Tietoturvan ja GDPR:n noudattaminen HR:ssä

Johdanto

Data on valtava osa jokapäiväistä elämäämme. Joka päivä meistä jokainen käyttää, siirtää, tallentaa ja omaksuu dataa eri tavoin. Henkilöstöhallinnossa käsittelet paljon arvokkaita ja luottamuksellisia liiketoimintaan liittyviä tietoja, kuten palkkatiedot, suorituskykymittarit ja strategiset suunnitelmat. 

Sen lisäksi on dataa työntekijöistä, entisistä työntekijöistä, sopimustyöntekijöistä ja työnhakijoista, joka voi sisältää arkaluonteisia tietoja kuten terveystietoja, lääketieteellisiä asiakirjoja ja palkkatietoja. Tämä on paljon dataa hallittavaksi ja käsiteltäväksi.

Taito käyttää olemassa olevaa dataa tärkeiden asioiden löytämiseen ja kertomiseen on tärkeä strategisen HR:n osa-alue. Tiedolla johtaminen sisältyy HR:n rooliin strategisena neuvonantajana – tieto auttaa tekemään oikeita päätöksiä oikeaan aikaan.

Kaikki tämä data voi tehdä henkilöstöosastot haavoittuviksi. Vaikka tämä saattaa tuntua IT-osaston ongelmalta, on jokaisen HR-ammattilaisen tunnettava tietosuojavastuunsa. On sinun vastuullasi varmistaa, että tiedot ovat turvassa ja suojattuja, ja että ne noudattavat paikallisia lakeja ja sääntöjä.

Ei ole kuitenkaan syytä huoleen, sillä olemme luoneet tämän oppaan auttaaksemme sinua hallitsemaan GDPR:n ja tietoturvan perusasioita. Oppaassa kerrotaan, miksi sinun tulee olla tietoinen näistä vaatimuksista sekä annetaan vinkkejä siihen, miten varmistat, että henkilöstöhallintajärjestelmäsi on sääntöjen ja asetusten mukainen. Oppaan luettuasi osaat pitää tallennetut henkilötiedot turvassa ja tehdä työstäsi mahdollisimman vaivatonta.

Oppaamme kattaa mm. seuraavat asiat:

• Tietosuojan ja tietoturvan erot
• Miksi tietosuoja ja tietoturva ovat tärkeitä?
• Vinkkejä GDPR:n noudattamiseen henkilöstöhallinnossa
• Mitä voit odottaa HR-työkaluiltasi, kuten Sympalta, jotta nämä asiat olisivat sinulle helpompia.

Tietosuojan ja tietoturvan erot

Tiedonkäsittely voi vaikuttaa tylsältä aiheelta, mutta tietosuoja ja tietoturva ovat äärimmäisen tärkeitä. Mikä siis on niiden välinen ero? Tietosuoja määrää, miten käsittelemme työntekijöiden henkilötietoja. Tietosuojassa kerrotaan, mitä sääntöjä noudatamme niiden käsittelyssä, mitä vaatimuksia on ja mitä velvollisuuksia meillä on käsittelijöinä ja valvojina.

Tietoturva ikään kuin rakentaa seinät tietojen ympärille suojaten niitä luvattomalta pääsyltä ja käsittelyltä. Tietoturvan merkitystä et välttämättä huomaa silloin, kun kaikki on kunnossa. Mutta jos jotakin pahaa tapahtuu, voi ihmisille, tiedoille ja organisaation maineelle koitua suuria riskejä.

Miksi tietosuoja ja tietoturva ovat tärkeitä?

Henkilöstöhallinnolla on monia rooleja, ja yksi niistä on työntekijätietojen suojaaminen huolimattomuudelta ja turvallisuusuhilta. Tietojen suojaamisen laiminlyönti voi johtaa suuriin sakkoihin sekä ihmisten luottamuksen menettämiseen brändiin, jonka luomiseen on usein käytetty vuosia. Luottamuksen rakentaminen voi kestää vuosia, mutta se voi murentua minuuteissa.

Maineen vahingoittuminen tietovuodon seurauksena ja sen mahdolliset laajemmat vaikutukset voivat olla korvaamattomia. Uutiset tietovuodosta voivat levitä julkisuudessa laajalle ja herättää epäluottamusta. Vaikka rahallinen sakko olisi mahdollisesti hallittavissa, huono maine voi merkitä sitä, että kuluttajat eivät enää luota organisaatioon. Joten on mahdollista olla GDPR-yhteensopiva ja silti kohdata mahdollisia tietoturvauhkia.

Mistä HR on vastuussa?

GDPR ja tietojenkäsittely tarkoittavat eri tahojen vel- vollisuutta tehdä tiettyjä asioita. Nämä asiat riippu- vat roolistasi. Joten auttaaksemme sinua olemme sel- ventäneet näitä rooleja alla:

• Valvoja (Controller): Kuka tahansa, joka määrittelee henkilötietojen keräämisen ja käsittelyn tarkoitukset ja keinot. Yleisesti ottaen organisaatio, joka kerää henkilötietoja tunnetaan ”valvojana”.
• Käsittelijä (Processor): Taho, joka suorittaa erilaisia tiedonkäsittelytoimenpiteitä (järjestely, säilytys, siirto jne.) valvojan puolesta, tunnetaan ”käsittelijänä”.
• Vastaanottaja (Recipient): Joku tai jokin, joko yrityk- sen sisällä tai ulkopuolella, jolle kohderyhmän henkilötiedot luovutetaan.
• Kolmas osapuoli (Third-party): Jokin muu osapuoli, jolla on valtuudet käsitellä henkilötietoja, joko suoraan valvojan tai käsittelijän luvalla.

GDPR-lainsäädännön mukaan organisaatioilla on oltava järjestelmät ja tietoturvavalvonta, jotta tiedot pysyvät turvassa ja jotta niiden väärinkäyttö tai vuotaminen ulkopuolisille estetään. Nykyään yhä useammat ihmiset työskentelevät kotoa käsin omilta laitteiltaan ja eri verkoissa, mikä lisää tietomurtojen riskiä entisestään.

Mikäli yritys käyttää ulkopuolisia palveluja, kuten rekrytointifirmoja tai palkanlaskentayrityksiä, jotka käsittelevät työnhakijoiden tai työntekijöiden tietoja, on organisaation varmistettava, että myös ulkopuoliset palvelut noudattavat GDPR:ää ja yritysten kanssa luodut sopimukset ovat asianmukaisia. Organisaation on myös kyettävä tietoturvaloukkauksen tapahtuessa osoittamaan, että se on pyrkinyt käyttämään GDPR:n mukaista palvelua.

Jos HR:n tietoturvakoulutuksessa olisi kyse ainoastaan parhaiden toimintatapojen tiedottamisesta työntekijöille, voisi IT-henkilöstö vain laatia PowerPoint-esityksen ja hoitaa asian. Tietoturva on kuitenkin viime kädessä jatkuvasti kehittyvä riski, joka vaatii jatkuvaa seurantaa ja päivittämistä.

Vinkkejä GDPR:n noudattamiseen HR:ssä

HR on velvollinen noudattamaan tietoturva-asetusta, joten järjestelmiltä vaaditaan perusasioita kuten sujuvaa tiedonkulkua eri järjestelmien välillä, rajapintoja ja joustavaa käyttöoikeuksien hallintaa. Parhaat henkilöstöhallinnon järjestelmät hoitavat monia tehtäviä liittyen esimerkiksi rekrytointiin, palkkoihin, henkilöstön kehittämiseen, poissaolojen hallintaan ja raportointiin. Erityisen tärkeää on hallita tietoja kaikista näistä osa-alueista tehokkaasti. Nykyaikaiset järjestelmät tarjoavat myös erilaisia turvatoimintoja ja salauksia suojatakseen organisaation tietoja.

Monet vanhanaikaiset palkanlaskenta- tai HR-järjestelmät eivät pysty vastaamaan muuttuviin HR:n tarpeisiin tai tiedonsiirron vaatimuksiin eri järjestelmien välillä. Järjestelmien puutteellisuudet johtavat siihen, että organisaatiot ja yksilöt luovat uusia tiedostoja kuten Excel-taulukoita tai hankkivat useita järjestelmiä henkilötietojen hallintaan. 

Huonot yhteydet eri järjestelmien välillä johtavat helposti vanhentuneisiin tietoihin, vieläpä useissa eri järjestelmissä. Tällaisissa tilanteissa tärkeiden henkilötietojen toimittaminen yksittäiselle henkilölle on vaikeaa, ellei mahdotonta.

Ketterien HR-järjestelmien toinen etu on niiden kyky keskittää dataa, mikä helpottaa sen hallintaa. Tämä on erityisen tärkeää monikansallisille yrityksille. Keskittämällä tiedot organisaatio saa paremman kokonaiskuvan työvoimastaan ja samalla vähentää sääntöjen rikkomisen riskejä. Vanha teknologia ei enää ole hyvä perustelu nykymaailmassa, joten onkin aika päivittää järjestelmät vastaamaan nykyisiä tarpeita ja turvallisuusvaatimuksia.

Miksi tietoturvan pitää olla huolellisesti suunniteltu?

Henkilöstötietojen turvallisuus ja tietosuoja ovat erittäin tärkeitä HR-tiimillesi, työntekijöillesi ja yrityksellesi. Kun tiimisi on hajautettu eri lokaatioihin, sääntöjen noudattaminen voi olla haastavaa. Vaikka noudattaisitkin tietosuojasääntöjä täydellisesti, se ei välttämättä riitä suojaamaan tietojasi kyberhyökkäyksiltä.

Tiesitkö, että Sophos-tutkimuksen mukaan 54 prosenttia yrityksistä kokee, etteivät niiden IT-osastot ole tarpeeksi kehittyneitä torjumaan tämän päivän kyberuhkia? Lisäksi vain viisi prosenttia yritysten kansioista on keskimäärin asianmukaisesti suojattu. Kun haluat suojata tietosi ja välttää vahinkoja yrityksesi maineelle ja liiketoiminnalle, meillä on sinulle hyviä uutisia.

Me Sympalla olemme erikoistuneet innovatiivisiin ja tietoturvaa noudattaviin teknologiaratkaisuihin, jotka vapauttavat HR-tiimisi aikaa tärkeämpiin tehtäviin. Kun on kyse turvallisuudesta, GDPR:stä ja lakien noudattamisesta, meidän ISO27001/2-sertifioitu ratkaisumme - maailman tunnetuin standardi tietoturvanhallintajärjestelmille - tarjoaa jo valmiiksi kaiken tarvitsemasi suojan.

Meillä on kahden vuosikymmenen kokemus uusien teknologioiden integraatioista, sekä liiketoimintaprosessien tehostamisesta ympäri maailmaa. Me ymmärrämme yrityksesi tarpeet ja asiantuntijamme auttavat sinua löytämään juuri oikean teknologiaratkaisun.

Varmista vaatimustenmukaisuus tulevaisuudessa

Varmista, että HR-toimintosi on turvallinen nyt - ja pysyy paikallisesti ja maailmanlaajuisesti vaatimustenmukai- sena tiimisi kasvaessa. Sympa käyttää turvallisuusasian- tuntijatiimiä valvoakseen ja suojatakseen tietojasi, jotta pysyt varmasti turvassa 24/7, vuoden jokaisena päivänä.

• Pysy sääntöjen mukaisena automaattisilla GDPR-tiedonpoistotyökaluilla.
• Mukautettavat GDPR-tiedonpoistovälit paikallisten ja maailmanlaajuisten sääntöjen noudattamiseksi.
• Hallinnoi oikeuksia tarvittaessa itse.
• Hallinnoi järjestelmän ylläpitoa helposti organisaatiomuutosten yhteydessä.

Tutustu GDPR-muistilistaamme

Ensimmäinen askel on tunnistaa kaikki paikat, joissa dataa säilytetään. Se voi olla helpommin sanottu kuin tehty, ja siksi olemme luoneet kätevän GDPR-muistilistan HR:lle, joka käy avainkysymykset läpi vaihe vaiheelta. Toiseksi varmista, että tietojenkäsittelijäsi noudattavat GDPR:ää. Aloita jäljittämällä toimittajasi ja keskustele heidän kanssaan säädöksistä. Heidän ISO-sertifikaattinsa antaa osviittaa siitä, että he ovat valmistautuneet tietoturvauhkiin.