Tietojenkäsittelysopimus ja alikäsittelijät

Moduuli 9: Ihmiset ja säännöt · Lukuaika: 11 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat lukea tietojenkäsittelysopimuksen ja tarkistaa siitä tietosuoja-asetuksen vaatimat kohdat, sekä arvioida alikäsittelijöiden listaa.

Keskeiset käsitteet: tietojenkäsittelysopimus (DPA), tietosuoja-asetuksen 28 artiklan 3 kohta, kirjalliset ohjeet, salassapito, tietoturvatoimenpiteet, alikäsittelijä, yleinen tai erityinen suostumus, vastustamisoikeus, avustaminen, palauttaminen tai poistaminen, auditointi, siirto ETA-alueen ulkopuolelle, tietoturvaloukkauksen ilmoitusaika, käsittelijöiden väliset vakiosopimuslausekkeet

Miksi tietojenkäsittelysopimus?

Oppitunnilla 1.2 tutustuit rooleihin: Rakeinen-leipomo on rekisterinpitäjä, pilvipalvelu on henkilötietojen käsittelijä. Tietosuoja-asetuksen 28 artiklan 3 kohta edellyttää, että käsittelijän suorittama käsittely määritellään sopimuksella (tai muulla oikeudellisella asiakirjalla), joka on tehty kirjallisesti. Myös sähköinen muoto käy. Tämä on tietojenkäsittelysopimus, englanniksi Data Processing Agreement (DPA) tai Data Processing Addendum.

Suurten pilvipalveluiden kohdalla et allekirjoita dokumenttia itse: tietojenkäsittelysopimus on osa ehtoja, joihin hyväksyt, tai rastitat ruudun hallintapaneelissa. Pienemmillä palveluntarjoajilla lataat joskus dokumentin, täytät tietosi ja allekirjoitat sen. Joka tapauksessa rekisterinpitäjänä sinun täytyy pystyä osoittamaan, että tietojenkäsittelysopimus on olemassa ja mitä siinä lukee.

Tämä on selitystä, ei oikeudellista neuvontaa. Jos olet epävarma omista sopimuksistasi, kysy juristilta tai tietosuojavastaavalta.

Mitä tietosuoja-asetuksen mukaan sopimuksessa pitää olla

Artiklan 28 kohta 3 mainitsee ensin aiheet, jotka sopimuksen pitää kuvata: käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietojen tyyppi, rekisteröityjen ryhmät sekä rekisterinpitäjän oikeudet ja velvollisuudet. Sen jälkeen seuraa kahdeksan käsittelijän velvollisuutta (kohdat a-h). Alla selitettynä tavallisella kielellä, kysymyksen kanssa, jonka esität lukiessasi:

Euroopan komissio on julkaissut myös käsittelijöiden väliset vakiosopimuslausekkeet (täytäntöönpanopäätös (EU) 2021/915). Niitä voi käyttää tietojenkäsittelysopimuksena, ne sisältävät kaikki pakolliset kohdat. Monet pienemmät palveluntarjoajat käyttävät omaa mallia, usein alan järjestöjen mallin pohjalta laadittua.

Alikäsittelijät: kuka on palveluntarjoajasi takana?

Pilvipalvelusi ei tee kaikkea itse. Alikäsittelijä on osapuoli, jonka käsittelijä ottaa avukseen ja joka pääsee käsiksi tietoihisi, esimerkiksi:

• konesali (jos se ei ole palveluntarjoajan oma);
• varmuuskopioiden tallennuspalvelun toimittaja;
• yritys, joka suodattaa postia roskapostin tai virusten varalta;
• tukitoimintoa hoitava osapuoli tai etänä mukana oleva kehittäjä;
• tekoälypalvelu, jos palveluntarjoaja tarjoaa tekoälyominaisuutta.

Artiklan 28 kohta 2 sanoo: käsittelijä ei käytä alikäsittelijää ilman rekisterinpitäjän etukäteistä erityistä tai yleistä kirjallista suostumusta. Yleisen suostumuksen kohdalla käsittelijän pitää ilmoittaa sinulle uusista tai vaihdetuista alikäsittelijöistä, jotta voit vastustaa muutosta. Käytännössä tämä toimii niin, että palveluntarjoaja julkaisee listan, ilmoittaa muutoksista (sähköpostilla tai sivulla, jota voit seurata), ja sinulla on aikaa vastustaa. Jos vastustat etkä saa ratkaisua, voit usein irtisanoa sopimuksen.

Kohdan 4 mukaan alikäsittelijän pitää saada samat velvollisuudet, ja käsittelijä on sinua kohtaan edelleen täysin vastuussa.

Mihin kiinnität erityistä huomiota eurooppalaiseen palveluun siirtyessäsi

Kun siirryt eurooppalaiseen palveluun, katsot alikäsittelijöiden listasta erityisesti kahta asiaa:

1. Missä alikäsittelijät sijaitsevat? Eurooppalainen palveluntarjoaja, joka suodattaa postinsa yhdysvaltalaisella palvelulla tai tallentaa varmuuskopionsa yhdysvaltalaiseen pilveen, tuo tietosi silti CLOUD Actin piiriin (oppitunti 1.3). Katso jokaisen alikäsittelijän maa ja emoyhtiö.
2. Mitä ne tekevät? Verkkotunnusrekisteri, joka tietää vain nimesi ja osoitteesi verkkotunnuksen haltijana, on eri asia kuin osapuoli, joka tallentaa sähköpostilaatikkosi.

Lue myös artikkeli siirrosta. Hyvä eurooppalainen tietojenkäsittelysopimus sanoo, että tietoja käsitellään EU:ssa tai ETA-alueella, ja että siirto sen ulkopuolelle on sallittua vain etukäteisellä suostumuksellasi. Jos siinä lukee "voimme käsitellä tietoja maailmanlaajuisesti asianmukaisin suojatoimin", tiedät että siirto on mahdollinen.

Varoitusmerkit, joihin kannattaa kiinnittää huomiota

• Tietojenkäsittelysopimusta ei ole saatavilla yrityskäyttöön tarkoitetussa palvelussa: ei hyvä valinta.
• Vanhentunut lista alikäsittelijöistä, joka ei vastaa sitä mitä palveluntarjoaja kertoo muualla (esimerkiksi eri konesali): kysy tarkennusta.
• Tietoturvaloukkauksen ilmoitusaika, joka on niin pitkä, ettet ehdi täyttää omaa 72 tunnin velvollisuuttasi (33 artikla). Monessa tietojenkäsittelysopimuksessa mainitaan 24 tai 48 tuntia.
• Vastuu, joka on täysin poissuljettu. Tämä on tiettyyn rajaan asti tavallista, mutta kertoo jotain siitä, kuinka varma palveluntarjoaja on itsestään.
• Ei säännöstä sopimuksen päättymiselle: mitä tiedoillesi tapahtuu irtisanomisen jälkeen, ja saatko vahvistuksen poistamisesta?

Kuka allekirjoittaa, ja mihin säilytät sopimuksen?

Rakeinen-leipomossa Sanne allekirjoittaa omistajana. Hän säilyttää tietojenkäsittelysopimuksen käsittelytoimien selosteen yhteydessä (oppitunti 9.3), päivämäärän ja version kanssa. Jos palveluntarjoaja muuttaa tietojenkäsittelysopimusta tai alikäsittelijöitä, hän säilyttää myös sen ilmoituksen. Tietosuojavalvonnan tarkastuksessa tai asiakkaan kysyessä ("miten käsittelette tietojani?") hän voi näyttää sen näin.

Käytännössä: miltä tämä näyttää palveluntarjoajalla

WebOkélla on vakiomuotoinen tietojenkäsittelysopimus, jonka liitteessä on lista käytetyistä kolmansista osapuolista, ja jossa lukee, että käsittely tapahtuu EU:n alueella ja siirto sen ulkopuolelle vaatii kirjallisen suostumuksen. Nextcloud-oppaan usein kysytyissä kysymyksissä kerrotaan, milloin tarvitset sitä. Muilla palveluntarjoajilla dokumentti kutsutaan usein nimellä "Data Processing Agreement" ja alikäsittelijöiden lista on erillisellä sivulla ("Subprocessors"). Vertaa tuota listaa siihen, mitä palveluntarjoaja kertoo verkkosivuillaan konesaleista ja tuesta.

Yhteenveto

• Tietosuoja-asetuksen 28 artiklan 3 kohta edellyttää kirjallista tietojenkäsittelysopimusta, jossa on vakioaiheet ja kahdeksan käsittelijän velvollisuutta.
• Tarkista erityisesti: ei omia tarkoituksia, tietoturva, alikäsittelijät, apu tietoturvaloukkauksissa, palauttaminen tai poistaminen sopimuksen päätyttyä, ja auditoinnit.
• Alikäsittelijöitä vain suostumuksellasi; yleisen suostumuksen kohdalla sinun pitää saada tieto muutoksista ja voida vastustaa niitä.
• Eurooppalaiseen palveluun siirtyessä katso alikäsittelijöiden listasta jokaisen osapuolen maa ja emoyhtiö.
• Säilytä tietojenkäsittelysopimus ja muutosilmoitukset käsittelytoimien selosteen yhteydessä.

Tietovisa

Tehtävä

Tehtävä E9.2: Tarkista tietojenkäsittelysopimus. Ota nykyisen tai uuden pilvipalvelusi tietojenkäsittelysopimus. Käy läpi kahdeksan kohtaa a-h ja merkitse muistiin jokaisesta kohdasta: lukeeko se sopimuksessa (kyllä, ei, epäselvä) ja missä. Arvioi alikäsittelijöiden lista: merkitse muistiin jokaisesta alikäsittelijästä maa, emoyhtiö ja mitä se tekee.

Lue lisää

Näiden artikkeleiden vaiheet koskevat WebOkén palveluita; muilla palveluntarjoajilla toiminta on vastaavaa.

• Nextcloud-opas 15.13: Usein kysytyt kysymykset turvallisuudesta ja yksityisyydestä
• Nextcloud-opas 14.8: AI-avustaja Nextcloudissasi
• Asetus (EU) 2016/679 (tietosuoja-asetus), 28 artikla, EUR-Lexissä
• Täytäntöönpanopäätös (EU) 2021/915 (rekisterinpitäjien ja henkilötietojen käsittelijöiden väliset vakiosopimuslausekkeet), EUR-Lexissä
• Alankomaiden tietosuojavaltuutetun toimisto (Autoriteit Persoonsgegevens), aihe "Tietojenkäsittelysopimus": https://www.autoriteitpersoonsgegevens.nl