Tammikuun 28. päivä on maailmanlaajuinen yksityisyyden päivä – tilaisuus juhlistaa oikeutta tietosuojaan ja -suojaan, jota monet meistä pitävät nykyään itsestäänselvyytenä. Näin ei tietenkään ole aina ollut. Vasta tänä päivänä vuonna 1981 Euroopan neuvosto allekirjoitti vihdoin Yleissopimus 108, ”yksilöiden suojelusta henkilötietojen automaattisessa käsittelyssä”.
Vaikka eteneminen voi ajoittain olla hidasta, tietosuojalainsäädäntö ei harvoin pysy paikallaan. Tänä vuonna vaatimustenmukaisuuden ammattilaisilla on paljon pohdittavaa, kun Yhdistyneen kuningaskunnan Data (Use and Access) Act (DUAA) -lain eri säännökset tulevat voimaan. He voivat harkita ISO 27701 -standardin käyttöä työnsä tehostamiseksi.
Miksi yksityisyyden kannalta?
Tietoturva ja yksityisyys ovat saman kolikon kaksi puolta. Ilman ihmisten, prosessien ja teknologian mahdollistamaa suojaa mikään organisaatio ei pystyisi täyttämään velvoitteitaan asiakkaiden ja työntekijöiden yksityisyyden suojaan liittyen. Tämä on tärkeää brittiläisille yrityksille GDPR:n yhteydessä, joka antaa sääntelyviranomaisille valtuudet määrätä mahdollisesti suuria sakkoja (jopa 17 miljoonaa puntaa tai 4 % maailmanlaajuisesta liikevaihdosta) vakavista noudattamatta jättämisistä. Mutta on muitakin vakuuttavia liiketoiminnallisia syitä, miksi yksityisyyden tulisi olla strateginen prioriteetti:
- Vakaviin tietomurtoihin liittyvien operatiivisten kustannusten välttäminen. Näihin voivat sisältyä ylimääräiset rahat, joita tarvitaan IT-ylitöiden maksamiseen, kolmannen osapuolen rikostutkinta-asiantuntijoiden ja lakimiestiimien palkkaamiseen sekä asiakkaiden ja sääntelyviranomaisten ilmoittamiseen.
- Mahdollisesti kalliiden ryhmäkanteiden välttäminen merkittävän tietomurron jälkeen
- Asiakasluottamuksen ja -uskollisuuden vahvistaminen. Merkittävä tietomurto voi vaikuttaa vakavasti pitkän aikavälin maineeseen. Mutta päinvastoin, organisaatioilla, jotka asettavat asiakkaiden yksityisyyden ja läpinäkyvyyden etusijalle tietojen käsittelyyn nähden, on loistava tilaisuus rakentaa tiiviimpiä suhteita asiakkaisiinsa.
- Kilpailuedun ja laajentumisen edistäminen ottamalla käyttöön parhaita käytäntöjä koskevat tietosuojastandardit, kuten ISO 27701 -standardi, jotka voivat auttaa rauhoittamaan sääntelyviranomaisia, kumppaneita ja asiakkaita uusilla markkinoilla sekä tehostamaan sääntelyn noudattamista.
Mitä uutta DUAA:ssa on vuonna 2026?
IO:n (entinen ISMS.online) tutkimuksen mukaan Tietoturvan tilaraportti 2025Yhdysvalloissa ja Isossa-Britanniassa niiden yritysten osuus, jotka vaativat toimittajiltaan GDPR-yhteensopivuutta, nousi 9 prosentista 34 prosenttiin vuosien 2024 ja 2025 välillä. Tämä havainnollistaa sekä vaatimustenmukaisuuden taustalla olevia liiketoiminnan ajureita että sitä, että työtä on vielä paljon tehtävänä, ennen kuin asetus on täysin omaksuttu koko liike-elämässä.
Uusi DUAA-laki laadittiin osittain vastauksena huoleen siitä, että GDPR-asetuksen noudattaminen merkitsisi yrityksille liikaa byrokratiaa. yksi tutkimus väittää että alle 2 % organisaatioista on valmiita uuteen lakiin. Monet (47 %) mainitsevat suurimpina haasteinaan hallinnon, koulutuksen ja toimittajien hallinnan päivitykset. Tämän on muututtava. Tänä vuonna odotettavissa oleviin tietosuojalain muutoksiin kuuluvat:
- Sallivammat säännöt automatisoidulle päätöksenteolle. Näiden avulla organisaatiot voivat turvautua laajempaan valikoimaan laillisia perusteita tehdessään yksilöitä koskevia päätöksiä, kunhan suojatoimet ovat käytössä.
- Lievennetty lainsäädäntö laajentaa olosuhteita, joissa vähäriskisiä evästeitä voidaan käyttää ilman nimenomaista suostumusta
- ”Tunnustettujen oikeutettujen etujen” käyttöönotto – uusi oikeusperusta tietojen käsittelylle yleisen edun mukaisiin tarkoituksiin (esim. rikosten ehkäisy)
- Uudet vaatimukset rekisteröityjen valitusten käsittelylle, mukaan lukien sähköiset valituslomakkeet ja valitusten vastaanottaminen 30 päivän kuluessa
- Tietosuoja- ja sähköisen viestinnän asetusten (evästeitä koskevat) nojalla määrättävien mahdollisten sakkojen korotus GDPR:n mukaiseksi (17.5 miljoonaa puntaa tai 4 % liikevaihdosta)
- Uusi vaatimus noudattaa ICO:n lasten sääntöjä, jos lapset todennäköisesti käyttävät verkkopalveluita
Kaikki tämä edellyttää valitusten käsittelyyn liittyvien liiketoimintaprosessien päivittämistä ja lasten yksityisyyden suojaa koskevien velvoitteiden arviointia. Mahdollisesti korkeiden sakkojen vuoksi organisaatioiden, joilla on sääntöjenvastaisia eväste- ja sähköisen markkinoinnin käytäntöjä, tulisi myös asettaa PECR-vaatimusten noudattaminen etusijalle.
Edward Machin, Ropes & Grayn data-, yksityisyys- ja kyberturvallisuusryhmän lakimies, jakaa seuraavat kaksi päivämäärää vuoden 2026 kalenteriin:
Tammikuu 2026 (noin kuusi kuukautta kuninkaallisen hyväksynnän jälkeen)Tietosuojalainsäädännön tärkeimmät muutokset, jotka on esitetty DUAA:n osassa 5, tulevat voimaan, lukuun ottamatta rekisteröityjen valitusmenettelyn muutoksia.
Vahvistetaan vuodelle 2026Teknistä infrastruktuuria edellyttävät tai pidempää läpimenoaikaa vaativat säännökset tulevat voimaan, mukaan lukien uuteen teknologiaan (esim. tietyt rekisterit tai palvelut) ja rekisteröityjen valitusmenettelyyn liittyvät toimenpiteet.
”Organisaatioiden tulisi jakaa DUAA-valmistelunsa säännöksiin, jotka edellyttävät niiltä tiettyjä toimia, kuten rekisteröityjen valitusmenettelyn toteuttamista, ja säännöksiin, jotka mahdollistavat enemmän joustavuutta nykyisiin käytäntöihin verrattuna, kuten rekisteröidyn tiedonsaantipyyntöjä, automatisoitua päätöksentekoa ja evästeitä koskevat säännöt”, hän kertoo IO:lle.
”Joka tapauksessa DUAA edellyttää useimmissa tapauksissa organisaatioiden vaatimustenmukaisuusohjelmien kehittämistä kokonaisvaltaisten muutosten sijaan. Organisaatioilla tulisi kuitenkin erityisesti olla suunnitelma osan 5 vaatimusten täyttämiseksi, jotta ne eivät katoa uuden vuoden sotkuissa.”
ISO 27701 Täysi-ikäiseksi tuleminen
Vaatimustenmukaisuudesta vastaaville tiimeille, jotka jo miettivät, miten he selviävät uudesta sääntelytulvasta tänä vuonna, on hyviä uutisia. ISO 27701 on nyt erillinen standardi, eikä ISO 27001 -standardin laajennus. Se tarkoittaa, että organisaatioilla on edullisempi, nopeampi ja joustavampi tapa saavuttaa parhaat käytännöt tiedon käsittelyssä ja prosessoinnissa.
ISO 27701 tarjoaa jäsennellyn kehyksen yksityisyyden suojan tiedonhallintajärjestelmän (PIMS) perustamiseen, toteuttamiseen, ylläpitoon ja jatkuvaan parantamiseen. Se sisältää toiminnallisia hallintakeinoja seuraaville:
- GDPR:n (ja DUAA:n) sääntelemien henkilötietojen (PII) suojaaminen
- Lakien noudattaminen, läpinäkyvyys ja rekisteröityjen oikeudet (henkilökohtaisesti tunnistettujen tietojen rekisterinpitäjille)
- Sopimusten noudattaminen ja käsittely (henkilökohtaisten tietojen käsittelijöille)
Rob Rachwald, Zero Networksin brändi- ja tuotemarkkinoinnin varatoimitusjohtaja, kuvailee ISO 27701 -standardia "täydelliseksi keittokirjaksi" DUAA:n vaatimusten täyttämiseen.
”Vaikka DUAA tekee Yhdistyneen kuningaskunnan GDPR:stä käytännöllisemmän, se vaatii vahvempaa vastuuvelvollisuutta ja näyttöä hallinnosta, erityisesti rekisteröidyn tiedonsaantipyyntöjen hallinnassa ja ADM:n suojatoimien toteuttamisessa”, hän kertoo IO:lle.
”ISO 27701 tarjoaa maailmanlaajuisesti tunnustetun henkilötietojen hallintajärjestelmän (PIMS) suunnitelman, joka jo yksityiskohtaisesti määrittelee rekisteröityjen oikeuksia, datan kartoitusta ja sisäänrakennettua yksityisyyttä koskevat vaaditut prosessit. Tämä mahdollistaa organisaatioille ”kohtuullisen ja oikeasuhteisen” vaatimustenmukaisuuden osoittamisen välittömästi ja siten sääntelytaakan muuttamisen auditoitavaksi.”
Standardi on siksi yhä tärkeämpi pilari kaikissa tehokkaissa riskienhallintamenetelmissä ISO 27001- ja 42001-standardien rinnalla. Yksityisyyden suojaan liittyvät toimet linkittyvät yhä enemmän tietoturvan ja tekoälyn hallinnan toimiin. Organisaatiot, jotka tarkastelevat kaikkia kolmea kokonaisvaltaisesti, ovat parhaassa asemassa käyttämään vaatimustenmukaisuutta liiketoiminnan menestyksen ponnahduslautana vuonna 2026.
