Käsittelytoimien selosteen (ROPA) ohjelmisto auttaa pitämään GDPR:n 30 artiklan tiedot yhdessä paikassa ja osoittamaan, kuka niitä ylläpitää. Se ei korvaa käsittelyjen kartoittamista eikä päätä oikeusperusteita. ROPA-ohjelmiston ostajan pitää ensin nähdä, mitä rekisterinpitäjän ja henkilötietojen käsittelijän selosteisiin kuuluu, ja kokeilla yhden käsittelyn muuttamista alusta loppuun. Tämä opas keskittyy selosteen ylläpitoon; yleisempi hankintavertailu on tietosuojaohjelmistojen vertailussa.
Mitä 30 artikla edellyttää?
GDPR:n 30 artikla erottaa rekisterinpitäjän ja käsittelijän selosteet. Rekisterinpitäjän selosteessa tulee olla muun muassa yhteystiedot, käsittelyn tarkoitukset, rekisteröityjen ja henkilötietojen ryhmät, vastaanottajaryhmät, mahdolliset kolmannen maan siirrot, eri tietoryhmien suunnitellut poistoajat mahdollisuuksien mukaan sekä yleiskuva tietoturvatoimista mahdollisuuksien mukaan. Käsittelijän seloste kuvaa sen sijaan käsittelyryhmät kunkin rekisterinpitäjän lukuun, yhteystiedot, mahdolliset siirrot ja turvatoimien yleiskuvauksen.
Sama yritys voi olla työntekijätietojen rekisterinpitäjä ja asiakkaalle tuotetun palvelun käsittelijä. Tällöin yksi epämääräinen ”GDPR-rekisteri” voi sekoittaa roolit. Pyydä toimittajaa näyttämään erilliset viennit molemmille rooleille. Sovita organisaation oma käsittelysopimus siihen, mitä se kertoo käsittelijänä asiakkaan puolesta tehtävästä työstä. Sopimus ei itsessään ole koko 30 artiklan seloste, mutta se voi auttaa tunnistamaan käsittelyryhmät ja vastuut.
Koskeeko velvoite pk-yritystä?
Alle 250 työntekijän organisaatioita koskee 30 artiklan 5 kohdan rajattu poikkeus. Se ei sovellu käsittelyyn, joka voi aiheuttaa riskin rekisteröityjen oikeuksille ja vapauksille, ei ole satunnaista tai koskee erityisiä henkilötietoryhmiä tai rikostietoja. Toistuva asiakas- tai henkilöstötietojen käsittely tekee poikkeuksen tarkistamisesta usein ajankohtaista. Pelkkä työntekijämäärä ei siis ratkaise asiaa. Arvioi käsittelytoimet ja poikkeuksen ehdot dokumentoidusti; älä väitä, että jokaiselle pienelle yritykselle syntyisi täsmälleen sama selostevelvoite kaikesta tekemisestä.
Tietosuojavaltuutetun toimiston selosteohje vahvistaa, että alle 250 työntekijän organisaatio sisällyttää selosteeseen ne toiminnot, joita rajatun poikkeuksen ehdot koskevat. Viranomainen myös erottaa sisäisen selosteen rekisteröidylle annettavasta informoinnista. Tämä ero kannattaa näyttää tuotteen demossa: voiko sisäisen rivin päivittää ilman, että julkaistava tietosuojailmoitus muuttuu hallitsemattomasti? Jos järjestelmä luo ilmoituksen selosteen tiedoista, tarkista erikseen sen 13 tai 14 artiklan sisältö ja hyväksyjä.
Seloste on kirjallinen, ja sähköinen muoto kelpaa. Se on saatettava valvontaviranomaisen saataville pyynnöstä. Asetus ei vaadi tiettyä tuotetta, PDF-muotoa eikä kuukausittaista auditointia. Taulukko voi olla riittävä, jos sisältö on oikea ja päivitys toimii. Ohjelmisto kannattaa silloin, kun tiedot muuttuvat, vastuuhenkilöitä on useita tai sama tieto tarvitaan eri yhteyksissä. GDPR-ohjelmiston kustannusopas auttaa laskemaan, onko näiden ongelmien ratkaisu lisenssin arvoinen.
Tietomalli: yksi käsittely, ei yksi sovellus
Otetaan esimerkki suomalaisesta palveluyrityksestä, joka hallitsee asiakkaiden tukipyyntöjä. Tavoite on ratkaista asiakkaan yhteydenotto. Tietoja voi olla sähköpostissa, tukipalvelussa ja laskutusjärjestelmässä, mutta nämä järjestelmät eivät automaattisesti ole kolme eri käsittelytoimea. Toisaalta yhdessä tukipalvelussa voi olla eri tarkoituksia, kuten yksittäisen asian ratkaisu ja palvelun laadun seuranta. Käsittelyn rajaus tulee tarkoituksesta, roolista ja tietovirroista, ei ohjelmiston laskutusmittarista.
Kirjaa tähän esimerkkiin asiakkaiden ja yhteyshenkilöiden ryhmät, yhteystiedot sekä viestien sisältö, vastaanottajaryhmät, toimittajat, mahdolliset siirrot ja suunnitellut poistoajat. Merkitse turvatoimista yleiskuvaus, esimerkiksi rajatut käyttöoikeudet ja pääsyn lokitus, jos ne todella ovat käytössä. Oikeusperuste ei ole 30 artiklan 1 kohdan nimenomainen pakollinen kenttä, mutta sen dokumentointi voi auttaa osoittamaan lainmukaisuutta ja pitämään tietosuojailmoituksen johdonmukaisena. Älä täytä tyhjää kenttää arvauksella vain siksi, että sovellus vaatii sen.
Varmista lisäksi, ettei seloste sekoitu rekisteröidylle annettavaan tietosuojailmoitukseen. Seloste palvelee organisaation vastuullisuutta ja viranomaisen tiedonsaantia; ilmoitus antaa rekisteröidylle GDPR:n 13 tai 14 artiklan tiedot. Tiedot liittyvät toisiinsa mutta sisällöt ja lukijat eroavat. Kun tarkoitus muuttuu, voi olla tarpeen päivittää molemmat. Hyvä ohjelmisto näyttää ristiriidan tai ainakin osoittaa omistajalle, missä toinen asiakirja on.
Säilytysajan täsmällisyys
Artikla 30 edellyttää suunniteltuja poistoaikoja eri tietoryhmille, jos ne on mahdollista määrittää. Merkintä ”säilytetään tarpeen mukaan” ei yleensä auta selittämään, miten tarvetta arvioidaan. Jos asiakastilin tiedot ja kirjanpidon tositteet palvelevat eri tarkoituksia, niiden säilytysratkaisut pitää erottaa. Lähde voi olla lakisääteinen velvoite, sopimukseen liittyvä tarve tai dokumentoitu muu peruste. Ohjelmisto voi muistuttaa tarkistuspäivästä, mutta se ei itse tiedä, mikä aika on oikea.
Käytännöllinen tapa on kirjata poiston sääntö, sitä koskeva tietoryhmä, tapahtuma josta aika alkaa sekä vastuuhenkilö. Esimerkiksi asiakaspalveluviestin poisto voi riippua asian sulkemisesta, kun taas tietty tositelaji seuraa kirjanpitosääntöä. Tämän esimerkin tarkoitus on näyttää erottelu, ei määrätä yleistä säilytysaikaa. Tarkista myös varmuuskopioiden ja toimittajien poistokäytäntö: selosteen merkintä ei yksin poista tietoa järjestelmistä.
Siirtyminen taulukosta: säilytä tieto ja epävarmuus
Kerää ensin nykyiset taulukot, tietosuojailmoitukset, sopimukset ja järjestelmäluettelot. Vertaa niiden käsittelyjen nimiä ja tarkoituksia. Jos samalle toiminnolle on eri nimi kolmessa lähteessä, älä tuo kaikkia kolmea uutena selosterivinä. Ratkaise yhdessä toiminnon omistajan kanssa, mitä toiminto tosiasiassa tekee. Jos lähteet ovat ristiriidassa, säilytä ristiriita avoimena tehtävänä, kunnes joku on vahvistanut tiedon.
Seuraavaksi tuo yksi toiminto kokeeksi. Tarkista, että alkuperäinen tarkoitus, rekisteröityjen ryhmät, vastaanottajaryhmät ja säilytyksen sääntö löytyvät uudesta viennistä. Pyydä toiminnon omistajaa hyväksymään sisältö. Vasta tämän jälkeen tuo muut käsittelyt. Näin myös mahdolliset tuontivirheet löytyvät pienestä aineistosta. Kaikki tuotteet eivät tue taulukon tuontia tai samaa sarakerakennetta; varmista tämä demon ja sopimuksen perusteella.
Älä hävitä vanhaa aineistoa vain siksi, että uusi alusta avattiin. Päätä, mikä versio on jatkossa hallittu lähde ja miten aiempi hyväksytty tieto säilytetään tarpeellisen ajan. Vanhan ja uuden yhtäaikainen muuttaminen johtaa helposti kahteen erilaiseen totuuteen. Kun uusi prosessi toimii, nimeä omistaja, joka tarkistaa muutokset, ja määritä yhteys hankintaan, IT-muutoksiin ja uusiin toimittajiin.
Muutostapahtuma on paras tuotetesti
Pyydä toimittajalta demonstraatio, jossa tukipalvelun alikäsittelijä vaihtuu. Näyttääkö ohjelma, mitä käsittelyitä muutos koskee? Voiko omistaja päivittää vastaanottajaryhmät ja mahdollisen siirron, ja tarkistaa samalla vaikutustenarvioinnin tarpeen, jos riskit muuttuvat? Tallentuuko hyväksytty muutos ja sen aika? Nämä ovat hankinnan arviointikriteerejä, eivät laissa nimettyjä ohjelmistoominaisuuksia.
Kytke seloste työhön, älä pelkkään vuosikatselmukseen
Vuosittainen katselmointi on hyödyllinen oma käytäntö, mutta uusi järjestelmä voi tehdä tiedon vanhaksi jo seuraavana päivänä. Liitä käsittelyjen tarkistus siihen hetkeen, kun hankinta aloitetaan, käyttötarkoitus muuttuu tai toimittaja vaihtuu. Omistajan pitää saada tieto muutoksesta ennen kuin uusi toiminto käynnistyy. Jos tämä ei onnistu, raskas ohjelmisto ei tee selosteesta ajantasaista.
Sovi kevyt hyväksyntäketju. Toiminnon omistaja kuvaa käytännön tietovirran, tietosuoja-asiantuntija tarkistaa oikeudellisen kuvauksen tarvittaessa ja vastuullinen henkilö hyväksyy merkinnän. Kaikille yrityksille ei tarvita samaa kolmiportaista ketjua; tärkeintä on tunnistaa, kuka voi todeta sisällön oikeaksi. Tarkista esimerkkirivi käytännön järjestelmästä. Jos seloste väittää, että vain EU:ssa olevat henkilöt pääsevät tietoihin, mutta toimittajan tuki toimii muualta, rivi ei ole luotettava.
Mitä ROPA-tuotteen hinta oikeastaan mittaa?
Selosteen ylläpito voi olla tietosuoja-alustan yksi moduuli, erillinen palvelu tai osa organisaation nykyistä hallintajärjestelmää. Älä vertaa kuukausihintoja, jos toinen tarjous sallii yhden oikeushenkilön ja toinen useita rekisterinpitäjiä. Pyydä kuvaus käyttäjärooleista, viennistä, liitteistä, versiosta, tuesta ja mahdollisista rajoista. Myös omat työtunnit ovat kustannus: vanhojen tietojen puhdistaminen ja päätösten vahvistaminen eivät tapahdu automaattisesti.
Kokeile poistaa palvelusta yksi kuvitteellinen seloste. Saako sen ulos käyttökelpoisena tiedostona yhdessä käsittelyn liitteiden ja muutoshistorian kanssa? Onko tiedostomuoto dokumentoitu? Näin arvioit vaihtokustannusta, joka ei yleensä näy aloitushinnassa. Älä päättele toimittajan kykyä muiden tuoteryhmien vertailuista; pyydä näyttö juuri ostettavasta ROPA-paketista. Laajempi pk-yrityksen GDPR-ohjelmiston opas auttaa suhteuttamaan rekisterin muihin työnkulkuihin.
Rekisterinpitäjän ja käsittelijän esimerkit rinnakkain
Ajatellaan kotimaista pilvipalveluyritystä. Sen omat henkilöstö- ja laskutustiedot kuuluvat yrityksen rekisterinpitäjänä kuvaamiin toimintoihin. Asiakkaiden palveluun tallentamat henkilötiedot voivat puolestaan kuulua asiakkaiden rekisterinpitäjärooliin, jolloin pilvipalvelu toimii niiden käsittelijänä. Tämä ei ole automaattinen luokitus kaikille palveluille; todelliset tarkoitukset ja päätösvalta on tutkittava. Selosteessa pitää silti pystyä kuvaamaan molemmat roolit selkeästi. Rekisterinpitäjän ja käsittelijän erottelu auttaa tekemään tämän ennen tietojen syöttöä.
Jos yritys käyttää samaa infrastruktuuripalvelua monen asiakkaan tietojen käsittelyssä, käsittelijän selosteen rakenne pitää pystyä ymmärtämään asiakkaiden näkökulmasta. Kenen lukuun tietoja käsitellään? Mitä käsittelyryhmiä palvelu kattaa? Missä tieto sijaitsee ja miten yleiset suojatoimet kuvataan? Yksi epämääräinen ”pilvipalvelut”-rivi ei välttämättä kerro tätä. Toisaalta jokaisen asiakkaan yksittäistä tietokenttää ei tarvitse keksiä käsittelijän selosteeseen, jos käsittelijä ei sitä tunne. Sopimus, asiakkaan ohjeet ja käytännön palvelukuvaus rajaavat, mitä voidaan vahvistaa.
Omien henkilöstötietojen selosteessa taas tarkoitukset ja tietoryhmät ovat yrityksen tiedossa. Jos henkilöstön terveystietoja käsitellään poissaolojen yhteydessä, rajoita käyttöoikeudet ja kuvaa kyseinen tietoryhmä täsmällisesti. Suomen työelämän tarpeellisuusvaatimuksen arviointi jää työnantajalle. Sama roolien erottelu tulee vastaan asiakaspyynnöissä: oman työntekijän pyyntöön yritys vastaa rekisterinpitäjänä, mutta asiakkaan loppukäyttäjän pyyntöön se yleensä auttaa asiakasta sopimuksen mukaisesti.
Miten tarkistat 30 artiklan kentät käytännössä?
Älä katso vain sitä, onko lomakkeessa otsikko ”vastaanottajat”. Avaa esimerkkirivi ja kysy, onko siihen merkitty vastaanottajaryhmä niin, että tietojen luovuttaminen voidaan ymmärtää. Pelkkä toimittajan nimi voi olla liian kapea, jos samaa tietoa annetaan myös viranomaiselle lain mukaan; toisaalta ”yhteistyökumppanit” voi olla liian epämääräinen. Ohjelmiston tulee sallia tarpeeksi tarkka kuvaus, ja vastuuhenkilön tulee tietää, miten ryhmät muodostetaan.
Tarkista siirtojen kentässä, näkyykö kolmas maa tai kansainvälinen järjestö silloin, kun siirto on soveltuva. Jos toimittaja ilmoittaa EU-isännöinnin, varmista myös pääsytuen ja alikäsittelijöiden tilanne. Älä merkitse ”ei siirtoja” vain palvelimen sijainnin perusteella. Jos siirto tapahtuu, seloste ja muu siirtodokumentaatio ovat eri asiakirjoja: selosteessa kuvataan artiklan 30 mukaiset tiedot, kun taas siirron lainmukaisuus arvioidaan erikseen. EU:n ulkopuolisten siirtojen opas selittää jälkimmäisen.
Turvatoimien yleiskuvaus ei tarkoita kaikkien teknisten asetusten julkaisemista samaan selosteeseen. Kirjaa yleisellä tasolla toteutuneet toimet, esimerkiksi roolipohjainen pääsy, varmuuskopioiden hallinta ja muutosseuranta, jos ne ovat tosia. Jos toteutus on keskeneräinen, kuvaa se avoimeksi korjaustehtäväksi. Valmis mutta väärä turvalista heikentää selosteen luotettavuutta. Tarkista toiminnosta yksi konkreettinen todiste: käyttäjäroolien näkymä, sovitun palautusharjoituksen merkintä tai toimittajan ajantasainen sopimus.
Valvo tietojen laatua ilman turhaa kaksoiskirjausta
ROPA liittyy tietosuojailmoituksiin, sopimuksiin ja vaikutustenarviointeihin, mutta kaikkea sisältöä ei ole järkevää kopioida täysimääräisenä samaan sovellukseen. Määritä, mikä asiakirja on kunkin tiedon hallittu lähde. Esimerkiksi sopimuksen allekirjoitettu versio voi olla sopimushallinnassa ja selosteessa vain linkki siihen, kuka käsittelijä on sekä mitä tarkoitusta se tukee. Jos sopimus muuttuu, prosessi ilmoittaa selosteen omistajalle. Näin vältetään se, että kaksi erillistä sopimuskopiota päivittyvät eri aikaan.
Käytä muutaman merkinnän laaduntarkistusta: valitse uusi, äskettäin muuttunut ja pitkään koskematta ollut käsittely. Vertaa jokaista sen todelliseen työprosessiin. Jos vanha rivi on edelleen oikea, merkitse arvioinnin päivä ja lähde; jos ei, tee muutos. Tällaista otantaa ei ole määrätty 30 artiklassa, mutta se voi paljastaa huonon päivityskanavan. Ongelman korjaus voi olla hankintaprosessin muutos, ei uusi ROPA-ominaisuus.
Selosteen käyttäminen pyynnössä ja muutostyössä
Kun rekisteröity kysyy tietojensa käsittelystä, seloste voi antaa alustavan kartan tarkoituksista, vastaanottajaryhmistä ja järjestelmistä. Se ei ole 15 artiklan mukainen vastaus eikä sisällä kaikkia henkilöön liittyviä tietoja. Vastuuhenkilön on etsittävä tiedot tosiasiallisista järjestelmistä, tarkistettava sisältö ja arvioitava oikeudet. Tietopyyntöjen hallinnan oppaassa käydään läpi tuo erillinen prosessi. Selosteen arvokkuus on siinä, ettei tiedonhakua tarvitse aloittaa tyhjästä.
Kun uusi palvelu otetaan käyttöön, selosteeseen kirjattu tietovirta auttaa tunnistamaan kysymyksiä, mutta se ei yksin hyväksy palvelua. Tarvitaanko uusi informointi? Muuttuuko oikeusperuste tai säilytys? Onko käsittelijäsopimus ajan tasalla? Edellyttääkö käsittelyn riski vaikutustenarviointia? Näistä tehdään erilliset, perustellut päätökset. Jos ohjelma näyttää kaikki linkit samassa näkymässä, päätösten tekeminen voi helpottua, mutta tuotteen linkitys ei tee arvioista valmiita.
Kun tarkistus tehdään, kirjaa myös se, ettei muutosta tarvittu. Tyhjä loki ei kerro, onko toimintoa katsottu vai unohdettu. Lyhyt merkintä omistajasta, päivämäärästä ja tarkistetusta lähteestä auttaa seuraavaa vastuuhenkilöä ymmärtämään tilanteen. Tämä ei tarkoita kaikkien tapahtumien massiivista auditointia: valitse tarkistus, joka vastaa käsittelyn muutosnopeutta ja riskiä. Jos omistaja ei voi vahvistaa tietoa, merkitse epävarmuus eikä vanhaa sisältöä uudeksi hyväksynnäksi.
Selosteen vienti viranomaisen pyynnöstä
Artiklan 30 mukaan seloste on saatettava valvontaviranomaisen saataville pyynnöstä. Ostajan kannattaa testata vienti tilanteessa, jossa viranomainen kysyy vain tiettyä käsittelyä tai rekisterinpitäjän roolia. Saako tiedot koottua ilman, että mukaan tulee toisen asiakkaan luottamuksellisia tietoja? Näkyvätkö viennissä tarkoitus, ryhmät, vastaanottajat, siirrot ja suunnitellut poistoajat ymmärrettävinä? Jos taulukossa näkyy vain sisäinen koodi, tarvitaan selite.
Vientiä ei tule arvioida vain ulkoasun perusteella. Tarkista sen ajantasaisuus hyväksyttyyn tietoon nähden ja se, mitä tapahtuu keskeneräisille muutosehdotuksille. Viranomaiselle toimitettava seloste ei saa vahingossa sisältää vahvistamatonta arvausta, jota käyttöliittymä näyttää luonnoksena. Toisaalta avoin puute voi olla olennainen asia organisaation korjaustyössä. Pidä nämä tilat erillään ja päätä, kuka hyväksyy lopullisen toimituksen. Näin tuotteen vienti on osa todellista hallintaprosessia.
Varmista myös, että käyttäjät ymmärtävät viennin rajauksen. Jos yritys toimii sekä rekisterinpitäjänä että käsittelijänä, viranomaiselle tai asiakkaalle annettava aineisto voi riippua siitä, kummasta roolista kysymys on. Kun vienti näyttää kaikki käsittelyt yhdellä kertaa, työntekijän pitää pystyä valitsemaan oikea kokonaisuus ja tarkistamaan, ettei toisen rekisterinpitäjän tietoa päädy mukaan. Tämä on sekä luottamuksellisuus- että oikeellisuuskysymys. Pyydä näytettäväksi sama valinta myös käytännön PDF- tai taulukkoviennissä.
Milloin selosteeseen liitetään muuta näyttöä?
Seloste kertoo, mitä toimintaa harjoitetaan, mutta se ei itsessään todista kaikkia siihen liittyviä velvoitteita täytetyiksi. Vastaanottajaryhmän takana voi olla sopimus, turvatoimien yleiskuvauksen takana käyttöoikeusmenettely ja säilytyssäännön takana tekninen poistotyö. Linkit voivat auttaa löytämään aineiston, mutta ne eivät tee siitä oikeaa tai ajantasaista. Määritä linkille omistaja ja tarkista, että asiakirja koskee selosteessa kuvattua palvelua.
Jos tietosuojailmoitus, sopimus ja seloste ovat eri järjestelmissä, merkitse mihin hyväksytty versio on tallennettu. Älä luo kolmea itsenäisesti muokattavaa kopiota. Uuden palvelun hyväksynnässä yksi vastuuhenkilö voi tarkistaa, että käsittelyn tarkoitus, toimittaja ja siirrot vastaavat toisiaan kaikissa tarvittavissa asiakirjoissa. Tämä on käytännön suositus, ei 30 artiklan vaatimus tietystä tietomallista. Ohjelmiston arvo näkyy siinä, kuinka helposti ristiriita voidaan havaita ja korjata.
Usein kysytyt kysymykset
Onko Excel-seloste lainvastainen?
Ei. GDPR hyväksyy kirjallisen ja sähköisen selosteen, eikä määrää sovellusta. Sisällön, ajantasaisuuden ja viranomaiselle saatavuuden pitää kuitenkin toimia käytännössä.
Tarvitaanko rekisterinpitäjän ja käsittelijän seloste?
Jos organisaatio toimii molemmissa rooleissa, arvioi molemmat 30 artiklan erilliset velvoitteet. Sama lomake ei automaattisesti täytä kahta erilaista tietosisältöä.
Pitääkö kaikki säilytysajat olla numeroina?
Asetus puhuu suunnitelluista poistoajoista, mikäli ne ovat mahdollisia. Merkitse täsmällinen aika tai perusteltu, toteutettava määräytymissääntö kyseiselle tietoryhmälle. Yleinen ”toistaiseksi” ei usein kerro, milloin poistaminen tapahtuu.
Riittääkö automaattisesti tuotettu seloste?
Ei ilman sisällön tarkistusta. Ohjelma voi luoda rungon tai ehdottaa tietoja, mutta toiminnon omistajan on vahvistettava tarkoitus, tietovirta, vastaanottajat ja säilytys todellista käsittelyä vasten.
Yhteenveto
ROPA-ohjelmiston onnistuminen mitataan sillä, pysyykö 30 artiklan tieto oikeana, erottuuko rekisterinpitäjän ja käsittelijän rooli ja saako organisaatio hyväksytyn selosteen ulos tarvittaessa. Testaa hankinnassa yksi käsittely ja yksi myöhempi muutos. Taulukko voi riittää vakaaseen ympäristöön; yhteinen sovellus voi auttaa, kun omistajia ja muutoksia on paljon. Vastuu sisällöstä pysyy organisaatiolla.
Lähteet tarkistettu 27.9.2026.