Tietojenkäsittelysopimus eli DPA (Data Processing Agreement) tarvitaan, kun palveluntarjoaja käsittelee henkilötietoja yrityksesi puolesta henkilötietojen käsittelijänä. GDPR:n 28 artikla edellyttää kirjallista, myös sähköisessä muodossa mahdollista, sitovaa sopimusta tai muuta lain mukaista oikeudellista asiakirjaa. Ehdot voivat sisältyä palvelusopimukseen tai sen liitteeseen: erillistä, itsenäistä sopimusasiakirjaa ei aina tarvita. Pelkkä yleinen lupaus noudattaa tietosuojaa ei riitä.
Sopimuksen laiminlyönti on selkeä rikkomus tietosuoja-asetusta vastaan, ja se asettaa yrityksesi alttiiksi tuntuville seuraamuksille sekä vakavalle maineriskille tietoturvaloukkauksen sattuessa. Vastuu tietosuojan toteutumisesta on viime kädessä rekisterinpitäjällä, mutta myös käsittelijä on vastuussa omasta GDPR:n vastaisesta toiminnastaan.
Rekisterinpitäjä vai henkilötietojen käsittelijä? Vastuun määrittely on kaiken perusta
Tarve DPA-sopimukselle syntyy roolijaosta. On välttämätöntä ymmärtää, toimiiko yrityksesi rekisterinpitäjänä vai käsittelijänä, sillä vastuut ja velvollisuudet eroavat perustavanlaatuisesti.
Rekisterinpitäjä (Controller) on se, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Rekisterinpitäjä päättää, miksi ja miten henkilötietoja kerätään ja käytetään. Se kantaa päävastuun tietosuojan toteutumisesta suhteessa henkilöön, jonka tietoja käsitellään.
Tyypillisiä rekisterinpitäjiä ovat:
- Työnantaja suhteessa työntekijöidensä tietoihin.
- Verkkokauppa suhteessa asiakkaidensa yhteys- ja tilaustietoihin.
- Mikä tahansa yritys suhteessa omaan asiakasrekisteriinsä.
Henkilötietojen käsittelijä (Processor) on taho, joka käsittelee henkilötietoja rekisterinpitäjän lukuun ja tämän antamien ohjeiden mukaisesti. Käsittelijä ei omista dataa eikä voi käyttää sitä omiin tarkoituksiinsa.
Tyypillisiä henkilötietojen käsittelijöitä ovat:
- Pilvipalveluiden tarjoajat (esim. Microsoft Azure, Amazon Web Services).
- SaaS-palvelut, kuten CRM-järjestelmät, sähköpostimarkkinointityökalut ja taloushallinnon ohjelmistot.
- Ulkoistettu tilitoimisto tai palkanlaskenta.
- IT-tukikumppani, jolla on pääsy henkilötietoja sisältäviin järjestelmiin.
Nyrkkisääntö on yksinkertainen: jos ostat palvelun, johon kuuluu yrityksesi puolesta tapahtuvaa henkilötietojen tallentamista, muokkaamista tai muuta käsittelyä, olet rekisterinpitäjä ja palveluntarjoaja on käsittelijä. Tällöin DPA-sopimus on pakollinen.
Milloin DPA-sopimus on pakollinen? Konkreettiset esimerkit arjesta
DPA-sopimuksen tarve ei riipu yrityksen koosta. Yksinyrittäjä, joka käyttää pilvipohjaista laskutusohjelmaa, on aivan yhtä lailla velvollinen solmimaan DPA-sopimuksen palveluntarjoajan kanssa kuin suuryritys, joka ulkoistaa palkanlaskentansa.
Seuraavissa tilanteissa tietojenkäsittelysopimus on lähes poikkeuksetta välttämätön:
- IT- ja pilvipalvelut: Palvelin- ja hosting-palvelut, datan varmuuskopiointi, SaaS-alustat (Software as a Service) ja ulkoinen IT-tuki.
- Markkinointi ja viestintä: Sähköpostimarkkinointijärjestelmät (esim. Mailchimp), CRM-alustat (esim. Pipedrive, HubSpot), analytiikkatyökalut ja markkinointitoimistot, jotka käsittelevät asiakasdataa kampanjoissa.
- Talous- ja henkilöstöhallinto: Ulkoistetut tilitoimistot ja palkanlaskijat, laskutus- ja kirjanpito-ohjelmistot sekä rekrytointijärjestelmät (ATS).
- Asiakaspalvelu: Ulkoiset call centerit, chatbot-palvelut ja tiketöintijärjestelmät, joihin tallentuu asiakkaiden henkilötietoja.
Listaa voisi jatkaa loputtomiin. Oleellista on tunnistaa, missä kaikkialla yrityksesi vastuulla olevia henkilötietoja liikkuu ja kuka niihin pääsee käsiksi.
Mitä DPA-sopimuksen tulee vähintään sisältää? GDPR:n vaatimuslista
Tietosuoja-asetus määrittelee tarkasti DPA-sopimuksen vähimmäissisällön. Pelkkä toteamus tietosuojan noudattamisesta ei riitä, vaan sopimuksessa on kuvattava osapuolten velvollisuudet yksityiskohtaisesti. Varmista, että sopimuksestasi löytyvät ainakin seuraavat kohdat:
-
Käsittelyn perustiedot: Sopimuksessa on määriteltävä käsittelyn kohde, kesto, luonne ja tarkoitus sekä käsiteltävien henkilötietojen tyypit ja rekisteröityjen ryhmät. Esimerkiksi: ”Asiakasrekisterin yhteystietojen (nimet, sähköpostiosoitteet) käsittely uutiskirjeiden lähettämistä varten pääsopimuksen voimassaolon ajan.”
-
Käsittelijän velvollisuus toimia ohjeiden mukaan: Käsittelijä saa käsitellä tietoja ainoastaan rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti. Tämä on sopimuksen ydin: se estää käsittelijää käyttämästä dataa omiin tarkoituksiinsa.
-
Salassapitovelvollisuus: Käsittelijän on varmistettava, että kaikki henkilötietoja käsittelevät henkilöt (esim. sen omat työntekijät) ovat sitoutuneet noudattamaan salassapitovelvollisuutta.
-
Tietoturvatoimenpiteet: Sopimuksessa on kuvattava tekniset ja organisatoriset toimenpiteet, joilla käsittelijä varmistaa tietoturvan riittävän tason. Näitä voivat olla esimerkiksi tietojen pseudonymisointi ja salaaminen, järjestelmien vikasietoisuus sekä säännöllinen testaus ja arviointi.
-
Alikäsittelijöiden käyttö: Käsittelijä ei saa käyttää toista käsittelijää (alikäsittelijää) ilman rekisterinpitäjän ennalta antamaa kirjallista lupaa. Sopimuksessa on määriteltävä, annetaanko yleinen lupa alikäsittelijöiden käyttöön vai vaaditaanko jokaiseen muutokseen erillinen hyväksyntä. Käsittelijä on täysimääräisesti vastuussa myös alikäsittelijöidensä toiminnasta.
-
Avustamisvelvollisuus: Käsittelijän on autettava rekisterinpitäjää vastaamaan rekisteröityjen pyyntöihin (esim. pyyntö omien tietojen tarkastamisesta tai poistamisesta). Lisäksi käsittelijän on avustettava tietoturvaloukkausten ilmoittamisessa ja tietosuojaa koskevien vaikutustenarviointien (DPIA) tekemisessä.
-
Tietojen palauttaminen tai poistaminen: Palvelun päättyessä käsittelijän on rekisterinpitäjän valinnan mukaan joko poistettava tai palautettava kaikki henkilötiedot ja tuhottava olemassa olevat kopiot.
-
Auditoinnit ja tarkastukset: Käsittelijän on annettava rekisterinpitäjälle kaikki tiedot, jotka ovat tarpeen velvoitteiden noudattamisen osoittamiseksi. Sopimuksen on mahdollistettava rekisterinpitäjän tai tämän valtuuttaman auditoijan suorittamat tarkastukset.
Nämä kahdeksan kohtaa muodostavat DPA-sopimuksen rungon. Ilman niitä sopimus on puutteellinen. Tietosuoja ja GDPR ovat kokonaisuus, jossa tekniset ratkaisut ja juridiset asiakirjat tukevat toisiaan.
Käsittelijän tarjoama valmis DPA-pohja – uhka vai mahdollisuus?
Erityisesti suuret kansainväliset SaaS-palveluntarjoajat tarjoavat usein valmiin DPA-sopimuspohjan, joka ei ole neuvoteltavissa. Tämä on yleinen ja usein ainoa käytäntö, erityisesti pienemmille asiakkaille.
Valmis pohja on sekä mahdollisuus että riski. Se on tehokas tapa saada vaadittu sopimus voimaan nopeasti, ja usein suuryritysten pohjat ovat juridisesti kattavia, mutta ne on silti luettava ja ymmärrettävä. Ne osoittavat, että palveluntarjoaja on tietoinen velvollisuuksistaan.
Kääntöpuolena on, että sopimus on usein laadittu suojaamaan ensisijaisesti palveluntarjoajaa itseään. Se voi sisältää rekisterinpitäjälle epäedullisia vastuunrajoituksia, antaa palveluntarjoajalle laajan yleisluvan käyttää haluamiaan alikäsittelijöitä tai asettaa auditoinneille epäkäytännöllisiä ehtoja.
Vaikka et voisi neuvotella ehdoista, sinun on silti luettava ja ymmärrettävä ne. Tämä on osa rekisterinpitäjän osoitusvelvollisuutta. Kiinnitä erityistä huomiota vastuunrajoituslausekkeisiin, alikäsittelijöitä koskeviin prosesseihin sekä ehtoihin, jotka koskevat tietojen siirtoa EU/ETA-alueen ulkopuolelle. Hyväksymällä sopimuksen hyväksyt myös sen sisältämät riskit.
Entä jos DPA-sopimus puuttuu tai on puutteellinen?
Puuttuva tai puutteellinen tietojenkäsittelysopimus on suora rikkomus GDPR:ää vastaan, ja seuraukset voivat olla vakavia molemmille osapuolille.
Rekisterinpitäjän riskit:
- Sakot: Tietosuojaviranomainen voi määrätä sakon, joka voi olla enimmillään 20 miljoonaa euroa tai 4 % yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta, sen mukaan kumpi on suurempi. Tietyissä vähemmän vakavissa rikkomuksissa enimmäissakko on 10 miljoonaa euroa tai 2 % liikevaihdosta.
- Vastuu tietoturvaloukkauksesta: Jos käsittelijän järjestelmissä tapahtuu tietomurto, DPA:n puuttuminen osoittaa rekisterinpitäjän laiminlyöneen velvollisuutensa valita kumppaninsa huolellisesti. Tämä pahentaa vastuuta merkittävästi.
- Mainehaitta: Asiakkaiden ja yhteistyökumppaneiden luottamus kärsii, jos yrityksen perusasiat tietosuojassa eivät ole kunnossa.
Käsittelijän riskit:
- Sakot: Myös käsittelijä voidaan asettaa suoraan vastuuseen ja määrätä sakkoihin.
- Asiakkaiden menetys: Tietosuojatietoiset asiakkaat eivät todennäköisesti osta palveluita yritykseltä, joka ei pysty tarjoamaan asianmukaista DPA-sopimusta.
Loppujen lopuksi DPA-sopimus ei ole vain pakollinen paperi, vaan se on keskeinen riskienhallinnan työkalu. Se selkeyttää vastuita ja asettaa pelisäännöt sille, miten yrityksesi tärkeintä omaisuutta – dataa – käsitellään, kun se on ulkopuolisen kumppanin hallussa. Varmistamalla, että kaikki sopimukset yrityksille ovat kunnossa, suojaat liiketoimintaasi ennakoitavasti.
Usein kysytyt kysymykset
Riittääkö, että palvelun yleisissä ehdoissa mainitaan GDPR?
Ei riitä. Pelkkä yleinen viittaus tietosuoja-asetukseen on merkityksetön. GDPR edellyttää nimenomaista, sitovaa sopimusta (DPA), joka kattaa kaikki asetuksen 28 artiklassa luetellut vähimmäisvaatimukset. Sen on oltava joko erillinen asiakirja tai selkeästi määritelty liite pääsopimukseen.
Käsittelemme vain yritysasiakkaiden tietoja. Tarvitsemmeko DPA-sopimuksia?
Kyllä, hyvin todennäköisesti. Vaikka GDPR suojaa luonnollisia henkilöitä, yritysten yhteystiedot sisältävät lähes aina henkilötietoja. Esimerkiksi yhteyshenkilön nimi, työsähköpostiosoite (etunimi.sukunimi@yritys.fi) ja puhelinnumero ovat kaikki henkilötietoja, joiden käsittely edellyttää tietosuojasääntelyn noudattamista.
Palveluntarjoajamme on Yhdysvalloissa. Muuttaako tämä tilannetta?
Se tekee tilanteesta monimutkaisemman, mutta DPA-sopimus vaaditaan edelleen. DPA:n lisäksi tarvitaan laillinen peruste henkilötietojen siirtämiseksi EU/ETA-alueen ulkopuolelle. Tällainen peruste voi olla esimerkiksi Euroopan komission hyväksymä riittävyyspäätös (kuten EU-U.S. Data Privacy Framework) tai komission mallisopimuslausekkeet (SCC).
Mitä on alikäsittelijä (sub-processor)?
Alikäsittelijä on kolmas osapuoli, jonka palkkaamasi henkilötietojen käsittelijä on puolestaan palkannut suorittamaan tiettyjä käsittelytoimia. Esimerkiksi CRM-palveluntarjoajasi (käsittelijä) voi käyttää Amazon Web Services -pilvipalvelua (alikäsittelijä) datan tallentamiseen. DPA-sopimuksessa on määriteltävä, miten alikäsittelijöiden käyttö hyväksytään ja valvotaan.
