Rekisterinpitäjä ja henkilötietojen käsittelijä ovat GDPR:n kaksi keskeistä roolia, jotka määrittävät, kenellä on vastuu henkilötietojen käsittelystä ja miten. Rekisterinpitäjä päättää, miksi ja miten tietoja käsitellään. Henkilötietojen käsittelijä toimii rekisterinpitäjän ohjeiden mukaisesti ilman omaa päätösvaltaa käsittelyn tarkoituksesta. Roolien sekoittaminen on yleinen virhe, jolla voi olla merkittäviä oikeudellisia seurauksia tietosuoja-asetuksen nojalla.
Monet organisaatiot olettavat olevansa pelkästään käsittelijöitä, koska ne toimivat toisen yrityksen toimeksiannosta. Käytännössä tilanne on usein monimutkaisempi: jos yritys tekee itsenäisiä päätöksiä siitä, mitä tietoja kerätään tai miten niitä hyödynnetään, se voi olla rekisterinpitäjä tietämättään. Tämä tarkoittaa vastuita, joihin ei ole varauduttu, kuten velvollisuutta vastata rekisteröidyn oikeuksien toteuttamisesta tai ilmoittaa tietoturvaloukkauksista. Tilanteen selkeyttäminen edellyttää käytännön toiminnan tarkkaa arviointia, ei pelkästään sopimusten otsikoiden lukemista.
GDPR edellyttää kirjallista sopimusta rekisterinpitäjän ja käsittelijän välillä, mutta sopimuksen sisältö on yhtä tärkeä kuin sen olemassaolo. Sopimuksesta puuttuvat usein tarkentavat määräykset alihankkijoiden käytöstä, tietojen poistamisesta sopimuksen päättyessä tai tietoturvaloukkauksista ilmoittamisen aikataulusta. Nämä puutteet voivat johtaa tilanteeseen, jossa kumpikaan osapuoli ei tiedä, kenen vastuulla toiminta on kriisitilanteessa. Sopimuksen läpikäyminen ennakoivasti on keino hallita tätä riskiä ennen kuin ongelma konkretisoituu.
Rekisterinpitäjä on luonnollinen henkilö, oikeushenkilö, viranomainen tai muu toimija, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä puolestaan käsittelee tietoja rekisterinpitäjän lukuun ja sen antamien ohjeiden mukaisesti. Molemmat roolit on määritelty EU:n yleisessä tietosuoja-asetuksessa (GDPR).
Käytännössä rekisterinpitäjä on se taho, joka vastaa siitä, että henkilötietojen käsittely on lainmukaista. Se päättää esimerkiksi, mitä asiakastietoja kerätään, mihin tarkoitukseen ja kuinka kauan niitä säilytetään. Käsittelijä toteuttaa nämä päätökset teknisesti tai operatiivisesti, mutta ei tee niitä itsenäisesti.
Tyypillisiä käsittelijöitä ovat esimerkiksi pilvipalveluntarjoajat, palkanlaskentapalvelut tai markkinointiautomaatioalustat, jotka käsittelevät asiakkaidensa puolesta henkilötietoja ilman omaa intressiä niiden hyödyntämiseen.
Keskeisin ero on päätösvalta: rekisterinpitäjä päättää, miksi henkilötietoja käsitellään ja millä tavoin. Käsittelijällä ei ole tätä harkintavaltaa, vaan se toimii yksinomaan rekisterinpitäjän ohjeiden mukaan. Rekisterinpitäjällä on myös laajempi oikeudellinen vastuu tietosuoja-asetuksen noudattamisesta.
Rekisterinpitäjän vastuulle kuuluu muun muassa käsittelyn oikeusperusteen varmistaminen, rekisteröidyille tiedottaminen sekä tietosuojaa koskevien pyyntöjen käsittely. Käsittelijä on velvollinen noudattamaan rekisterinpitäjän ohjeita ja toteuttamaan asianmukaiset tekniset ja organisatoriset turvatoimet.
Vaikka käsittelijä ei kanna päävastuuta, GDPR asettaa myös sille suoria velvoitteita, kuten velvollisuuden pitää kirjaa käsittelytoimista ja ilmoittaa rekisterinpitäjälle tietoturvaloukkauksista viipymättä. Käsittelijä voi myös joutua suoraan valvontaviranomaisen toimenpiteiden kohteeksi, jos se rikkoo asetuksen vaatimuksia.
Roolin tunnistamisessa ratkaiseva kysymys on: tekeekö yritys itsenäisiä päätöksiä henkilötietojen käsittelyn tarkoituksesta? Jos kyllä, kyseessä on todennäköisesti rekisterinpitäjä. Jos yritys käsittelee tietoja ainoastaan toisen osapuolen ohjeiden mukaan ilman omaa harkintavaltaa, se toimii käsittelijänä.
Arvioinnissa huomioitavia tekijöitä ovat muun muassa:
Pelkästään sopimuksen otsikko tai nimike ei ratkaise roolia. Euroopan tietosuojaneuvosto on todennut, että roolin arviointi perustuu tosiasialliseen toimintaan, ei siihen, miten osapuolet ovat itsensä sopimuksessa nimenneet. Tämä on syy, miksi käytännön toiminnan analysointi on arvioinnin lähtökohta.
Kyllä, sama yritys voi olla samanaikaisesti rekisterinpitäjä yhdessä käsittelytoimessa ja henkilötietojen käsittelijä toisessa. Rooli määräytyy aina suhteessa tiettyyn käsittelytoimeen ja toiseen osapuoleen, ei yrityksen yleisen aseman perusteella.
Esimerkki: IT-palveluyritys voi toimia käsittelijänä asiakkaidensa henkilötietojen osalta, mutta samaan aikaan rekisterinpitäjänä omien työntekijöidensä tietojen käsittelyssä. Lisäksi GDPR tunnistaa käsitteen yhteinen rekisterinpitäjä, joka syntyy, kun kaksi tai useampi toimija määrittelee yhdessä käsittelyn tarkoitukset ja keinot.
Yhteisten rekisterinpitäjien on tehtävä keskinäinen järjestely, jossa määritellään kummankin vastuut. Tämä tilanne on yleinen esimerkiksi konserneissa tai yhteismarkkinointikampanjoissa, joissa useampi organisaatio hyödyntää samaa asiakasrekisteriä.
GDPR:n 28 artikla edellyttää, että rekisterinpitäjän ja käsittelijän välillä on kirjallinen tietojenkäsittelysopimus. Sopimuksessa on määriteltävä käsittelyn kohde, kesto, luonne ja tarkoitus sekä käsiteltävien henkilötietojen tyyppi ja rekisteröityjen ryhmät.
Sopimuksen vähimmäissisältöön kuuluu muun muassa:
Käytännössä sopimus toimii myös vastuunjakodokumenttina: se selkeyttää, kumpi osapuoli vastaa mistäkin velvoitteesta. Hyvin laadittu sopimus suojaa molempia osapuolia, jos tietosuojaviranomainen tutkii käsittelytoimia tai rekisteröity esittää vaatimuksia.
Roolin väärinymmärtäminen voi johtaa tilanteeseen, jossa yritys laiminlyö sille kuuluvia velvoitteita tietämättään. Tietosuojaviranomainen voi määrätä hallinnollisen sakon, joka GDPR:n nojalla voi olla jopa 20 miljoonaa euroa tai neljä prosenttia yrityksen vuotuisesta maailmanlaajuisesta liikevaihdosta.
Käytännön seuraukset voivat ilmetä usealla tavalla:
Roolin epäselvyys aiheuttaa myös sopimuksellisia riskejä: jos käsittelysopimuksessa on aukkoja, riitatilanteessa voi olla vaikea osoittaa, kenen vastuulle tietty velvoite kuuluu. Me Hedman Partnersilla autamme yrityksiä arvioimaan GDPR-roolinsa ja varmistamaan, että tietojenkäsittelysopimukset vastaavat asetuksen vaatimuksia. Oikeudellinen arviointi on aina tilannekohtaista, ja lopputulokseen vaikuttavat yrityksen toimiala, käsiteltävien tietojen tyyppi sekä liiketoimintasuhteiden rakenne.