Siirtovaikutustenarvioinnin eli TIA:n tulos on perusteltu päätös tietystä tiedonsiirrosta. Siinä selvitetään, toimivatko valitut suojatoimet vastaanottajaan sovellettavan lainsäädännön ja käytäntöjen oloissa. Pelkkä allekirjoitettu sopimus tai palvelimen eurooppalainen osoite ei vastaa tähän kysymykseen. Arvio voi myös osoittaa, ettei suunniteltua yhteyttä avata.
Tässä oppaassa rakennetaan arvio kuvitteellisen suomalaisen Huoltopolku Oy:n tukipalvelulle. Esimerkin yritykset, tekniset havainnot ja päätökset ovat opetusesimerkkejä. Kohdemaan oikeudesta ei esitetä kuvitteellista hyväksyvää lausuntoa: puuttuva oikeudellinen selvitys näkyy nimenomaan käyttöönoton esteenä. Siirtoperusteiden laajempi vertailu löytyy oppaasta henkilötietojen siirrot EU:n ulkopuolelle.
Rajaa TIA:n tehtävä ennen selvitystä
TIA kuuluu erityisesti tilanteeseen, jossa siirron suoja rakennetaan GDPR:n 46 artiklan välineen, kuten vakiolausekkeiden, varaan. Arvio tutkii tämän suojan tosiasiallista toimivuutta. Se ei itsessään ole siirtoperuste eikä korvaa käsittelyn oikeusperustetta. Jos riittävyyspäätös kattaa vastaanottajan ja siirron, samanlaista 46 artiklan lisäarviota ei tarvita. Muut tietosuojavelvoitteet säilyvät.
Komission ajantasaisesta luettelosta tarkistetaan päätöksen soveltamisala. Yhdysvaltojen riittävyyspäätös koskee EU–US Data Privacy Frameworkiin osallistuvia organisaatioita, ei automaattisesti kaikkia yhdysvaltalaisia yrityksiä. Pelkkä konsernin tunnettu nimi ei vahvista tietyn sopimusosapuolen kuulumista soveltamisalaan. Tarkistus ja sen ajankohta tallennetaan hankinnan aineistoon. Komission riittävyyspäätösten luettelo.
Huoltopolun hankinnassa toimittaja ehdottaa vakiolausekkeita ja erillistä ulkomaista tukiyhtiötä. Arvion lähtötietoihin ei ole toimitettu soveltuvaa riittävyyspäätöstä. Hankintapäällikkö merkitsee asian avoimeksi eikä muunna toimittajan ehdotusta valmiiksi oikeudelliseksi johtopäätökseksi. Sopimuksen allekirjoitusajankohta siirretään, kunnes vastaanottaja ja sovellettava siirtoväline voidaan yksilöidä.
TIA on eri arvio kuin 35 artiklan tietosuojan vaikutustenarviointi. Sama hanke voi tarvita molemmat. Huoltopolku säilyttää ne samassa hankekansiossa mutta antaa niille erilliset päätökset: hyväksyttävä siirtorakenne ei vielä ratkaise esimerkiksi työntekijöiden tarpeettoman seurannan ongelmaa.
Vaihe 1: kuvaa todellinen pääsy tietoihin
EDPB:n siirtokriteereissä tietoja asetetaan toisen rekisterinpitäjän tai käsittelijän saataville kolmanteen maahan. Etäkäyttö voi siksi olla siirto ilman tiedoston lataamista. Saman rekisterinpitäjän oman työntekijän ulkomaanmatka ei yksin ole tällainen luovutus toiselle taholle, vaikka käyttöympäristön turvallisuus on silti arvioitava. EDPB:n lopulliset suuntaviivat 05/2021.
Huoltopolku tarjoaa laitteiden huoltoa yritysasiakkaille. Sen suomalainen palvelutiimi käyttää suomalaista ohjelmistotoimittajaa, joka ehdottaa intialaisen erillisen tukiyhtiön käyttöä. Työpyynnöissä on asiakkaan työntekijän nimi, työpuhelin, huoltokohde ja vapaatekstinen vikakuvaus. Tuen pitäisi selvittää ohjelmistovirheitä, ei arvioida asiakkaiden työntekijöitä.
| Arvion kenttä | Esimerkin täytetty havainto | Seuraus rajaukselle |
|---|---|---|
| Viejä | Suomalainen ohjelmistotoimittaja käsittelijänä | Huoltopolku osallistuu rekisterinpitäjänä alihankinnan hyväksyntään |
| Vastaanottaja | Sopimuksessa yksilöity erillinen Intian tukiyhtiö | Konsernin yleinen tietosuojalupaus ei riitä |
| Pääsy | Etäistunto tuotannon tietokantaan virhetilanteessa | Pelkkä EU-palvelin ei poista arvioitavaa siirtoa |
| Aineisto | Yhteystiedot, kohde ja vapaa kuvaus | Vapaateksti voi sisältää odottamattomia henkilötietoja |
| Ajallinen rajaus | Ehdotettu päivystys kaikkina vuorokaudenaikoina | Arvio koskee toistuvaa saataville asettamista |
| Kopiot | Toimittaja sallii alkuperäisessä ehdotuksessa diagnostiikkaviennin | Myös tukitiedoston sijainti ja poistaminen selvitetään |
Tekninen omistaja täydentää tiedot järjestelmäkartoituksesta. Hän huomaa, että tietokantayhteys ei ole ainoa reitti: tukipyyntöön liitetty kuvakaappaus päätyy eri palveluun. Tämä erillinen vastaanottaja lisätään arvioon. Muuten tuotantoyhteyden sulkeminen jättäisi saman asiakastiedon kulkemaan liitteissä.
Vaihe 2: yhdistä sopimusroolit oikeaan siirtovälineeseen
Esimerkin käsittelijältä toiselle käsittelijälle suuntautuva siirto ohjaa tarkastelemaan vuoden 2021 vakiolausekkeiden moduulia 3. Ensin varmistetaan myös vastaanottajan käsittelyn kuuluminen lausekkeiden soveltamisalaan; näitä lausekkeita ei valita automaattisesti käsittelyyn, johon GDPR jo soveltuu vastaanottajan osalta. Moduulien tarkempi valinta käsitellään oppaassa vakiolausekkeet ja SCC-moduulit.
Huoltopolun hankintavastaava yhdistää yhteen tarkastukseen ohjelmistotoimittajan sopimuksen, alikäsittelijän nimen ja tukipalvelun kuvauksen. Ehdotuksesta löytyy eri yhtiön nimi kuin teknisessä esittelyssä. Arvio merkitään keskeneräiseksi. Tietosuojatiimi ei voi selvittää vastaanottajaan sovellettavaa oikeutta luotettavasti, jos vastaanottajan identiteetti vaihtuu asiakirjasta toiseen.
Käsittelysopimuksen alihankintamenettely ja siirron suoja tarkistetaan rinnakkain. Ne ratkaisevat eri kysymyksiä: lupa käyttää alikäsittelijää ei yksin osoita kansainvälisen siirron edellytyksiä. Huoltopolun ostoehtoon kirjataan siksi, että hyväksyntä koskee vain arvioitua vastaanottajaa ja kuvattua tukitapaa.
Vaihe 3: selvitä kohdemaan oikeus ja käytäntö vastaanottajan kannalta
Vakiolausekkeiden 14 kohdassa arvio yhdistää siirron olosuhteet, relevantit lait ja käytännöt sekä täydentävät suojatoimet. Osapuolet dokumentoivat arvion. Pelkkä ilmoitus siitä, ettei viranomaispyyntöjä ole tullut, ei ratkaise asiaa: käytännön kokemukseen perustuvan päätelmän on saatava tukea muusta luotettavasta ja edustavasta aineistosta. Jos asianmukaisia suojatoimia ei voida varmistaa, siirto keskeytetään. Komission vakiolausekkeet, 14 kohta ja alaviite 12.
Huoltopolku ei anna Intialle yleistä punaista tai vihreää arvosanaa. Se pyytää vastaanottajan toimintaa koskevan selvityksen: mitä tiedonsaantivaltuuksia siihen voi kohdistua, millaisia salassapitovelvoitteita pyyntöihin liittyy ja mitä oikeussuojakeinoja kyseisessä tilanteessa on. Selvityksen tekijän pitää erottaa lain teksti, oikeuskäytäntö ja oma tulkintansa. Vanha maakohtainen esitys, jossa ei mainita vastaanottajan toimialaa, palautetaan täydennettäväksi.
Viranomaisvalvonnan arvioinnissa EDPB:n neljä olennaista taetta koskevat selkeitä ja saatavilla olevia sääntöjä, tarpeellisuutta ja oikeasuhtaisuutta, riippumatonta valvontaa sekä tehokkaita oikeussuojakeinoja. Tarkoitus on arvioida kokonaisuutta kyseisessä tilanteessa. EDPB:n suositukset 02/2020.
| Kysymys | Vastaanottajan vastaus esimerkissä | Arvioijan johtopäätös |
|---|---|---|
| Onko oikeushenkilö yksilöity? | Korjattu sopimus sisältää yhden yhtiön | Tämä aiempi epäselvyys on poistunut |
| Mitä sääntelyä juuri tukipalveluun sovelletaan? | Lähetetty yleinen toimialaesitys | Vastaanottajakohtainen perustelu puuttuu |
| Onko pyynnöistä edustavaa kokemusta? | Myyntiviesti sanoo, ettei pyyntöjä ole saatu | Aikaväliä, kirjanpitoa ja vertailua ei osoiteta |
| Voiko tuen pääsyn rajata synteettiseen testiaineistoon? | Virhe voidaan toistaa erillisessä testiympäristössä | Vaihtoehtoinen rakenne selvitetään heti |
Taulukko ei väitä, että kohdemaan lainsäädäntö olisi lopullisesti todettu riittämättömäksi. Se kertoo, ettei suunnitellun siirron hyväksymistä tukevaa näyttöä ole saatu. Tämä on käytännössä eri asia kuin väittää kaikkien samaan maahan tehtävien siirtojen olevan kiellettyjä.
Vaihe 4: kokeile suojaa siihen pääsyyn, josta olet huolissasi
EDPB:n suositus 01/2020 etenee kartoituksesta siirtovälineeseen, oikeuden arvioon, täydentäviin toimiin, toteutukseen ja seurantaan. Suoja valitaan havaittua puutetta varten. Salaus ei estä vastaanottajan selväkielistä pääsyä, jos palvelu vaatii tietojen lukemista ja vastaanottaja hallitsee purkuavaimia. Sopimuksella ei myöskään yksin sidota vieraan valtion viranomaisen toimivaltaa. EDPB:n lopulliset suositukset 01/2020.
Huoltopolun tekninen kokeilu antaa kolme erilaista tulosta. Tietokanta on levyllä salattu, mutta tukitunnus näkee asiakkaan nimen. Tämä suojaa eri uhkaa kuin arvioinnissa käsitelty vastaanottajan pääsy. Toisessa kokeilussa nimi korvataan numerolla, mutta vapaa kuvaus sisältää työntekijän allekirjoituksen. Kolmannessa kokeilussa virhe toistetaan täysin keksityillä työpyynnöillä, joissa ei ole tuotannosta kopioituja nimiä, tunnuksia tai kuvauksia.
Ensimmäistä vaihtoehtoa ei merkitä korjaavaksi toimenpiteeksi. Toinen palautetaan suunnitteluun: pseudonymisointi vaatii muutakin kuin nimikentän käsittelyn. Kolmannesta tehdään rajattu toimintatapa ohjelmistovirheiden selvittämiseen. Se ei kuitenkaan oikeuta avaamaan tuotantoa silloin, kun testitapauksen rakentaminen on hitaampaa.
Erillisessä varmuuskopiohankkeessa asetelma voisi olla toinen. Jos vastaanottaja säilyttäisi vain ennen siirtoa salattuja tiedostoja ilman pääsyä avaimiin, salauksen ja avainhallinnan toimivuus olisi arvioinnin keskeinen kysymys. Huoltopolku ei lainaa tällaisen säilytyspalvelun myönteistä arviota omaan etätukeensa, koska palvelujen tarvitsema pääsy on erilainen.
Vaihe 5: kirjaa täytetty päätös ja toimeenpane rajaus
Esimerkin päätös kuuluu: Tuotannon henkilötietojen etäkäyttöä Intian tukiyhtiölle ei avata. Vastaanottajakohtainen oikeudellinen selvitys puuttuu, eikä ehdotettu salaus estä tukitunnuksen selväkielistä pääsyä. Ohjelmistovirheitä saa selvittää erillisessä synteettisessä testiympäristössä alla kuvatuin ehdoin. Päätös ei ole hyväksyntä samalle siirrolle pienemmällä riskiluvulla.
Tekninen omistaja poistaa tuotantoyhteyden ehdotetusta käyttöoikeusryhmästä. Palvelupäällikkö muuttaa tukiohjeen: asiakkaan kuvakaappausta tai tietokantavientiä ei lähetetä tähän tukikanavaan. Suomalainen tiimi rakentaa virheestä testitapauksen, tarkistaa sen sisällön ja kirjaa tarkastajan tukipyyntöön. Jos virhettä ei voi toistaa näin, tapaus palautuu suomalaiseen tukeen ja mahdollinen uusi siirtorakenne arvioidaan erikseen.
| Toteutettava asia | Omistaja ja täytetty näyttö | Hyväksynnän tila |
|---|---|---|
| Tuotantopääsyn poisto | Järjestelmävastaava; koeyhteys estyi myös uudella istunnolla | Valmis |
| Testiaineiston erottelu | Kehityspäällikkö; kaikki 24 työpyyntöä luotu kuvitteellisista arvoista | Valmis |
| Tukiliitteiden ohje | Palvelupäällikkö; kolme esimerkkitapausta käyty tiimin kanssa läpi | Valmis |
| Käyttäjätunnusten metadata | Tietosuojatiimi; tukihenkilöiden nimet ja sähköpostit arvioidaan erillisenä virtana | Avoin ennen palvelun avaamista |
Viimeinen rivi on olennainen. Synteettinen työpyyntöaineisto ei tee koko palvelusta henkilötiedotonta. Kirjautuminen, laskutus ja yhteyshenkilöt voivat muodostaa omat henkilötietovirtansa. Huoltopolku hyväksyy testiympäristön teknisen mallin mutta ei käynnistä palvelua ennen kuin myös nämä virrat on käsitelty. Täytetty päätös erottaa suunnitteluratkaisun hyväksymisen varsinaisesta käyttöönottoluvasta.
Arvio ja toteutusnäyttö liitetään osoitusvelvollisuuden dokumentaatioon. Käsittelytoimien selosteessa kuvataan toteutuva käsittely, ei alkuperäistä hylättyä suunnitelmaa. Hylätty versio säilytetään rajatusti päätöshistoriana, jotta myöhempi ostaja ymmärtää käyttöoikeusrajoituksen syyn.
Vaihe 6: seuraa muutoksia, jotka voivat muuttaa päätöstä
Huoltopolku sopii omaksi tarkistusrytmikseen puolivuosittaisen katselmoinnin, koska tukipalvelu on vasta käyttöönottovaiheessa. Tämä on esimerkin hallintavalinta, ei yleinen lakisääteinen TIA-määräaika. Katselmointi ei korvaa välitöntä arviointia, jos vastaanottaja, pääsy, oikeudellinen tilanne tai siirtoväline muuttuu olennaisesti.
Seuraavan kuukauden muutospyynnössä toimittaja ehdottaa virheiden automaattista raportointia. Tekninen omistaja huomaa, että raporttiin tulisi käyttäjän sähköposti ja asiakkaan vapaa kuvaus. Muutos ei mahdu synteettistä testiympäristöä koskevaan päätökseen. Ominaisuus jää pois käytöstä, kunnes aineisto on minimoitu ja sen vastaanottajat arvioitu. Tietojen minimoinnin ratkaisu voi siis poistaa tarpeettoman siirron jo ennen uutta oikeudellista selvitystä.
Seurantavastuulle nimetään myös sijainen. Hän saa toimittajan muutosilmoitukset samaan työjonoon kuin hankintavastaava. Pelkkä kalenterimuistutus ei auttaisi, jos alikäsittelijän vaihdosta kertova viesti jäisi lomalla olevan työntekijän postilaatikkoon. Katselmoinnissa verrataan sopimusluetteloa toteutuneisiin yhteyksiin ja tukiliitteisiin, jotta päätöksestä poikkeava käyttö voidaan havaita.
Miten aineisto pysyy tarkistettavana?
Huoltopolku antaa jokaiselle havainnolle oman tunnisteen. Vastaanottajan identiteettiä koskeva havainto TIA-04 viittaa korjattuun sopimusversioon, ja tuotantopääsyä koskeva TIA-07 viittaa käyttöoikeusryhmän asetukseen sekä koeyhteyden tulokseen. Kun toimittaja lähettää uuden sopimuksen, arvioija tarkistaa juuri nämä kohdat. Hän ei kuittaa koko aiempaa arviota ajantasaiseksi pelkän uuden päivämäärän perusteella.
Lähdeaineistosta säilytetään otsikko, julkaisija, versio tai päiväys ja käytetty kohta. Toimittajan luottamukselliset vastaukset pidetään rajatussa kansiossa; johdon päätöksessä kuvataan niiden merkitys paljastamatta tarpeettomasti teknisiä yksityiskohtia. Arvion käyttöoikeutta ei anneta automaattisesti kaikille tukipalvelun käyttäjille. Näin päätöksen tarkistettavuus ja aineiston suojaaminen voidaan toteuttaa samanaikaisesti.
Katselmoinnin lopuksi arvioija kirjoittaa myös, mikä jäi muuttumatta ja millä perusteella. Esimerkin toisessa tarkistuksessa vastaanottaja on sama ja tuotantoyhteys edelleen estetty, mutta uusi raportointiominaisuus jää avoimeksi. Päätös koskee siis edelleen vain aiemmin rajattua toimintaa. Tällainen rajaus estää keskeneräisen muutoksen katoamisen yleiseen merkintään, jonka mukaan palvelu on tarkastettu.
Mitä johdolle annetaan hyväksyttäväksi?
Johto saa yhden sivun päätöksen, jossa näkyvät arvioitu tiedonsiirto, ratkaisemattomat kysymykset, sallittu vaihtoehto ja toteutuksen tila. Taustalla säilytetään lähteet, toimittajan vastaukset, tekniset kokeilut ja sopimusversiot. Asiakirjan pituudelle ei aseteta keksittyä lakisääteistä vähimmäissivumäärää. Olennaista on, että toinen arvioija pystyy seuraamaan, mistä johtopäätös tuli.
Huoltopolun hyväksyjä voi tämän perusteella päättää hankinnan jatkamisesta rajattuna, lisäselvityksen tilaamisesta tai toimittajan vaihtamisesta. Hän ei voi muuttaa puuttuvaa suojaa hyväksyttäväksi pelkällä allekirjoituksella. Kun päätöksessä mainittu pääsy, vastaanottaja tai aineisto muuttuu, hankkeen omistaja tuo asian uudelleen arvioitavaksi ennen muutoksen toteuttamista.