Mitä käsittelytoimien selosteessa pitää olla ja kenen pitää laatia se?

Lyhyesti

Käsittelytoimien seloste on kirjallinen kuvaus siitä, miten organisaatio käsittelee henkilötietoja. Yleisen tietosuoja-asetuksen 30 artikla vaatii, että rekisterinpitäjä ylläpitää selostetta omalla vastuullaan olevista käsittelytoimista. Myös henkilötietojen käsittelijä ylläpitää oman selosteensa käsittelyistä, joita se tekee rekisterinpitäjän lukuun. Seloste pidetään ajan tasalla. Sitä muutetaan aina, kun käsittelyn tarkoitus, tiedot, vastaanottajat, siirrot, säilytysajat tai turvatoimet muuttuvat.

Seloste kertoo, missä henkilötietoja käsitellään ja miksi

Käsittelytoimi tarkoittaa tilannetta, jossa henkilötietoja käytetään. Arkisia esimerkkejä ovat asiakasrekisterin ylläpito, työnhakijoiden tietojen käsittely ja kunnan palveluhakemusten käsittely.

Käsittelytoimien seloste kokoaa nämä käyttötilanteet yhteen. Sen tarkoitus ei ole olla markkinointiteksti tai rekisteröidylle annettava ilmoitus. Se on organisaation oma dokumentti. Sen avulla käsittely voidaan hahmottaa ja näyttää valvontaviranomaiselle.

Yleisen tietosuoja-asetuksen 5 artikla asettaa rekisterinpitäjälle osoitusvelvollisuuden. Rekisterinpitäjän on pystyttävä osoittamaan, että henkilötietojen käsittelyn periaatteita on noudatettu. Seloste on tähän yksi käytännön väline, koska se näyttää, mitä käsittelyä organisaatiossa on.

Seloste auttaa myös arjen päätöksissä. Jos asiakas kysyy tietojaan, seloste kertoo, missä järjestelmissä tietoja voi olla. Jos palveluntarjoaja vaihtuu, seloste näyttää, mihin vastaanottajaryhmiin muutos vaikuttaa. Jos organisaatio alkaa käyttää henkilötietoja uuteen tarkoitukseen, seloste näyttää, muuttuuko käsittelyn peruskuvaus.

Rekisteröidylle annettavat tiedot liittyvät samaan kokonaisuuteen. Ne eivät kuitenkaan ole sama asia kuin käsittelytoimien seloste. Yleisen tietosuoja-asetuksen 12–14 artiklat koskevat sitä, mitä ihmiselle kerrotaan hänen tietojensa käsittelystä. Seloste on organisaation oma kuvaus käsittelytoimista.

Lisää rekisteröidyn pyynnöistä käsittelee artikkeli Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Rekisterinpitäjän selosteessa pitää olla nämä tiedot

Yleisen tietosuoja-asetuksen 30 artikla luettelee rekisterinpitäjän selosteen sisällön. Rekisterinpitäjä on tässä se taho, jonka vastuulla käsittelytoimi on. Jos useampi rekisterinpitäjä määrittää yhdessä käsittelyn tarkoitukset ja keinot, yleisen tietosuoja-asetuksen 26 artikla puhuu yhteisrekisterinpitäjistä.

Rekisterinpitäjän selosteessa pitää olla seuraavat tiedot:

Selosteeseen kirjattava tieto	Mitä se tarkoittaa työssä
Rekisterinpitäjän, mahdollisen yhteisrekisterinpitäjän, edustajan ja tietosuojavastaavan nimi ja yhteystiedot	Kuka vastaa käsittelystä ja kehen otetaan yhteyttä tietosuoja-asioissa.
Käsittelyn tarkoitukset	Miksi tietoja käytetään. Esimerkki on palvelun tuottaminen tai työsuhteen hoitaminen.
Kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä	Keitä tiedot koskevat ja millaisia tietoja käsitellään. Ryhmä voi olla asiakkaat, työntekijät tai hakijat.
Henkilötietojen vastaanottajien ryhmät	Kenelle tietoja on luovutettu tai luovutetaan. Tämä koskee myös kolmansissa maissa tai kansainvälisissä järjestöissä olevia vastaanottajia.
Tiedot siirroista kolmanteen maahan tai kansainväliselle järjestölle	Mihin maahan tai kansainväliselle järjestölle tietoja siirretään. Tarvittaessa mukaan tulevat asianmukaisia suojatoimia koskevat asiakirjat.
Poistamisen suunnitellut määräajat mahdollisuuksien mukaan	Milloin eri tietoryhmät on tarkoitus poistaa. Jos täsmällistä aikaa ei voi antaa, tieto täytyy silti arvioida niin pitkälle kuin mahdollista.
Yleinen kuvaus teknisistä ja organisatorisista turvatoimista mahdollisuuksien mukaan	Miten tietoja suojataan. Kyse voi olla esimerkiksi pääsyn rajaamisesta, salassapidosta tai muista suojatoimista.

Selosteessa ei siis riitä järjestelmän nimi. Pelkkä maininta asiakkuudenhallinnasta ei kerro, miksi tietoja käytetään, keitä tiedot koskevat tai kenelle niitä luovutetaan.

Seloste ei myöskään ole pelkkä tietohallinnon järjestelmäluettelo. Sama järjestelmä voi sisältää useita käsittelytoimia. Toisaalta yksi käsittelytoimi voi käyttää useaa järjestelmää.

Jos käsittelyssä käytetään palveluntarjoajaa, roolit pitää ymmärtää oikein. Yleisen tietosuoja-asetuksen 28 artikla koskee tilannetta, jossa henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän lukuun. Aihe jatkuu artikkelissa Rekisterinpitäjä vai käsittelijä: milloin tarvitaan käsittelysopimus ja mitä 28 artikla vaatii.

Henkilötietojen käsittelijällä on oma seloste

Henkilötietojen käsittelijä on taho, joka käsittelee henkilötietoja rekisterinpitäjän puolesta. Arkinen esimerkki on palveluntarjoaja, joka ylläpitää järjestelmää asiakkaansa ohjeiden mukaan.

Yleisen tietosuoja-asetuksen 30 artikla velvoittaa myös henkilötietojen käsittelijää pitämään selostetta. Tämä seloste ei ole sama kuin rekisterinpitäjän seloste. Se kuvaa käsittelyä, jota käsittelijä tekee rekisterinpitäjien lukuun.

Henkilötietojen käsittelijän selosteessa pitää olla:

• henkilötietojen käsittelijän tai käsittelijöiden nimi ja yhteystiedot
• kunkin rekisterinpitäjän nimi ja yhteystiedot, jonka lukuun käsittelijä toimii
• tarvittaessa rekisterinpitäjän tai käsittelijän edustajan yhteystiedot
• tietosuojavastaavan nimi ja yhteystiedot
• kunkin rekisterinpitäjän lukuun tehtyjen käsittelyjen ryhmät
• tarvittaessa tiedot siirroista kolmanteen maahan tai kansainväliselle järjestölle
• mahdollisuuksien mukaan yleinen kuvaus teknisistä ja organisatorisista turvatoimista

Käsittelijän näkökulma on siis eri. Rekisterinpitäjä kuvaa omat käyttötarkoituksensa. Käsittelijä kuvaa, millaisia käsittelyjen ryhmiä se tekee asiakkaidensa puolesta.

Tämä ero on tärkeä hankinnoissa. Rekisterinpitäjä ei voi siirtää omaa selostevelvollisuuttaan palveluntarjoajalle. Palveluntarjoaja voi kuitenkin tuottaa tietoja, joita rekisterinpitäjä tarvitsee omaan selosteeseensa.

Seloste pitää voida näyttää valvontaviranomaiselle

Yleisen tietosuoja-asetuksen 30 artikla vaatii, että seloste on kirjallinen. Se voi olla myös sähköisessä muodossa.

Käytännössä tämä tarkoittaa, että suullinen tieto ei riitä. Selosteen pitää olla dokumentti, rekisteri, taulukko tai muu pysyvä kuvaus. Sen pitää olla sellaisessa muodossa, että organisaatio voi toimittaa sen eteenpäin.

Sama artikla sanoo, että rekisterinpitäjän, henkilötietojen käsittelijän ja tarvittaessa edustajan pitää saattaa seloste valvontaviranomaisen saataville pyydettäessä. Tämä tekee selosteesta näyttöasiakirjan. Sen pitää kuvata todellista käsittelyä, ei tavoitetilaa.

Valvontaviranomaiselle näytettävä seloste voi olla eri asia kuin työntekijöille näkyvä työohje. Työohje voi kertoa, miten asiakastieto kirjataan. Seloste kertoo, miksi tietoa käsitellään, mitä tietoryhmiä käsittely koskee ja mihin tietoja luovutetaan.

Selosteen laatu näkyy usein vasta häiriötilanteessa. Jos henkilötietojen tietoturvaloukkaus tapahtuu, yleisen tietosuoja-asetuksen 33 artikla edellyttää ilmoitusta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus on tullut ilmi. Seloste ei korvaa loukkausdokumentaatiota, mutta se auttaa hahmottamaan, mitä tietoja ja rekisteröityjen ryhmiä tapahtuma koskee. Aihe jatkuu artikkelissa Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta.

Alle 250 työntekijän poikkeus ei poista velvollisuutta aina

Yleisen tietosuoja-asetuksen 30 artiklassa on poikkeus alle 250 työntekijän yrityksille ja järjestöille. Poikkeus ei kuitenkaan vapauta niistä yleisesti.

Velvollisuus laatia seloste säilyy, jos jokin seuraavista täyttyy:

• käsittely todennäköisesti aiheuttaa riskin rekisteröidyn oikeuksille ja vapauksille
• käsittely ei ole satunnaista
• käsittely kohdistuu yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuihin erityisiin tietoryhmiin
• käsittely kohdistuu 10 artiklassa tarkoitettuihin rikostuomioita tai rikkomuksia koskeviin henkilötietoihin

Käytännössä moni pysyvä henkilöstö-, asiakas- tai jäsenrekisteri ei ole satunnaista käsittelyä. Silloin pelkkä pieni henkilöstömäärä ei ratkaise asiaa.

Tämä on tärkeä raja myös kunnille ja palveluita tuottaville yhtiöille. Jos käsittely on jatkuvaa tai siihen liittyy riskejä ihmisille, organisaation koko ei poista tarvetta laatia selostetta.

Seloste ei silti tee käsittelystä lainmukaista itsessään. Se ei korvaa oikeusperustetta, rekisteröidylle annettavia tietoja, käsittelysopimusta, tietoturvaa tai vaikutustenarviointia. Se näyttää, mitä käsittelyä tehdään ja millä peruskuvauksella.

Ajan tasalla pitäminen alkaa muutoksen tunnistamisesta

Yleisen tietosuoja-asetuksen 30 artikla perustuu ajatukseen ylläpitämisestä. Seloste ei ole kertaluonteinen projekti. Se elää käsittelyn mukana.

Asetus ei anna selosteelle kiinteää tarkistusväliä. Yleisen tietosuoja-asetuksen 24 artikla kuitenkin edellyttää, että rekisterinpitäjä tarkistaa ja päivittää tarvittaessa toimenpiteet, joilla asetuksen noudattaminen varmistetaan ja osoitetaan. Seloste kuuluu tähän käytännön dokumentaatioon.

Selosteen päivitystarve syntyy esimerkiksi näissä tilanteissa:

• uusi henkilötietojen käsittelyn tarkoitus alkaa
• henkilötietoja aletaan kerätä uudelta rekisteröityjen ryhmältä
• käsiteltävät henkilötietoryhmät muuttuvat
• uusi vastaanottajaryhmä saa tietoja
• palveluntarjoaja vaihtuu tai rooli muuttuu
• tietoja siirretään kolmanteen maahan tai kansainväliselle järjestölle
• poistamisen suunnitellut määräajat muuttuvat
• turvatoimien yleinen kuvaus ei enää vastaa todellisuutta

Jos käsittelyyn liittyy korkea riski, yleisen tietosuoja-asetuksen 35 artikla voi edellyttää tietosuojaa koskevaa vaikutustenarviointia. Silloin arvioinnin on sisällettävä muun muassa järjestelmällinen kuvaus suunnitelluista käsittelytoimista ja käsittelyn tarkoituksista. Jos käsittelytoimien riski muuttuu, rekisterinpitäjän on tarvittaessa tehtävä uudelleentarkastelu. Tästä lisää artikkelissa Tietosuojan vaikutustenarviointi: milloin tietosuojaa koskeva vaikutustenarviointi on pakollinen ja mitä siihen kirjoitetaan.

Myös tekoälyn käyttö voi tuoda päivitystarpeen. Tekoälyasetuksen 27 artikla koskee suuririskisten tekoälyjärjestelmien perusoikeusvaikutusten arviointia tietyille käyttöönottajille. Jos siinä luetellut tiedot muuttuvat tai eivät ole enää ajan tasalla, käyttöönottajan on tehtävä tarvittavat toimet tietojen päivittämiseksi. Tämä ei korvaa yleisen tietosuoja-asetuksen 30 artiklan selostetta, mutta se voi paljastaa muutoksia, jotka näkyvät myös henkilötietojen käsittelyssä.

Hyvä seloste syntyy, kun vastuu on selvä. Tietosuojavastaava voi neuvoa ja seurata, mutta käsittelyn tuntevat yksiköt tuottavat usein olennaisen tiedon. Yleisen tietosuoja-asetuksen 39 artikla antaa tietosuojavastaavan tehtäviksi muun muassa neuvonnan, sääntöjen noudattamisen seurannan ja osallistumisen henkilöstön koulutukseen liittyviin tarkastuksiin.

Seloste rajaa vastuun, mutta se ei ratkaise kaikkea

Käsittelytoimien seloste on välttämätön perusdokumentti, mutta se ei kata koko tietosuojaa.

Se ei yksin osoita, että käsittelyllä on oikeusperuste. Oikeusperuste pitää arvioida erikseen. Siitä kertoo artikkeli Millä perusteella henkilötietoja saa käsitellä?.

Seloste ei myöskään korvaa rekisteröidylle annettavaa tietoa. Yleisen tietosuoja-asetuksen 13 artikla koskee tilanteita, joissa tiedot kerätään rekisteröidyltä. Saman asetuksen 14 artikla koskee tilanteita, joissa tietoja ei ole saatu rekisteröidyltä. Näissä artikloissa on omat tietosisältönsä ja määräaikansa.

Seloste ei korvaa sopimusta henkilötietojen käsittelijän kanssa. Yleisen tietosuoja-asetuksen 28 artikla edellyttää sopimusta tai muuta oikeudellista asiakirjaa, kun käsittelijä käsittelee tietoja rekisterinpitäjän lukuun.

Seloste ei myöskään ole lupa säilyttää tietoja varmuuden vuoksi. Yleisen tietosuoja-asetuksen 5 artikla edellyttää, että henkilötietoja säilytetään tunnistettavassa muodossa vain niin kauan kuin käsittelyn tarkoitukset edellyttävät. Selosteessa näkyvä säilytysaika on siis sidottava käsittelyn tarkoitukseen.

Lopuksi seloste ei ole valmis, jos se ei vastaa arkea. Jos toiminta on muuttunut, mutta seloste ei ole muuttunut, dokumentti ei enää auta osoittamaan asetuksen noudattamista. Silloin riski ei ole vain paperissa. Se näkyy tietopyynnöissä, hankinnoissa, tietoturvaloukkauksissa ja valvontaviranomaisen kysymyksissä.