Tietosuojavastaavan nimeäminen on GDPR:n mukainen velvoite tietyille organisaatioille, mutta monessa yrityksessä epäselvyys nimeämiskynnyksen täyttymisestä johtaa tahattomiin laiminlyönteihin. Velvoite koskee julkishallinnon toimijoita sekä yrityksiä, joiden ydintoimintaan kuuluu laajamittainen käsittely tai erityisiin henkilötietoryhmiin kohdistuva käsittely. Oikea arviointi edellyttää aina tapauskohtaista harkintaa, sillä yksikään toimiala ei automaattisesti vapaudu velvoitteesta tai ole siihen sidottu.
Monessa organisaatiossa tietosuojavastaavan tarve jätetään arvioimatta, koska ei tiedetä, missä raja kulkee. Tämä epätietoisuus on riski: tietosuojavaltuutetun toimisto voi puuttua tilanteeseen, ja seuraamukset voivat olla hallinnollisia sakkoja tai julkisia huomautuksia. Arviointi kannattaa tehdä systemaattisesti käymällä läpi, mitä henkilötietoja käsitellään, kuinka laajasti ja millä perusteella. Jos epävarmuutta jää, ulkopuolisen asiantuntijan arvio auttaa tunnistamaan velvoitteen olemassaolon ennen kuin valvoja tekee sen puolestasi.
Ilman nimettyä tietosuojavastaavaa vastuu tietosuoja-asioista hajaantuu helposti useille henkilöille eikä kuulu selkeästi kenellekään. Käytännössä tämä näkyy viivästyneinä vastauksina rekisteröityjen pyyntöihin, puutteellisina tietoturvaloukkausilmoituksina ja vaikeutena kehittää tietosuojakäytäntöjä johdonmukaisesti. Selkeä vastuuhenkilö, oli hän sitten sisäinen tai ulkoistettu, luo rakenteen, jossa tietosuoja-asiat etenevät ja dokumentoituvat asianmukaisesti.
Tietosuojavastaava (DPO, Data Protection Officer) on henkilö tai taho, jonka tehtävänä on valvoa, että organisaatio noudattaa tietosuojalainsäädäntöä. Hän toimii yhteyspisteenä valvontaviranomaiseen, neuvoo henkilöstöä tietosuoja-asioissa ja seuraa sisäisten käytäntöjen vaatimustenmukaisuutta.
Tietosuojavastaavan rooli on ennen kaikkea neuvoa-antava ja valvova, ei operatiivinen. Hän ei itse toteuta tietosuojatoimenpiteitä, vaan arvioi niiden riittävyyttä ja raportoi suoraan organisaation johdolle. GDPR edellyttää, että tietosuojavastaavalla on riittävä asiantuntemus tietosuojalainsäädännöstä ja käytännöistä sekä kyky toimia itsenäisesti ilman eturistiriitoja.
Käytännön tehtäviin kuuluu muun muassa tietosuojaa koskevien vaikutustenarviointien (DPIA) koordinointi, henkilöstön kouluttaminen, rekisteröityjen oikeuksiin liittyvien pyyntöjen käsittelyn ohjaaminen sekä tietoturvaloukkausmenettelyjen tukeminen. Tehtäväkenttä on laaja, ja sen vaatimukset kasvavat organisaation tietojenkäsittelyn monimutkaistuessa.
Tietosuojavastaavan nimeäminen on pakollista kolmessa tilanteessa: kun kyseessä on julkishallinnon viranomainen tai elin, kun organisaation ydintehtäviin kuuluu laajamittainen rekisteröityjen säännöllinen ja järjestelmällinen seuranta tai kun ydintehtäviin sisältyy laajamittainen erityisten henkilötietoryhmien käsittely.
Julkishallinnon osalta velvoite on lähes poikkeukseton. Yksityisellä sektorilla ratkaisevaa on se, onko henkilötietojen käsittely organisaation ydintoimintaa vai vain sivutoiminto. Esimerkiksi terveydenhuollon toimijoilla, vakuutusyhtiöillä, pankeilla ja laajoja asiakasrekistereitä ylläpitävillä verkkopalveluilla velvoite täyttyy tyypillisesti. Sen sijaan pienessä yrityksessä, jossa henkilöstöhallinto käsittelee vain omien työntekijöidensä tietoja, kynnys ei välttämättä ylity.
Vaikka nimeämisvelvoite ei olisi pakollinen, monet organisaatiot nimeävät tietosuojavastaavan vapaaehtoisesti. Tällöin on huomioitava, että GDPR:n vaatimukset tietosuojavastaavalle pätevät yhtä lailla myös vapaaehtoisesti nimettyyn henkilöön.
Laajamittainen henkilötietojen käsittely tarkoittaa käsittelyä, joka koskee suurta määrää rekisteröityjä, kattaa laajan maantieteellisen alueen, on jatkuvaa tai toistuvaa tai sisältää merkittävän määrän eri tietotyyppejä. Yksittäistä numeerista rajaa lainsäädäntö ei aseta, vaan arviointi perustuu kokonaisuuteen.
Tietosuojaviranomaiset ovat ohjeistaneet, että laajamittaisuuden arvioinnissa huomioidaan ainakin käsiteltyjen henkilöiden lukumäärä suhteessa väestöön, käsittelyn maantieteellinen laajuus, käsittelyn kesto ja pysyvyys sekä käsiteltävien tietotyyppien moninaisuus. Esimerkiksi sairaalan potilasrekisteri tai suuren verkkokaupan asiakastietokanta täyttää tyypillisesti laajamittaisuuden tunnusmerkit.
Sen sijaan yksittäinen lääkäri, joka käsittelee potilaidensa tietoja omassa vastaanotossaan, ei yleensä ylitä laajamittaisuuden kynnystä. Rajanveto voi olla tulkinnanvarainen, ja epäselvissä tilanteissa oikeudellinen arviointi on perusteltua ennen nimeämispäätöksen tekemistä.
Tietosuojavastaava voi olla joko organisaation oma työntekijä tai ulkopuolinen palveluntarjoaja. GDPR sallii molemmat vaihtoehdot. Ratkaisevaa on, että henkilöllä on tehtävän edellyttämä asiantuntemus ja ettei hänellä ole eturistiriitoja suhteessa valvottaviin tehtäviin.
Sisäinen tietosuojavastaava voi olla käytännöllinen ratkaisu organisaatiolle, jossa tietosuoja-asiat ovat jatkuvia ja laaja-alaisia. Tällöin on kuitenkin varmistettava, ettei henkilö samalla hoida tehtäviä, joissa hän itse päättää henkilötietojen käsittelyn tarkoituksista tai keinoista. Esimerkiksi IT-johtaja tai lakimies, joka päättää tietojärjestelmäarkkitehtuurista, ei sovellu tietosuojavastaavaksi eturistiriitariskin vuoksi.
Ulkoistettu tietosuojavastaava, kuten asianajotoimiston tarjoama palvelu, antaa organisaatiolle pääsyn asiantuntemukseen ilman kokoaikaisen rekrytoinnin tarvetta. Tämä malli sopii erityisesti yrityksille, joissa nimeämisvelvoite täyttyy mutta tietosuoja-asioiden volyymi ei edellytä kokopäiväistä resurssia. Myös useampi yritys voi jakaa saman tietosuojavastaavan, jos hänellä on riittävästi aikaa kunkin organisaation tehtäviin.
Tietosuojavastaavan nimeämättä jättäminen, kun velvoite täyttyy, voi johtaa hallinnolliseen sakkoon enintään 10 miljoonaa euroa tai kahteen prosenttiin yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta. Lisäksi valvontaviranomainen voi antaa huomautuksen tai määrätä korjaavia toimenpiteitä.
Rahallinen seuraamus on kuitenkin vain osa riskiä. Nimeämisvelvoitteen laiminlyönti voi viestittää valvontaviranomaiselle laajemmista puutteista tietosuojakäytännöissä, mikä saattaa johtaa perusteellisempaan tarkastukseen. Tietosuojavaltuutetun toimisto voi myös julkistaa päätöksensä, mikä vaikuttaa organisaation maineeseen sidosryhmien silmissä.
Käytännössä valvontaviranomaiset ovat kohdistaneet toimenpiteitä sekä suuriin korporaatioihin että pienempiin toimijoihin eri toimialoilla. Velvoitteen olemassaolon selvittäminen etukäteen on selvästi riskittömämpi vaihtoehto kuin odottaa, että puute tulee esiin valvontatarkastuksen yhteydessä.
Tietosuojavastaavan nimeäminen edellyttää kirjallista päätöstä tai toimeksiantoa, yhteystietojen ilmoittamista valvontaviranomaiselle sekä tietojen julkaisemista rekisteröidyille. Nimeäminen ei ole kertaluonteinen toimenpide, vaan edellyttää jatkuvaa resursointia ja tehtävän edellytysten ylläpitämistä.
Prosessissa on huomioitava useita käytännön seikkoja:
Tietosuojavastaavalle on myös varmistettava riittävät resurssit tehtävän hoitamiseen, pääsy käsittelytoimia koskeviin tietoihin sekä suora raportointiyhteys johtoon. Nimeäminen ilman todellisia toimintaedellytyksiä ei täytä GDPR:n vaatimuksia edes muodollisesti. Me Hedman Partnersilla autamme organisaatioita arvioimaan nimeämisvelvoitteen täyttymistä sekä rakentamaan tietosuojarakenteen, joka vastaa sekä lainsäädännön vaatimuksia että organisaation käytännön tarpeita.