27 huhti Kuinka ohjeistan ja koulutan henkilöstöni tietosuojatoimintaan

Useissa keskusteluissa asiakkaiden kanssa olemme pohtineet kuinka ohjeistaa ja kouluttaa henkilöstö toimimaan tietosuoja-asetuksen ja organisaation oman ohjeistuksen mukaisesti. Samalla on mietitty miten tietosuojaohjeet laaditaan, tehdäänkö iso nippu uusia ohjeita, mitkä unohtuvat kaikilta vai saadaanko asia jotenkin lähemmäs arkipäivää?

Ohjeet ja niiden kouluttaminen ovat merkittävässä asemassa minkä tahansa asian jalkauttamisessa osaksi toimintaa. Tämä pätee myös tietosuoja-asetukseen valmistautumisessa ja tietoturvallisempaan toimintaan tähtäävässä kehittämistyössä. Usein (oikeastaan lähes aina) riskikartalle päätyykin jonkinlainen ohjeiden laatimiseen ja kouluttamiseen liittyvä toimenpide. Pääosin listalla ovat henkilötietojen käsittelyohjeet, niiden suunnitelmallinen kouluttaminen ja molempien todentaminen, sillä ne ovat merkittävä osassa osoitusvelvollisuutta.

Organisaatiossa käsiteltävä henkilötieto, henkilökunnan määrä ja työtehtävien luonne tuo aiheeseen toki muuttujia, mutta pyrin tässä esittämään kolmiportaisen mallin, millä päästään liikkeelle.

1. Anna sopivalla määrällä teoriaa perusteet ohjeiden ymmärtämiselle. Teorian kautta ymmärretään myös miksi asiasta ylipäätään puhutaan.

2. Laadi yleisohjeet organisaation tasolle. Niiden avulla kaikki tietävät organisaatiossa asiasta vastaavat henkilöt, yleislinjaukset, miten toimia poikkeustilanteissa ja mistä saa lisätietoja.

3. Tarkasta ja uudista työohjeet huomioimaan myös tietosuojaan liittyvät asiat ja luo erityisesti tietosuoja-asetukseen liittyvät ohjeet kuten rekisteröityjen tietopyyntöihin vastaaminen ja tietosuojaloukkausten käsittely.

Tämä malli rakentuu yleisen teoriaperustan ja yleisohjeiden kautta tarkkoihin työohjeisiin. Tällöin eri henkilöstöryhmille kohdentuu heille tarpeellinen tieto tietosuojatoiminnasta ja se liittyy osaksi tavanomaisia työtehtäviä. Nuo tarkentavat työohjeet ovat niitä nykyisin jo käytössä olevia, joita sitten kehitetään tarpeen mukaan vastaamaan myös tietosuojaan liittyviin kysymyksiin. Organisaatiot joilla on jo aikaisemmin ollut toimintatapana tehdä kirjalliset ohjeet selviävät huomattavasti vähäisemmällä työmäärällä, kuin ne joilla kaikki alkaa “nollasta”.

Vinkki kohdan 1 toteuttamiseksi:

• Koko henkilöstö katsoo videon Arjen tietosuojaa – tietosuojaa meille kaikille osoitteessa https://arjentietosuoja.fi/fi/#/front
• Lisäksi jokaisen tulee suorittaa testi tietosuojan perusteista osoitteessa https://arjentietosuoja.fi/fi/#/quiz. Suoritus ja todistus tulee kirjata koulutusrekisteriin
• Johdon ja esimiesten tulee lisäksi katsoa video Johdon ja esimiesten koulutusvideo

Mainiota materiaalia viranomaisilta tietosuojasta ja tietosuoja-asetuksesta. Turha keksiä pyörää uudestaan ja suosittelenkin hyödyntämään näitä materiaaleja omassa toiminnassa.