Partners' data protection commitments and its monitoring

Our organization has determined whether a data protection officer should be appointed and, if so, made an appointment.

The Data Protection Officer shall be appointed if:

• the organization handles sensitive information on a large scale
• the organization monitors people on an extensive, regular, and systematic basis
• the organization is a public administration actor

In addition to the appointment, it is essential to regularly assess whether the Data Protection Officer is acting in the role and performing the tasks required by the Data Protection Regulation.

The organization must make sure that contractual obligations set by clients are passed to the used subcontractors and other partners (sub processors).

The compliance of of partner organizations with the set obligations must be reviewed regularly. Each partner must have named contact person and the necessary contact information must be up-to-date.

Organisaation on kuultava relevanttia tietosuojaviranomaista ennen henkilötietojen käsittelyn aloittamista, kun vaikutustenarviointi osoittaa, että käsittely aiheuttaisi korkean riskin rekisteröidylle, eikä rekisterinpitäjä ole omilla toimenpiteillään saanut riskiä alhaisemmaksi.

Tietosuojaviranomaista on kuultava esimerkiksi silloin, kun rekisteröidyt voisivat joutua kärsimään huomattavista tai peruuttamattomista seurauksista, joita he eivät välttämättä pysty torjumaan.

Käsiteltäessä erityisiin henkilötietoryhmiin kuuluvia tai rikostuomioihin ja rikoksiin liittyviä henkilötietoja organisaatio toteuttaa asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi.

Näitä erityisiä toimenpiteitä voivat olla mm.:

• käsittelyn tarkempi lokitus
• erityisiä henkilötietoja käsittelevän henkilöstön tarkempi ohjeistaminen
• tarkempi pääsynhallinta liittyviin henkilötietoihin
• henkilötietojen pseudonymisointi liittyvissä käsittelytoimissa
• henkilötietojen salaus liittyvissä käsittelytoimissa
• käsittelyyn liittyvien järjestelmien tietoturvatarkistukset
• tietosuojan vaikutustenarvioinnin toteuttaminen
• muut tietojen turvallisuutta parantavat toimenpiteet

Organisaatio määrittelee käsittelemiensä henkilötietojen osalta, toimiiko organisaatio rekisterinpitäjänä, yhteisrekisterinpitäjänä vai henkilötietojen käsittelijänä.

Digiturvamallissa tietovarannot, joiden osalta organisaatio toimii rekisterinpitäjänä, dokumentoidaan Tietovarannot-listaan. Ulkoiset tietovarannot -listassa on tarkoitus dokumentoida tietovarannot, joiden osalta organisaatio toimii itse henkilötietojen käsittelijänä.

The organisation should clearly define roles and responsibilities related to processing personal data together with a joint controller. Definition must include requirements for protecting and processing data.

The organisation can for example make a contract with joint controllers or document procedures for joint controllers and publish them on the website and make them available at offices

When personal data is transmitted through a network, organization should have designed appropriate controls for ensuring that the data reaches its intended destination.

Cloud services may not always explicitly erase all the data deleted by users, e.g. due to performance issues.

Organization should have implemented technical controls for ensuring that whenever a data storage space is assigned for a customer, any previously residing data on this storage is not visible to the new customer.

Organisaation on määriteltävä, miten tehdään säännöllistä henkilötietojen käytön seurantaa (esim. tietoja voivat katsella ja käsitellä vain siihen oikeutetut henkilöt) ja miten toimitaan, jos väärinkäytöksiä ilmenee.

The organization shall publish the contact details of the data protection officer (e.g. on the organisation's website) and inform the supervisory authority.

The organization must have in place a procedure to handle instructions coming from data controller regarding the processing of personal data. The procedure must make sure:

• Received instructions are documented
• Instructions are implemented and the implementation is maintained
• Data is separated by client, project or other specific grouping

Data protection commitments are collected from partners who process personal data, through which they assure the correct processing of personal data. These commitments may be part of an agreement on the processing of personal data.

The organization itself has also defined operating methods for monitoring these commitments with regard to partners and for taking the necessary measures.

The Data Protection Regulation applies to the processing of personal data of EU data subjects by an organization not established in the EU, if the processing involves

• the supply of goods or services to those data subjects in the Union, whether or not the data subject is required to pay; or
• monitoring the behavior of these data subjects insofar as their behavior takes place in the Union

In such cases, the organization shall appoint a representative in writing for the territory of the Union, provided that the processing of personal data is not incidental.

The representative must be established in one of the Member States where the data subjects whose personal data are processed are located. The representative shall be empowered to contact the representative, in particular the supervisory authorities and the data subject, on any matter relating to the processing of personal data.