mitä tapahtuu, jos minulla ei ole tietojen käsittelijän sopimusta toimittajani kanssa

Ilman käsittelijäsopimusta et täytä GDPR:n 28 artiklaa

Jos toimittaja käsittelee henkilötietoja puolestanne eikä käsittelijäsopimusta ole olemassa, se on sinänsä GDPR:n rikkomus — riippumatta siitä, meneekö muuten näiden tietojen kanssa pieleen. GDPR:n 28 artikla määrää, että käsittelijän käyttöönotto dokumentoidaan sopimuksella tai muulla oikeustoimella; ilman tätä dokumentointia sopimuksellinen perusta yhteistyölle puuttuu, vaikka toimittaja itsessään käsittelisikin tietoja huolellisesti.

Tämä koskee esimerkiksi ohjelmistoja, joihin päätyy asiakastietoja, henkilöstötietoja tai laskutustietoja: kirjanpitosoftia, sähköpostimarkkinointivälineitä, isännöintipalveluja. Joka ei ole varma, kuuluuko tietty väline tämän velvollisuuden piiriin, voi selvittää sen avulla kuinka tiedän, että käyttämäni ohjelmisto täyttää GDPR:n vaatimukset tarkistaa; ja kysymys siitä, koskeekohan tämä myös kirjanpitäjää, palautuu kohtaan pitääkö minun tehdä tietojen käsittelijän sopimus kirjanpitäjäni kanssa. Sopimuksen puuttuminen ei yleensä tule itsestään ilmi, kunnes tapahtuu tietovuoto, asiakkaan valitus tai tarkastus — ja silloin käy ilmi, että sopimuksia ei ole.

Miltä tämä seuraa GDPR:n 28 artiklasta

GDPR:n 28 artikla määrää, että käsittelijän tekemää käsittelyä säännellään sopimuksella, jossa dokumentoidaan pakollisesti useita aiheita, kuten käsittelyn tarkoitus, kesto ja käsittelijän velvoitteet; mitkä aiheet ne tarkasti ovat, kuvataan kohdassa mitä käsittelijäsopimukseen on sisällytettävä. Velvollisuus tämän sopimuksen tekemiseen koskee sekä vastuuhenkilöä että käsittelijää, ja se pätee koko EU:ssa suoraan asetuksesta; kuka valvoo noudattamista vaihtelee maittain — Alankomaissa se on Autoriteit Persoonsgegevens, muissa jäsenmaissa kyseisen maan valvontaviranomainen. Lisätietoja valvontaviranomaisesta löytyy Autoriteit Persoonsgegevensin kautta.