Vanhat tietojärjestelmät uusiksi? Euroopan unionin uusi tietosuoja-asetus

Suomalaisten yritysten tietojärjestelmät on rakennettu viimeisten noin 30 vuoden aikana. Jotkin yritykset käyttävät edelleen tietojärjestelmiä, jotka on tehty 1970-luvun lopulla. Näissä järjestelmissä käsitellään henkilötietoja.

Erityisesti vanhojen järjestelmien kannalta asetus on hyvin ongelmallinen. Asetuksen mukainen sääntelyhän ei koske pelkästään uusia tietojärjestelmiä vaan kaikkia tietojärjestelmiä. Vanhojen tietojärjestelmien päivittäminen on kallista ja hidasta. Yritysten IT-budjetit eivät ole rajattomia, ja vanhojen järjestelmien päivittämiseen käytetyt rahat ovat pois uusien järjestelmien kehittämisestä.

Kaksi keskeistä haastetta

Mitkä sitten ovat uuden asetuksen ongelmakohdat? Asetusluonnos sisältää kaksi hyvin ongelmallista rakennetta:

Ensinnäkin asetukseen kuuluu privacy by design -vaatimus, jonka mukaan jokaisen tietojärjestelmän tulee olla toiminnallisuuksiltaan sellainen, että henkilötietojen käsittely järjestelmässä täyttää asetuksen vaatimukset.

Toiseksi tietosuojaviranomaiset voivat määrätä yritykselle tai julkiselle organisaatiolle hallinnollisen sanktiomaksun, mikäli asetuksen velvoitteita rikotaan. Sanktiomaksun enimmäismäärä on esityksessä joko sata miljoonaa euroa tai viisi prosenttia vuosittaisesta kokonaisliikevaihdosta sen mukaan, kumpi summa on suurempi. Maksun suuruus saattaa vielä muuttua.

IT-budjetit uuteen tarkasteluun

Keskimääräinen suomalainen tietojärjestelmä on rakennettu teknisistä, kaupallisista tai käytännöllisistä lähtökohdista. Henkilötietolainsäädännön noudattamisesta on huolehdittu vasta jälkikäteen.

Monien järjestelmien nykyiset toiminnallisuudet eivät kestä kriittistä tarkastelua edes nykyisen henkilötietolain näkökulmasta, saati sitten uuden tietosuoja-asetuksen näkökulmasta. Näin ollen järjestelmien huoltaminen tulisi aloittaa jo nyt, kun rikkomuksista ei vielä joudu maksamaan sanktiota. Tätä ei ole taidettu ottaa huomioon tulevien vuosien IT-budjeteissa? Syytä olisi.

Euroopan unionin rikkidirektiivi tuli voimaan muutamia vuosia sitten. Se aiheutti suuria kustannuksia suomalaiselle vientiteollisuudelle, kun laivoihin jouduttiin asentamaan esimerkiksi rikkipesureita. Näin käy myös uuden tietosuoja-asetuksen kohdalla: yritysten ja julkisten organisaatioiden kulut lisääntyvät.

Uuden tietosuoja-asetuksen vaikutuksista tavalliseen kansalaiseen ei voi olla aivan yhtä varma. Ehkä perusoikeudet hieman vahvistuvat, mutta laskua maksaa meistä jokainen.

Jaakko Lindgren