Mikä on seloste käsittelytoimista? Kuka sen tarvitsee ja mitä siihen kirjataan
Päivitetty · Complian asiantuntijat
Seloste käsittelytoimista on organisaation oma kirjanpito henkilötietojen käsittelystä. Se ei ole julkinen, mutta tietosuojavaltuutetun toimisto voi pyytää sen nähtäväksi. Moni tuntee sen englanninkielisellä lyhenteellä RoPA.
Kuka sen tarvitsee?
Tietosuoja-asetus velvoittaa pitämään selostetta. Alle 250 hengen organisaatioilla on poikkeus, mutta se ei päde, jos käsittely
- ei ole satunnaista,
- todennäköisesti aiheuttaa riskin ihmisille, tai
- koskee arkaluonteisia tietoja tai rikostietoja.
Koska palkanmaksu ja asiakasrekisteri ovat jatkuvaa käsittelyä, käytännössä lähes jokainen yritys tarvitsee selosteen. Kunnat tarvitsevat sen aina.
Tilanne marraskuussa 2026: Komissio on ehdottanut, että poikkeus laajenisi alle 750 hengen yrityksiin ja velvoite koskisi niitä vain korkean riskin käsittelyssä. Ehdotus ei ole voimassa, joten nykyinen vaatimus pätee. Päivitämme tämän kohdan, kun asia ratkeaa.
Mitä selosteeseen kirjataan?
Asetuksen 30 artikla vaatii seuraavat tiedot:
- Rekisterinpitäjän ja tietosuojavastaavan yhteystiedot
- Käsittelyn tarkoitus
- Keiden tietoja käsitellään ja mitä tietoja
- Kenelle tietoja luovutetaan
- Siirrot EU:n ja ETA:n ulkopuolelle ja suojatoimet
- Säilytysajat
- Yleinen kuvaus teknisistä ja organisatorisista suojaustoimista
Käytännössä selosteeseen kannattaa lisätä myös oikeusperuste ja järjestelmä, jossa tietoja käsitellään. Niiden avulla tietosuojaselosteet ja vaikutustenarvioinnit on helppo pitää linjassa.
Esimerkki: yksi rivi
| Kohta | Palkanmaksu |
|---|---|
| Tarkoitus | palkanmaksu ja lakisääteiset ilmoitukset |
| Oikeusperuste | lakisääteinen velvoite, työsopimus |
| Henkilöt ja tiedot | työntekijät: nimi, henkilötunnus, tilinumero, palkkatiedot, poissaolot |
| Vastaanottajat | tilitoimisto, Verohallinto, tulorekisteri, eläkevakuutusyhtiö |
| Siirrot EU:n ulkopuolelle | ei |
| Säilytysaika | kirjanpitolain ja työlainsäädännön mukaiset ajat |
| Järjestelmä ja suojaus | palkanlaskentaohjelma, käyttöoikeudet roolin mukaan, kaksivaiheinen tunnistautuminen |
Pienessäkin yrityksessä käsittelyjä kertyy useita: esimerkiksi palkanmaksu, rekrytointi, asiakasrekisteri, laskutus ja markkinointi.
Näin aloitat
- Listaa toiminnot, joissa ihmisten tietoja käsitellään: henkilöstö, asiakkaat, markkinointi, hankinta.
- Listaa järjestelmät ja toimittajat. Tarkista samalla, onko jokaisen kanssa käsittelysopimus.
- Täytä yksi rivi käsittelyä kohti yllä olevan esimerkin mukaan.
- Korjaa havaitut puutteet. Selosteen tekeminen paljastaa usein määrittelemättömät säilytysajat ja puuttuvat sopimukset.
Pidä seloste elävänä
Seloste vanhenee, kun järjestelmät vaihtuvat. Tarkista se vähintään kerran vuodessa ja aina, kun otatte käyttöön uuden palvelun. Selosteesta on myös hyötyä tietosuojaselosteen ja vaikutustenarvioinnin pohjana.
Usein kysytyt
Mitä eroa on selosteella käsittelytoimista ja tietosuojaselosteella?
Tietosuojaseloste on julkinen ja kirjoitettu ihmisille, joiden tietoja käsitellään. Seloste käsittelytoimista on sisäinen kuvaus organisaatiolle ja valvojalle.
Missä muodossa selosteen pitää olla?
Kirjallisena, ja sähköinen muoto riittää. Taulukko on yleisin ja käytännöllisin tapa.
Tarvitseeko käsittelijäkin selosteen?
Kyllä. Jos käsittelet henkilötietoja asiakkaan lukuun, esimerkiksi IT-palveluna, tarvitset 30 artiklan 2 kohdan mukaisen selosteen myös siitä.
Lähteet
Tämä ohje on yleistä tietoa, ei oikeudellinen neuvo yksittäiseen tapaukseen.