Tietosuoja-asetus, artikla 30

Seloste käsittelytoimista, asiakas kerrallaan

Seloste on ensimmäinen asiakirja, jota valvontaviranomainen pyytää, ja se on sisäinen asiakirja — ei sama kuin verkkosivun tietosuojaseloste. Sekaannus näiden kahden välillä on suomenkielisessä keskustelussa yleinen, ja se maksaa aikaa juuri silloin kun aikaa ei ole.

Alle 250 työntekijän poikkeukseen nojaaminen on riskialtista: artiklan 30 kohta 5 purkaa sen heti, kun käsittely ei ole satunnaista tai kun se koskee erityisiä henkilötietoryhmiä. Palkanlaskenta ja työterveys riittävät useimmiten yksinään.

Seloste ei ole luettelo järjestelmistä

Yleisin virhe on kirjata ohjelmistoja käsittelytoimien sijaan. Artikla 30 kysyy tarkoitusta, ei työkalua: sama järjestelmä palvelee usein montaa tarkoitusta, joilla on eri oikeusperuste ja eri säilytysaika. Järjestelmäkohtainen seloste näyttää siistiltä eikä vastaa yhteenkään kysymykseen, jonka valvontaviranomainen esittää.

Mitä rekisterinpitäjän selosteessa on oltava

  • Rekisterinpitäjän ja mahdollisen tietosuojavastaavan nimi ja yhteystiedot
  • Käsittelyn tarkoitukset
  • Kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä
  • Vastaanottajaryhmät, myös kolmansissa maissa olevat
  • Mahdolliset siirrot kolmansiin maihin ja niiden suojatoimet
  • Eri tietoryhmien suunnitellut poistamisen määräajat, jos mahdollista
  • Yleinen kuvaus artiklan 32 mukaisista teknisistä ja organisatorisista turvatoimista, jos mahdollista

Taulukko vai jäsennelty seloste

TaulukkoDPO Workspace
Seloste erikseen jokaiselle asiakkaalle
Käsittelijän seloste omalla rakenteellaan
Säilytysaika perusteluineen käsittelytoimen sisällä
Muutoshistoria: kuka muutti, mitä ja milloin
Tuloste luovutettavaksi valvonnassa

Säilytysaika on selosteen vaikein kohta

"Tarpeellisen ajan" ei ole säilytysaika. DPO Workspacessa jokaisen käsittelytoimen säilytysaika kirjataan yhdessä sen perusteen kanssa — säännös, sopimus tai perusteltu päätös — ja perusteet ovat luettavissa myös jälkikäteen.

Kokeile maksutta

Usein kysyttyä

Mitä eroa on selosteella käsittelytoimista ja tietosuojaselosteella?

Ne ovat eri asiakirjoja eri yleisölle. Seloste käsittelytoimista on artiklan 30 mukainen sisäinen dokumentti, joka esitetään valvontaviranomaiselle pyynnöstä. Tietosuojaseloste on artiklojen 13 ja 14 mukainen informointi rekisteröidylle, ja se on julkinen. Sama sisältö ei kelpaa molempiin: informointi ei sisällä säilytysaikojen perusteluja eikä käsittelijäluetteloa, seloste taas ei ole kirjoitettu rekisteröidyn luettavaksi.

Vapauttaako alle 250 työntekijän raja selosteesta?

Käytännössä lähes ei koskaan. Artiklan 30 kohta 5 poistaa poikkeuksen heti, jos käsittely voi aiheuttaa riskin rekisteröidyn oikeuksille, jos se ei ole satunnaista, tai jos se koskee erityisiä henkilötietoryhmiä tai rikostuomioita. Palkanlaskenta on säännöllistä, ei satunnaista; työterveystiedot ovat erityisiä ryhmiä. Kymmenen hengen yritys täyttää yleensä ainakin yhden ehdon.

Tarvitseeko henkilötietojen käsittelijä oman selosteen?

Kyllä, ja sisällöltään erilaisen. Artiklan 30 kohta 2 määrää käsittelijälle oman selosteen: rekisterinpitäjien ryhmät joiden lukuun toimitaan, käsittelyryhmät, siirrot kolmansiin maihin ja turvatoimien kuvaus. Se ei ole kopio rekisterinpitäjän selosteesta.

Missä muodossa seloste on pidettävä?

Kirjallisessa muodossa, myös sähköisessä. Muotoa ei ole säädetty: taulukko kelpaa. Merkitystä on sillä, että seloste on ajan tasalla ja saatettavissa valvontaviranomaisen saataville pyynnöstä — ja että se vastaa sitä, mitä organisaatiossa oikeasti tehdään.

Kuinka usein seloste on päivitettävä?

Asetus ei anna väliä, vaan vaatii ajantasaisuutta. Käytännössä seloste vanhenee tapahtumista, ei kalenterista: uusi järjestelmä, uusi käsittelijä, uusi tarkoitus vanhalle aineistolle. Määrävälein tehtävä katselmus on hyödyllinen, mutta se ei korvaa päivitystä silloin kun jokin muuttuu.

Seloste, joka kestää kysymyksen

Tarkoitus, oikeusperuste, säilytysaika ja perustelu — käsittelytoimen sisällä, ei erillisessä muistiossa.

Aloita maksutta