Organisaation on ylläpidettävä listaa hallinnoimistaan tietovarannoista sekä nimetyistä omistajista. Omistaja vastaa varannon tietojen täydentämisestä sekä mahdollisista muista digiturvatoimenpiteistä, jotka liittyvät tiiviisti tietovarantoon.

Tietovarantoihin liittyvä dokumentaatio sisältää mm. seuraavia tietoja:

• Tietovarantoon liittyvät vastuut
• Tietojen käyttötarkoitukset (käsitellään tarkemmin erillisessä tehtävässä)
• Tietoaineistot, joista tietovaranto muodostuu (käsitellään tarkemmin erillisessä tehtävässä)
• Tietojen säännönmukaiset luovutukset (käsitellään tarkemmin erillisessä tehtävässä)
• Tarvittaessa tieto tietovarannon sidoksesta toimintaprosesseihin

Henkilötietojen käsittelystä on toimitettava rekisteröidylle tietosuoja-asetuksen määrittelemät tiedot tiiviissä, ymmärrettävässä ja helposti saatavilla olevassa muodossa. Usein tämä toteutetaan joko rekisterikohtaisina tai muuten koottuina tietosuojaselosteina, jotka julkaistaan esimerkiksi organisaation verkkosivulla.

Tietosuojan vastuuhenkilö varmistaa, että selosteissa on viestitty tietosuoja-asetuksen (artikla 13) vaatimat asiat. Kun henkilötietoja eri ole kerätty rekisteröidyltä itseltään, selosteissa on kerrottava perussisällön lisäksi:

• mistä tiedot on saatu
• mitä henkilötietoryhmiä käsittely koskee

Organisaation on ylläpidettävä listaa sen hallinnoimiin tietovarantoihin sisältyvistä tietoaineistoista.

Dokumentaation on sisällettävä vähintään seuraavat tiedot:

• Aineiston käsittelyyn käytetyt tietojärjestelmät ja muut keinot
• Keskeiset tietoryhmät aineistossa (ja sisältääkö henkilötietoja)
• Tietojen säilytysaika (käsitellään tarkemmin erillisessä tehtävässä)
• Tarvittaessa tieto aineistojen arkistoinnista / hävittämisestä (käsitellään tarkemmin erillisessä tehtävässä)

Henkilötietojen käsittely on laillista vain silloin, kun sen tueksi on olemassa voimassa oleva, sovellettavan tietosuojakehyksen mukainen pätevä oikeusperusta. Organisaation on kyettävä ilmoittamaan rekisteröidylle ja tarvittaessa asianomaiselle valvontaviranomaiselle sekä käsittelyn tarkoitus että sitä vastaava oikeusperusta.

Asiakirjoihin on sisällyttävä vähintään seuraavat tiedot

• käsittelyn oikeusperusta ja kaikki tarvittavat lisätiedot
• osapuolet, joille käsittely on ulkoistettu.
• asiaan liittyvät tietokokonaisuudet

Organisaation on luotava selkeä ja johdonmukainen prosessi, jolla yksilöille tiedotetaan siitä, miten heidän henkilötietojaan kerätään ja käytetään. Ennen tietojen keräämistä tai keruun yhteydessä yksilöille olisi ilmoitettava kaikki olennaiset tiedot, rekisterinpitäjän tiedot, käsittelyn tarkoitus ja oikeusperusta, kuinka kauan tietoja säilytetään ja miten he voivat käyttää tai peruuttaa suostumuksensa käsittelyyn. Organisaation on myös selvitettävä, onko tietojen antaminen vapaaehtoista vai pakollista.

Menettelyssä on myös täsmennettävä, miten yksilöille tiedotetaan heidän mahdollisuudestaan peruuttaa suostumus ja sen seurauksista. Tapauksissa, joissa rekisteröidyllä on jo kyseiset tiedot tai tietojen luovuttaminen rikkoisi oikeudellisia rajoituksia, organisaatio voi perustellusti kieltäytyä ilmoittamasta niistä, mutta pitää kirjaa tästä päätöksestä vastuuvelvollisuutta varten.

Kun henkilötietoja kerätään muista lähteistä kuin henkilöltä itseltään, mukaan lukien julkisesti saatavilla olevat lähteet, organisaation on varmistettava avoimuus, oikeudenmukaisuus ja laillinen käsittely ja luovuttaminen.

• Ilmoitettava rekisteröidylle kohtuullisen ajan kuluessa keräämisestä, mukaan lukien tietoluokat ja tietolähteet.
• Varmistettava, että käsittely tai luovuttaminen palvelee tiettyä laillista tarkoitusta ja rajoittuu vain välttämättömiin vähimmäistietoihin.
• toteutettava asianmukaiset toimenpiteet kaikkien henkilöiden yksityisyyden ja oikeuksien suojelemiseksi.
• Varmistetaan, että julkisesti saatavilla olevien tietojen luovuttaminen on sovellettavien lakien mukaista eikä riko tietosuojavaatimuksia.
• Ilmoitusta ei vaadita, jos henkilöllä on jo tiedot, jos tietojen luovuttaminen on epäkäytännöllistä tai kohtuutonta tai jos käsittely tapahtuu oikeudellisten, luottamuksellisuutta koskevien tai yleistä etua koskevien velvoitteiden nojalla.

Edellä mainittuja edellytyksiä ei sovelleta, jos rekisteröidyllä on jo tiedot, tietojen luovuttaminen on mahdotonta tai kohtuutonta, tiedot kerätään oikeudellisten tai salassapitovelvoitteiden nojalla tai jos viranomainen käsittelee niitä turvallisuus-, oikeudellisiin tai yleisen edun mukaisiin tarkoituksiin.