Skaffa en överblick över grunderna för dataskydd

På samma sätt som vid omsorg för riskhanteringen och informationssäkerheten ligger det även på hela organisationen ansvar att sörja för dataskyddet.

Fastställandet görs enligt databehandlingens

• karaktär
• omfattning
• sammanhang och
• enligt syfte.

Dataskyddsrisker ska bedömas så objektivt som möjligt. Utifrån bedömningen konstateras om databehandlingsåtgärderna är förknippade med en låg, genomsnittlig eller hög risk.

Riskhanteringen i anslutning till dataskyddet avviker från traditionell riskhantering eftersom riskerna granskas ur den registrerades, det vill säga individens, perspektiv. På grund av denna skillnad i perspektiv avviker också identifieringen av effekter och sannolikheter, valet av hanteringsmetoder och godkännandet av kvarstående risker från den mer traditionella riskhanteringen.

För att undvika och minimera riskerna i anslutning till dataskyddet ska skyddet av registrerade enligt lagstiftningen vara teknikneutralt och omfatta både automatisk och manuell behandling. Med detta avses alltså att riskhantering i anslutning till dataskyddet gäller uppgifter både i digital form och på papper.

Bekanta dig med VAHTI-nätverkets Tietosuoja pilvipalveluissa -stödmaterial (på finska, PDF)Öppnas i ett nytt fönster..

Läs om dataombudsmannens verksamhet och dataskydd på webbplatsen för Dataombudsmannens byråÖppnas i ett nytt fönster..

Dataskyddsombudet är en sakkunnig inom organisationen som följer upp hanteringen av personuppgifter och hjälper till att följa dataskyddsbestämmelserna (Dataombudsmannens byrå).

Dataskyddsombudet gör inte dataskyddsbeskrivningar eller -avtal själv. Ombudet ansvarar inte heller för dataskyddet, utan är en oberoende expert som granskar och kommenterar dataskyddsärenden.

Läs mer om dataskyddsombudets uppgifter på webbplatsen för Dataombudsmannens byråÖppnas i ett nytt fönster..

Med personuppgifter avses alla uppgifter om en identifierad eller identifierbar fysisk person (registrerad). Som identifierbar person betraktas en fysisk person som direkt eller indirekt kan identifieras utifrån särskilda identifikationsuppgifter. Personuppgifter är till exempel

• namn
• personbeteckning
• lokaliseringsuppgift
• nätidentifikationsuppgift.

Kraven, principerna och regleringen i anslutning till dataskydd gäller personuppgifter även om personuppgifterna inte utgör ett personregister.

Personen kan också vara identifierbar utifrån en eller flera identifikationsuppgifter. Sådana identifikationsuppgifter är till exempel faktorer som är kännetecknande för personen, det vill säga

• fysiska
• fysiologiska
• genetiska
• psykiska
• ekonomiska
• kulturella eller
• sociala faktorer.

Med logg avses en i kronologisk ordning registrerad upptagning av händelserna och orsakerna till dem. Händelser och ändringar i datasystem, applikationer, datanät och innehåll registreras i en logg, det vill säga loggas. Logguppgifterna samlas in av operatörerna för anordningar som är anslutna till internet.

− Cybersäkerhetscentret

Loggen gör det möjligt för organisationen att följa sin databehandling och bekräfta vad, varför och när något hände.

Bekanta dig med anvisningen Så här samlar du in och använder loggdata på Cybersäkerhetscentrets webbplatsÖppnas i ett nytt fönster.. Anvisningen är avsedd för organisationer som har egen informationssäkerhetskompetens.

Vilket som helst strukturerat dataset med personuppgifter där uppgifterna är tillgängliga på vissa grunder. Dataset kan vara

• centraliserat
• decentraliserat eller
• uppdelat på funktionella eller geografiska grunder.

Med personuppgiftsansvarig avses en fysisk eller juridisk person, en myndighet, ett ämbetsverk eller något annat organ som separat eller tillsammans med andra fastställer ändamålen och metoderna för behandlingen av personuppgifter.

Med personuppgiftsbiträde avses en fysisk eller juridisk person, en myndighet, ett ämbetsverk eller något annat organ som utöver den personuppgiftsansvarige behandlar personuppgifter.

Ett typiskt personuppgiftsbiträde är till exempel en serviceproducent eller informationssystemleverantör som producerar tjänster för den personuppgiftsansvarige. Med personuppgiftsbiträde avses således inte till exempel en företrädare för den personuppgiftsansvarige som behandlar personuppgifter som en del av sina arbetsuppgifter.

Personuppgifterna kan också ha underbehandlare som behandlar uppgifterna för den personuppgiftsansvariges handläggares räkning. Ett typiskt exempel är en utlagd aktör som producerar tjänster för en serviceproducent. När en organisation till exempel har lagt ut personal- och ekonomiförvaltningens tjänster på entreprenad till en annan organisation som köper ekonomiförvaltningens system av en tredje organisation.

Syftet med konsekvensbedömningen avseende dataskydd är att hjälpa till att identifiera, bedöma och hantera riskerna i anslutning till behandlingen av personuppgifter. Konsekvensbedömningen ska göras innan behandlingen av personuppgifter inleds och den ska uppdateras vid behov.

Läs mer om konsekvensbedömning avseende dataskydd på webbplatsen för Dataombudsmannens byråÖppnas i ett nytt fönster..

• Ordlista om dataskydd (Europeiska unionen)Öppnas i ett nytt fönster.