TL;DR
Tietosuojavastaava on pakollinen 37 artiklan 1 kohdan kolmessa tilanteessa ja lisäksi LOPDGDD:n 34 artiklan 1 momentin kuudessatoista tapauksessa. Vapaaehtoinen nimittäminen 2 momentin nojalla asettaa organisaation silti samaan sääntelyyn. Molemmissa tapauksissa — pakollisessa ja vapaaehtoisessa — nimitykset ja tehtävän päättymiset on ilmoitettava AEPD:lle kymmenen päivän kuluessa (3 momentti), ja vastaavien luettelo on julkinen ja sähköisesti saatavilla (4 momentti).
Kaksi luetteloa, jotka lasketaan yhteen, ei kahta joista valitaan
37 artiklan 1 kohta edellyttää vastaavaa kolmessa tilanteessa: käsittelyn suorittaa viranomainen tai julkishallinnon elin; ydintehtävät muodostuvat käsittelytoimista, jotka edellyttävät rekisteröityjen laajamittaista, säännöllistä ja järjestelmällistä seurantaa; ydintehtävät muodostuvat 9 artiklan erityisten tietoryhmien tai 10 artiklan tietojen laajamittaisesta käsittelystä. LOPDGDD:n 34 artiklan 1 momentti viittaa tähän ja lisää ”ja joka tapauksessa, kun kyse on seuraavista yksiköistä”. Konjunktiolla on merkitystä: kyse ei ole kuudestatoista tapauksesta kolmen sijaan vaan kuudestatoista kolmen lisäksi. Yksikkö, joka ei esiinny missään kohdassa, voi silti olla velvollinen 37 artiklan nojalla — ja päinvastoin.
Kuusitoista kohtaa
- a) Ammattikunnat ja niiden yleisneuvostot. b) Kaikentasoiset oppilaitokset sekä julkiset ja yksityiset yliopistot.
- c) Verkkojen ylläpitäjät ja sähköisten viestintäpalvelujen tarjoajat, kun ne käsittelevät tietoja säännöllisesti ja järjestelmällisesti laajamittaisesti. d) Tietoyhteiskunnan palvelujen tarjoajat, jotka laativat laajamittaisesti käyttäjäprofiileja.
- e) Lain 10/2014 1 artiklan yksiköt (luottolaitokset). f) Rahoitusluottolaitokset. g) Vakuutus- ja jälleenvakuutusyritykset. h) Sijoituspalveluyritykset.
- i) Sähkön ja maakaasun jakelijat ja myyjät. j) Maksukykyä ja luottoa koskevien yhteisten rekisterien tai petostentorjuntarekisterien rekisterinpitäjät, mukaan lukien rahanpesun torjunnan rekisterit.
- k) Mainonnan ja kaupallisen kartoituksen yritykset, kun ne käsittelevät mieltymyksiä tai laativat profiileja. l) Terveydenhuollon yksiköt, joilla on lakisääteinen velvollisuus säilyttää potilasasiakirjoja — nimenomaisena poikkeuksena yksin toimiva terveydenhuollon ammattihenkilö.
- m) Luonnollisia henkilöitä koskevia luottotietoja antavat yksiköt. n) Sähköisten kanavien rahapelitoiminnan harjoittajat. ñ) Yksityiset turvallisuusalan yritykset. o) Urheiluliitot, kun ne käsittelevät alaikäisten tietoja.
Vapaaehtoinen nimittäminen ei ole hyvän tahdon ele
2 momentin mukaan se, jota velvoite ei koske, ”voi vapaaehtoisesti nimittää” vastaavan, ”johon sovelletaan asetuksessa (EU) 2016/679 ja tässä orgaanisessa laissa säädettyä sääntelyä”. Toisin sanoen: riippumattomuus, eturistiriidattomuus, voimavarat, kielto rangaista tehtävien hoitamisesta, raportointi ylimmälle johdolle. Ja 3 momentti velvoittaa ilmoittamaan nimityksen AEPD:lle kymmenessä päivässä ”sekä silloin kun nimittäminen on pakollista että silloin kun se on vapaaehtoista”. Sanan ”tietosuojavastaava” kirjoittaminen jonkun sähköpostin allekirjoitukseen ilman ilmoitusta on laiminlyönti, joka todetaan minuutissa.
4 momenttia luetaan edellisen rinnalla: AEPD ja itsehallintoalueiden viranomaiset pitävät ajantasaista, sähköisesti saatavilla olevaa luetteloa vastaavista. Käytännön seuraus on, että väitteen ”meillä on tietosuojavastaava” voi tarkistaa kuka tahansa — myös toimittajaa arvioiva asiakas ja kantelua valmisteleva kilpailija. Kyse ei ole sisäisestä rekisteristä vaan julkisesta.
Lopuksi 5 momentti sallii koko- tai osa-aikaisuuden muun muassa käsittelyjen määrän, käsiteltävien erityisten tietoryhmien ja rekisteröityihin kohdistuvien riskien perusteella. Tämä ei ole yleinen lupa vähimmäistasoon: se on peruste, joka on perusteltava ja joka kannattaa kirjata, sillä juuri sitä kysytään, kun vastaava ei ole ehtinyt hoitaa jotakin ajoissa.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
