Tietosuojavaltuutettu valvoo henkilötietojen käsittelyä Suomessa. Viranomaiselta voi saada ohjausta, ja sen käsiteltäväksi voi saattaa epäillyn tietosuojasääntelyn rikkomisen. Organisaatiolle yhteydenotto voi tarkoittaa selvityspyyntöä, tarkastusta tai korjaavaa määräystä. Näiden tilanteiden valmistelussa on tärkeää erottaa toisistaan henkilön oikeuspyyntö, viranomaiselle tehtävä kantelu, organisaation loukkausilmoitus ja mahdollinen vahingonkorvausvaatimus.
Tietosuojavaltuutetun toimisto ei ole organisaation ulkoinen tietosuojavastaava eikä kantelijan asianajaja. Se toimii riippumattomana valvontaviranomaisena ja arvioi toimivaltaansa kuuluvat asiat sovellettavan lain perusteella. Tämä opas käsittelee erityisesti GDPR:n mukaista valvontaa. Kansallisen sääntelyn kokonaisuutta avaa tietosuoja Suomessa, sillä kaikkeen henkilötietojen käsittelyyn ei sovelleta täsmälleen samaa menettelyä.
Toimisto, valtuutettu ja seuraamuskollegio
Tietosuojavaltuutetun toimiston oman kuvauksen mukaan valtuutettu ja apulaistietosuojavaltuutetut ovat tehtävässään itsenäisiä ja riippumattomia. Toimisto valvoo tietosuojalainsäädännön noudattamista, neuvoo oikeuksien käyttämisessä ja osallistuu eurooppalaiseen yhteistyöhön. Valvonta voi alkaa rekisteröidyn kantelusta, saadusta muusta tiedosta tai viranomaisen omasta aloitteesta. Kantelu ei siten ole jokaisen tarkastuksen välttämätön lähtökohta.
Hallinnollisten seuraamusmaksujen määrääminen kuuluu Suomessa seuraamuskollegiolle. Tietosuojalain 24 § määrittelee sen tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen yhdessä muodostamaksi kokoonpanoksi. Valtuutettu toimii puheenjohtajana. Laki sisältää säännöt sijaisuudesta, kolmijäsenisestä päätösvaltaisuudesta ja päätöksenteosta. Kyse ei ole toimistosta erillisestä muutoksenhakuelimestä, johon rekisteröity lähettäisi uuden sakotuspyynnön tavallisen kantelun jälkeen.
Toimiston henkilöstömäärä ja tehtävien sisäinen jako voivat muuttua. Asian hoitamista varten olennaisempaa on käyttää virallista asiointikanavaa ja asian diaaritunnusta kuin yrittää osoittaa kantelu suoraan tietylle nimeltä tunnetulle henkilölle. Virallinen sivusto kertoo ajantasaiset yhteystiedot ja palvelukanavat. Jos organisaatiossa on tietosuojavastaava, tämä voi auttaa yhteydenpidossa, mutta vastuu käsittelyn lainmukaisuudesta jää rekisterinpitäjälle.
Organisaation tietosuojavastaavan tehtävät eroavat viranomaisen tehtävistä. Tietosuojavastaava neuvoo ja seuraa organisaation toimintaa, eikä hän määrää sille hallinnollisia seuraamusmaksuja. Häntä on osallistettava asianmukaisesti tietosuojaan liittyviin kysymyksiin. Pelkkä tehtävän ulkoistaminen tai vastuuhenkilön nimeäminen ei siirrä johdon päätösvaltaa eikä poista palvelun omistajan käytännön velvollisuuksia.
Millainen asia kuuluu tietosuojavaltuutetulle?
Viranomaiselle voi kuulua esimerkiksi epäily tarpeettomasta tietojen keräämisestä, puutteellisesta tiedottamisesta, luvattomasta luovutuksesta tai tarkastusoikeuden estämisestä. Kuvaa ennen yhteydenottoa, mitä henkilötietoja asia koskee ja kuka niitä käsittelee. Pelkkä yleinen kokemus palvelun epäoikeudenmukaisuudesta ei vielä osoita, mikä tietosuojakysymys viranomaisen pitäisi ratkaista.
Sama tapahtuma voi sisältää useita erillisiä oikeudellisia kysymyksiä. Työnantajan päätöksen koettu epäoikeudenmukaisuus ja siihen liittyvien terveystietojen käsittely ovat eri asioita. Tietosuojavaltuutettu arvioi toimivaltaansa kuuluvaa henkilötietojen käsittelyä; se ei ratkaise kaikkia työsuhteen ehtoja tai korvaa työriidan muita oikeussuojakeinoja. Kerro myös, jos samaa tapahtumaa käsitellään jo muualla, jotta menettelyjen suhdetta voidaan arvioida.
Toimiston ilmoitusohje erottaa tietosuojakysymykset esimerkiksi rikosepäilyistä, joita tutkii poliisi. Tietosuojavaltuutettu ei ole esitutkintaviranomainen. Ohje erottaa myös asiakirjajulkisuuden ratkaisemisen ja evästeiden päätelaitteelle tallentamista koskevan valvonnan; jälkimmäisen osalta Suomessa toimivaltainen viranomainen on Traficom. Evästeisiin liittyvä henkilötietojen myöhempi käsittely voi silti nostaa erillisiä GDPR-kysymyksiä.
Vahingonkorvausta koskeva vaatimus ei ratkea pelkällä valvontaviranomaiselle tehdyllä ilmoituksella. Toimisto ei esitä yksityisoikeudellista vaatimusta henkilön puolesta. Myöskään henkilölle epäedullinen asiakaspalvelupäätös ei automaattisesti ole henkilötietojen tietoturvaloukkaus. Oikean menettelyn valinta auttaa saamaan vastauksen siihen kysymykseen, jonka ratkaiseminen todella muuttaa omaa tilannetta.
Oikeuspyyntö organisaatiolle ja kantelu viranomaiselle
Jos haluat saada pääsyn omiin tietoihisi, korjata niitä tai käyttää muuta rekisteröidyn oikeutta, esitä pyyntö yleensä ensin rekisterinpitäjälle. Toimiston julkaistu asiointiohje sanoo, ettei se lähtökohtaisesti ota kantaa näihin tapauksiin ennen yhteydenottoa rekisterinpitäjään. Ohjeen tarkoitus on, että tietoja käsittelevä taho saa mahdollisuuden toteuttaa pyynnön tai perustella ratkaisunsa.
Tätä asiointiohjetta ei pidä muuttaa väitteeksi, jonka mukaan GDPR:n 77 artikla edellyttäisi kaikissa tietosuojakanteluissa organisaation sisäisen valitusmenettelyn loppuun käyttämistä. Muu epäilty lainvastainen käsittely voi vaatia oman arviointinsa. Jos rekisterinpitäjää ei voi tunnistaa, yhteydenotto ei onnistu tai asiaan liittyy erityisiä olosuhteita, selosta ne viranomaiselle. Älä peitä puuttuvaa vaihetta, vaan kerro miksi sitä ei ole tehty.
Pyynnön ei tarvitse sisältää täydellistä oikeudellista analyysia. Kerro ymmärrettävästi, mitä haluat, mihin asiakkuuteen tai ajanjaksoon asia liittyy ja miten sinuun voidaan olla yhteydessä. Tarkastusoikeuden opas auttaa erottamaan omia henkilötietoja koskevan pyynnön esimerkiksi yleisestä vaatimuksesta saada kaikki organisaation sisäiset asiakirjat. Pyynnön täsmentäminen voi helpottaa toteutusta, mutta oikeuden käyttöä ei saa tehdä tarpeettoman vaikeaksi.
GDPR:n 12 artiklan mukaan rekisterinpitäjän on toimitettava tiedot pyynnön johdosta tehdyistä toimista ilman aiheetonta viivytystä ja joka tapauksessa kuukaudessa vastaanottamisesta. Aikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella pyyntöjen monimutkaisuuden ja määrän perusteella. Jatkamisesta ja sen syistä on ilmoitettava ensimmäisen kuukauden kuluessa. Kyse ei siis ole yleisestä kolmen kuukauden vastausajasta.
Jos rekisterinpitäjä ei toteuta pyyntöä, sen on ilmoitettava ilman viivytystä ja viimeistään kuukaudessa syyt sekä mahdollisuus kannella valvontaviranomaiselle ja käyttää oikeussuojakeinoja. Läpinäkyvyyttä ja pyyntöihin vastaamista käsittelevä opas auttaa arvioimaan myös vastauksen ymmärrettävyyttä. Pelkkä automaattinen vastaanottokuittaus ei kerro, miten varsinainen oikeus on toteutettu.
Kokoa kantelu, jonka tapahtumat voidaan selvittää
Kantelussa kannattaa erottaa havainto, saatu vastaus ja oma johtopäätös. Havainto voi olla, että organisaatio lähetti terveystietoja väärään osoitteeseen. Saatu vastaus voi kuvata virheen korjaamista. Oma johtopäätös voi koskea sitä, jäikö jokin turvallisuuspuute korjaamatta. Kun nämä osat eivät sekoitu, viranomainen pystyy tunnistamaan, mitä vielä täytyy tutkia.
Laadi lyhyt aikajana: milloin tieto kerättiin, milloin havaitsit ongelman, milloin otit yhteyttä ja mitä vastausta sait. Liitä mukaan olennainen kirjeenvaihto ja tarvittaessa rajattu kuvakaappaus. Säilytä alkuperäiset tiedostot. Älä lähetä kokonaisia potilas- tai asiakasrekistereitä pelkästään siksi, että yksittäinen tapahtuma koskee tällaista järjestelmää. Tarpeellisuuden periaate koskee myös asian selvittämiseksi koottua aineistoa.
Yksilöi rekisterinpitäjä mahdollisimman tarkasti. Palvelun tuotemerkki, laskuttava yhtiö ja tekninen palveluntarjoaja voivat olla eri tahoja. Jos rooli ei selviä, kuvaa havaintosi ja liitä käytettävissä oleva tietosuojailmoitus. Älä nimeä kaikkia sopimusketjun yhtiöitä vastuullisiksi ilman erittelyä. Viranomainen voi selvittää rooleja, mutta hyvä lähtötieto vähentää tarpeettomia täydennyspyyntöjä.
Kerro lopuksi, mitä pidät vielä ratkaisemattomana. Oikeus saada tiedot, käsittelyn lopettaminen ja vahingonkorvaus ovat erilaisia tavoitteita. Viranomainen arvioi itse toimivaltansa ja sopivat toimenpiteet; kantelija ei voi määrätä seuraamusmaksun määrää. Selkeä tavoite kuitenkin auttaa erottamaan yksittäisen oikeuden toteuttamisen mahdollisesta laajemmasta valvontatarpeesta.
Toimiston ohjeessa erotetaan omaa henkilötietojen käsittelyä koskeva ilmoitus muusta valvontavihjeestä. Omassa asiassa ilmoittajalle kerrotaan etenemisestä ja ratkaisusta. Muun havainnon ilmoittajaan ollaan ohjeen mukaan yhteydessä vain erityisestä syystä. Myös nimetön ilmoitus on mahdollinen, mutta ilman yhteystietoja toimisto ei voi lähettää ilmoittajalle tietoa asian mahdollisesta ratkaisusta.
Käsittelyn eteneminen ja viivästymisen oikeussuoja
GDPR:n 57 artiklan mukaan valvontaviranomaisen on käsiteltävä kantelut ja tutkittava niiden kohdetta asianmukaisessa laajuudessa. Kantelijalle on ilmoitettava käsittelyn etenemisestä ja tuloksista kohtuullisessa ajassa, erityisesti jos lisätutkimus tai koordinointi toisen viranomaisen kanssa on tarpeen. Asianmukainen tutkinta ei tarkoita, että jokainen kantelu johtaisi samaan tarkastusohjelmaan tai paikan päällä tehtävään käyntiin.
Tietosuojavaltuutettu voi pyytää täydennyksiä, selvittää rekisterinpitäjän näkemyksen ja hankkia muuta aineistoa. Asianosaisten kuuleminen ja lopullisen ratkaisun perusteleminen kuuluvat menettelyn oikeusturvaan. Valvonnan laajuus riippuu käsiteltävästä kysymyksestä. Yhden puuttuvan vastauksen selvittäminen ja useaan maahan ulottuvan teknisen järjestelmän tutkiminen voivat edellyttää hyvin erilaista työtä.
Suomessa tietosuojalain 21 § täydentää viivästymistä koskevaa oikeussuojaa. GDPR:n 77 artiklan nojalla vireille tullut kanteluasia on käsiteltävä kolmen kuukauden kuluessa tai, jos tämä ei ole mahdollista, rekisteröidylle on siinä ajassa ilmoitettava arvio päätöksen antamisajankohdasta. Tämä vaihtoehto on olennainen: kolmen kuukauden kuluminen ei yksin tarkoita, että lopullinen ratkaisu olisi aina pitänyt jo antaa.
Jos tässä säädetty määräaika laiminlyödään, 21 § mahdollistaa passiivisuusvalituksen hallinto-oikeuteen. Valitus tehdään ennen asian käsittelemistä tai päätöksen ajankohdan arvion antamista, ja sitä käsitellään laissa kuvatulla tavalla tutkimatta jättämistä koskevaan päätökseen kohdistuvana valituksena. Säännösten siirtymärajoitus koskee ennen vuoden 2024 muutoksen voimaantuloa vireillä olleita asioita. Tarkista soveltuva menettely ja asian vireilletulopäivä ennen oikeussuojakeinon käyttämistä.
Kun odotat vastausta, säilytä vastaanottokuittaus, asian tunnus ja myöhemmät viestit. Jos tilanteesi muuttuu olennaisesti tai sama käsittely jatkuu uudella tavalla, ilmoita täydennys samaan asiaan. Uuden identtisen ilmoituksen tekeminen eri kanavissa ei yleensä selkeytä kokonaisuutta. Yksilöity tilannetiedustelu auttaa osoittamaan, mistä jo vireillä olevasta asiasta on kyse.
Miten organisaatio vastaa selvityspyyntöön?
Selvityspyynnön vastaanottanut organisaatio aloittaa varmistamalla määräajan, kysymykset ja vastauksen hyväksyjän. Nimeä käytännön koordinaattori, joka kokoaa tiedot palvelun omistajalta, tietotekniikasta, henkilöstöhallinnosta tai muulta tarvittavalta taholta. Varmista myös tietosuojavastaavan osallistuminen, jos tehtävä on organisaatiossa. Viranomaisen kysymyksiin vastaaminen ei saa jäädä yhden henkilön muistin varaan.
Vastaa kysymykseen siinä tarkkuudessa, jossa se on esitetty. Jos kysymys koskee tietyn päivän käyttöoikeutta, tämänhetkinen käyttöoikeuspolitiikka ei yksin kerro tapahtumahetken tilannetta. Erota alkuperäinen käytäntö, havaittu puute ja korjaus. Jos tietoa ei ole saatavilla, kerro puuttumisen syy ja mitä vaihtoehtoista näyttöä voidaan esittää. Jälkikäteen laadittua asiakirjaa ei pidä esittää vanhana dokumenttina.
Osoitusvelvollisuuden dokumentointi on käytännössä päätösten ja toiminnan välisen yhteyden näyttämistä. Sopimus osoittaa, mitä sovittiin; loki voi osoittaa, mitä tapahtui; riskinarviointi selittää, miksi suojaus valittiin. Mikään näistä ei yksin korvaa kaikkia muita. Hyvin järjestetty aineisto helpottaa valvontaa, mutta asiakirjakansion olemassaolo ei todista kaiken käsittelyn lainmukaisuutta.
Viranomaisen tarkastukselle ei ole yhtä pakollista asiakirjojen kysymisjärjestystä. Jos kyse on korkean riskin uudesta toiminnasta, vaikutustenarviointi voi olla keskeinen. Oikeuspyynnön tapauksessa olennaisia ovat vastaanotto, hakutoimet ja annettu vastaus. Kansainvälisen palveluketjun kohdalla tarvitaan ehkä sopimuksia ja tietovirtojen kuvausta. Aineiston valinta seuraa tutkittavaa kysymystä.
Jos määräaika on aidosti mahdoton, pyydä perusteltua lisäaikaa ennen sen päättymistä. Lisäajan myöntämistä ei saa olettaa. Toimita sovitussa muodossa ne tiedot, jotka ovat saatavilla, ja kuvaa keskeneräiset selvitykset. Yhteistyövelvollisuuden täyttäminen kuuluu normaaliin toimintaan; se ei ole automaattinen peruste saada seuraamusmaksusta alennusta.
Korjaavat valtuudet ja seuraamusmaksun arviointi
GDPR:n 58 artikla sisältää tutkinta- ja korjausvaltuuksia. Viranomainen voi esimerkiksi pyytää tietoja, tehdä tarkastuksia, antaa huomautuksen, määrätä käsittelyn lainmukaiseksi tai rajoittaa käsittelyä. Valtuuksia käytetään sovellettavien menettelytakeiden ja kansallisten rajojen puitteissa. Niitä ei pidä kuvata rajattomaksi oikeudeksi päästä kaikkiin tiloihin tai saada kaikki mahdollinen aineisto riippumatta asian yhteydestä.
Seuraamusmaksu on yksi mahdollinen seuraamus. Sen tarpeellisuutta ja määrää arvioidaan tapauskohtaisesti. GDPR:n 83 artiklassa mainitaan muun muassa rikkomuksen luonne, vakavuus ja kesto, tahallisuus tai tuottamuksellisuus, tietoryhmät, lieventävät toimet, aikaisemmat rikkomukset ja yhteistyö. Näiden tekijöiden vaikutusta ei voi tiivistää taulukoksi, jossa jokainen yhteistyöviesti alentaisi maksua saman verran.
Asetuksessa on kaksi keskeistä enimmäistasoa: tietyissä rikkomuksissa enintään 10 miljoonaa euroa tai yrityksen edeltävän tilikauden maailmanlaajuisesta kokonaisliikevaihdosta kaksi prosenttia, toisissa enintään 20 miljoonaa euroa tai neljä prosenttia. Yrityksen kohdalla sovelletaan suurempaa vertailulukua. Oikea taso riippuu rikotusta säännöksestä, eikä enimmäismäärä ole ennuste yksittäisen asian seuraamuksesta.
Suomessa tietosuojalain 24 § sulkee hallinnollisen seuraamusmaksun ulkopuolelle siinä luetellut toimijat, kuten valtion viranomaiset, valtion liikelaitokset ja kunnalliset viranomaiset. Luetteloon kuuluu myös muita julkisia ja kirkollisia toimijoita. Poikkeus ei tarkoita vapautusta tietosuojavelvoitteista tai korjaavista määräyksistä. Julkisomisteisen osakeyhtiön asemaa ei puolestaan pidä päätellä pelkästään sen omistajasta.
Tämä kuvaus perustuu 29.9.2026 tarkistettuun voimassa olevaan sääntelyyn. Lakimuutoshanketta tai hallituksen esitystä ei pidä käyttää nykyisen seuraamustoimivallan perusteena ennen säädöksen hyväksymistä ja voimaantuloa. Suomalaisten tietosuojaseuraamusten katsauksessa yksittäistä tapausta kannattaa lukea päätöspäivän, mahdollisen muutoksenhaun ja viimeisimmän ratkaisun kautta. Vanha tiedotettu euromäärä ei aina vastaa asian myöhempää tilaa.
Muutoksenhaku ja vahingonkorvaus ovat eri menettelyjä
Tietosuojalain 25 § ohjaa päätöksestä tehtävää muutoksenhakua hallintotuomioistuimeen. Tarkista aina kyseisen päätöksen valitusosoitus, valituskelpoisuus, määräaika ja tiedoksisaantipäivä. Jatkomuutoksenhaku korkeimpaan hallinto-oikeuteen edellyttää soveltuvien säännösten mukaan valituslupaa. Epävirallinen sähköpostiviesti viranomaiselle ei itsessään korvaa määräajassa tehtyä valitusta.
Muutoksenhaku ei kaikissa tilanteissa automaattisesti keskeytä päätöksen noudattamista. Laki mahdollistaa määräyksen noudattamisen muutoksenhausta huolimatta, jollei valitusviranomainen toisin määrää; seuraamusmaksun täytäntöönpanosta on erilliset säännöt. Organisaation on siksi erotettava toisistaan oikeudellinen riitauttaminen ja toiminnan korjaaminen. Selvitä tarvittaessa täytäntöönpanon keskeyttämistä koskeva menettely.
GDPR:n 82 artiklan mukainen vahingonkorvaus puolestaan liittyy aineelliseen tai aineettomaan vahinkoon ja sen yhteyteen rikkomukseen. Pelkkä rikkomuksen toteaminen ei automaattisesti ratkaise korvauksen kaikkia edellytyksiä. Seuraamusmaksu ei ole kantelijalle maksettava hyvitys. Säilytä mahdollista korvausasiaa varten näyttö omista seurauksistasi ja erota tämä aineisto viranomaisvalvonnan yleisestä tavoitteesta.
Mitä päätöksen jälkeen tehdään?
Lue päätöksen velvoittava osa erikseen sen perusteluista. Organisaation pitää tunnistaa, mitä muutosta edellytetään, missä ajassa ja miten toteutuminen osoitetaan. Nimeä kullekin toimelle omistaja ja säilytä näyttö valmistumisesta. Jos määräys koskee myös muita samassa tilanteessa olevia henkilöitä, pelkkä alkuperäisen kantelijan asian korjaaminen ei välttämättä riitä. Soveltamisala ratkaistaan päätöksen sisällön perusteella.
Rekisteröidyn kannattaa puolestaan verrata ratkaisua omaan pyyntöönsä ja saamaansa käytännön vastaukseen. Jos määrätty toimi jää toteutumatta, kerro viranomaiselle konkreettisesti, mitä edelleen puuttuu, ja viittaa päätöksen tunnukseen. Uusi yleinen kuvaus koko riidasta voi peittää olennaisen seikan. Säilytä esimerkiksi päivätty vastaus tai viesti, josta toteuttamatta jäänyt toimi voidaan todeta.
Jos organisaatio päättää hakea muutosta, sisäinen korjaustyö ja oikeudellinen arviointi kannattaa sovittaa yhteen. Uuden käytännön käyttöönotto voi vähentää jatkuvaa riskiä, vaikka menneestä tilanteesta ollaan eri mieltä. Kirjaa selkeästi, mikä korjattiin ja milloin; älä muuta vanhoja tapahtumatietoja vastaamaan uutta toimintaa. Näin sekä henkilön oikeuden toteutumista että muutoksenhaun kysymyksiä voidaan arvioida luotettavasti.
Eurooppalainen yhteistyö ja päivittäinen valmistautuminen
Tietosuojavaltuutettu osallistuu Euroopan tietosuojaneuvoston toimintaan. EDPB:n suuntaviivat tukevat asetuksen yhdenmukaista tulkintaa, mutta niitä ei pidä rinnastaa sellaisinaan jokaiseen velvoittavaan viranomaispäätökseen. Neuvosto voi lisäksi antaa asetuksessa säädetyissä menettelyissä sitovia päätöksiä. Asiakirjan oikeudellinen luonne ja se, kenelle se on osoitettu, on aina tunnistettava erikseen.
Rajat ylittävässä käsittelyssä johtavan ja muiden asianomaisten valvontaviranomaisten yhteistyö voi vaikuttaa asian kulkuun. Tämä ei tarkoita, että jokainen ulkomaisen asiakkaan tietoa käsittelevä yritys voisi vapaasti valita itselleen mieluisan viranomaisen. GDPR:n 77 artiklan mukaan kantelun voi tehdä erityisesti tavanomaisen asuinpaikan, työpaikan tai väitetyn rikkomuksen tapahtumapaikan jäsenvaltiossa. Toimivalta ratkaistaan asetuksen edellytysten perusteella.
Yhden luukun yhteistyömekanismi ja henkilötietojen siirrot ETA:n ulkopuolelle ovat eri kysymyksiä. Ensimmäinen koskee valvontaviranomaisten työnjakoa, jälkimmäinen tietojen kansainvälisen siirtämisen edellytyksiä. Organisaatio voi joutua selvittämään molempia samassa asiassa, mutta toisen dokumentointi ei ratkaise toista. Kuvaa palveluketju ja päätöksenteko riittävän tarkasti kummankin arvioimiseksi.
Valmistautuminen alkaa toimivista arjen menettelyistä. Huolehdi oikeuspyyntöjen vastaanotosta, käsittelyjen ajantasaisesta kuvauksesta, sovituista vastuista ja muutosten arvioinnista. Käsittelytoimien selosteen ohjelmiston vertailu voi auttaa, jos usean yksikön tietoja ylläpidetään yhteisesti. Valinnassa olennaisia ovat esimerkiksi muutosten jäljitettävyys ja aineiston ulos saaminen viranomaisen pyytämässä ymmärrettävässä muodossa.
Vastaavasti oikeuspyyntöjen hallintaohjelmiston arviointi on hyödyllinen silloin, kun pyyntöjä saapuu useisiin kanaviin ja järjestelmiin. Työkalu tukee työnjakoa ja määräaikojen seurantaa, mutta pyyntöjen oikeudellinen arviointi, henkilöllisyyden suhteellinen varmistaminen ja turvallinen luovutus tarvitsevat edelleen päätökset. Englanninkielinen GDPR:n velvoitteiden yleiskatsaus voi täydentää yhteistä työtä kansainvälisen tiimin kanssa.
Loukkaustilanteessa organisaation on lisäksi erotettava rekisterinpitäjän viranomaisilmoitus henkilön tekemästä kantelusta. GDPR:n 33 ja 34 artiklan ohje selittää 72 tunnin ilmoitussäännön riskipoikkeuksen, myöhästymisen perustelut ja korkean riskin tilanteisiin liittyvän rekisteröityjen informoinnin. Kaikki henkilötietojen tietoturvaloukkaukset on dokumentoitava, vaikka viranomaisilmoituksen kynnys ei ylittyisi. Näin myöhemmin voidaan osoittaa, mihin tehty arvio perustui.