Yleisen tietosuoja-asetuksen seuraamukset suomalaisissa pk-yrityksissä

Abstract

Yleinen tietosuoja-asetus astui voimaan toukokuun 25. päivä 2018. Asetus oli voimaantullessaan EU:n suurimpia lakiuudistuksia vuosikymmeniin ja se kosketti luonnollisia henkilöitä, rekisterinpitäjiä sekä henkilötietojen käsittelijöitä maailmanlaajuisesti. Tutkimuksen tavoitteena on selvittää, mitä seuraamuksia yleinen tietosuoja-asetus on aiheuttanut suomalaisille it-toimialan pk-yrityksille. Tutkimuksen tavoitteen selvittämiseksi tutkielmassa syvennytään seuraaviin tutkimuskysymyksiin: mitkä ovat tietosuoja-asetuksen tuomat muutokset aikaisempaan henkilötietodirektiiviin nähden, mitkä ovat tietosuoja-asetuksen velvoitteet ja niistä aiheutuneet vaikutukset pk-yrityksille sekä mitä seuraamuksia yleisestä tietosuoja-asetuksesta on aiheutunut suomalaisille it-toimialan pk-yrityksille.

Tutkielma koostuu kuvailevasta kirjallisuuskatsauksesta sekä empiirisestä tutkimuksesta. Kirjallisuuskatsauksen tutkimusaineisto pohjautuu yleiseen tietosuoja-asetukseen, henkilötietodirektiiviin, aiheesta kirjoitettuihin tieteellisiin julkaisuihin ja yritysvaikutustutkimuksiin. Yrityshaastattelun tutkimusstrategiaksi on valittu monitapaustutkimus. Haastattelut toteutettiin avoimina teemahaastatteluina, jotka analysointiin hyödyntämällä sisällönanalyysiä ja kontekstianalyysiä. Haastattelujen lopputuloksena on muodostettu yhteenveto siitä, mitä seuraamuksia yleisestä tietosuoja-asetuksesta on aiheutunut haastatteluun osallistuneille suomalaisille it-toimialan pk-yrityksille.

Tieteelliset julkaisut osoittavat, että yleinen tietosuoja-asetus tuo mukanaan lukuisia muutoksia aiempaan henkilötietodirektiiviin nähden. Muutoksista aiheutuu yrityksille velvoitteita, joista puolestaan aiheutuu yrityksille lukuisia seuraamuksia. Merkittävimmiksi seuraamuksiksi tässä tutkimuksessa osoittautui seuraamukset yritysten henkilöstöön, prosesseihin, toimittaja- ja asiakassuhteisiin, tietojenkäsittely-sopimuksiin sekä dokumentaatiomenetelmiin. Edellä mainituista seuraamuksista aiheutuu yrityksille kustannuksia. Yritykset kokevat, että yleinen tietosuoja-asetus ei suoranaisesti paranna yritysten liiketoimintamahdollisuuksia Euroopan unionin talousalueella. Vaikka yleisen tietosuoja-asetuksen nähtiin aiheuttavan yrityksille lisääntynyttä hallinnollista taakkaa, yritykset kokivat asetuksen positiivisena asiana.