Europarlamenttivaalit on käyty. Vaalipäivänä sää oli vielä ihanan kesäinen. Lämpöä ei pitkään riittänyt.

Nyt, kun kirjoitan tätä tekstiä, ulkona sataa vettä ja lämpötila on lähempänä nollaa kuin hellelukemia. Eilen piti ottaa toimiston kaapista talvitakki ja kävellä se päällä kotiin. Samanlaisen reaktion voi aiheuttaa EU:n uusi tietosuoja-asetus suomalaisen yritysjohdon ja yritysten tietosuojavastaavien mielissä.

Tietosuoja-asetusta ei saatu vietyä läpi edellisen parlamentin ja komission aikana, vaan sen käsittely alkaa uudestaan. Kuinka kauan se kestää? Olen lakimies, en ennustaja, joten en uskalla arvailla.

Uusi parlamentti ja komissio aloittavat kuitenkin työnsä pian, ja asia alkaa taas edetä. Asianajajapiireissä ollaan nyt selvästi hyvin huolestuneita siitä, ovatko yritykset valmiita uuteen tietosuoja-asetukseen tai tiedetäänkö niissä ylipäänsä, että uudistus voi aiheuttaa niille ongelmia.

Vanha tietojärjestelmä voi tulla kalliiksi

Suomalaisten yritysten tietojärjestelmät on rakennettu viimeisten noin 30 vuoden aikana. Jotkin yritykset käyttävät edelleen tietojärjestelmiä, jotka on tehty 1970-luvun lopulla. Näissä järjestelmissä käsitellään henkilötietoja.

Erityisesti vanhojen järjestelmien kannalta asetus on hyvin ongelmallinen. Asetuksen mukainen sääntelyhän ei koske pelkästään uusia tietojärjestelmiä vaan kaikkia tietojärjestelmiä. Vanhojen tietojärjestelmien päivittäminen on kallista ja hidasta. Yritysten IT-budjetit eivät ole rajattomia, ja vanhojen järjestelmien päivittämiseen käytetyt rahat ovat pois uusien järjestelmien kehittämisestä.

Kaksi keskeistä haastetta

Mitkä sitten ovat uuden asetuksen ongelmakohdat? Asetusluonnos sisältää kaksi hyvin ongelmallista rakennetta:

Ensinnäkin asetukseen kuuluu privacy by design -vaatimus, jonka mukaan jokaisen tietojärjestelmän tulee olla toiminnallisuuksiltaan sellainen, että henkilötietojen käsittely järjestelmässä täyttää asetuksen vaatimukset.

Toiseksi tietosuojaviranomaiset voivat määrätä yritykselle tai julkiselle organisaatiolle hallinnollisen sanktiomaksun, mikäli asetuksen velvoitteita rikotaan. Sanktiomaksun enimmäismäärä on esityksessä joko sata miljoonaa euroa tai viisi prosenttia vuosittaisesta kokonaisliikevaihdosta sen mukaan, kumpi summa on suurempi. Maksun suuruus saattaa vielä muuttua.

IT-budjetit uuteen tarkasteluun

Keskimääräinen suomalainen tietojärjestelmä on rakennettu teknisistä, kaupallisista tai käytännöllisistä lähtökohdista. Henkilötietolainsäädännön noudattamisesta on huolehdittu vasta jälkikäteen.

Monien järjestelmien nykyiset toiminnallisuudet eivät kestä kriittistä tarkastelua edes nykyisen henkilötietolain näkökulmasta, saati sitten uuden tietosuoja-asetuksen näkökulmasta. Näin ollen järjestelmien huoltaminen tulisi aloittaa jo nyt, kun rikkomuksista ei vielä joudu maksamaan sanktiota. Tätä ei ole taidettu ottaa huomioon tulevien vuosien IT-budjeteissa? Syytä olisi.

Euroopan unionin rikkidirektiivi tuli voimaan muutamia vuosia sitten. Se aiheutti suuria kustannuksia suomalaiselle vientiteollisuudelle, kun laivoihin jouduttiin asentamaan esimerkiksi rikkipesureita. Näin käy myös uuden tietosuoja-asetuksen kohdalla: yritysten ja julkisten organisaatioiden kulut lisääntyvät.

Uuden tietosuoja-asetuksen vaikutuksista tavalliseen kansalaiseen ei voi olla aivan yhtä varma. Ehkä perusoikeudet hieman vahvistuvat, mutta laskua maksaa meistä jokainen.