Vakiolausekkeet eli SCC-lausekkeet ovat yksi tapa järjestää henkilötietojen siirron suojatoimet Euroopan talousalueen ulkopuolelle. Niiden käyttäminen tarkoittaa oikeiden osapuolten sitoutumista soveltuvaan moduuliin, siirron täsmällistä kuvaamista ja lupausten toteuttamiskelpoisuuden arviointia. Tyhjä liite tai yleinen maininta tietosuojasta palveluehdoissa ei vielä osoita, että todellinen siirto kuuluu sopimuksen piiriin.
Tämä opas koskee komission siirtolausekkeita päätöksessä 2021/914. Se näyttää neljän moduulin valinnan sekä täytetyn, kuvitteellisen suomalaisen tukipalvelun sopimusluonnoksen. Esimerkki päätyy siirron keskeyttämiseen ennen aloitusta, koska vastaanottajaa koskeva olennainen selvitys puuttuu. Täytetyt liitteet eivät siis itsessään ole hyväksymispäätös.
Varmista ensin, että nämä lausekkeet soveltuvat
Siirron arviointi alkaa vastaanottavasta oikeushenkilöstä ja todellisesta tietopääsystä. Suomessa oleva palvelin ei yksin sulje pois siirtoa, jos erillinen ETA:n ulkopuolinen palveluntarjoaja saa henkilötiedot käyttöönsä etätuen kautta. Henkilötietojen kansainvälisten siirtojen yleisopas auttaa tunnistamaan siirron ennen sopimusvälineen valintaa.
Jos voimassa oleva tietosuojan riittävyyspäätös kattaa vastaanottajan ja käsittelyn, siirto voi perustua siihen. SCC ei silloin ole automaattisesti tarpeen kyseisen siirron perusteeksi. Riittävyyspäätöksen ulkopuolella tarkistetaan soveltuva 46 artiklan suojatoimi; vakiolausekkeet eivät ole ainoa vaihtoehto. Myöskään 49 artiklan poikkeuksia ei pidä käsitellä tavanomaisen jatkuvan ulkoistamisen yleisenä vararatkaisuna.
Päätöksen 2021/914 lausekkeet on tarkoitettu siirtoon vastaanottajalle, jonka kyseinen käsittely ei jo kuulu GDPR:n soveltamisalaan 3 artiklan perusteella. Komission ajantasainen SCC-kysymysluettelo selventää tämän rajauksen. Jos vastaanottajan toimintaan sovelletaan suoraan GDPR:ää, näiden lausekkeiden soveltuvuutta ei saa olettaa. Asia vaatii kyseiseen tilanteeseen soveltuvan siirtoratkaisun, eikä suora soveltaminen itsessään poista V luvun arviointia.
Siirtolausekkeet on lisäksi erotettava komission 28 artiklan rekisterinpitäjä–käsittelijäsuhdetta koskevasta erillisestä mallista. Tavallinen käsittelysopimus ei yksin korvaa kolmannen maan siirtoperustetta. Päätöksen 2021/914 moduulit 2 ja 3 puolestaan sisältävät myös vastaavat 28 artiklan velvoitteet niiden kattamassa käsittelyssä, joten samaa sisältöä ei tarvitse tehdä uudelleen erilliseen sopimukseen vain asiakirjamäärän lisäämiseksi.
Neljä moduulia ja siirron oikea suunta
| Moduuli | Viejä → tuoja | Rajattu esimerkki |
|---|---|---|
| 1 | Rekisterinpitäjä → rekisterinpitäjä | Suomalainen yritys luovuttaa tietoja erilliseen, lainmukaiseen tarkoitukseen toimivalle vastaanottajalle |
| 2 | Rekisterinpitäjä → käsittelijä | Suomalainen työnantaja käyttää ulkomaista ohjeistettua palveluntarjoajaa |
| 3 | Käsittelijä → käsittelijä | Suomalainen palveluyhtiö käyttää kolmannen maan alikäsittelijää asiakkaan tietojen käsittelyyn |
| 4 | Käsittelijä → rekisterinpitäjä | ETA:ssa toimiva käsittelijä siirtää tai palauttaa tietoja kolmannen maan rekisterinpitäjälleen |
Moduuli 4 ei tarkoita kolmannen maan käsittelijän tavallista palautusta suomalaiselle rekisterinpitäjälle. Sen suunta on käsittelijältä kolmannen maan rekisterinpitäjälle. Esimerkiksi suomalainen palveluyhtiö voi käsitellä ETA:n ulkopuolisen asiakkaansa aineistoa ja siirtää sen takaisin tälle. Vastaanottajan käsittelyn suora GDPR-soveltuvuus ja muut edellytykset pitää edelleen tarkistaa.
Rooli määritellään kullekin käsittelytoimelle. Sama suomalainen yhtiö voi olla oman henkilöstönsä rekisterinpitäjä ja asiakkaansa tilaustietojen käsittelijä. Silloin sama ulkomainen palveluntarjoaja voi liittyä eri siirroissa moduuliin 2 tai 3. Roolien arviointi tehdään ennen kuin osapuolet valitsevat sopimuksen valintaruudun.
Mitä vakiosisällössä saa muuttaa?
Lausekkeiden ydintekstiä ei kirjoiteta uudelleen omaksi kevennetyksi versioksi. Soveltuvat moduulit ja vaihtoehdot valitaan ja liitteet täytetään. Lausekkeet voidaan sisällyttää laajempaan sopimukseen ja niitä voidaan täydentää, kun lisäykset eivät ole suoraan tai välillisesti ristiriidassa niiden kanssa eivätkä heikennä rekisteröityjen oikeuksia.
Esimerkiksi yleinen vastuunrajoitus ei saa kumota lausekkeiden mukaisia rekisteröityjen oikeuksia. Etusijajärjestys huomioidaan sopimuksessa. Vapaaehtoinen liittymislauseke voi mahdollistaa uuden osapuolen liittymisen muiden suostumuksella ja vaaditut liitteet täyttämällä; se ei tee konsernin kaikista tulevista yhtiöistä automaattisesti osapuolia.
Täytetty tapaus: Siltatuki Oy ja ulkomainen alikäsittelijä
Kuvitteellinen Siltatuki Oy käsittelee suomalaisen verkkokauppa-asiakkaansa tilaustietoja tämän ohjeiden mukaan. Se ehdottaa Intiassa toimivaa kuvitteellista Pilottituki-palveluyhtiötä rajattuun tekniseen tukeen. Esimerkissä vastaanottajan tämän käsittelyn on selvitetty jäävän suoran 3 artiklan soveltamisen ulkopuolelle. Intialaisen yhtiön nimi on opetusesimerkki, ei todellista toimittajaa koskeva arvio.
Siirron rooleiksi kirjataan Siltatuki käsittelijänä ja Pilottituki alikäsittelijänä. Valittu moduuli on 3. Jos Siltatuki siirtäisi sen sijaan oman henkilöstönsä tietoja omaan ulkoistettuun palkanlaskentaansa, moduulin valinta pitäisi ratkaista erikseen. Asiakasrekisterinpitäjän alikäsittelijähyväksyntä tarvitaan asianmukaisesti; Siltatuen oma allekirjoitus ei korvaa puuttuvaa valtuutusta.
Liite I.A: osapuolet
Työluonnoksessa nimetään viejä Siltatuki Oy, tuoja Pilottituki sekä kummankin tehtävä siirrossa. Viejän yhteyshenkilö on palveluvastaava ja tuojan yhteyshenkilö tietosuojasta vastaava tukipäällikkö. Oikeat rekisteröidyt nimet, osoitteet, yhteystiedot, allekirjoittajien valtuudet ja allekirjoituspäivät on täydennettävä ennen sitoutumista. Esimerkki ei korvaa niitä keksityillä osoitteilla tai oletetulla allekirjoituksella.
Mahdollinen tietosuojavastaava tai edustaja merkitään soveltuvin osin. Yhteyshenkilön nimeäminen ei itsessään tarkoita lakisääteisen tietosuojavastaavan nimittämistä. Sopimuksen osapuoli on se oikeushenkilö, joka todella saa tietoja, ei pelkkä palvelun tuotemerkki.
Liite I.B: siirron sisältö
| Kenttä | Esimerkin täytetty sisältö |
|---|---|
| Rekisteröidyt | Asiakasrekisterinpitäjän verkkokaupan tilaajat |
| Tietoryhmät | Tilaustunniste, virheen tekninen kuvaus ja tarvittaessa toimituksen tilatieto |
| Pois rajattu aineisto | Maksukortin numero, asiakkaan koko viestihistoria, henkilöstöaineisto ja erityiset henkilötietoryhmät |
| Toistuvuus | Erikseen avattava pääsy yksittäiseen hyväksyttyyn tukitapaukseen |
| Toiminto | Ohjeistettu tekninen vian selvittäminen |
| Tarkoitus | Tilausjärjestelmän yksilöidyn virheen korjaaminen |
| Kesto | Tukitehtävän ratkaisemiseen tarvittava aika; paikalliset asiakaskopiot kielletty |
| Alikäsittelyn kohde | Vain nimetyn asiakkaan hyväksytty tukiaineisto, ei vastaanottajan oma mallikoulutus |
Taulukon rajaus on tarkistettava todellisesta käyttöliittymästä. Jos tukihenkilö näkee asiakkaan nimen ja vapaan tekstin, niitä ei voi jättää liitteestä pois vain toteamalla tavoitteeksi minimoinnin. Siltatuki kokeilee käyttöoikeutta keinotekoisella tilauksella ja havaitsee, että vanha liitelataus näyttää koko keskustelun. Tämä toiminto suljetaan ennen kuin rajaus voitaisiin hyväksyä.
Liite I.C: valvontaviranomainen
Moduuleissa 1–3 toimivaltainen viranomainen nimetään lausekkeen 13 mukaan. Se ei ole osapuolten vapaasti valitsema maa tai automaattisesti jokaisen asiakkaan kotimaan viranomainen. Esimerkin viejä toimii vain Suomessa, ja sen kyseistä GDPR-käsittelyä valvova viranomainen on tietosuojavaltuutettu. Monessa maassa toimivan viejän tai ETA:n ulkopuolisen, GDPR:n piiriin kuuluvan viejän tilanne arvioidaan lausekkeen omien sääntöjen perusteella. Moduuliin 4 ei sovelleta tätä liitekohtaa samalla tavalla.
Liite II: kuvaa todellinen suojaus
Liite II kuuluu moduuleihin 1–3. Siihen ei riitä ”käytämme alan parasta tietoturvaa”. Siltatuen luonnos nimeää henkilökohtaiset tukitunnukset, monivaiheisen todennuksen, tehtäväkohtaisen määräaikaisen pääsyn, hallitut päätelaitteet, lokituksen ja asiakkaiden aineiston erottamisen. Poistaminen ja oikeuspyyntöihin avustaminen kuvataan käytännön tehtävinä. Turvatoimien malli auttaa tekemään väitteistä todennettavia.
Siirtoyhteys salataan ja avainten hallinta kuvataan, mutta luonnos ei väitä, että liikenteen salaus estäisi vastaanottajaa lukemasta sille avattua selväkielistä tietoa. Myöskään ETA:ssa säilytetty avain ei suojaa tältä riskiltä, jos ulkomainen tukihenkilö saa tiedon luettavaksi sovelluksessa. Salauksen ja avainten hallinta on sovitettava todelliseen uhkaan.
Liite III ja alikäsittelijän muutokset
Liite III täytetään moduuleissa 2 ja 3, kun käytetään lausekkeen 9(a) vaihtoehdon 1 mukaista erityistä ennakkolupaa. Yleisen kirjallisen luvan vaihtoehto puolestaan edellyttää sovittua luetteloa ja muutoksista annettavaa ennakkotietoa sekä todellista mahdollisuutta vastustaa. Liite III ei siis ole muuttumattomana pakollinen jokaisessa mahdollisessa moduuliyhdistelmässä.
Siltatuen luonnoksessa valitaan erityinen lupa. Pilottituen jatkoalikäsittelijöiksi merkitään ”ei hyväksyttyjä jatkoalikäsittelijöitä”, ja uuden toimijan hakemus on toimitettava esimerkissä sovitusti 30 päivää ennen aiottua käyttöönottoa. Kolmekymmentä päivää on sopimusvalinta, ei yleinen lausekkeista seuraava määräaika. Moduulissa 3 luvan antava taho on rekisterinpitäjä; tietojen viejälle tiedottamista ei unohdeta.
Lauseke 14: sopimuksen toteuttamiskelpoisuus
Paikallista lainsäädäntöä ja käytäntöä arvioitaessa huomioidaan siirron olosuhteet, viranomaispääsy ja käytettävät suojatoimet. Moduuleissa 1–3 lauseke 14 kuuluu arviointiin. Moduulissa 4 sen soveltamisala koskee tilannetta, jossa ETA:n käsittelijä yhdistää kolmannen maan rekisterinpitäjältä saadut henkilötiedot ETA:ssa itse keräämiinsä henkilötietoihin. Tätä erityistä rajausta ei pidä muuttaa kaikkia moduulin 4 palautuksia koskevaksi identtiseksi velvoitteeksi.
Siltatuen siirtovaikutustenarvioinnissa vastaanottaja ei ole pystynyt selittämään yhden paikallisen viranomaispääsyä koskevan velvoitteen soveltumista omaan toimintaansa. Väite ”emme ole koskaan saaneet pyyntöjä” ei yksin täytä selvitystä. Luonnoksen toimenpiteet suojaavat tunnuksia ja rajaavat aineistoa, mutta eivät vielä ratkaise tuntematonta velvoitetta selväkieliseen pääsyyn.
Päätös on siksi, ettei tuotantosiirtoa aloiteta. Puuttuva selvitys yksilöidään ja vastuuhenkilö nimetään. Vaihtoehdoksi arvioidaan tuki aidosti anonyymillä tai keinotekoisella aineistolla. Pseudonymisointi ei kelpaa automaattiseksi ratkaisuksi, jos vastaanottaja pystyy edelleen tunnistamaan asiakkaan tai tulos palautetaan henkilöön.
Sovellettava laki, tuomioistuimet ja henkilön tiedonsaanti
Lauseke 17 edellyttää moduuleissa 1–3 EU- tai ETA-maan lakia, joka sallii oikeudet kolmantena edunsaajana. Moduulissa 4 laki voi olla myös ETA:n ulkopuolisesta maasta, kun tämä edellytys täyttyy. Lauseke 18 määrittää oikeuspaikan: moduuleissa 1–3 sovitaan EU- tai ETA-maan tuomioistuimista, ja rekisteröidyn oikeus nostaa kanne myös tavanomaisen asuinpaikkansa jäsenvaltiossa säilyy. Moduulissa 4 tuomioistuinmaa nimetään sen oman tekstin mukaan.
Henkilölle kerrotaan siirrosta GDPR:n informointisääntöjen mukaisesti. Soveltuvissa lausekkeissa tarkoitettu pyyntö saada jäljennös kattaa käytössä olevat lausekkeet ja täytetyt liitteet, ei vain linkkiä komission tyhjään malliin. Liikesalaisuuksia tai muiden henkilötietoja voidaan suojata sallituissa rajoissa, mutta jäljelle jäävän tiedon pitää olla ymmärrettävää. Informoinnin käytännön toteutus auttaa järjestämään tämän ilman tarpeettomia esteitä.
Viranomaispyyntö tarvitsee oman toimintatavan
Lausekkeen 15 soveltuessa vastaanottajan velvollisuudet eivät rajoitu pyynnön kirjaamiseen. Sen on ilmoitettava lausekkeen tarkoittamasta oikeudellisesti sitovasta luovutuspyynnöstä tai tietoonsa tulleesta suorasta viranomaispääsystä viejälle ja mahdollisuuksien mukaan rekisteröidylle. Ilmoitus sisältää saatavilla olevat tiedot pyydetystä aineistosta, viranomaisesta, oikeusperustasta ja vastauksesta. Jos kansallinen laki estää ilmoittamisen, vastaanottajan on pyrittävä parhaansa mukaan saamaan kieltoon poikkeus ja dokumentoitava nämä toimet. Pelkkä sopimuslupaus ilmoittaa aina ei poista laillista kieltoa.
Vastaanottaja tarkastaa myös pyynnön laillisuuden ja erityisesti sen, pysyykö pyyntö toimivallan rajoissa. Kun huolellinen arvio antaa perustellun syyn pitää pyyntöä lainvastaisena, lauseke edellyttää sen riitauttamista soveltuvine muutoksenhakumahdollisuuksineen. Tällöin pyydetään väliaikaisia toimia luovutusvelvollisuuden keskeyttämiseksi ja toimitaan lausekkeen luovutusta koskevien ehtojen mukaan. Vastauksessa annetaan vain sallitun tulkinnan mukainen vähimmäistietomäärä.
Siltatuen luonnoksen liitteeksi nimetään tämän tilanteen yhteyshenkilöt, suojattu ilmoituskanava ja sisäinen päätösvalta. Harjoituksessa vastaanottaja saa kuvitteellisen pyynnön koko asiakaskannan kopioon. Tukihenkilö ei vie aineistoa itse, vaan toimittaa pyynnön arvioitavaksi sovittuun kanavaan. Harjoituksen tulos kirjataan: yhteyshenkilö tavoitettiin, mutta oikeudellisen arvioijan varahenkilö puuttui. Tämä korjataan ennen mahdollista hyväksyntää. Toimintatavan harjoittelu täydentää paikallisen lain selvittämistä; se ei ratkaise Siltatuen edelleen avointa siirtoestettä.
Seuraa muutoksia ja keskeytä tarvittaessa
Lausekkeita ei arkistoida muuttumattomiksi palvelun koko elinkaareksi. Uusi tukimaa, alikäsittelijä, tietoryhmä tai viranomaiskäytäntö voi muuttaa arvioinnin. Sopimuskohtainen tarkistusaikataulu täydentää muutosten seurantaa; lausekkeista ei seuraa yhtä kaikille siirroille määrättyä vuosipäivää.
Jos vastaanottaja ei pysty noudattamaan lausekkeita, lausekkeen 16 mukainen siirron keskeyttäminen tulee arvioitavaksi sen ehdoilla, eikä sopimuksen jatkuminen oikeuta tiedon lähettämistä. Päättämisen, palauttamisen ja poistamisen seuraukset toteutetaan soveltuvan moduulin mukaan. Siltatuen tapauksessa siirto jää jo ennakolta aloittamatta. Liitteet säilytetään luonnoksina, kunnes ratkaiseva puute on selvitetty ja turvallinen, lainmukainen toteutus voidaan osoittaa.