Tietosuoja-asetus astuu voimaan ensi vuoden toukokuussa. Kirjoitin jo aikaisemmin mitä ITILin palvelustrategiasta voi hyödyntää tietosuojan saralla. Myös palvelusuunnittelu-elinkaarivaiheesta löytyy paljon ideoita, joita voi hyödyntää tietosuojan parantamiseksi.
ITILin palvelusuunnittelu opastaa, miten palvelut tulisi suunnitella vastaamaan määriteltyä liiketoimintatarvetta. Sen tavoitteena on kokonaisvaltainen suunnittelu, jossa huomioidaan toimintaan saattamisen kannalta tärkeiden toiminnallisuuksien lisäksi myös kyvykkyydet ja resurssit, joilla palvelua tuotetaan. Ajallisesti fokus ei ole vain palvelun ensimmäisessä tuotantopäivässä, vaan koko palvelun elinkaari huomioidaan jo suunnittelussa tehtävissä valinnoissa.
ITILin palvelusuunnittelusta voi hyödyntää tietosuojassa ainakin seuraavia asioita:
- Tietosuoja-näkökulma tulee ottaa mukaan osaksi palvelusuunnittelumallia. Tämä varmistaa, että tietosuojanäkökulma tulee huomioitua systemaattisesti jokaista uutta palvelua suunniteltaessa. Samasta aiheesta puhui jo Tomi Mikkonen Webinaarisarjan ensimmäisessä osassa.
- Käyttäjille tulee kertoa, miten heidän tietojansa käsitellään. Tämä tehdään tyypillisesti palvelun käytön aloittamisen yhteydessä, mutta saman tiedon soisi löytyvän myös palvelukohtaisten tietojen yhteydessä palveluluettelosta. ITILin palveluluettelo on palveluntuottajan asiakkailleen tarjoamien palveluiden luettelo ja nykyaikaisena sovellutuksena se on kiinteä osa asiakkaille kohdistuvaa viestintää.
- Palvelutasonhallinta on asiakkaille annettujen lupauksien antamista, dokumentointia ja seurantaa. Tietosuoja-asetus määrittää vasteaikoja, joissa palveluntuottajan tulee pystyä toimittamaan tietonsa asiakkaasta kun asiakas kyseisiä tietoja pyytää. Samoin tiedot tulee pystyä poistamaan määriteltyjä aikarajan puitteissa. Näille molemmille tarvitsee rakentaa toiminnallisuuden ja prosessien lisäksi seuranta ja raportointi.
- Kapasiteetinhallinnassa suunnitellaan palvelun teknisen kapasiteetin lisäksi sen ylläpitokapasiteetti henkilöresurssien näkökulmasta. Liiketoiminnalta tulee saada tietoa kampanjoista ja liiketoimintasuunnitelmista, jotta mm. tietosuojaan kohdistuvien pyyntöjen määrää voidaan ennustaa ja varautua niiden käsittelyyn.
- Tietosuoja on olennainen osa tietoturvaa. ITILin tietoturvassa opastetaan tarjoamaan keskitetty yhteydenottopiste kaikille tietoturvaan liittyville kysymyksille. Samoin on suositeltavaa järjestää vastaava toiminta tietosuojaan liittyville kysymyksille.
- IT-palveluiden jatkuvuudenhallinnassa hallitaan riskejä ja tehdään jatkuvuussuunnitelmia tietyn tyyppisten riskien realisoitumisen varalta. Tietosuojan näkökulmasta tarvitaan vastaava riskianalyysi tietosuojaan kohdistuvien uhkien vaikutusten minimoimiseksi ja suunnitelmat, joiden mukaan toimia riskin realisoituessa.
- IT-palveluja tuotetaan yhdessä toimittajien kanssa. Toimittajanhallinnassa tarvitsee huomioida tietosuoja ottamalla sen mukaan toimittajien kanssa tehtäviin sopimuksiin. Tietosuoja-asetus velvoittaa palveluntuottajan alihankkijoita samassa määrin kuin itse palveluntuottajaa. Siksi asetuksella on suuri vaikutus vaikka tuottaja ei suoraan tuottaisi palveluita loppukäyttäjille.
Kuten yllä olevasta pikaisesta listasta näkyy niin myös ITILin palvelusuunnittelusta voi poimia paljon jo organisaatiossa keksittyä toimivaa käytäntöä tietosuojasta huolehtimiseen. Suosittelen kaikkia tietosuojan kanssa työskenteleviä perehtymään paitsi ITIL-viitekehyksen palvelusuunnitteluelinkaareen ja sen Service Design –kirjaan niin myös oman organisaation toimintamalleihin. Kannattaa hyödyntää organisaatiossa jo keksittyjä toimivia periaatteita ja käytäntöjä.
Keskustellaan aiheesta lisää kurssilla!
ITIL Foundation / ITIL Service Design
Certified Information Privacy Professional/Europe (CIPP/E)
Katso alkuvuodesta pidetty maksuton webinaari Tietosuoja-asetus osana yrityksen toimintaa jälkitallenteena.
Tervetuloa GDPR-päivään Helsingin Messukeskuksen Kokoustamoon 5.10.2017. Tutustu päivän ohjelmaan ja seminaaripaketteihin täältä.
Lari Peltoniemi
Kirjoittaja on työskennellyt prosessien ja toiminnan kehittämisen ja arvioinnin alueella yli 10 vuotta. Päätoimisesti IT-palveluiden prosessien määrittelyn, kehittämisen ja johtamisen alueella hän on toiminut vuodesta 2005. Hän on konsultoinut ja valmentanut useita suomalaisia ja kansainvälisiä yrityksiä ja organisaatioita ITIL/ITSM prosessien määrittelyihin, käyttöönottoon ja kehittämiseen liittyen. Lari on myös Suomen ensimmäinen sertifioitu ITIL Practitioner -kouluttaja.
Lisää tietoa tästä ja muista mielenkiintoisista aiheista löydät Oppia.fi > koulutukset
Kysymyksiä kirjoittajalle? Laita viestiä lari.peltoniemi@wakaru.fi
