Milloin tietosuojavastaava (DPO) on pakollinen yrityksessä?
Moni yritys pohtii, tarvitseeko se tietosuojavastaavan (engl. Data Protection Officer, DPO). Vastaus löytyy EU:n yleisen tietosuoja-asetuksen (GDPR) 37 artiklasta, ja tietosuojavaltuutetun toimisto on ohjeistanut aiheesta. Tässä kirjoituksessa käydään läpi, milloin tietosuojavastaava on pakollinen, milloin sen nimittämistä kannattaa harkita ja mitä tietosuojavastaava tekee.
Milloin tietosuojavastaava on pakollinen?
GDPR:n 37 artiklan 1 kohdan mukaan rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava kolmessa tilanteessa:
Rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava aina kun
a) tietojenkäsittelyä suorittaa jokin muu viranomainen tai julkishallinnon elin kuin lainkäyttötehtäviään hoitava tuomioistuin;
b) rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laajuutensa ja/tai tarkoitustensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa; tai
c) rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat laajamittaisesta käsittelystä, joka kohdistuu 9 artiklan mukaisiin erityisiin henkilötietoryhmiin ja 10 artiklassa tarkoitettuihin rikostuomioita tai rikkomuksia koskeviin tietoihin.
Lisäksi unionin tai jäsenvaltion lainsäädäntö voi itse velvoittaa nimittämään tietosuojavastaavan.
Tietosuojavaltuutetun toimisto tiivistää saman kolmikon omalla sivullaan: arkaluonteisten tietojen laajamittainen käsittely, ihmisten laajamittainen, säännöllinen ja järjestelmällinen seuranta sekä julkishallinnon toimijat tuomioistuimia lukuun ottamatta.
Ydintehtävät ja laajamittaisuus
Velvollisuus ei synny siitä, että yritys käsittelee henkilötietoja, vaan siitä, että sen ydintehtävät muodostuvat käsittelytoimista. Yksityisellä sektorilla keskeinen toiminta liittyy rekisterinpitäjän ensisijaisiin toimintoihin, ei oheistoimintona tapahtuvaan henkilötietojen käsittelyyn. Käytännössä esimerkiksi palkanlaskenta tai oman henkilöstön tietojen käsittely on tavallisesti oheistoimintaa. Ydintehtävä, laajamittaisuus ja seuranta voivat täyttyä esimerkiksi kanta-asiakasohjelmissa, sijainnin seurannassa tai vakuutus- tai pankkitoiminnan profiloinnissa. Laajamittaisuudelle ei ole asetuksessa kuitenkaan numeerista rajaa.
Tietosuojavastaava, vaikka laki ei vaadi?
Tietosuojavastaavan voi nimittää myös vapaaehtoisesti. Siihen sovelletaan tällöin samoja asetuksen vaatimuksia nimittämisestä, asemasta ja tehtävistä kuin pakolliseenkin tietosuojavastaavaan.
Nimittämistä voi harkita esimerkiksi silloin, kun organisaation tilanne on rajatapaus (käsittely on laajaa, mutta sen ydintehtävät eivät selvästi muodostu käsittelytoimista), kun asiakkaat tai kumppanit edellyttävät tietosuojavastuuhenkilöä sopimuksissa, tai kun henkilötietojen käsittely kasvaa nopeasti.
Voi olla organisaation kannalta hyödyllistä keskittää jollekin henkilölle tehtävä ja vastuu pysyä perillä organisaation tietosuojaan liittyvistä asioista. Tämä helpottaa esimerkiksi neuvotteluissa uusista sopimuksista, yritysjärjestelyissä tai esimerkiksi tietosuojaan liittyvien ongelmien ilmaantuessa.
Milloin tietosuojavastaavaa ei tarvita?
Yleisesti voidaan todeta, että tavallisesti yksityisellä yrityksellä, jonka liiketoiminta ei perustu henkilötietojen käsittelyyn, velvollisuutta tietosuojavastaavan nimittämiseen ei ole. Arvio on kuitenkin aina tapauskohtainen.
On hyvä pitää mielessä, että tietosuojavastaavan puuttuminen ei vapauta muista GDPR-velvoitteista: käsittelyperusteet, informointi, rekisteröidyn oikeudet, käsittelytoimien seloste jne. pätevät tietosuojavastaavan olemassaolosta riippumatta.
Kuka on tietosuojavastaava ja mitä hän tekee?
Tietosuojavaltuutetun toimisto määrittelee tietosuojavastaavan seuraavasti:
“Tietosuojavastaava on organisaation sisäinen asiantuntija, joka seuraa henkilötietojen käsittelyä ja auttaa tietosuojasäännösten noudattamisessa.”
Kuka voi olla tietosuojavastaava?
Tietosuojavastaava nimitetään ammattipätevyyden ja erityisesti tietosuojalainsäädännön ja -käytäntöjen asiantuntemuksen perusteella.
Tutkintovaatimuksia ei ole.
Voi olla oma työntekijä tai hoitaa tehtävää palvelusopimuksella eli ulkoistettuna.
Konserni voi nimittää yhden yhteisen tietosuojavastaavan, kunhan hän on tavoitettavissa jokaisesta toimipaikasta.
Tietosuojavastaavana ei voi olla henkilö, jonka tehtävä on määrittää henkilötietojen käsittelyn tarkoitukset ja keinot.
Tietosuojavastaavan tehtävät
Asetus luettelee vähimmäistehtävät. GDPR:n 39 artiklan mukaan tietosuojavastaavan on ainakin:
annettava rekisterinpitäjälle tai käsittelijälle ja henkilötietoja käsitteleville työntekijöille tietoja ja neuvoja tietosuojavelvollisuuksista;
seurattava asetuksen, muiden tietosuojasäännösten ja organisaation omien tietosuojaa koskevien toimintaperiaatteiden noudattamista, mukaan lukien vastuunjako, tietoisuuden lisääminen, henkilöstön koulutus ja tarkastukset;
annettava pyydettäessä neuvoja vaikutustenarvioinnista ja valvottava sen toteutusta;
tehtävä yhteistyötä valvontaviranomaisen kanssa;
toimittava valvontaviranomaisen yhteyspisteenä, mukaan lukien 36 artiklan ennakkokuuleminen.
Tehtäviä hoitaessaan tietosuojavastaavan on otettava huomioon käsittelytoimiin liittyvä riski. Lisäksi rekisteröidyt voivat ottaa tietosuojavastaavaan yhteyttä kaikissa henkilötietojensa käsittelyä ja oikeuksiensa käyttö koskevissa asioissa.
Tietosuojavastaavan asema ja riippumattomuus
Tietosuojavastaava on otettava asianmukaisesti ja ajoissa mukaan kaikkiin henkilötietojen suojaa koskeviin kysymyksiin.
Organisaation on annettava tarvittavat resurssit, pääsy henkilötietoihin ja käsittelytoimiin sekä mahdollisuus ylläpitää asiantuntemusta.
Tietosuojavastaava ei ota vastaan ohjeita tehtäviensä hoitamisesta, häntä ei saa erottaa tai rangaista tehtäviensä hoitamisen vuoksi, ja hän raportoi suoraan ylimmälle johdolle.
Häntä sitoo salassapito- tai luottamuksenvelvollisuus unionin tai jäsenvaltion lainsäädännön mukaisesti.
Hän voi hoitaa muitakin tehtäviä, kunhan niistä ei synny eturistiriitaa.
Organisaation on julkaistava tietosuojavastaavan yhteystiedot ja ilmoitettava ne valvontaviranomaiselle. Suomessa ilmoitus tehdään tietosuojavaltuutetun toimistolle sen verkkosivujen ilmoituslomakkeella. Tietosuojavastaavan nimeä ei ole pakko julkaista, vaan esimerkiksi rooliin sidottu sähköpostiosoite riittää.
Tietosuojavastaavan on oltava nimettynä koko ajan, ja organisaation on järjestettävä hänelle sijainen esimerkiksi lomien ajaksi.
Kuka vastaa, jos jokin menee pieleen?
Tietosuojavastaava ei ole henkilökohtaisesti vastuussa GDPR:n rikkomisesta. Säännösten noudattaminen on rekisterinpitäjän tai henkilötietojen käsittelijän vastuulla.
Yhteenveto
Tietosuojavastaava on pakollinen kolmessa tilanteessa:
organisaatio on viranomainen tai julkishallinnon elin (tuomioistuimia lukuun ottamatta)
organisaation ydintehtävä edellyttää ihmisten laajamittaista, säännöllistä ja järjestelmällistä seurantaa
organisaation ydintehtävä on arkaluonteisten tai rikostietojen laajamittaista käsittelyä
Lisäksi muu lainsäädäntö voi velvoittaa nimittämään tietosuojavastaavan. Ratkaisevaa ei ole se, käsitteleekö yritys henkilötietoja, vaan se, muodostuuko sen ydintehtävät käsittelystä. Esimerkiksi oman henkilöstön tietojen käsittely on tavallisesti oheistoimintaa.
Tietosuojavastaavan voi nimittää myös vapaaehtoisesti. Silloin häneen sovelletaan samoja vaatimuksia kuin pakolliseen tietosuojavastaavaan. Vapaaehtoista nimittämistä voi harkita rajatapauksissa, kun esimerkiksi sopimuskumppanit edellyttävät sitä tai kun henkilötietojen käsittely kasvaa. Vaikka tietosuojavastaavaa ei tarvittaisi, muut GDPR-velvoitteet koskevat yritystä silti.
Tietosuojavastaava neuvoo organisaatiota ja seuraa tietosuojasääntöjen noudattamista. Hän toimii myös yhteyshenkilönä rekisteröidyille ja valvontaviranomaiselle. Hän toimii riippumattomasti: hänelle ei anneta ohjeita tehtävien hoitamisesta, eikä häntä saa erottaa tehtäviensä vuoksi. Hän raportoi suoraan ylimmälle johdolle. Vastuu säännösten noudattamisesta on kuitenkin aina organisaatiolla, ei tietosuojavastaavalla henkilökohtaisesti.
Roope Heinonen
KtK, oikeustieteen ylioppilas
Associate
Lakitoimisto KPF
050 533 8431
