Tapaustutkimus – tiedolla johtaminen kansainvälisten pilvipalveluiden tietosuojatyössä

Abstract

Tämä väitöstutkimus on luonteeltaan konstruktiivinen tapaustutkimus valtionhallinnossa, erityisesti Valtorissa, työskentelevien johtohenkilöiden käsityksistä tietosuojatyöstä pilvipalveluissa. Suomen julkishallinnossa on viime vuosien aikana käyty kriittistä keskustelua siitä, täyttävätkö käytössä olevat pilvipalvelut EU:n tietosuoja-asetuksen vaatimukset. Samaa keskustelua käydään aktiivisesti myös laajemmin EU:n alueella. Viimeaikaisen kansainvälisen uutisoinnin perusteella kysymys on laajasti ajankohtainen ja aiheellinen. Keskustelu johdatti pohtimaan, mitä osaamista vaaditaan, jotta pilvipalveluiden käytössä saavutetaan oletusarvoinen ja sisäänrakennettu tietosuoja, ja millainen on valtionhallinnossa tietosuojan kypsyystaso. Tämän perusteella syntyi tutkimuskysymys: Miten kohdeorganisaation, Valtorin, eri johtotasojen tietosuojaosaamisen taso täyttää EU:n tietosuoja-asetuksen vaatimukset? Tutkimuskysymykseen haettiin vastausta kahdella erillisellä tutkimuksella, jotka toteutettiin vuosina 2019–2022. Ensimmäiseksi tehtiin määrällinen tutkimus, jossa Valtorin eri johtotasojen edustajia pyydettiin ottamaan kantaa tietosuojaa koskeviin väittämiin. Toisessa, laadullisessa tutkimuksessa haastateltiin sekä valtionhallinnossa toimivia tietosuoja-asiantuntijoita että kaupallisessa ICT-palvelutuotannossa työskenteleviä teknisiä tietoturva-asiantuntijoita. Erilaisten tutkimusten yhdistämisen eli triangulaation tavoitteena on saavuttaa laaja-alainen ja luotettava ymmärrys tutkittavasta ilmiöstä. Tutkimuksen hypoteesina on, että kohdeorganisaation eri johtotehtävissä toimivat asiantuntijat pystyvät muodostamaan tietosuojaa koskevasta informaatiosta ammatillisen roolinsa kannalta merkityksellistä tietoa vaatimustenmukaisen tietosuojatyön toteuttamiseksi. Tutkimuksen mukaan hypoteesi ei kaikilta osin pidä paikkaansa. Uuden tiedon perusteella tutkimuksessa rakennetaan tietosuojatyön konstruktiivinen toimintamalli, algoritmi, jota ei kirjallisuudessa ole aiemmin esitetty. Se tukee pilvipalveluita koskevaa tietosuojatyötä tiedolla johtamisen teorian viitekehyksestä.

This doctoral research is a constructive case study on the perceptions of the different manager levels working in the Finnish government administration, particularly at the Government ICT Centre Valtori regarding data privacy issues. In recent years, there has been critical discussion in the Finnish public administration about whether the cloud services being used meet the requirements of the EU General Data Protection Regulation (GDPR). Similar discussions have been actively taking place across the European Union member states as well. Based on recent international news coverage, this issue is highly relevant and significant. This debate led to the consideration of the required expertise to achieve privacy by design-based personal data processing when using cloud services, as well as the level of privacy maturity in government administration. This led to the research question: Does the level of data protection competence among different management levels in the target organization, Val-tori, meet the requirements of the EU General Data Protection Regulation? The hypothesis of the study is that experts in different management positions within the target organization can derive meaningful information from the information security domain to support compliant privacy by design work in their professional roles. The study concludes that the hypothesis is not true. Two separate studies were conducted to answer the research question, spanning from 2019 to 2022. The first study employed a quantitative approach, where representatives from different management levels at Valtori were asked to provide their opinions on statements regarding data privacy. The second study, qualitative in nature, involved interviews with data protection experts working in government administration as well as technical security experts in commercial ICT service production. The aim of combining these different re-search approaches, known as triangulation, was to achieve a comprehensive and reliable understanding of the phenomenon under examination. Based on the new knowledge obtained, a constructive operational model for privacy work is developed in the study, which has not been previously presented in the literature. This model supports data protection work concerning cloud services within the framework of information-driven management theory.