Mikä on TIA? Näin arvioit tietojen siirron EU:n ulkopuolelle
Päivitetty · Complian asiantuntijat
TIA tulee englannin sanoista transfer impact assessment. Suomeksi se on siirtovaikutusten arviointi. Sillä selvitetään, ovatko EU:n ja ETA:n ulkopuolelle siirtyvät henkilötiedot käytännössä suojassa, vaikka sopimus olisi kunnossa.
Vaatimus syntyi EU-tuomioistuimen Schrems II -ratkaisusta vuonna 2020. Sen jälkeen vakiosopimuslausekkeiden allekirjoittaminen ei enää riitä: myös kohdemaan lainsäädäntö ja käytännöt pitää arvioida.
Milloin TIA tarvitaan?
| Tilanne | Tarvitaanko? |
|---|---|
| Palvelu, tuki ja alihankkijat ovat kaikki EU:ssa tai ETA:ssa | ei |
| Maa, jolla on komission riittävyyspäätös | ei yleensä |
| Yhdysvaltalainen yritys, joka on sertifioitu Data Privacy Frameworkiin | ei yleensä |
| Siirto perustuu vakiosopimuslausekkeisiin | kyllä |
| Siirto perustuu sitoviin yrityssääntöihin | kyllä |
| Tukihenkilö pääsee tietoihin EU:n ulkopuolelta | arvioitava, koska etäpääsy on siirto |
Data Privacy Frameworkin sertifiointi tarkistetaan listalta juuri sille yritykselle, joka on sopimuksen osapuoli. Riittävyyspäätöstä vastaan on vireillä valitus EU-tuomioistuimessa (C-703/25 P), joten varasuunnitelma kannattaa kirjata.
Arvioinnin kuusi vaihetta
Euroopan tietosuojaneuvoston suositus 01/2020 jakaa työn kuuteen vaiheeseen:
- Tunne siirtosi. Listaa, mitä tietoja siirtyy, keille ja mihin maihin, myös alihankkijoiden kautta.
- Tunnista siirtoperuste. Riittävyyspäätös, vakiosopimuslausekkeet, sitovat yrityssäännöt tai poikkeus.
- Arvioi kohdemaa. Voivatko viranomaiset päästä tietoihin, ja onko ihmisillä tehokkaat oikeussuojakeinot?
- Lisää suojatoimia. Esimerkiksi salaus, pseudonymisointi ja sopimusehdot.
- Tee muodolliset toimet. Kirjaa toimet ja muokkaa sopimuksia tarvittaessa.
- Arvioi uudelleen. Tarkista arvio säännöllisesti ja aina, kun jokin muuttuu.
Yleisimmät virheet
- Vain pääsopimus on katsottu. Alihankkijat voivat siirtää tietoja maihin, joita ei sopimuksessa näy suoraan.
- EU-palvelin tulkitaan niin, ettei siirtoa ole. Etäpääsy ja tuki voivat silti olla siirtoja.
- Arvio on kopioitu toimittajalta. Se on hyvä lähtöaineisto, mutta ei kerro teidän tiedoistanne.
- Arvio jää vuosiksi. Toimittajat ja lainsäädäntö muuttuvat.
- Selosteet unohtuvat. Siirrot ja suojatoimet pitää kertoa tietosuojaselosteessa ja kirjata selosteeseen käsittelytoimista.
TIA tyypillisissä ohjelmistoissa
Ratkaisu riippuu toimittajan nykyisestä siirtoperusteesta ja alihankkijoista, joten se tarkistetaan ohjelmistokohtaisesti:
Erillisenä arviointi maksaa 390 € toimittajaa kohden (alv 0 %). Kun teemme järjestelmästä vaikutustenarvioinnin, siirtojen arviointi sisältyy sen hintaan.
Usein kysytyt
Kuka TIA:n tekee?
Vastuu on tietojen viejällä yhdessä tietojen tuojan kanssa. Toimittajan valmis aineisto auttaa, mutta arvion pitää koskea teidän tietojanne ja käyttötapaanne.
Onko etäpääsy siirto?
Kyllä. Jos tukihenkilö tai alihankkija pääsee tietoihin EU:n ulkopuolelta, kyse on siirrosta, vaikka palvelin sijaitsisi EU:ssa.
Kuinka usein arvio päivitetään?
Kun toimittaja, alihankkija, siirrettävät tiedot tai kohdemaan lainsäädäntö muuttuu. Lisäksi arvio kannattaa tarkistaa säännöllisesti.
Lähteet
Tämä ohje on yleistä tietoa, ei oikeudellinen neuvo yksittäiseen tapaukseen.