Mihin olemme matkalla tietosuojasäännösten kanssa?

Kanssa 65% maailman väestöstä Henkilötietojensa odotetaan kuuluvan nykyaikaisten tietosuojasäännösten piiriin vuoteen 2023 mennessä, tietosuojan kunnioittaminen ei ole koskaan ollut kriittisempaa. Esimerkkinä liittovaltion käyttöönotto American Data Privacy and Protection Act (ADPPA) ja äskettäin hyväksytty osavaltiotason tietosuojalakeja ovat tehneet Yhdysvaltojen nykyisestä tietosuojasta entistä monimutkaisemman. Tämä aiheuttaa haasteita organisaatioille sekä räjähdysmäisesti kasvavien tietomäärien hallinnassa että sen ymmärtämisessä, miten tietyt tietosuojasäännökset koskevat niitä.

Kun kaikenkokoiset yritykset yrittävät pysyä jatkuvasti muuttuvien tietosuojalakien kärjessä ja seurata proaktiivisesti asiaankuuluvia sääntöjä, niiden tulisi myös ryhtyä tarvittaviin toimiin kartoittaakseen, missä kuluttaja- ja työllisyystiedot elävät sekä näihin tietoihin kohdistuvat mahdolliset riskit. Kyberturvallisuutta vahvistamalla organisaatiot voivat valmistautua paremmin tietosuojamääräyksiin nyt ja tulevaisuudessa.

Muistetaan, miksi tästä on tullut niin tärkeää. Ensinnäkin kuluttajat ja työntekijät ovat entistä paremmin perillä henkilöoikeuksista ja siitä, miten tietosuojasäännökset koskevat heitä. Tämä on tärkeä ja myönteinen kehitys, kun otetaan huomioon sakkojen ja oikeudenkäyntien riski noudattamatta jättäminen on yksi yksilön oikeuksien suojelemisen edellytyksistä.

Henkilökohtaisten tunnistetietojen (PII) ja suojattujen terveystietojen (PHI) lähentyminen muodostaa myös tietoriskejä. Esimerkiksi vakuutuskorvauksen maksutietoja, sähköpostiosoitetta ja muita Internetistä löydettyjä digitaalisia leivänmuruja voidaan käyttää henkilöllisyyksien varastamiseen tai tietojen suodattamiseen. Lisäksi hybridityömallien omaksuminen ja pitkän aikavälin hyväksyminen voi luoda haasteita. Jotkut organisaatiot kysyvät työntekijöilleen erittäin keskittyneitä kysymyksiä käyttäytymisestä ja kotityöjärjestelyistä tuottavuuden mittaamiseksi. Tietyistä kysymyksistä riippuen voi olla muitakin yksityisyyttä koskevia vaikutuksia.

Hämmennyksen maisema

Ottaen huomioon nykyisten tietosuoja- ja tietosuojamääräysten laajat vaihtelut ja lainkäyttöalueet, saattaa olla hämmennystä. Esimerkiksi Pohjois-Dakotassa sijaitsevat yhdysvaltalaiset yritykset, jotka harjoittavat liiketoimintaa kotimaassa, saattavat olla hieman vähemmän kiinnostuneita ulkomailla sovellettavista säännöistä. Sitä vastoin yhdysvaltalaisiin organisaatioihin, jotka tarjoavat tavaroita ja palveluita Yhdistyneessä kuningaskunnassa tai EU:ssa, yleisen tietosuoja-asetuksen (GDPR) kaltaiset määräykset ja mahdolliset rangaistukset, jos niitä rikotaan, voivat päteä.

Lisäksi joissakin organisaatioissa yrityksen kokoon liittyvät ennakkoluulot voivat aiheuttaa vaatimustenmukaisuus- tai sääntelyongelmia, kuten uskoa, että yritys on liian pieni tietosuojamääräysten soveltamiseksi. Vaikka on totta, että suurin osa uudemmista määräyksistä keskittyy tietyn kokoisiin yrityksiin, todelliset kokokriteerit voivat liittyä useisiin tekijöihin, kuten työntekijöiden määrään tai vuosituloihin. Tietosuojamääräysten voimassaolo saattaa myös riippua organisaation käsittelemän kuluttajatiedon määrästä.

Asia on siinä, että jokaisella säädöksellä on vivahteita, minkä vuoksi on tärkeää ymmärtää sekä kunkin asian merkitys että rajat. Tätä tulee seurata säännöllisin väliajoin, varsinkin kun organisaatiot kasvavat ja säännökset alkavat päteä siellä, missä niitä ei aiemmin ole tehty. Esimerkiksi niitä on ollut viimeaikaiset tapahtumat EU:n ja Yhdistyneen kuningaskunnan välisen uuden datan tietosuojakehyksen, joka tunnetaan myös nimellä Privacy Shield 2.0, ympärillä tiedustelutoiminnan osalta.

Hyvä nyrkkisääntö on noudattaa parhaita käytäntöjä mahdollisimman pian, joten kun muodollisen noudattamisen tarve tulee, kaikki on paikallaan. Väärin johtamisen riski on vakava, sillä organisaatiot voivat uhata valtavia sakkoja noudattamatta jättämisestä. Tämä ei kerro mitään vaikutuksista brändin maineeseen, kun vakava loukkaus paljastetaan, mukaan lukien kuluttajan, työntekijän tai sijoittajan luottamuksen menetys, jolloin vaikutukset voivat olla pitkiä ja tuskallisia.

Liittovaltion lakien aika?

Uusia tietosuojalakeja ehdotetaan säännöllisesti. Yhdysvalloissa on viisi osavaltiota, joiden tärkeimmät määräykset tulevat voimaan vuonna 2023: Kalifornia, Virginia, Colorado, Connecticut ja Utah. Koska 10 % Yhdysvaltain osavaltioista on tietosuojalainsäädännön piirissä ensi vuoden loppuun mennessä, on selvää, että liittovaltion laki olisi hyödyllinen.

Erityisesti liittovaltion lainsäädännöllä voisi olla ratkaiseva rooli Yhdysvaltojen yhdenmukaistamisessa muiden maiden kanssa tietosuoja-asioissa. Se myös tarjoaisi myyjille ja käyttäjille kipeästi kaivattua selvyyttä arkaluonteisten tietojen käyttämisestä, tallentamisesta ja hallinnasta. Tämä yksinään auttaisi pitkälle poistamaan laajalle levinnyttä sekaannusta, jota vallitsee olemassa olevan sääntelyn tilkkutäkki. Vaikka ehdotetun ADPPA:n kaltaisen liittovaltion lainsäädännön tarkka ajoitus on epäselvä, kyse ei ole siitä, onko se, vaan milloin.

Kaiken kaikkiaan tiedot ja sen suojelua säätelevät lait ovat olemassa nopeasti kehittyvässä sääntelyekosysteemissä. Muutokset – sekä kotimaassa että kansainvälisesti – ovat väistämättömiä. Siksi organisaatioiden tulee keskittyä tiedon käsittelyn ja turvaamisen lyhyen ja pitkän aikavälin vastuisiin. Se ei ole vain eettisesti ja moraalisesti oikein tehtävä, vaan se edustaa myös järkevää päätöksentekoa yrityksen terveydelle.