Miten tietosuoja-asetukset vaikuttavat järjestelmäintegraatioihin?

Järjestelmäintegraatiot ovat nykyaikaisen liiketoiminnan selkäranka. Ne yhdistävät eri ohjelmistot toisiinsa ja mahdollistavat tiedon sujuvan liikkumisen järjestelmästä toiseen. Mutta mitä tapahtuu, kun tämä tieto sisältää henkilötietoja? Tietosuoja-asetukset, erityisesti GDPR, asettavat selkeitä vaatimuksia sille, miten henkilötietoja saa käsitellä integraatioissa ja automaatioissa.

Tietosuojan huomioiminen integraatioprojekteissa ei ole pelkkää lakitekniikkaa. Se tarkoittaa käytännön arkkitehtuuripäätöksiä, vastuukysymyksiä ja teknisiä valintoja, jotka vaikuttavat suoraan siihen, kuinka turvallisesti ja luotettavasti järjestelmät toimivat yhdessä. Tässä artikkelissa käymme läpi keskeisimmät kysymykset, joita jokaisen integraatioprojektia suunnittelevan organisaation kannattaa pohtia.

Mitä tietosuoja-asetukset tarkoittavat järjestelmäintegraatioissa?

Tietosuoja-asetukset, erityisesti EU:n yleinen tietosuoja-asetus (GDPR), tarkoittavat järjestelmäintegraatioissa sitä, että henkilötietojen siirtäminen järjestelmästä toiseen on suunniteltava ja dokumentoitava huolellisesti. Jokainen integraatiorajapinta, jossa kulkee henkilötietoja, on käsittelytoimenpide, johon tarvitaan lainmukainen peruste.

Käytännössä tämä tarkoittaa, että integraatioita ei voi rakentaa pelkästään teknisten tarpeiden pohjalta. On selvitettävä, mitä tietoja siirretään, minne ne päätyvät, kuinka kauan niitä säilytetään ja kuka niitä käsittelee. Tietosuoja-asetus edellyttää myös, että tietojen käsittely on läpinäkyvää ja että rekisteröidyllä on oikeus tietää, miten hänen tietojaan käytetään.

Integraatioiden näkökulmasta GDPR tuo mukanaan vaatimuksen tietosuojasta jo suunnitteluvaiheessa, englanniksi “privacy by design”. Tämä tarkoittaa, että tietosuoja ei ole jälkikäteen lisätty ominaisuus, vaan se rakennetaan osaksi järjestelmäarkkitehtuuria alusta alkaen.

Mitä henkilötietoja järjestelmäintegraatiot tyypillisesti käsittelevät?

Järjestelmäintegraatiot käsittelevät tyypillisesti asiakastietoja, kuten nimiä, osoitteita ja yhteystietoja, henkilöstöhallinnon tietoja, kuten palkkatietoja ja työsuhdetietoja, sekä terveystietoja sosiaali- ja terveydenhuollon järjestelmissä. Lisäksi integraatiot voivat välittää tunnistetietoja, kuten henkilötunnuksia tai asiakastunnuksia.

Erityisen herkkiä ovat niin sanotut erityiset henkilötietoryhmät, joihin kuuluvat terveystiedot, uskonnolliset vakaumukset, poliittiset mielipiteet ja biometriset tiedot. Näiden käsittelyyn vaaditaan vielä tiukemmat perusteet kuin tavallisten henkilötietojen käsittelyyn.

Monissa integraatioissa henkilötiedot kulkevat taustalla huomaamattomasti. Esimerkiksi laskutusjärjestelmä voi siirtää asiakkaan nimen ja osoitteen kirjanpito-ohjelmistoon automaattisesti. Tällöinkin kyse on henkilötietojen käsittelystä, joka kuuluu tietosuoja-asetusten piiriin riippumatta siitä, onko siirto automatisoitu vai manuaalinen.

Miten GDPR vaikuttaa integraatioiden tekniseen toteutukseen?

GDPR vaikuttaa integraatioiden tekniseen toteutukseen konkreettisesti neljällä tavalla: tietojen salaamisvaatimuksena siirron aikana, pääsynhallinnan toteuttamisena, tietojen minimointiperiaatteen noudattamisena sekä lokitietojen keräämisvaatimuksena käsittelytoimista.

Salaus ja tietoturva

Henkilötietoja sisältävät integraatiorajapinnat on suojattava asianmukaisesti. Käytännössä tämä tarkoittaa TLS-salausta tiedonsiirrossa sekä tarvittaessa tietojen salausta myös tallennusvaiheessa. Avoimet, salaamattomat rajapinnat eivät täytä GDPR:n vaatimuksia.

Tietojen minimointi

GDPR edellyttää, että integraatioissa siirretään vain se tieto, joka on välttämätöntä käyttötarkoituksen kannalta. Jos laskutusjärjestelmä tarvitsee vain asiakkaan nimen ja osoitteen, integraatio ei saisi siirtää mukana henkilötunnusta tai muita ylimääräisiä kenttiä. Tämä tietojen minimointiperiaate on otettava huomioon jo integraation suunnitteluvaiheessa.

Lokitiedot ja jäljitettävyys

Organisaation on pystyttävä osoittamaan, miten henkilötietoja on käsitelty. Integraatioihin on siksi rakennettava riittävä lokitus, josta näkyy, milloin tietoja on siirretty ja minne. Tämä jäljitettävyys on keskeinen osa GDPR:n osoitusvelvollisuutta.

Kuka vastaa tietosuojasta, kun useita järjestelmiä yhdistetään?

Vastuu tietosuojasta jakautuu sen mukaan, kuka määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot. Rekisterinpitäjä on se organisaatio, joka päättää, miksi ja miten tietoja käsitellään. Jos ulkopuolinen toimittaja rakentaa integraation, hänestä tulee usein henkilötietojen käsittelijä, jonka kanssa on tehtävä kirjallinen käsittelysopimus.

Käytännössä monijärjestelmäympäristöissä vastuunjako voi olla monimutkainen. Esimerkiksi pilvipalveluntarjoaja, integraatioalustan toimittaja ja varsinainen ohjelmistotoimittaja voivat kaikki osallistua henkilötietojen käsittelyyn omalta osaltaan. Jokaisen osapuolen rooli on määriteltävä selkeästi ennen projektin käynnistämistä.

Rekisterinpitäjä kantaa viime kädessä vastuun siitä, että kaikki käsittelytoimet ovat lainmukaisia, myös alihankkijoiden suorittamat. Tämä tarkoittaa, että käsittelysopimukset on tehtävä huolellisesti ja toimittajien tietosuojakäytännöt on tarkistettava ennen yhteistyön aloittamista.

Miten tietosuoja huomioidaan ohjelmistorobotiikan integraatioissa?

Tietosuoja ohjelmistorobotiikassa tarkoittaa, että RPA-robotit käsittelevät vain niitä tietoja, joihin niillä on lainmukainen peruste, niiden pääsyoikeudet on rajattu minimiin ja niiden toiminnasta jää riittävä lokijälki. Ohjelmistorobotti voi käsitellä myös arkaluonteisia tietoja, mutta se on tehtävä hallitusti ja dokumentoidusti.

Meillä River IT:llä olemme rakentaneet integraatioita ja automaatioita, joissa henkilötietojen käsittely on huomioitu alusta alkaen. Käytännössä tämä tarkoittaa esimerkiksi sitä, että robotti ei tallenna henkilötietoja paikallisesti, vaan käsittelee ne muistissa ja siirtää ne suoraan kohdejärjestelmään. Näin tietojen altistumisaika ja altistuspinta-ala pysyvät minimissä.

Erityistä huomiota kannattaa kiinnittää siihen, millä tunnuksilla robotti kirjautuu järjestelmiin. Jaetut käyttäjätunnukset tekevät lokien tulkinnasta vaikeaa ja hämärtävät vastuunjakoa. Robotille kannattaa luoda oma, nimetty käyttäjätili, jonka toimintaa voidaan seurata ja jonka oikeudet voidaan rajata tarkasti.

Mitä virheitä tietosuojassa kannattaa välttää integraatioprojekteissa?

Yleisimmät tietosuojavirheet integraatioprojekteissa ovat tietosuojan huomioiminen vasta projektin loppuvaiheessa, liian laajojen käyttöoikeuksien myöntäminen integraatioille, puutteellinen dokumentaatio käsittelytoimista sekä käsittelysopimusten unohtaminen toimittajien kanssa.

Yksi tyypillinen virhe on siirtää integraatiossa enemmän tietoa kuin on tarpeen, koska se on teknisesti helppoa. Kun rajapinta on kerran auki, on houkuttelevaa siirtää kaikki saatavilla olevat kentät kerralla. Tietojen minimointiperiaate kuitenkin edellyttää, että siirretään vain se, mitä oikeasti tarvitaan.

Toinen yleinen ongelma liittyy testausvaiheen tietosuojaan. Integraatioita testataan usein tuotantodatalla, joka sisältää oikeita henkilötietoja. Tämä on tietosuojariskin lisäksi myös GDPR:n vastaista, ellei siihen ole erityistä perustetta. Testaus tulisi tehdä anonymisoidulla tai keinotekoisella testidatalla aina kun se on mahdollista.

Kolmas sudenkuoppa on lokitietojen puuttuminen tai niiden liiallinen laajuus. Jos lokeihin tallennetaan henkilötietoja tarpeettomasti, lokit itsessään muodostuvat tietosuojariskiksi. Lokituksen laajuus ja säilytysaika on suunniteltava yhtä huolellisesti kuin itse integraation tietovirrat.

Tietosuoja-asetusten noudattaminen integraatioprojekteissa ei ole este sujuvalle automaatiolle, vaan pikemminkin sen edellytys. Kun tietosuoja on rakennettu osaksi arkkitehtuuria alusta alkaen, integraatiot toimivat luotettavasti, läpinäkyvästi ja kestävällä tavalla myös pitkällä aikavälillä.