Digitaaliset todistukset ja GDPR: mitä koulutuksen järjestäjän pitää tietää
Digitaalinen todistus sisältää henkilötietoja, joten sen myöntäminen kuuluu GDPR:n piiriin. Näin valitset palvelun, jossa tiedot pysyvät EU:ssa ja todistuksen voi silti tarkistaa helposti.
Tällä sivulla (9)
Kun koulutustodistuksesi täyttävät EU:n tietosuojavaatimukset, se ei ole enää vapaaehtoista vaan liiketoiminnan perusedellytys.
Koulutusyritykset, oppilaitokset, HR-osastot ja konsulttitoimistot siirtävät todistuksiaan paperista digitaalisiksi. Samalla tietosuoja ja säännösten noudattaminen nousevat keskiöön. Tässä artikkelissa käydään läpi, miten myönnät digitaalisia todistuksia vastuullisesti: tietojen säilytys EU:ssa, GDPR:n noudattaminen ja todistusten tarkistettavuus.
Digitaaliset todistukset EU:ssa
Digitaaliset todistukset tuovat selviä etuja: ne ovat helposti saatavilla, vähentävät hallinnollista työtä ja ovat helppo jakaa. EU:ssa toimivalle tai EU:n asukkaita palvelevalle organisaatiolle siirtymä tuo kuitenkin mukanaan tietosuojan, jota säätelee ennen kaikkea yleinen tietosuoja-asetus GDPR.
Todistusta myöntäessään organisaatio käsittelee henkilötietoja. Se, miten tiedot käsitellään, säilytetään ja suojataan, vaikuttaa organisaation oikeudelliseen asemaan, maineeseen ja todistusten uskottavuuteen. Todistuspalvelun valinta ei siksi ole vain tekninen päätös.
Miksi tietojen säilytys EU:ssa on tärkeää
Kun koulutuksen järjestäjä myöntää todistuksen, siinä on henkilötietoja: saajan nimi, suoritettu kurssi ja suorituspäivä. Jos tiedot säilytetään EU:n ulkopuolella, myöntäjä joutuu selvittämään tiedonsiirtojen edellytykset, esimerkiksi vakiosopimuslausekkeet ja arvion vastaanottajamaan tietosuojan tasosta. Se vie aikaa ja resursseja.
Kun palvelu säilyttää tiedot EU:ssa, suurin osa näistä esteistä poistuu, ja tiedot pysyvät GDPR:n piirissä alusta alkaen. Monelle organisaatiolle, erityisesti julkiselle sektorille ja säännellyille aloille, tämä on perusvaatimus. Diplino säilyttää tiedot EU:ssa, Tukholmassa.
Tietosuoja suunnittelun lähtökohtana
Tietojen sijainnin lisäksi koko palvelun suunnittelu vaikuttaa siihen, kuinka helppoa GDPR:n noudattaminen on. Kun tietosuoja on mukana alusta asti, myöntäjän ei tarvitse jälkikäteen sovittaa prosessejaan vaatimuksiin.
Käytännössä tämä tarkoittaa muutamaa asiaa:
- Tietojenkäsittelysopimus. Todistuspalvelu käsittelee tietoja myöntäjän puolesta, joten tarvitaan sopimus. Diplinossa se kuuluu kaikkiin paketteihin.
- Tietojen minimointi. Kerää vain se, mitä todistus tarvitsee: tavallisesti nimi, sähköpostiosoite, kurssi ja päivämäärä.
- Rekisteröidyn oikeudet. Henkilöllä on oikeus saada tietonsa, oikaista ne ja pyytää niiden poistamista. Diplinossa virheellinen todistus korjataan perumalla se ja myöntämällä uusi oikeilla tiedoilla.
- Avoimuus. Kerro osallistujille, mihin heidän tietojaan käytetään ja missä ne ovat.
GDPR:ssä on myös sertifiointimekanismeja ja tietosuojamerkkejä. Diplino ei käytä niitä, mutta niiden olemassaolo kertoo, että todennettavalle tietosuojalle on kysyntää.
Digitaalinen allekirjoitus ja tarkistettavuus
Todistuksen arvo perustuu siihen, että sen voi tarkistaa. Diplinossa jokainen todistus tallennetaan palvelun tietokantaan ja saa yksilöllisen tarkistuskoodin. Todistuksen keskeiset tiedot (nimi, kurssi, päivämäärä ja sarjanumero) allekirjoitetaan digitaalisesti. Jos kopiossa muuttuu yksikin merkki, se ei enää vastaa allekirjoitettua tietuetta eikä tarkistussivun tietoja.
Diplino ei käytä lohkoketjua, kryptovaluuttaa tai tokeneita. Niitä ei tarvita, jotta todistus olisi aito ja tarkistettava. Käytännöllinen ratkaisu perustuu digitaalisiin allekirjoituksiin ja tietokantaan.
Tarkistus ilman kitkaa
Todistuksen on oltava helppo tarkistaa kenen tahansa, joka sitä tarvitsee: työnantajan, viranomaisen tai haltijan itsensä.
Jokaisella Diplinon todistuksella on oma tarkistussivu. Sille pääsee sähköpostin linkistä, PDF:n QR-koodista tai syöttämällä koodin osoitteessa diplino.com/verify. Kirjautumista tai erillistä ohjelmaa ei tarvita. Palvelin hakee todistuksen tietokannasta ja tarkistaa digitaalisen allekirjoituksen, kun sivu avataan.
Tietosuojan kannalta on tärkeää, että sivu näyttää vain sen, mikä tarvitaan: tila (voimassa tai peruttu), nimi, kurssi, päivämäärä, myöntäjä logoineen ja sarjanumero. Sivu ei näy hakukoneissa, ja haltija päättää itse, kenelle hän linkin jakaa. Jos todistukseen tarvitaan henkilötunnus, se näkyy vain PDF:ssä.
Lue lisää siitä, miten todistuksen aitouden tarkistaminen tehdään rekrytoinnissa.
Ulkoasu ja myöntäminen
Todistuksen ulkoasu on usein ensivaikutelma. Diplinossa voit käyttää omaa logoa, värejä ja fontteja, ja palvelu toimii kolmellatoista kielellä. Voit myöntää myös kaksikielisiä todistuksia, joissa sama sisältö on kahdella kielellä.
Voit myöntää yksittäisen todistuksen tai ladata osallistujalistan CSV-tiedostona ja myöntää todistukset koko ryhmälle kerralla todistusgeneraattorilla. Jokaisesta todistuksesta syntyy tulostettava PDF, jossa on QR-koodi tarkistussivulle.
Jakaminen LinkedInissä
Tarkistussivun Lisää LinkedIn-profiiliin -painikkeella haltija lisää todistuksen profiilinsa lisenssejä ja sertifikaatteja koskevaan osioon. Kurssin nimi, myöntäjä, ajankohta, tarkistuslinkki ja sarjanumero täyttyvät valmiiksi. Kun osallistujat jakavat todistuksiaan, koulutuksesi näkyy laajemmin heidän verkostoissaan.
Mitä kannattaa vaatia todistuspalvelulta
Kun vertailet palveluja, kysy ainakin nämä:
- Missä tiedot säilytetään, ja siirretäänkö niitä EU:n ulkopuolelle?
- Kuuluuko tietojenkäsittelysopimus pakettiin?
- Mitä tietoja tarkistussivulla näkyy, ja näkyykö sivu hakukoneissa?
- Tarvitseeko osallistuja tai tarkistaja tilin?
- Pysyvätkö myönnetyt todistukset tarkistettavina, jos lopetat tilauksen?
Diplinossa vastaukset ovat: Tukholma, kyllä kaikissa paketeissa, vain vahvistamiseen tarvittavat tiedot eikä hakukoneissa, ei tarvitse, ja kyllä (tili siirtyy Free-pakettiin).
Yhteenveto
Digitaaliset todistukset sisältävät henkilötietoja, joten niiden myöntäminen kuuluu GDPR:n piiriin. Kun valitset palvelun, joka säilyttää tiedot EU:ssa, tarjoaa tietojenkäsittelysopimuksen ja näyttää tarkistussivulla vain tarpeellisen, helpotat omaa työtäsi ja rakennat luottamusta osallistujien ja asiakkaiden keskuudessa. Muista silti, että vastuu omista käsittelyprosesseista säilyy organisaatiollasi: tarkista velvoitteesi tarvittaessa tietosuojavaltuutetun ohjeista.
