Tämä sivu on osa Opetushallituksen tietosuojaopasta kasvatuksen, opetuksen ja koulutuksen järjestäjille. Linkityksen tietosuojaoppaan muihin aiheisiin löydät sivun lopusta.
Näppäimistö ja laskin
Kuva: Edar / Pixabay

Henkilötietojen käsittelyyn liittyvien velvoitteiden noudattaminen edellyttää yleensä erityisasiantuntemusta lainsäädännöstä sekä alan käytänteistä. Tämän vuoksi rekisterinpitäjien ja henkilötietojen käsittelijöiden on tiettyjen edellytysten täyttyessä nimitettävä tietosuojavastaava, jonka tehtävänä on auttaa rekisterinpitäjää ja henkilötietojen käsittelijää tietosuojalainsäädännön noudattamisessa.

Toiminnan järjestäjän on nimitettävä tietosuojavastaava silloin, kun järjestäjä on viranomainen tai muu julkishallinnon toimija. Yksityisellä sektorilla toiminnan järjestäjän on nimitettävä tietosuojavastaava, jos järjestäjän ydintehtävät muodostuvat laajamittaisesta, säännöllisestä ja järjestelmällisestä seurannasta tai laajamittaisesta erityisten henkilötietojen käsittelystä. Mikäli järjestäjä katsoo, ettei sillä ole velvollisuutta tietosuojavastaavan nimittämiseen, ratkaisun perustelut tulisi dokumentoida osoitusvelvollisuuden noudattamiseksi.

Usealle viranomaiselle, julkishallinnon elimelle tai organisaatiolle voidaan nimittää yksi tietosuojavastaava, mutta rekisterinpitäjän on tällöin varmistettava, että tietosuojavastaava voi hoitaa tehtävänsä tehokkaasti tarvittaessa esimerkiksi tiimin avustuksella, vaikka hänet olisi nimitetty useampaa tahoa varten. Esimerkiksi kunnassa yhden tietosuojavastaavan nimittämistä voidaan näiden edellytysten täyttyessä pitää riittävänä, eikä tietosuojavastaavaa tarvitse silloin nimittää erikseen jokaiselle hallintokunnalle tai kunnalliselle päiväkodille, koululle tai oppilaitokselle. Toiminnan järjestäjä voi kuitenkin niin halutessaan osoittaa tietosuojaan liittyviä työtehtäviä tai koordinoida niitä yksittäisille henkilökunnan jäsenille. Näistä henkilöistä ei kuitenkaan voida käyttää tietosuojavastaava-nimitystä, ellei kyseessä ole tosiasiallisesti tietosuoja-asetuksessa tarkoitettu tietosuojavastaava.

Tietosuojavastaavaa nimitettäessä tulee huomioida henkilön ammattipätevyys, asiantuntemus tietosuojalainsäädännöstä ja alan käytänteistä sekä valmiudet hoitaa hänelle kuuluvat tehtävät. Tarvittavan erityisasiantuntemuksen taso tulee määritellä etenkin toiminnan järjestäjän käsittelytoimien ja käsiteltävien henkilötietojen edellyttämän suojan perusteella. Jos järjestäjän suorittama henkilötietojen käsittely on esimerkiksi erityisen monimutkaista, tietosuojavastaavan tehtävien hoitaminen voi edellyttää tavallista enemmän asiantuntemusta. Tietosuojavastaavana toimiminen ei kuitenkaan edellytä tietyn erikseen säädetyn tutkinnon suorittamista.

Takaisin ylös

Toiminnan järjestäjän tulee luoda edellytykset tietosuojavastaavan tehtävien asianmukaiselle hoitamiselle. Järjestäjän on muun muassa varmistettava, että tietosuojavastaava otetaan asianmukaisesti ja riittävän ajoissa mukaan kaikkien henkilötietojen suojaa koskevien kysymysten käsittelyyn. Tietosuojavastaavaa on myös tuettava tehtävässään antamalla tälle tarvittavat resurssit tehtävien hoitamiseksi ja asiantuntemuksen ylläpitämiseksi. Lisäksi tietosuojavastaavalle tulee antaa pääsy henkilötietoihin ja käsittelytoimiin hänelle kuuluvien tehtävien hoitamista varten.

Toiminnan järjestäjän on varmistettava, että tietosuojavastaava voi hoitaa tehtävänsä riippumattomasti. Tämän turvaamiseksi järjestäjän tulee huolehtia erityisesti siitä, ettei tietosuojavastaavalle anneta ja ettei hän ota vastaan riippumattomuutta vaarantavia ohjeita tehtäviensä hoitamisen yhteydessä. Tietosuojavastaavaa ei voida esimerkiksi määrätä tulkitsemaan tietosuojalainsäädäntöä tietyllä tavalla tai ohjeistaa, minkälaisia tuloksia olisi saavutettava (kuten täyttyvätkö edellytykset vaikutustenarvioinnille ja onko ennen käsittelyä toteutettava tietosuojavaltuutetun ennakkokuuleminen).

Tietosuojavastaavaa ei saa erottaa tai rangaista vain, koska hän on hoitanut tehtäviään. Tietosuojavastaavalle ei myöskään voida antaa sellaisia muita tehtäviä tai vastuita, jotka voisivat aiheuttaa eturistiriitoja tämän tehtävän kanssa. Eturistiriitoja voi syntyä esimerkiksi silloin, jos tietosuojavastaavaksi nimitetään johtavassa asemassa oleva henkilö, jolla on organisaatiossa asema, jossa hän voi määritellä henkilötietojen käsittelyn tarkoitukset ja keinot.

Takaisin ylös

Tietosuojavastaavan tehtäviin kuuluu muun muassa suora raportoiminen organisaation ylimmälle johdolle. Tämän lisäksi rekisteröidyt voivat ottaa yhteytä tietosuojavastaavaan kaikissa asioissa, jotka liittyvät heidän henkilötietojensa käsittelyyn ja rekisteröidyn oikeuksien käyttämiseen. Tästä johtuen tietosuojavastaavan yhteystietojen tulee olla helposti rekisteröityjen saatavilla. Yhteydenottoja varten voidaan tarjota asiakaspalvelunumeroa, yhteydenottolomaketta ja sähköpostiosoitetta. Tietosuojavastaan nimen ilmoittaminen ei ole pakollista ja jää siten organisaation harkintaan.

Tietosuojavastaavan nimenomaisiin tehtäviin kuuluu

  • antaa tietoja ja neuvoja organisaation sisällä tietosuojalainsäädännön noudattamisesta,
  • seurata henkilötietojen käsittelyä sekä siihen liittyviä menettelytapoja, ml. vastuunjako, tiedon lisääminen ja käsittelyyn osallistuvan henkilöstön koulutus sekä tähän liittyvät tarkastukset,
  • antaa pyydettäessä neuvoja tietosuojan vaikutustenarvioinnin tekemisestä ja valvoa vaikutustenarvioinnin toteutusta, sekä
  • tehdä yhteistyötä tietosuojavaltuutetun toimiston kanssa sekä toimia yhteyspisteenä käsittelyyn liittyvissä kysymyksissä.

Tietosuojavastaavan on tehtäviään suorittaessaan otettava asianmukaisesti huomioon käsittelytoimiin liittyvät riskit käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoituksen näkökulmasta. Tietosuojavastaavaa sitoo lisäksi hänen tehtäväänsä koskeva salassapitovelvollisuus unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. Toiminnan järjestäjän tulisi huomioida, että vaikka tietosuojavastaava vastaa tehtäviensä asianmukaisesta hoitamisesta, hän ei ole henkilökohtaisessa vastuussa tietosuojalainsäädännön noudattamisesta organisaatiossa. Tämä vastuu kuuluu toiminnan järjestäjälle.

Takaisin ylös

Käytännössä huomioitavia asioita:

  • Tietosuojavastaavan nimittämisestä, asemasta ja tehtävistä säädetään tietosuoja-asetuksessa, eikä näistä velvoitteista voida poiketa.
  • Tietosuojavastaava voi olla palvelussuhteessa järjestäjään tai järjestäjä voi ostaa tietosuojavastaavan palveluita palvelusopimuksen nojalla.
  • Tietosuojavastaava on oltava nimitettynä myös tietosuojavastaavan loma-aikoina sekä henkilövaihdosten ajan.
  • Toiminnan järjestäjän tulee ilmoittaa tietosuojavastaavan tiedot ja niitä koskevat muutokset tietosuojavaltuutetun toimistolle.
  • Järjestäjä voi nimittää tietosuojavastaavan myös vapaaehtoisesti. Tietosuojavastaavaan sovelletaan silloin tietosuoja-asetuksen mukaisia nimitystä, asemaa ja tehtäviä koskevia säännöksiä samalla tavoin kuin tilanteessa, jossa nimittäminen on pakollista.
Takaisin ylös