Organisaation on varmistettava, että rekisterinpitäjän ja kaikkien sellaisten organisaatioiden välillä, joille annetaan pääsy rekisterinpitäjän terveystietoihin, on sopimukset tai vastaavat dokumentoidut järjestelyt. Näissä järjestelyissä on määriteltävä selkeästi, miten rekisterinpitäjän tietojärjestelmiin pääsyn yhteydessä toteutetaan turvallisia todennus-, valtuutuksenhallinta- ja kirjauskäytäntöjä.

Sopimuksessa olisi selvitettävä ainakin seuraavat asiat:

• todennusmekanismit, joita käytetään käyttäjien henkilöllisyyden todentamiseen järjestelmään pääsyn yhteydessä.
• prosessi ja vastuuhenkilöt, jotka myöntävät ja hallinnoivat käyttäjien käyttöoikeuksia.
• menettelyt lokien seuraamiseksi ja poikkeamiin tai luvattomiin pääsyyrityksiin reagoimiseksi.
• sopimus tai dokumentoitu järjestely, jossa määritellään rekisterinpitäjän ja tietoja käyttävien ulkoisten organisaatioiden väliset vastuut.

Tietovarannon tiedot ovat lähtökohtaisesti vain kyseisen rekisterinpitäjän käytössä ja samalla vastuulla. Mikäli luovutat tietoja eteenpäin toiselle organisaatiolle muuta käyttöä varten, siitä on informoitava selkeästi ja kerrottava mm. luovutuksen vastaanottaja sekä peruste.

Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Vaikutustenarviointi on tehtävä, kun henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Riskiä nostavat esimerkiksi uuden teknologian käyttö, arkaluontoisten henkilötietojen käsittely, henkilökohtaisiin ominaisuuksiin kohdistuva automatisointi tai käsittelyn laajamittaisuus yleisesti.

Tietosuojan vastuuhenkilöt arvioivat säännöllisesti organisaation henkilötietojen käsittelyä, erityisesti esimerkiksi tietovarantojen ja niihin liittyviä käyttötarkoituksia sekä käytettyjä tietojärjestelmiä, määritelläkseen vaikutustenarviointien tarpeellisuuden. Tietosuojan vastuuhenkilöt myös vastaavat vaikutustenarviointien toteuttamisesta ja dokumentoinnista.

Tietosuoja-asetus määrittelee edellytykset henkilötietojen lainmukaiselle siirtämiselle EU:n tai ETA:n ulkopuolelle.

Organisaatio dokumentoi kaikki tietosiirrot ja niissä sovellettavat siirtoperusteet. Tietosiirtoja voi syntyä esimerkiksi tietojärjestelmän, tietoja käsittelevän kumppanin tai tietoluovutuksen vastaanottajan sijainnin perusteella.