pitääkö minun nimetä tietosuojavastaava yritykselleni

Useimmille pienille ja keskisuurille yrityksille sekä itsenäisille ammatinharjoittajille ei ole velvoitetta

Tietosuojavaltuutettu, lyhennettynä TSV, ei ole yleensä pakollinen tavallisille pienille ja keskisuurille yrityksille eikä useimmille itsenäisille ammatinharjoittajille. GDPR määrittää useita erityisiä tilanteita, joissa TSV on pakollinen, ja näiden ulkopuolella organisaatiolla on vapaus määrittää itse sellainen ilman, että laki sitä vaatii. Käytännössä pakollinen TSV on ennen kaikkea julkisen hallinnon organisaatioissa ja yrityksissä, joiden ydintehtävä on ihmisten laajamittainen, järjestelmällinen valvonta tai suuressa mittakaavassa tapahtuva erityisten henkilötietojen, kuten terveystietojen, käsittely.

Verkkokauppa, neuvontayritys, urakoitsija tai itsenäinen ammatinharjoittaja kirjanpitojärjestelmän ja muutaman SaaS-työkalun kanssa jää useimmissa tapauksissa näiden kategorioiden ulkopuolelle. Se ei tarkoita, että mitään ei tarvitse tehdä: myös ilman TSV:tä velvoite on pystyä osoittamaan, mitä henkilötietoja käsitellään ja mihin tarkoitukseen, esimerkiksi käsittelyrekisteriin, ja tämä velvoite pätee yhtä hyvin yksityisyrittäjälle. Joka epäröi, kuuluvatko omat toiminnot "laajamittaisen" tai "järjestelmällisen" kategoriaan, löytää siitä lisää apua kysymyksestä milloin DPIA on tarpeen, koska sama riskien arviointi tulee usein esille myös TSV-kysymyksen yhteydessä.

Mihin tämä perustuu: GDPR:n 2 ja 30 artikla

GDPR määrittää 2 artiklassa asetuksen aineellisen soveltamisalan, ja 30 artikla sääntelee käsittelyrekisteriä ja siihen soveltuvat poikkeukset — itse TSV-velvoite on säännelty muualla asetuksessa, mutta käsittelyn laajuus ja luonne, jolla on merkitystä siinä, vastaavat samoja perusteita kuin rekisteriin ja DPIA-velvoitteeseen liittyvät. Osa tästä arviosta on tosiasiallista: kuinka monelle henkilölle tehdään seurantaa, kuinka järjestelmällistä se on, ja millaisia tietoja kyseessä on. Tietosuojavirasto julkaisee tästä lisäohjeita Suomen käytäntöön, kun taas kysymys siitä, onko TSV pakollinen, perustuu EU:n laajuisesti samaan asetukseen — kuitenkin kansallinen valvontaviranomainen, Suomessa Tietosuojavirasto ja muissa jäsenmaissa kyseisen maan valvontaviranomainen, voi noudattaa omaa ohjeistusta tai lisävaatimuksia TSV:n määrittämisen rekisteröinnin osalta.