Seloste käsittelytoimista, DPIA ja siirtymän viimeistely

Moduuli 9: Ihmiset ja säännöt · Lukuaika: 12 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat päivittää selosteen käsittelytoimista ja tietosuojaselosteen siirtymän jälkeen, arvioida onko DPIA tarpeen, huolehtia vanhan palvelun asianmukaisesta poistamisesta ja viimeistellä siirtymän muodollisesti loppuchecklistan avulla.

Keskeiset käsitteet: seloste käsittelytoimista (28 artikla kolmen kappaleen... oikeastaan tietosuoja-asetuksen 30 artikla), poikkeus alle 250 työntekijän organisaatioille, DPIA (35 artikla), tietosuojavaltuutetun toimiston DPIA-lista, tietosuojaseloste (13 ja 14 artikla), vastaanottajat, siirto, tietoturvaloukkauksen ilmoitusvelvollisuus (33 artikla), poistaminen vanhasta palvelusta, poistamisvahvistus, arviointi, loppuchecklista

Siirtymä on valmis vasta kun paperit ovat kunnossa

Sähköposti toimii, tiedostot ovat paikallaan, kaikki työskentelevät uudessa ympäristössä. Teknisesti olet valmis. Mutta tietosuoja-asetuksen kannalta työtä on vielä jäljellä: dokumentaatiosi kuvaa yhä vanhaa tilannetta. Asiakkaan kysymyksen, tarkastuksen tai tietoturvaloukkauksen sattuessa haluat pystyä näyttämään, miten asiat nyt ovat. Tämä oppitunti viimeistelee siirtymän.

Tämä on selitys, ei oikeudellinen neuvo.

Seloste käsittelytoimista

Tietosuoja-asetuksen 30 artiklan 1 kohta velvoittaa rekisterinpitäjän ylläpitämään selostetta käsittelytoimista. Siinä kuvataan jokaisen käsittelyn kohdalla (esimerkiksi "asiakastilaukset", "henkilöstöhallinto", "uutiskirje"):

• rekisterinpitäjän nimi ja yhteystiedot (sekä mahdollisen tietosuojavastaavan tiedot);
• käsittelyn tarkoitukset;
• rekisteröityjen ja henkilötietojen ryhmät;
• vastaanottajat, mukaan lukien henkilötietojen käsittelijät;
• siirrot ETA:n ulkopuolisiin maihin sekä käytetyt suojatoimet;
• säilytysajat, mikäli mahdollista;
• yleinen kuvaus tietoturvatoimenpiteistä, mikäli mahdollista.

Koskeeko tämä myös pientä organisaatiota?

Tietosuoja-asetuksen 30 artiklan 5 kohdassa on poikkeus organisaatioille, joilla on alle 250 työntekijää. Poikkeus ei kuitenkaan koske tilannetta, jossa käsittely todennäköisesti aiheuttaa riskin, jossa käsittely ei ole satunnaista, tai jossa käsitellään erityisiin henkilötietoryhmiin kuuluvia tietoja (kuten terveystietoja) tai rikostuomioihin ja rikoksiin liittyviä tietoja. Tietosuojavaltuutetun toimisto selittää, että käytännössä käsittely on harvoin satunnaista: heti kun organisaatiolla on työntekijöitä tai vakioasiakkaita, käsittely on rakenteellista. Bakkerij De Korrelille, jolla on palkkahallinto, asiakastilaukset ja sairauspoissaolot, poikkeus ei siis päde.

Esillä on eurooppalainen ehdotus keventää rekisteröintivelvoitetta pienemmiltä organisaatioilta (ns. Omnibus IV-paketti; kesäkuussa 2026 neuvosto ja parlamentti saavuttivat väliaikaisen sopimuksen). Niin kauan kuin se ei ole voimassa, sovelletaan nykyistä 30 artiklaa. Ja senkin jälkeen yleiskuva pysyy hyödyllisenä: tarvitset sitä pystyäksesi täyttämään muut velvoitteesi.

Mitä päivität siirtymän jälkeen?

Käy läpi jokainen rekisterisi rivi ja päivitä se:

Siirtymä on hyvä hetki hoitaa säilytysajat vihdoin kunnolla. Alankomaissa kirjanpitoon sovelletaan yleensä seitsemän vuoden säilytysvelvoitetta verolainsäädännön nojalla; työhakemustietojen osalta Alankomaiden tietosuojaviranomainen suosittelee lähtökohtaisesti neljää viikkoa hakuprosessin päättymisen jälkeen. Tarkista, mitä säilytysaikoja omalla toimialallasi sovelletaan omassa maassasi.

Tarvitaanko DPIA?

DPIA (tietosuojaa koskeva vaikutustenarviointi, tietosuoja-asetuksessa "tietosuojaa koskeva vaikutustenarviointi") on ennakolta tehtävä jäsennelty riskianalyysi. 35 artikla velvoittaa tekemään DPIA:n, jos käsittely todennäköisesti aiheuttaa korkean riskin rekisteröidyille, erityisesti uuden teknologian yhteydessä.

Miten tiedät, onko näin?

1. AP:n lista. Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) julkaisi vuonna 2019 listan seitsemästätoista käsittelytyypistä, joille DPIA on aina pakollinen. Listalla on muun muassa laajamittainen terveystietojen käsittely, kameravalvonta, työntekijöiden tarkkailu, viestintätiedot, sijaintitiedot, profilointi ja biometriikka. Tämä on nimenomaan Alankomaiden tietosuojaviranomaisen julkaisema lista; jokaisella EU:n tietosuojaviranomaisella on oma DPIA-listansa (30 artiklan 4 kohta... tarkoitan 35 artiklan 4 kohta), joten tarkista myös oman maasi viranomaisen lista.
2. Eurooppalaiset kriteerit. Euroopan tietosuojaviranomaiset ovat laatineet yhdeksän kriteeriä (kuten arkaluonteiset tiedot, laaja mittakaava, haavoittuvassa asemassa olevat rekisteröidyt, järjestelmällinen seuranta, uusi teknologia). Jos käsittely täyttää kaksi tai useamman kriteerin, DPIA on yleensä tarpeen.

Leipomolle, joka siirtää sähköpostin ja tiedostot, DPIA ei yleensä ole pakollinen. Lääkäriasemalle, joka siirtää potilasviestinnän uuteen palveluun, tai koululle, jolla on oppilastietoja, tilanne on toinen. Vaikka DPIA ei olisi pakollinen, lyhyt riskianalyysi voi olla hyödyllinen. Oppitunnin 1.5 punninta on hyvä lähtökohta tähän. Jos sinulla on jo DPIA vanhasta palvelusta, päivitä se.

Tietosuojaseloste

Tietosuojaselosteessa kerrot rekisteröidyille (asiakkaille, työnhakijoille, verkkosivuston kävijöille), miten käsittelet heidän tietojaan (13 ja 14 artikla). Siinä mainitaan muun muassa vastaanottajat tai vastaanottajaryhmät sekä mahdolliset siirrot ETA:n ulkopuolelle. Jos selosteessa luki "käytämme Yhdysvalloissa toimivien yritysten palveluja Data Privacy Frameworkin perusteella", päivitä se. Älä muuta mitään, mikä ei pidä paikkaansa: mainitse vain se, mistä olet varmasti varma tietojenkäsittelysopimuksen ja alikäsittelijälistan perusteella.

Tietoturvaloukkaukset: tiedä kenelle soitat

Siirtymän jälkeen palveluntarjoajasi on vaihtunut, ja sitä myötä myös tietoturvaloukkauksen käsittelyreitti. Kirjaa menettelyysi:

• uuden palveluntarjoajan yhteystiedot tietoturvapoikkeamia varten;
• määräaika, jonka kuluessa palveluntarjoaja ilmoittaa sinulle asiasta tietojenkäsittelysopimuksen mukaan;
• kuka organisaatiossasi päättää, onko ilmoitus tehtävä, sillä ilmoitus valvontaviranomaiselle on tehtävä 72 tunnin kuluessa havaitsemisesta (33 artikla);
• mihin pidät yllä tietoturvaloukkausrekisteriä: myös loukkaukset, joita sinun ei tarvitse ilmoittaa, on kirjattava sisäisesti (33 artiklan 5 kohta).

Vanhan palvelun lopettaminen

Irtisano vanha palvelu vasta kun kaikki on toiminut hyvin muutaman viikon ajan (oppitunti 3.3). Sen jälkeen:

1. Viimeinen tarkistus: onko kaikki siirretty? Onko jaettuja kansioita, lomakkeita tai yhteyksiä, jotka yhä osoittavat vanhaan palveluun?
2. Vie viimeinen arkisto omaa hallintoasi varten, jos haluat säilyttää sen (esimerkiksi säilytysvelvoitteen piiriin kuuluva sähköposti). Säilytä se salattuna.
3. Poista tilit ja tiedot vanhasta palvelusta, tai pyydä ne poistettavaksi. Tietosuoja-asetuksen 28 artiklan 3 kohdan g alakohta velvoittaa entisen henkilötietojen käsittelijän poistamaan tai palauttamaan tiedot käsittelyn päätyttyä, valintasi mukaan. Pyydä poistamisvahvistus ja säilytä se selosteesi yhteydessä.
4. Siivoa yhteydet: muihin palveluihin tehdyt "kirjaudu sisään"-yhteydet, pääsyoikeudet saaneet sovellukset ja vahvistustietueet DNS:ssäsi (oppitunti 4.3).
5. Päivitä seloste, tietosuojaseloste ja tietoturvaloukkausmenettely (katso yllä).

Arviointi

Suunnittele lyhyt arviointi kuukausi vaihdoksen jälkeen yhdessä lähettiläiden kanssa (oppitunti 9.1). Mikä meni hyvin, mikä ei, mitä tekisit seuraavalla kerralla toisin? Kirjaa myös exit-suunnitelmasi uutta palvelua varten (oppitunti 8.2) ja merkitse kalenteriin päivä, jolloin testaat sen vuosittain.

Käytännössä: näin se näyttää palveluntarjoajalla

Monilla palveluntarjoajilla on toiminto, jolla voit ladata tietosi tai poistaa tilisi. WebOkén ohjeissa kerrotaan, miten lataat tietosi tai poistat tilisi. Suurilla yhdysvaltalaisilla palveluilla tämä on yleensä nimeltään "vie tiedot" ja "poista tili", ja organisaatiotilin ylläpitäjällä on omat vientitoimintonsa. Lue etukäteen, kuinka kauan palvelu säilyttää tietoja varmuuskopioissa poistamisen jälkeen; tämä mainitaan usein tietosuojaselosteessa tai tietojenkäsittelysopimuksessa.

Loppuchecklista

• [ ] Kaikki kartoituksen osat (oppitunti 3.1) löytyvät uudesta ympäristöstä ja on tarkistettu
• [ ] Tietojenkäsittelysopimus(et) uuden palveluntarjoajan/tarjoajien kanssa solmittu ja tallennettu (oppitunti 9.2)
• [ ] Seloste käsittelytoimista päivitetty: vastaanottajat, siirrot, tietoturva, säilytysajat
• [ ] DPIA-tarve arvioitu (tarpeen vai ei, ja miksi, kirjattuna)
• [ ] Tietosuojaseloste päivitetty
• [ ] Tietoturvaloukkausmenettely uusin yhteystiedoin
• [ ] Vanha palvelu irtisanottu, tiedot poistettu, vahvistus tallennettu
• [ ] Yhteydet ja vanhat DNS-tietueet siivottu
• [ ] Uuden ympäristön varmuuskopiointi käyttöönotettu ja testattu (oppitunti 8.1)
• [ ] Exit-suunnitelma uutta palvelua varten kirjattu (oppitunti 8.2)
• [ ] Arviointi pidetty

Yhteenveto

• Päivitä siirtymän jälkeen seloste käsittelytoimista: vastaanottajat, siirrot, tietoturva ja säilytysajat.
• Poikkeus alle 250 työntekijän organisaatioille pätee käytännössä harvoin; sitä keventävä ehdotus ei ole vielä voimassa (tilanne marraskuussa 2026).
• DPIA on pakollinen korkean riskin tapauksissa (tietosuojavaltuutetun lista, eurooppalaiset kriteerit); tavallisille toimistotiedoille yleensä ei.
• Päivitä tietosuojaselosteesi ja tietoturvaloukkausmenettelysi.
• Pyydä vanhaa palvelua poistamaan tietosi ja pyydä vahvistus.

Tietovisa

Tehtävä

Tehtävä E9.3: Viimeistele siirtymäsi. Päivitä kolmen organisaatiosi käsittelytoiminnon rivit selosteeseen käsittelytoimista (vastaanottajat, siirto, tietoturva, säilytysaika), arvioi tietosuojavaltuutetun listan ja eurooppalaisten kriteerien avulla tarvitaanko DPIA, ja täytä loppuchecklista.

Lue lisää

Näiden artikkeleiden vaiheet pätevät WebOkén palveluihin; muilla palveluntarjoajilla toiminta on vastaavaa.

• WebOké-käyttöopas 11.7: Yksityisyys: lataa tietosi tai pyydä niiden poistamista
• Nextcloud-opas 16.7: Työkaveri lähtee: tiedostojen, kalenterin ja jaettujen kansioiden siirto turvallisesti
• Nextcloud-opas 15.13: Usein kysytyt kysymykset turvallisuudesta ja yksityisyydestä
• Asetus (EU) 2016/679 (tietosuoja-asetus), 13, 14, 28, 30, 33 ja 35 artikla, EUR-Lexissä
• Päätös henkilötietojen käsittelytoimien luettelosta, joille DPIA on pakollinen (Alankomaiden tietosuojaviranomainen, Stcrt. 2019), osoitteessa wetten.overheid.nl (BWBR0042812)
• Alankomaiden tietosuojaviranomainen, aiheet "Register van verwerkingsactiviteiten" ja "DPIA": https://www.autoriteitpersoonsgegevens.nl