Mikä on EU:n Data Actin ja GDPR:n välinen ero?

EU:n Data Act ja GDPR ovat molemmat merkittäviä eurooppalaisia säädöksiä, mutta niiden tarkoitus ja soveltamisala eroavat toisistaan selvästi. GDPR keskittyy henkilötietojen suojaamiseen, kun taas Data Act sääntelee laajemmin datan käyttöä ja jakamista erityisesti esineiden internetin (IoT) laitteiden tuottaman datan osalta. GDPR on ollut voimassa vuodesta 2018, kun taas Data Act on uudempi säädös, jota aletaan soveltaa syyskuusta 2024 alkaen. Yritysten on tärkeää ymmärtää molempien säädösten vaatimukset ja vaikutukset liiketoimintaan.

Mikä on EU:n Data Act ja GDPR pähkinänkuoressa?

EU:n yleinen tietosuoja-asetus GDPR (General Data Protection Regulation) tuli voimaan 25.5.2018. Sen päätavoite on suojata EU:n kansalaisten henkilötietoja ja yhdenmukaistaa tietosuojalainsäädäntöä EU:ssa. GDPR määrittelee, miten organisaatiot voivat kerätä, käsitellä ja säilyttää henkilötietoja, samalla antaen yksilöille oikeuksia omiin tietoihinsa.

Data Act puolestaan on osa EU:n datastrategiaa ja se astuu voimaan 12.9.2024. Sen keskiössä on verkkoon liitettyjen laitteiden tuottama data ja sen jakaminen. Data Act täydentää jo olemassa olevia säädöksiä luomalla puitteet reilulle datan jakamiselle. Se määrittelee, miten laitevalmistajien ja palveluntarjoajien tulee mahdollistaa käyttäjille pääsy heidän laitteidensa tuottamaan dataan ja miten tätä dataa voidaan jakaa kolmansille osapuolille.

Molemmat säädökset heijastavat EU:n pyrkimystä luoda tasapainoinen digitaalinen ympäristö, jossa sekä kuluttajien oikeudet että innovaation mahdollisuudet huomioidaan. Ne ovat osa laajempaa digitaalisten markkinoiden sääntelykokonaisuutta, johon kuuluvat myös muut aloitteet kuten Digital Services Act ja Digital Markets Act.

Mitkä ovat Data Actin ja GDPR:n keskeisimmät erot?

Data Actin ja GDPR:n keskeisimmät erot liittyvät niiden soveltamisalaan ja painopisteisiin. GDPR koskee kaikkea henkilötietojen käsittelyä EU:ssa tai EU:n kansalaisten tietoja käsitteleviä organisaatioita. Se keskittyy yksityisyyden suojaan ja määrittelee käsittelyn lailliset perusteet, rekisteröityjen oikeudet sekä organisaatioiden velvollisuudet.

Data Act puolestaan keskittyy laitteiden tuottaman datan jakamiseen ja käyttöön, riippumatta siitä onko kyseessä henkilötieto vai ei. Se luo uusia oikeuksia laitteiden käyttäjille, jotka voivat pyytää pääsyä laitteidensa tuottamaan dataan ja halutessaan jakaa sitä kolmansien osapuolten kanssa. Data Act asettaa laitevalmistajille velvoitteen suunnitella tuotteensa siten, että datan jakaminen on mahdollista.

Velvollisuuksien osalta GDPR edellyttää mm. tietosuojaselosteita, vaikutustenarvioinnin tekemistä ja tietosuojavastaavan nimittämistä tietyissä tilanteissa. Data Act puolestaan vaatii valmistajilta teknisiä ratkaisuja datan jakamiseen, läpinäkyvyyttä datan käsittelystä ja kohtuullisia sopimusehtoja.

Miten Data Act ja GDPR vaikuttavat yritysten toimintaan?

Yritysten on sovitettava toimintansa molempien säädösten vaatimuksiin, mikä vaatii kokonaisvaltaista lähestymistapaa tiedonhallintaan. GDPR on jo monille yrityksille tuttu ja siihen liittyvät prosessit on implementoitu. Data Act tuo uusia ulottuvuuksia erityisesti IoT-laitteita valmistaville tai niitä käyttäville yrityksille.

Jos yritys on jo toteuttanut GDPR-vaatimukset, se voi hyödyntää olemassa olevia tietosuojaprosesseja Data Actin vaatimusten täyttämisessä. Esimerkiksi datan dokumentointi, tietoturva ja läpinäkyvyys ovat molemmissa tärkeitä. Kuitenkin Data Act vaatii lisähuomiota erityisesti teknisiin ratkaisuihin, jotka mahdollistavat datan jakamisen.

Yritysten kannattaa tehdä kartoitus siitä, mitä verkkoon liitettyjä laitteita ne valmistavat tai käyttävät ja millaista dataa nämä laitteet tuottavat. Tämän jälkeen voidaan suunnitella, miten data asetetaan käyttäjien saataville ja miten varmistetaan tietoturva ja yksityisyyden suoja datan jakamisessa.

Mitä jokaisen yrityksen tulisi tietää EU:n tietosuojasäädöksistä?

Jokaisen yrityksen tulisi ymmärtää, että EU:n tietosuojasäädökset muodostavat yhtenäisen kokonaisuuden, joka kehittyy jatkuvasti. GDPR loi perustan, jonka päälle Data Act ja muut säädökset rakentavat tarkempia sääntöjä erityisaloille. Säädösten tavoitteena on luoda tasapuoliset pelisäännöt datataloudelle ja varmistaa, että data hyödyttää sekä käyttäjiä, yrityksiä että yhteiskuntaa.

Tulevaisuudessa on odotettavissa lisää tarkennuksia ja mahdollisesti uusia säädöksiä, jotka koskevat erityisesti tekoälyä, algoritmien läpinäkyvyyttä ja datan eettistä käyttöä. Yritysten kannattaa seurata aktiivisesti alan kehitystä ja varmistaa, että niiden tietosuoja- ja datanhallintakäytännöt pysyvät ajan tasalla.

Tietosuojasäädösten noudattaminen ei ole vain lakisääteinen velvollisuus vaan myös kilpailuetu. Asiakkaat ja kumppanit arvostavat yhä enemmän vastuullista datan käsittelyä ja läpinäkyvyyttä.

Circles Consulting tarjoaa asiantuntevaa tukea EU:n tietosuojasäädösten noudattamisessa. Heidän palveluihinsa kuuluvat muun muassa EU:n datastrategiaan liittyvät konsultointipalvelut, teknisten ratkaisujen kehittäminen tietosuojavaatimusten täyttämiseksi sekä yritysten tukeminen Data Actin vaatimassa tuotearkkitehtuurin ja datanhallintaprosessien suunnittelussa. Circles Consultingin asiantuntijat auttavat yrityksiä paitsi täyttämään säädösten vaatimukset myös löytämään niistä mahdollisuuksia liiketoiminnan kehittämiseen ja kilpailuedun luomiseen.