Henkilötietojen käsittelyn ulkoistaminen : erityistarkastelussa muuttuva eurooppalainen tietosuojasääntely ja sen vaikutukset yksityisen rekisterinpitäjän toimintaan

Abstract

Suuret trendit, kuten digitalisaatio, robotiikka, Big data ja pilvipalvelut ovat muuttaneet henkilötiedon käsittelyn menetelmiä, ja henkilötietoja käsitellään ja siirretään entistä nopeammin ja helpommin osapuolelta toiselle. Kehittyvän yhteiskunnan seurauksena tarvitaan lisää tutkimusta henkilötietojen suojan toteuttamiseksi ilman, että oikeuksia rajoitetaan ja sääntelyn määrää lisätään liiaksi yhteiskunnassa. Tietosuojakysymykset nykymuodossaan ovat suhteellisen tuore tutkimuskohde oikeustieteellisessä tutkimuksessa. Tutkimuksen aiheena on henkilötietojen käsittelyn ulkoistaminen eli tilanne, jossa rekisterinpitäjä on ulkoistanut henkilötietojen käsittelyn ulkoiselle palveluntarjoajalle. Tutkimuksessa tarkastellaan erityisesti tietosuoja-asetuksen tuomia muutoksia yksityisen rekisterinpitäjän toimintaan. Tarkastelun kohteena on sähköverkkoyhtiö rekisterinpitäjänä, jonka osalta selvitetään sähköverkkoyhtiöön kohdistuvia erityisvelvoitteita henkilötietojen käsittelyssä. Tutkimuksen metodi on lainopillinen ja sen keskeisenä lähdeaineistona ovat lainsäädäntö, virallisaineisto sekä oikeuskirjallisuus. Tutkimuksen kannalta relevantein lainsäädäntö on tietosuoja-asetus, henkilötietodirektiivi ja henkilötietolaki. Henkilötietojen käsittelyn ulkoistamisen kannalta tarkastellaan riskien ja velvoitteiden jakautumista sopimusosapuolten välillä. Lähestymistapa on toimijoiden kannalta vähintäänkin mielenkiintoinen, koska onnistunut riskienhallinta on edellytys niin rekisterinpitäjän kuin henkilötietojen käsittelijän liiketoiminnan onnistumisessa. Lisäksi on hyvä tiedostaa mahdolliset muutokset rekisterinpitäjän ja henkilötietojen käsittelijän välisessä roolijaossa sekä seuraamukset, joita sääntelyn noudattamatta jättäminen voi aiheuttaa. Tietosuoja-asetus tuo merkittäviä muutoksia rekisterinpitäjän ja henkilötietojen käsittelijän väliseen velvoitteiden ja vastuiden jakoon. Henkilötietojen käsittelijän rooli ja merkitys henkilötietojen käsittelyssä tulee kasvamaan. Aiemmin tietosuojasääntelyn asettamat velvoitteet ovat kohdistuneet rekisterinpitäjään, jonka on tullut varmistaa, että tämän käyttämä ulkopuolinen henkilötietojen käsittelijä käsittelee henkilötietoja yleisten periaatteiden määrittelemällä tavalla, huolehtii riittävästä tietoturvallisuudesta ja on muutoin perehtynyt tietosuojasääntelyyn. Tilanteessa jossa sääntely muuttuu merkittävästi, on liikekumppanin tietosuojaosaamisella painoarvoa, kun punnitaan sitä, kannattaako tietty toiminto ulkoistaa vai ei.