Miten GDPR tulee huomioida hankintasopimuksessa? OSA II

Edellisessä osassa tarkastelimme yleisiä edellytyksiä GDPR:n huomioimiseksi hankintasopimuksessa. Tällä kertaa sukellamme suoraan tietosuoja-asetuksen vaatimuksiin ja erityisesti sen 28 artiklaan, jonka sisältönä on henkilötietojen käsittelijän velvoitteet ja se mitä sopimuksissa on sovittava näiden velvoitteiden osalta.

Tässä kirjoituksessa käsitellään pääosin tavanomaisinta hankintatilannetta, jossa toimittaja toimii käsittelijänä ja asiakas rekisterinpitäjänä. Vaatimukset koskevat mitä tahansa hankintasopimusta lajista riippumatta, ellet ole aivan varma että yhtään henkilötietoa ei käsitellä sopimusaikana. Tällaisesta ei voi kyllä todellisuudessa olla kovinkaan varma ikinä, joten järkevintä on viedä nämä asiat joka sopimukseen viimeistään nyt.

Typistäen sanottuna tietosuoja-asetuksen 28 artiklassa edellytetään rekisterinpitäjän ja käsittelijän välisessä sopimuksessa sovittavan ainakin seuraavista asioista:

  1. Käsittelyn kohde ja kesto:  Eli sopimuksen piirissä olevien henkilötietojen kuvaus (voi olla hyvin yleisluontoinenkin) ja kesto. Kestossa tulee huolehtia myös siitä, että henkilötietojen säilytysajat on myös sovittu.
  2. Käsittelyn luonne ja tarkoitus: Eli sopimuksen tarkoitus: asiakaspalvelu/it-palvelu/toimitussopimus ja se miksi henkilötietoja käsitellään: esimerkiksi “palvelun toteuttamiseksi hankintayksikölle”
  3. Henkilötietojen tyyppi ja rekisteröityjen ryhmät
  4. Rekisterinpitäjän velvollisuudet ja oikeudet: eli ne yleiset sopimusvelvoitteet mitä asiakkaalla on toimittajaansa nähden: esimerkiksi velvollisuus maksaa, toimittaa oikeita tietoja ja oikeus tarkastaa toiminta, saada tasokasta palvelua jne..

Sopimuksessa on sovittava erityisesti, että henkilötietojen käsittelijä käsittelee henkilötietoja ainoastaan rekisterinpitäjän antamien kirjallisten ohjeiden mukaisesti. Samaten henkilötietoja ei myöskään saa siirtää (luovuttaa, antaa pääsyä jne.) EU:n ulkopuolelle ilman rekisterinpitäjän nimenomaista lupaa. Tämä lupa voidaan kuitenkin antaa myös “yleisluontoisesti” eli jokaista tehtävää siirtoa tai esimerkiksi alihankkijan käyttöä ei tarvitse hyväksyä erikseen.

Salassapidosta sovittava

Tavanomaisesti hankintasopimuksissa on salassapitovelvoite ja tietosuoja-asetus edellyttää että tämä salassapitovelvoite ulotetaan koskemaan myös henkilötietoja. Kannattaa kuitenkin huomioida, että tämä ei tosin aina ole täysin ongelmatonta, sillä kaikki henkilötiedot eivät ole automaattisesti salassa pidettäviä: esimerkiksi henkilön sähköposti on harvoin salainen koska se on hyvin monen osapuolen tiedossa ja usein julkisestikin saatavilla. Salassapitosäännöksissä todetaan nimittäin usein, että tieto ei ole salassa pidettävä, mikäli se on julkisesti saatavilla muualta kuin sopimusosapuolelta. Siksi olisi hyvä erikseen mainita vielä sopimuksessa, että käsiteltävät henkilötiedot ovat salassapidettäviä siitäkin huolimatta että ne ovat julkisesti muualta saatavilla. Salassapitovelvoitteen tulee ulottua myös tietoja käsittelevään henkilöstöön.

Salassapidon yhteyteen olennaisesti liittyy velvoite vaatia, että käsittelijällä on käytössään riittävät “organisatoriset ja tekniset” toimenpiteet henkilötietojen käsittelyn turvaamiseksi. Tästä on tarkemmin säädetty asetuksen 32 artiklassa ja kysymys on pitkälti ns. tietoturvaosaston hommista eli heidän tulisi varmistaa, että käsittelijä/toimittaja on riittävän tasokas käsittelemään tietoja.  Artikla 32:n velvollisuuksiin  sisältyy muun muassa velvollisuus kyetä palauttamaan tiedot saataville nopeasti, salata henkilötiedot tarvittaessa sekä riittävä testaus ja valvonta turvatoimien osalta.

Käsittelijällä laaja avustamisvelvoite

Rekisterinpitäjällä on tietosuoja-asetuksen myötä runsaasti velvollisuuksia rekisteröityjä kohtaan. Rekisteröidyllä on myös runsaasti oikeuksia, jotka rekisterinpitäjä on velvollinen toteuttamaan. Tällaisia rekisteröityjen oikeuksia ovat esimerkiksi henkilön oikeus  saada pääsy tietoihinsa, poistaa tai oikaista tietoja tai oikeus siirtää tietonsa järjestelmästä toiseen. Vaikka nämä velvoitteet koskevat rekisterinpitäjää, ne tulee velvoitteet on hyvä ottaa huomioon myös hankintasopimuksessa jotta toimittaja pystyy avustamaan yllämainituissa tilanteissa.

‘Rekisterinpitäjä ei nimittäin voi vedota siihen, että tietoja ei voida esimerkiksi poistaa, koska “toimittajan järjestelmä ei siihen taivu”.

Tietosuoja-asetuksen 28 artiklassa on edellytetty, että toimittajan, toimiessaan käsittelijänä, on annettava tukea ja apua rekisterinpitäjälle jotta tämä pystyy täyttämään tietosuoja-asetuksen käsittelijälle asettamia vaatimuksia.  Käsittelijän on avustettava rekisterinpitäjää muun muassa seuraavissa toimenpiteissä:

  1. avustaa rekisteröityjen pyyntöihin vastaamisessa;
  2. henkilötietojen käsittelyn vaikutuksenarvioinnissa;
  3. tietoturvaloukkauksista ilmoittaminen viranomaisille ja rekisteröidyille;
  4. rekisterinpitäjän osoitusvelvollisuuden täyttämisessä

Neljännen kohdan osalta asetus edellyttää käsittelijää myös sallimaan  rekisterinpitäjän tai muun rekisterinpitäjän valtuuttaman auditoijan suorittamat auditoinnit, kuten tarkastukset liittyen osoitusvelvollisuuteen. Tämä voi olla aika usein ongelma erityisesti pilvipalveluja hankittaessa ja hyvästä syystä: toimittajat harvoin haluavat kenen tahansa käveleskelemään omissa konesaleissaan.

On tärkeää, että kaikki nuo yllämainitut avustamisvelvoitteet on mainittu sopimuksessa, sillä ne ovat toimittajalle sellaisia asioita, jotka vaikuttavat varmasti hinnoitteluun.

Tietojen hävittäminen

Sopimuksen päättyessä käsittelijän on rekisterinpitäjän valinnan mukaan joko poistettava kaikki henkilötiedot tai palautettava henkilötiedot rekisterinpitäjälle ja poistaa olemassa olevat jäljennökset. Lue tarkemmin poistamisesta täältä. Tietosuoja-asetus kuitenkin sallii henkilötietojen säilyttämisen muun muassa lainsäädännöllisen velvoitteen täyttämiseksi, eli esimerkiksi kirjanpitolainsäädännön, verolainsäädännön tai vaikkapa rahanpesulainsäädännön vaatimusten vuoksi.

Tyypillinen ongelma ovat varmuuskopiot, sillä useat toimittajat käyttävät joissain järjestelmissä vielä nauhavarmistusta ja nimenomaisesti juuri yhden asiakkaan yksittäisten tietojen poistaminen voi olla vaikeata. Jos käsittelijä säilyttää tietoja, on tällöinkin noudatettava asetuksen käsittelyperiaatteita kuten esimerkiksi tietojen minimointia tai käyttötarkoitussidonnaisuutta.

Poistamisesta tulee siis sopia sopimuksessa riittävän tarkasti, jotta yllämainitut velvoitteet täyttyvät.

Alihankkijoiden käyttö

Sopimuksessa on hyvä olla maininta myös siitä, saako toimittaja käyttää alihankkijoita. On selvää, että tietosuoja-asetuksen perusteella asiakas eli rekisterinpitäjä on velvollinen olemaan tietoinen varsin tarkalla tasolla siitä, mitä osapuolia sen toimittajat käyttävät alihankkijoina. En kuitenkaan suosittele, että jokaisesta alihankkijasta pitäisi sopia erikseen, koska se ei vain ole käytännöllistä. Vain keskeisimpien henkilötietoja käsittelevien alihankkijoiden vaihdoista tulisi sopia osapuolten kesken.

Tietosuoja-asetuksen 28 artiklassa edellytetään, että henkilötiedon käsittelijä eli toimittaja velvoittaa myös alihankkijansa noudattamaan GDPR:n vaatimuksia sekä sopimusta toimittajan ja asiakkaan välillä. Näistä kahdesta ensimmäinen voi olla helppo vaatimus neuvotteluissa, toinen tulee olemaan vaikeampi, koska jotkut alihankkijat eivät moiseen helpolla suostu.

Toimittaja on vastuussa alihankkijansa lainmukaisesta henkilötietojen käsittelystä. Tietosuoja-asetuksen mekanismit tarkoittavat sitä, että mikäli toimittajan alihankkija ei täytä lainmukaisia velvollisuuksiaan, toimittaja on jo pelkästään tietosuoja-asetuksen perusteella vastuussa tällaisesta rikkeestä. Siitä huolimatta on hyvä huolehtia sopimuksessa siitä, että vastuu alihankkijoiden käytöstä sovitaan oikein eli siten että toimittaja vastaa alihankkijoiden suorituksistaan kuten omistaan.

Alihankkijoiden käytössä on hyvä tiedostaa, että “hyvämaineinen”, “suomalainen” ja “perinteinen” toimittajakin voi käyttää alihankkijoinaan yllättäviä tahoja. Jos esimerkiksi käyttämällä suomalaista toimittajaa automaattisesti ajattelee, että kaikki henkilötiedot pysyvät Suomessa, saattaa yllättyä. On hyvin tyypillistä, että tietoja tallennetaan pilvipalvelutarjoajien palvelimille ympäri maailmaa, vaikka “palvelu” vaikuttaisikin olevan Suomessa tai Euroopassa. Esimerkiksi Amazonin Web Services on niin suosittu ja ylivoimainen suorituskyvyltään ja hinnaltaan, että sitä käytetään erittäin laajasti palvelujen alustatoimittajana. Siksi on sopimusta laadittaessa hyvä selvittää riittävän perinpohjaisesti, missä tietoja tullaan säilyttämään käsittelyn lisäksi.

Se, että henkilötiedot ovat ympäri maailmaa ei ole tietosuojan näkökulmasta mikään ongelma, mutta on tärkeätä ymmärtää, että mikäli henkilötietoja säilytetään, luovutetaan tai edes katsellaan ETA-alueen ulkopuolelta, sopimuksessa tulee huolehtia riittävistä suojamekanismeista, kuten komission mallilausekkeista tai Privacy Shieldistä. Tietojen siirtoa ulkomaille käsitellään laajemmin seuraavassa GDPR Hankintasopimuksessa -postauksessa.

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

%d bloggers like this: