Henkilötietojen käsittelysopimus: tarkistuslista verkkotyökaluille

Lähes jokainen verkkosivustollanne käyttämä työkalu käsittelee tietoja puolestanne: verkkoanalytiikka, uutiskirje, CRM, lämpökartta, chat. Heti kun mukana on henkilötietoja, GDPR vaatii sopimuksen palveluntarjoajan kanssa. Sitä kutsutaan käsittelysopimukseksi (saksaksi Auftragsverarbeitungsvertrag, lyhyesti AV-Vertrag tai AVV). Tämä artikkeli selittää, milloin sen tarvitsette, mitä siinä on oltava ja mitä kannattaa ottaa huomioon työkalua valittaessa.

Milloin tarvitsette käsittelysopimuksen

GDPR:n 28 artikla soveltuu, kun palveluntarjoaja käsittelee henkilötietoja teidän lukuunne ja ohjeidenne mukaan. Tällöin te olette rekisterinpitäjä ja tarjoaja on henkilötietojen käsittelijä. Säädöstekstin löydätte osoitteesta GDPR EUR-Lexissä.

Kaikki suhteet eivät ole henkilötietojen käsittelyä toisen lukuun. Erottakaa kolme tilannetta:

Ratkaisevaa on, kuka määrää tarkoituksen ja keinot, ei sopimuksen nimi. Tarjoaja, joka käyttää tietoja myös omiin tarkoituksiinsa, esimerkiksi omien tuotteidensa kehittämiseen teille tehdyn palvelun ulkopuolella, ei ole tältä osin enää henkilötietojen käsittelijä. Pykälän 28 kohdan 10 mukaan käsittelijä, joka määrää tarkoituksen ja keinot itse, katsotaan tämän käsittelyn osalta rekisterinpitäjäksi.

Pakollinen sisältö 28 artiklan 3 kohdan mukaan

Sopimuksessa on määriteltävä käsittelyn kohde ja kesto, luonne ja tarkoitus, tietojen laji sekä rekisteröityjen ryhmät. Lisäksi siinä on oltava määräys, että käsittelijä:

• a) käsittelee tietoja vain dokumentoidun ohjeen mukaan, myös siirroissa kolmanteen maahan,
• b) käyttää henkilöitä, jotka on sitoutettu luottamuksellisuuteen,
• c) toteuttaa 32 artiklan mukaiset toimenpiteet,
• d) noudattaa muita käsittelijöitä koskevia ehtoja,
• e) avustaa teitä rekisteröityjen pyyntöjen yhteydessä,
• f) avustaa teitä 32-36 artiklan velvoitteiden täyttämisessä,
• g) palvelun päätyttyä poistaa tai palauttaa tiedot valintanne mukaan,
• h) toimittaa todisteet ja mahdollistaa tarkastukset.

Sopimus on tehtävä kirjallisesti, sähköinen muoto riittää (9 kohta). Mallipohjan tarjoaa Euroopan komissio käsittelyä koskevilla vakiosopimuslausekkeilla. Pykälän 28 kohdan 6 mukaan sopimus voi perustua niihin kokonaan tai osittain.

Alihankkijat

Jos tarjoaja käyttää itse palveluntuottajia, esimerkiksi palvelinhotellia, pätee kaksi 28 artiklan 2 ja 4 kohdan sääntöä:

• Se tarvitsee etukäteen erillisen tai yleisen kirjallisen suostumuksenne. Yleisen suostumuksen tapauksessa sen on ilmoitettava teille jokaisesta suunnitellusta muutoksesta. Voitte silloin vastustaa muutosta.
• Sen on asetettava alihankkijoille samat tietosuojavelvoitteet. Jos alihankkija ei täytä niitä, ensimmäinen käsittelijä vastaa teille.

Kysykää siksi tarjoajalta ajantasainen luettelo alihankkijoistaan, kotipaikkoineen ja tehtävineen.

Kolmas maa

Jos tietoja käsitellään EU:n ja ETA:n ulkopuolella tai ne ovat sieltä käytettävissä, pätevät lisäksi kolmansiin maihin tehtäviä siirtoja koskevat säännöt (luku V, GDPR:n 44 artikla ja seuraavat). Yleisiä reittejä on kolme: komission tietosuojan riittävyyttä koskeva päätös, siirtoa koskevat vakiosopimuslausekkeet tai sitovat yrityssäännöt. Yhdysvaltoja koskee vuodesta 2023 alkaen riittävyyspäätös EU:n ja Yhdysvaltojen tietosuojakehyksestä. Se pätee vain kehykseen osallistuville yrityksille. Sitä vastaan on nostettu oikeusjuttuja, joten tarkistakaa ajantasainen tilanne. EU:ssa sijaitseva palvelin ratkaisee asian, jos kumpikaan, tarjoaja tai alihankkija, ei pääse kolmannesta maasta käsiksi tietoihin.

Tarkistuslista analytiikka- ja markkinointityökaluille

1. Selvittäkää rooli. Käsitteleekö tarjoaja tietoja vain teille vai myös omiin tarkoituksiinsa?
2. Tarkistakaa sopimus. Ovatko kaikki 28 artiklan 3 kohdan asiat mukana?
3. Kuvatkaa tiedot. Onko tietojen laji ja rekisteröityjen ryhmät nimetty konkreettisesti?
4. Katsokaa alihankkijat. Onko luettelo ja menettely muutostilanteita varten?
5. Kysykää palvelimen sijaintia. Missä tiedot ovat, kuka pääsee käsiksi?
6. Dokumentoikaa kolmannen maan reitti. Mikä peruste kantaa siirron?
7. Sopikaa poistosta. Mitä tiedoille tapahtuu sopimuksen päätyttyä?
8. Lukekaa tekniset toimenpiteet. Salaus, käyttöoikeudet, lokitus.

Liittäkää sopimus dokumentaatioonne ja ottakaa työkalu mukaan GDPR:n 30 artiklan mukaiseen käsittelytoimien luetteloonne. Erityisesti työkaluissa, jotka latautuvat vasta suostumuksen jälkeen, sopimus on toinen, erillinen edellytys. Laitteella annettu suostumus ei korvaa sitä, kuten artikkeli § 25 TDDDG: evästeet ja seuranta Saksassa osoittaa.

Mitä rikkomuksista voi seurata

Jos sopimus puuttuu tai on puutteellinen, valvontaviranomainen voi huomauttaa siitä. 28 artiklan velvoitteiden rikkomisesta GDPR:n 83 artiklan 4 kohta säätää hallinnollisen sakon, joka on enintään 10 miljoonaa euroa tai enintään 2 prosenttia maailmanlaajuisesta vuosiliikevaihdosta sen mukaan, kumpi on suurempi. Se on kehys, ei ennuste yksittäistapaukselle.

Entä Sveitsissä?

Sveitsin tietosuojalaki säätää käsittelystä toisen lukuun 9 artiklassa (DSG). Ajatus on samankaltainen, muotoilu eri. Joka puhuttelee EU:ssa olevia rekisteröityjä, tarvitsee yleensä GDPR:n mukaisen sopimuksen. Koskeeko tämä tarjontaanne, selitetään artikkelissa Verkkosivuston seuranta Sveitsissä: revDSG ja FMG.

Usein kysytyt kysymykset

Tarvitsenko käsittelysopimuksen, jos työkalu näyttää vain yritysten nimiä? Se riippuu siitä, käsitteleekö tarjoaja siinä henkilötietoja teille, esimerkiksi IP-osoitteita, vaikka vain hetkellisesti. Epäselvässä tilanteessa tehkää sopimus, se ei maksa juuri mitään. Onko IP-osoite henkilötieto, selitetään artikkelissa IP-osoite ja GDPR: onko se henkilötieto?.

Riittääkö, että hyväksyn tarjoajan yleiset ehdot? Vain jos niissä on kaikki pakollinen sisältö ja määräys on selvästi tunnistettavissa sopimukseksi tai liitteeksi. Monet tarjoajat tarjoavat käsittelysopimuksen erillisenä asiakirjana tehtäväksi.

Onko sopimus allekirjoitettava? Se on laadittava kirjallisesti. Sähköinen muoto riittää 28 artiklan 9 kohdan mukaan, joten klikkaamalla tehtävä sopimus on yleinen.