Käsittelytoimien seloste on sisäinen asiakirja, jossa organisaatio luetteloi kaikki henkilötietojen käsittelytoimensa. Yleisen tietosuoja-asetuksen (GDPR) 30 artikla velvoittaa sekä rekisterinpitäjän että henkilötietojen käsittelijän ylläpitämään tällaista selostetta. Sitä ei toimiteta oma-aloitteisesti viranomaiselle, mutta se on pyydettäessä annettava Tietosuojavaltuutetun toimistolle. Käytännössä seloste on tietosuojan perusasiakirja: ilman sitä et pysty osoittamaan osoitusvelvollisuutesi täyttymistä, laatimaan tietosuojaselostetta etkä hallitsemaan sopimussuhteitasi. Tässä oppaassa käydään läpi täsmälleen, mitä 30 artikla vaatii, keitä velvollisuus koskee ja miten seloste laaditaan ilman tavallisimpia virheitä.
Mikä käsittelytoimien seloste on ja miksi se on pakollinen
Seloste (englanniksi Record of Processing Activities, ROPA) on kartta organisaatiosi henkilötietojen käsittelystä. Se vastaa kysymyksiin: mitä tietoja käsitellään, mihin tarkoitukseen, millä käsittelyperusteella, kenelle tietoja luovutetaan ja kuinka kauan niitä säilytetään. Ilman tätä karttaa et voi tietää, mitä sinun pitää suojata.
Rajaa ensin mitkä tiedot ovat henkilötietoja, myös silloin kun käytössä on tunnistekoodeja tai pääteltyjä tietoja. Selosteen tietoryhmien pitää vastata tunnistettavuutta todellisessa käyttöympäristössä.
Osoitusvelvollisuus (GDPR 5 artiklan 2 kohta) tarkoittaa, että rekisterinpitäjän on kyettävä osoittamaan noudattavansa tietosuojaperiaatteita. Seloste on tämän osoittamisen keskeisin väline. Se on myös lähtökohta lähes kaikelle muulle tietosuojatyölle: tietosuojaselosteen laatiminen, käsittelysopimusten hallinta, säilytysaikojen määrittäminen ja vaikutustenarviointien kohdentaminen pohjautuvat kaikki selostetietoihin.
Selosteen puute voi olla itsenäinen 30 artiklan rikkomus ilman tietoturvaloukkausta. Seuraamusta ei kuitenkaan voi päätellä yleisestä esimerkistä: valvontaviranomainen arvioi yksittäisen tapauksen tosiseikat ja 83 artiklan kriteerit. Käytännön hyöty on myös välitön. Ajantasainen seloste näyttää, mistä pyydetyt tiedot löytyvät ja mitä palvelusuhteita muutos koskee.
Kenen on laadittava seloste?
Pääsääntö on, että jokaisen rekisterinpitäjän ja käsittelijän on ylläpidettävä selostetta. GDPR 30 artiklan 5 kohta sisältää kuitenkin poikkeuksen alle 250 työntekijän organisaatioille. Poikkeus arvioidaan käsittelytoimittain, eikä alle 250 työntekijän koko yksin vapauta selosteesta, sillä se ei sovellu, jos:
- käsittely ei ole satunnaista;
- käsittelyyn liittyy rekisteröityjen oikeuksiin ja vapauksiin kohdistuvaa riskiä; tai
- käsitellään erityisiä henkilötietoryhmiä (9 artikla, esimerkiksi terveystiedot) tai rikostuomioita ja rikkomuksia koskevia tietoja (10 artikla).
Jos käsittely ei ole satunnaista, sisältää 9 tai 10 artiklan tietoja tai siihen todennäköisesti liittyy riski rekisteröityjen oikeuksille ja vapauksille, poikkeus ei kata kyseistä toimintoa. Esimerkiksi säännöllinen palkanmaksu on jatkuvaa käsittelyä. Pieni yhdistys voi arvioida yksittäisen satunnaisen tapahtuman erikseen, mutta sen pitää silti kartoittaa muut käsittelynsä. Selosteen laatiminen myös vapaaehtoisesti voi olla hyödyllinen tapa hallita toimintaa.
Huomaa myös roolierottelu. Rekisterinpitäjän seloste (30 artiklan 1 kohta) ja käsittelijän seloste (30 artiklan 2 kohta) ovat sisällöltään erilaisia. Jos organisaatiosi toimii sekä omissa nimissään että toimeksiannosta muiden puolesta, tarvitset molemmat. Roolin määrittely on tärkeää myös käsittelysopimuksen kannalta.
Mitä tietoja rekisterinpitäjän selosteeseen kuuluu?
GDPR 30 artiklan 1 kohta luettelee vähimmäissisällön. Rekisterinpitäjän selosteessa on oltava jokaisesta käsittelytoimesta seuraavat tiedot:
- Rekisterinpitäjän (ja mahdollisen yhteisrekisterinpitäjän, edustajan ja tietosuojavastaavan) nimi ja yhteystiedot;
- Käsittelyn tarkoitukset;
- Kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä;
- Vastaanottajaryhmät, joille tietoja on luovutettu tai luovutetaan (mukaan lukien käsittelijät ja kolmansissa maissa olevat vastaanottajat);
- Soveltuvin osin tiedot siirroista kolmansiin maihin tai kansainvälisille järjestöille, myös kyseisen maan tai järjestön nimi; 49 artiklan 1 kohdan toisessa alakohdassa tarkoitetuissa siirroissa lisäksi asiakirjat asianmukaisista suojatoimista;
- Mahdollisuuksien mukaan eri tietoryhmien suunnitellut poistamisen määräajat;
- Mahdollisuuksien mukaan yleinen kuvaus 32 artiklan 1 kohdan teknisistä ja organisatorisista turvatoimista.
Käsittelijän seloste (30 artiklan 2 kohta) on erilainen: siihen kirjataan käsittelijän, kunkin rekisterinpitäjän sekä soveltuvien edustajien ja tietosuojavastaavien nimet ja yhteystiedot, kunkin rekisterinpitäjän lukuun tehdyt käsittelyjen ryhmät, soveltuvin osin kolmannen maan tai kansainvälisen järjestön siirrot (ja 49 artiklan 1 kohdan toisen alakohdan erityiset asiakirjat) sekä mahdollisuuksien mukaan yleinen kuvaus 32 artiklan 1 kohdan turvatoimista. Käytännön mallipohja ja täyttöohjeet löytyvät erillisestä käsittelytoimien selosteen mallista.
Seloste on laadittava kirjallisesti, myös sähköisessä muodossa (30 artiklan 3 kohta). Excel-taulukko riittää muodollisesti, mutta se vanhenee nopeasti, jos sitä ei ylläpidetä osana prosesseja.
Miten seloste laaditaan käytännössä
Aloita tietovirtojen kartoituksesta. Käy läpi organisaation toiminnot – HR, myynti, markkinointi, asiakaspalvelu, IT – ja tunnista jokaisessa, mitä henkilötietoja käsitellään. Erota erilaiset tarkoitukset ymmärrettäviksi käsittelytoimiksi; asetus ei vaadi yhtä tiettyä rivijakoa. Palkanmaksu, rekrytointi ja markkinointi ovat eri tarkoituksia, vaikka ne koskisivat osin samoja henkilöitä.
Määritä jokaiselle käsittelytoimelle käsittelyperuste (6 artikla): suostumus, sopimus, lakisääteinen velvoite, elintärkeä etu, yleinen etu tai oikeutettu etu. Erityisten tietoryhmien osalta tarvitset lisäksi 9 artiklan mukaisen perusteen. Käsittelyperuste ei ole 30 artiklan pakollinen kenttä, mutta se kannattaa aina lisätä, koska se yhdistää selosteen tietosuojaselosteeseen ja rekisteröityjen oikeuksiin.
Kytke seloste eläväksi dokumentiksi. Käsittelytoimet voidaan yhdistää sovellus- ja käsittelijätietoihin sekä säilytysaikoihin, mutta organisaation on itse tarkistettava ja hyväksyttävä muutokset.
Tietosuojavaltuutetun toimisto tarjoaa selosteen laatimisesta yleistä ohjeistusta rekisterinpitäjän selostesivullaan. Lakiteksti löytyy tietosuojalaista (1050/2018) ja GDPR:n 30 artiklasta EUR-Lexissä.
Yhdistä käsittelytoimet järjestelmien ja riippuvuuksien kartoitukseen, jotta toimittajan vaihto tai uusi liittymä voidaan yhdistää oikeisiin tietovirtoihin.
Selosteen yhteys muihin velvoitteisiin
Seloste ei ole itsetarkoitus, vaan työkalu. Se ruokkii koko tietosuojaohjelmaa:
- Tietosuojaseloste: julkinen tietosuojaseloste rakennetaan käsittelytoimien selosteen tiedoista. Jos nämä kaksi eivät täsmää, olet ristiriidassa itsesi kanssa.
- Rekisteröityjen oikeudet: kun asiakas käyttää tarkastusoikeuttaan tai oikeuttaan tulla unohdetuksi, löydät selosteesta nopeasti, missä hänen tietonsa sijaitsevat.
- Vaikutustenarviointi: seloste paljastaa korkean riskin käsittelytoimet, jotka edellyttävät vaikutustenarviointia.
- Tietoturvaloukkaukset: loukkaustilanteessa seloste auttaa tunnistamaan asianomaiset käsittelytoimet, tietoryhmät ja järjestelmät. Varsinainen tutkinta selvittää, mitä tietoja ja kuinka monta rekisteröityä loukkaus koskee; nämä tiedot ovat tarpeen 72 tunnin ilmoituksen laatimiseksi.
Näin pidät selosteen ajan tasalla
Selosteen laatiminen on kertaluontoinen ponnistus, mutta sen ylläpito on jatkuvaa. Käytännössä epäonnistuminen tapahtuu lähes aina ylläpidossa: seloste laaditaan projektina, hyväksytään ja unohdetaan laatikkoon, jolloin se vastaa todellisuutta enää muutaman kuukauden. Ajantasaisuus varmistetaan kytkemällä selosteen päivitys osaksi normaaleja prosesseja.
Rakenna kolme laukaisinta. Ensinnäkin hankintaprosessi: jokainen uusi järjestelmä tai palveluntarjoaja kirjataan selosteeseen ennen käyttöönottoa, ja samalla varmistetaan, että käsittelijällä on voimassa oleva käsittelysopimus. Toiseksi muutoshallinta: kun käsittelyn tarkoitus, tietoryhmät tai säilytysaika muuttuvat, muutos viedään selosteeseen. Kolmanneksi vuosittainen katselmointi, jossa koko seloste käydään läpi ja vanhentuneet rivit poistetaan.
Seloste kannattaa myös versioinnin vuoksi ajoittaa: merkitse jokaiseen käsittelytoimeen viimeisin päivityspäivä ja vastuuhenkilö. Näin osoitusvelvollisuus täyttyy myös ajallisesti – valvontaviranomaiselle riittää harvoin pelkkä “meillä on seloste”, jos se on selvästi vanhentunut. Erityisesti erityisiä henkilötietoryhmiä käsittelevillä toimialoilla – terveydenhuolto, vakuutus, rahoitus – seloste on tarkastuksen ensimmäinen kohde, ja sen ajantasaisuus kertoo suoraan tietosuojaohjelman kypsyydestä.
Manuaalinen ylläpito voi olla työlästä. Yhdistetty järjestelmä voi helpottaa käsittely-, sovellus- ja käsittelijätietojen vertailua, mutta ei takaa automaattista päivitystä muihin asiakirjoihin eikä korvaa hyväksymisprosessia.
Mallimerkintä: rekrytointi ja sen rajat
Kuvitteellinen suomalainen yritys kirjaa rekrytoinnin yhdeksi käsittelytoimeksi. Tarkoitus on käsitellä avoimeen tehtävään saapuneita hakemuksia ja valita työntekijä. Rekisteröityjen ryhmänä ovat hakijat; tietoryhminä yhteystiedot, koulutus ja työhistoria, haastattelumuistiinpanot sekä hakijan vapaaehtoisesti toimittamat liitteet. Vastaanottajaryhminä voidaan kirjata rekrytointijärjestelmän toimittaja ja valintapäätökseen osallistuvat ulkoiset arvioijat heidän todellisen roolinsa mukaan. Jos arvioija käyttää tietoja omiin tarkoituksiinsa, roolia ei pidä arvata sopimuksen otsikosta.
Suunniteltu poistamisen määräaika sidotaan päätöksen jälkeiseen tapahtumaan ja perusteltuun säilytystarpeeseen; pelkkä ”säilytetään tarpeen mukaan” ei ole käyttökelpoinen päätös. Jos sama yritys ylläpitää erillistä hakijapankkia tulevia tehtäviä varten, sen tarkoitus, oikeusperuste ja säilytys eroavat yksittäisestä hausta. Näitä ei pidä piilottaa samaan epämääräiseen riviin. Työelämän tarpeellisuusvaatimus voi lisäksi vaikuttaa siihen, mitä työnhakijalta ylipäätään kerätään.
Selosteen rinnalle kannattaa merkitä oikeusperuste ja vastuuhenkilö, vaikka 30 artiklan 1 kohta ei nimeä oikeusperustetta pakolliseksi kentäksi. Jos haastattelualusta ottaa käyttöön automaattisen pisteytyksen, vastuuhenkilö tarkistaa käsittelyn kuvauksen, vaikutustenarvioinnin tarpeen, rekisteröidylle annettavat tiedot sekä mahdolliset uudet vastaanottajat ennen käyttöönottoa. Näin seloste toimii muutosprosessin syötteenä eikä jälkikäteisenä luettelona.
Mallimerkintä käsittelijälle: asiakkaan lukuun tehtävä palvelu
Kuvitteellinen SaaS-yhtiö tarjoaa ylläpidettyä ajanvarauspalvelua kolmelle terveysalan asiakkaalle. Sen 30 artiklan 2 kohdan seloste ryhmittelee kunkin rekisterinpitäjän lukuun tehdyt käsittelyt ja kertoo yhtiön sekä asiakkaiden yhteystiedot. Palvelun kategoriat voivat olla ajanvarausten vastaanotto, tallennus, muistutusviestit ja tekninen tukipääsy. Käsittelijän seloste ei ole kopio yhden asiakkaan rekisterinpitäjän selosteesta: asiakas päättää omista tarkoituksistaan ja säilytysajoistaan, kun taas palveluyhtiö kirjaa toimeksiantojen kategoriat.
Jos yhtiö käyttää alihankkijaa varmuuskopiointiin, selosteessa tarkistetaan mahdollinen kolmannen maan siirto ja maa tai kansainvälinen järjestö. Sopimukseen kirjataan erikseen 28 artiklan alikäsittelyehdot. Sisäinen toimittajaluettelo voi sisältää enemmän tietoa kuin 30 artiklan vähimmäisluettelo, jotta muutokset havaitaan ajoissa. Tietoturvan yleiskuvaus voi viitata pääsynhallintaan, salaukseen, palautukseen ja lokitukseen; yksityiskohtaiset asetukset pidetään tarpeen mukaan erillisessä turvadokumentissa.
Näin pidät tiedot käyttökelpoisina
Anna jokaiselle käsittelytoimelle omistaja ja tarkistuspäivä. Kun uusi järjestelmä, tietoryhmä, vastaanottaja tai säilytyspäätös muuttuu, omistaja päivittää selosteen ja tarkistaa samalla tietosuojaselosteen sekä sopimukset. Käsittelytoimien seloste ei itsessään toteuta tietopyyntöä; se osoittaa, mistä palveluista henkilön tietoja kannattaa hakea. Varmista tietojen sijainti ja hakutapa käytännössä, jotta tarkastuspyyntöön voidaan vastata.
Käytä kolmea tilaa: vahvistettu, avoin ja ei sovellu. Avoimelle tiedolle nimeä selvittäjä ja määräpäivä. Jos siirtoja ei ole, kerro miten asia tarkistettiin; tyhjällä solulla ei ole samaa merkitystä. Säilytä edellinen versio, jotta voit osoittaa, millainen käsittely oli vaikkapa ennen uuden toimittajan käyttöönottoa. Versiohistoria on hyvä työmenetelmä eikä 30 artiklan nimenomainen oma sarake.
Säännöllinen katselmus auttaa, mutta pelkkä kalenterimerkintä ei riitä. Vertaa selostetta esimerkiksi IT:n järjestelmäluetteloon, hankinnan sopimuksiin, HR:n käytäntöihin ja säilytysaikoihin. Jos palvelu on lopetettu, tarkista myös datan poisto ja käyttöoikeudet ennen kuin poistat merkinnän. Jos viranomainen pyytää selosteen, 30 artiklan 4 kohta edellyttää sen saataville asettamista; vältä siksi vain yhden henkilön omassa työtilassa olevaa tiedostoa.
Lähteet: GDPR:n 30 artikla ja EDPB:n käytännön selosteoheistus. Esimerkit ovat kuvitteellisia, eivät Tietosuojavaltuutetun toimiston päätöksiä.
Miten määrität sopivan käsittelytoimen tason?
Liian laaja rivi, kuten ”kaikki henkilöstöasiat”, peittää useita tarkoituksia ja säilytysaikoja. Liian pienet rivit, kuten yksi merkintä jokaiselle lomakekentälle, vaikeuttavat ylläpitoa eivätkä lisää ymmärrystä. Yhdistä tiedot silloin, kun tarkoitus, rekisteröityjen ryhmä ja käsittelyn konteksti ovat samoja ja merkintä pysyy arvioitavana. Erota esimerkiksi rekrytointi, työsuhteen hallinta ja työterveyshuollon tiedonkulku. Yksi työkalu voi palvella useita käsittelytoimia, ja yksi käsittelytoimi voi ulottua useaan sovellukseen.
Aloita työpajassa omistajan arkisesta kuvauksesta: miksi tietoja tarvitaan, mistä ne tulevat, ketkä käyttävät niitä ja mitä tapahtuu lopussa. Vasta sitten täytä asetuksen pakolliset kentät. Jos omistaja sanoo, että tietoja säilytetään ”ikuisesti varmuuden vuoksi”, merkitse asia ratkaistavaksi eikä hyväksytyksi säilytysajaksi. Säilytyksen rajoittamisen opas auttaa valitsemaan tarkoitukseen liittyvän päättymisen ja tarvittavan poikkeuksen. Selosteessa ilmaistaan mahdollisuuksien mukaan suunniteltu poistamisen määräaika eri tietoryhmille; sen ei tarvitse olla yksi sama luku koko riville.
Vastaanottajaryhmä ei ole sama asia kuin kaikki työntekijät, joilla on sisäinen käyttöoikeus. Kirjaa ulkoiset vastaanottajaryhmät ja myös käsittelijät palvelun mukaan. Sisäistä pääsynhallintaa koskeva lisätieto voi silti olla hyödyllinen turvatoimien kuvauksessa. Jos tietoja luovutetaan ulkopuoliselle, tarkista vastaanottajan rooli ja mahdollinen siirto kolmanteen maahan. Tietosuojaselosteen vastaanottajatieto pitää sovittaa samaan todelliseen tietovirtaan, mutta kaksi asiakirjaa palvelevat eri lukijaa.
Pienessä organisaatiossa yksinkertainen taulukko voi riittää. Sen pitää kuitenkin sisältää vastuullinen ylläpitäjä ja tapa havaita muutokset. Suuressa organisaatiossa yhteydet sovelluksiin ja sopimuksiin voivat säästää selvittelyä, mutta ne eivät tarkista tietojen oikeellisuutta itsestään. Tee kahden pistokokeen vertailu todelliseen järjestelmään: yksi tavanomainen käsittely ja yksi monimutkainen siirto tai käsittelijäketju. Jos merkintä ei kuvaa kumpaakaan uskottavasti, paranna kuvausta ennen kuin viet selosteen viranomaiselle.
Kun yhteisrekisterinpitäjyys on arvioitu 26 artiklan mukaan, merkitse mahdollinen yhteisrekisterinpitäjä ja yhteystiedot rekisterinpitäjän selosteeseen. Säilytä vastuunjaon järjestely erillisenä asiakirjana ja varmista, että seloste kuvaa juuri omaa vastuullista käsittelyä. Jos EU:n ulkopuolelle sijoittautuneen rekisterinpitäjän on nimettävä 27 artiklan mukainen edustaja unionissa asianomaisessa jäsenvaltiossa, myös tämän edustajan tiedot kuuluvat 30 artiklan 1 kohdan a alakohdan kenttään soveltuvin osin. Tietosuojavastaavaa ei pidä nimetä vain taulukon täyttämistä varten, mutta jos sellainen on nimetty, tämän yhteystiedot kirjataan. Selosteen mallipohja voi antaa kentille otsikot; oikea sisältö syntyy vasta toimintojen omistajien vahvistuksista.
Kun yksi palvelu tukee kahta tarkoitusta, hyödynnä käyttötarkoitussidonnaisuuden arviointia sen sijaan, että kirjoittaisit molemmat samaan epämääräiseen riviin. Ulkoisen osapuolen kohdalla rekisterinpitäjän ja käsittelijän roolit vaikuttavat siihen, kirjataanko tämä käsittelijäksi, vastaanottajaksi vai yhteisrekisterinpitäjäksi. Roolin vahvistus kannattaa tehdä ennen sopimus- ja selostemerkintöjen lopullista hyväksyntää.
Usein kysytyt kysymykset
Onko käsittelytoimien seloste pakollinen pienyritykselle?
Usein kyllä, mutta ratkaisevaa on kyseinen käsittely. Alle 250 työntekijän poikkeus ei kata ei-satunnaista käsittelyä, riskillistä käsittelyä eikä 9 tai 10 artiklan tietoja. Säännöllinen palkanmaksu ja asiakasrekisteri kuuluvat siksi yleensä selosteeseen. Yksittäinen aidosti satunnainen toiminto voidaan arvioida erikseen.
Mitä eroa on rekisterinpitäjän ja käsittelijän selosteella?
Rekisterinpitäjän seloste (30 artiklan 1 kohta) kuvaa oman toiminnan käsittelyt tarkoituksineen ja säilytysaikoineen. Käsittelijän seloste (30 artiklan 2 kohta) on suppeampi ja kuvaa muiden lukuun tehdyt käsittelyt. Jos toimit molemmissa rooleissa, tarvitset molemmat selosteet.
Pitääkö seloste lähettää Tietosuojavaltuutetun toimistolle?
Ei oma-aloitteisesti. Seloste ylläpidetään sisäisesti, mutta se on pyydettäessä annettava valvontaviranomaiselle (30 artiklan 4 kohta). Valmis ja ajantasainen seloste on usein ensimmäinen asiakirja, jonka viranomainen pyytää tarkastuksen yhteydessä.
Riittääkö Excel-taulukko selosteeksi?
Muodollisesti kyllä, kunhan se sisältää 30 artiklan vaatimat tiedot ja on kirjallisessa muodossa. Ongelma on ylläpito: staattinen taulukko vanhenee heti, kun käsittelytoimet muuttuvat. Yhdistetty järjestelmä voi helpottaa muutosten löytämistä, mutta jokaisella muutoksella on silti oltava omistaja, tarkistus ja hyväksyntä.
Onko käsittelyperuste merkittävä selosteeseen?
Käsittelyperuste ei ole 30 artiklan nimenomaisesti vaatima kenttä, mutta se kannattaa aina merkitä. Peruste (6 artikla, erityisten tietoryhmien osalta myös 9 artikla) sitoo selosteen tietosuojaselosteeseen ja rekisteröityjen oikeuksiin, ja se on joka tapauksessa dokumentoitava osoitusvelvollisuuden täyttämiseksi. Ilman kirjattua perustetta et myöskään pysty arvioimaan, mitkä käsittelyt kuuluvat esimerkiksi siirto-oikeuden piiriin.
Kuka vastaa selosteen laatimisesta organisaatiossa?
Vastuu on rekisterinpitäjällä eli organisaatiolla itsellään. Käytännön koostamisen tekee usein tietosuojavastaava tai tietosuojasta vastaava henkilö yhdessä eri toimintojen (HR, myynti, IT) kanssa, koska jokainen toiminto tuntee omat käsittelytoimensa parhaiten. Vastuuta ei voi ulkoistaa pois – myös ulkopuolisen laatiman selosteen oikeellisuudesta vastaa rekisterinpitäjä.
Onko seloste julkinen asiakirja?
GDPR:n 30 artikla ei edellytä selosteen julkaisemista yleisölle, mutta se on annettava pyynnöstä valvontaviranomaiselle. Julkisen organisaation asiakirjajulkisuus arvioidaan erikseen kansallisen lain mukaan. Rekisteröidyille annettava tietosuojainformaatio on eri velvoite ja palvelee eri lukijaa.
Yhteenveto
Käsittelytoimien seloste on GDPR 30 artiklan pakollinen perusasiakirja, jonka lähes jokaisen rekisterinpitäjän ja käsittelijän on laadittava. Se luetteloi käsittelyn tarkoitukset, tietoryhmät, vastaanottajat, säilytysajat ja turvatoimet, ja toimii koko tietosuojaohjelman selkärankana. Puutteellinen dokumentointi voi olla valvonnassa arvioitava tietosuoja-asetuksen rikkomus. Selosteen arvo näkyy siinä, että organisaatio pystyy selittämään käsittelyn, tunnistamaan muutokset ja toimittamaan tiedot pyydettäessä. Aloita tietovirtojen kartoituksesta, kirjaa jokainen tarkoitus omalle rivilleen ja pidä seloste elävänä osana prosessejasi. Valmis mallipohja löytyy käsittelytoimien selosteen mallista.