GDPR – Salaus

Yritykset voivat vähentää tietomurron todennäköisyyttä ja siten vähentää sakkojen riskiä tulevaisuudessa, jos ne valitsevat henkilötietojen salaamisen. Henkilötietojen käsittelyyn liittyy luonnollisesti tietty riski. Erityisesti nykyään, kun kyberhyökkäykset ovat lähes väistämättömiä tietyn kokoisille yrityksille. Siksi riskienhallinta saa yhä suuremman roolin IT-turvallisuudessa, ja tietojen salaaminen soveltuu, muiden keinojen ohella, näille yrityksille.

Yleisesti ottaen salauksen avulla tarkoitetaan menettelyä, jossa selvä teksti muunnetaan hashekoodiksi käyttämällä avainta, jolloin lähtevästä tiedosta tulee uudelleen luettavissa vain oikeaa avainta käyttäen. Tämä minimoi riskin tapahtumalle tietojen käsittelyn aikana, koska salatut sisällöt ovat käytännössä lukukelvottomia kolmansille osapuolille, joilla ei ole oikeaa avainta. Salaus on paras keino suojata tietoja siirron aikana ja yksi tapa turvata tallennettua henkilötietoa. Se myös vähentää väärinkäytön riskiä yrityksen sisällä, sillä pääsy rajoittuu vain valtuutettuihin henkilöihin oikealla avaimella.

Asetus tunnistaa myös nämä riskit henkilötietojen käsittelyssä ja asettaa vastuun rekisterinpitäjälle ja henkilötietojen käsittelijälle yleisen tietosuoja-asetuksen 32 artiklan 1 kohdassa toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi. GDPR ei tarkoituksella määrittele, mitkä nimenomaiset tekniset ja organisatoriset toimenpiteet katsotaan sopiviksi kussakin tapauksessa, jotta voidaan ottaa huomioon yksilölliset tekijät. Se antaa kuitenkin rekisterinpitäjälle kriteeriluettelon, joka on huomioitava valitessa menetelmiä henkilötietojen suojaamiseksi. Näitä ovat tekniikan taso, toteutuskustannukset sekä käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset. Näiden kriteerien lisäksi on aina otettava huomioon käsiteltävien riskien vakavuus rekisteröidyn oikeuksille ja vapauksille sekä kuinka todennäköisesti nämä riskit voivat toteutua. Tämä tarkoittaa käytännössä seuraavaa: Mitä suuremmat riskit tietojen käsittelyyn liittyvät ja mitä todennäköisemmin ne toteutuvat, sitä vahvemmat turvatoimenpiteet on toteutettava ja sitä enemmän toimenpiteitä on otettava. Salaus käsitteenä mainitaan nimenomaisesti mahdollisena teknisenä ja organisatorisena toimenpiteenä tietojen suojaamiseksi GDPR:n artiklan 32(1) luettelossa, joka ei ole tyhjentävä. GDPR ei myöskään mainitse erityisiä salausmenetelmiä, jotta voidaan ottaa huomioon nopea teknologinen kehitys. Menetelmää valittaessa on myös sovellettava yllä mainittua kriteeriluetteloa. Kysymykseen siitä, mikä tällä hetkellä katsotaan olevan tekniikan kehityksen tasoa, tietosuojavastaavat luottavat yleensä tietoturvastandardien, kuten ISO/IEC 27001 tai muiden kansallisten IT-turvallisuusohjeiden, antamiin määritelmiin.

Henkilötietojen salauksella on lisäetuja rekisterinpitäjille ja/tai käsittelijöille. Esimerkiksi, jos edistyksellisesti salattu mobiilitallennusväline, joka sisältää henkilötietoja, katoaa, tätä ei välttämättä pidetä tietoturvaloukkauksena, joka on raportoitava tietosuojaviranomaisille. Lisäksi, jos tietoturvaloukkaus tapahtuu, viranomaisten on arvioinnissaan käytettävä myönteisesti salausta miettiessään, määrätäänkö sakko ja kuinka suuri se on GDPR:n artiklan 83(2)(c) mukaisesti.