Käsittelysopimukset

Käsittelysopimus on tietossuoja-asetuksen vaatima ja siinä sovitaan vastuunjaosta rekisterinpitäjän sekä henkilötietojen käsittelijän välillä. Henkilötietojen käsittelijä ns. käsittelee henkilötietoja rekisterinpitäjän lukuun sopimuksessa säädetyin tavoin.
sopimusten hallinta
henkilötietojen käsittelijä
DPA
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Jokaisen kumppanin, olipa kyse tärkeää tietojärjestelmää kehittävästä IT-talosta tai tiloissamme liikkuvasti siivousyrityksestä, valinta on päätös luottaa kumppaniin ja siihen, että he huolehtivat heille paljastuvista tiedoista asiallisesti. Myös tekninen tai fyysinen pääsymahdollisuus tietoihin on käsittelyä, joka on sopimuksellisesti tarkennettava, jotta mahdollisuuksia epäselvyyksiin ei voi jäädä.

Käsittelysopimusten yhteydessä törmää usein käsitykseen, että "Eikö sitä voisi vaan sopia, että kukin noudattaa lakeja ja asetuksia tahollaan?" Ei voi, koska lait ja asetukset eivät vaadittavalla tarkkuudella määrittele esimerkiksi sitä, millaista turvallisuutta minkäkin tasoisen tiedon suojaaminen vaatii. Turvallisuuskäytäntöjen on elettävä ajassa ja riiputtava siitä, kuinka luottamuksellisen tiedon äärellä operoidaan. Käsittelysopimuksissa vaihtelee lisäksi selvästi työnjako ja käsittelijän rajaamisen aste - haluammeko kumppanilta tarkkoja sitoumuksia vai riittääkö meille löyhemmät sopimuslausekkeet esimerkiksi tietosuoja-asetuksen oletusarvojen mukaisesta toiminnasta?

Käsittelysopimuksilla voidaan parhaillaan saavuttaa tilanne, jossa kumppanin kanssa on sovittu todella selvästi heidän vastuullaan olevista asioista sekä heidän toteuttamista toimenpiteistä turvallisuuden eteen. Kuka pitää lokia ja millaisia asioita sinne tallentuu? Kuka kaivaa henkilötiedot esiin, kun rekisteröity niitä pyytää? Saako kumppani käyttää, ja kuinka se valvoo omia käyttämiään alihankkijoita? Hyvän sopimuksen jälkeen itse voi nukkua yöt vähän rauhallisemmin ja tietää, ette digiturva putoa organisaatioiden välisiin rajoihin.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Kuinka sopimus on laadittu?

Käsittelysopimuksella on säädettävä henkilötietojen käsittelijän toimia suhteessa rekisterinpitäjään. Voimme tehdä sopimuksia kummassa tahansa roolissa, nojaten vakiolausekkeisiin tai täysin räätälöityinä.

Sisältääkö sopimus kaikki pakollisina vaaditut asiat?

Yleinen tietosuoja-asetus määrittelee asiat, joista käsittelysopimuksessa on sovittava. Käytäntö on osoittanut, että tietyt kohdat ovat toistuvasti niitä, joissa vaihtelua sopimuksen sisällössä on vähemmän. Näitä ovat mm. salassapitovelvollisuuden varmistaminen sekä toimet turvallisuustason varmistamiseksi.

Mitä sopimuksessa on sovittu enemmän liikkumavaraa sisältävistä asioista?

Yleinen tietosuoja-asetus määrittelee asiat, joista käsittelysopimuksessa on sovittava. Käytäntö on osoittanut, että osa kohdista on yleensä niitä, joissa vaihtelut sopimusten sisällössä voivat olla kaikkein merkittävimpiä. Näitä ovat esimerkiksi henkilötietojen siirto, toisten käsittelijöiden käyttö sekä auditoinnin kustannukset. Nämä kohdat on syytä käytä huolella lävitse tärkeissä sopimuksissa.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Järjestelmätoimittajat
Erilaisia tietojärjestelmiä kertyy vähänkin isompaan organisaatioon kymmeniä tai satoja. Organisaatiolla on kuitenkin vastuu käyttää vain järjestelmätoimittajia, jotka huomioivat toiminnassaan asiallisesti digiturvan. Tärkeä päätös tehdään siis jo siinä vaiheessa, kun hankittavaa järjestelmää valitaan.