Mikä erottaa rekisterinpitäjän ja käsittelijän?

Rekisterinpitäjä määrittelee käsittelyn tarkoitukset ja keinot: miksi henkilötietoja käsitellään ja miten. Käsittelijä käsittelee tietoja rekisterinpitäjän lukuun ja sen ohjeiden mukaan. Palvelu, joka alkaa käyttää tietoja omiin tarkoituksiinsa, esimerkiksi mallin kouluttamiseen tai omaan markkinointiin, ylittää käsittelijän roolin, ja 28 artiklan 10 kohdan mukaan sitä pidetään kyseisen käsittelyn rekisterinpitäjänä.

Mitä käsittelysopimuksessa on oltava?

Käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietojen tyypit ja rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet. Lisäksi käsittelijän on sitouduttava käsittelemään tietoja vain dokumentoitujen ohjeiden mukaan, varmistamaan henkilöstönsä salassapito, toteuttamaan 32 artiklan turvatoimet, käyttämään alihankkijoita vain luvalla, auttamaan rekisteröityjen oikeuksissa ja tietoturvaloukkauksissa, poistamaan tai palauttamaan tiedot sopimuksen päättyessä ja sallimaan auditoinnit. Sopimuksen on oltava kirjallinen, sähköinen muoto riittää.

Saako käsittelijä käyttää alihankkijaa?

Vain rekisterinpitäjän erityisellä tai yleisellä kirjallisella ennakkoluvalla. Yleisen luvan tapauksessa käsittelijän on tiedotettava suunnitelluista alihankkijamuutoksista niin, että rekisterinpitäjä voi vastustaa niitä. Alihankkijaan sovelletaan samoja tietosuojavelvoitteita kuin käsittelijään, ja jos alihankkija laiminlyö ne, alkuperäinen käsittelijä vastaa rekisterinpitäjälle täysimääräisesti.

Mikä on yhteisrekisterinpitäjä?

Kaksi tai useampi rekisterinpitäjä, jotka määrittävät käsittelyn tarkoitukset ja keinot yhdessä, esimerkiksi kunta ja hyvinvointialue yhteisessä palvelussa. Niiden on sovittava läpinäkyvästi vastuunjaosta, erityisesti rekisteröityjen oikeuksien ja informoinnin osalta, ja järjestelyn keskeisten osien on oltava rekisteröidyn saatavilla. Rekisteröity voi käyttää oikeuksiaan kumpaa tahansa vastaan sopimuksesta riippumatta.

Rekisterinpitäjä vai käsittelijä: milloin tarvitaan käsittelysopimus ja mitä 28 artikla vaatii

Pilvipalvelu, palkanlaskija ja tekoälytyökalu käsittelevät henkilötietoja lukuunne. Miten rooli ratkaistaan, mitä sopimuksessa on oltava ja kuka vastaa alihankkijasta.

Lyhyesti

Jokainen organisaatio käyttää palveluja, jotka käsittelevät sen henkilötietoja: sähköpostia, palkanlaskentaa, asiakasrekisteriä pilvessä, nyt myös tekoälytyökaluja. Tietosuoja-asetus jakaa osapuolet rekisterinpitäjään, joka määrittelee käsittelyn tarkoitukset ja keinot, ja käsittelijään, joka käsittelee tietoja rekisterinpitäjän lukuun. Asetuksen 28 artikla sanoo, että rekisterinpitäjä saa käyttää vain käsittelijöitä, jotka antavat riittävät takeet, ja että käsittelystä on sovittava kirjallisesti sisällöltään määrätyllä sopimuksella. Roolin ratkaiseminen on ensimmäinen kysymys, ja se ratkaisee, kuka vastaa mistä, kun jokin menee pieleen.

Kuka päättää, on rekisterinpitäjä

Rooli ei tule sopimuksen otsikosta vaan tosiasioista. Rekisterinpitäjä on se, joka päättää, miksi henkilötietoja käsitellään ja millä keinoilla. Kunta, joka vie asiakastietonsa toimittajan järjestelmään, on edelleen rekisterinpitäjä: se päätti käsittelyn tarkoituksen, ja toimittaja toteuttaa sen. Toimittaja on käsittelijä niin kauan kuin se tekee vain sitä, mitä kunta on ohjeistanut.

Asetuksen 28 artiklan 10 kohta vetää rajan: jos käsittelijä rikkoo asetusta määrittämällä käsittelyn tarkoitukset ja keinot, sitä pidetään kyseisen käsittelyn rekisterinpitäjänä. Pilvipalvelu, joka käyttää asiakkaidensa tietoja oman tuotteensa kehittämiseen ilman sopimuksen antamaa valtuutta, ei ole enää käsittelijä. Tämä on syy, miksi tekoälypalvelun käyttöehdot luetaan ennen kuin niihin syötetään henkilötietoja: palvelu, joka saa kouluttaa mallia syötteillä, ei ole käsittelijä vaan vastaanottaja, jolle tietojen antaminen on luovutus. Siitä kerrotaan artikkelissa Tekoälyn käyttöpolitiikka työpaikalle.

Asetuksen 24 artikla muistuttaa, kenellä vastuu lopulta on: rekisterinpitäjän on toteutettava tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että käsittelyssä noudatetaan asetusta, ja tarkistettava niitä tarvittaessa. Käsittelijän valinta on yksi näistä toimenpiteistä.

Mitä 28 artikla vaatii sopimukselta

Artiklan 1 kohdan mukaan rekisterinpitäjä saa käyttää ainoastaan sellaisia käsittelijöitä, jotka toteuttavat riittävät suojatoimet niin, että käsittely täyttää asetuksen vaatimukset ja rekisteröidyn oikeudet suojataan. Artiklan 3 kohta vaatii, että käsittely määritetään sopimuksella tai muulla oikeudellisella asiakirjalla, joka sitoo käsittelijää, ja luettelee, mitä siinä on oltava.

Sopimuksen sisältö	Pykälä
Käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen ryhmät, rekisterinpitäjän velvollisuudet ja oikeudet	28(3) johdanto
Käsittely vain rekisterinpitäjän dokumentoitujen ohjeiden mukaan, myös siirrot kolmansiin maihin	28(3)(a)
Käsittelyyn oikeutetut henkilöt ovat sitoutuneet salassapitoon	28(3)(b)
Kaikki 32 artiklan turvallisuustoimenpiteet	28(3)(c)
Alihankkijoiden käytön edellytykset	28(3)(d)
Apu rekisteröidyn oikeuksia koskeviin pyyntöihin vastaamisessa	28(3)(e)
Apu tietoturvan, loukkausilmoitusten ja vaikutustenarvioinnin velvoitteissa	28(3)(f)
Tietojen poisto tai palautus palvelun päättyessä, jäljennökset mukaan lukien	28(3)(g)
Tiedot noudattamisen osoittamiseksi ja auditointien salliminen	28(3)(h)

Artiklan 9 kohdan mukaan sopimuksen on oltava kirjallinen, sähköinen muoto mukaan lukien. Toimittajan vakioehtoihin sisältyvä käsittelyliite täyttää tämän, jos sen sisältö kattaa luettelon. Artiklan 6–8 kohdat sallivat komission tai valvontaviranomaisen vakiosopimuslausekkeiden käytön, ja 5 kohdan mukaan hyväksyttyjen käytännesääntöjen tai sertifioinnin noudattamista voi käyttää osatekijänä riittävien takeiden osoittamisessa.

Lisäksi h alakohdan jatko velvoittaa käsittelijän ilmoittamaan välittömästi rekisterinpitäjälle, jos se katsoo ohjeistuksen rikkovan tietosuojasäännöksiä. Käsittelijä ei siis saa noudattaa lainvastaista ohjetta hiljaa.

Alihankkijat ja vastuu ketjussa

Artiklan 2 kohdan mukaan käsittelijä ei saa käyttää toisen käsittelijän palveluja ilman rekisterinpitäjän erityistä tai yleistä kirjallista ennakkolupaa. Yleisen luvan tapauksessa käsittelijän on tiedotettava suunnitelluista alihankkijamuutoksista ja annettava rekisterinpitäjälle mahdollisuus vastustaa niitä. Käytännössä tämä on toimittajan alihankkijaluettelo ja ilmoitus muutoksista, ja rekisterinpitäjän tehtävä on lukea ilmoitukset.

Artiklan 4 kohta tekee ketjusta ehjän: alihankkijaan sovelletaan samoja tietosuojavelvoitteita kuin ensimmäiseen käsittelijään, ja jos alihankkija ei täytä velvoitteitaan, alkuperäinen käsittelijä on edelleen täysimääräisesti vastuussa rekisterinpitäjälle. Rekisterinpitäjän ei siis tarvitse sopia jokaisen alihankkijan kanssa, mutta sen pitää tietää, keitä ne ovat ja missä ne käsittelevät tietoja. Siitä, miten CoreSkills itse kertoo alihankkijansa ja tietojen sijainnin, kerrotaan artikkelissa Missä tietonne ovat.

Yhteisrekisterinpitäjät

Asetuksen 26 artikla koskee tilannetta, jossa vähintään kaksi rekisterinpitäjää määrittää käsittelyn tarkoitukset ja keinot yhdessä. Ne ovat yhteisrekisterinpitäjiä, ja niiden on määriteltävä keskinäisellä järjestelyllä läpinäkyvästi kunkin vastuualue, erityisesti rekisteröityjen oikeuksien käytön ja informoinnin osalta, ja nimettävä tarvittaessa yhteyspiste. Järjestelyn keskeisten osien on oltava rekisteröidyn saatavilla, ja rekisteröity voi käyttää oikeuksiaan kutakin rekisterinpitäjää vastaan järjestelyn ehdoista riippumatta.

Julkisella sektorilla tämä on tavallista: kunnan ja hyvinvointialueen yhteinen palvelu, kuntayhtymän järjestelmä tai useamman viranomaisen yhteinen rekisteri. Virhe on olettaa, että toinen osapuoli on käsittelijä, kun se tosiasiassa päättää käsittelystä yhdessä.

Mitä tämä vaatii eri rooleilta

Taitokatalogimme kuvaa rekisterinpitäjän vastuut ja käsittelysopimukset neljällä tasolla. Jokainen tietää, että organisaatio vastaa tiedoista, jotka se antaa toimittajalle. Esihenkilö tunnistaa, kun uusi työkalu käsittelee henkilötietoja, eikä ota sitä käyttöön ennen kuin rooli ja sopimus on tarkistettu. Hankinnasta vastaava arvioi roolin, vaatii 28 artiklan sisällön sopimukseen ja lukee alihankkijailmoitukset. Tietosuojavastaava ratkaisee rajatapaukset, yhteisrekisterinpitäjyyden ja tilanteen, jossa toimittaja on alkanut käyttää tietoja omiin tarkoituksiinsa.

Tietosuojavastaavan roolista kokonaisuutena kerrotaan artikkelissa Milloin tietosuojavastaava on nimettävä ja mitä hänen pitää osata?. Kun käsittelijän luona tapahtuu tietoturvaloukkaus, 28 artiklan 3 kohdan f alakohta ja 33 artiklan 2 kohta velvoittavat sen ilmoittamaan rekisterinpitäjälle ilman aiheetonta viivytystä; mitä sen jälkeen tehdään, kerrotaan artikkelissa Henkilötietojen tietoturvaloukkaus.