Henkilötietojen kansainvälisiin siirtoihin liittyvistä riskeistä informointi päätöksenteossa : Case Valtori - Ronkainen, Maija (2022)
Pilvipalveluiden käyttö on lisääntynyt valtionhallinnossa, ja sitä myötä palveluissa tapahtuva henkilötietojen käsittely on muuttunut yhä globaalimmaksi. Samalla vaatimukset liittyen henkilötietojen siirtoon EU/ETA-alueen ulkopuolelle ovat kuitenkin muuttuneet ja tiukentuneet jatkuvasti. Jos sääntelyn vaatimuksia ei kyetä täyttämään, aiheuttaa se riskejä henkilöille, joiden tietoja käsitellään, mutta myös organisaatioille, jotka näitä tietoja käsittelevät. Tämä tutkimus paneutuukin kyseisten riskien informointiin Valtion tieto- ja viestintätekniikka Valtorin päätöksentekoprosesseissa. Tutkimuksen tavoitteena oli selvittää, miten henkilötietojen kansainvälisiin siirtoihin liittyvistä riskeistä tulisi informoida Valtorin prosesseissa tehokkaan päätöksenteon mahdollistamiseksi. Tätä varten kartoitettiin ensin tieto-suojavaikutustenarviointidokumentit sellaisista Valtorin palveluista, joihin liittyy henkilötietojen kansainvälisiä siirtoja. Dokumentit analysoitiin laadullisen sisällönanalyysin keinoin, ja tuloksena syntyi neljä riskikategoriaa, jotka kertovat henkilötietojen kansainvälisiin siirtoihin liittyvistä ongelmista Valtorin pal-veluissa. Näitä tuloksia käytettiin pohjana teemahaastatteluille, jotka suunnattiin Valtorin palveluiden riskipäätöksentekoon osallistuville tahoille, tässä tapauksessa kahdelle tuotepäällikölle ja kahdelle riskienhallinnan johtoryhmän jäsenelle. Haastatteluilla selvitettiin ymmärrystä, päätöksentekoa ja tiedontarpeita kansainvälisiin siirtoihin liittyvistä riskeistä, ja tulokset analysoitiin jälleen laadullisen sisällönanalyysin keinoin. Tulosten perusteella Valtorille laadittiin 17 toimenpidesuositusta, joilla henkilötietojen kansainvälisiin siirtoihin liittyvät riskit tulevat huomioiduksi palveluiden päätöksenteossa. Toimenpidesuositukset keskittyvät tietämyksen kasvattamiseen, prosessien muovaamiseen ja lopulta riski-informaation esittämiseen, ja niissä on huomioitu Valtorin olemassa olevat prosessit sekä riski-informaatioon liittyvä teoria ja hyvät käytännöt.