Tietosuojan vaikutustenarviointi (DPIA) kiinteällä hinnalla
Vaikutustenarviointi tunnistaa riskit, joita käsittely aiheuttaa ihmisille, ja toimet niiden pienentämiseksi. Se on pakollinen, kun käsittelystä todennäköisesti aiheutuu korkea riski.
- Sopii, jos
- ennakkoarvio tai hankinta edellyttää sitä, tai käsittelette arkaluonteisia tietoja laajasti.
- Saat
- ennakkoarvion, käsittelyn kuvauksen, riskiarvion ja toimenpidesuunnitelman, tarvittaessa tasapainotestin ja siirtovaikutusten arvioinnin sekä kirjaukset tietosuojaselosteeseen ja selosteeseen käsittelytoimista.
- Mitä tarvitsemme teiltä
- 1–2 haastattelua ja järjestelmän toimittajan tietoturvakuvauksen.
Mikä vaikutustenarviointi on?
Vaikutustenarviointi (englanniksi DPIA, data protection impact assessment) on tietosuoja-asetuksen 35 artiklan mukainen arvio siitä, mitä riskejä henkilötietojen käsittely aiheuttaa ihmisille ja miten riskejä pienennetään. Kyse on ihmisen riskeistä, ei organisaation liiketoimintariskeistä.
Se on pakollinen ainakin, kun arvioidaan tai profiloidaan ihmisiä järjestelmällisesti ja tehdään sen perusteella merkittäviä päätöksiä, kun käsitellään arkaluonteisia tietoja laajasti tai kun valvotaan julkista aluetta laajamittaisesti. Lisäksi tietosuojavaltuutettu on julkaissut oman luettelonsa. Arviointi päivitetään, jos käsittelyn riski muuttuu.
Mitä arviointi sisältää?
| Osa | Mitä siinä tehdään |
|---|---|
| Käsittelyn kuvaus | tarkoitus, tiedot, järjestelmät, toimittajat ja tietovirrat |
| Tarpeellisuus ja oikeasuhtaisuus | onko käsittely tarpeen ja voisiko sen tehdä vähemmillä tiedoilla |
| Riskiarvio | mitä ihmisille voi tapahtua, kuinka todennäköisesti ja kuinka vakavasti |
| Toimenpidesuunnitelma | tekniset ja organisatoriset toimet, vastuut ja aikataulu |
Kirjoitamme arvioinnin niin, että johto ja toimittaja ymmärtävät siitä, mitä pitää tehdä. Toimenpidesuunnitelma on tärkein osa: se muuttaa paperin korjauksiksi.
Yksi hinta kattaa koko järjestelmän
Hintaan sisältyy kaikki, mitä yhden järjestelmän tai tekoälytyökalun käyttöönotto tietosuojan kannalta vaatii:
- ennakkoarvio: tarvitaanko vaikutustenarviointi
- vaikutustenarviointi riskeineen ja toimenpiteineen
- tasapainotesti, jos käsittely perustuu oikeutettuun etuun
- siirtovaikutusten arviointi, jos tiedot siirtyvät EU:n ulkopuolelle
- käsittelyn kirjaus selosteeseen käsittelytoimista
- käsittelyn päivitys tietosuojaselosteeseen
Jos ennakkoarvio osoittaa, ettei vaikutustenarviointia tarvita, maksat vain ennakkoarvion (290 €).
| Järjestelmä | Pieni | Keskikokoinen | Laaja |
|---|---|---|---|
| Rajattu järjestelmä tai tekoälytyökalu, esim. Claude Team | 990 € | 1 490 € | 2 400 € |
| Toimisto-ohjelmisto: Microsoft 365, Google Workspace | 1 190 € | 1 790 € | 2 900 € |
| Tekoäly toimisto-ohjelmistossa: Copilot, Gemini | 1 490 € | 2 190 € | 3 400 € |
| Arkaluonteisia tietoja käsittelevä järjestelmä | 1 790 € | 2 690 € | 3 900 € |
Hinnat alv 0 %. Useampi järjestelmä samassa arvioinnissa hinnoitellaan kiinteällä tarjouksella. Suuririskisen tekoälyn käyttöönottaja voi tarvita lisäksi perusoikeusvaikutusten arvioinnin.
Tekoälyn vaikutus näkyy myös julkisissa arvioinneissa. Alankomaiden SLM ja SURF löysivät Microsoft 365 Copilotista joulukuussa 2024 neljä korkeaa riskiä. Koulutusalan lisenssejä koskevassa päivityksessä syyskuussa 2025 korkeita riskejä ei enää ollut, mutta kaksi jäi keskitasolle. Arviointi kannattaa siksi tehdä omien asetusten ja käyttöoikeuksien mukaan.
Näin työ etenee
- Aloitus. Pyydämme järjestelmän toimittajalta tietoturvakuvauksen ja haastattelemme vastuuhenkilöitä 1–2 kertaa.
- Arviointi. Teemme kuvauksen, riskiarvion ja toimenpidesuunnitelman 5–10 arkipäivässä.
- Hyväksyntä. Käymme havainnot läpi kanssasi. Jos sinulla on tietosuojavastaava, hänen neuvonsa kirjataan arviointiin.
Kunnan hankinnan vaikutustenarviointi
Kunnan järjestelmähankinnoissa arviointi on usein se kohta, joka venyttää aikataulua, koska tietosuojavastaavan aika ei riitä. Esimerkiksi varhaiskasvatuksen asiakastietojärjestelmän arviointi maksaa 3 900 € (alv 0 %), joten sen voi ostaa pienhankintana. Lue lisää kuntien palveluista.
Etkö ole varma, tarvitaanko arviointia? Aloita ennakkoarviosta, joka maksaa 290 € ja vähennetään arvioinnin hinnasta.
Usein kysytyt
Mitä vaikutustenarviointi maksaa?
Hinta riippuu järjestelmästä ja organisaation koosta: rajatusta työkalusta pienelle yritykselle 990 €, arkaluonteisia tietoja käsittelevästä järjestelmästä laajalle organisaatiolle 3 900 € (alv 0 %). Ennakkoarvio ja kirjaukset selosteisiin sisältyvät hintaan.
Milloin arviointi pitää tehdä?
Ennen käsittelyn aloittamista, eli käytännössä ennen kuin järjestelmä otetaan käyttöön. Hankinnassa se kannattaa tehdä viimeistään ennen sopimuksen allekirjoittamista.
Mitä jos riski jää korkeaksi?
Jos riski jää korkeaksi toimista huolimatta, tietosuojavaltuutettua on kuultava ennen käsittelyn aloittamista. Kerromme tämän arvioinnissa suoraan.
Lue lisää: Milloin vaikutustenarviointi on pakollinen?
Vaikutustenarviointi: tilaa tai kysy lisää
Kerro lyhyesti tilanteesi, niin vahvistamme kiinteän hinnan ja toimitusajan.