Tietosuojavastaavan tehtävässä onnistuminen kuntaorganisaatiossa

Abstract

EU:n yleinen tietosuoja-asetus muutti merkittävästi henkilötietojen käsittelyä ja tietosuojaa koskevaa lainsäädäntöä kansainvälisellä tasolla. Se yhtenäisti EU:n alueen henkilötietojen käsittelyn käytäntöjä ja toi uusia velvoitteita rekisterinpitäjille ja henkilötietojen käsittelijöille. Yksi näistä vaatimuksista, nimitystä koskevien edellytysten täyttyessä on tietosuojavastaavan nimitys. Tietosuojavastaava on asemaltaan riippumaton erityisasiantuntija, jonka tehtävänä on tukea rekisterinpitäjää tai henkilötietojen käsittelijää tietosuojaa koskevissa asioissa ja valvoa tietosuojan toteutumista. Tietosuoja-asetus määrittää tietosuojavastaavan nimitykseen, asemaan ja tehtäviin koskevia vaatimuksia, jotka jättävät organisaatioille tulkinnanvaraa ja tämän vuoksi esimerkiksi tietosuojavastaavan asema eri organisaatioissa vaihtelee. Tämän tutkielman tavoitteena on tutkia tehtävässä onnistumiseen vaikuttavia tekijöitä tietosuojavastaavan kompetenssien ja roolin organisoinnin näkökulmista kuntaorganisaatiossa. Millaisia työelämätaitoja tietosuojavastaava työssään tarvitsee ja miten tehtävä tulisi organisoida kuntaorganisaatiossa, jotta tietosuojavastaava pystyy hoitamaan työtehtävänsä vaatimusten mukaisesti? Näihin kysymyksiin tutkielmassa pyritään vastaamaan. Tutkielman aineisto kerättiin haastattelemalla yhdeksän kunnan ja kaupungin tietosuojavastaavia. Haastattelut toteutettiin teemahaastatteluilla ja niistä kerättyä aineistoa analysoitiin etsimällä toistuvia virkkeitä ja teemoja. Tutkielman lopputuloksena esitellään tietosuojavastaavan tarvitsemia työelämätaitoja sekä esitetään näkökulmia, joita tulisi huomioida, kun tehtävää organisoidaan kuntaorganisaatioon. Tutkielmassa havaittiin, että tietosuojavastaavalla tulee olla muun muassa hyvät sosiaaliset- ja viestintätaidot sekä tuntea organisaatio hyvin. Tutkielmassa havaittiin myös, että tietosuojavastaavan aseman tulisi olla erityisasiantuntijan roolissa mahdollisimman korkealla kunnan tai kaupungin hierarkiassa. Tietosuojavastaavalla voi olla muitakin tehtäviä, mutta hänen työnsä resursointi tulee varmistaa ja sitä tulee seurata. Muiden tehtävien hoitaminen ei tule asettaa tietosuojavastaavaa etu-ristiriitatilanteeseen eikä vaarantaa hänen riippumattomuuttansa. Tietosuojavastaavan resursoinnilla ja tehtävien suorittamisen välillä havaittiin myös riippuvuuksia, joten tehtävien hoitamiseen tulee varata riittävästi aikaa.

General Data Protection Regulation (hereinafter GDPR) remarkably changed the way of processing personal data and the legislation regarding the protection of natural persons and the processing of their data on a global level. GDPR unified the practices of personal data processing within European Union and European Economic Areas and enforced new compliance requirements to data controllers and data processors. One of these new compliance requirements is to designate a Data Protection Officer (hereinafter DPO), if terms apply to the organisation. DPO position is an independent specialist whose duties involve supporting the organisation he/she works for in matters related to data privacy and protection of personally identifiable information and monitoring compliance. GDPR applies requirements to the designation, position and tasks of the DPO but they leave room for interpretation and therefore the position and tasks vary by the organisation. The study examines the requirements in regard of the DPO’s competence and position in a municipality in order for them to succeed in their role. What work-life skills does the DPO need and how the position should be aligned within the municipality to best support the DPO in his/her role? The aim of the study is to answer to these questions. The data for this study was collected by interviewing nine DPO’s working in different municipalities. The data was analysed by identifying similar themes occurring within the collected data. The results indicate that the competences required in the role of a DPO consists of five classes of different skills which include good social and communication skills and organisational knowledge among others. In addition the DPO’s position within the municipality should be an independent specialist high in the organisations hierarchy. The DPO may have other tasks and duties but it should be ensured that he/she has sufficient resources such as available time. The other tasks and duties should not put the DPO in a situation where there are conflict of inter-ests or might endanger his/her independence. The study also indicates that there are correlations with sufficient resources and committing to the tasks fo the DPO. Therefore ensuring the sufficient resourcing of the DPO is a necessity.