Designing a GDPR Compliant Reservation System
Ojala, Valtteri (2026)
2026
Tietotekniikan DI-ohjelma - Master's Programme in Information Technology
Informaatioteknologian ja viestinnän tiedekunta - Faculty of Information Technology and Communication Sciences
Hyväksymispäivämäärä
2026-06-05
Julkaisun pysyvä osoite on
https://urn.fi/URN:NBN:fi:tuni-202606046928
https://urn.fi/URN:NBN:fi:tuni-202606046928
Tiivistelmä
This thesis is a technical case study, incorporating technical and compliance research, examining design choices and considerations required to create a GDPR compliant reservation system, through following the process of designing and implementing an event reservation system. The system was created for the local astronomical society Tampereen Ursa.
The thesis considered each requirement set by the GDPR and steps taken to fulfil the legal requirements. Secure programming principles set forward by OWASP were considered as integral to fulfilling the legal requirement to protect user data.
It was found that minimizing data collection and processing kept the legal requirements on the system very manageable. Following secure programming principles played a major part in achieving compliance. GDPR also required explicit consent before processing data. Finally, GDPR dictated what information must be provided to the user, effectively constituting a privacy policy. A compliant software, however, must coincide with appropriate organizational measures to fully comply with GDPR. Tämä on tekninen tapaustutkimus, joka sisältää teknistä ja lakitutkimusta. Työ tutkii GDPR-yhteensopivan varausjärjestelmän toteuttamiseksi tarvittavia suunnitteluratkaisuja. Työssä käydään läpi Tampereen Ursan tilaaman varausjärjestelmän suunnittelu- ja toteutusprosessia.
Työssä analysoidaan GDPR:n asettamia vaatimuksia ja miten ne voidaan huomioida varausjärjestelmää suunnitellessa. Tietoturvallisen ohjelmoinnin periaatteiden seuraaminen katsottiin välttämättömäksi edellytykseksi, lain vaatimalle käyttäjien tietojen suojaamiselle. OWASP:in ohjeita käytettiin keskeisenä oppaana ohjelman tietoturvallisuutta suunniteltaessa ja arvioitaessa.
Havaittiin, että tiedon keräyksen ja prosessoinnin minimoinnilla, lain vaatimuksia ei ollut vaikea täyttää. Tietoturvallisen ohjelmoinnin periaatteiden noudattaminen oli keskeisellä sijalla lain vaatimuksia täytettäessä. Näiden lisäksi GDPR vaati käyttäjän luvan tietojen keruuseen ja määritteli mitä tietoja käyttäjälle oli annettava. Annetut tiedot muodostivat käytännössä tietosuojaselosteen. GDPR-yhteensopiva järjestelmä vaatii tuekseen myös GDPR-yhteensopivat käytännöt organisaatiossa, jotta kaikki vaatimukset täyttyisivät.
The thesis considered each requirement set by the GDPR and steps taken to fulfil the legal requirements. Secure programming principles set forward by OWASP were considered as integral to fulfilling the legal requirement to protect user data.
It was found that minimizing data collection and processing kept the legal requirements on the system very manageable. Following secure programming principles played a major part in achieving compliance. GDPR also required explicit consent before processing data. Finally, GDPR dictated what information must be provided to the user, effectively constituting a privacy policy. A compliant software, however, must coincide with appropriate organizational measures to fully comply with GDPR.
Työssä analysoidaan GDPR:n asettamia vaatimuksia ja miten ne voidaan huomioida varausjärjestelmää suunnitellessa. Tietoturvallisen ohjelmoinnin periaatteiden seuraaminen katsottiin välttämättömäksi edellytykseksi, lain vaatimalle käyttäjien tietojen suojaamiselle. OWASP:in ohjeita käytettiin keskeisenä oppaana ohjelman tietoturvallisuutta suunniteltaessa ja arvioitaessa.
Havaittiin, että tiedon keräyksen ja prosessoinnin minimoinnilla, lain vaatimuksia ei ollut vaikea täyttää. Tietoturvallisen ohjelmoinnin periaatteiden noudattaminen oli keskeisellä sijalla lain vaatimuksia täytettäessä. Näiden lisäksi GDPR vaati käyttäjän luvan tietojen keruuseen ja määritteli mitä tietoja käyttäjälle oli annettava. Annetut tiedot muodostivat käytännössä tietosuojaselosteen. GDPR-yhteensopiva järjestelmä vaatii tuekseen myös GDPR-yhteensopivat käytännöt organisaatiossa, jotta kaikki vaatimukset täyttyisivät.