Kaikkien tietojen käsittelyyn suorasti tai välillisesti osallistuvien kumppanien kanssa laaditaan toimittajasopimus. Tavoitteena on varmistaa, että organisaation ja toimittajan välillä ei ole väärinymmärryksiä osapuolten velvoitteista tietoturvavaatimusten täyttämisessä.

Organisaatio sisällyttää toimittajasopimukseen tarvittaessa seuraavat asiat:

• toimittajan käyttämät tiedot (ja tiedon mahdollinen luokitus) sekä tietoihin pääsyn saava henkilöstö
• tiedon hyväksyttävän käytön säännöt
• tietoja käsittelevän henkilöstön salassapitovelvollisuus
• työnjako viranomaisvaatimusten täyttämisessä
• sopimusosapuolten hallintatehtävät tietoturvaan liittyen (esim. pääsynhallinta, valvonta)
• häiriöiden ilmoittaminen ja korjaaminen
• vaatimukset toimittajan alihankkijoiden käytölle
• lupa auditoida sopimukseen liittyvät toimittajan prosessit ja hallintakeinot (ja puutteiden korjaaminen)
• sitoutuminen tietojen palauttamiseen tai tuhoamiseen sopimuksen päättyessä
• toimittajan vastuu noudattaa organisaation tietoturvakäytäntöjä

Before transferring or disclosing personal data outside the state, the organization must perform and document a risk assessment to ensure lawful and secure processing, especially when the transfer involves sensitive or large-scale data or occurs under legal provisions.

The assessment must:

• Define the purpose and legal basis of the transfer.
• Describe its scope and the safeguards applied.
• Evaluate potential risks or harm to data subjects.
• Ensure that only the minimum necessary data is transferred.
• Confirm that safeguards maintain the required level of privacy and protection.

The organization must also ensure that transfers do not undermine:

• The rights of data subjects, including consent withdrawal.
• Its ability to report data breaches, destroy data, or enforce security measures.

Transfers must be suspended immediately if they present high privacy risks, compromise national security or vital interests, or if safeguards become invalid. Suspended transfers must be re-assessed before any continuation or future transfer.

Organisaation olisi dokumentoitava oikeusperusta ja erityiset lailliset tarkoitukset kaikille palveluissaan käsiteltäville henkilötiedoille. Asiakirjoista olisi käytävä selvästi ilmi sekä tietojen keräämisen että myöhempien henkilötietojen siirtojen laillisuus, ja niissä olisi varmistettava, että ne ovat sovellettavien tietosuojasäännösten mukaisia. Asiakirjojen olisi katettava kaikki olennaiset henkilötietojen osat ja virrat palvelussa.

Organisaatio on tunnistanut mahdolliset lainkäyttöalueiden väliset henkilötietojen siirrot.

Henkilötietojen siirroille lainkäyttöalueiden välillä on tunnistetut ja dokumentoidut oikeusperusteet.

Organisaation tulisi tallentaa henkilötietojen siirrot kolmanislle osapuolille ja kolmansilta osapuolilta. Organisaation olisi myös varmistettava asiaan kuuluvien tahojen yhteistyö myös tulevaisuudessa rekisteröityihin liittyvien velvotteita koskevien pyyntöjen toteuttamisen mahdollistamiseksi.

Siirtoja koskevissa tallenteissa on huomioitava tietojen minimoinnin periaate ja säilytettävä vain varsinaisesti tarvittu tieto.

Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Vaikutustenarviointi on tehtävä, kun henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Riskiä nostavat esimerkiksi uuden teknologian käyttö, arkaluontoisten henkilötietojen käsittely, henkilökohtaisiin ominaisuuksiin kohdistuva automatisointi tai käsittelyn laajamittaisuus yleisesti.

Tietosuojan vastuuhenkilöt arvioivat säännöllisesti organisaation henkilötietojen käsittelyä, erityisesti esimerkiksi tietovarantojen ja niihin liittyviä käyttötarkoituksia sekä käytettyjä tietojärjestelmiä, määritelläkseen vaikutustenarviointien tarpeellisuuden. Tietosuojan vastuuhenkilöt myös vastaavat vaikutustenarviointien toteuttamisesta ja dokumentoinnista.