Synteettisen testiaineiston käyttövaatimus Datahubin testiympäristöissä

Sähkömarkkinalaki velvoittaa vähittäismyyjät ja jakeluverkonhaltijat hoitamaan sähkömarkkinoiden keskeiset prosessit sähkökaupan keskitetyn tiedonvaihdon yksikön eli Fingrid Datahubin kautta. Lisäksi laki velvoittaa vähittäismyyjän ja jakeluverkonhaltijan huolehtimaan siitä, että sen tietojärjestelmät ja tiedonsiirtoon käyttämät järjestelmät toimivat yhteensopivasti keskitetyn tiedonvaihtopalvelun tietojärjestelmien eli Datahubin kanssa.

Käytännössä sähkömarkkinalaki velvoittaa siis vähittäismyyjät ja jakeluverkonhaltijat luovuttamaan henkilötietoa Datahubille. Datahub ei kuitenkaan voi ottaa vastaan henkilötietoa testiaineistoon seuraavista syistä:

• Synteettisen testiaineiston käytön vaatimuksen taustalla oleva perusperiaate on henkilötiedon kunnioittaminen. Henkilötieto on henkilön omaisuutta eikä sitä tule käsitellä tai säilyttää tarpeettomasti.

• Henkilötiedon käsittely on tarpeetonta testikäytössä, koska järjestelmän toiminta kyetään todentamaan ilman oikeiden henkilötietojen käsittelyä. 

• Fingrid Datahub Oy altistuu oikeudetta henkilötiedolle tilanteessa, jossa henkilötietoa joutuu Fingrid Datahub Oy:n ylläpitämiin järjestelmiin ennen kuin Datahubiin integroituva järjestelmä on sertifioitu ja täten todettu yhteensopivaksi Datahubin liiketoimintaprosessien kanssa. 

• Datahubiin integroitavan järjestelmän yhteensopivuus Datahubin kanssa todennetaan sertifiointiprosessissa. Vain Datahub-sertifioinnissa hyväksytyt osapuolet voivat siirtyä tuotannolliseen käyttöön, jossa Datahubin prosesseja käytetään oikeilla markkinatapahtumilla.

  • Datahubin testiympäristöihin kytkeytyy eri kypsyysasteella olevia tietojärjestelmiä. Tietojärjestelmän riittävä kypsyys todennetaan sertifioinnissa. Datahub ei voi sallia tilannetta, jossa samassa Datahub-ympäristössä käsitellään sekä tuotantodataa että synteettistä dataa keskeneräisillä järjestelmillä.

• Datahubin perustehtävä on tietojen luovuttaminen osapuolilta toiselle, mikä tarkoittaa, että Datahubissa on sisäänrakennettu riski altistaa eri osapuolia oikeudetta henkilötiedoille testaustilanteessa. Testauksen tavoitteena on varmistaa, että järjestelmä toteuttaa markkinaprosesseja kuten on määritelty, eli tiedot siirtyvät suunnitellusti. Riskiä pienennetään seuraavilla toimenpiteillä:

  • Tunnistetaan tilanteet, joissa altistutaan oikeudetta henkilötiedolle.

  • Henkilötietoa ei käytetä Datahubin liiketoimintaprosessien testauksessa, ennen kuin Datahubiin kytkeytyvän osapuolen tietojärjestelmäratkaisu on Datahub-sertifioitu, ja sen jälkeenkään henkilötietoa ei käytetä Datahubin testiympäristöissä.

  • Henkilötietoa ei käytetä toiminnalliseen testaukseen tarkoitetuissa Datahub-ympäristöissä.

• Datahub sisältää ison määrän henkilötietoa, joten tietovuodolla voi olla laajat vaikutukset. Tätä riskiä pienennetään seuraavilla toimenpiteillä:

  • Henkilötietoa käsitellään vain nimetyissä ympäristöissä, joissa on nimetyt ja tunnistettavat käyttäjät ja jäljitettävä käyttö.

  • Henkilötietoa ei tuoda järjestelmään, joka ei ole tietoturvatarkastettu sekä palvelinympäristön että ympäristössä käytössä olevan ohjelmiston osalta.