DPO WorkspaceAloita maksutta

Tietosuoja-asetus, artiklat 35 ja 36

Vaikutustenarviointi, joka pysyy kiinni käsittelyssä

Vaikutustenarviointi tehdään ennen käsittelyn aloittamista, ei sen jälkeen. Se on artiklan 35 sanamuoto, ja se on myös se kohta, jossa arviointi useimmin epäonnistuu: järjestelmä on jo käytössä, ja arviointi kirjoitetaan kuvaamaan ratkaisua jota ei enää voi muuttaa.

Tietosuojavaltuutetun toimisto on julkaissut artiklan 35 kohdan 4 mukaisen luettelon käsittelytoimista, joista arviointi on Suomessa aina tehtävä. Luettelo täydentää asetuksen kolmea tapausta, ei korvaa niitä — eikä sen ulkopuolelle jääminen tarkoita, ettei arviointia tarvittaisi.

Myös kielteinen päätös on dokumentoitava

Jos arviointia ei tehdä, syy on kirjattava. Osoitusvelvollisuus ei koske vain tehtyä työtä vaan myös tehtyä rajausta: valvonnassa kysytään, miksi tästä käsittelystä ei arvioitu korkeaa riskiä. Tyhjä kohta ei ole vastaus, ja jälkikäteen kirjoitettu perustelu näkyy päivämäärästä.

Mitä arvioinnin on artiklan 35 kohdan 7 mukaan sisällettävä

  • Järjestelmällinen kuvaus käsittelytoimista ja tarkoituksista, mukaan lukien oikeutettu etu jos siihen vedotaan
  • Arvio käsittelyn tarpeellisuudesta ja oikeasuhteisuudesta tarkoituksiin nähden
  • Arvio rekisteröityjen oikeuksia ja vapauksia koskevista riskeistä
  • Suunnitellut toimenpiteet riskeihin vastaamiseksi, suojatoimet ja mekanismit joilla noudattaminen osoitetaan

Erillinen asiakirja vai ohjattu arviointi

AsiakirjaDPO Workspace
Arviointi kytkettynä käsittelytoimeen, ei erillisenä tiedostona
Esiarvio: tarvitaanko arviointi lainkaan
Jäännösriski ja artiklan 36 ennakkokuuleminen näkyvissä
Uudelleentarkastelu ajastettuna riskin muuttuessa
Sama rakenne jokaiselle asiakkaalle

Arviointi ei ole liite, se on käsittelyn osa

DPO Workspacessa arviointi syntyy selosteessa jo olevasta käsittelytoimesta: tarkoitus, tietoryhmät ja säilytysaika tulevat sieltä, eivätkä ne pääse eriytymään. Kun käsittely muuttuu, arviointi merkitään tarkastettavaksi.

Kokeile maksutta

Usein kysyttyä

Milloin vaikutustenarviointi on pakollinen?

Kun käsittely todennäköisesti aiheuttaa korkean riskin luonnollisen henkilön oikeuksille ja vapauksille. Artiklan 35 kohta 3 nimeää kolme tapausta aina pakollisiksi: järjestelmällinen ja kattava automaattiseen käsittelyyn perustuva arviointi jolla on oikeusvaikutuksia, erityisten henkilötietoryhmien tai rikostuomioiden laajamittainen käsittely, ja yleisölle avoimen alueen järjestelmällinen valvonta laajamittaisesti. Lisäksi tietosuojavaltuutetun toimisto on julkaissut artiklan 35 kohdan 4 mukaisen kansallisen luettelon.

Kuka arvioinnin tekee?

Vastuu on rekisterinpitäjällä. Tietosuojavastaavalta on pyydettävä neuvoja (artikla 35 kohta 2), mutta neuvon antaminen ei siirrä vastuuta: vastaava ei allekirjoita rekisterinpitäjän päätöstä. Jos organisaatiossa on henkilötietojen käsittelijä, tämän on avustettava artiklan 28 kohdan 3 mukaisesti.

Mitä tapahtuu, jos jäännösriski jää korkeaksi?

Artikla 36 velvoittaa ennakkokuulemiseen: jos arviointi osoittaa korkean riskin eikä rekisterinpitäjä pysty toimin lieventämään sitä, valvontaviranomaista on kuultava ennen käsittelyn aloittamista. Tämä on arvioinnin kohta, joka useimmin ohitetaan — arviointi tehdään, riski jää, eikä kuulemista tehdä.

Onko vaikutustenarviointi tehtävä kerran vai toistuvasti?

Artiklan 35 kohta 11 edellyttää uudelleentarkastelua ainakin silloin, kun käsittelyn riski muuttuu. Uusi toimittaja, uusi tietolähde tai uusi profilointisääntö on riskin muutos. Kerran tehty ja kansioon jäänyt arviointi kuvaa käsittelyä joka ei enää ole olemassa.

Riittääkö mallipohja?

Mallipohja auttaa rakenteessa, ei sisällössä. Arvioinnin arvo on siinä, että se kuvaa juuri tätä käsittelyä: mitä tietoja, keneltä, kuinka kauan, kenen saataville ja millä vaihtoehdolla. Toisesta organisaatiosta kopioitu arviointi tunnistaa valvonnassa itsensä ensimmäisestä kappaleesta.

Ennen käsittelyä, ei sen jälkeen

Esiarvio, arviointi, jäännösriski ja uudelleentarkastelu — samassa paikassa kuin käsittelytoimi.

Aloita maksutta