Seloste käsittelytoimista on kirjallinen kuvaus organisaation tekemästä henkilötietojen käsittelystä.

Selosteen laatiminen on pakollista, mikäli joku seuraavista toteutuu:

• organisaatiossa on yli 250 työntekijää
• henkilötietojen käsittely ei ole satunnaista
• henkilötietojen käsittely aiheuttaa todennäköisesti riskin rekisteröidyn oikeuksille ja vapauksille
• käsiteltävät henkilötiedot sisältävät erityisiä tietoryhmiä tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja

Seloste on pidettävä ajan tasalla. Se toimii myös ensimmäisen tason tapana arvioda käsittelyn lainmukaisuutta, joten se on pyydettäessä toimitettava valvontaviranomaiselle.

Digiturvamallissa "Seloste käsittelytoimista" on oma raporttinsa, joka muodostuu automaattisesti dokumentaatio-osioihin kerättyjen tietojen perusteella.

The organization must maintain a documented process to evaluate and justify the use of legitimate interest as a lawful basis for processing personal data. Before processing begins, a Legitimate Interest Assessment (LIA) must be conducted and retained as evidence of compliance.

• Identify the proposed processing, its purpose, the type of data involved, and the categories of data subjects.
• Confirm that the purpose is legitimate, necessary, and compliant with applicable laws.
• Assess whether processing is essential to achieve the intended purpose and proportionate to the organization’s objectives.
• Evaluate potential harm or impact on data subjects and their ability to exercise their rights.
• Identify and implement measures to mitigate risks or prevent possible harm.

Processing may proceed only when the assessment confirms that it is lawful, necessary, and does not infringe upon individuals’ rights or interests. If the assessment reveals any noncompliance, risks, or potential harm, the processing must be modified, reassessed, or based on an alternative lawful ground before continuation.

Organisaation olisi dokumentoitava oikeusperusta ja erityiset lailliset tarkoitukset kaikille palveluissaan käsiteltäville henkilötiedoille. Asiakirjoista olisi käytävä selvästi ilmi sekä tietojen keräämisen että myöhempien henkilötietojen siirtojen laillisuus, ja niissä olisi varmistettava, että ne ovat sovellettavien tietosuojasäännösten mukaisia. Asiakirjojen olisi katettava kaikki olennaiset henkilötietojen osat ja virrat palvelussa.

Organisaation tulisi tallentaa henkilötietojen luovutusta kolmansille osapuolille koskevat tiedot. Tietoihin kuuluu mitä henkilötietoja, kenelle ja milloin on luovutettu.