Käsittelyyn osallistuvat osapuolet

17.10.2022 – Ohjesivut

Tietosuoja-asetus asettaa yrityksille erilaisia velvollisuuksia riippuen siitä, missä roolissa yritys käsittelee henkilötietoja. Mahdollisia tietosuoja-asetuksessa määriteltyjä rooleja ovat rekisterinpitäjä, yhteisrekisterinpitäjä ja henkilötietojen käsittelijä.

Rekisterinpitäjä määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä toimii rekisterinpitäjän ohjeiden mukaisesti ja sen alaisuudessa.

Henkilötietojen käsittelijä voi olla esimerkiksi IT-palveluntarjoaja, joilla on pääsy rekisterinpitäjän henkilötietoihin. Rekisterinpitäjän tulee tehdä käsittelijän kanssa sopimus tai muu oikeudellinen asiakirja, jossa määritellään kunkin osapuolen velvollisuudet ja joka kattaa tietosuoja-asetuksen 28 artiklan edellyttämän tietosisällön.

Lue lisää käsittelijän roolista ja velvollisuuksista tietosuojavaltuutetun toimiston verkkosivuilta:

Tietosuojavaltuutetun toimisto on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista.

Euroopan tietosuojaneuvoston ohjeet

Euroopan tietosuojaneuvosto on riippumaton EU:n elin, joka vastaa tietosuojasääntöjen yhdenmukaisesta soveltamisesta Euroopan unionissa ja edistää EU:n tietosuojaviranomaisten välistä yhteistyötä.

Tietosuojavaltuutetun toimiston päätökset

Henkilötietojen käsittelyn osallistuvien osapuolten rooleihin on otettu kantaa muun muassa seuraavissa tietosuojavaltuutetun toimiston päätöksissä:

  • Henkilötietojen käsittelyn vaikutustenarviointi, käsittelyperuste ja rekisteröityjen informointi Apulaistietosuojavaltuutettu katsoi, että rekisterinpitäjä ei ollut pystynyt osoittamaan, että henkilötietojen käsittely turvakameravalvonnan yhteydessä vastasi yleisen tietosuoja-asetuksen oikeutettua etua koskevia vaatimuksia. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä oli informoinut puutteellisesti kanta-asiakasohjelman yhteydessä tapahtuvan automaattisen päätöksenteon olemassaolosta ja sitä koskevasta henkilötietojen käsittelystä. Apulaistietosuojavaltuutettu katsoi myös, että rekisterinpitäjä ei ollut osoittanut täyttäneensä yleisen tietosuoja-asetuksen velvoitteita koskien vaikutustenarviointia ja selostetta käsittelytoimista. Apulaistietosuojavaltuutettu havaitsi puutteita myös osapuolten roolien määrittelyä, käsittelyn informointia ja tietojen minimointia koskevien tietosuoja-asetuksen velvoitteiden toteuttamisessa (8393/161/2019).