Tietosuojaa koskeva vaikutustenarviointi (englanniksi Data Protection Impact Assessment, DPIA) on prosessi, jolla arvioidaan käsittelyn riskit rekisteröityjen oikeuksille ja vapauksille ennen käsittelyn aloittamista. Yleisen tietosuoja-asetuksen (GDPR) 35 artikla velvoittaa rekisterinpitäjän tekemään vaikutustenarvioinnin, kun käsittely todennäköisesti aiheuttaa korkean riskin – erityisesti käytettäessä uutta teknologiaa. Vaikutustenarviointi ei ole muodollisuus vaan riskienhallinnan väline: sen laiminlyönti oli keskeinen peruste useissa Suomen ensimmäisissä GDPR-seuraamusmaksuissa. Tässä oppaassa käydään läpi, milloin vaikutustenarviointi on pakollinen, mitä se sisältää ja miten se tehdään käytännössä.
Milloin vaikutustenarviointi on pakollinen?
35 artiklan 1 kohta velvoittaa tekemään vaikutustenarvioinnin, kun käsittely todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille. 35 artiklan 3 kohta nimeää kolme tilannetta, joissa arviointi on aina tehtävä:
- Automaattinen päätöksenteko ja profilointi, jolla on henkilöä koskevia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia;
- Erityisten henkilötietoryhmien (9 artikla) tai rikostietojen (10 artikla) laajamittainen käsittely;
- Yleisölle avoimen alueen järjestelmällinen ja laajamittainen valvonta (esimerkiksi kameravalvonta).
Näiden lisäksi Tietosuojavaltuutetun toimisto on julkaissut luettelon käsittelytoimista, jotka aina edellyttävät vaikutustenarviointia. Luettelon ehdot luetaan kokonaisuuksina: esimerkiksi henkilön yksiselitteiseen tunnistamiseen käytettäviin biometrisiin tietoihin on yhdistyttävä vähintään yksi luettelon lisäkriteereistä. Sijaintitietojen kohdalla lisäkriteeri voi olla esimerkiksi järjestelmällinen valvonta tai laajamittaisuus. Luettelo kattaa myös geneettiset tiedot ja 14 artiklan 5 kohdan b alakohdan informointipoikkeuksen lisäkriteereineen sekä ilmiantojärjestelmät. Tarkista käsittelykohtainen yhdistelmä; luettelo täydentää yleistä korkean riskin arviointia eikä ole tyhjentävä.
Käytännön työkalu riskin tunnistamiseen on Euroopan tietosuojaneuvoston (EDPB) yhdeksän kriteerin lista (arviointi, automaattinen päätöksenteko, järjestelmällinen valvonta, arkaluonteiset tiedot, laajamittaisuus, tietojen yhdistely, haavoittuvat rekisteröidyt, uusi teknologia, käsittely joka estää oikeuksien käytön). Jos käsittely täyttää kaksi tai useampia kriteerejä, vaikutustenarviointi on lähtökohtaisesti tehtävä.
Mitä seuraa laiminlyönnistä? Suomalaiset esimerkit
Vaikutustenarvioinnin laiminlyönti on itsenäinen 35 artiklan rikkomus. Tietosuojavaltuutetun toimiston seuraamuskollegio määräsi 26.5.2020 kaksi seuraamusmaksua nimenomaan puuttuvasta vaikutustenarvioinnista:
- Taksi Helsinki Oy sai 72 000 euron seuraamusmaksun. Yhtiö oli ottanut takseihinsa käyttöön sekä kuvaa että ääntä tallentavan kameravalvontajärjestelmän arvioimatta ennalta käsittelyn riskejä ja vaikutuksia. Äänen tallentaminen katsottiin lisäksi tietojen minimoinnin periaatteen vastaiseksi (tietosuoja.fi).
- Kymen Vesi Oy sai 16 000 euron seuraamusmaksun siitä, ettei se ollut tehnyt vaikutustenarviointia ennen työntekijöiden sijaintitietojen käsittelyä ajoneuvojen paikannusjärjestelmällä, jota käytettiin työajan seurantaan.
Molemmat tapaukset kertovat saman opetuksen: vaikutustenarviointi on tehtävä ennen käsittelyn aloittamista, ei jälkikäteen. Työntekijöiden valvonnassa ja kameravalvonnassa arvioidaan konkreettisesti tarkoitus, laajuus, valvonnan järjestelmällisyys ja vaikutukset henkilöihin sekä kansallisen luettelon kriteerit. Pelkkä kameran olemassaolo ei muodosta yleistä automaattista velvoitetta, mutta korkean riskin täyttävä käsittely edellyttää arviointia ennen aloittamista. Kummassakin tapauksessa seuraamusmaksun perusteena ei ollut varsinainen vahinko rekisteröidyille vaan nimenomaan se, että riskiarviointi oli laiminlyöty – tämä osoittaa, että vaikutustenarviointi on itsenäinen velvoite, jonka noudattamista valvotaan riippumatta lopputuloksesta.
Työpaikan osalta arvioi lisäksi kameravalvonnan kansalliset edellytykset: käyttötarkoitus, kuvausalue, poikkeukset ja henkilöstömenettelyt. Vaikutustenarvioinnin tekeminen ei itsessään tee kameravalvonnasta sallittua.
Vaikutustenarvioinnin laiminlyöntiä on arvioitava sen oman velvoitteen perusteella. Suuri seuraamusmaksu toisessa asiassa ei itsessään osoita, että juuri vaikutustenarviointi puuttui tai että ratkaisu koskee samanlaista käsittelyä. Organisaation päätöstä varten olennaista on dokumentoida, miksi suunniteltu käsittely täyttää tai ei täytä 35 artiklan ja kansallisen luettelon kriteerejä, mitä riskejä tunnistettiin ja miten niitä pienennetään. Mahdollisen seuraamuksen arvioinnissa sovelletaan 83 artiklan kriteerejä tapauskohtaisesti; käsittelyn laajuus ja tietojen luonne ovat osa kokonaisuutta, eivät yksin seuraamusmaksun laskukaava.
Miten vaikutustenarviointi tehdään?
35 artiklan 7 kohta määrittää vaikutustenarvioinnin vähimmäissisällön. Arvioinnin on sisällettävä:
- Järjestelmällinen kuvaus käsittelytoimista ja tarkoituksista, mukaan lukien rekisterinpitäjän oikeutettu etu;
- Arvio käsittelyn tarpeellisuudesta ja oikeasuhtaisuudesta tarkoituksiin nähden;
- Arvio riskeistä rekisteröityjen oikeuksille ja vapauksille;
- Suunnitellut toimenpiteet riskien käsittelemiseksi, mukaan lukien suojatoimet ja turvatoimet, joilla osoitetaan GDPR:n noudattaminen.
Prosessi etenee viidessä vaiheessa. Ensin kuvaat käsittelyn tietovirtoineen – tässä käsittelytoimien seloste on lähtökohta. Toiseksi arvioit tarpeellisuuden ja oikeasuhtaisuuden: onko käsittely välttämätöntä, onko käsittelyperuste kunnossa ja noudatatko tietojen minimointia ja säilytyksen rajoittamista. Kolmanneksi tunnistat riskit rekisteröidyille (identiteettivarkaus, syrjintä, maineen menetys). Neljänneksi määrität toimenpiteet riskien pienentämiseksi – tässä sisäänrakennettu tietosuoja on keskeinen. Viidenneksi dokumentoit ja seuraat.
Jos jäännösriski on toimenpiteiden jälkeenkin korkea, 36 artikla velvoittaa ennakkokuulemiseen: sinun on kuultava Tietosuojavaltuutetun toimistoa ennen käsittelyn aloittamista. Vaikutustenarviointi kannattaa tehdä yhdessä tietosuojavastaavan kanssa, jonka neuvoja 35 artiklan 2 kohta edellyttää.
Dokumentointi on vaikutustenarvioinnin usein aliarvioitu vaihe. Arviointi ei ole vain sisäinen harjoitus vaan osoitusvelvollisuuden väline: sen on osoitettava, että riskit tunnistettiin ja käsiteltiin ennen käsittelyn aloittamista. Hyvä arviointidokumentti sisältää päivämäärän, arviointiin osallistuneet henkilöt, tietosuojavastaavan kannan, tunnistetut riskit riskitasoineen sekä kunkin riskin osalta päätetyt toimenpiteet ja niiden toteutusvastuun. Ilman tätä dokumentaatiota et voi valvontatilanteessa osoittaa arvioinnin tehdyn, vaikka olisit sen käytännössä tehnytkin. On myös tärkeää suhteuttaa arvioinnin laajuus riskiin: matalan riskin rajatapauksessa muutaman sivun arviointi voi riittää, kun taas laajamittaisessa erityisten tietoryhmien käsittelyssä arviointi on tehtävä perusteellisesti ja usein ulkopuolista asiantuntemusta hyödyntäen. Suhteellisuus on GDPR:n riskiperustaisen lähestymistavan ydin – resurssit kohdennetaan sinne, missä riski rekisteröidyille on suurin.
Täytetty vaikutustenarvioinnin malli näyttää, miten käsittelyn kuvaus, riskit, toimenpiteet ja lopullinen päätös liittyvät toisiinsa.
Vaikutustenarviointi tekoälyn ja jatkuvan seurannan aikana
Vaikutustenarvioinnin merkitys kasvaa, kun organisaatiot ottavat käyttöön tekoälyä hyödyntäviä järjestelmiä. Automaattinen profilointi, pisteytys ja päätöksenteko täyttävät usein 35 artiklan korkean riskin kriteerit, ja EU:n tekoälysäädös (AI Act) tuo osittain päällekkäisiä arviointivelvoitteita. Koneoppimiseen perustuvan järjestelmän vaikutustenarviointivelvoite ratkaistaan käsittelyn todellisten ominaisuuksien, 35 artiklan korkean riskin kriteerien ja soveltuvan viranomaisluettelon perusteella; pelkkä koneoppimisen ja henkilötietojen yhdistelmä ei yksin ratkaise velvoitetta. Tarvittavassa arvioinnissa tarkastellaan myös algoritmin läpinäkyvyyden ja mahdollisen syrjinnän vaikutuksia rekisteröityjen oikeuksiin. Päällekkäisten arviointien hallintaan on tarjolla erillisiä työkaluja – vertailu: tekoälysäädöksen (AI Act) -ohjelmisto.
Vaikutustenarviointi ei myöskään ole kertaluontoinen. 35 artiklan 11 kohta edellyttää tarvittaessa uudelleenarviointia, jos käsittelyn riski muuttuu. Käytännössä arviointi kannattaa kytkeä käsittelyn elinkaareen: kun tarkoitus, tietomäärä, teknologia tai vastaanottajat muuttuvat, arviointi päivitetään. Tämä on erityisen tärkeää jatkuvasti kehittyvissä järjestelmissä, joissa alkuperäinen riskiarvio vanhenee nopeasti.
Usein kysytyt kysymykset
Milloin vaikutustenarviointi on aina pakollinen?
Vaikutustenarviointi on aina tehtävä automaattisessa päätöksenteossa jolla on merkittäviä vaikutuksia, erityisten henkilötietoryhmien tai rikostietojen laajamittaisessa käsittelyssä sekä julkisen alueen järjestelmällisessä laajamittaisessa valvonnassa. Lisäksi Tietosuojavaltuutetun toimiston luettelo nimeää muita pakollisia tilanteita, kuten työntekijöiden järjestelmällisen valvonnan.
Kuka tekee vaikutustenarvioinnin?
Vastuu on rekisterinpitäjällä. Käytännön työn voi tehdä esimerkiksi projektiryhmä yhdessä IT:n ja liiketoiminnan kanssa. Tietosuojavastaavan neuvoja on pyydettävä (35 artiklan 2 kohta), mutta tietosuojavastaava ei tee arviointia itse eikä kanna siitä vastuuta.
Mitä tarkoittaa ennakkokuuleminen?
Jos vaikutustenarviointi osoittaa, että jäännösriski on toimenpiteistä huolimatta korkea, 36 artikla velvoittaa kuulemaan Tietosuojavaltuutetun toimistoa ennen käsittelyn aloittamista. Viranomainen voi antaa neuvoja tai kieltää käsittelyn. Ennakkokuuleminen on poikkeuksellista ja tarkoittaa, että riskiä ei ole saatu riittävästi hallintaan.
Voiko vaikutustenarvioinnin tehdä jälkikäteen?
Ei tarkoituksenmukaisesti. 35 artikla edellyttää arviointia ennen käsittelyä. Jälkikäteen tehty arviointi ei poista laiminlyöntiä – Taksi Helsingin ja Kymen Veden tapaukset osoittavat, että viranomainen sanktioi nimenomaan ennakkoarvioinnin puuttumisen. Olemassa olevaa käsittelyä on kuitenkin syytä arvioida heti, jos arviointi on jäänyt tekemättä.
Onko vaikutustenarviointi kertaluontoinen?
Ei. 35 artiklan 11 kohta edellyttää arvioinnin uudelleentarkastelua, jos käsittelyn riski muuttuu. Kun tarkoitus, teknologia, tietomäärä tai vastaanottajat muuttuvat, arviointi on päivitettävä. Jatkuvasti kehittyvissä järjestelmissä alkuperäinen riskiarvio vanhenee nopeasti, joten arviointi kannattaa kytkeä käsittelyn elinkaareen.
Kuka hyväksyy vaikutustenarvioinnin?
Vaikutustenarvioinnilla ei ole muodollista viranomaishyväksyntää normaalitilanteessa – rekisterinpitäjä tekee ja hyväksyy sen itse ja vastaa sen riittävyydestä. Vain jos jäännösriski on toimenpiteistä huolimatta korkea, 36 artikla velvoittaa ennakkokuulemiseen Tietosuojavaltuutetun toimiston kanssa ennen käsittelyn aloittamista. Tietosuojavastaavan neuvoa on pyydettävä, ja hänen kantansa sekä sen mahdollinen sivuuttaminen on syytä dokumentoida arviointiin.
Voiko yksi vaikutustenarviointi kattaa useita käsittelytoimia?
Voi. 35 artiklan 1 kohta sallii yhden arvioinnin useasta samankaltaisesta käsittelytoimesta, joilla on vastaavat riskit. Esimerkiksi useat samankaltaiset kameravalvontakohteet tai saman teknologian eri sovellukset voidaan arvioida yhdessä. Olennaista on, että arviointi kattaa kunkin toimen tosiasialliset riskit – liian yleinen arviointi ei täytä velvoitetta, jos toimet eroavat merkittävästi.
Yhteenveto
Vaikutustenarviointi on GDPR 35 artiklan mukainen pakollinen prosessi aina, kun käsittely todennäköisesti aiheuttaa korkean riskin. Se on tehtävä ennen käsittelyn aloittamista, ja sen on katettava käsittelyn kuvaus, tarpeellisuus, riskit ja riskien pienentämistoimet. Suomessa puuttuva vaikutustenarviointi on jo johtanut merkittäviin seuraamusmaksuihin – Taksi Helsinki (72 000 €) ja Kymen Vesi (16 000 €) ovat konkreettisia varoituksia. Tarkista aina Tietosuojavaltuutetun toimiston luettelo, tee arviointi yhdessä tietosuojavastaavan kanssa ja dokumentoi tulokset. Korkean jäännösriskin tapauksissa muista 36 artiklan ennakkokuuleminen.