Sopimuksessa on kuvattava todellinen käsittely
Tietojenkäsittelysopimus, jota usein kutsutaan DPA:ksi, täydentää palvelusopimusta. Se tulee merkitykselliseksi, kun palveluntarjoaja käsittelee henkilötietoja asiakkaansa puolesta. Näin voi olla esimerkiksi hosting-, tuki-, uutiskirjeiden jakelu- tai pilvisovelluksen tapauksessa. Tietojen todellinen käyttö on tärkeää, ei asiakirjan otsikko.
Sopimuksen tulisi selventää vastuut. Se selittää muun muassa, mitä käsittelyä tilataan, mitä ohjeita sovelletaan ja miten palveluntarjoaja tukee tietosuojaa. Pitkä vakioteksti on tehoton, jos se kuvaa täysin eri tuotetta. Ostajien tulisi siksi lukea ehdot yhdessä tarjouksen, teknisen dokumentaation ja käyttötarkoitukseen liittyvien tietojen kanssa.
Se, onko kyseessä rekisterinpitäjän puolesta tapahtuva tietojenkäsittely ja mitkä erityisehdot vaaditaan, riippuu yksittäisestä suhteesta ja sovellettavasta laista. Yleinen tarkistuslista ei voi korvata tätä oikeudellista arviointia. Asiantuntija-apua on pyydettävä epäselvien roolien, arkaluonteisten tietojen tai epätavallisten käsittelytoimien tapauksissa. Hyvin määritellyt tietovirrat, vastuut ja sopimustiedot tarjoavat tälle luotettavan tosiasiallisen perustan.
Rekisterinpitäjillä ja käsittelijöillä on erilaiset roolit.
Rekisterinpitäjä määrittää käsittelyn tarkoitukset ja olennaiset keinot. Tietojen käsittelijä käsittelee henkilötietoja heidän puolestaan ja heidän dokumentoitujen ohjeidensa mukaisesti. Nämä termit kuvaavat tietosuojalainsäädännön mukaisia rooleja eivätkä luo yleistä hierarkiaa yritysten välille. Suuri alustan tarjoaja voi olla tietojen käsittelijä, kun taas pieni asiakas toimii rekisterinpitäjänä kyseisen käsittelyn osalta.
Roolit voivat vaihdella toiminnosta riippuen. Palveluntarjoaja voi käsitellä asiakastietoja toisen osapuolen puolesta, mutta käyttää tiettyjä sopimus- tai laskutustietoja omiin tarkoituksiinsa. Tällaisissa tapauksissa sen tulisi selittää, minkä roolin se ottaa missäkin prosesseissa. Yleinen lausunto siitä, että kaikkia tietoja käsitellään vain toisen osapuolen puolesta, ei ole kovin hyödyllinen, jos tuotekuvauksissa tai tietosuojaselosteissa mainitaan myös sen omat käyttötarkoitukset.
Sopimus ei voi muuttaa varsinaisia rooleja pelkästään muuttamalla nimikettä. Siksi ennen allekirjoittamista on oltava selvää, kuka päättää tietojen käytöstä. Jos palveluntarjoaja määrittää uuden tarkoituksen asiakkaasta riippumatta, se voi jäädä sovitun tietojenkäsittelyn ulkopuolelle. Tällaiset rajat edellyttävät ymmärrettävää selitystä, jotta vastuut, rekisteröityjen tiedot ja muut oikeusperusteet voidaan arvioida oikein.
Tietojen aihe, kesto ja tyypit vaativat erityisiä yksityiskohtia.
Sopimuksessa tulee selkeästi määritellä, mitä palveluita tarjotaan ja mitä henkilötietoja käsitellään. Yleiset lausunnot, kuten "sovittujen palveluiden tarjoaminen", eivät usein riitä ymmärtämään tietovirtaa. Tukijärjestelmän osalta yhteystiedot, viestien sisältö ja tekniset käyttötiedot voivat vaikuttaa. Rekisteröityjen luokkien, kuten asiakkaiden, työntekijöiden tai hakijoiden, tulisi myös vastata todellista käyttöä.
Käsittelyn tyyppi ja tarkoitus ovat yhtä tärkeitä. Tallentaminen, siirtäminen, arviointi ja poistaminen kuvaavat eri prosesseja. Tarkoitus selittää, miksi niitä tehdään, esimerkiksi tukipyyntöjen käsittelemiseksi tai asiakasalustan ylläpitämiseksi. Mitä tarkemmin tämä yhteys kuvataan, sitä helpompi on myöhemmin määrittää, kuuluuko uusi tuoteominaisuus edelleen sopimuksen piiriin vai vaatiiko se uuden päätöksen.
Keston on oltava palvelun ja poistoprosessin kannalta asianmukainen. Joskus käsittely jatkuu koko sopimuskauden ajan, kun taas varmuuskopiot säilyvät rajoitetun ajan. Tätä ei pitäisi hämärtää määräämättömällä säilytyksellä. Ostajien on saatava realistinen kuva siitä, milloin aktiiviset tiedot poistetaan, kuinka kauan tekniset kopiot säilyvät ja mitkä lakisääteiset velvoitteet saattavat estää välittömän poistamisen.
Ohjeiden on todella toimittava käytännössä.
Tietojen käsittelijöiden tulisi käsitellä henkilötietoja dokumentoitujen ohjeiden mukaisesti, ellei lakisääteinen velvoite toisin edellytä. Vakio-ohjelmistossa suuri osa näistä ohjeista on jo upotettu pääsopimukseen, tuotevalikoimaan ja asetuksiin. Tietojenkäsittelysopimuksen (DPA) tulisi heijastaa tätä. Yleislauseke mielivaltaisista yksittäisistä ohjeista on hyödytön, jos kukaan ei tiedä, minkä yhteyshenkilön kautta ja missä teknisessä kehyksessä ne voidaan toteuttaa.
Selvennä, mitkä muutokset muodostavat uuden ohjeen. Analytiikkatoiminnon aktivointi, tallennuspaikan muuttaminen tai säilytysajan pidentäminen voivat muuttaa käsittelyä. Joitakin asetuksia asiakas hallitsee, toisia vain palveluntarjoaja. Ostajien tulee ymmärtää, mitkä vaihtoehdot ovat käytettävissä ja mitkä niiden seuraukset ovat. Sopimus ei voi korvata puuttuvia tai harhaanjohtavia tuotekontrolleja abstrakteilla oikeuksilla.
Yleisen tietosuoja-asetuksen (GDPR) mukaan palveluntarjoajan on ilmoitettava, jos se pitää ohjetta laittomana. Sopimuksessa tulisi esittää käytännön menettely tällaisia tapauksia varten. Kenelle ilmoitetaan, mitä tapahtuu, kunnes asia on ratkaistu, ja mitkä käsittelytoimet voidaan keskeyttää? Selkeästi määritellyt yhteyshenkilöt ja eskalointikanavat ovat arvokkaampia kuin pelkästään oikeudellisen periaatteen toistaminen.
Luottamuksellisuuden ja turvallisuuden on oltava oikeassa suhteessa riskiin.
Palveluntarjoajan puolesta tietoja käsittelevien henkilöiden on oltava salassapitosopimusten sitomia tai heillä on oltava vastaava lakisääteinen velvoite. Ostajien on myös tärkeää ymmärtää, miten pääsyä rajoitetaan jokapäiväisessä käytössä. Edellyttääkö tuki vakio-oikeutta sisältöön vai myönnetäänkö pääsy vain tiettyihin tapauksiin? Roolien, käyttöoikeuksien ja lokien tulee olla linjassa luvatun palvelun kanssa.
Tekniset ja organisatoriset toimenpiteet kuvaavat tietojenkäsittelyn suojaa. Näitä voivat olla pääsynhallinta, salaus, varmuuskopiointi, palautus ja säännölliset tarkastukset. Pelkkä luettelo tunnetuista tietoturvatermeistä ei kerro paljoakaan niiden käytännön soveltamisesta. Ostajien tulisi voida nähdä, mitkä tiedot on suojattu ja milloin, kuka hallitsee avaimia tai pääsyä ja mitkä toimenpiteet todella koskevat valittua tuotetta.
Turvallisuus ei ole staattinen voimavara. Järjestelmät ja riskit kehittyvät palveluntarjoajien mukauttaessa infrastruktuuriaan. Sopimuksen tulisi mahdollistaa merkitykselliset parannukset ilman, että sovittua suojaustasoa hienovaraisesti alennetaan. Asiakkaiden on saatava riittävästi tietoa merkittävistä muutoksista. Se, mikä katsotaan merkittäväksi muutokseksi, riippuu palvelusta, mutta se voi sisältää uusia tallennuspaikkoja, erilaisia käyttötapoja tai keskeisen turvatoimenpiteen poistamisen.
Muiden palveluntarjoajien ei tule jäädä näkymättömiin.
Monet palveluntarjoajat eivät toimita palveluitaan yksin. He käyttävät datakeskuksia, sähköpostipalveluita tai tukipalveluyrityksiä, jotka voivat toimia lisätietojen käsittelijöinä. Tietojenkäsittelysopimuksessa (DPA) tulisi selventää, sovelletaanko erityistä vai yleistä valtuutusta. Yleisen valtuutuksen yhteydessä asiakkaille on ilmoitettava kaikista suunnitelluista muutoksista ja annettava heille aito mahdollisuus vastustaa niitä.
Luettelo lisätietojen käsittelijöistä on hyödyllinen vain, jos se pysyy ymmärrettävänä. Nimi, rooli ja käsittelypaikka auttavat arvioimaan, mitä osaa palvelusta yritys käsittelee. Pelkkä yritysten nimien kokoelma ilman selitystä hämärtää tiedonkulkua. Tulisi myös olla selvää, mistä ajankohtaiset tiedot löytyvät ja miten asiakkaille ilmoitetaan uusista tai korvatuista palveluntarjoajista.
Ensisijainen palveluntarjoaja on edelleen vastuussa siitä, että se asettaa olennaisesti samat tietosuojavelvoitteet lisätietojen käsittelijöilleen. Ostajien ei tarvitse neuvotella jokaisesta alihankintasopimuksesta itse, mutta heidän on saatava riittävä varmuus ketjusta. Uuden palveluntarjoajan vastustaminen ei saisi olla pelkästään teoreettinen. Sopimusseuraukset, mahdolliset vaihtoehdot ja tarvittaessa irtisanomisoikeus on selitettävä selkeästi ensisijaisen sopimuksen yhteydessä.
Rekisteröityjen oikeuksien ja tietosuojapoikkeamien tuen on oltava helposti saatavilla.
Ihmiset voivat käyttää henkilötietojaan koskevia oikeuksiaan. Rekisterinpitäjä on edelleen vastuussa tietojen käsittelystä, mutta tarvitsee usein tukea palveluntarjoajalta. Sopimuksessa tulisi kuvata, miten tiedot voidaan löytää, korjata, viedä tai poistaa. Itsepalvelutoiminnon osalta on tärkeää selventää, kattaako se kaikki asiaankuuluvat tiedot vai onko tarpeen tehdä lisäpyyntöjä palveluntarjoajalle.
Henkilötietojen tietoturvaloukkauksen sattuessa tietojen käsittelijän on ilmoitettava siitä rekisterinpitäjälle ilman aiheetonta viivytystä sen jälkeen, kun se on tullut tietoiseksi siitä. Ostajan kannalta on ratkaisevan tärkeää, mitä tietoja he saavat ja miten he ne vastaanottavat. Vaikeasti löydettävissä oleva tukilomake voi tuhlata arvokasta aikaa. Nimetyt hätäyhteyshenkilöt ja jatkuvat päivitykset auttavat arvioimaan vaikutusta, tietoturvaloukkauksen kohteena olevia tietoja ja toteutettuja toimenpiteitä.
Tukea voidaan tarvita myös tietosuojan vaikutustenarviointeihin ja valvontaviranomaisten tiedusteluihin. Tuen laajuus ja käytännön rajoitukset riippuvat palvelusta ja saatavilla olevista tiedoista. Siksi yleisten tukilupausten tulisi olla linjassa tukiehtojen ja mahdollisten kustannusten kanssa. Ostajien on kyettävä ymmärtämään, mitä todisteita toimitetaan vakiona ja milloin erityistutkimuksesta tai asiantuntija-avusta sovitaan erikseen.
Tietojen poistaminen, palauttaminen ja auditointi edellyttävät realistista prosessia.
Palvelun päättymisen jälkeen henkilötiedot tulisi poistaa tai palauttaa rekisterinpitäjän harkinnan mukaan, ellei niiden säilyttämiseen ole lakisääteistä velvollisuutta. Tämän valinnan on oltava teknisesti toteuttamiskelpoinen. Ostajien tulisi tietää, missä muodossa he saavat tiedot, kuinka kauan vienti on saatavilla ja milloin aktiiviset järjestelmät tyhjennetään. Lukukelvoton vientimuoto tekee virallisesta palautusoikeudesta käytännössä arvottoman.
Varmuuskopioita ei usein voida poistaa yksittäin välittömästi. Tällaisissa tapauksissa tarvitaan rajoitettua tallennustilaa, suojausta normaalilta käytöltä ja jäljitettävää poistorutiinia. Myöhempää poistamista normaalin syklin aikana koskevissa lausunnoissa tulisi määrittää ymmärrettävä aikaraja. On myös oltava selvää, noudattavatko lokit, tukitiedostot ja testikopiot samoja sääntöjä vai säilytetäänkö niitä pidempään muiden velvoitteiden vuoksi.
Palveluntarjoajan on toimitettava tietoja, jotka osoittavat velvoitteidensa noudattamisen ja helpottavat tarkastuksia. Laajasti käytetyissä pilvipalveluissa käytetään tähän tarkoitukseen usein riippumattomia raportteja, sertifikaatteja ja standardoituja tiedonantoja. Nämä voivat olla informatiivisia, jos laajuus, aikataulu ja asianmukainen palvelu ovat asianmukaisia. Kattavampi tarkastusoikeus on edelleen tärkeä, mutta siinä tulisi ottaa huomioon muiden asiakkaiden turvallisuus, luottamuksellisuus ja oikeasuhteisuus.
Pelkkä tietojenkäsittelysopimus (DPA) ei ratkaise kansainvälisiä tiedonsiirtoja.
Jos tietoja käsitellään Euroopan talousalueen (ETA) ulkopuolella tai ne asetetaan saataville sieltä, herää lisäkysymyksiä. Artiklan 28 mukainen DPA ei automaattisesti riitä. Ostajien tulisi olla tietoisia käsittelypaikoista, mahdollisesta etäkäytöstä ja mukana olevista yrityksistä. Pelkkä maininta "EU-hosting" ei riitä, jos tukea tai hallintoa voidaan säännöllisesti suorittaa kolmannesta maasta.
Maasta ja erityisistä olosuhteista riippuen riittävyyspäätös, mallisopimuslausekkeet tai muut välineet voivat olla merkityksellisiä. Asianmukainen oikeusperusta ja mahdolliset tarvittavat lisätoimenpiteet on arvioitava kunkin yksittäisen siirron osalta. Sopimuksessa ei tule sekoittaa eri asiakirjoja, joilla on samankaltaisia lyhenteitä. Tietojenkäsittelysopimus (DPA) säätelee rekisterinpitäjän puolesta tapahtuvaa tietojenkäsittelyä, kun taas vakiosopimuslausekkeet käsittelevät erilaisia tiedonsiirtoon liittyviä kysymyksiä sovelluksesta riippuen.
Muutokset on myös otettava huomioon. Uusi alihankkija tai tukipalvelu voi muuttaa olemassa olevaa arviointia. Asiakkaat tarvitsevat siksi tietoa ennen uuden käsittelyn aloittamista ja riittävästi aikaa asianmukaiseen tarkasteluun. Oikeudellinen neuvonta on erityisen suositeltavaa monimutkaisissa tiedonsiirtoketjuissa. Selkeät sopimustiedot luovat tosiasiallisen perustan, mutta eivät korvaa tarvittavaa oikeudellista arviointia.
Hyvä sopimus voidaan selittää käyttämällä itse tuotetta.
Ennen allekirjoittamista asiantuntevan henkilön tulisi pystyä kuvaamaan tietovirta yksinkertaisesti. Mitä tietoja palveluntarjoajalle päätyy, mihin niitä käytetään, kenellä on pääsy niihin ja milloin ne poistetaan? Vastausten on oltava yhdenmukaisia tuotteen, pääsopimuksen, tietojenkäsittelysopimuksen (DPA) ja tietoturvadokumentaation osalta. Epäjohdonmukaisuudet vaativat selvennystä, eikä oletusta siitä, että tarkempi liite ratkaisee kaiken automaattisesti.
Tietosuojan, tietoturvan, hankinnan ja vastuullisen osaston on oltava mukana riskitason mukaan. Jokainen näkökulma tunnistaa erilaisia aukkoja: oikeudelliset roolit, suojatoimet, sopimusseuraamukset tai sopimaton tuoteominaisuus. Pienen, vähäriskisen palvelun osalta tarkistus voi pysyä hallittavana. Laaja tai arkaluonteinen käsittely vaatii perusteellisempaa analyysia. Avainasemassa on asianmukainen tarkistus, ei sama määrä dokumentaatiota jokaiselle palveluntarjoajalle.
Selkeä ja ymmärrettävä DPA ei takaa turvallisuutta yksinään, mutta se tekee todennettavissa olevista odotuksista läpinäkyviä. Se yhdistää tilatun käsittelyn ohjeisiin, suojatoimiin, tukeen, alihankkijoihin ja käytön loppuun. Kun nämä lausunnot vastaavat tarkasti todellista palvelua, ostajat voivat paremmin arvioida vastuita ja tunnistaa muutokset aikaisemmin. Avoimet oikeudelliset kysymykset tulisi ratkaista pätevän oikeudellisen neuvonnan avulla, ei luottamalla vakiosopimuslausekkeita koskeviin oletuksiin.