Käsittelysopimus (englanniksi Data Processing Agreement, DPA) on tavallinen tapa sitoa rekisterinpitäjä ja henkilötietojen käsittelijä kirjallisiin ehtoihin. Yleisen tietosuoja-asetuksen (GDPR) 28 artiklan 3 kohta edellyttää sopimusta tai muuta käsittelijää suhteessa rekisterinpitäjään sitovaa EU:n tai jäsenvaltion oikeuden mukaista oikeudellista asiakirjaa, kun ulkopuolinen taho käsittelee henkilötietoja rekisterinpitäjän lukuun. Esimerkkejä ovat pilvipalvelun tarjoaja, SaaS-toimittaja, palkkahallinnon ulkoistuskumppani, markkinointitoimisto ja IT-tukiyritys. Vaaditun järjestelyn puuttuminen tai puutteellisuus on itsenäinen rikkomus, joka voidaan sanktioida ilman tietovuotoa. Tässä oppaassa käydään läpi, milloin käsittelysopimus tarvitaan, mitkä ovat 28 artiklan pakolliset ehdot ja miten roolit määritellään oikein.
Milloin 28 artiklan mukainen järjestely tarvitaan?
Rekisterinpitäjän ja käsittelijän suhteessa käsittelyä on hallittava 28 artiklan 3 kohdan mukaisella sitovalla järjestelyllä. Rekisterinpitäjä määrää käsittelyn tarkoitukset ja keinot; käsittelijä käsittelee tietoja rekisterinpitäjän lukuun tämän ohjeiden mukaan. Jos annat kolmannelle osapuolelle henkilötietoja käsiteltäväksi puolestasi, käytä yleensä kirjallista sopimusta. Myös muu käsittelijää suhteessa rekisterinpitäjään sitova EU:n tai jäsenvaltion oikeuden mukainen oikeudellinen asiakirja on artiklan sallima vaihtoehto.
28 artiklan 3 kohta ei sisällä kynnysarvoa: sitova järjestely vaaditaan riippumatta käsittelijän koosta tai tietojen määrästä. Jo yksi ulkoistettu tehtävä – vaikkapa uutiskirjeiden lähetys tai asiakastukijärjestelmän ylläpito – synnyttää velvollisuuden. Käytännössä useimmilla organisaatioilla on kymmeniä käsittelijöitä, joista monet jäävät helposti huomaamatta: pilvitallennus, CRM, kirjanpito-ohjelmisto, arkistojen tuhoamispalvelu.
Roolin määrittely on ensimmäinen ja tärkein askel. Jos palveluntarjoaja määrittää itse käsittelyn tarkoitukset, hän ei ole käsittelijä vaan itsenäinen rekisterinpitäjä tai yhteisrekisterinpitäjä (26 artikla), jolloin sopimusrakenne on toinen. Rooli selviää käsittelytoimien selosteesta, jonka laatiminen kannattaa tehdä ennen sopimusten laatimista.
28 artiklan pakolliset ehdot
GDPR 28 artiklan 3 kohta edellyttää, että käsittelysopimus tai muu sallittu sitova oikeudellinen asiakirja sisältää vähintään seuraavat kahdeksan asiaa:
- Käsittelyn kohde, kesto, luonne ja tarkoitus, käsiteltävien tietojen tyyppi, rekisteröityjen ryhmät sekä rekisterinpitäjän oikeudet ja velvollisuudet;
- Käsittely vain rekisterinpitäjän dokumentoitujen ohjeiden mukaan, myös kolmansiin maihin tehtävien siirroissa, ellei sovellettava laki muuta edellytä; käsittelijä ilmoittaa tällaisesta lain vaatimuksesta ennalta, ellei laki sitä kiellä;
- Käsittelyyn oikeutettujen henkilöiden salassapitositoumus tai asianmukainen lakisääteinen salassapitovelvollisuus;
- GDPR 32 artiklan mukaiset tietoturvatoimet;
- Alikäsittelyn ehdot (rekisterinpitäjän ennakkolupa, yleinen tai erityinen);
- Avunanto rekisteröityjen oikeuksien toteuttamisessa (12–23 artikla);
- Avunanto 32–36 artiklan velvoitteissa (tietoturva, loukkausilmoitukset, vaikutustenarviointi);
- Tietojen poistaminen tai palauttaminen rekisterinpitäjän valinnan mukaan palvelun päättyessä ja kopioiden poistaminen, ellei laki vaadi säilytystä; kaikki tarpeelliset tiedot vaatimusten osoittamiseksi sekä rekisterinpitäjän tai tämän valtuuttaman auditoijan auditointien, myös tarkastusten, salliminen ja niihin osallistuminen. Käsittelijän pitää lisäksi ilmoittaa viipymättä, jos ohje sen mielestä rikkoo GDPR:ää tai muuta sovellettavaa EU:n tai jäsenvaltion tietosuojalakia.
Euroopan komissio on julkaissut 28 artiklaan tarkoitetut vakiosopimuslausekkeet (täytäntöönpanopäätös (EU) 2021/915), joita voi käyttää sellaisenaan. Käytännönläheinen käsittelysopimuksen malli sisältää samat elementit valmiiksi muotoiltuina.
Alikäsittely – yleinen sudenkuoppa
28 artiklan 2 kohta kieltää käsittelijää käyttämästä alikäsittelijää ilman rekisterinpitäjän kirjallista ennakkolupaa. Lupa voi olla erityinen (nimetty alikäsittelijä) tai yleinen (käsittelijä ilmoittaa muutoksista ja rekisterinpitäjällä on oikeus vastustaa). SaaS-maailmassa yleinen lupa on vakiintunut käytäntö.
Lupa ei yksin riitä. 28 artiklan 4 kohdan mukaan käsittelijän on asetettava alikäsittelijälle sopimuksella tai muulla EU:n tai jäsenvaltion oikeuden mukaisella oikeudellisella asiakirjalla samat tietosuojavelvoitteet kuin sen omassa järjestelyssä rekisterinpitäjän kanssa, erityisesti riittävät takeet asianmukaisista teknisistä ja organisatorisista toimista. Jos alikäsittelijä laiminlyö velvoitteensa, alkuperäinen käsittelijä vastaa edelleen täysimääräisesti rekisterinpitäjälle alikäsittelijän velvoitteiden täyttämisestä. Pyydä muutostilanteessa nähtäväksi, miten velvoitteet on siirretty ketjussa, älä arvioi vain alikäsittelijän nimeä.
Ongelma on, että alikäsittelijät jäävät usein näkymättömiksi. Pilvipalvelun tarjoaja saattaa käyttää yhdysvaltalaista tukikeskusta tai varmuuskopiointipalvelua kolmannessa maassa. Vaadi käsittelijältäsi ajantasainen luettelo alikäsittelijöistä ja tarkista tietojen todellinen sijainti – ei vain palveluntarjoajan pääkonttorin sijaintia. Kolmansiin maihin tehtävät siirrot on arvioitava erikseen GDPR:n V luvun mukaan: esimerkiksi riittävyyspäätös tai tarvittaessa 46 artiklan asianmukaiset suojatoimet voivat olla käytettävissä.
Alikäsittelijöiden hallinta on jatkuva velvoite, ei kertaluontoinen. Toimittajat vaihtavat alikäsittelijöitään säännöllisesti – uusi varmuuskopiointipalvelu, uusi analytiikkatyökalu tai konsernin sisäinen palvelukeskus. Yleisen luvan mallissa sinun on seurattava näitä muutosilmoituksia ja arvioitava, aiheuttaako uusi alikäsittelijä lisäriskiä, erityisesti jos se sijaitsee EU:n ulkopuolella. Käytännössä tämä edellyttää, että sinulla on ajantasainen luettelo jokaisen käsittelijän alikäsittelijöistä ja mekanismi muutosten seuraamiseen. Ilman tällaista seurantaa “yleinen lupa” muuttuu käytännössä valvomattomaksi ketjuksi, jossa tietosi voivat päätyä toimijoille ja maihin, joita et ole koskaan arvioinut.
Loukkausilmoituksen määräaika sopimuksessa
GDPR 33 artiklan 2 kohta velvoittaa käsittelijän ilmoittamaan henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä. Sovi käytännön päivystysyhteys, viestin vähimmäissisältö ja päivitysvastuu. Esimerkiksi sopimuksellinen 24 tunnin palvelutaso voi olla hyödyllinen, mutta se ei ole käsittelijän yleinen lakisääteinen määräaika. Rekisterinpitäjä arvioi erikseen, täyttyykö viranomaisilmoituksen riskikynnys ja milloin sen 72 tunnin aika alkoi.
Ensimmäinen viesti voi olla keskeneräinen. Sen tulee silti mahdollistaa toiminta: mitä havaittiin, mitä tietoja tai järjestelmiä mahdollisesti koskee, mitä on tehty vahingon rajaamiseksi ja kuka antaa lisätiedot. Sopimuksessa kannattaa sopia myös siitä, säilyttääkö käsittelijä lokit ja toimittaako se myöhemmät vahvistukset. Jos palvelu käsittelee erityisiä tietoryhmiä, avuntarve voi olla erilainen kuin vähäriskisessä uutiskirjepalvelussa.
Milloin käsittelysopimusta ei tarvita?
28 artiklan mukainen sitova järjestely tarvitaan vain rekisterinpitäjän ja käsittelijän suhteessa. On kolme tilannetta, joissa 28 artiklan mukaista järjestelyä ei sovelleta, vaikka henkilötietoja liikkuisi osapuolten välillä.
Ensinnäkin, kun vastapuoli on itsenäinen rekisterinpitäjä. Jos palveluntarjoaja määrää itse käsittelyn tarkoitukset ja keinot, hän on itsenäinen rekisterinpitäjä, ei käsittelijä. Klassinen esimerkki on tilintarkastaja tai asianajaja, joka toimii oman ammatillisen ja lakisääteisen vastuunsa nojalla. Tällöin kyse on tietojen luovutuksesta rekisterinpitäjältä toiselle, ei toimeksiannosta.
Toiseksi, kun osapuolet ovat yhteisrekisterinpitäjiä (26 artikla). Jos kaksi organisaatiota määrää yhdessä käsittelyn tarkoitukset ja keinot, ne laativat 28 artiklan sopimuksen sijaan 26 artiklan mukaisen järjestelyn, jossa sovitaan vastuunjaosta rekisteröityihin nähden.
Kolmanneksi, kun tietoja käsittelee organisaation oma henkilöstö. Työntekijä ei ole itsenäinen käsittelijä vaan osa rekisterinpitäjän organisaatiota, joten sisäiseen käsittelyyn ei tarvita käsittelysopimusta – riittää salassapito ja pääsynhallinta.
Roolin määrittely ei aina ole itsestään selvää, ja väärä luokittelu johtaa väärään sopimusrakenteeseen. Kun vastapuolen rooli on epäselvä, arvioi konkreettisesti, kuka päättää käsittelyn tarkoituksesta. Se, joka määrää “miksi”, on rekisterinpitäjä; se, joka toteuttaa toimeksiannosta, on käsittelijä. Roolit kannattaa kirjata käsittelytoimien selosteeseen, jotta sopimustarve on aina tarkistettavissa.
Käsittelijän omat velvollisuudet
On tärkeää huomata, että GDPR asettaa velvollisuuksia myös suoraan käsittelijälle – ei vain sopimuksen kautta. Käsittelijän on muun muassa ylläpidettävä omaa käsittelytoimien selostettaan 30 artiklan 2 kohdan mukaisesti, kun 30 artiklan 5 kohdan rajattu alle 250 henkilön poikkeus ei sovellu, toteutettava 32 artiklan turvatoimet, ilmoitettava loukkauksista rekisterinpitäjälle ja noudatettava alikäsittelyä koskevia sääntöjä. Jos käsittelijä ylittää toimeksiannon ja alkaa määrätä käsittelyn tarkoituksista, hänestä tulee kyseisen käsittelyn osalta rekisterinpitäjä (28 artiklan 10 kohta) omine vastuineen. Käsittelysopimus ei siis siirrä kaikkea vastuuta rekisterinpitäjälle, vaan jakaa sen – molemmat osapuolet voivat joutua vastuuseen omista laiminlyönneistään.
Mitä puuttuvasta sopimuksesta seuraa?
Puuttuva tai puutteellinen käsittelysopimus voi olla 28 artiklan rikkomus, johon soveltuu 83 artiklan 4 kohdan seuraamusmaksuluokka: enintään 10 miljoonaa euroa tai yrityksen osalta 2 % edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta, sen mukaan kumpi on suurempi. Kyse on enimmäistasosta eikä puuttuvan liitteen automaattisesta maksusta. Vaaditun järjestelyn puute paljastuu tyypillisesti kahdessa tilanteessa: valvontaviranomaisen tarkastuksessa, jossa sopimukset ovat ensimmäisiä pyydettäviä asiakirjoja, ja tietoturvaloukkauksen jälkiselvittelyssä, jossa vastuunjako joudutaan riitelemään sen sijaan, että se luettaisiin sopimuksesta.
Sopimusten hallinta kannattaa keskittää. Käsittelytoimien seloste (ROPA) -ohjelmisto voi koota sopimus-, toimittaja- ja käsittelytoimitiedot tarkistettavaksi. Sopimuksen riittävyys on asiakkaan arvioitava.
Käsittelysuhteiden määrittelystä on saatavilla ohjeistusta EDPB:n lopullisista suuntaviivoista 07/2020. Lakiteksti löytyy GDPR:n 28 artiklasta EUR-Lexissä ja tietosuojalaista (1050/2018).
Esimerkki: tukipalvelun sopimusliite, joka vastaa todellista palvelua
Kuvitteellinen suomalainen verkkokauppa hankkii asiakastukijärjestelmän. Palveluun tallentuu asiakkaiden nimiä, yhteystietoja, tilausnumeroita ja vapaamuotoisia viestejä. Ennen sopimusta verkkokauppa selvittää, saako toimittaja käyttää viestejä oman tekoälymallinsa koulutukseen. Jos toimittaja määrittää oman käyttötarkoituksensa, pelkkä käsittelijäliite ei ratkaise kyseistä erillistä käyttöä; se on joko poistettava palvelusta tai arvioitava roolit ja lainmukaisuus erikseen. Roolien arvioinnin tulos kirjataan palvelukohtaisesti.
Liitteeseen kirjoitetaan käsittelyn tarkoitukseksi tukipyyntöjen vastaanotto, jakaminen valtuutetuille tukihenkilöille ja vastausten lähettäminen. Tietoryhmiin kirjataan myös liitteet ja viestin vapaa teksti, koska niiden sisältö voi poiketa ennalta arvatuista kentistä. Ohjeisiin merkitään, ettei toimittaja saa käyttää asiakastietoja omaan markkinointiin. Asiakkaan oma säilytyspäätös kuvataan säilytysaikojen työohjeessa; sopimus kertoo, miten toimittaja toteuttaa poiston, varmuuskopioiden aikataulun ja mahdollisen laillisen poikkeuksen.
Toimittaja käyttää palvelinyritystä ja ulkoista päivystystukea. Nimet, tehtävät, käsittelymaat ja muutosilmoituskanava kirjataan. Jos päivystystuki voi nähdä asiakasviestejä ETA:n ulkopuolelta, arvioidaan myös kansainvälinen siirto. Pelkkä palvelimen sijainti Suomessa ei vastaa kysymykseen kaikista etäkäyttöoikeuksista. Sopimuksen hyväksyntä perustuu tähän konkreettiseen ketjuun, ei sanan ”pilvipalvelu” yleiseen oletukseen.
Miten neuvottelet auditointiehdon toimivaksi?
28 artiklan 3 kohdan h alakohdassa on kaksi puolta: käsittelijä antaa kaikki vaatimusten osoittamiseksi tarvittavat tiedot ja sallii auditoinnit, myös tarkastukset. Hyvä sopimus voi järjestää tavallisen valvonnan esimerkiksi riippumattoman raportin, kysymysten ja sovitun tarkastuksen avulla. Se ei saa tehdä oikeudesta näennäistä. Jos toimittaja tarjoaa ainoastaan vanhan sertifikaatin, jonka soveltamisala ei kata ostettua palvelua, rekisterinpitäjällä ei ole riittävää tietoa juuri tästä käsittelystä.
Sopikaa, miten asiakastietojen ja muiden asiakkaiden salaisuuksien suoja turvataan tarkastuksessa, kuka maksaa poikkeuksellisesta tarkastuksesta ja miten kiireellinen loukkausepäily käsitellään. Kohtuullinen ennakkoilmoitus on eri asia kuin ehto, joka estää kaiken tapauskohtaisen tarkastuksen. Pyydä esimerkkiraportti ennen allekirjoitusta ja tarkista, ovatko raportin ajanjakso, järjestelmät, alikäsittelijät ja poikkeukset merkityksellisiä. Tietoturvaliitteessä on myös oltava kuvattuna ne tekniset ja organisatoriset toimet, joita palvelussa todella käytetään.
Sopimuksen elinkaari: ennen käyttöönottoa, muutoksessa ja lopussa
Ennen ensimmäistä tuotantodataa vertaa sopimuksen liitteitä tilattuun palvelupakettiin. Testaa ainakin yksi poistopyyntö ja yksi asiakastietojen vienti, jos ne ovat olennaisia omalle käytölle. Merkitse avoimet puutteet vastuuhenkilölle ja päätä, voiko palvelun avata ennen korjausta. ”Toimittaja selvittää myöhemmin” ei kerro, onko 28 artiklan vaatima sitova järjestely jo riittävän täsmällinen.
Palvelun muuttuessa tarkista uudet käyttötarkoitukset, tietoryhmät, alikäsittelijät ja maat. Esimerkiksi myöhemmin lisätty puhelutallennus voi vaatia uuden tietosuojainformaation, säilytysratkaisun ja sopimusliitteen. Säilytä hyväksytty vanha versio sekä muutosilmoitus, jotta myöhemmin voidaan nähdä, mikä ohje oli voimassa tapahtumahetkellä. Säännöllinen tarkistus on työmenetelmä, ei 28 artiklassa määrätty sama vuosiväli kaikille.
Sopimuksen päättyessä rekisterinpitäjä valitsee palautuksen tai poiston, ellei sovellettava laki vaadi säilyttämistä. Pyydä käytettävässä muodossa oleva vienti ajoissa ja varmista, että se todella avautuu uudessa järjestelmässä. Poiston vahvistuksessa eritellään aktiivinen ympäristö, mahdolliset varmuuskopiot, aikataulu ja lakisääteisesti säilytetyt tiedot. Tunnukset suljetaan erikseen. Tämä vaihe on hyvä kirjata samaan toimittajasuhteen arviointiin kuin alkuperäinen päätös.
Milloin mallilausekkeet auttavat?
Komission päätöksen (EU) 2021/915 vakiolausekkeet täyttävät 28 artiklan 3 ja 4 kohdan vaatimukset, kun liitteet ja valinnat täytetään todellisen käsittelyn mukaan. Malli ei itse nimeä juuri sinun palvelusi tietoryhmiä, säilytystä tai toimittajia. Vertaa sen liitettä pääsopimukseen ja käsittelysopimuksen malliin, mutta älä siirrä ristiriitaa kahden asiakirjan väliin. Päätös 2021/915 ei yksin täytä GDPR:n V luvun kansainvälisen siirron vaatimuksia; sitä varten arvioidaan erillinen mekanismi.
Vaikea rajatapaus: sama toimittaja kahdessa roolissa
Palveluntarjoaja voi olla yhdessä toiminnossa käsittelijä ja toisessa itsenäinen rekisterinpitäjä. Esimerkiksi palkkapalvelu käsittelee asiakkaan työntekijätietoja tämän lukuun, mutta voi käsitellä omia laskutus- ja yhteyshenkilötietoja omiin hallinnollisiin tarkoituksiinsa. Sopimuksessa on erotettava nämä käsittelyt. Jos toimittaja väittää käyttävänsä palvelutietoja oman palvelunsa kehittämiseen, kysy täsmällisesti, mitä dataa käytetään, missä muodossa, kuka saa päättää käyttötarkoituksesta ja voiko asiakas kieltää käytön. Vastaukset voivat vaikuttaa rooliin, informointiin ja oikeusperusteeseen.
Oman henkilöstön pääsy ei luo erillistä käsittelijäsuhdetta, mutta ulkoisen konsultin asema riippuu tosiasioista. Pelkkä laskutusmalli tai työnimike ei ratkaise asiaa. EDPB:n rooliohjeen mukaan myös käsittelijä voi päättää joistakin ei-olennaisista teknisistä keinoista ilman, että siitä automaattisesti tulee rekisterinpitäjä. Kirjaa siksi ”kuka päättää miksi” ja palvelun olennaiset keinot ennen sopimusmallin valintaa. Jos osapuolet määräävät tarkoitukset ja olennaiset keinot yhdessä, tarkista 26 artiklan yhteisrekisterinpitäjyyttä koskeva järjestely; se ei synny vain siksi, että kaksi yhtiötä osallistuu samaan tietovirtaan.
Sopimus kannattaa lukea yhdessä palvelun teknisen omistajan kanssa. Hän voi osoittaa, miten vienti, poisto, pääsynhallinta ja tukiyhteys toimivat tilatussa paketissa. Juristi tarkistaa, että liitteessä lupaukset vastaavat näitä havaintoja. Jos jokin luvattu toiminto vaatii lisenssin, jota ei ole ostettu, korjaa sopimusta tai tilausta ennen käyttöönottoa. Näin sopimus pysyy toteutettavana eikä ole vain 28 artiklan tekstin kopio.
Sopimuksen tarkistuksessa kannattaa vertailla myös käsittelytoimien selostetta ja asiakkaille annettua tietosuojainformaatiota. Jos sopimuksessa lukee, ettei tietoja siirretä ETA:n ulkopuolelle, mutta toimittajan tukiehto sallii etäkäytön kolmannesta maasta, selvitä ristiriita ennen hyväksyntää. Jos selosteessa on vain yksi toimittaja mutta palvelu käyttää alikäsittelijää, päivitä tiedot niiden todellisen roolin mukaan. Tämä vertailu ei tee sopimuksesta automaattisesti lainmukaista, mutta paljastaa helposti puuttuvat päätökset ja väärät oletukset. Merkitse korjauksen omistaja ja säilytä sovittu lopputulos yhdessä allekirjoitetun version kanssa.
Sopimuksen tietoryhmät kannattaa verrata siihen, mitä henkilötiedoksi on luokiteltu palvelun todellisessa käytössä. Pelkkä asiakkaan nimi kenttäluettelossa voi peittää lokitunnisteet ja vapaan tekstin. Säilytä vertailun hyväksyntä osana osoitusvelvollisuuden dokumentointia, jotta seuraava tarkastaja näkee, miksi käsittelyn kuvaus rajattiin niin kuin se rajattiin.
Usein kysytyt kysymykset
Tarvitaanko käsittelysopimus pienenkin palveluntarjoajan kanssa?
Kyllä, 28 artiklan 3 kohdan mukainen sitova järjestely tarvitaan. Artikla ei sisällä palveluntarjoajan kokoon tai tietojen määrään perustuvaa kynnysarvoa. Tavallisesti järjestely on kirjallinen, myös sähköisesti tehtävä sopimus; vaihtoehtona voi olla muu käsittelijää suhteessa rekisterinpitäjään sitova EU:n tai jäsenvaltion oikeuden mukainen oikeudellinen asiakirja. Tarkista, että kaikki vaaditut ehdot ovat siinä mukana.
Kuka laatii käsittelysopimuksen, asiakas vai toimittaja?
Käytännössä toimittaja tarjoaa usein oman vakiosopimuksensa. Rekisterinpitäjän on käytettävä riittävät takeet antavaa käsittelijää, ja käsittelijällä on myös suoria velvollisuuksia. Älä allekirjoita toimittajan sopimusta lukematta – neuvottele vähintään alikäsittelijäluettelosta ja loukkausilmoituksen määräajasta.
Voiko käyttää komission vakiosopimuslausekkeita?
Kyllä. Täytäntöönpanopäätös (EU) 2021/915 sisältää 28 artiklaan tarkoitetut vakiolausekkeet, joita voi käyttää ilman sisällöllisiä muutoksia. Huomaa, että nämä ovat eri asia kuin siirtoja koskevat vakiolausekkeet 2021/914 – molempia voidaan tarvita samanaikaisesti.
Mitä eroa on käsittelysopimuksella ja pääsopimuksella?
Pääsopimus (esimerkiksi palvelusopimus) määrittää kaupalliset ehdot. Käsittelysopimus on erillinen tietosuojaliite tai -sopimus, joka kattaa 28 artiklan vaatimukset. Ne voidaan yhdistää samaan dokumenttiin, mutta tietosuojaehtojen on aina täytettävä 28 artiklan vähimmäissisältö.
Siirtyykö vastuu kokonaan käsittelijälle sopimuksella?
Ei. Käsittelysopimus jakaa vastuuta, mutta ei poista rekisterinpitäjän omaa vastuuta. Rekisterinpitäjä vastaa käsittelijän valinnasta ja ohjeistuksesta, ja molemmat osapuolet voivat joutua vastuuseen omista laiminlyönneistään. Jos käsittelijä käsittelee tietoja omiin tarkoituksiinsa, hänestä tulee kyseisen käsittelyn osalta itsenäinen rekisterinpitäjä (28 artiklan 10 kohta).
Voiko yksi käsittelysopimus kattaa useita palveluja?
Voi, jos sama käsittelijä tuottaa useita palveluja ja liite 1 kuvaa kunkin palvelun käsittelyn erikseen. Olennaista on, että käsittelyn kuvaus, turvatoimet ja alikäsittelijät vastaavat todellisuutta jokaisen palvelun osalta. Jos palvelut eroavat merkittävästi käsittelyn luonteeltaan, erilliset sopimukset ovat selkeämpiä.
Mitä tarkoittaa dokumentoitu ohje?
Dokumentoitu ohje on kirjallinen määräys siitä, miten ja mihin tarkoitukseen käsittelijä saa käsitellä tietoja. Se voi olla itse sopimus, sen liitteet, tilaukset tai palvelupyynnöt. Käsittelijä saa käsitellä tietoja vain näiden ohjeiden mukaisesti tai laissa säädetyn poikkeuksen nojalla. Jos se itse määrää tarkoitukset ja keinot ohjeiden vastaisesti, 28 artiklan 10 kohta voi tehdä siitä rekisterinpitäjän kyseisen käsittelyn osalta. Säilytä ohjeet, jotta voit osoittaa niiden sisällön jälkikäteen.
Yhteenveto
GDPR 28 artikla edellyttää käsittelijäsuhteessa sitovaa sopimusta tai muuta artiklan sallimaa EU:n tai jäsenvaltion oikeuden mukaista oikeudellista asiakirjaa. Sen on sisällettävä kahdeksan pakollista ehtoa käsittelyn kuvauksesta tietojen palauttamiseen ja auditointioikeuteen. Kiinnitä erityistä huomiota alikäsittelyyn, kolmansiin maihin tehtäviin siirtoihin ja loukkausilmoituksen määräaikaan. Vaaditun sitovan järjestelyn puuttuminen voi olla itsenäinen rikkomus, joka voi paljastua viranomaistarkastuksessa. Käytä valmista käsittelysopimuksen mallia pohjana ja auditoi olemassa olevat sopimuksesi säännöllisesti.