Mitä käsittelysopimuksessa on oltava?

Mitä tietojen käsittelijän sopimuksessa on käsiteltävä vähintään

Tietojen käsittelijän sopimuksessa on kuvattava, mitä tietojen käsittelijä tekee ohjailijalle henkilötiedoilla ja millä ehdoilla. Se alkaa perusteista: käsittelyn aihe ja kesto, sen luonne ja tarkoitus, käsiteltävien henkilötietojen tyyppi ja asianomaisten luokat. Ilman tätä kuvausta ei voida todeta, noudattaako toimittaja sovintoja.

Lisäksi sopimuksessa on oltava joukko velvoitteita, jotka tulevat suoraan EU:n yleisestä tietosuoja-asetuksesta. Tietojen käsittelijä käsittelee tietoja vain ohjaajan kirjallisen ohjeen perusteella, varmistaa, että tietoja käsittelevät henkilöt ovat salassapitoon velvoitettuja, ja ryhtyy asianmukaisiin turvatoimiin. Sopimuksessa on myös säädettävä siitä, mitä tapahtuu, kun tietojen käsittelijä ottaa käyttöön toisen osapuolen (alihankkijan), kuinka tietojen käsittelijä avustaa asianomaisten pyyntöissä ja tietomurtojen ilmoittamisessa, ja mitä tiedoille tapahtuu palvelun päättyessä — tuhotaan tai palautetaan. Usein siinä myös määrätään, että ohjaajaksi voi valvoa, noudatetaanko sopimuksia, esimerkiksi tarkastuksen avulla.

Mistä tämä johtuu: GDPR:n 28 artikla

Tämä luettelo noudattaa suoraan EU:n yleisen tietosuoja-asetuksen 28 artiklaa, jossa erityisesti kuvataan, mitä tietojen käsittelijän sopimuksessa on oltava, kun ohjaajaksi ottaa käyttöön tietojen käsittelijän. Euroopan tietosuojaviranomaisten ohjeet antavat lisäohjausta siitä, miten näitä määräyksiä voidaan soveltaa käytännössä, esimerkiksi turvatoimien arvioinnissa tai alihankkijoiden käyttöönottossa. Jokaisen velvoitteen tarkkaa muotoilua varten 28 artiklan teksti itsessään on lähtökohtana.