GDPR – Käsittely

Yleinen tietosuoja-asetus (GDPR) tarjoaa yhdenmukaisen, koko Euroopan laajuisen mahdollisuuden niin sanotulle ’tilaustietojen käsittelylle’, joka tarkoittaa henkilötietojen keräämistä, käsittelyä tai käyttöä käsittelijän toimesta rekisterinpitäjän ohjeiden mukaisesti perustuen sopimukseen.

EU:n alueella toimivan liikkeen toimintaan liittyvässä käsittelyssä toimeksiannolla suoritettua tietojen käsittelyä koskevat säännökset ovat jo voimassa. Tämä tarkoittaa, että riittää, jos joko rekisterinpitäjä tai käsittelijä harjoittaa liiketoimintaa EU:ssa ja käsittely tapahtuu sen toiminnan yhteydessä. On tehtävä ero käsittelyn ja yhteisen rekisterinpitäjyyden (GDPR:n 26 artikla) välillä, jossa molemmat osapuolet määrittelevät yhdessä tietojenkäsittelyn tarkoitukset ja keinot ja ovat siten myös yhdessä vastuussa niistä.

Rekisterinpitäjä-käsittelijä-suhteessa jälkimmäiselle sallitaan henkilötietojen käsittely vain rekisterinpitäjän dokumentoitujen ohjeiden perusteella. Käsittelijä ei voi ottaa toista käsittelijää auttamaan tietyn sopimuksen täyttämisessä ilman kyseisen rekisterinpitäjän etukäteistä erityistä tai yleistä kirjallista lupaa. Yleisen luvan tapauksessa käsittelijän on tiedotettava hänelle kaikista käsittelyyn liittyvistä olennaisista muutoksista.

Useimmissa tapauksissa tilauskäsittely tapahtuu sopimuksen perusteella. GDPR:n 28 artiklan 3 kohta asettaa sille vähimmäisvaatimukset. Sopimuksessa on muun muassa oltava tieto siitä, millaista henkilötietoa käsitellään, sekä käsittelyn kohde ja tarkoitus. Lisäksi käsittelijälle on asetettu lisävelvoitteita. Esimerkiksi hänen on pidettävä luetteloa käsittelytoimista, joka sisältää niiden kunkin rekisterinpitäjän nimet ja yhteystiedot, joiden kanssa hän työskentelee, sekä ne käsittelykategoriat, joita heidän puolestaan suoritetaan. Lisäksi luettelon on sisällettävä, jos käytännössä, henkilötietojen siirto kolmansiin maihin ja, jos mahdollista, yleinen kuvaus teknisistä ja organisatorisista toimenpiteistä. Rekisterinpitäjän on varmistettava käsittelijän valinnassa, että se on toteuttanut riittävät tekniset ja organisatoriset toimenpiteet varmistamaan, että käsittely täyttää asetuksen vaatimukset.

Periaatteessa rekisterinpitäjä on ensimmäinen yhteyshenkilö rekisteröidylle ja vastuussa siitä, että tietojenkäsittely noudattaa lakisääteisiä vaatimuksia. Tämä ei kuitenkaan tarkoita, että käsittelijä olisi vapautettu vastuusta. GDPR:n art. 82 mukaan hän on yhteisvastuussa rekisterinpitäjän kanssa. Käsittelijän vastuu on kuitenkin rajoitettu 2 kohdan mukaisesti velvollisuuksien rikkomisiin, jotka koskevat erityisesti häntä. Molemmilla osapuolilla on mahdollisuus vapautua vastuusta. Tätä varten heidän on todistettava, etteivät he olleet millään tavalla vastuussa vahinkoihin johtaneesta tapahtumasta.