Mitä käynnistettiin ja milloin
EDPB käynnisti 19. maaliskuuta 2026 vuoden 2026 koordinoidun valvontatoimen (CEF) yleisen tietosuoja-asetuksen 12, 13 ja 14 artiklan läpinäkyvyys- ja tiedonantovelvoitteiden noudattamisesta. Aihe valittiin lokakuun 2025 täysistunnossa, jossa oikeutta saada tietoa kuvattiin läpinäkyvyyden ytimenä. Mukaan on liittynyt kaksikymmentäviisi eurooppalaista viranomaista. EDPB ei määrää yhtä menetelmää: jokainen viranomainen päättää muodosta — muodolliset tarkastukset, rekisterinpitäjille lähetetyt kyselyt, verkkosivuilla julkaistujen ilmoitusten analyysi, yhtä alaa koskevat selvitykset. Kansalliset tulokset kootaan ja analysoidaan vuoden 2026 toisella puoliskolla, ja niistä laaditaan yhteenvetoraportti suosituksineen.
Syy siihen, että tämä toimi on epämukavampi kuin aiemmat, ei liity viranomaisten ankaruuteen. Se liittyy siihen, että läpinäkyvyys on asetuksen ainoa velvoite, joka arvioidaan lukemalla, lukijan puolelta. Käsittelytoimien selostetta arvioidaan kenttien täydellisyyden perusteella; turvatoimea sen perusteella, mitä se estää; tietosuojailmoitusta sen perusteella, tietääkö kuka tahansa ihminen sen luettuaan, mitä hänen tiedoilleen tapahtuu. Se on tarkastus, joka ei vaadi käyntiä toimipaikassa: teksti on jo julkinen, ja on ollut sitä vuosia.
Kolme artiklaa kannattaa pitää erillään, koska niitä lainataan yhdessä ja kohdellaan yhtenä. 12 artikla koskee muotoa: tiedot tiiviisti, läpinäkyvästi, ymmärrettävästi ja helposti saatavilla, selkeällä ja yksinkertaisella kielellä. 13 artikla koskee sisältöä, kun tiedot kerätään henkilöltä itseltään. 14 artikla koskee sisältöä, kun tiedot tulevat joltakulta muulta. Käytännössä kaksi ensimmäistä ovat lähes aina olemassa jossain muodossa; kolmas ei suurimmassa osassa tapauksista ole olemassa lainkaan.
- «Niin kauan kuin on tarpeen ilmoitettuihin tarkoituksiin» ei ole säilytysaika: se on kysymys toistettuna vastauksen muodossa. 13 artiklan 2 kohdan a alakohta vaatii ajan tai sen määrittämisen perusteet.
- «Kumppanimme», «valitut toimittajat», «konsernin yhtiöt» eivät ole vastaanottajaryhmiä. Ryhmän tunnistaa siitä, että lukija ymmärtää, keistä on kysymys.
- Käsittelyn oikeusperuste on ilmoitettava jokaiselle tarkoitukselle, ei kertaalleen lopussa kaikille. Kun tarkoituksia on viisi ja perusteita kolme, yhteyden on oltava luettavissa.
- Siirto unionin ulkopuolelle on ilmoitettava sen välineen kanssa, joka siirron kantaa, ja tiedolla siitä, mistä jäljennös on saatavissa.
- 14 artiklan mukainen tiedonanto on annettava kuukauden kuluessa tietojen saamisesta tai ensimmäisessä yhteydenotossa rekisteröityyn, jos se tapahtuu aiemmin.
14 artikla on se, joka tulee puskista
Lähes jokaisella organisaatiolla on tietoja, jotka ovat tulleet kolmansilta, ja lähes mikään ei informoi näitä henkilöitä. Muutama konkreettinen esimerkki: ostetut tai vaihdetut yhteystietoluettelot; kauppa- ja luottotiedot asiakkaista ja toimittajista; työntekijätiedot, jotka on saatu toiselta konsernin yhtiöltä; kolmannen osapuolen antamat suositukset valintamenettelyssä; julkisista rekistereistä poimitut tiedot; yhteyshenkilön yhteystiedot, jotka on ilmoittanut yritys, jossa hän työskentelee; edunsaajan tiedot, jotka on antanut sopimuksen tekijä. Kaikissa näissä tapauksissa rekisteröity ei ole koskaan puhunut sinulle, ja juuri siksi asetus odottaa, että sinä etsit hänet: hänellä on oikeus tietää, että olet olemassa ja että sinulla on hänen tietonsa.
Miten valmistautua odottamatta raporttia. Ensimmäinen harjoitus on lukea oma ilmoitus niin kuin asiakas sen lukisi, eli kertaalleen ja haluttomasti. Toinen on asettaa se käsittelytoimien selosteen viereen ja verrata rivi riviltä: tarkoitukset, perusteet, vastaanottajat, säilytysajat, siirrot. Jos ilmoitus ilmoittaa neljä tarkoitusta ja seloste luettelee yhdeksän, toinen niistä on valheellinen, eikä ole väliä kumpi — kahden asiakirjan ristiriita on itsessään havainto, koska se osoittaa, ettei toinen niistä kuvaa todellisuutta.
Kyselystä, jos se tulee, menetelmällinen varoitus. Houkutus on vastata kuvaamalla organisaatio sellaisena kuin toivoisimme sen olevan. Se on virhe, joka maksaa kaksi kertaa: viranomainen vertaa vastauksia asiakirjoihin, ja ero sen välillä, mitä kirjoitit kyselyyn ja mitä selosteessa on, on itsenäinen havainto alkuperäisen lisäksi. Hyödyllinen vastaus kertoo, mitä on, mitä puuttuu ja millä päivämäärällä se korjataan. Jälkimmäinen osa ei ole heikkous: 24 artikla vaatii asianmukaisia ja ajan tasalla pidettyjä toimia, ei saavutettua täydellisyyttä.
Huomio aikataulusta, koska se ratkaisee, mikä on järkevää tehdä nyt. Kansallisten tulosten kokoaminen on odotettavissa vuoden 2026 toisella puoliskolla, ja yhteenvetoraportti tulee sen jälkeen. Sen odottaminen ennen liikkeelle lähtöä on kaikista vähiten järkevä valinta: raportti kertoo, mitä puutteita viranomaiset löysivät jo julkaistuista ilmoituksista, siis myös sinun. Sen lukeminen etukäteen kustantaa yhden iltapäivän; sen lukeminen kyselyn jälkeen kustantaa saman, määräaika niskassa.
Virallinen lähde:EDPB — Coordinated Enforcement FrameworkVirallinen lähde:Irish Computer Society — EDPB käynnistää CEF-toimen 2026 läpinäkyvyydestä ja tiedonantovelvoitteistaVirallinen lähde:McCann FitzGerald — Delete and Disclose: EDPB CEF 2025 & 2026Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
