Tietosuojavastaava (englanniksi Data Protection Officer, DPO) on henkilö, joka valvoo organisaation tietosuojan toteutumista riippumattomasti. Yleisen tietosuoja-asetuksen (GDPR) 37–39 artiklat määrittelevät roolin: 37 artikla kertoo, milloin nimittäminen on pakollista, 38 artikla turvaa riippumattomuuden ja 39 artikla luettelee tehtävät. Keskeisin väärinkäsitys on, että tietosuojavastaava hoitaisi kaiken tietosuojatyön. Näin ei ole: rekisterinpitäjä, ei tietosuojavastaava, kantaa oikeudellisen vastuun vaatimustenmukaisuudesta. Tietosuojavastaava neuvoo ja seuraa vaatimusten noudattamista; käytännön tehtäviä voidaan jakaa, mutta käsittelyn tarkoituksia ja keinoja koskeva päätös sekä vastuu eivät siirry hänelle. Tässä oppaassa käydään läpi, milloin tietosuojavastaava on pakollinen, mitä hän tekee ja miten hänen asemansa järjestetään oikein.
Milloin tietosuojavastaava on pakollinen?
GDPR 37 artiklan 1 kohta velvoittaa nimittämään tietosuojavastaavan kolmessa tilanteessa:
- Käsittelyn suorittaa viranomainen tai julkishallinnon elin (tuomioistuimia lukuun ottamatta niiden lainkäyttötehtävissä);
- Rekisterinpitäjän tai käsittelijän ydintoiminta muodostuu käsittelytoimista, jotka edellyttävät rekisteröityjen laajamittaista, säännöllistä ja järjestelmällistä seurantaa (esimerkiksi käyttäytymiseen perustuva verkkomainonta tai paikannus);
- Ydintoiminta muodostuu erityisten henkilötietoryhmien (9 artikla) tai rikostietojen (10 artikla) laajamittaisesta käsittelystä.
Suomen tietosuojalaki (1050/2018) ei aseta yleistä työntekijämäärään perustuvaa nimitysrajaa; arvioi GDPR:n edellytykset ja mahdollinen toimialakohtainen erityissääntely erikseen; kansallisen sääntelyn kokonaiskuva on koottu oppaaseen tietosuoja Suomessa. “Laajamittaisuutta” arvioidaan rekisteröityjen määrän, tietomäärän, käsittelyn keston ja maantieteellisen laajuuden perusteella. Yksittäisen ammatinharjoittajan rajattu asiakasrekisteri ja usean toimipaikan sairaalajärjestelmä voivat erota laajuudeltaan olennaisesti; kummankin todellinen käsittely on silti arvioitava erikseen.
Vaikka nimittäminen ei olisi pakollista, sen voi tehdä vapaaehtoisesti. Vapaaehtoisesti nimitettyyn tietosuojavastaavaan sovelletaan samoja 37–39 artiklan sääntöjä. Jos nimeämisperuste ei täyty, organisaatio voi nimetä muun tietosuojan yhteyshenkilön; hänen tehtävänsä ja asemansa on hyvä erottaa muodollisesta tietosuojavastaavan nimityksestä. Käsittelytoimien selosteen ja muiden velvoitteiden hoito kuuluu organisaatiolle joka tapauksessa.
Tietosuojavastaavan tehtävät (39 artikla)
39 artiklan 1 kohta luettelee viisi vähimmäistehtävää:
- Neuvonta: informoida ja neuvoa rekisterinpitäjää, käsittelijää ja henkilöstöä heidän tietosuojavelvoitteistaan;
- Valvonta: valvoa GDPR:n ja organisaation tietosuojakäytäntöjen noudattamista, henkilöstön tietoisuutta, koulutusta ja auditointeja;
- Vaikutustenarviointi: antaa pyydettäessä neuvoja vaikutustenarvioinnista ja valvoa sen toteutusta (35 artikla);
- Yhteistyö Tietosuojavaltuutetun toimiston kanssa;
- Yhteyspiste valvontaviranomaiselle, mukaan lukien 36 artiklan mukainen ennakkokuuleminen.
39 artiklan 2 kohta lisää, että tehtävät on suoritettava ottaen huomioon käsittelyyn liittyvät riskit. Tietosuojavastaavan tulee siis priorisoida korkean riskin toimintoja. Käytännössä tietosuojavastaava avustaa usein myös käsittelytoimien selosteen ylläpidossa ja rekisteröityjen pyyntöjen käsittelyssä, kuten tarkastusoikeuden toteuttamisessa, vaikka näitä ei erikseen luetella 39 artiklassa.
Huomaa, että tietosuojavastaava neuvoo ja seuraa noudattamista, mutta ei päätä valvomansa käsittelyn tarkoituksista ja olennaisista keinoista. Jos hän tekisi, hän joutuisi valvomaan omaa työtään, mikä on kielletty eturistiriita.
Riippumattomuus ja asema (38 artikla)
38 artikla suojaa tietosuojavastaavan riippumattomuutta neljällä keskeisellä tavalla:
- Rekisterinpitäjä ei saa antaa ohjeita tehtävien hoitamisesta (38 artiklan 3 kohta);
- Tietosuojavastaavaa ei saa erottaa tai rangaista tehtäviensä hoitamisen vuoksi;
- Tietosuojavastaava raportoi suoraan ylimmälle johdolle;
- Rekisteröidyt voivat ottaa yhteyttä tietosuojavastaavaan suoraan.
Nämä suojat ovat olemassa, jotta tietosuojavastaava voi arvioida ja raportoida rikkomuksista ilman pelkoa seuraamuksista. Jos hän havaitsee puutteen, hänen on voitava tuoda se johdon tietoon ja toimia valvontaviranomaisen yhteyspisteenä; tämä ei siirrä rekisterinpitäjän ilmoitusvelvollisuutta hänelle.
38 artiklan 6 kohta sallii tietosuojavastaavan hoitaa muitakin tehtäviä, kunhan niistä ei synny eturistiriitaa. Eturistiriita voi syntyä esimerkiksi IT-, HR- tai talousjohdon tehtävissä, jos henkilö tosiasiassa määrää käsittelyn tarkoituksista ja olennaisista keinoista. Pelkkä nimike ei korvaa tehtäväkohtaista arviota. Rekisterinpitäjän on myös annettava tietosuojavastaavalle riittävät resurssit (38 artiklan 2 kohta): budjetti, koulutus, pääsy järjestelmiin ja riittävä työaika.
Sisäinen vai ulkoinen tietosuojavastaava?
37 artiklan 6 kohdan mukaan tietosuojavastaava voi olla organisaation työntekijä tai ulkopuolinen palveluntarjoaja. Konserni voi nimetä yhden yhteisen tietosuojavastaavan, jos hän on helposti tavoitettavissa jokaisesta toimipaikasta (37 artiklan 2 kohta).
Ulkoinen tietosuojavastaava sopii pienille ja keskisuurille organisaatioille, joilla ei ole omaa asiantuntemusta. Sisäinen malli sopii suurille tai monimutkaista käsittelyä harjoittaville organisaatioille. Molemmissa malleissa 37 artiklan 5 kohta edellyttää asiantuntemusta tietosuojalainsäädännöstä ja -käytännöistä. Mitään pakollista sertifikaattia ei ole, mutta osaamisen tason on vastattava käsittelyn monimutkaisuutta. Tietosuojaohjelmistojen vertailussa kannattaa kokeilla, pystyykö käytössä oleva tai tarjottu työkalu säilyttämään neuvon, organisaation päätöksen ja korjaustoimen erillisinä, jäljitettävinä tietoina.
Arvioi tietosuojavastaavan koulutusta ja sertifiointia tehtävien, harjoitusten ja osaamisnäytön perusteella. Kirjaa kehittämistarpeet, jotta koulutus vastaa organisaation käsittelyä.
Ulkoisen tietosuojavastaavan etuna on riippumattomuus ja laaja-alainen kokemus useista organisaatioista; haittana voi olla heikompi sisäisten prosessien tuntemus. Sisäisen tietosuojavastaavan etuna on organisaation syvä tuntemus; haittana eturistiriidan riski ja mahdollinen resurssipula. Valinta riippuu organisaation koosta, käsittelyn monimutkaisuudesta ja käytettävissä olevasta osaamisesta. Kummassakin mallissa on huolehdittava, että tietosuojavastaava saa riittävän ajan ja pääsyn tietoihin – ulkoinenkaan tietosuojavastaava ei voi toimia tehokkaasti, jos organisaatio ei toimita hänelle tarvittavia tietoja tai ota häntä mukaan päätöksentekoon ajoissa.
Tietosuojavaltuutetun toimisto ohjeistaa tietosuojavastaavan nimittämisestä tietosuojavastaavia koskevalla sivullaan, ja nimityksestä on tehtävä ilmoitus valvontaviranomaiselle. Lakiteksti löytyy GDPR:n 37–39 artiklasta EUR-Lexissä.
Yleisimmät virheet tietosuojavastaavan asemassa
Tietosuojavastaavan nimittäminen on vasta alku – suurin osa ongelmista syntyy hänen asemassaan. Neljä virhettä toistuu erityisen usein.
Eturistiriita. Yleisin virhe on nimittää tietosuojavastaavaksi IT-, HR- tai talousjohtaja, joka määrää itse käsittelyn tarkoituksista. Tällöin hän joutuisi valvomaan omia päätöksiään, mikä on 38 artiklan 6 kohdan kieltämä eturistiriita. Sama koskee toimitusjohtajaa pienessä yrityksessä. Ratkaisu on joko valita rooli, joka ei määrää käsittelystä, tai käyttää ulkoista tietosuojavastaavaa.
Riittämättömät resurssit. Tietosuojavastaava nimitetään usein “muiden töiden ohella” ilman aikaa, budjettia tai koulutusta. 38 artiklan 2 kohta velvoittaa antamaan riittävät resurssit. Ilman niitä valvonta jää muodolliseksi, ja vastuu palautuu rekisterinpitäjälle korostuneena.
Puuttuva raportointiyhteys. 38 artiklan 3 kohta edellyttää raportointia suoraan ylimmälle johdolle. Jos tietosuojavastaava raportoi keskijohdolle, joka voi suodattaa viestit, riippumattomuus ei toteudu.
Sivuuttaminen päätöksenteossa. 38 artiklan 1 kohta velvoittaa ottamaan tietosuojavastaavan mukaan kaikkiin henkilötietojen suojaa koskeviin kysymyksiin asianmukaisesti ja riittävän ajoissa. Käytännössä tämä tarkoittaa, että hänet on konsultoitava ennen uusien järjestelmien hankintaa, vaikutustenarviointien yhteydessä ja tietoturvaloukkauksen ilmoittamisessa – ei vasta jälkikäteen. Tietosuojavastaavan sivuuttaminen on ollut eurooppalaisten valvontaviranomaisten toistuva huomion kohde ja johtanut seuraamuksiin muissa jäsenvaltioissa.
Näiden virheiden ehkäisy alkaa tehtävien ja raportointikanavan määrittelystä. Tallennusvälineen arvo riippuu siitä, näkyvätkö neuvo, vastuuhenkilön ratkaisu ja toteutuksen seuranta erillisinä tapahtumina.
Tee nimittämisestä kirjallinen päätös
Aloita arvioimalla käsittelyä, älä organisaatiokaaviota. Kirjaa jokaisesta ydintoiminnosta, kenen tietoja käsitellään, seurataanko henkilöitä säännöllisesti ja järjestelmällisesti, mitä erityisiä tietoryhmiä tai rikostietoja käytetään sekä kuinka laajaa toiminta on. Ratkaisevaa ei ole yksittäinen työntekijämäärä eikä se, onko järjestelmä ostettu ulkopuoliselta. Myös henkilötietojen käsittelijän omat ydintoiminnot voivat täyttää 37 artiklan edellytykset. Tavallinen henkilöstöhallinto voi olla organisaatiolle välttämätöntä tukitoimintaa, mutta siitä ei automaattisesti tule sen ydintoimintaa.
Laajamittaisuutta ei ratkaista yhdellä EU:n tai Suomen numerorajalla. Arvioi käsittelyn kohteena olevien henkilöiden määrä tai osuus, tietojen laajuus, käsittelyn kesto ja maantieteellinen kattavuus yhdessä. Esimerkiksi yksittäisen vastaanoton potilastiedot ja usean toimipaikan sairaalajärjestelmä eroavat olennaisesti, mutta kumpaakaan ei pidä luokitella pelkän toimialan nimen perusteella. Seuranta voi tarkoittaa verkossa tapahtuvaa käyttäytymisen havainnointia tai fyysistä paikannusta, kun se on ydintoimintaa ja laajamittaista. Tallenna arvioinnissa myös vastaperustelut, jotta päätös voidaan tarkistaa toiminnan kasvaessa.
Päätöksen lopputulos voi olla pakollinen nimitys, vapaaehtoinen nimitys tai tietosuojan sisäinen yhteyshenkilö ilman muodollista tietosuojavastaavan asemaa. Viimeinen vaihtoehto ei poista rekisterinpitäjän velvollisuuksia eikä oikeuta jättämään käsittelytoimien selostetta tai pyyntöjä hoitamatta. Jos nimitys tehdään vapaaehtoisesti, 37–39 artiklan suoja, tehtävät, julkiset yhteystiedot ja ilmoittaminen viranomaiselle koskevat sitäkin. Päätökselle kannattaa sopia tarkistuspiste esimerkiksi uuden seurantaominaisuuden, palvelulaajennuksen tai erityisten tietoryhmien käyttöönoton yhteydessä; kyse on organisaation menettelystä, ei laissa määrätyistä vuosittaisista uusintanimityksistä.
Järjestä työ niin, että neuvo ehtii vaikuttaa
Tietosuojavastaava tarvitsee tiedon muutoksesta ennen sitovaa hankinta- tai julkaisuhetkeä. Liitä hänet järjestelmähankinnan alkuvaiheeseen, jossa päätetään tietolähteistä, käyttötarkoituksista ja toimittajan pääsyistä. Kun verkkopalveluun lisätään käyttäjäprofilointi, hän voi kysyä, mikä on käsittelyn peruste, mitä tietoja tarvitaan ja edellyttääkö riski vaikutustenarviointia. Vastauksen jälkeen tuotteen omistaja tekee ja dokumentoi päätöksen. Vasta hyväksymisvaiheessa saatu ilmoitus antaa tietosuojavastaavalle vähemmän mahdollisuuksia ehkäistä ongelma.
Osoitusvelvollisuuden dokumentoinnissa on hyödyllistä rakentaa yksinkertainen neuvon jälki. Merkitse kysymys, käsittelyn omistaja, tietosuojavastaavan saamat tosiasiat, hänen suosituksensa, johdon ratkaisu ja mahdolliset keskeneräiset toimet. Jos johto valitsee toisen ratkaisun, kirjaa sen perusteet; tietosuojavaltuutetun toimisto suosittelee erimielisyyksien dokumentointia. Tämä ei tee tietosuojavastaavasta hyväksymisviranomaista eikä vapauta johtoa vastuusta. Samalla se osoittaa, että neuvoa kuultiin ajoissa eikä vasta päätöksen jälkeen.
Valvonnassa hyödyllinen vuosirytmi voi sisältää käsittelyjen muutosten läpikäynnin, koulutustarpeet, havaittujen puutteiden seurannan ja riskiperusteisen otoksen. Tätä ei tule esittää 39 artiklan asettamana tarkkana vuosiaikatauluna. Jos organisaation toiminta muuttuu nopeasti, kysymyksiä on käsiteltävä useammin. Jos tietosuojavastaava havaitsee, että tietoturvaloukkausten käsittelyprosessi ei tavoita päivystäjää, hänen tehtävänsä on nostaa puute esiin ja seurata korjausta; järjestelmän omistaja toteuttaa korjauksen.
Tunnista eturistiriita tehtävästä, ei tittelistä
IT- tai henkilöstöjohtajan nimike on varoitusmerkki, ei itsessään lakitekstin automaattinen kielto. Selvitä, päättääkö henkilö käytännössä henkilötietojen käsittelyn tarkoituksista ja olennaisista keinoista, kuten henkilöstöjärjestelmän käytöstä, analytiikan laajuudesta tai säilytysajoista. Jos hän määrittää nämä ja myöhemmin valvoisi itse omia päätöksiään, riippumattomuus ei toteudu. Sama arviointi koskee ulkoista palveluntarjoajaa, jos tämä sekä suunnittelee asiakkaan ratkaisut että toimisi niiden riippumattomana valvojana.
Kirjaa sivutehtävät, päätösvaltuudet ja esteellisyystilanteiden käsittely. Pienessä organisaatiossa voidaan siirtää käsittelyn päätösvalta toiselle henkilölle tai hankkia ulkoinen tietosuojavastaava, mutta ulkoistaminen ei poista rekisterinpitäjän vastuuta. Pyydä ehdokkaalta konkreettinen esimerkki tilanteesta, jossa hän on eri mieltä johdon kanssa: kenelle hän raportoi, pääseekö hän tarvittaessa ylimpään johtoon ja voiko hän antaa neuvon ilman ohjeita sen sisällöstä? Näin tehtäväkuva paljastaa ristiriidan paremmin kuin pelkkä organisaatiokaavio.
Sovi resurssit, sijaisuus ja yhteydenotot
Tietosuojavaltuutetun toimisto korostaa riittävää työaikaa, työvälineitä ja osaamisen ylläpitämistä. Mitoita ne käsittelyn monimutkaisuuden mukaan: usean maan asiakasdata, arkaluontoiset tiedot ja suuri määrä pyyntöjä tarvitsevat enemmän aikaa kuin yksinkertainen paikallinen prosessi. Sopimuksessa tai nimityspäätöksessä voidaan kuvata, miten tietosuojavastaava saa tiedon uusista hankinnoista, tarkastaa tarvittavat asiakirjat ja vie kiireellisen asian suoraan johdolle. Tarkista koulutuksen ja sertifioinnin todellinen osaamishyöty; laki ei aseta yhtä pakollista tutkintoa.
Järjestä myös poissaolon aikainen yhteys. Tietosuojavaltuutetun toimiston FAQ:n mukaan pakollisen nimityksen on jatkuttava keskeytyksettä ja poissaolojen ajaksi on järjestettävä tehtävien hoito; viranomaisen rooliohje suosittelee varahenkilöä. Tämä on viranomaisen tulkinta ja käytännön suositus, ei GDPR:ssä erikseen säädetty pysyvän sijaisen nimittämispykälä. Loukkausilmoitukset ja rekisteröidyn oikeudet eivät saa viivästyä lomien vuoksi. Varahenkilö voi vastaanottaa viestin ja käynnistää sovitun prosessin, vaikka hän ei tekisi tietosuojavastaavan riippumatonta arviota tämän puolesta. Loukkausilmoituksen oikeudellinen kello ei pysähdy nimettyjen henkilöiden poissaoloon. Testaa yhteystietoa käytännössä: päätyykö verkkosivun viesti oikealle henkilölle ja säilyykö turvallinen kanava, jos tavallinen sähköposti ei toimi?
Julkaise yhteystiedot niin, että rekisteröity löytää ne ilman henkilöstön sisäistä hakua, ja ilmoita ne Tietosuojavaltuutetun toimistolle viranomaisen ohjeen mukaisesti. Viranomaisen FAQ:n mukaan julkinen toimiva yhteystieto voi olla myös rooliosoite tai lomake; nimeä ei aina tarvitse julkaista. Huolehdi muutoksesta, kun henkilö tai ulkoinen palvelu vaihtuu. Nimitys ei ole vain lomakkeen täyttö: jos vanha osoite jää tietosuojaselosteeseen, henkilöiden yhteydenotot voivat kadota ja viranomaisilmoitus olla vanhentunut.
Rajaa tietosuojavastaavan ja muun tiimin vastuut
Rekisteröidyn pyyntö voi tulla tietosuojavastaavalle, asiakaspalvelulle tai suoraan järjestelmän omistajalle. Nimeä operatiivinen käsittelijä, joka tunnistaa pyynnön, etsii tiedot, tarkistaa mahdolliset poikkeukset ja vastaa määräajassa. Tietosuojavastaava voi neuvoa hankalassa tulkinnassa ja valvoa menettelyä; hän ei välttämättä itse kokoa kaikkia tiedostoja tai hyväksy jokaisen vastauksen sisältöä. Jos organisaatio päättää olla toteuttamatta pyyntöä, rekisterinpitäjä vastaa syiden ilmoittamisesta ilman aiheetonta viivytystä ja viimeistään kuukaudessa sekä valitus- ja oikeussuojatietojen antamisesta 12 artiklan 4 kohdan mukaisesti.
Sama jako koskee tietoturvaloukkausta. IT tutkii teknisen tapahtuman, rekisterinpitäjä arvioi henkilöihin kohdistuvan riskin ja mahdolliset ilmoitukset, ja tietosuojavastaava osallistuu neuvontaan sekä seuraa menettelyn laatua. Kaikki henkilötietojen tietoturvaloukkaukset dokumentoidaan, mutta jokainen tekninen hälytys ei ole henkilötietojen loukkaus. Ilmoitus valvontaviranomaiselle tehdään ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnissa tietoisuudesta, ellei riski ole epätodennäköinen; myöhempi ilmoitus perustellaan. Tämä ei ole tietosuojavastaavan henkilökohtainen määräaika, vaan rekisterinpitäjän velvollisuus.
Arvioi ulkoinen palvelu käytännön tilanteella
Jos käytät ulkoista tietosuojavastaavaa, pyydä tarjouksessa vastausta kolmeen tilanteeseen: uusi korkean riskin palvelu, tietoturvaloukkaus perjantai-iltana ja johdon päätös poiketa annetusta neuvosta. Kuka ottaa yhteydenoton vastaan, kuinka nopeasti asia siirtyy asiantuntijalle ja mistä hän saa käsittelyä koskevat tosiasiat? Älä oleta, että pelkkä nimetty sähköpostiosoite takaa riittävät resurssit. Tarkista myös, tekeekö sama toimittaja järjestelmän suunnittelua tai päätöksiä, joita sen tietosuojavastaava myöhemmin valvoisi. Sopimukseen kannattaa kuvata tavoitettavuus, tietojen saanti ja raportointikanava ilman lupausta siitä, että ulkoinen asiantuntija ottaisi rekisterinpitäjän päätösvallan.
Nimityksen jälkeen järjestä perehdytys: näytä käsittelytoimien omistajat, viimeisin riskien arviointi, keskeneräiset rekisteröityjen pyynnöt ja aiemmat tietoturvaloukkaukset. Anna tietosuojavastaavan itse määrittää, mitä lisätietoja tehtävään tarvitaan ja mihin hän kohdistaa ensimmäisen valvontaotoksen. Samalla johto voi sopia, milloin se saa tilannekuvan avoimista riskeistä. Näin ulkoinenkin tietosuojavastaava voi toimia organisaation todellisen käsittelyn pohjalta eikä vain yleisen malliraportin varassa.
Usein kysytyt kysymykset
Milloin tietosuojavastaava on pakollista nimittää?
37 artiklan 1 kohta velvoittaa nimittämään tietosuojavastaavan, kun rekisterinpitäjä tai käsittelijä on viranomainen tai julkishallinnon elin (paitsi tuomioistuin lainkäyttötehtävässään), kun rekisterinpitäjän tai käsittelijän ydintoiminta edellyttää rekisteröityjen laajamittaista, säännöllistä ja järjestelmällistä seurantaa tai kun ydintoiminta on 9 artiklan erityisten henkilötietoryhmien tai 10 artiklan rikostietojen laajamittaista käsittelyä.
Voiko tietosuojavastaava joutua henkilökohtaiseen vastuuseen rikkomuksista?
Ei lähtökohtaisesti. Vastuu on rekisterinpitäjällä tai käsittelijällä. 38 artikla nimenomaisesti suojaa tietosuojavastaavaa erottamiselta ja rankaisemiselta tehtäviensä hoitamisen vuoksi. Muut mahdolliset työ- tai rikosoikeudelliset kysymykset arvioidaan erikseen; GDPR:n rekisterinpitäjälle kuuluva vastuu ei siirry automaattisesti nimityksen mukana.
Voiko IT-johtaja toimia tietosuojavastaavana?
Se riippuu todellisista tehtävistä. Jos IT-johtaja päättää valvottavan henkilötietojen käsittelyn tarkoituksista tai olennaisista keinoista, syntyy eturistiriita. Sama tehtäväkohtainen arvio koskee HR- ja talousjohtajaa. Pelkkä titteli ei ole erillinen GDPR:n kielto.
Mitä pätevyyttä tietosuojavastaavalta vaaditaan?
37 artiklan 5 kohta edellyttää asiantuntemusta tietosuojalainsäädännöstä ja -käytännöistä. Mitään pakollista tutkintoa tai sertifikaattia ei vaadita, mutta osaamisen tason on vastattava käsittelyn monimutkaisuutta. Käytännössä edellytetään GDPR:n, toimialakohtaisen sääntelyn ja tietoturvan tuntemusta.
Tarvitseeko tietosuojavastaavan nimitys ilmoittaa viranomaiselle?
Kyllä. 37 artiklan 7 kohta velvoittaa julkaisemaan tietosuojavastaavan yhteystiedot ja ilmoittamaan ne valvontaviranomaiselle. Suomessa ilmoitus tehdään Tietosuojavaltuutetun toimistolle sen sähköisen lomakkeen kautta. Yhteystiedot on myös mainittava organisaation tietosuojaselosteessa, jotta rekisteröidyt voivat ottaa yhteyttä suoraan.
Voiko tietosuojavastaava olla useamman yrityksen yhteinen?
Voi. Konserni voi nimetä yhden yhteisen tietosuojavastaavan (37 artiklan 2 kohta), jos hän on helposti tavoitettavissa jokaisesta toimipaikasta. Myös erilliset organisaatiot voivat käyttää samaa ulkoista tietosuojavastaavaa. Ratkaisevaa on, että tavoitettavuus ja resurssit riittävät kaikkien organisaatioiden tarpeisiin – yksi ylikuormitettu tietosuojavastaava kymmenelle yritykselle ei täytä vaatimusta.
Mikä on tietosuojavastaavan ja rekisterinpitäjän vastuunjako?
Rekisterinpitäjä tekee päätökset ja kantaa oikeudellisen vastuun. Tietosuojavastaava neuvoo, valvoo ja raportoi. Jos rekisterinpitäjä toimii vastoin tietosuojavastaavan neuvoa, päätös ja vastuu ovat rekisterinpitäjän – mutta neuvo on syytä dokumentoida. Tietosuojavastaava ei voi määrätä rekisterinpitäjää toimimaan, mutta hänen sivuuttamisensa toistuvasti on itsessään 38 artiklan rikkomus.
Yhteenveto
Tietosuojavastaava on riippumaton neuvova ja valvova asiantuntija; käytännön tietosuojatyö jaetaan organisaatiossa, ja rekisterinpitäjä vastaa päätöksistä. GDPR 37 artiklan 1 kohta koskee viranomaisia ja julkishallinnon elimiä tuomioistuinten lainkäyttötehtäviä lukuun ottamatta sekä rekisterinpitäjiä tai käsittelijöitä, joiden ydintoiminta edellyttää laajamittaista, säännöllistä ja järjestelmällistä seurantaa tai koostuu 9 artiklan erityisten henkilötietoryhmien tai 10 artiklan rikostietojen laajamittaisesta käsittelystä. 39 artikla luettelee viisi tehtävää neuvonnasta viranomaisyhteistyöhön, ja 38 artikla turvaa riippumattomuuden. Varmista, että tietosuojavastaavalla on riittävät resurssit, suora raportointiyhteys johdolle eikä eturistiriitaa. Nimitys on ilmoitettava Tietosuojavaltuutetun toimistolle. Tietosuojavastaava on koko tietosuojaohjelman kulmakivi – mutta vastuu jää aina rekisterinpitäjälle.
Lähteet, tarkistettu 27.9.2026: GDPR 37–39 artikla, Tietosuojavaltuutetun toimiston nimitysohje, viranomaisen rooli- ja resurssiohje ja usein kysytyt kysymykset.