14 loka Tilitoimisto, markkinointitoimisto, IT-ulkoistus: tilaaja vastaa toimittajan luotettavuudesta

Tilaajan on tarkastettava toimittajansa

EU:n yleisen tietosuoja-asetuksen (GDPR) tarkoittamia henkilötietojen käsittelijöitä ovat esimerkiksi IT-palveluntarjoajat, tilitoimistot ja markkinointitoimistot. Palvelun tilaaja saa rekisterinpitäjänä valita vain luotettavia toimittajia käsittelemään vastuullaan olevia henkilötietoja. Luotettavuuden todistamiseksi tilaajan on aina ennen palvelun käyttöönottoa tarkastettava, että toimittaja noudattaa tietosuojalainsäädäntöä ja pystyy käsittelemään henkilötietoja turvallisesti. Tarkastuksesta täytyy jäädä kirjallinen todiste, joka tarvittaessa näytetään valvontaviranomaiselle.

Tietosuoja-asetuksen mukaan:

”Jos käsittely on määrä suorittaa rekisterinpitäjän lukuun, rekisterinpitäjä saa käyttää ainoastaan sellaisia henkilötietojen käsittelijöitä, jotka toteuttavat riittävät suojatoimet asianmukaisten teknisten ja organisatoristen toimien täytäntöönpanemiseksi niin, että käsittely täyttää tämän asetuksen vaatimukset ja sillä varmistetaan rekisteröidyn oikeuksien suojelu.”

GDPR:n suomenkieliseen käännökseen on kuitenkin tehty korjauksia keväällä 2021. Käännökseen tehdyt korjaukset muuttavat asetuksen suomenkielistä tekstiä:

”Jos käsittely on määrä suorittaa rekisterinpitäjän lukuun, rekisterinpitäjä saa käyttää ainoastaan sellaisia henkilötietojen käsittelijöitä, jotka antavat riittävät takeet asianmukaisten teknisten ja organisatoristen toimien täytäntöönpanemiseksi niin, että käsittely täyttää tämän asetuksen vaatimukset ja sillä varmistetaan rekisteröidyn oikeuksien suojelu.”

Käännösversiosta riippumatta on selvää, että tilaaja saa käyttää toiminnassaan vain toimittajia, jotka noudattavat GDPR:n velvoitteita. Käännös tuo kuitenkin kiinnostavan tarkennuksen siihen, mitä käytännössä rekisterinpitäjältä toimittajan arviointivaiheessa vaaditaan. Aikaisempi sanamuoto viittaisi tarkempaan auditointiin siitä, että toimittaja varmasti toteuttaa lupaamansa asianmukaiset tekniset ja organisatoriset toimenpiteet. Korjattu käännös tarkentaa, että arvioinnissa riittää toimittajan riittävän luotettava takaus käsittelyn lainmukaisuudesta ja hoidossa olevista toimenpiteistä. Käännöksen korjaus toisin sanoen vahvistaa, ettei toimittajan toimittamaa aineistoa tarvitse lähteä tarkistamaan.

Käsittelijän arviointi

Käsittelijän arvioinnissa pyritään ensisijaisesti varmistamaan, että käsittelijä antaa riittävät takeet tietosuojalainsäädännön noudattamisesta. Riittävinä takeina ei voida pitää käsittelijän antamaa kunniasanaa, vaan käytännössä käsittelijältä tulee pyytää dokumentaatiota tietosuojan toteuttamisen osoittamiseksi.

Pyydettäviä dokumentteja voisivat tilanteesta riippuen olla esimerkiksi:

• Tietosuojaseloste
• Seloste käsittelytoimista
• Tietoturvakäytäntö
• Kansainvälisesti tunnustetut sertifikaatit

Lisäksi käsittelijän luotettavuutta voi tarkastaa omin tutkimuksin. Selviääkö esimerkiksi hakukonehaulla, että käsittelijälle on sattunut useita tietoruvaloukkauksia? Onko käsittelijä kaikissa lakisääteisissä rekistereissä? Mihin toimittaja sopimuksella sitoutuu – pyrkiikö käsittelijä välttämään kaikki vastuut tietosuojaan liittyen?