GDPR – tietosuojavastaava

Yleinen tietosuoja-asetus (GDPR) on luonut Eurooppaan tietosuojavastaavan (DPO) käsitteen. Vastoin yleistä uskomusta oikeudellinen velvollisuus nimittää tietosuojavastaava ei riipu yrityksen koosta, vaan ydinkäsittelytoiminnoista, jotka määritellään olennaisiksi yrityksen tavoitteiden saavuttamiseksi. Jos nämä ydintoiminnot käsittävät arkaluonteisten henkilötietojen käsittelyä laajassa mittakaavassa tai tietojen käsittelymuotoa, joka on erityisen kauaskantoista rekisteröityjen oikeuksien kannalta, on yrityksen nimettävä DPO. Julkisten tahojen on toisaalta aina nimettävä DPO, lukuun ottamatta tuomioistuimia, jotka toimivat oikeudellisessa roolissaan. Lisäksi jäsenvaltioilla on joustovaraa nimittää tietosuojavastaava. Nämä voivat päättää, onko yrityksen nimettävä tietosuojavastaava tiukempien vaatimusten mukaisesti (esim. Saksan liittovaltion tietosuojalain 38 §). Jos tällainen velvoite on yleisen tietosuoja-asetuksen tai tarkemman kansallisen lain nojalla, yritysryhmä voi myös nimittää yhden tietosuojavastaavan. Jos ryhmä päättää tehdä niin, hänen on oltava helposti tavoitettavissa valvontaviranomaisille, työntekijöille ja ulkoisille rekisteröidyille. Jos oikeudellista velvollisuutta ei ole, yritykset voivat nimittää DPO:n vapaaehtoisesti auttamaan tietosuojan noudattamisessa (mikä esimerkiksi Ranskan tietosuojaviranomaisen CNIL:n toimesta suositellaan).

Ryhmittymillä ja yrityksillä on kaksi mahdollisuutta täyttää velvollisuutensa nimetä tietosuojavastaava. Joko he nimeävät työntekijän sisäiseksi tietosuojavastaavaksi tai he nimittävät ulkoisen tietosuojavastaavan. Valitessaan tällaista henkilöä heidän on varmistettava, että sisäinen tietosuojavastaava ei ole intressiristiriidassa työnsä vuoksi IT-osastolla, henkilöstöhallinnossa tai ylimmässä johdossa, jossa hänen täytyisi valvoa itseään. Valittiinpa kumpi vaihtoehto tahansa, tietosuojavastaavalla on oltava asiantuntijatasoinen tietämys tietosuojalainsäädännöstä ja IT-turvallisuudesta, joiden laajuus riippuu tietojenkäsittelyn monimutkaisuudesta ja yrityksen koosta.

Rekisterinpitäjän tehtäviin kuuluu: Työskentely kaikkien asiaankuuluvien tietosuojalakien noudattamisen varmistamiseksi, tiettyjen prosessien, kuten tietosuojavaikutusten arviointien tai työntekijöiden tietosuojaosaamisen ja kouluttamisen seuraaminen, sekä yhteistyön tekeminen valvontaviranomaisten kanssa. Sen vuoksi tietosuojavastaavana toimivaa työntekijää ei saa irtisanoa tai rangaista tehtäviensä suorittamisen vuoksi. Valvontatehtävistään huolimatta yhtiö itse on vastuussa tietosuojalakien noudattamisesta. Siksi sen on otettava tietosuojavastaava mukaan kaikkiin henkilötietojen suojaamiseen liittyviin asioihin asianmukaisesti ja ajallaan. Kun tietosuojavastaava nimitetään, hänen esimiehensä on julkaistava hänen yhteystietonsa ja ilmoitettava hänen nimityksestään ja yhteystiedoistaan tietosuojan valvontaviranomaisille. Jos yritys nimitti DPO:n vapaaehtoisesti, heidän on myös noudatettava yllä mainittuja kriteerejä ja määräyksiä. Muista myös, että tietosuojavastaavan nimittämättä jättäminen tahallisesti tai huolimattomuudesta huolimatta lain vaatimuksesta on rikkomus, josta voidaan määrätä sakkoja.