GDPR - check! Entä e-Privacy Regulation?

EU:n yleinen tietosuoja-asetus GDPR velvoittaa 25. toukokuuta 2018 – oletko valmis?

Moni on todennut, että EU:n yleinen tietosuoja-asetus GDPR (General Data Protection Regulation) eli henkilörekistereitä koskeva säännöstö teettää paljon työtä. Arvelen, että aika harva järjestö on kovinkaan lähellä ollakseen ”compliant” 25.5.2018, kun sen noudattaminen on pakollista. Soveltamistavassakin on vielä kysymyksiä. Kuinka pilkuntarkka esim. hyväntekeväisyysjärjestön tulee olla verrattuna suureen EU-alueella toimivaan verkkokauppaan? Aika hyvä kysymys.

Sähköisen viestinnän tietosuoja-asetus (e-Privacy Regulation) tulee

Kovin vähälle huomiolle on jäänyt, ettei GDPR ole aihealueen viimeinen työllistävä tekijä: toinen asetus, joka ei siis ole direktiivi vaan sellaisenaan velvoittavaa lainsäädäntöä, tulee pikapuoliin perässä. Sähköisen viestinnän tietosuoja-asetus (e-Privacy Regulation) on yleisen tietosuoja-asetuksen GDPR:n ”sisarasetus” ja aiheuttaa nyt valmisteluvaiheessaan suurta pärskyntää. Se vaikuttaa järjestöjen toimintaan, mutta on kuitenkin liike-elämälle merkittävästi suurempi asia kuin kolmannen sektorin toimijoille.

GDPR on enemmän rakenteellinen ja vaikutukseltaan työllistävämpi. GDPR määrittää mm. sitä missä ja miten henkilötietoa säilytetään, kuka tietoon pääsee ja kuinka eheää se on. Myöhemmin tuleva sähköisen viestinnän tietosuoja-asetus puolestaan säätelee miten tietoa käytetään esimerkiksi markkinointitoimenpiteiden yhteydessä. Järjestön nimenomaan kannattaa suhtautua viestintäänsä systemaattisena kontaktin kehittämisen prosessina – kaupallisella puolella tavoite on tuotteen myyminen, non-profitin haluttu tulos voi olla vapaaehtoisten sitoutumisen vahvistaminen tai vaikkapa jäsenen osaamispanoksen lahjoittaminen. Mutta viestinnän kannalta asia on sama ja asetus tosiaankin koskee rekisteröidyn yhdistyksen toimintaa. Kirjoitan asetusten sisällöstä erillisen tiiviin blogin pikapuoliin.

… marraskuussa tai ehkä vasta 2019

Sähköisen viestinnän tietosuoja-asetuksen piti tulla voimaan toukokuussa 2018 mutta sitä on viivästetty ainakin marraskuuhun 2018. Asetuksen sisältö aiheuttaa vahvoja tunteita ja kriittisimpien mielestä se nykyisen valmisteluvaiheen mukaisena pysäyttäisi suoramarkkinoinnin liiketoiminnan kokonaan. On mahdollista, että asetus on täällä vasta vuoden 2019 puolella, mutta viisasta on ottaa sen keskeisestä sisällöstä selvää jo nyt. Hienosti jalostettua ja ymmärrettävää tietoa on tarjolla esimerkiksi Ohjelmistoyrittäjät ry:n ylläpitämällä sivustolla www.gdpr.fi

Työtä on tiedossa, mutta hyvää tässä on se, että asetukset korvaavat kansalliset lakiviritelmät ja kun asetuksia osaa noudattaa kotimaassa, pärjää samalla metodiikalla muuallakin EU-alueella.

Suosittelemamme askel oikeaan suuntaan

Vahva suosituksemme on, että vähintäänkin taulukkotiedostoista, verkkolevyille talletetuista listoista ja varsinkin mapeissa säilöttävistä rekisteritiedoista hankkiudutaan välittömästi eroon. Kun kaikki kontaktitieto on hallitusti samassa tietojärjestelmässä, on rekisterinpitäjän ja rekisteröidyn paljon helpompi hengittää vapautuneesti.