Organisaation on varmistettava, että asiakkaiden asettamat sopimusvelvoitteet välitetään käytetyille alihankkijoille ja muille yhteistyökumppaneille.

Kumppaniorganisaatioiden asetettujen velvoitteiden noudattaminen on tarkistettava säännöllisesti. Jokaisella kumppanilla on oltava nimetty yhteyshenkilö, ja tarvittavien yhteystietojen on oltava ajan tasalla.

Ennen alihankkijoiden palkkaamista organisaation on otettava käyttöön määritelty menettely sen varmistamiseksi, että kaikissa uusissa sopimuksissa säilytetään sama henkilötietojen suojan taso kuin ensisijaisessa käsittelysopimuksessa.

• Tarkistettava, että mahdollinen alihankkija antaa riittävät takeet tietosuojalainsäädännön ja organisaation turvallisuusvaatimusten noudattamisesta.
• Varmistetaan, että sopimusehdoissa säilytetään selkeästi käsiteltävien henkilötietojen vaadittu suojan taso.
• Hanki rekisterinpitäjältä kirjallinen ennakkohyväksyntä ennen alihankintana tapahtuvaa käsittelyä koskevan sopimuksen tekemistä ja anna rekisterinpitäjälle mahdollisuus tarkastella sitä uudelleen ja vastustaa sitä sovitussa määräajassa.

Kaikki alihankkijasuhteet on dokumentoitava ja tarkistettava säännöllisesti, jotta varmistetaan jatkuva vaatimustenmukaisuus ja vastuuvelvollisuus.

Organisaation täytyy määritellä toimintatavat, joiden avulla rekisterinpitäjälle tiedotetaan kaikista henkilötietojen käsittelijöistä ennen tietojen käsittelyn aloittamista.

Ilmoituksen on sisällettävä käsittelijöiden käsittelevät tiedot sekä käyttötarkoitukset, joihin he tietoja käsittelevät.

Osallistaessaan alikäsittelijöitä mukaan tarjottuihin pilvipalveluihin liittyvien henkilötietojen käsittelyyn organisaatio varmistaa, että sopimuksissa on selkeästi määritelty alikäsittelijöiltä vaadittavat tekniset ja organisatoriset vähimmäisturvatoimenpiteet.

Käsittelysopimuksella sidotaan henkilötietoja käsittelevän kumppaniin tekemisiä. Etenkin tärkeiden kumppanien kanssa käsittelysopimuksen sisältöä on syytä analysoida tarkemmin, josta dokumentoidaan oma arvioinsa. Tärkeät kumppanit voivat olla meihin nähden joko henkilötietojen käsittelijöitä tai rekisterinpitäjiä.

Meille voi olla tärkeää esimerkiksi vastuuttaa tärkeää kumppania huolehtimaan salassapitovelvollisuuden varmistamisesta henkilöstölleen sekä rajoittaa toisten henkilötietojen käsittelijöiden (alihankinnan) käyttöä tietoihimme liittyen.