Henkilötietojen käsittelysopimus (DPA)

Henkilötietojen käsittelysopimuspohja (DPA) on GDPR:n 28 artiklan mukainen asiakirja, jolla dokumentoidaan rekisterinpitäjän ja henkilötietojen käsittelijän välinen suhde. Sopimus on tarpeellinen aina, kun ulkopuolinen taho käsittelee henkilötietoja rekisterinpitäjän lukuun. Pohja täydentää osapuolten välistä pääsopimusta ja varmistaa tietosuojavelvoitteiden asianmukaisen dokumentoinnin.

Kenelle tämä pohja sopii?

Pohja sopii yrityksille ja organisaatioille, jotka käyttävät ulkopuolisia palveluntarjoajia henkilötietojen käsittelyyn, kuten pilvipalveluita, kirjanpitäjiä, markkinointitoimistoja tai IT-palveluntarjoajia. Se on hyödyllinen sekä rekisterinpitäjälle että käsittelijälle. Sopimus vaaditaan aina, kun henkilötietoja käsitellään toisen osapuolen lukuun, ja se on keskeinen osa tietosuojadokumentaatiota.

Mitä pohja sisältää?

Sopimuspohja kattaa 13 osiota, jotka noudattavat GDPR:n vaatimuksia käsittelysopimukselle:

• Sopimuksen osapuolet — rekisterinpitäjän ja käsittelijän yhteystiedot sekä tietosuojavastaavien tiedot.
• Sopimuksen tausta ja tarkoitus — pääsopimuksen tiedot, käsittelyn peruste ja palvelukuvaus.
• Käsittelyn kohde ja kuvaus — käsittelyn tarkoitus, luonne, kesto, henkilötietojen tyypit (perustiedot, tunnistetiedot, taloudelliset tiedot, terveystiedot ym.) ja rekisteröityjen ryhmät.
• Käsittelijän velvollisuudet — ohjeiden noudattaminen, salassapitovelvollisuus, tietoturvatoimenpiteet (pseudonymisointi, salaus, saatavuuden varmistaminen) ja alikäsittelijöiden käyttölupamenettely.
• Rekisteröidyn oikeuksien toteuttaminen — käsittelijän avustamisvelvollisuus rekisteröityjen pyyntöjen käsittelyssä, kuten tietojen oikaisu, poisto ja siirto.
• Tietoturvaloukkaukset — ilmoitusvelvollisuus 72 tunnin kuluessa ja reagointimenettely.
• Tietosuojan vaikutustenarviointi — käsittelijän avustaminen DPIA:n laatimisessa ja ennakkokuulemisessa.
• Henkilötietojen siirto kolmansiin maihin — EU:n/ETA:n ulkopuolelle siirron edellytykset, siirtoperusteet ja vakiosopimuslausekkeet.
• Auditointi ja tarkastusoikeus — rekisterinpitäjän auditointioikeus, ilmoitusaika ja käytännön järjestelyt.
• Tietojen poistaminen ja palauttaminen — toimenpiteet sopimuksen päättyessä ja palautus- tai tuhoamismenettely.
• Rekisterinpitäjän velvollisuudet — käsittelyn perusteiden ja ohjeiden asianmukaisuus.
• Vastuut ja vahingonkorvaus — vastuunjako ja vahingonkorvauksen enimmäismäärä.
• Sopimuksen voimassaolo — sopimuksen kesto ja tietosuojavelvoitteiden jatkuvuus myös sopimuksen päättymisen jälkeen.

Lisäksi pohjassa on osiot sovellettavalle lainsäädännölle, riidanratkaisulle, erityisehdoille ja allekirjoituksille.

Helppo muokata omiin tarpeisiin

Pohjassa on valintaruudut henkilötietoryhmien, rekisteröityjen ryhmien, käsittelyn keston, siirtoperusteiden ja riidanratkaisun valintaan. Valintaruudut toimivat Wordissa, Google Docsissa ja LibreOfficessa. Täytä osapuolten tiedot, kuvaa käsittelyn kohde ja sopimus on käyttövalmis. Alikäsittelijät voidaan listata taulukkoon suoraan pohjassa.

Muoto ja laajuus

Ladattavissa Word-tiedostona (.docx) ja PDF-muodossa. 7 sivua, A4-koossa.