Tietosuoja-auditointi on monelle pk-yrittäjälle, yhdistyksen taloudenhoitajalle ja taloyhtiön hallitukselle edessä silloin, kun asiakas, rahoittaja tai yhteistyökumppani pyytää näyttöä siitä, että henkilötietoja käsitellään EU:n tietosuoja-asetuksen (GDPR) mukaisesti. Tämä artikkeli kertoo, miten tietosuoja-auditointi toteutetaan käytännössä, mitä auditointiraportti sisältää ja miten tuloksia kannattaa hyödyntää. Kun prosessi on etukäteen tuttu, auditoinnista saa enemmän irti ja yllätyksiä tulee vähemmän.
Mitä tietosuoja-auditointi on – ja mitä se ei ole
Tietosuoja-auditointi on riippumaton arviointi siitä, täyttääkö organisaation henkilötietojen käsittely GDPR:n ja Suomen tietosuojalain (1050/2018) vaatimukset. Siinä tarkastetaan dokumentaatio, prosessit ja tekninen toteutus. Kyse on eri asiasta kuin pelkästä paperien läpikäynnistä.
Yleinen väärinkäsitys on, että lakisääteinen tilintarkastus kattaisi myös tietosuojan. Se ei kata. Tilintarkastuksessa tarkastetaan kirjanpito, tilinpäätös ja hallinto tilintarkastuslain (1141/2015) ja ISA-standardien mukaisesti. Tilintarkastaja voi kyllä havaita tietojärjestelmiin liittyviä riskejä ja mainita niistä huomautuskirjeessä, mutta puhdas tilintarkastuskertomus ei tarkoita, että GDPR-asiat olisivat kunnossa.
Toinen myytti on, että tietosuoja-auditointi olisi kaikille pakollinen. GDPR ei velvoita ulkoiseen auditointiin. Se velvoittaa rekisterinpitäjää osoittamaan, että käsittely on asetuksen mukaista (osoitusvelvollisuus, 5 artiklan 2 kohta). Auditointi on yksi tehokkaimmista tavoista kerätä tämä näyttö.
Tietosuoja-auditoinnin toteutus vaihe vaiheelta
Kokenut auditoija aloittaa rajauksesta. Koko organisaation kattava arviointi on eri mittaluokan työ kuin yksittäisen asiakasrekisterin tai palkanlaskentaprosessin tarkastus. Tyypillinen eteneminen näyttää tältä:
1. Laajuuden ja kriteerien sopiminen. Sovitaan, mitkä käsittelytoimet, järjestelmät ja toimipisteet ovat mukana ja arvioidaanko pelkkää GDPR:ää vai myös esimerkiksi ISO/IEC 27001- tai ISO/IEC 27701 -vaatimuksia. Ehdot kirjataan toimeksiantokirjeeseen.
2. Dokumentaation läpikäynti. Seloste käsittelytoimista (30 artikla), tietosuojaselosteet, henkilötietojen käsittelysopimukset (DPA), vaikutustenarvioinnit (DPIA) ja tietoturvapolitiikat.
3. Haastattelut ja prosessikävelyt. Henkilöstöltä kysytään, miten tietopyyntö käsitellään tai mitä tehdään, jos kannettava katoaa.
4. Tekninen testaus. Käyttöoikeudet, lokitus, varmuuskopiot, salaus ja poistokäytännöt otantana.
5. Havaintojen arviointi ja raportointi. Havainnot luokitellaan riskin mukaan ja niistä keskustellaan johdon kanssa ennen loppuraporttia.
Pienessä organisaatiossa työ kestää usein 1-3 viikkoa kalenteriaikaa, keskisuuressa 4-8 viikkoa. Aikataulua venyttää lähes aina sama asia: aineistot eivät ole valmiina. Kannattaa katsoa etukäteen, mitä aineistopyynnössä tyypillisesti kysytään.
Käytännön esimerkki pk-yrityksestä
Tyypillinen tilanne: tamperelainen 25 hengen ohjelmistoyritys tavoittelee sopimusta suuren kotimaisen asiakkaan kanssa, ja asiakkaan hankintaosasto vaatii tietosuoja-arvioinnin raportin. Yrityksellä on tietosuojaseloste verkkosivuillaan ja muutama Word-tiedosto ohjeista.
Auditoinnissa paljastuu tavallisesti kolme asiaa. Käsittelytoimien seloste puuttuu tai on vanhentunut. Alihankkijoiden, kuten pilvipalvelun ja CRM-järjestelmän toimittajan, kanssa ei ole kaikilta osin asianmukaisia käsittelysopimuksia. Entisten työntekijöiden tunnukset ovat edelleen aktiivisina. Mikään näistä ei ole katastrofi, mutta jokainen olisi tietoturvaloukkauksen sattuessa vaikea selittää Tietosuojavaltuutetun toimistolle.
Raportointi – mitä tietosuoja-auditoinnin raportti sisältää
Raportti on auditoinnin varsinainen tuote, ja sen rakenne vaikuttaa siihen, mitä sillä voi tehdä. Hyvä raportti sisältää ainakin tiivistelmän johdolle, laajuuden ja käytetyt kriteerit, tarkastusmenetelmät, havainnot riskiluokituksineen sekä suositukset ja ehdotetun aikataulun korjauksille.
Havainnot luokitellaan yleensä kolmeen tai neljään tasoon, esimerkiksi kriittinen, korkea, keskitaso ja matala. Kriittinen havainto tarkoittaa yleensä suoraa riskiä rekisteröidyille tai selvää lainvastaisuutta, kuten arkaluonteisten tietojen säilyttämistä salaamattomana jaetulla levyllä.
Raportin muoto riippuu käyttötarkoituksesta. Sisäiseen kehitykseen riittää konsultointiraportti, jossa ei anneta varmuutta. Jos raportti annetaan ulkopuolisille, esimerkiksi asiakkaille, käytetään usein ISAE 3000 -standardin mukaista varmennusraporttia. Palveluorganisaatioissa, kuten tilitoimistoissa ja palkanlaskentapalveluissa, kontrollien kuvausta varmennetaan usein ISAE 3402 -raportilla. Niissä tarkastajan johtopäätös on muotoiltu tarkasti ja vastuut rajattu.
Raportin vastaanottajan kannattaa lukea laajuusosio ensin. Raportti, jossa todetaan ”ei merkittäviä havaintoja”, voi koskea vain yhtä järjestelmää.
Kuka voi tehdä auditoinnin ja mitä se maksaa
Tietosuoja-auditointia ei ole Suomessa rajattu tietylle ammattikunnalle. Sitä tekevät Big Four -yhtiöiden (KPMG, PwC, EY, Deloitte) riskienhallinta- ja kyberyksiköt, keskisuuret toimijat kuten BDO ja Grant Thornton, erikoistuneet tietoturvayritykset sekä asianajotoimistot. Varmennusraportin ISAE-standardien mukaan antaa yleensä tilintarkastusyhteisö.
Pätevyyttä kannattaa arvioida sertifikaattien perusteella: CISA (IT-tarkastus), CIPP/E (eurooppalainen tietosuojalainsäädäntö) ja ISO 27001 Lead Auditor ovat yleisimmät. HT- tai KHT-pätevyys ei sellaisenaan kerro tietosuojaosaamisesta.
Jos sama yhteisö on tilintarkastajasi, riippumattomuus on syytä arvioida etukäteen, erityisesti jos se on myös rakentanut tietosuojaprosessisi. Aiheesta lisää artikkelissa neuvontapalvelut ja tarkastus samalta toimijalta.
Hinnat vaihtelevat laajuuden mukaan. Suuntaa-antavasti pienen organisaation rajattu arviointi maksaa noin 3 000-8 000 €, keskisuuren yrityksen kattava auditointi 10 000-30 000 € ja ISAE-varmennusraportti tätä enemmän.
Yleisimmät virheet tietosuoja-auditoinnissa
Liian laaja tai epämääräinen rajaus. ”Tarkastetaan kaikki” johtaa pinnalliseen tulokseen ja suurempaan laskuun. Riskialtteimmat käsittelyt, kuten terveystiedot, asiakasrekisteri ja rekrytointi, kannattaa priorisoida.
Auditointi korvaa korjaukset. Raportti mapissa ei paranna mitään. Ilman vastuuhenkilöä ja määräaikaa jokaiselle havainnolle sama lista toistuu seuraavassa arvioinnissa 2-3 vuoden päästä.
Alihankkijat unohdetaan. Suurin osa henkilötiedoista on käytännössä kolmannen osapuolen järjestelmissä, kuten Microsoft 365:ssä, palkanlaskentapalvelussa tai verkkokaupan alustalla. Käsittelysopimukset ja tietojen siirrot EU:n ulkopuolelle kuuluvat ytimeen.
Poikkeus yleisohjeeseen: hyvin pienelle yhdistykselle, jolla on vain jäsenrekisteri, ulkoinen auditointi on harvoin perusteltu. Huolellinen itsearviointi Tietosuojavaltuutetun toimiston materiaalien avulla riittää usein.
UKK
Onko tietosuoja-auditointi lakisääteinen?
Ei yleisesti. GDPR edellyttää osoitusvelvollisuutta ja säännöllistä teknisten ja organisatoristen toimenpiteiden arviointia (32 artikla), mutta ei määrää ulkoista auditointia. Asiakassopimukset, toimialan sääntely tai kyberturvallisuuslaki (NIS2) voivat kuitenkin edellyttää vastaavaa arviointia.
Kuinka usein tietosuoja-auditointi kannattaa tehdä?
Tavallinen käytäntö on kattava arviointi 2-3 vuoden välein ja kevyempi seuranta vuosittain. Uusi järjestelmä, yrityskauppa tai tietoturvaloukkaus on syy arvioida asia uudelleen aiemmin.
Voiko tilintarkastaja tehdä tietosuoja-auditoinnin?
Voi, jos hänellä tai yhteisöllä on tarvittava IT- ja tietosuojaosaaminen ja riippumattomuus on arvioitu. Varmennusraportit ISAE-standardien mukaan ovat tyypillisesti tilintarkastusyhteisöjen palvelua.
Lopuksi: raportista toimenpiteiksi
Tietosuoja-auditoinnin arvo syntyy vasta korjaavista toimenpiteistä. Sovi laajuus tarkasti, valmistele aineistot etukäteen, vaadi raportilta selkeä riskiluokitus ja nimeä havainnoille omistajat heti loppukokouksessa. Säilytä raportti ja korjausten dokumentaatio, sillä ne toimivat näyttönä osoitusvelvollisuuden täyttämisestä.
Tämä artikkeli on yleisluontoinen eikä korvaa oikeudellista neuvontaa. Konkreettisissa tilanteissa käänny pätevän tilintarkastajan tai tietosuoja-asiantuntijan puoleen. Tarkista ajantasaiset säädökset ja ohjeet Tietosuojavaltuutetun toimiston, Patentti- ja rekisterihallituksen (PRH) sekä Suomen Tilintarkastajat ry:n verkkosivuilta.