Tarvitseeko pienyritys tietosuojavastaavan?

Lyhyt vastaus: useimmat pienyritykset eivät tarvitse. Tietosuojavastaava on pakollinen vain kolmessa tilanteessa, ja niistä kaksi koskee yrityksiä, joiden ydintoimintaa henkilötietojen käsittely on.

Milloin tietosuojavastaava on pakollinen?

• Viranomainen tai julkinen elin käsittelee henkilötietoja. Siksi esimerkiksi jokaisella kunnalla on tietosuojavastaava.
• Ydintoimintaan kuuluu ihmisten laajamittainen, säännöllinen ja järjestelmällinen seuranta. Esimerkkejä: paikannus- ja seurantapalvelut, kanta-asiakasohjelmien profilointi, verkkomainonnan kohdentaminen.
• Ydintoimintaan kuuluu laajamittainen arkaluonteisten tietojen käsittely, kuten terveystiedot tai rikostuomiot.

Ydintoiminta tarkoittaa sitä, mitä yritys tekee päätyökseen. Palkanmaksu tai asiakasrekisteri ei ole ydintoimintaa, vaikka niissä käsitellään henkilötietoja.

Kolme kysymystä, joilla pääset alkuun

1. Onko organisaationne viranomainen tai julkinen elin? Jos kyllä, tietosuojavastaava tarvitaan.
2. Perustuuko liiketoimintanne ihmisten seurantaan laajassa mitassa? Pelkkä verkkosivujen analytiikka ei yleensä riitä tähän, mutta seurantaan tai profilointiin perustuva palvelu riittää.
3. Onko arkaluonteisten tietojen käsittely keskeinen osa työtänne? Yksittäisen sairauspoissaolon kirjaaminen ei ole sitä, laaja terveyspalvelu on.

Jos jokaiseen vastaus on ei, tietosuojavastaavaa ei yleensä tarvita.

Esimerkkejä

Rajatapauksissa ratkaisu kannattaa arvioida ja perustelu kirjata ylös. Hengen määrä ei ratkaise: 60 hengen rakennusliike voi pärjätä ilman, kun taas pieni terveysalan sovellus voi tarvita vastaavan.

Mitä tietosuojavastaava tekee?

Tietosuojavastaava neuvoo organisaatiota, seuraa asetuksen noudattamista, antaa neuvoja vaikutustenarvioinneissa ja toimii yhteyspisteenä tietosuojavaltuutetun toimistoon ja ihmisiin päin. Vastuu lain noudattamisesta ei siirry hänelle, vaan säilyy organisaatiolla.

Entä jos nimitän vapaaehtoisesti?

Vapaaehtoisesti nimitettyä tietosuojavastaavaa koskevat samat vaatimukset kuin pakollista: riippumattomuus, riittävä asiantuntemus ja suora raportointi johdolle. Jos haluat vain nimetä jonkun hoitamaan tietosuoja-asioita, käytä nimitystä tietosuojasta vastaava henkilö, ei tietosuojavastaava.

Mitä pienyrityksen kannattaa tehdä?

Vaikka tietosuojavastaavaa ei tarvita, muut velvoitteet koskevat yritystä silti:

• Pidä tietosuojaselosteet ja seloste käsittelytoimista ajan tasalla.
• Nimeä sisäinen yhteyshenkilö tietosuoja-asioille.
• Tarkista asiakirjat aina, kun otatte käyttöön uuden järjestelmän tai tekoälytyökalun.