Security and responsibilities

Our organization has determined whether a data protection officer should be appointed and, if so, made an appointment.

The Data Protection Officer shall be appointed if:

• the organization handles sensitive information on a large scale
• the organization monitors people on an extensive, regular, and systematic basis
• the organization is a public administration actor

In addition to the appointment, it is essential to regularly assess whether the Data Protection Officer is acting in the role and performing the tasks required by the Data Protection Regulation.

Organisaation on kuultava relevanttia tietosuojaviranomaista ennen henkilötietojen käsittelyn aloittamista, kun vaikutustenarviointi osoittaa, että käsittely aiheuttaisi korkean riskin rekisteröidylle, eikä rekisterinpitäjä ole omilla toimenpiteillään saanut riskiä alhaisemmaksi.

Tietosuojaviranomaista on kuultava esimerkiksi silloin, kun rekisteröidyt voisivat joutua kärsimään huomattavista tai peruuttamattomista seurauksista, joita he eivät välttämättä pysty torjumaan.

Käsiteltäessä erityisiin henkilötietoryhmiin kuuluvia tai rikostuomioihin ja rikoksiin liittyviä henkilötietoja organisaatio toteuttaa asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi.

Näitä erityisiä toimenpiteitä voivat olla mm.:

• käsittelyn tarkempi lokitus
• erityisiä henkilötietoja käsittelevän henkilöstön tarkempi ohjeistaminen
• tarkempi pääsynhallinta liittyviin henkilötietoihin
• henkilötietojen pseudonymisointi liittyvissä käsittelytoimissa
• henkilötietojen salaus liittyvissä käsittelytoimissa
• käsittelyyn liittyvien järjestelmien tietoturvatarkistukset
• tietosuojan vaikutustenarvioinnin toteuttaminen
• muut tietojen turvallisuutta parantavat toimenpiteet

Organisaatio määrittelee käsittelemiensä henkilötietojen osalta, toimiiko organisaatio rekisterinpitäjänä, yhteisrekisterinpitäjänä vai henkilötietojen käsittelijänä.

Digiturvamallissa tietovarannot, joiden osalta organisaatio toimii rekisterinpitäjänä, dokumentoidaan Tietovarannot-listaan. Ulkoiset tietovarannot -listassa on tarkoitus dokumentoida tietovarannot, joiden osalta organisaatio toimii itse henkilötietojen käsittelijänä.

Organisaation olisi määritettävä henkilötietojen käsittelyyn liittyvät vastuut ja roolit selkeästi yhteisrekisterinpitäjien kanssa. Määrittelyyn on sisällyttävä vaatimukset liittyen henkilötietojen suojaamiseen ja käsittelyn turvallisuuteen.

Organisaatio voi esimerkiksi tehdä sopimuksen eri yhteisrekisteripitäjien kanssa tai dokumentoida kirjallisesti yhteisrekisterinpitäjyyteen liittyvät menettelyt sekä julkaista ne verkossa ja asettaa saataville toimipisteissä.

When personal data is transmitted through a network, organization should have designed appropriate controls for ensuring that the data reaches its intended destination.

Cloud services may not always explicitly erase all the data deleted by users, e.g. due to performance issues.

Organization should have implemented technical controls for ensuring that whenever a data storage space is assigned for a customer, any previously residing data on this storage is not visible to the new customer.

Organisaation on määriteltävä, miten tehdään säännöllistä henkilötietojen käytön seurantaa (esim. tietoja voivat katsella ja käsitellä vain siihen oikeutetut henkilöt) ja miten toimitaan, jos väärinkäytöksiä ilmenee.

The organization shall publish the contact details of the data protection officer (e.g. on the organisation's website) and inform the supervisory authority.

Data protection commitments are collected from partners who process personal data, through which they assure the correct processing of personal data. These commitments may be part of an agreement on the processing of personal data.

The organization itself has also defined operating methods for monitoring these commitments with regard to partners and for taking the necessary measures.

The Data Protection Regulation applies to the processing of personal data of EU data subjects by an organization not established in the EU, if the processing involves

• the supply of goods or services to those data subjects in the Union, whether or not the data subject is required to pay; or
• monitoring the behavior of these data subjects insofar as their behavior takes place in the Union

In such cases, the organization shall appoint a representative in writing for the territory of the Union, provided that the processing of personal data is not incidental.

The representative must be established in one of the Member States where the data subjects whose personal data are processed are located. The representative shall be empowered to contact the representative, in particular the supervisory authorities and the data subject, on any matter relating to the processing of personal data.