Tietosuojavastaavan koulutus kannattaa valita sen perusteella, mitä tehtävässä pitää osata seuraavaksi. EU:n tietosuojalainsäädäntöön keskittyvä sertifiointi, tietosuojan johtamisen koulutus ja tekninen yksityisyydensuoja palvelevat eri tarpeita. Todistus voi auttaa osoittamaan osaamista, mutta se ei yksin osoita valmiutta toimia juuri tietyn organisaation tietosuojavastaavana.
Tietosuojavaltuutetun toimiston mukaan tietosuojavastaavalle ei ole säädetty tiettyä tutkintovaatimusta. Valinnassa huomioidaan ammattipätevyys, tietosuojalainsäädännön ja käytäntöjen tuntemus sekä valmius tehtävien hoitamiseen. Käsittelyn luonne voi vaikuttaa tarvittavaan osaamistasoon. Viranomaisen vastaukset tietosuojavastaavien koulutuksesta.
Tämä opas vertailee koulutuspolkuja ja näyttää kuvitteellisen Koulutuskaari Oy:n täytetyn valinnan. Yrityksen osaamishavainnot ja aikataulu ovat esimerkkejä. Tietosuojavastaavan nimittämisen edellytykset ja asema käsitellään erikseen oppaassa tietosuojavastaavan rooli ja tehtävät.
Erota koulutus, koe ja sertifiointi
Koulutuksen osallistumistodistus osoittaa tavallisesti osallistumisen määriteltyyn opetukseen. Osaamiskoe arvioi siinä määriteltyjä tietoja tai taitoja. Henkilösertifioinnissa pitää selvittää myöntäjä, arviointimenettely, soveltamisala ja ylläpidon ehdot. Näitä ei voi päätellä pelkästä todistuksessa esiintyvästä sanasta ”DPO”.
Koulutuskaari saa kaksi tarjousta. Ensimmäinen sisältää verkkoluennot ja osallistumistodistuksen. Toinen sisältää erillisen kokeen, mutta kurssin hinta ei sisällä koemaksua. Hankintavastaava muuttaa vertailun rakennetta: hän kirjaa opetuksen, kokeen ja mahdollisen sertifikaatin ylläpidon omille riveilleen. Näin tarjoukset eivät näytä perusteettomasti saman sisältöisiltä.
Myös henkilön sertifikaatti ja organisaation tietosuojan vaatimustenmukaisuus ovat eri asioita. Koulutuskaari ei käytä työntekijän saamaa tunnusta väitteenä siitä, että kaikki sen palvelut olisi sertifioitu GDPR:n mukaisiksi. Se kuvaa henkilön osaamisen ja yrityksen omat menettelyt erikseen.
CIPP/E: EU:n tietosuojan oikeudellinen perusta
IAPP:n CIPP/E painottuu eurooppalaiseen tietosuojalainsäädäntöön, käsitteisiin ja henkilötietojen suojaamisen käytännön perusteisiin. IAPP julkaisee aihealueita kuvaavan Body of Knowledge -asiakirjan ja kokeen painotuksia kuvaavan Exam Blueprintin. Ne ovat parempi vertailupohja kuin koulutuksen markkinointiteksti. CIPP/E:n virallinen kuvaus.
Tämä suunta voi sopia henkilölle, joka tuntee organisaation toiminnan mutta tarvitsee systemaattisen oikeudellisen pohjan. Koulutuskaaren uusi asiantuntija tunnistaa asiakkaiden tietopyynnöt, mutta sekoittaa harjoituksessa käsittelyperusteen ja siirtoperusteen. Hänen ensimmäinen oppimistavoitteensa on oppia erottamaan nämä kysymykset ja perustelemaan ratkaisu oikeasta säännöksestä.
EU:n sääntelyä painottava koe ei silti yksin varmista Suomen työelämän erityissääntöjen hallintaa. Koulutuskaaren ohjelmaan lisätään sen omia henkilöstö- ja rekrytointiprosesseja koskeva työpaja. Työelämän tarpeellisuusvaatimus on esimerkki paikallisesta aiheesta, jonka soveltaminen pitää osata omassa arjessa.
CIPM: tietosuojan hallinta osaksi toimintaa
IAPP kuvaa CIPM:n tietosuojaohjelman perustamiseen, ylläpitämiseen ja johtamiseen liittyväksi osaamiseksi. Sen painotus on ohjelman käytännön elinkaaressa. Se täydentää oikeudellista tietoa tilanteessa, jossa toimintamallit, vastuut ja seuranta pitää saada toimimaan. CIPM:n virallinen kuvaus.
Koulutuskaaren kokenut juristi osaa tulkita tarkastusoikeutta, mutta tietopyynnöt jäävät kolmen tiimin väliin. Tässä tilanteessa lisäarvo voi syntyä prosessin rakentamisen ja seurannan koulutuksesta. Harjoituksen tulokseksi määritellään yksi yhteinen vastaanottokanava, vastuunjako ja tapa havaita määräajan lähestyminen.
Koulutuksen soveltamisessa huomioidaan tietosuojavastaavan riippumattomuus. Hän voi neuvoa ja valvoa toimintamallia, mutta organisaation päätösvalta ja toteutusvastuut on järjestettävä ilman eturistiriitaa. Kurssin johtamissisältö ei automaattisesti tarkoita, että tietosuojavastaavalle pitäisi siirtää kaikki käsittelyn tarkoituksia ja keinoja koskevat päätökset.
CIPT: tekninen toteutus ja suunnitteluratkaisut
IAPP:n CIPT käsittelee teknisiä ratkaisuja, joilla tietosuoja sisällytetään tuotteisiin ja palveluihin. Virallisessa kuvauksessa korostuvat muun muassa minimointi, pääsyn rajaaminen, salaus ja yhteistyö teknisten sekä muiden toimintojen kanssa. CIPT:n virallinen kuvaus.
Koulutuskaaren kehittäjä ymmärtää tietokannan ja rajapinnan, mutta ei huomaa analytiikkatunnisteen pysyvän samana kaikissa palveluissa. Hänen harjoituksensa koskee pseudonymisointia ja tunnisteavaimia: mikä tunniste tarvitaan mihinkin tarkoitukseen, kuka voi yhdistää sen henkilöön ja miten kopiot käsitellään.
Tekninen suunta on hyödyllinen myös juristille, joka osallistuu järjestelmähankintoihin mutta ei vielä osaa arvioida toimittajan salausta koskevan vastauksen merkitystä. Salauksen ja avainhallinnan käytännön kysymys voi olla, kenellä on pääsy purkuavaimeen. Pelkkä tuotteen sana ”encrypted” ei vastaa siihen.
Täytetty vertailu yhdelle osaamistarpeelle
Koulutuskaari valitsee koulutusta asiantuntijalle, joka on tehnyt tietosuojan tukitehtäviä kaksi vuotta. Hän osaa kirjoittaa selosteita, mutta tarvitsee vahvemman perustan päätösten arvioimiseen. Yrityksellä ei ole tavoitetta kerätä mahdollisimman monta tunnusta samana vuonna.
| Valintaperuste | Lähtöhavainto | Valinta esimerkissä |
|---|---|---|
| Oikeudellinen perustelu | Harjoituksessa suostumus valitaan kaikkiin käyttötarkoituksiin | CIPP/E-aihealueisiin perustuva opiskelu ensimmäiseksi |
| Prosessiosaaminen | Tietopyyntöjen työnkulku tunnetaan jo | Johtamiskoulutus myöhemmäksi, jos seurannassa ilmenee puutteita |
| Tekninen ymmärrys | Avainhallinnan vastuut eivät avaudu sopimuksesta | Kohdennettu työpaja IT-tiimin kanssa heti |
| Suomen erityissäännöt | Rekrytoinnin lisätiedon hankkiminen epäselvää | Paikallinen rekrytointiharjoitus osaksi ohjelmaa |
| Näyttö osaamisesta | Osallistumistodistuksia on, perusteltuja ratkaisuja vähän | Kirjallinen tapausratkaisu ja palaute ennen koetta |
Valinnan lopputulos on rajattu: ensin oikeudellinen perusta ja kaksi organisaatiokohtaista harjoitusta. CIPM- tai CIPT-sertifiointia ei hylätä huonona, vaan niiden ajankohta sidotaan havaittuun tarpeeseen. Toisella työntekijällä, esimerkiksi kokeneella tietosuojajuristilla, järjestys voisi olla perustellusti erilainen.
Käsittelyperusteen valintaa käytetään ensimmäisen harjoituksen runkona. Asiantuntija joutuu selittämään, miksi palvelusopimuksen toteuttaminen ja uutiskirjeen lähettäminen eivät automaattisesti tarvitse samaa perustetta. Palautteessa arvioidaan myös kykyä tunnistaa, milloin käytettävissä olevat tiedot eivät vielä riitä päätökseen.
Tarkista kokeen käytännöt ennen ostamista
IAPP:n ajantasainen UKK ilmoittaa CIPP/E-, CIPM- ja CIPT-kokeisiin 90 kysymystä ja 2,5 tuntia. Maksullinen valmennus ei ole kokeeseen pääsyn yleinen edellytys eikä takaa läpäisyä. Myös kokeen kieli, ajanvaraus ja mahdolliset erityisjärjestelyt on tarkistettava. Sertifikaatin ylläpitoon liittyvät täydennyskoulutusvaatimukset ja maksu tai jäsenyys muodostavat oman kokonaisuutensa. IAPP:n kokeita ja ylläpitoa koskeva UKK.
Koulutuskaaren työntekijä harjoittelee englanninkielisten tapausten lukemista ennen koeajan valintaa. Hän ymmärtää käsitteet suomeksi, mutta hitaus pitkän tehtäväkuvauksen lukemisessa heikentää harjoitustulosta. Ratkaisuksi valitaan käsitteiden rinnakkainen sanasto ja aikarajatut harjoitukset, ei uusi kokonaan eri sertifikaatti.
Hankinnassa selvitetään myös, kuinka kauan verkkoaineisto on käytettävissä ja mitä tapahtuu sairauspoissaolon siirtäessä koetta. Näiden ehtojen merkitys on käytännöllinen: koulutus voi jäädä hyödyntämättä, jos opiskeluaika suunnitellaan vasta aineiston käyttöajan päättyessä. Tarjouksen sisältöä ei arvioida pelkän luentopäivien määrän perusteella.
Budjetoi työaika ja soveltaminen
Koulutuksen kokonaiskustannukseen kuuluvat opetus, materiaalit, koe, mahdollinen uusinta ja ylläpito. Lisäksi tarvitaan opiskeluaikaa ja työjärjestelyjä. Julkaisemattomia tai eri tavalla koottuja hintoja ei kannata muuttaa yhdeksi näennäisen tarkaksi markkinahinnaksi. Koulutuskaari pyytää tarjoukset samoilla sisältöriveillä ja merkitsee, sisältyykö vero ja mitä valuuttaa käytetään.
Yritys varaa esimerkissään kahdeksan viikon ajaksi kaksi kahden tunnin opiskelujaksoa viikossa. Tämä 32 tunnin alkuvaraus on yrityksen oma suunnitelma, ei väite kokeeseen riittävästä yleisestä valmistautumisajasta. Ensimmäisen harjoituksen jälkeen suunnitelmaa pidennetään, koska kansainväliset siirrot vaativat enemmän työtä. Kalenteriin varataan myös palautekeskustelu eikä vain itsenäistä lukemista.
Tietosuojavaltuutetun toimisto painottaa riittäviä resursseja ja mahdollisuutta osaamisen päivittämiseen. Koulutustarpeessa huomioidaan tehtävän kannalta olennainen uusi sääntely. Pelkkä koulutuksen ostaminen ei auta, jos henkilöllä ei ole aikaa osallistua tai soveltaa opittua. Ohjeet tietosuojavastaavan nimittäneelle organisaatiolle.
Näytä osaaminen oikean työn kaltaisessa tilanteessa
Koulutuskaari antaa harjoitukseksi kuvitteellisen palveluhankinnan. Toimittaja käsittelee koulutukseen ilmoittautuvien tietoja, käyttää ulkomaista tukea ja ehdottaa pitkää lokien säilytystä. Osallistujan pitää tunnistaa avoimet kysymykset ja pyytää lisätiedot. Häneltä ei odoteta perusteetonta varmuutta kaikesta yhdellä lukukerralla.
| Harjoituksen kohta | Ensimmäinen vastaus | Palautteen jälkeinen hyväksyttävä parannus |
|---|---|---|
| Toimittajan rooli | Kaikki toimittajat ovat käsittelijöitä | Rooli arvioidaan kunkin tarkoituksen mukaan |
| Kansainvälinen tuki | EU-palvelin poistaa siirtokysymyksen | Erillisen ulkomaisen tahon pääsy selvitetään |
| Säilytys | Kaikki tiedot säilytetään sopimuksen ajan | Aineistot ja käyttötarkoitukset erotetaan |
| Vaikutustenarviointi | Lomake täytetään hankinnan jälkeen | Tarve arvioidaan ennen suunniteltua käsittelyä |
Harjoitus yhdistää käsittelijän ja rekisterinpitäjän roolit, siirtovaikutustenarvioinnin ja vaikutustenarvioinnin käytännön toteutuksen. Palaute kertoo, pystyykö osallistuja yhdistämään tiedon eri osa-alueita. Pelkkä oikein muistettu artiklan numero ei vielä osoita tätä valmiutta.
Huolehdi osaamisen ylläpidosta ja sijaisuudesta
Koulutuskaari sopii, että uusi viranomaisratkaisu käsitellään tiimissä silloin, kun se muuttaa yrityksen omaa prosessia. Asiantuntija kirjoittaa lyhyen soveltamismuistion: mitä ratkaisussa arvioitiin, mikä sen soveltamisala oli ja mitä oman toiminnan osaa pitää tarkistaa. Tällä vältetään yksittäisen ratkaisun muuttaminen perusteettomasti kaikkia tilanteita koskevaksi säännöksi.
Sijainen osallistuu tietopyyntö- ja loukkausharjoituksiin. Hänen ei tarvitse olla käynyt täsmälleen samaa kurssia, mutta tehtävien hoitamisen on onnistuttava poissaolon aikana. Tietoturvaloukkauksen käsittelyprosessi on hyvä yhteinen harjoitus, koska siinä yhdistyvät epävarmat lähtötiedot, määräajat ja eri tiimien vastuut.
Koulutusvalinnan onnistumista tarkastellaan myöhemmin työssä syntyneiden ratkaisujen perusteella. Jos hankinnan riskit tunnistetaan aikaisemmin ja perustelut ovat tarkistettavia, koulutus on tukenut tehtävää. Sertifikaatti voi täydentää tätä näyttöä. Se ei korvaa riippumatonta asemaa, riittäviä resursseja tai kykyä kertoa johdolle perustellusti, mikä asia on vielä ratkaisematta.