Lähetitkö tänään henkilötunnuksen sähköpostin liitteenä?
Lähetitkö tänä aamuna asiakkaan henkilötunnuksen sähköpostin liitteenä?
Et varmaan ajatellut asiaa sen enempää. Liite kiinni ja lähetä — näin se on aina tehty.
Sitä on kuitenkin vaikea perustella tietosuoja-asetuksen 32 artiklan mukaiseksi. Artikla vaatii riskiä vastaavan turvallisuustason ja mainitsee salauksen nimenomaisena esimerkkitoimenpiteenä — ja henkilötunnus liitteessä on juuri sitä tietoa, jonka riski on ilmeinen.
Sanotaan tarkasti: 32 artikla on riskiperusteinen eikä määrää salausta jokaiseen tilanteeseen. Se asettaa kysymyksen, johon pitää pystyä vastaamaan: miksi juuri tämä lähetys oli riittävän suojattu?
Tietosuojalain 29 § koskee samaa tietoa toisesta suunnasta: henkilötunnusta ei tule tarpeettomasti merkitä rekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin. Se ei kerro, miten liite lähetetään — mutta se kertoo, kannattaako henkilötunnuksen ylipäätään olla siinä liitteessä.
Eikä valvonta ole teoriaa.
Tietosuojavaltuutetun seuraamuskollegio määräsi matkatoimistolle 6 500 euron seuraamusmaksun, kun henkilötietoja sisältävä lomake käytti suojaamatonta verkkoyhteyttä ja lomakkeita säilytettiin avoimella verkkopalvelimella.
Pieni yritys. Todellinen summa — ei teoreettinen maksimisakko.
Korjaus vie viisi minuuttia:
- sisältö salataan selaimessasi ennen lähetystä
- emme voi lukea viestejäsi, koska purkuavain ei koskaan saavu palvelimellemme
- jokaisesta vaiheesta syntyy aikaleimattu kirjaus compliance-kansioon
Outlookissa se on yhden napin muutos: liitenapin sijaan klikkaat Salamailer.