Tietosuojaviranomainen tulee tarkastukseen, mitä minun pitää pystyä näyttämään

Käsittelyrekisteri on keskeinen valvontakäynnillä

Kun Suomalainen valvontaviranomainen tarkastaa yrityksen toimintaa, lähtökohtana on useimmiten yksi asiakirja: käsittelyrekisteri. Siinä on merkitty, mitä henkilötietoja käsitellään, mihin tarkoitukseen, keillä on niihin pääsy, kuinka kauan niitä säilytetään ja jaetaanko ne muille. Tämä rekisteri ei ole vapaaehtoinen — GDPR:n 30 artikla määrää, mitä sen tulee sisältää ja kelle velvoite koskee. Rekisterin lisäksi valvontaviranomainen tavallisesti pyytää tietoja käsittelysopimuksista toimittajien kanssa, jotka käsittelevät tietoja yrityksen puolesta, ja siitä, miten näiden tietojen suojaus on järjestetty.

Mitä valvontakäynti muuten paljastaa, riippuu siitä, mihin yritys keskittyy. Voidaan pyytää esimerkiksi tietoja asiakkaille tai sivuston vierailijoille lähetetystä tietosuojaselosteesta, todistusta siitä, että mahdollinen tietovuoto arvioitiin ajoissa, tai analyysiä, joka tehtiin riskialtiin käsittelyn yhteydessä. Siitä, mitä käsittelyrekisteriin tulee sisältyä, mitä käsittelyrekisteriin tulee sisältyä? on olemassa yleiskatsaus osista. Ja koska valvontakäynti ulottuu myös sopimuksiin SaaS-toimittajien tai muiden tietoja käsittelevien osapuolten kanssa, mitä käsittelysopimukseen tulee sisältyä? on merkityksellinen sille, mitä tulee voida esittää.

Mistä tämä perustuu: GDPR:n 30 ja 32 artikla

Velvoite rekisterin pitämiseen on GDPR:n 30 artiklassa, ja käytännössä tämä rekisteri on ensimmäinen asiakirja, joka tulee esille valvontakäynnillä. GDPR:n 32 artikla määrää velvollisuuden ryhtyä asianmukaisiin teknisiin ja organisatorisiin toimenpiteisiin tietojen suojaamiseksi, ja valvontaviranomainen voi kysyä, miten nämä toimenpiteet on toteutettu. Nämä kaksi artiklaa ovat voimassa koko Euroopan unionissa, joten ytimen, jota tulee voida esittää, on sama kaikkialla. Valvontaa suorittava viranomainen ja paikka, jossa sitä pyydetään tai hoidetaan, vaihtelevat maittain: Suomessa sen tekee Tietosuojavaltuutetun toimisto ja muissa jäsenvaltioissa kullakin oma kansallinen valvontaviranomainen omilla työtavoillaan. Lisätietoa Suomen valvontaviranomaisen roolista löytyy Tietosuojavaltuutetun toimiston verkkosivustolta.