Tietosuojavelvollisuussopimus on kirjallinen sopimus kahden osapuolen välillä: sen osapuolen välillä, joka määrittää, miksi ja miten henkilötietoja käsitellään, ja sen osapuolen, joka toteuttaa sen hänen puolestaan. Ensimmäistä kutsutaan GDPR:ssä rekisterinpitäjäksi, toista käsittelijäksi. Tarvitset tällaisen sopimuksen heti, kun ulkoistit henkilötietoja toiselle yritykselle, kuten palkanlaskentapalveluun, hosting-palveluntarjoajalle tai SaaS-sovellukseen, jossa on asiakastietoja.
Ydin on yksinkertainen: laki edellyttää tätä sopimusta, koska rekisterinpitäjä on edelleen vastuussa siitä, mitä tiedoille tapahtuu, vaikka toinen yritys tekee tekniset työt. Ilman selkeitä sopimuksia ei ole määritelty, mitä toinen osapuoli saa tehdä tiedoilla, kuinka kauan ne säilytetään ja mitä tapahtuu tietomurron yhteydessä. Tietosuojavelvollisuussopimus tekee tämän jaon näkyväksi.
Milloin on kyse käsittelijästä
Kaikki osapuolet, joiden kanssa työskentelet, eivät ole käsittelijöitä. Kirjanpitäjä, joka laatii tilinpäätöksesi omalla ammattitaidolla, on yleensä itse rekisterinpitäjä kyseiselle tehtävälle. Pilvipalvelu, joka varastoi ja käsittelee asiakastietosi ohjeistuksesi mukaan, on yleensä käsittelijä. Ero on siinä, kuka määrittää käsittelyn tarkoituksen ja keinot. Jos olet epävarma, onko osapuoli käsittelijä, tietolähde Tietosuojaviranomaisen antamissa ohjeissa antaa ohjeita, ja voit käydä läpi tämän tilannekohtaisesti tietolähteessä GDPR-aiheista tilanteittain.
Mitä on oltava vähintään sisällä
GDPR mainitsee joukon aiheita, jotka on säädettävä tietosuojavelvollisuussopimuksessa: käsittelyn aihe ja kesto, sen luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen luokat, rekisterinpitäjän velvoitteet ja oikeudet sekä sopimukset turvallisuudesta, salassapidosta, alihankkijoista ja siitä, kuinka tarkastuksiin osallistutaan. Se sisältää myös sen, miten käsittelyn aikana sattuva mahdollinen tietomurto käsitellään, ja mitä tiedoille tapahtuu, kun yhteistyö päättyy.
Tämä luettelo on sanatarkasti asetuksessa; jos haluat lukea tarkan sanamuodon uudelleen, löydät sen EUR-Lex-sivustolta. Valvontaviranomaiset, kuten EDPB, ovat julkaisseet myös ohjeita siitä, miten näitä määräyksiä käytännössä tulkitaan, esimerkiksi kysymyksestä, milloin alihankkija on ilmoitettava etukäteen.
Kuka laatii sopimuksen
Käytännössä suurempi osapuoli usein toimittaa mallin: ohjelmistotoimittaja lähettää oman tietosuojavelvollisuussopimuksensa tilauksen kanssa, tai asiakas lähettää sen sinulle, koska käsittelet hänen puolestaan hänen tietoja. Se ei tarkoita, että sinun olisi automaattisesti allekirjoitettava annettu teksti. On suositeltavaa tarkistaa, ovatko kaikki mainitut aiheet sisällä, vastaavat turvallisuussopimukset siihen, mitä odotat toiselta osapuolelta, ja onko vastuu jaettu kohtuullisesti. Jos olet epävarma tietystä lausekkeesta, on järkevää lähettää se lakimiehin tarkistettavaksi.
Miksi tämä on enemmän kuin allekirjoitus
Tietosuojavelvollisuussopimus ei ole muodollisuus, jonka järjestät kerran ja unohtaa. Heti kun vaihdat työkalujen toimittajaa, palkkaat alihankkijan EU:n ulkopuolella tai käsittelyn luonne muuttuu, olemassa oleva sopimus voi vanhentua. Yritykset, jotka työskentelevät useiden SaaS-työkalujen kanssa, joutuvat nopeasti noudattamaan kymmenen tai kaksikymmentä tällaista sopimusta, joissa kullakin on oma voimassaoloaika ja omat ehdot. Seuranta, mitkä sopimukset ovat olemassa, mitkä ovat vanhentuneet ja mitkä puuttuvat, on erillinen tehtävä jokapäiväisen liiketoiminnan ohella.
Myös sopimuksessa mainitut turvallisuussopimukset ansaitsevat huomiota: ne kertovat, miten käsittelijä käsittelee pääsyä, salausta ja ilmoituksia poikkeamissa. Lue lisää siitä, mitä on relevanttia, sivulta henkilötietojen suojaaminen käsittelijöillä.
Mitä voit tehdä itse
Tarkista jokaisen uuden yhteistyön yhteydessä, jaetaanko henkilötietoja, ja jos jaetaan, onko tietojen käsittelyä koskeva sopimus tarpeen ja olemassa. Säilytä nämä sopimukset selkeästi järjestettynä yhdessä käsittelyrekisterin kanssa, jossa on merkitty, mitä tietoja kukin työkalu käsittelee. Jos epäilet, onko konkreettinen sopimus täydellinen, voit antaa sen tarkistaa ilmaiseksi tärkeimpien osien osalta. Usein kysyttyihin kysymyksiin tästä aiheesta, kuten mitä tapahtuu, jos toimittaja kieltäytyy sopimuksen allekirjoittamisesta, on yhteenveto sivulla, jossa on usein kysytyt kysymykset GDPR:stä.
Haluatko tietää, miten tämä sopii omaan tilanteeseesi, esimerkiksi kuinka monta tietojen käsittelyä koskevaa sopimusta todennäköisesti tarvitset ja mitkä niistä vaativat huomiota? Tee ilmainen pika-arvio tai rekisteröi liiketoiminnallinen tili, jotta voit seurata yleiskatsausta. Näet muutamassa minuutissa, missä olet, ilman välittömiä velvoitteita.