Käsittelytoimien seloste malli 2026: valmis ROPA-pohja (GDPR 30 art.)

Etsitkö valmista käsittelytoimien selosteen (ROPA) mallia? Tässä se on, valmiina täytettäväksi. Käsittelytoimien seloste on yleisen tietosuoja-asetuksen (GDPR) 30 artiklan mukainen pakollinen asiakirja, jossa rekisterinpitäjä luetteloi kaikki henkilötietojen käsittelytoimensa: tarkoitukset, tietoryhmät, vastaanottajat, säilytysajat ja turvatoimet. Alla on täydellinen mallipohja täyttöesimerkein, minkä jälkeen käydään läpi, miten se mukautetaan ja mitkä ovat yleisimmät virheet. Selosteen oikeudellisesta taustasta ja siitä, keitä velvollisuus koskee, kerrotaan tarkemmin 30 artiklan oppaassa.

Mitä selosteessa on oltava?

Rekisterinpitäjän seloste (30 artiklan 1 kohta) laaditaan käsittelytoimikohtaisesti: jokainen erillinen tarkoitus – palkanmaksu, rekrytointi, asiakasrekisteri, markkinointi – on oma rivinsä. Jokaisesta käsittelytoimesta kirjataan seuraavat tiedot. Mallissa käsittelyperuste on lisätty omaksi sarakkeekseen, koska se sitoo selosteen tietosuojaselosteeseen ja rekisteröityjen oikeuksiin, vaikka se ei ole 30 artiklan pakollinen kenttä.

Käsittelytoimien selosteen malli

KÄSITTELYTOIMIEN SELOSTE (rekisterinpitäjä)

Yleistiedot (kirjataan kerran):

• Rekisterinpitäjä: [Yritys X, Y-tunnus, osoite]
• Mahdollinen yhteisrekisterinpitäjä / edustaja: [•]
• Tietosuojavastaava tai yhteyshenkilö: [nimi, sähköposti]

Käsittelytoimi 1 (esimerkki: Palkanmaksu)

Kenttä	Sisältö
Käsittelytoimen nimi	Palkanmaksu ja palkkahallinto
Tarkoitus	Työntekijöiden palkkojen maksu ja lakisääteinen raportointi
Käsittelyperuste	Lakisääteinen velvoite ja sopimus (6 art. 1 c ja b)
Rekisteröityjen ryhmät	Työntekijät
Henkilötietoryhmät	Nimi, henkilötunnus, tilinumero, palkkatiedot, verotiedot
Erityiset tietoryhmät	Ammattiliiton jäsenmaksu (9 art.) – peruste 9 art. 2 b
Vastaanottajat	Tilitoimisto (käsittelijä), verohallinto, työeläkeyhtiö, palkkajärjestelmän toimittaja
Siirrot kolmansiin maihin	Ei
Säilytysaika	Kirjanpito- ja työlainsäädännön mukainen aika
Turvatoimet (yleiskuvaus)	Pääsynhallinta, salaus, lokitus (ks. liite)

Käsittelytoimi 2 (esimerkki: Verkkokaupan asiakasrekisteri)

Kenttä	Sisältö
Tarkoitus	Tilausten käsittely, toimitus ja asiakaspalvelu
Käsittelyperuste	Sopimus (6 art. 1 b)
Rekisteröityjen ryhmät	Asiakkaat
Henkilötietoryhmät	Nimi, yhteystiedot, tilaus- ja maksutiedot
Vastaanottajat	Maksunvälittäjä, kuljetusyhtiö, verkkokauppa-alustan toimittaja
Siirrot kolmansiin maihin	[Kyllä/Ei; jos kyllä, suojatoimi esim. vakiolausekkeet 2021/914]
Säilytysaika	Asiakassuhteen ajan + [X] vuotta reklamaatioita varten
Turvatoimet	Salaus, MFA, varmuuskopiot

Käsittelytoimi 3 (esimerkki: Markkinointi)

Kenttä	Sisältö
Tarkoitus	Uutiskirjeet ja suoramarkkinointi
Käsittelyperuste	Suostumus (6 art. 1 a)
Rekisteröityjen ryhmät	Uutiskirjeen tilaajat
Henkilötietoryhmät	Sähköpostiosoite, kiinnostuskohteet
Vastaanottajat	Sähköpostimarkkinointityökalun toimittaja
Säilytysaika	Suostumuksen voimassaolon ajan

[Toista jokaisesta käsittelytoimesta oma taulukko.]

KÄSITTELIJÄN SELOSTE (30 art. 2 kohta), jos toimit myös käsittelijänä:

• Käsittelijä ja tietosuojavastaava: [•]
• Kunkin rekisterinpitäjän tiedot, jonka lukuun käsittelet: [•]
• Käsittelyjen ryhmät kunkin rekisterinpitäjän lukuun: [•]
• Siirrot kolmansiin maihin ja suojatoimet: [•]
• Turvatoimien yleiskuvaus: [•]

Näin mukautat mallin

Aloita tietovirtojen kartoituksesta. Käy läpi organisaation toiminnot – HR, myynti, markkinointi, asiakaspalvelu, IT – ja tunnista jokaisessa, mitä henkilötietoja käsitellään ja mihin tarkoitukseen. Jokainen erillinen tarkoitus saa oman taulukkonsa.

Merkitse käsittelyperuste jokaiselle. Valitse 6 artiklan kuudesta perusteesta oikea: suostumus, sopimus, lakisääteinen velvoite, elintärkeä etu, yleinen etu tai oikeutettu etu. Erityisten tietoryhmien (9 artikla) osalta tarvitset lisäksi 9 artiklan mukaisen perusteen.

Johda säilytysajat tarkoituksesta. Säilytysaika ei ole vapaasti valittavissa vaan johdetaan säilytyksen rajoittamisen periaatteesta ja lakisääteisistä velvoitteista. Kirjaa aika ja sen peruste.

Kytke seloste käsittelijöihin. Jokainen vastaanottajana mainittu käsittelijä tarvitsee käsittelysopimuksen. Ristiintarkista, että sopimus on olemassa jokaiselle luettelossa mainitulle käsittelijälle.

Yleiset virheet

• Selosteen jättäminen kertaluontoiseksi. Staattinen Excel vanhenee heti. Päivitä seloste jokaisen uuden järjestelmän, käsittelijän tai kampanjan yhteydessä. Legiscopen kaltainen ratkaisu pitää selosteen ajan tasalla linkittämällä sen käsittelijöihin, säilytysaikoihin ja vaikutustenarviointeihin.
• Tarkoitusten niputtaminen. “Asiakassuhteen hoito” on liian väljä. Erottele palkanmaksu, laskutus, markkinointi ja asiakaspalvelu omiksi käsittelytoimikseen, koska niiden perusteet ja säilytysajat eroavat.
• Vastaanottajien puuttuminen. Muista kirjata myös alustatoimittajat, pilvipalvelut ja viranomaiset. Nämä unohtuvat helposti, mutta ne ovat välttämättömiä tarkastuspyyntöihin ja poistoihin vastaamiseksi.
• Erityisten tietoryhmien piilottaminen. Jos käsittelet terveys- tai jäsenyystietoja, merkitse ne selkeästi ja kirjaa 9 artiklan peruste – näiden käsittely on erityisen tarkasti säänneltyä.
• Roolin sekoittaminen. Jos toimit sekä rekisterinpitäjänä että käsittelijänä, laadi molemmat selosteet erikseen. Ne ovat sisällöltään erilaisia.

Tietosuojavaltuutetun toimisto tarjoaa selosteen laatimisesta ohjeistusta rekisterinpitäjän selostesivullaan ja käsittelijän selostesivullaan. Lakiteksti löytyy GDPR:n 30 artiklasta EUR-Lexissä sekä tietosuojalaista (1050/2018).

Esimerkki: näin täytät selosteen alusta loppuun

Ota esimerkiksi pieni verkkokauppa. Kartoituksessa tunnistetaan neljä erillistä käsittelytoimea, joista kukin saa oman rivinsä.

Ensin tilausten käsittely: tarkoitus on tilausten toimitus, peruste on sopimus (6 art. 1 b), tietoryhmät ovat nimi, osoite ja maksutiedot, vastaanottajina maksunvälittäjä ja kuljetusyhtiö, säilytysaika asiakassuhteen ajan lisättynä reklamaatioihin varautuvalla ajalla. Toiseksi kirjanpito: peruste on lakisääteinen velvoite (6 art. 1 c), säilytysaika kirjanpitolain mukainen. Kolmanneksi uutiskirjemarkkinointi: peruste on suostumus (6 art. 1 a), säilytysaika suostumuksen voimassaolon ajan, vastaanottajana sähköpostityökalun toimittaja. Neljänneksi verkkosivun analytiikka: peruste on suostumus tai oikeutettu etu käytetyistä evästeistä riippuen.

Jokaisesta käsittelytoimesta merkitään lisäksi käsittelijät. Maksunvälittäjä, kuljetusyhtiö, verkkokauppa-alusta ja sähköpostityökalu ovat kaikki henkilötietojen käsittelijöitä, joten jokaisella on oltava käsittelysopimus. Ristiintarkista, että sopimukset ovat olemassa – seloste on paras työkalu tämän tarkistamiseen.

Näin syntyy neljän rivin seloste, joka kattaa koko verkkokaupan henkilötietojen käsittelyn. Sama logiikka skaalautuu suurempaan organisaatioon: mitä useampi tarkoitus, sitä useampi rivi. Kun seloste on valmis, siitä johdetaan lähes suoraan tietosuojaseloste ja tunnistetaan vaikutustenarviointia edellyttävät korkean riskin käsittelyt.

Kun mallia laajennetaan suurempaan organisaatioon, kannattaa ryhmitellä käsittelytoimet toiminnoittain: henkilöstöhallinto, taloushallinto, myynti ja markkinointi, asiakaspalvelu sekä IT ja tietoturva. Jokaisessa ryhmässä on tyypillisesti useita käsittelytoimia, ja ryhmittely helpottaa sekä ylläpitoa että vastuiden jakamista – kunkin toiminnon vetäjä vastaa omien käsittelytoimiensa ajantasaisuudesta. Näin seloste ei ole yhden henkilön ylläpitämä irrallinen taulukko vaan koko organisaation yhteinen, elävä dokumentti, jonka oikeellisuus perustuu siihen, että tiedot tulevat suoraan niiltä, jotka käsittelyn tosiasiallisesti tuntevat.

Miksi puuttuva tai vanhentunut seloste on riski

Seloste ei ole byrokraattinen muodollisuus vaan osoitusvelvollisuuden (5 artiklan 2 kohta) käytännön väline. GDPR 83 artiklan 4 kohdan a alakohta asettaa 30 artiklan rikkomiset ylempään sakkoluokkaan, jonka enimmäismäärä on 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta liikevaihdosta. Selosteen merkitys korostuu tarkastustilanteessa: se on lähes aina ensimmäinen asiakirja, jonka valvontaviranomainen pyytää, koska siitä nähdään yhdellä silmäyksellä, hallitseeko organisaatio omat käsittelytoimensa. Puutteellinen seloste paljastaa nopeasti muitakin aukkoja – puuttuvia käsittelysopimuksia, dokumentoimattomia säilytysaikoja ja tekemättömiä vaikutustenarviointeja. Selosteen puuttuminen ei siis ole yksittäinen rikkomus vaan signaali koko tietosuojaohjelman kypsymättömyydestä. Vastaavasti ajantasainen ja täsmällinen seloste on tarkastustilanteessa vahva puolustus: se osoittaa, että organisaatio hallitsee käsittelynsä ja on toteuttanut osoitusvelvollisuutensa järjestelmällisesti. Käytännössä valvontaviranomainen suhtautuu selvästi lievemmin puutteeseen, joka on dokumentoitu ja korjattavana, kuin tilanteeseen, jossa organisaatio ei edes tiedä, mitä henkilötietoja se käsittelee. Ajantasainen kuva kansallisesta valvonnasta ja ohjeista löytyy Tietosuojavaltuutetun toimiston sivuilta.

Usein kysytyt kysymykset

Riittääkö Excel-taulukko selosteeksi?

Muodollisesti kyllä, kunhan se sisältää 30 artiklan vaatimat tiedot ja on kirjallisessa muodossa. Ongelma on ylläpito: taulukko vanhenee heti, kun käsittelytoimet muuttuvat. Dynaaminen ratkaisu, joka linkittää selosteen muihin dokumentteihin, pysyy ajan tasalla ilman manuaalista työtä.

Onko käsittelyperuste pakollinen selosteessa?

Käsittelyperuste ei ole 30 artiklan pakollinen kenttä, mutta se kannattaa aina lisätä. Peruste yhdistää selosteen tietosuojaselosteeseen ja rekisteröityjen oikeuksiin, ja se on joka tapauksessa dokumentoitava osoitusvelvollisuuden täyttämiseksi.

Miten seloste liittyy tietosuojaselosteeseen?

Julkinen tietosuojaseloste rakennetaan käsittelytoimien selosteen tiedoista. Sisäinen seloste on kattavampi ja tarkoitettu osoitusvelvollisuuden täyttämiseen, kun taas tietosuojaseloste on rekisteröidyille suunnattu tiivistelmä. Näiden kahden on oltava keskenään yhdenmukaiset.

Kuinka usein seloste on päivitettävä?

Aina, kun käsittelytoimet muuttuvat: uusi järjestelmä, uusi käsittelijä, uusi tarkoitus tai muuttunut säilytysaika. Lisäksi seloste kannattaa katselmoida kokonaisuudessaan vähintään vuosittain.

Missä muodossa seloste kannattaa pitää?

Seloste voidaan pitää taulukossa, dokumentissa tai erillisessä työkalussa. Muoto ei ole olennainen, kunhan se sisältää 30 artiklan tiedot ja on ajan tasalla. Käytännössä työkalu, joka linkittää selosteen käsittelijöihin ja säilytysaikoihin, on ylläpidon kannalta ylivoimainen taulukkoon nähden, koska muutos yhdessä paikassa päivittyy kaikkialle.

Kuinka tarkasti tietoryhmät on eriteltävä?

Tietoryhmät kuvataan ryhminä, ei yksittäisinä kenttinä. Esimerkiksi “yhteystiedot” ja “maksutiedot” riittävät; jokaista tietokenttää ei tarvitse luetella. Erityiset henkilötietoryhmät (9 artikla) on kuitenkin merkittävä selkeästi, koska niiden käsittelyyn liittyy erityisiä vaatimuksia ja usein vaikutustenarviointi.

Yhteenveto

Käsittelytoimien selosteen malli kokoaa jokaisesta käsittelytoimesta tarkoituksen, käsittelyperusteen, tietoryhmät, vastaanottajat, siirrot, säilytysajan ja turvatoimet. Aloita tietovirtojen kartoituksesta, kirjaa jokainen tarkoitus omalle rivilleen, johda säilytysajat käsittelyn tarkoituksesta ja kytke jokainen käsittelijä käsittelysopimukseen. Vältä yleisimmät virheet: selosteen jättäminen kertaluontoiseksi, tarkoitusten niputtaminen ja vastaanottajien unohtaminen. Ajantasainen seloste on koko tietosuojaohjelman selkäranka – ja usein ensimmäinen asiakirja, jonka valvontaviranomainen pyytää.