Toimittaja henkilötietojen käsittelijänä: mitä GDPR:n 28 artikla edellyttää käytännössä?

Käsittelijä on se, joka käsittelee henkilötietoja rekisterinpitäjän lukuun ja tämän ohjeiden mukaisesti (GDPR:n 4 artiklan 8 alakohta). Tyypillisiä tapauksia ovat hosting- ja konesalipalvelut, ohjelmisto palveluna (SaaS), IT-ylläpito, johon liittyy pääsy tietoihin, tai kirjeiden ja sähköpostien lähettäminen toisen lukuun.

Käsittelystä toisen lukuun ei ole kyse, jos palveluntarjoajalla ei ole lainkaan pääsyä henkilötietoihin tai jos se itse päättää käsittelyn tarkoituksista ja keinoista.

GDPR:n 28 artiklan 3 kohdan mukaan sopimuksessa vahvistetaan käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietojen tyyppi, rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet. Käsittelijä sitoutuu erityisesti käsittelemään tietoja vain dokumentoitujen ohjeiden mukaisesti (a alakohta), varmistamaan luottamuksellisuuden (b alakohta), toteuttamaan 32 artiklan edellyttämät toimenpiteet (c alakohta), noudattamaan alikäsittelijöitä koskevia sääntöjä (d alakohta), avustamaan rekisteröityjen oikeuksien toteuttamisessa (e alakohta) ja 32–36 artiklan mukaisten velvollisuuksien täyttämisessä (f alakohta), poistamaan tai palauttamaan tiedot palvelun päätyttyä (g alakohta) sekä antamaan kaikki tarvittavat tiedot ja mahdollistamaan auditoinnit (h alakohta).

Sopimus on tehtävä kirjallisesti, mikä voi tapahtua myös sähköisessä muodossa (28 artiklan 9 kohta). Pohjana voidaan käyttää Euroopan komission vakiosopimuslausekkeita (täytäntöönpanopäätös (EU) 2021/915).

Asiakkaan on jo ennen sopimuksen tekemistä tarkastettava, antaako toimittaja riittävät takeet (28 artiklan 1 kohta). Niihin kuuluvat dokumentoidut 32 artiklan mukaiset tekniset ja organisatoriset toimenpiteet – esimerkiksi pääsynhallinta, salaus, varmuuskopiointi ja menettelyt säännöllistä testausta varten.

Hyväksyttyjä käytännesääntöjä tai GDPR:n mukaisia sertifiointeja voidaan käyttää osatekijänä riittävien takeiden osoittamisessa (28 artiklan 5 kohta). Ne eivät korvaa itse tarkastusta.

Toimittaja saa käyttää muita käsittelijöitä vain ennalta annetulla erityisellä tai yleisellä kirjallisella luvalla (28 artiklan 2 kohta). Yleisen luvan tapauksessa se ilmoittaa asiakkaalle kaikista suunnitelluista muutoksista, ja asiakas voi vastustaa niitä.

Alikäsittelijälle on asetettava samat tietosuojavelvoitteet; jos se ei täytä niitä, toimittaja on vastuussa asiakkaalle (28 artiklan 4 kohta).

Usein sopimus puuttuu kokonaan, tai se on allekirjoitettu kerran eikä sitä ole sen jälkeen katsottu. Yhtä yleisiä ovat vanhentuneet alikäsittelijäluettelot, tekniset ja organisatoriset toimenpiteet yleisinä vakiotekstimuotoiluina ilman yhteyttä palveluun sekä puuttuva määräys tietojen poistamisesta sopimuksen päättyessä.

GDPR:n 83 artiklan 4 kohdan mukaan 28 artiklan velvollisuuksien rikkomisesta voidaan määrätä seuraamusmaksu, joka on enintään 10 miljoonaa euroa tai enintään 2 % maailmanlaajuisesta vuosiliikevaihdosta sen mukaan, kumpi määrä on suurempi.

Vendo4u-alustan kriteeristö kysyy asioita, joilla on merkitystä 28 artiklan mukaisessa tarkastuksessa – onko tietojenkäsittelysopimus saatavilla, missä tietoja käsitellään ja mitä alikäsittelijöitä käytetään –, ja toimittajat tallentavat niihin liittyvät dokumentit. Ostajat näkevät kaikkien toimittajien tiedot samassa rakenteessa ja arkistoivat ne viennin avulla omaan aineistoonsa.