Sisäänrakennettua ja oletusarvoista IoT-tietosuojaa suostumusten hallinnalla

Esineiden internet eli Internet of Things (IoT) on jo nyt osa arkipäivää helpottavaa teknologiaa. Erityisesti kuluttajille suunnattujen internetiin kytkettyjen esineiden hyöty piilee usein henkilötiedon keräämisessä ja analysoinnissa. Siksi onkin tärkeää, että IoT-teknologiaa hyödyntävien sovellusten ja laitteiden tietosuoja ja tietoturva ovat kunnossa.

Tietoturva on ollut laajalti esillä IoT:n ympärillä käytävässä keskustelussa. Laitteiden autentikointiratkaisuja ja datan siirron salausmenetelmiä vähemmälle huomiolle ovat jääneet tietosuojavaatimukset, jotka koskevat IoT-laitteita aivan yhtä paljon kuin muitakin henkilötietoja tallentavia ja käsitteleviä digitaalisia tai analogisia tietojärjestelmiä.

Tietoturvaratkaisuilla voidaan estää luvaton pääsy henkilötietoihin, mutta ne eivät ota kantaa siihen mitä henkilötietoa IoT-laitteet keräävät, kuinka paljon ja kenen suostumuksella. Tietosuoja-asetuksen vaatimuksiin vastaamiseksi IoT:n ympärille palveluitaan ja toimintaansa rakentavan organisaation tulisi miettiä tietosuojan toteutuminen jo ennakoivasti noudattamalla EU:n yleisen tietosuoja-asetuksen (2016/679) 25 artiklan mukaisen sisäänrakennetun ja oletusarvoisen tietosuojan (Privacy by Design and by Default) periaatteita.

Tarve sisäänrakennetulle ja oletusarvoiselle tietosuojalle

Rekisterinpitäjän on osoitettava, että se noudattaa asetusta. Sisäänrakennetun ja oletusarvoisen tietosuojan implementointi ja dokumentointi on tärkeä osa osoitusvelvollisuuden täyttämistä. Sisäänrakennetulla tietosuojalla tarkoitetaan nimensä mukaisesti sitä, että tietosuojan toteutuminen ja saattaminen osaksi henkilötietojen käsittelyä on proaktiivisesti huomioitu jo uuden teknologian suunnitteluvaiheessa.

Oletusarvoinen tietosuoja puolestaan viittaa enemmän rekisteröidyn valinnanvapauteen ja omien henkilötietojen hallintaan. Oletusarvoinen tietosuoja tarkoittaa ennen kaikkea sitä, että sovelluksen yksityisyysasetukset on oletusarvoisesti säädetty mahdollisimman vähän yksityisyyteen puuttuviksi. Toisin sanoen asetusten tulisi olla oletuksena opt-in eikä opt-out. Käsittelyn tulee olla läpinäkyvää, jotta rekisteröity on tietoinen henkilötietojensa käsittelystä ja voi aidosti hallita henkilötietojensa käyttöä. IoT-teknologian suhteen tämä on erityisen vaikeaa silloin, kun esine kerää tietoa paitsi esineen mahdollisesta käyttäjästä, myös muista käyttäjän tai esineen lähellä olevista henkilöistä. Laitteen tuleekin muistuttaa käyttäjiään säännöllisesti, että se kerää dataa.

Suostumusten elinkaari haltuun

Henkilötietojen kerääminen ja käsittely IoT-teknologialla voi perustua esimerkiksi kuluttajan suostumukseen. Suostumusten keräämisen lisäksi suostumusten voimassaoloa ja muuttumisia tulisi kyetä myös hallitsemaan, mikä on keskeinen haaste sekä sisäänrakennetun että oletusarvoisen tietosuojan toteuttamiseksi. Suostumusten elinkaaren hallinnan toteuttaminen manuaalisesti muuttuu nopeasti lähes mahdottomaksi, minkä takia suostumusten hallinnan keskeisyyteen ovat heränneet myös ohjelmistotalot. Automatisoidusta suostumusten hallinnasta on tullut tärkeä osa kuluttajaidentiteetinhallinnan (CIAM) edistyneimpiä ratkaisuja tarjoavien yritysten palveluita. Suostumusten hallintaominaisuudella varustetuissa CIAM-tuotteissa yrityksellä ja asiakkailla on keskitetty näkymä siihen, minkä tietojen käsittelyyn asiakas on antanut luvan, ja mitkä IoT-laitteet, palvelut tai järjestelmät näitä tietoja käsittelevät. Näin toteutetulla suostumusten hallinnalla vastataan sekä tietosuoja-asetuksen vaatimuksiin sisäänrakennetusta tietosuojasta että tarjotaan asiakkaille miellyttävä asiointikokemus, jossa he ovat koko ajan kontrollissa omien henkilötietojensa käsittelystä.

Me KPMG:llä autamme mielellämme asiakkaitamme kehittämään suostumusten hallinnan ja privacy by design-ratkaisuja, joita voi hyödyntää myös IoT-liiketoiminnassa.