Rekisterinpitäjä päättää henkilötietojen käsittelyn tarkoituksista ja olennaisista keinoista. Henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän lukuun. Ero vaikuttaa muun muassa sopimukseen, informointiin, tietopyyntöihin ja tietoturvaloukkausten käsittelyyn. Roolia ei kuitenkaan ratkaista sillä, kumpi osapuoli maksaa laskun tai mitä palveluntarjoajan vakioehdoissa lukee.
Sama yritys voi olla asiakkaansa tiedostojen säilyttämisessä käsittelijä ja oman laskutuksensa yhteyshenkilötietojen käsittelyssä rekisterinpitäjä. Siksi rooliarvio tehdään käsittelytoimittain. Tämä opas näyttää arviointiperusteet ja täytetyn esimerkin asiakaspalvelun ulkoistamisesta. Lopputuloksena syntyy perusteltu vastuunjako, ei yksi pysyvä luokitus koko toimittajalle.
Määritelmät alkavat tosiasiallisesta päätösvallasta
GDPR:n 4 artiklan määritelmät koskevat käsittelyn todellista järjestämistä. Rekisterinpitäjä voi määrätä tarkoituksista ja keinoista yksin tai yhdessä muiden kanssa. Käsittelijä toimii erillisenä tahona toisen lukuun. Organisaation omasta työntekijästä ei tule erillistä henkilötietojen käsittelijää sillä perusteella, että hän avaa asiakasrekisterin työtehtävässään.
Tietosuojavaltuutetun käsittelijäohje erottaa myös ohjelmiston toimittamisen itse tietojen käsittelystä. Pelkkä laitevalmistaja tai ohjelmistojulkaisija ei ole tämän asiakkaan tietojen käsittelijä, jos se ei käsittele henkilötietoja eikä pääse niihin. Etätuki, telemetria tai ylläpito voivat muuttaa tosiasioita ja vaativat oman arvionsa.
Rooli voi määräytyä myös lainsäädännöstä. Muulloin selvitetään, kuka päättää, miksi tietoja käytetään, keistä niitä kerätään ja millä olennaisilla ehdoilla käsittely tapahtuu. Sopimus on tärkeä näyttö, mutta ristiriidassa toteutuksen kanssa pelkkä sopimusnimike ei ratkaise asiaa.
Tarkoitus ja olennaiset keinot erotetaan toteutustavasta
EDPB:n lopulliset suuntaviivat 07/2020 erottavat olennaiset keinot käytännön teknisistä valinnoista. Olennaisiin keinoihin kuuluvat esimerkiksi käsiteltävät henkilöt ja tietoryhmät, käsittelyn kesto sekä vastaanottajat. Sopivan laitteiston tai yksityiskohtaisen turvatoteutuksen valinta voidaan tilanteen mukaan jättää käsittelijälle.
Pilvipalvelun vakiomuotoisuus ei yksin tee tarjoajasta rekisterinpitäjää asiakkaan sisältöihin. Asiakas voi päättää käyttää ennalta määriteltyä palvelua omiin tarkoituksiinsa ja hyväksyä sen olennaiset käsittelyehdot. Toisaalta asiakas ei voi jättää selvittämättä itsenäistä tietojen käyttöä vetoamalla siihen, ettei ehtoja voinut neuvotella.
Palveluntarjoajan korvaus on tavallinen osa toimeksiantoa. Se ei yksin tarkoita omaa henkilötietojen käsittelytarkoitusta. Eri asia on esimerkiksi toimittajan päätös yhdistää asiakkaiden viestejä omaan koulutusaineistoonsa. Tällöin on tunnistettava uuden käsittelyn tarkoitus ja päätösvalta ennen roolin ja lainmukaisuuden ratkaisemista.
Kahdeksan tilannetta arvioinnin tueksi
Taulukon tilanteet ovat kuvitteellisia ja rajattuja. Ne auttavat kysymään oikean kysymyksen; palvelun ammattinimike ei takaa lopputulosta.
| Tilanne | Ratkaiseva tosiseikka | Näiden tosiseikkojen mukainen arvio |
|---|---|---|
| Asiakirjojen tallennus asiakkaan ohjeilla | Sisältöä ei käytetä toimittajan tarkoituksiin | Käsittelijä tallennuksessa |
| Palveluntarjoajan oma laskutus | Toimittaja järjestää oman myyntinsä hallinnon | Rekisterinpitäjä laskutuksen yhteystiedoissa |
| Asiakaspalvelun vastausten lähettäminen | Asiakas päättää palvelun tarkoituksen ja tietojen käytön | Käsittelijä ohjatussa tukityössä |
| Työntekijä vastaa työnantajan asiakkaalle | Hän toimii organisaation alaisuudessa | Ei erillinen ulkopuolinen käsittelijä |
| Paikallisen ohjelmiston myynti ilman pääsyä | Toimittaja ei käsittele asiakassisältöä | Ei käsittelijä pelkän myynnin vuoksi |
| Oma mallikoulutus asiakkaan viesteistä | Toimittaja päättää itsenäisestä uudesta käytöstä | Erillinen rekisterinpitäjäarvio koulutuksessa |
| Yhdessä suunniteltu ilmoittautuminen | Molemmat määräävät yhteisen keruun tarkoituksen ja olennaiset keinot | Yhteisrekisterinpitäjät määritellyssä vaiheessa |
| Käsittelijä valitsee salaustoteutuksen | Tarkoitus ja olennaiset rajat pysyvät asiakkaalla | Tekninen harkinta voi sopia käsittelijärooliin |
Rekisterinpitäjäasema ei aina edellytä, että taho itse näkee jokaisen tietueen. Ratkaisevaa on vaikutus käsittelyn tarkoituksiin ja keinoihin. Näkymättömän taustaprosessin järjestäjä ei vapaudu rooliarviosta pelkän käyttöliittymäpääsyn puuttumisen vuoksi.
Täytetty rooliarvio: Noutopiirin asiakaspalvelu
Kuvitteellinen Noutopiiri Oy myy varaosia ja ulkoistaa toimituskysymysten asiakaspalvelun Vastaustuki Oy:lle. Noutopiiri määrittää, mitä asiakkaille vastataan tilausten tilasta, mihin tietoryhmiin tukihenkilöt pääsevät ja milloin viestit poistetaan. Vastaustuki järjestää vuorot ja valitsee soveltuvan asiakaspalveluohjelmiston sovittujen vaatimusten sisällä.
Arvioinnissa käydään läpi sopimus, ohje, palvelun asetukset ja esimerkkitapaus. Pelkkä liite ”toimittaja on käsittelijä” jätetään riittämättömäksi, kunnes tiedetään, mitä palvelussa tapahtuu. Järjestelmäkartoitus auttaa löytämään myös viestiliitteiden tallennuksen ja erilliset tukiraportit.
| Päätöskohta | Esimerkin täytetty vastaus |
|---|---|
| Tarkoitus | Vastata Noutopiirin tilausten toimituskysymyksiin |
| Tiedot | Tilaustunniste, asiakkaan yhteystieto, toimitustila ja tarpeellinen viesti |
| Tarkoituksen päättäjä | Noutopiiri |
| Olennaiset rajat | Noutopiiri hyväksyy tietoryhmät, pääsyt, säilytyksen ja alikäsittelyn |
| Vastaustuen harkinta | Työvuorot ja tekninen toteutus sovituissa rajoissa |
| Oma asiakasviestien käyttö | Ei sallittu tähän toimeksiantoon |
| Johtopäätös | Vastaustuki toimii käsittelijänä kuvatun asiakaspalvelun osalta |
Vastaustuen oma henkilöstöhallinto ja Noutopiirille lähetettyjen laskujen hallinta ovat eri käsittelyä. Niiden rekisterinpitäjäasema ei muuta Noutopiirin asiakaspalveluviestejä automaattisesti Vastaustuen omaksi aineistoksi. Käytännössä oikeudet ja dokumentit erotetaan niin, ettei sama käyttäjäryhmä saa kaikkea ”toimittajasuhteeseen liittyvää” tietoa.
Kun toimittaja ehdottaa aineiston omaa käyttöä
Sopimusesityksessä Vastaustuki haluaa käyttää asiakasviestejä oman kielimallinsa kehittämiseen kaikille asiakkaille. Tämä ei sisälly Noutopiirin toimituskysymysten hoitoon. Rooliarvioon lisätään oma rivi koulutustarkoitukselle ja ehdotus jätetään hyväksymättä nykyisessä hankinnassa.
Jos tarkoitus ja olennaiset keinot määräytyisivät yksin Vastaustuen päätöksillä, sen oma rekisterinpitäjäasema olisi arvioitava. Tästä ei automaattisesti seuraa yhteisrekisterinpitäjyyttä Noutopiirin kanssa. Jos molemmat tosiasiassa osallistuisivat yhteisen koulutuskäsittelyn määräämiseen, arvio voisi olla toinen. Ratkaisu tarvitsee tosiseikat eikä pelkkää ”yhteinen hyöty” -lausumaa.
Myös lupaus vain anonyymeistä tuloksista tarvitsee tarkennuksen. Anonymisoinnin arviointi koskee lopputuloksen tunnistettavuutta, mutta aineiston käsittely ennen anonymisointia vaatii edelleen roolin, käsittelyperusteen ja muut edellytykset. Mallin nimen muuttaminen analytiikaksi ei ratkaise asiaa.
Yhteisrekisterinpitäjyys rajataan oikeisiin vaiheisiin
Yhteinen päätös ei ole ainoa tapa osallistua yhdessä tarkoitusten ja keinojen määräämiseen. Myös toisiaan täydentävät ja käsittelyn kannalta erottamattomat päätökset voivat johtaa yhteisrekisterinpitäjyyteen. Tavallinen yhteistyö, saman järjestelmän käyttäminen tai molempien kaupallinen hyöty ei kuitenkaan yksin osoita sitä.
Kuvitteelliset koulutusyhtiöt A ja B päättävät yhdessä seminaarin ilmoittautumisen tietokentät, yhteisen osallistujaviestinnän ja tietojen säilytyksen. Ne ovat näillä oletuksilla yhteisrekisterinpitäjiä tässä käsittelyssä. Jos A lähettää myöhemmin itsenäisesti päättämänsä oman kampanjan, aiempi yhteisjärjestely ei yksin kata tätä uutta käyttöä tai tee siitä sallittua.
26 artiklan järjestelyssä määritellään vastuut läpinäkyvästi, erityisesti oikeuspyynnöt ja informointi. Järjestelyn keskeiset osat annetaan rekisteröityjen saataville. Henkilö voi silti käyttää oikeuksiaan suhteessa kuhunkin yhteisrekisterinpitäjään. Yksi yhteyspiste helpottaa toimintaa, mutta sitä ei käytetä perusteena torjua toiselle osapuolelle tullut pyyntö.
Sopimuksen ja toiminnan pitää vastata roolia
Noutopiirin ja Vastaustuen asiakaspalveluun tarvitaan 28 artiklan käsittelysopimus tai muu artiklan mukainen sitova oikeudellinen asiakirja. Siinä kuvataan todellinen käsittely eikä vain kopioida asetusta. Sopimusmallin liitteissä yksilöidään muun muassa ohjeet, turvallisuus ja alikäsittely.
Palvelun päättyessä Noutopiiri kokeilee sovitun palautuksen yhdellä keksityllä asiakastapauksella. Viesti palautuu, mutta liite puuttuu. Palautus hyväksytään vasta liitteen ja tarpeellisen asiayhteyden tarkistamisen jälkeen; tiedot ja jäljellä olevat kopiot poistetaan sovittujen ja soveltuvien oikeudellisten ehtojen mukaan.
Sopimuksen puuttuminen on korjattava puute, mutta se ei itsessään muuta ohjeilla toimivaa tarjoajaa itsenäiseksi rekisterinpitäjäksi. Vastaavasti allekirjoitettu DPA ei muuta toimittajan itsenäistä käyttötarkoitusta asiakkaan lukuun tapahtuvaksi käsittelyksi. Virhe korjataan sekä asiakirjaan että toteutukseen.
Alikäsittelijälle tarvitaan ennakollinen erityinen tai yleinen kirjallinen lupa. Yleisen luvan yhteydessä suunnitelluista lisäyksistä ja vaihdoista ilmoitetaan, jotta rekisterinpitäjä voi vastustaa muutosta. Vastaustuki ei siirrä vastuutaan kokonaan valitsemalleen tekniselle palvelulle. Myös ETA:n ulkopuoliset siirrot ratkaistaan erikseen; rooliluokitus ei ole siirtoperuste.
Jos siirron suojatoimeksi valitaan vakiolausekkeet, käytä todettuja rooleja SCC-moduulin ja liitteiden valinnassa. Sopimuksen ketju, ohjeet ja tietovirrat on saatava vastaamaan toisiaan.
Oikeuspyyntö ja tietoturvaloukkaus kokeilevat vastuunjakoa
Noutopiirin asiakas pyytää Vastaustuelta kaikki asiakaspalveluviestinsä. Vastaustuki välittää pyynnön sovitusti rekisterinpitäjälle ja auttaa hakemaan aineiston ohjeiden mukaisesti. Se ei päätä itsenäisesti, että pyyntö hylätään siksi, ettei asiakas ole Vastaustuen sopimuskumppani. Tietopyynnön käsittelyohje kattaa myös tämän reitin ja määräaikojen seurannan.
Harjoituksessa viestin liite löytyy ulkoisen tukijärjestelmän arkistosta, vaikka pääjärjestelmän haku ei näytä sitä. Vastuut tarkennetaan niin, että Vastaustuki etsii myös sovitut arkistot. Noutopiiri arvioi luovutettavan kokonaisuuden ja muiden henkilöiden tietojen suojaamisen. Roolitaulukon arvo näkyy siinä, että joku vastaa myös liitteiden hausta.
Käsittelijän on ilmoitettava havaitsemastaan henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä. Rekisterinpitäjä arvioi oman viranomais- ja henkilöilmoitusvelvollisuutensa edellytykset. Loukkausten käsittelyprosessiin kirjataan toimiva yhteys ja tiedon täydentäminen; käsittelijä ei odota asiakkaan mahdollista viranomaismääräaikaa ennen yhteydenottoa.
Vastuu ja myöhempi tarkistus
Käsittelijällä on omia suoria velvollisuuksia muun muassa turvallisuudesta ja alikäsittelystä. 82 artiklan vahingonkorvausvastuu arvioidaan sen ehtojen mukaan: käsittelijän vastuu liittyy erityisesti käsittelijää koskevien velvoitteiden rikkomiseen tai lainmukaisten ohjeiden vastaiseen tai ulkopuoliseen toimintaan. Jokainen operatiivinen virhe ei automaattisesti vaihda roolia.
Artiklan 28(10) tilanne on eri: jos käsittelijä asetuksen vastaisesti määrää itse tarkoitukset ja keinot, sitä pidetään rekisterinpitäjänä tämän käsittelyn osalta. Sopimuksen vastuunrajoitus ei poista rekisteröidyn lakisääteisiä oikeuksia tai viranomaisen toimivaltaa.
Noutopiiri säilyttää lopullisen päätöstaulukon, sopimusversion ja havaintoviitteet osoitusvelvollisuuden aineistossa. Uusi analytiikkakäyttö, vastaanottaja tai olennaisesti muuttunut ohje avaa arvion uudelleen. Tarkistuksen kohde on muuttunut käsittely, joten vanha luokitus ei jää voimaan pelkän saman toimittajanimen perusteella.