Täyttävätkö yrityksesi palvelusopimukset tietosuoja-asetuksen vaatimukset?

Vaikka henkilötietojen käsittely olisikin ulkoistettu, vastuu henkilötietojen käsittelystä säilyy rekisterinpitäjällä: rekisterinpitäjän lakisääteistä vastuuta ei siis voi ulkoistaa. Vastuun laiminlyönnistä voi aiheutua tuntuvia seuraamuksia.

Keskeistä on se, miten ulkoistava yritys eli tietosuojakielellä rekisterinpitäjä on ohjeistanut palveluntarjoajaa eli henkilötietojen käsittelijää. Ohjeiden tulee olla dokumentoituja, ja ne ovatkin usein osa niin sanottua tietojenkäsittelysopimusta, jossa määritetään sekä rekisterinpitäjän että henkilötietojen käsittelijän oikeudet ja velvollisuudet henkilötietojen käsittelyssä.

Henkilötietojen käsittelystä on tehtävä sopimus

Tietosuoja-asetus edellyttää, että henkilötietojen käsittelyn ulkoistamisesta on sovittava kirjallisella sopimuksella. Asetus myös määrää, mistä asioista tietojenkäsittelysopimuksessa tulisi vähintäänkin sopia. Niistä tärkeimpiä ovat seuraavat:

Tietosuojasopimuksia on monenlaisia

Tietosuojasopimuksen voi käytännössä tehdä joko sisällyttämällä henkilötietojen käsittelyä koskevan kappaleen tai osion varsinaiseen palvelusopimukseen tai laatimalla henkilötietojen käsittelystä erillisen liitteen tai sopimuksen. Erillinen liite on usein toimiva, koska se on helppo lisätä myös aikaisempiin sopimuksiin.

Vaikka tietosuoja-asetus edellyttää kirjallista tietojenkäsittelysopimusta, eivät EU:n tai Suomen tietosuojaviranomaiset ole toistaiseksi julkaisseet sopimusmalleja. Tämän takia monet rekisterinpitäjät ja käsittelijät ovat laatineet omat tietojenkäsittelysopimusmallinsa, joiden avulla ne pyrkivät täyttämään asetuksen vaatimukset. Koska yritysten roolit, käsiteltävät henkilötiedot ja ulkoistettavat toiminnot vaihtelevat, myös tietojenkäsittelysopimukset ovat hyvin erilaisia.

Tietosuoja-asetus asettaa tietojenkäsittelysopimukselle vähimmäisvaatimukset, mutta usein voi olla perusteltua sopia myös muista asioista. Sopimuksessa voidaan sopia esimerkiksi siitä, miten nopeasti henkilötietojen käsittelijän on ilmoitettava rekisterinpitäjälle tietovuodosta.

Sopimusneuvotteluissa pinnalle nousee usein kysymys osapuolten vahingonkorvausvelvollisuudesta ja mahdollisista vastuunrajoituksista. Sen ratkaisemiseen kannattaa varata aikaa varsinkin, kun jo tehtyihin palvelusopimuksiin lisätään erillistä tietosuojaliitettä. Muita neuvotteluissa monesti esiin tulevia ehtoja ovat käsittelijän oikeus käyttää alihankkijoita, tiedonsiirrot EU:n ulkopuolelle, varmuuskopioiden säilyttäminen palvelusopimuksen päättyessä sekä käsittelijälle rekisterinpitäjän avustamisesta koituvien kustannusten korvaaminen.

Tarkkana palveluntarjoajaa valitessa

Vaikka tietojenkäsittelysopimus on tärkeä, tietosuoja on huomioitava jo palveluntarjoajaa valitessa. Tietosuoja-asetuksen nojalla rekisterinpitäjän tulee arvioida palveluntarjoajan asiantuntemusta ja käyttää ainoastaan sellaisia palveluntarjoajia, jotka antavat riittävät takeet henkilötietojen asianmukaisesta suojaamisesta.

Mitä enemmän henkilötietojen käsittelyyn liittyy rekisteröityjen näkökulmasta riskejä – jos esimerkiksi ulkoistetaan terveystietojen käsittelyä – sitä vahvempi on rekisterinpitäjän velvollisuus huolehtia, että palveluntarjoaja pystyy käsittelemään henkilötietoja turvallisesti.

Miten eteenpäin?

Tietosuoja-asetuksen vaatimuksia tehostaa merkittävä sanktioriski. Siksi rekisterinpitäjinä toimivien yritysten on ensi töikseen selvitettävä, missä tilanteissa ne siirtävät henkilötietoja palveluntarjoajille. Muuten yritysten on vaikeaa varmistaa, vastaavatko niiden sopimusehdot asetuksen vaatimuksia. Tämä koskee yhtä lailla nykyisiä ja tulevia alihankintasuhteita.

Koska asetuksen vaatimukset ovat uusia, on hyvin tavallista, etteivät yritysten voimassa olevat palvelusopimukset täytä niitä kaikkia. Jokaisen henkilötietojen käsittelyä ulkoistaneen yrityksen tulisi varautua siihen, että vanhoja sopimuksia on tarpeen muuttaa. Asetuksen voimaan tuloon on enää muutama kuukausi, joten sopimusten päivittäminen tulisi aloittaa saman tien, jos se ei ole jo käynnissä. Lisäksi tietosuoja-asetuksen vaatimukset tulisi luonnollisesti ottaa huomioon uusia sopimuksia solmittaessa.