Asiakirjapohjat ilmoituskanavan käyttöönottoon

Ilmoituskanavan käyttöönotto kestää palvelussa muutaman minuutin. Sen jälkeen alkaa se osa, johon pienissä organisaatioissa usein pysähdytään: henkilöstöpäälliköltä kysytään, missä on kanavan tietosuojaseloste, tietosuojavastaava haluaa nähdä vaikutustenarvioinnin, ja johtoryhmä odottaa päätöstä siitä, ketkä ilmoituksia käsittelevät. Ilmoittajansuojelulaki on ennen kaikkea asiakirjoja ja rutiineja, ja jonkun on ne kirjoitettava.

Tähän tarkoitukseen RehtIO Whistlessä on nyt kuusi asiakirjapohjaa. Pohjat kuuluvat kumpaankin pakettiin ja säästävät runsaasti aikaa kanavan käyttöönotossa.

Mitä laki odottaa paperilla

Ilmoittajansuojelulaki ei edellytä pelkkää teknistä kanavaa. Lain 14 §:n mukaan ilmoituksia käsittelevät nimetyt henkilöt, joiden on voitava toimia puolueettomasti ja riippumattomasti, ja 32 §:n mukaan heidän on pidettävä salassa sekä ilmoittajan että ilmoituksen kohteen henkilöllisyys. Nimeäminen ja salassapitositoumus ovat siis tärkeitä asiakirjoja, ja ne on hyvä olla olemassa ennen ensimmäistä ilmoitusta.

Tietosuoja-asetus tuo oman pinonsa. Ilmoittajille ja ilmoituksen kohteille on kerrottava henkilötietojen käsittelystä (13 ja 14 artikla), käsittelytoimi kirjataan organisaation selosteeseen käsittelytoimista (30 artikla), ja koska tietosuojavaltuutetun luettelo vaikutustenarviointia edellyttävistä käsittelytoimista mainitsee ilmiantojärjestelmät, ilmoituskanavasta tehdään vaikutustenarviointi (35 artikla). Lisäksi henkilöstön on tiedettävä, että kanava on olemassa, sillä muuten se on olemassa vain paperilla.

Kuusi pohjaa

Pohjia on kuusi:

• Ilmoituskanavan tietosuojaseloste
• Ilmoitusten käsittelyohje
• Henkilöstötiedote ja intranet-teksti
• Käsittelijöiden nimeämispäätös ja salassapitositoumus
• Tietosuojaa koskeva vaikutustenarviointi
• Seloste käsittelytoimista

Jokaisen pohjan voi lukea suoraan palvelussa tai ladata Word-muodossa ja muokata omaksi. Palvelua koskevat kohdat kuvaavat RehtIO Whistle -palvelua sellaisena kuin me sen toteutamme, ja organisaatiota koskevat kohdat on merkitty hakasulkeisiin ja korostettu.

Mikä on täytetty valmiiksi

Pohjien hyöty syntyy siitä, mitä niihin ei tarvitse kirjoittaa itse. Lain määräajat, seitsemän päivän vastaanottokuittaus ja kolmen kuukauden palaute, sekä viiden vuoden säilytysaika on täytetty valmiiksi, samoin osoitteet tietojenkäsittelysopimukseen ja alikäsittelijäluetteloon. Kun palvelua koskeva tieto muuttuu, päivitämme pohjan palvelussa, ja jokaisessa pohjassa näkyvä versiopäivä kertoo, onko oma ladattu kopio ajan tasalla.

Esimerkiksi vaikutustenarvioinnissa on kuvattu valmiiksi, missä ilmoitukset säilytetään, miten ne on salattu ja ketkä niihin pääsevät käsiksi. Organisaation tehtäväksi jää arvioida omat riskinsä ja hyväksyä asiakirja. Käsittelyohje käyttää samoja nimityksiä kuin palvelu.

Henkilöstötiedote kertoo työntekijälle etukäteen, mistä kanavan kautta voi ilmoittaa, että ilmoituksen voi tehdä nimettömästi ja milloin ilmoittaja voi odottaa kuittausta ja palautetta.

Kenen asiakirja se on

Valmis asiakirja on organisaation oma, ja organisaatio vastaa sen sisällöstä ja soveltuvuudesta omaan toimintaansa. Mielestäni tämä on oikea työnjako: me kuvaamme palvelun, jonka tunnemme, ja organisaatio kuvaa itsensä.

Täydennettävää on vähän: organisaation nimi ja yhteystiedot, käsittelijöiden nimet, mahdolliset omat riskit ja se, kuka asiakirjan hyväksyy.

Jokaisen pohjan alussa on kappale, joka kertoo, mikä asiakirja on ja kenen vastuulla sen sisältö on. Se poistetaan ennen käyttöä. Seloste käsittelytoimista on puolestaan kirjoitettu lisäykseksi organisaation olemassa olevaan selosteeseen, sillä harvalla organisaatiolla ilmoituskanava on ainoa käsittelytoimi.

Pohjat osana käyttöönottoa

Käyttöönoton muistilista käy läpi kanavan perustamisen vaihe vaiheelta ja kertoo jokaisen vaiheen kohdalla, mikä pohja siihen kuuluu: käsittelijöiden nimeäminen, tietosuojaseloste, vaikutustenarviointi ja seloste käsittelytoimista, käsittelyohje ja lopuksi henkilöstötiedote.

Pohjat näkyvät kaikille organisaation jäsenille, ei vain ylläpitäjille, joten esimerkiksi henkilöstöpäällikkö voi hakea tietosuojaselosteen ja tietosuojavastaava vaikutustenarvioinnin itse.

Vähemmän kirjoittamista, enemmän käsittelyä

Ilmoittajansuojelulain noudattaminen ratkeaa sillä, että asiakirjat ovat kunnossa, käsittelijät tietävät tehtävänsä ja henkilöstö tietää kanavasta. Kun palvelua koskeva osa näistä asiakirjoista on kirjoitettu valmiiksi ja pysyy ajan tasalla, organisaation aika jää siihen, mikä sille kuuluu: omien riskien arviointiin ja ilmoitusten käsittelyyn.

Asiakirjapohjat kuuluvat RehtIO Whistleen ilman lisämaksua, ja palvelun toimintaan voi tutustua täällä.