Argo Virkebau: uus andmekaitsemäärus esitab väljakutse

Uus isikuandmete kaitse üldmäärus (General Data Protection Regulation ehk GDPR) toob nii era- kui ka avaliku sektori ettevõtetele ja organisatsioonidele kaasa mitu lisakohustust. Määrus jõustub juba vähem kui aasta pärast, 25. mail 2018. Vestlesime Tele2 tegevjuhi Argo Virkebauga, kuidas lähevad ettevalmistused GDPR-iks telekomisektoril.

Mis on EL-i isikuandmete kaitse üldmäärus ehk GDPR?

Isikuandmete kaitse üldmäärus on viimase 20 aasta olulisim muudatus infoturbe valdkonnas ja sellel on suur mõju isikuandmete kogumisele ja töötlemisele ettevõtetes ja organisatsioonides. Uus määrus kehtestab kogu EL-i inimeste isiklike andmete käsitlemise turvalisusnõuded ja loob ühtlase andmekaitse taseme kogu EL-is, et kaitsta kodanike andmete privaatsust ja turvalisust.

Keda GDPR puudutab?

Uus isikuandmete kaitse üldmäärus puudutab otseselt kõiki EL-i ettevõtjaid ja organisatsioone, kes ükskõik, mil viisil käsitlevad klientide või oma töötajate isikuandmeid. Seega on keeruline leida ettevõtteid või organisatsioone, keda GDPR ei puudutaks.

Eriti tugevalt puudutab regulatsioon valdkondi nagu finants-, energia- ja telekomisektor, mis on väga reguleeritud ning andmekaitse on väga tähtis teema. Kuigi ettevõtjatele ja kogu digitaliseerimisele esitab GDPR suure väljakutse, siis kliendi jaoks läheb teenuse saamine nii mõneski mõttes lihtsamaks. Kindlasti võimaldab see ettevõtjal pakkuda head teenust, anda inimestele seda, mida nad vajavad ja olla kliendile väärikas partner. Muidugi ei jäta regulatsioon puutumata ka neid ettevõtteid, kes asuvad väljas pool EL-i, kuid soovivad teenuseid pakkuda EL-i klientidele.

Varasem andmekaitseregulatsioon pärineb perioodist, kui polnud veel tänapäevast infoühiskonda, mis andmeid sellisel määral töötleks nagu praegu. Üks olulisemaid põhjuseid, mis Euroopa Liitu sundis andmekaitse regulatsiooni üle vaatama ja seda kaasajastama, on big data ja pilveteenus.

Koos GDPR-iga rakendub ka e-privaatsuse direktiiv (e-privacy directive), mis tagab elektroonilise side valdkonnas veelgi rangema eraelu kaitse. E-privaatsuse direktiivi ettevalmistamise käigus on ühe teemana tõstatunud ka kaitse müügikõnede eest. Ühe võimalusena kaalutakse n-ö keelunimekirja kasutusele võtmist, et oleks võimalik turunduskõnedest keelduda. Samuti kohustataks turunduskõnede tegijaid kasutama oma numbrites eesliidet, mis näitaks kohe ära, et tegu on müügikõnega.

Kuidas Tele2 GDPR-iks valmistub?

Kogu Tele2 grupp on uut andmekaitsemäärust analüüsinud eelkõige vaatenurgast, kuidas see mõjutab telekomiäri ja mil moel regulatsiooni ettevõttele kohaldada. Praegu selgitame välja ja analüüsime olukorda ning koolitame personali, et töötajad oleksid motiveeritud ja mõtleksid kaasa.

Grupi üheksa riigi peale tegeleb meie äriprotsesside GDPR-iga vastavusse viimisega juba umbes sada inimest, alustades õigus- ja IT-osakondadest ja lõpetades müügi- ja turundusosakondadega. Lisaks on loodud kõikidesse riikidesse andmekaitsespetsialisti (DPOehk data protection officer) ametikoht vastutamaks, et kõik Tele2 teenused ja tooted oleksid järgmise aasta maikuuks uue andmekaitsemäärusega kooskõlas. Eesti kui e-riigi jaoks on oluline olla uuendusmeelne ja kaasajastada nii tehnilisi kui ka klientide võimalusi.

Kuidas mõjutab GDPR ettevõtlust ja konkurentsiolukorda?

Kindlasti tuleb mõista, et andmekaitse pole sugugi uus mõiste, ka praegu käsitletakse meie andmeid turvaliselt, kuid uus määrus on justkui uus detailsuse aste. Olulisemaks kujuneb e-privaatsus ja kliendilt peab küsima rohkem nõusolekuid, mida peab haldama. Oluliseks kujuneb ka suhtlus koostööpartneritega, kellega infovahetus tuleb viia GDPR-iga vastavusse.

Kehtib minimaalsuspõhimõte, et koguda ja käidelda tohib ainult neid andmeid, millele klient on oma loa andnud ning mis on teenuse pakkumiseks vajalikud, seega üleliigseid andmeid ei ole. Selle tulemusena võib pikeneda müügiprotsess ja küsimus on, kas osal müügikanalitel tekib eelis või mitte.

Mis on kõige tähtsamad teemad, millega tuleb GDPR-i puhul tegeleda?

Üks oluline teema on andmete ligipääsetavus ja andmete kogumine. Mida, miks ja milliseid andmeid üldse koguda ning kaua ja milliseid andmeid peab säilitama. Samuti tuleb üle vaadata veebikeskkondade analüüs ja andmete ülekantavus, kuidas andmeid turvaliselt ühest ettevõttest teise liigutada.

Ühest küljest on nii pankadel kui ka telekomiettevõtetel tulenevalt teistest õigusaktidest kohustus ka peale ärisuhte lõpetamist andmeid säilitada. Teisalt on aga GDPR-i kohaselt igaühel õigus nõuda oma andmete täielikku kustutamist ehk õigus olla unustatud (right to be forgotten).

Peale kliendi palvet tuleb ettevõttel kustutada kõik soovitud andmed kujul, mis ei võimalda mitte mingil moel nende taastamist. Seega kuuluvad andmed, mida ettevõte kliendi kohta on kogunud, kliendile ja nende andmete kasutamiseks peab olema seaduslik alus.

Need on kõik väga olulised teemad ja esitavad suuri väljakutseid e-riigile ja tehnoloogiale. Praeguse seisuga analüüsi tulemit, mis kõikidele nendele küsimustele vastuse annaks, ei ole. Tuleb analüüsida praegust olukorda ja regulatsiooni täitmiskavaga tegelema hakata juba täna.