoitettu/ tunnistettu
Apuna esim. AAPA-systeemikysely Rekisteriselosteet KA-kuvaukset Onko jollakin käytössä toimintamalli, jolla nämä voitaisiin systemaattisesti tunnistaa? Kuka vastaa: OHA/opintohallinto, HR/henkilöstö, Tietohallinto

16 Kartoitetaan korkeakoulun ulkopuolelta saapuvat ja ulkopuolelle lähtevät henkilötiedot
Apuna esim. keskeiset tietolähteet ja niiden kuvaukset Rekisteriselosteet VIRTA-kuvaukset (minne VIRRAsta jaetaan tietoa) Opintopolku HR: Palkkatiedot, verotustiedot, eläkeasiat… Tietotilinpäätöksen laadinta … Onko jollakin käytössä toimintamalli, jolla nämä voitaisiin systemaattisesti tunnistaa? Kuka vastaa: OHA/opintohallinto, HR/henkilöstö, Tietohallinto

17 Selvitetään henkilötietojen tarkka kulku palvelusta ja järjestelmästä toiseen
Tietovirtakaaviot Entä päätietoryhmät, informaatiosalkku? Entä käsitemallit? Riittääkö tietotilinpäätös (vrt. tsvaltuutetun toimiston malli /Trafi) Malleja esim. JHS179 (DFD, Data Flow Diagram) Kartturi BPMN (Business Process Model and Notation) Onko jollakin käytössä toimintamalli, jolla nämä voitaisiin systemaattisesti tunnistaa? Kuka vastaa: Järjestelmien omistajat, OHA/opintohallinto, HR/henkilöstö, Tietohallinto

18 Henkilörekistereistä on olemassa lain vaatimat ajantasaiset rekisteriselosteet
Rekisteriselosteen ohjeet ja malli jatietosuojaselosteet.html Kuka vastaa: Järjestelmien omistajat, Asianhallinta, Tietohallinto

19 Keskeiset henkilötiedon prosessit dokumentoitu
Opintohallinto, henkilöstöhallinto Laatujärjestelmäkuvaukset Järjestelmäkuvaukset Mitä ovat keskeiset prosessit? Opiskelijaksi/henkilökunnaksi tulo Kyselyt, luovutukset Oppimisanalytiikka … Kuka vastaa: OHA/opintohallinto, HR/henkilöstö, TKI/TKI-toiminta, Laatujärjestelmävastaavat, Tietohallinto

20 Tietosuojan tilannekuva, jatkotoimia
Täydentäkää omien korkeakoulujenne tietoja, niin tilannekuva täydentyy Tulkinta sopivimmasta valittavissa olevasta vaihtoehdosta/kohta jää korkeakoululle Tilannekuvasta tarkoitus tehdä välitarkastelu n. 4 kk:n jaksoin kyselyllä laajan kiinnostuksen takia nyt on mahdollisuudet reaaliaikaisempaan täydentämiseen ja seurantaan Tiedottakaa asiasta korkeakouluissanne Verkostoitukaa, hyödynnetään verkostoja, vältetään päällekkäistä työtä ”Joku muu” ei kuitenkaan ole se, joka työn tulee tekemään