Henkilötietojen käsittelysopimus (DPA)
Henkilötietojen käsittelysopimus (DPA). GDPR 28 artiklan mukainen sopimus palveluntarjoajan kanssa: ohjeet, alikäsittelijät, loukkaukset. Maksuton pohja…
Pohjan kohdat
Osapuolet ja roolit
- Perustiedot. DPA on pakollinen aina, kun palveluntarjoaja käsittelee henkilötietoja asiakkaan puolesta (GDPR 28 artikla 3 kohta). Ilman sitä molemmat rikkovat asetusta.
Käsittelyn kohde ja kesto
- Kuvaus. Asetus vaatii, että sopimuksessa vahvistetaan käsittelyn kohde, kesto, luonne, tarkoitus, tietotyypit ja rekisteröityjen ryhmät (28 artikla 3 kohta). Tämä kohta on usein liitteenä.
Ohjeet ja käyttötarkoitus
- Vain dokumentoitujen ohjeiden mukaan. Asetuksen vähimmäisvaatimus (28 artikla 3 kohta a ja b alakohta). Jos käsittelijä päättää itse tarkoituksista, siitä tulee rekisterinpitäjä vastuineen (28 artikla 10 kohta).
- Ohjeiden mukaan, anonymisoitu tilastointi sallittu. Tavallinen SaaS-toimittajan pyyntö. Hyväksyttävä, kun anonymisointi on aitoa: pseudonymisoitu tieto on edelleen henkilötietoa.
Alikäsittelijät
- Yleinen lupa, ilmoitus 30 päivää etukäteen. Käytännöllinen pilvipalveluissa, joissa alikäsittelijöitä on kymmeniä. Asetus edellyttää vastustusmahdollisuutta (28 artikla 2 kohta).
- Erillinen kirjallinen lupa jokaiselle. Tiukin malli. Sopii arkaluonteisiin tietoihin, mutta hidastaa toimittajan toimintaa.
Siirrot EU- ja ETA-alueen ulkopuolelle
- Ei siirtoja. Selkein. Tarkista, että myös alikäsittelijät ja tukitoiminnot ovat EU:ssa.
- Sallittu komission vakiolausekkein. Tarpeen, kun käytössä on yhdysvaltalaisia pilvipalveluja. Vakiolausekkeet (SCC 2021) ja siirtovaikutusten arviointi ovat käsittelijän vastuulla.
Tietoturvaloukkaukset
- Ilmoitus 24 tunnin kuluessa. Rekisterinpitäjän on ilmoitettava valvontaviranomaiselle 72 tunnin kuluessa (33 artikla), joten käsittelijän tiukka määräaika on perusteltu.
- Ilmoitus 48 tunnin kuluessa. Yleinen kompromissi. Jättää rekisterinpitäjälle vuorokauden omaan arviointiin ja viranomaisilmoitukseen.
- Ilman aiheetonta viivytystä. Asetuksen sanamuoto (33 artikla 2 kohta) ilman tuntirajaa. Rekisterinpitäjälle epävarma.
Tietoturva ja avustaminen
- Asianmukaiset toimet, kuvaus liitteessä. Vastaa asetusta (28 artikla 3 kohta c, e ja f alakohta). Avustamisen hinnoittelu on tavallinen neuvottelukohta.
- Sertifioitu tietoturva (ISO 27001), avustaminen maksutta. Vaadi sertifiointia, kun tiedot ovat arkaluonteisia. Maksuton avustaminen on rekisterinpitäjälle edullinen mutta harvinainen ehto.
Auditointi
- Auditointi kerran vuodessa, 30 päivän ilmoitus. Tavallinen tasapaino. Asetus edellyttää auditointimahdollisuutta (28 artikla 3 kohta h alakohta), mutta ei määrää kustannuksista.
- Auditointi pyynnöstä, käsittelijä vastaa kustannuksista. Vahva rekisterinpitäjän ehto. Käsittelijät hyväksyvät tämän harvoin ilman tarkkaa rajausta.
Tietojen palautus ja poisto
- Palautus pyynnöstä, poisto 30 päivässä. Vastaa asetusta (28 artikla 3 kohta g alakohta). Vahvistus poistosta on hyvä lisä.
- Palautusaika 90 päivää, varmuuskopiot kiertävät. Realistinen pilvipalveluissa. Rekisterinpitäjän kannattaa varmistaa, että varmuuskopioita ei käytetä muuhun.
Vastuu
- Pääsopimuksen vastuunrajoitus sovelletaan. Yleisin malli. Rekisteröidylle maksettavaa korvausta ei voi rajoittaa sopimuksella (82 artikla), mutta osapuolten keskinäistä vastuuta voi.
- Käsittelijä vastaa täysimääräisesti. Rekisterinpitäjän toive, mutta käsittelijät hyväksyvät rajoittamattoman vastuun harvoin. Pienen toimittajan maksukyky on käytännössä raja.
Allekirjoitukset
- Kaksi kappaletta. Vakiomuotoilu. Sähköinen allekirjoitus käy yhtä hyvin.
Mitä GDPR vaatii käsittelysopimukselta
Yleisen tietosuoja-asetuksen 28 artiklan 3 kohta luettelee, mitä rekisterinpitäjän ja käsittelijän sopimuksessa on oltava. Puuttuva kohta on itsessään rikkomus.
- Käsittelyn kohde, kesto, luonne, tarkoitus, henkilötietojen tyypit ja rekisteröityjen ryhmät (yleensä liitteenä).
- Käsittely vain dokumentoitujen ohjeiden mukaan, myös siirroissa EU:n ulkopuolelle (a alakohta).
- Henkilöstön salassapitovelvollisuus (b) ja 32 artiklan tietoturvatoimet (c).
- Alikäsittelijöiden käyttö vain luvalla, ja rekisterinpitäjällä oikeus vastustaa muutoksia (d ja 2 kohta).
- Avustaminen rekisteröityjen pyynnöissä, tietoturvaloukkauksissa ja vaikutustenarvioinneissa (e ja f).
- Tietojen poisto tai palautus sopimuksen päättyessä (g) ja auditointioikeus (h).
- Käsittelijä, joka päättää itse tarkoituksista, muuttuu rekisterinpitäjäksi vastuineen (10 kohta).
- Sopimuksen on oltava kirjallinen, myös sähköinen käy (9 kohta). Komission vakiolausekkeita voi käyttää pohjana (7 kohta).
Oikeustapauksia
- KHO 2023:81. Postin muuttoilmoituksessa tieto yhteystietojen luovuttamisesta yrityksille oli vain linkin takana: 100 000 euron seuraamusmaksu palautettiin voimaan. Keskeiset tiedot (vastaanottajat, vastustamisoikeus) on tuotava esiin tietojen keruuhetkellä, ei vain selosteessa.
- KHO 2022:131. Asianajotoimiston sähköpostitunnus vuoti kahdeksi vuorokaudeksi. Koska laatikossa oli henkilötunnuksia ja luottamuksellisia toimeksiantotietoja, loukkauksesta oli ilmoitettava myös rekisteröidyille. Varaudu ilmoitusvelvollisuuteen ja säilytä lokit, joilla laajuus voidaan osoittaa.
- Itä-Suomen HAO 2021. Työnantaja seurasi työaikaa ajoneuvojen sijaintitiedoilla ilman vaikutustenarviointia ja sai 16 000 euron seuraamusmaksun. Järjestelmällinen seuranta on korkean riskin käsittelyä, josta vaikutustenarviointi on tehtävä ja pidettävä ajan tasalla.
- KHO 2023:82. Seuraamusmaksu kumottiin, koska viranomainen ei näyttänyt, että sairauksia kysyvää työnhakulomaketta oli käytetty tietosuoja-asetuksen aikana. Dokumentoi, milloin lomakkeet ja käsittely on muutettu asetuksen mukaisiksi: osoitusvelvollisuuden dokumentaatio on paras puolustus.
Näin etenet
- Tee käsittelijäluettelo: kuka käsittelee tietojasi puolestasi, ja onko jokaisen kanssa DPA.
- Tarkista alikäsittelijäluettelo ja siirrot EU:n ulkopuolelle.
- Sovi tietoturvaloukkausten ilmoitusaika niin, että ehdit viranomaisilmoitukseen 72 tunnissa.
Lähteet: asetus (EU) 2016/679 artiklat 28, 32 ja 33. Tarkistettu EUR-Lexistä 22.10.2026. Oikeustapaukset luettu Finlexistä 23.10.2026.