Milloin tietosuojavastaava on nimettävä ja mitä hänen pitää osata?

Lyhyesti

Tietosuojavastaava on nimettävä, kun yleisen tietosuoja-asetuksen 37 artiklan ehdot täyttyvät. Velvoite koskee viranomaisia ja julkishallinnon elimiä, laajamittaista säännöllistä ja järjestelmällistä seurantaa sekä laajamittaista erityisten henkilötietoryhmien tai rikostuomioihin ja rikkomuksiin liittyvien tietojen käsittelyä. Tietosuojavastaavan pitää osata neuvoa, seurata sääntöjen noudattamista, tukea vaikutustenarviointeja ja toimia valvontaviranomaisen yhteyspisteenä. Osaamisen pitää perustua tietosuojalainsäädäntöön, alan käytäntöihin ja organisaation käsittelyn riskeihin.

Milloin tietosuojavastaava on pakollinen?

Yleisen tietosuoja-asetuksen 37 artikla antaa kolme päätilannetta, joissa tietosuojavastaava on nimettävä.

Ensimmäinen koskee viranomaisia ja julkishallinnon elimiä. Poikkeuksena ovat tuomioistuimet silloin, kun ne hoitavat lainkäyttötehtäviään. Käytännössä julkisen sektorin organisaation pitää tunnistaa, kuuluuko sen henkilötietojen käsittely tähän ryhmään.

Toinen koskee organisaatioita, joiden ydintehtävät muodostuvat käsittelytoimista, jotka vaativat laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa. Ydintehtävä tarkoittaa organisaation varsinaista toimintaa, ei pelkkää tukitehtävää. Säännöllinen ja järjestelmällinen seuranta tarkoittaa toistuvaa ja suunniteltua ihmisiin liittyvän tiedon seuraamista palvelussa tai prosessissa.

Kolmas koskee organisaatioita, joiden ydintehtävät muodostuvat laajamittaisesta käsittelystä, joka kohdistuu yleisen tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin tai 10 artiklassa tarkoitettuihin rikostuomioita ja rikkomuksia koskeviin tietoihin. Asetuksen 37 artikla ei anna valmista lukurajaa laajamittaisuudelle. Siksi arvio tehdään käsittelyn luonteen, laajuuden ja tarkoitusten perusteella.

Kysymys	Miksi se ratkaisee nimittämisen
Käsitteleekö organisaatio henkilötietoja viranomaisena tai julkishallinnon elimenä?	37 artikla tekee tietosuojavastaavasta pakollisen tässä tilanteessa, pois lukien tuomioistuimen lainkäyttötehtävät.
Ovatko henkilötiedot osa varsinaista ydintehtävää?	37 artiklan kaksi muuta pakollista perustetta koskevat ydintehtäviä, eivät vain hallinnon taustatyötä.
Onko seuranta säännöllistä ja järjestelmällistä?	Toistuva ja suunniteltu seuranta voi tehdä tietosuojavastaavasta pakollisen, jos se on myös laajamittaista.
Kohdistuuko käsittely erityisiin henkilötietoryhmiin tai rikostuomioita koskeviin tietoihin?	Laajamittainen käsittely näissä ryhmissä kuuluu 37 artiklan pakollisiin tilanteisiin.

Mitä nimittäminen käytännössä vaatii?

Tietosuojavastaava voi olla organisaation oma työntekijä. Hän voi myös hoitaa tehtävää palvelusopimuksen perusteella. Tämä perustuu yleisen tietosuoja-asetuksen 37 artiklaan.

Konserni voi nimetä yhden tietosuojavastaavan, jos häneen voidaan ottaa helposti yhteyttä jokaisesta toimipaikasta. Viranomainen tai julkishallinnon elin voi nimetä yhden tietosuojavastaavan useampaa tällaista elintä varten. Tällöin organisaatiorakenne ja koko on otettava huomioon.

Nimeäminen ei saa jäädä sisäiseksi tiedoksi. Yleisen tietosuoja-asetuksen 37 artikla vaatii, että rekisterinpitäjä tai henkilötietojen käsittelijä julkistaa tietosuojavastaavan yhteystiedot. Ne on myös ilmoitettava valvontaviranomaiselle.

Yhteystiedot eivät ole muodollisuus. Rekisteröidyt voivat yleisen tietosuoja-asetuksen 38 artiklan mukaan ottaa yhteyttä tietosuojavastaavaan kaikissa asioissa, jotka liittyvät heidän henkilötietojensa käsittelyyn ja asetukseen perustuviin oikeuksiin. Tämä tarkoittaa, että yhteydenoton pitää oikeasti tavoittaa oikea henkilö tai toimiva yhteyspiste.

Mitä tietosuojavastaavan pitää osata?

Yleisen tietosuoja-asetuksen 37 artikla sanoo, että nimittämisessä otetaan huomioon ammattipätevyys. Erityisesti ratkaisevat asiantuntemus tietosuojalainsäädännöstä ja alan käytänteistä sekä kyky hoitaa 39 artiklan tehtävät.

Tämä osaaminen ei ole vain säädösten lukemista. Tietosuojavastaavan pitää pystyä soveltamaan sääntöjä arjen tilanteisiin. Esimerkiksi rekisteröidyn tarkastuspyyntö ei ole pelkkä lomakeasia. Yleisen tietosuoja-asetuksen 12 artikla edellyttää vastaamista ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan jatkaa enintään kahdella kuukaudella, jos pyyntöjen monimutkaisuus ja määrä sitä vaativat.

Tietosuojavastaavan osaaminen rakentuu ainakin näistä alueista:

• Rekisteröidyn oikeudet. Näitä ovat esimerkiksi pääsy tietoihin, oikaisu, poisto, käsittelyn rajoittaminen, tietojen siirto, vastustaminen ja automatisoituja päätöksiä koskeva suoja yleisen tietosuoja-asetuksen 15–22 artikloissa.
• Rekisterinpitäjän vastuut. Yleisen tietosuoja-asetuksen 24 artikla vaatii teknisiä ja organisatorisia toimia, joilla asetuksen noudattaminen voidaan varmistaa ja osoittaa.
• Rekisterinpitäjän ja henkilötietojen käsittelijän roolit. Yleisen tietosuoja-asetuksen 28 artikla vaatii kirjallisen sopimuksen, kun käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun.
• Tietoturvaloukkaukset. Yleisen tietosuoja-asetuksen 33 artikla edellyttää ilmoitusta valvontaviranomaiselle mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun henkilötietojen tietoturvaloukkaus on tullut ilmi, ellei riski ole epätodennäköinen.
• Tietosuojaa koskeva vaikutustenarviointi. Yleisen tietosuoja-asetuksen 35 artikla vaatii arvioinnin ennen käsittelyä, jos käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille.
• Kansainväliset siirrot. Yleisen tietosuoja-asetuksen 44–49 artiklat koskevat henkilötietojen siirtämistä kolmanteen maahan tai kansainväliselle järjestölle.

Perustason henkilöstöosaamisesta lisää kertoo artikkeli Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?. Tietoturvaloukkauksen ilmoitusajoista jatkaa artikkeli Mitä tietoturvapoikkeamasta pitää ilmoittaa ja milloin?.

Tietosuojavastaavan asema pitää suojata

Yleisen tietosuoja-asetuksen 38 artikla kuvaa tietosuojavastaavan asemaa. Organisaation pitää ottaa tietosuojavastaava mukaan henkilötietojen suojaa koskeviin kysymyksiin asianmukaisesti ja riittävän ajoissa. Tämä tarkoittaa, että tietosuojavastaava ei voi olla vain jälkikäteen tarkastava henkilö.

Tietosuojavastaavalle pitää antaa tehtävien hoitamiseen tarvittavat resurssit. Hänellä pitää olla pääsy henkilötietoihin ja käsittelytoimiin. Hänen asiantuntemuksensa ylläpitämistä pitää myös tukea.

Asetus suojaa tietosuojavastaavan riippumattomuutta. Hän ei saa ottaa vastaan ohjeita tehtäviensä hoitamisesta. Häntä ei saa erottaa tai rangaista sen vuoksi, että hän on hoitanut tehtäviään. Hän raportoi suoraan organisaation ylimmälle johdolle.

Tietosuojavastaava voi hoitaa muitakin tehtäviä. Yleisen tietosuoja-asetuksen 38 artikla edellyttää kuitenkin, että muut tehtävät eivät aiheuta eturistiriitoja. Eturistiriita voi syntyä, jos sama henkilö sekä päättää henkilötietojen käsittelyn tavoista että valvoo riippumattomasti samoja päätöksiä.

Mitä tehtäviä tietosuojavastaavalla on?

Yleisen tietosuoja-asetuksen 39 artikla antaa tietosuojavastaavan vähimmäistehtävät.

Tietosuojavastaava antaa tietoja ja neuvoja rekisterinpitäjälle tai henkilötietojen käsittelijälle. Hän neuvoo myös työntekijöitä, jotka käsittelevät henkilötietoja. Neuvo voi koskea esimerkiksi sitä, miten rekisteröidyn pyyntö käsitellään tai mitä sopimukseen tarvitaan, kun ulkoinen palvelu käsittelee henkilötietoja.

Tietosuojavastaava seuraa, että asetusta, muuta tietosuojasääntelyä ja organisaation omia tietosuojamenettelyjä noudatetaan. Tähän kuuluu vastuunjako, tiedon lisääminen, henkilöstön koulutus ja tarkastukset. Osa tehtävää on siis varmistaa, että tieto ei jää vain tietosuojavastaavalle.

Tietosuojavastaava antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista. Hän myös valvoo sen toteutusta yleisen tietosuoja-asetuksen 35 artiklan mukaisesti. Vaikutustenarviointi on tarpeen esimerkiksi silloin, kun suunniteltu käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille.

Tietosuojavastaava tekee yhteistyötä valvontaviranomaisen kanssa. Hän toimii myös valvontaviranomaisen yhteyspisteenä käsittelyyn liittyvissä kysymyksissä.

Tehtävät pitää hoitaa riskiperusteisesti. Yleisen tietosuoja-asetuksen 39 artikla edellyttää, että tietosuojavastaava ottaa huomioon käsittelytoimiin liittyvän riskin sekä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset.

Tekoäly voi lisätä vaikutustenarvioinnin osaamistarvetta

Tekoälyasetus tuo osaan organisaatioista uuden arviointikerroksen. Tekoälyasetuksen 27 artikla koskee suuririskisten tekoälyjärjestelmien perusoikeusvaikutusten arviointia tietyissä käyttötilanteissa.

Säännös koskee käyttöönottajia, jotka ovat julkisoikeudellisia laitoksia tai julkisia palveluja tarjoavia yksityisiä yhteisöjä. Se koskee myös liitteessä III olevassa 5 kohdan b ja c alakohdassa tarkoitettujen suuririskisten tekoälyjärjestelmien käyttöönottajia. Arviointi tehdään ennen suuririskisen tekoälyjärjestelmän käyttöönottoa.

Tekoälyasetuksen 27 artikla kytkeytyy tietosuojaan silloin, kun vaikutuksia on jo arvioitu yleisen tietosuoja-asetuksen 35 artiklan mukaisella tietosuojaa koskevalla vaikutustenarvioinnilla. Tällöin perusoikeusvaikutusten arviointi täydentää tietosuojaa koskevaa vaikutustenarviointia.

Tietosuojavastaavan ei tarvitse olla tekoälyn ainoa vastuuhenkilö. Silti hänen pitää ymmärtää, milloin henkilötietojen käsittely, automatisoitu päätöksenteko ja vaikutustenarvioinnit kohtaavat. Tekoälyosaamisen velvoitteista kertoo lisää artikkeli Tekoälyasetuksen 4 artikla: mitä henkilöstön tekoälyosaamisesta vaaditaan.

Milloin velvoite ei sovellu ja mitä tietosuojavastaava ei tee?

Yleisen tietosuoja-asetuksen 37 artikla ei vaadi tietosuojavastaavaa kaikilta yrityksiltä. Se ei myöskään anna työntekijämäärään perustuvaa automaattista rajaa tietosuojavastaavan nimeämiselle. Ratkaisevaa on käsittelyn tekijä, ydintehtävien luonne ja käsittelyn laajamittaisuus.

Tietosuojavastaava voidaan silti nimetä vapaaehtoisesti. Tällöin tehtävä pitää järjestää niin, että 37–39 artiklojen vaatimukset asemasta, osaamisesta ja tehtävistä toteutuvat.

Tietosuojavastaava ei poista rekisterinpitäjän vastuuta. Yleisen tietosuoja-asetuksen 24 artikla asettaa vastuun rekisterinpitäjälle. Rekisterinpitäjän pitää toteuttaa toimet, joilla asetuksen noudattaminen voidaan varmistaa ja osoittaa.

Tietosuojavastaava ei myöskään voi toimia tehokkaasti ilman tietoa. Jos hän ei saa pääsyä käsittelytoimiin, sopimuksiin, loukkausdokumentaatioon tai vaikutustenarviointeihin, 38 ja 39 artiklojen tehtävät jäävät muodollisiksi. Siksi nimittäminen on vasta alku. Todellinen näyttö syntyy osaamisesta, asemasta ja arjen toiminnasta.