Rekisterinpitäjän käsitteellä on ratkaiseva merkitys tietosuojalainsäädännön soveltamisessa, koska sen kautta määritetään taho, joka lähtökohtaisesti vastaa henkilötietojen käsittelyn lainmukaisuudesta. Rekisterinpitäjyyden täsmällinen määrittäminen on olennainen edellytys sille, että kunnan tehtävät voidaan toteuttaa tietosuojalainsäädännön vaatimusten mukaisesti. Useimpien kunnan tehtävien hoito edellyttää henkilötietojen käsittelyä.

Tietosuoja-asetuksen 4 artiklan 7 kohdan mukaan rekisterinpitäjällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. 

Rekisterinpitäjyys voi siis syntyä kahdella tavalla. Rekisterinpitäjyys voi perustua:

• Henkilötietojen käsittelyyn liittyvään määräysvaltaan, mikä tarkoittaa, että rekisterinpitäjä tosiasiassa määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. 
• Lainsäädäntöön, joka osoittaa rekisterinpitäjän joko suoraan tai epäsuorasti. 

Jos kaksi tai useampi rekisterinpitäjä yhdessä määrittelevät henkilötietojen käsittelyn tarkoituksen ja keinot, ne ovat tietosuoja-asetuksen 26 artiklan mukaan yhteisrekisterinpitäjiä. Vaikka tässä ohjeistuksessa painotus on rekisterinpitäjän käsitteen tarkastelussa, ohjeessa avataan selvyyden vuoksi lyhyesti myös henkilötietojen käsittelijän käsitettä. Henkilötietojen käsittelijällä tarkoitetaan tietosuoja-asetuksen 4 artiklan 8 kohdan mukaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. 

Tietosuoja-asetus on Suomessa sellaisenaan suoraan sovellettavaa oikeutta. EU-oikeudella on etusija suhteessa kansalliseen lainsäädäntöön ja viranomaisten on tulkittava ja sovellettava kansallista lainsäädäntöä siten, että se on yhteensopivaa EU-oikeuden kanssa. EU-oikeuden tulkinnassa korostuu Euroopan unionin tuomioistuimen oikeuskäytännön merkitys. Euroopan unionin tuomioistuin on ratkaisuissaan selventänyt myös esimerkiksi rekisterinpitäjän ja yhteisrekisterinpitäjän käsitteiden tulkintaa (ks. esim. asia C-638/23, asia C-231/22, asia C-683/21, asia C‑25/17 ja asia C‑210/16). 

Euroopan tietosuojaneuvosto on laatinut rekisterinpitäjän, yhteisrekisterinpitäjän ja henkilötietojen käsittelijän käsitteistä tulkintaohjeet 07/2020 (suuntaviivat rekisterinpitäjän ja henkilötietojen käsittelijän käsitteistä yleisessä tietosuoja-asetuksessa) tietosuoja-asetukseen ja Euroopan unionin oikeuskäytäntöön perustuen. Euroopan tietosuojaneuvosto on suuntaviivoissaan määrittänyt tietyt kriteerit sen arvioimiseksi, toimiiko toimija rekisterinpitäjänä, yhteisrekisterinpitäjänä vai henkilötietojen käsittelijänä. Suuntaviivojen mukaan käsitteet ovat toiminnallisia käsitteitä, joiden tarkoituksena on jakaa vastuut toimijoiden todellisten tehtävien mukaan. Käsitteet ovat myös itsenäisiä käsitteitä siinä mielessä, että niitä on tulkittava pääasiassa EU:n tietosuojalainsäädännön mukaisesti.

Tietosuoja-asetuksen mukaiset rekisterinpitäjän, yhteisrekisterinpitäjän ja henkilötietojen käsittelijän käsitteet eivät ole muuttuneet aikaisempaan henkilötietodirektiiviin (95/46/EY) verrattuna, vaan yleisesti ottaen käsitteet ja niiden määräytymistä koskevat kriteerit ovat edelleen samat. Tietosuoja-asetuksen myötä Suomessakin on kuitenkin luovuttu kumotun henkilötietolain (523/1999) rekisterikeskeisestä ajattelusta. Rekisterinpitäjyyttä määritellessä keskeistä ei siis ole esimerkiksi se, missä rekistereissä tai järjestelmissä henkilötietoja käsitellään, vaan ratkaisevaa on, mikä taho käyttää määräysvaltaa henkilötietojen käsittelyssä ja voi toteuttaa rekisterinpitäjälle kuuluvat velvoitteet. Tietosuoja-asetuksen mukainen suomenkielinen termi rekisterinpitäjä on tässä suhteessa jossain määrin harhaanjohtava. Esimerkiksi ruotsinkielinen vastine personuppgiftsansvarig ja englanninkielinen vastine controller kuvaavat käsitettä paremmin.

1.1 Roolit henkilötietojen käsittelyssä

Tietosuoja-asetus asettaa toimijoille erilaisia velvollisuuksia riippuen siitä, missä roolissa se toimii henkilötietojen käsittelyssä. Perustuslaista johtuvista syistä rekisterinpitäjästä säädetään yleensä laissa, kun rekisterinpitäjänä on viranomainen. Vastaavasti jos viranomaiset toimivat yhteisrekisterinpitäjinä, lainsäädännössä määritellään usein yhteisrekisterinpitäjien vastuualueet. Henkilötietojen käsittelijästä säätäminen lainsäädännössä ei kuitenkaan ole lähtökohtaisesti tarpeen.

Rekisterinpitäjä on vastuussa henkilötietojen käsittelystä

Kunta on oikeushenkilö ja viranomainen. Osana kuntaa, kunnan sisällä, toimii myös itsenäisiä viranomaisia. Kunnan viranomainen voi olla toimielin tai viranhaltija. Kunta ja sen viranomaiset muodostavat yhtenäisen oikeushenkilön. Tietosuoja-asetuksessa tarkoitettuna rekisterinpitäjänä voi yksin tai yhdessä toimia kunta, kunnan toimielin tai kunnan viranhaltija. 

Jos rekisterinpitäjä on nimenomaisesti yksilöity laissa, Euroopan tietosuojaneuvoston tulkintaohjeiden 07/2020 mukaan tämä on ratkaisevaa sen määrittämiseksi, kuka toimii rekisterinpitäjänä. Tämä edellyttää myös, että lainsäätäjä on nimennyt rekisterinpitäjäksi tahon, jolla on tosiasiassa kyky toimia rekisterinpitäjänä. Sen sijaan, että laissa nimettäisiin suoraan rekisterinpitäjä tai sen nimittämistä koskevat kriteerit, laissa voidaan myös säätää tehtävästä tai asettaa toimijalle velvollisuus kerätä ja käsitellä tiettyjä tietoja. Näissä tapauksissa käsittelyn tarkoituksesta säädetään usein laissa. Yleensä rekisterinpitäjä on se, joka on laissa nimetty tähän tarkoitukseen eli julkiseen tehtävään. Tässä tapauksessa laissa mainitaan, kuka on rekisterinpitäjä, vaikkakin epäsuorasti. Laissa voidaan myös asettaa velvollisuus säilyttää tai toimittaa tiettyjä tietoja. Tahoa pidetään yleensä rekisterinpitäjänä tämän velvoitteen täyttämiseksi tarpeellisen käsittelyn osalta.

Kuntia koskevassa lainsäädännössä rekisterinpitäjän määrittely on hajanaista. Kuntalain (410/2015) 7 §:n mukaan kunta hoitaa itsehallinnon nojalla itselleen ottamansa tehtävät ja järjestää sille laissa erikseen säädetyt tehtävät. Lakisääteisiä tehtäviä osoitetaan myös erityislainsäädännössä kunnalle, mikä tarkoittaa, että kunnalla on tehtävästä järjestämisvastuu. Laissa ei useimmissa tapauksissa ole nimenomaisesti erikseen nimetty rekisterinpitäjiä taikka tyhjentävästi säädetty asioita tietyn kunnan toimielimen tai viranhaltijan päätettäväksi tai tehtäväksi. Yleisesti kuntia koskevassa lainsäädännössä lähtökohtana on pidetty kunnallista itsehallintoa. Suhteellisen väljien ja joustavien säännösten puitteissa kukin kunta voi rakentaa omiin tarpeisiinsa sopivan organisaation.

Tilanteissa, joissa lainsäädäntö osoittaa tehtävän järjestämisvastuun kunnalle yleisellä tasolla, kunta voi omalla organisoitumisellaan vaikuttaa siihen, mikä taho toimii rekisterinpitäjänä eli viime kädessä vastaa henkilötietojen käsittelyn lainmukaisuudesta. Siltä osin kuin rekisterinpitovastuita ei ole määritelty laissa, kunnan on tarpeen määrittää henkilötietojen käsittelyyn liittyvät vastuut ja tehtävät hallintosäännöllä sekä muissa sisäisissä määräyksissä ja ohjeissa. Kunnassa tulee olla selvää, mikä taho missäkin yhteydessä toimii rekisterinpitäjänä ja ketkä luonnolliset henkilöt vastaavat mistäkin rekisterinpitäjän tehtävistä.

Koska kunnat järjestävät toimintansa itsehallintonsa puitteissa eri tavoin, rekisterinpitäjyys ei kaikissa tilanteissa määräydy kunnissa samalla tavalla. Kun rekisterinpitäjyyttä ei ole ratkaistu laissa, arviointi perustuu henkilötietojen käsittelyä koskeviin tosiseikkoihin. Sen sijaan tilanteissa, joissa lainsäädäntö osoittaa vastuun esimerkiksi tietylle kunnan viranomaiselle, kunnan sisäisellä organisoitumisella ei ole ratkaisevaa merkitystä rekisterinpitäjyyden määräytymisessä. 

Kuntia koskevasta kansallisesta lainsäädännöstä rekisterinpitäjyys ilmenee eri tavoin. 

Kunta on velvollinen järjestämään X.” Usein ajatellaan, että rekisterinpitäjyys on luonnollinen seuraus järjestämisvastuusta. Järjestämisvastuu annetaan lainsäädännössä joskus kunnalle kokonaisuutena, jolloin kunta hallintosäännön kautta tarkemmin määrää vastuut kyseiseen palveluun tai toimintaan liittyvien tehtävien hoitamisesta. Tällöin järjestämisvastuu säilyy kuntatasolla, mutta vastuu konkreettisten tehtävien suorittamisesta delegoidaan kuntaorganisaation eri viranomaisille. Näissä tilanteissa myös vastuu ja tehtävät liittyen henkilötietojen käsittelyyn voidaan kunnassa delegoida, esimerkiksi osana järjestämisvastuuseen liittyvän tehtävän käytännön tehtävien hoitamista. Esimerkiksi perusopetuslain (628/1999) 4 §:n mukaan kunta on velvollinen järjestämään sen alueella asuville oppivelvollisuusikäisille perusopetusta sekä oppivelvollisuuden alkamista edeltävänä vuonna esiopetusta.

”Tehtävästä vastaa kunnan viranomainen X.” Vastuu palvelun tai toiminnan järjestämisestä voidaan lainsäädännössä myös kohdentaa tarkemmin kuntaorganisaatiossa, esimerkiksi tietylle viranomaiselle. Tässäkin tapauksessa on luonnollista katsoa, että rekisterinpitäjyys seuraa järjestämisvastuun kohdentumista ja että rekisterinpitäjyys määräytyy sen mukaisesti, missä vastuu palvelun tai toiminnan järjestämisestä on. Näissä tapauksissa, kun lainsäädäntö on ottanut selkeän kannan vastuun kohdentumiseen, rekisterinpitäjyyden delegointi toiselle viranomaiselle ei kunnan omalla päätöksellä enää ole mahdollista. Sen sijaan on mahdollista, että rekisterinpitäjänä toimiva kunnan viranomainen hyödyntää muita kunnan viranomaisia esimerkiksi henkilötietojen käsittelijän roolissa. 

Esimerkiksi ympäristönsuojelulain (524/2014) 22 §:n mukaan kunnalle kuuluvista lupa- ja valvontatehtävistä sekä ilmoitusmenettelyistä huolehtii kunnan ympäristönsuojeluviranomainen, joka käyttää osaltaan ympäristönsuojelun yleisen edun puhevaltaa päätöksenteossa. Toisena esimerkkinä kuntalain 39 §:n mukaan kunnanhallitus edustaa toimielimenä kuntaa työnantajana ja vastaa kunnan työn antaja- ja henkilöstöpolitiikasta. Näin ollen kunnanhallitus toimii kunnan henkilöstön henkilötietojen käsittelyn osalta kunnassa rekisterinpitäjänä.

Rekisterinpitäjänä toimii kunta.” On mahdollista, että lainsäädännössä suoraan todetaan, että kunta toimii tietyn henkilötietojen käsittelyn osalta rekisterinpitäjänä. Tässä tilanteessa, vastaavasti kuin järjestämisvastuun osalta, kunnan on mahdollista määrätä tehtävien tarkemmasta hoitamisesta hallintosäännön määräyksillä. Esimerkiksi nuorisolain (1285/2016) 12 §:n mukaan nuoren henkilötietojen käsittelystä etsivässä nuorisotyössä vastaa kunta.

”Kunnan viranomainen X on rekisterinpitäjä.” Lainsäädäntö voi myös ottaa kantaa rekisterinpitäjyyteen suoraan ja säätää rekisterinpitäjyyden suoraan tietylle kunnan viranomaiselle. Näissä tilanteissa kunta ei enää voi omilla toimilla vaikuttaa rekisterinpitäjyyden kohdentamiseen, eikä delegointimahdollisuuksia ole. Esimerkiksi työvoimapalveluiden järjestämisestä annetun lain (380/2023) 123 §:n mukaan työllisyys-, kehittämis- ja hallintokeskus ja työvoimaviranomaiset ovat 120 §:ssä tarkoitetun valtakunnallisen tietovarannon yhteisrekisterinpitäjiä.

Jos rekisterinpitäjyyttä ei voida päätellä lainsäädännöstä, Euroopan tietosuojaneuvoston tulkintaohjeiden 07/2020 mukaan osapuolen luokitteleminen rekisterinpitäjäksi on määritettävä käsittelyä koskevien tosiseikkojen arvioinnin perusteella. Tämä tarkoittaa sitä, että rekisterinpitäjä on taho, joka tosiasiallisesti käyttää ratkaisevaa vaikutusvaltaa käsittelyn tarkoituksiin ja keinoihin nähden.

Kunnassa hyödynnetään kameravalvontaa kunnan yleisillä alueilla kunnan omaisuuden suojaamiseksi ja kunnan asukkaiden hyvinvoinnin edistämiseksi. Koska kuntien kameravalvonnasta ei ole erikseen säädetty laissa, rekisterinpitäjyys määräytyy tietosuoja-asetuksen mukaisesti sen perusteella, mikä taho määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Rekisterinpitäjyys voidaan organisoida kunnassa toimintalähtöisesti edellyttäen, että järjestely vastaa tosiasiallisia olosuhteita. 

Käytännössä tiettyjen käsittelytoimien voidaan Euroopan tietosuojaneuvoston tulkintaohjeiden 07/2020 mukaan myös katsoa liittyvän luonnollisesti sellaisen yksikön rooliin tai toimintoihin, johon liittyy viime kädessä tietosuojaan liittyviä velvollisuuksia. Esimerkiksi työnantaja käsittelee työntekijöitään koskevia henkilötietoja, yleensä määrittää henkilötietojen käsittelyn tarkoitukset ja keinot ja toimii näin ollen rekisterinpitäjänä.

Kuntalain 8 §:n 1 momentin mukaan kunta voi järjestää sille laissa säädetyt tehtävät itse tai sopia järjestämisvastuun siirtämisestä toiselle kunnalle tai kuntayhtymälle. Lähtökohtaisesti kunnat voivat lakisääteisiä tehtäviä järjestäessään turvautua säännöksen mukaan kaikkiin kuntalaissa säädettyihin kuntien välisen julkisoikeudellisen yhteistoiminnan muotoihin. Lakisääteiset tehtävät voidaan järjestää yhteistoiminnassa silloinkin, kun erityislaissa ei ole yhteistoiminnan mahdollisuudesta säädetty, jollei nimenomaista kieltoa ole. Perussäännökset kuntien yhteistoiminnasta ovat kuntalain 8 luvussa. Kuntien julkisoikeudellisen yhteistoiminnan muotoja ovat yhteinen toimielin, yhteinen virka, sopimus viranomaistehtävän hoitamisesta ja kuntayhtymä. Yhteistoimintatehtävissä vastuu tietosuojalainsäädännön noudattamisesta on lähtökohtaisesti sillä taholla, joka vastaa yhteistoiminnasta ja jolle rekisterinpitäjyys on tehtävän myötä siirtynyt.

Yhteisrekisterinpitäjä – jaettu vastuu henkilötietojen käsittelystä

Tietosuoja-asetuksen 26 artiklan mukaan, jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Säännöksen mukaan jäsenvaltion lainsäädännössä voidaan määritellä yhteisrekisterinpitäjien vastuualueet. Rekisterinpitäjän määritelmä muodostaa lähtökohdan yhteisrekisterinpitäjyyden määrittämiselle.

Yhteisrekisterinpitäjyyden olemassaolon arviointi edellyttää Euroopan tietosuojaneuvoston tulkintaohjeiden 07/2020 mukaan sen arvioimista, onko rekisterinpitäjälle luonteenomaisten tarkoitusten ja keinojen määrittämisestä päättänyt useampi kuin yksi osapuoli. Yhteinen osallistuminen tarkoitusten ja keinojen määrittämiseen tarkoittaa, että useammalla kuin yhdellä taholla on ratkaiseva vaikutus siihen, tapahtuuko käsittely ja miten se tapahtuu. Yhteinen osallistuminen voi olla esimerkiksi kahden tai useamman tahon tekemä yhteinen päätös tai tulos kahden tai useamman yksikön yhtenevistä päätöksistä, jotka koskevat tarkoituksia ja olennaisia keinoja. Yhteisrekisterinpitäjyys voi olla olemassa silloin, kun samaan käsittelyyn osallistuvat tahot käsittelevät tietoja samoja tai yhteisiä tarkoituksia varten tai kun tahot pyrkivät tarkoituksiin, jotka liittyvät läheisesti toisiinsa tai täydentävät toisiaan. Eri tahot voivat osallistua käsittelyn eri vaiheisiin ja vaihtelevassa määrin.

Vastaavasti kuin rekisterinpitäjyys myös yhteisrekisterinpitäjyys voi perustua lainsäädäntöön tai seurata olosuhteista, jossa vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot. 

Rakennetun ympäristön tietojärjestelmästä annetun lain (431/2023) 4 §:n mukaan Suomen ympäristökeskus, kunnat ja maakuntien liitot ovat alueidenkäytön tietovarannon yhteisrekisterinpitäjiä. Suomen ympäristökeskus ja kunnat ovat rakennustietovarannon yhteisrekisterinpitäjiä. 

Kunnan kohdentaessa viestintää sosiaalisen median käyttäjille kunta toimii sosiaalisen median palveluntarjoajan kanssa yhteisrekisterinpitäjänä. Kunta määrittelee kohdennettua viestintää tehdessään kohdeyleisön parametrit ja sosiaalisen median palveluntarjoaja käyttää sosiaalisen median käyttäjien henkilötietoja viestinnän kohdentamiseen. Euroopan unionin tuomioistuimen oikeuskäytännön ja Euroopan tietosuojaneuvoston tulkintaohjeiden 8/2020 (ohjeet sosiaalisen median käyttäjiin suunnatusta kohdentamisesta) mukaisesti se, että useampi toimija on yhteisvastuussa samasta käsittelystä, ei edellytä, että kaikilla niistä on pääsy kyseisiin henkilötietoihin.

Lisätietoa: 

• Saksan Baden-Württenbergin tietosuojaviranomainen: New Guideline on the use of social networks by public authorities
• Norjan tietosuojaviranomainen Datatilsynet: Norwegian Data Protection Authority choose not to use Facebook

Kunta ja palveluntuottaja voidaan katsoa yhteisrekisterinpitäjiksi, jos ne yhdessä päättävät käsittelyn tarkoituksesta ja keinoista, käsittely hyödyttää molempia osapuolia, eikä palveluntuottaja toimi yksinomaan kunnan lukuun.

Lisätietoa: 

• Ranskan tietosuojaviranomainen CNIL: Determining the legal qualification of AI system providers 

Se, että samaan käsittelyyn osallistuu useita toimijoita, ei kuitenkaan Euroopan tietosuojaneuvoston tulkintaohjeiden 07/2020 mukaan suoraan tarkoita, että ne toimisivat välttämättä tällaisen käsittelyn yhteisrekisterinpitäjinä. Kaikenlaiset kumppanuudet, yhteistyö tai yhteistoiminta eivät merkitse yhteisteisrekisterinpitäjien asemaa, koska sen määrittäminen edellyttää tapauskohtaista analysointia kustakin kyseessä olevasta käsittelystä ja kunkin tahon tarkasta roolista kussakin käsittelyssä. Esimerkiksi yhteisen tietojenkäsittelyjärjestelmän tai infrastruktuurin käyttö ei kaikissa tapauksissa johda siihen, että asianomaisia osapuolia pidettäisiin yhteisrekisterinpitäjinä.

Rajanveto rekisterinpitäjyyden ja yhteisrekisterinpitäjyyden välillä on usein vaikeaa. Määrittely voi olla vaikeaa erityisesti silloin, kun samoja tai osittain samoja henkilötietoja käsitellään kahden tai useamman tahon toimesta näiden määrittelemiin tarkoituksiin joiltakin osin yhteisessä toiminnassa tai alustalla, joka ei ole rekisterinpitäjän tai ainakaan kaikkien rekisterinpitäjien ylläpitämä. Myös kun tietoja luovutetaan viranomaiselta toiselle niille säädettyjen tehtävien hoitamiseksi, voi tulla harkittavaksi, onko kysymys vain tietojen luovutuksesta, jolloin molemmat käsittelevät henkilötietoja omaan lukuunsa ja omiin tarkoituksiin itsenäisinä rekisterinpitäjinä, vai onko kysymyksessä yhteisrekisterinpitäjyys. Käsittelyroolin tulee vastata tosiasiallista asiaintilaa, eikä siitä voida sopia. 

Lisätietoa: 

• Korpisaari, Kuka vastaa henkilötietojen käsittelystä – rekisterinpitäjyyden ja yhteisrekisterinpitäjyyden vaikea rajanveto. Teoksessa Halila, Yksityisoikeus- ja oikeuskulttuuri, Juhlajulkaisu, Edita Helsinki 2022. 

Henkilötietojen käsittelijä toimii rekisterinpitäjän puolesta

Taho, joka käsittelee henkilötietoja rekisterinpitäjän lukuun, on henkilötietojen käsittelijä. Henkilötietojen käsittelijän on rekisterinpitäjään nähden erillinen yksikkö ja sen on käsiteltävä henkilötietoja rekisterinpitäjän puolesta. Henkilötietojen käsittelijä voi olla esimerkiksi yritys, yksityinen elinkeinonharjoittaja, viranomainen tai yhdistys. Erittäin laaja palveluntarjoajien joukko toimii henkilötietojen käsittelijöinä. Henkilötietojen käsittelijällä ei sen sijaan tarkoiteta rekisterinpitäjän alaisuudessa toimivia työntekijöitä, jotka käsittelevät henkilötietoja osana työtehtäviään. Henkilötietojen käsittelijä ei saa käsitellä tietoja muutoin kuin rekisterinpitäjän ohjeiden mukaisesti. Alihankintatapauksissa rekisterinpitäjän määrittely on tapauskohtaista ja käsittelyrooli riippua esimerkiksi hankittavasta palvelusta sekä rekisterinpitäjän antamista ohjeista.

Kunta antaa yritykselle toimeksiannon henkilöstönsä palkanmaksun hallinnoinnista. Kunta antaa selkeät ohjeet siitä, kenelle maksetaan, mitkä summat, mihin päivämäärään mennessä, minkä pankin kautta, kuinka kauan tietoja on säilytettävä, mitä tietoja on luovutettava veroviranomaisille ja niin edelleen. Tässä tapauksessa tietojen käsittely suoritetaan kunnan tarkoituksiin palkkojen maksamiseksi sen henkilöstölle, eikä palkanmaksun hallinnoija saa käyttää tietoja mihinkään omaan tarkoitukseensa. Tapa, jolla palkanmaksun hallinnoijan on suoritettava käsittely, on olennaisilta osin määritelty selkeästi ja tarkasti. Kunta toimii rekisterinpitäjänä, ja palkanmaksun hallinnoija henkilötietojen käsittelijänä, kunhan hallinnoija ei toimi kunnan antamien ohjeiden vastaisesti tai ylitä niitä. (Euroopan tietosuojaneuvoston tulkintaohjeet 07/2020)

Kunta on päättänyt käyttää pilvipalvelujen tarjoajaa tietojen käsittelyyn koulu- ja koulutuspalveluissaan. Pilvipalvelu tarjoaa muun muassa viestipalveluja, videokokouksia, asiakirjojen tallentamista, kalenterinhallintaa ja tekstinkäsittelyä, ja siihen sisältyy koululaisten ja opettajien henkilötietojen käsittelyä. Pilvipalvelujen tarjoaja on tarjonnut standardoitua palvelua, joka on tarjolla maailmanlaajuisesti. Kunnan on kuitenkin varmistettava, että voimassa oleva sopimus on tietosuoja-asetuksen vaatimusten mukainen ja että henkilötietoja, joiden rekisterinpitäjä se on, käsitellään ainoastaan kunnan tarkoituksiin. Sen on myös varmistettava, että pilvipalvelujen tarjoaja noudattaa sen erityisiä säilytysaikoja ja tietojen poistamista ym. koskevia ohjeita riippumatta siitä, mitä standardoidussa palvelussa yleisesti tarjotaan. Tällöin pilvipalvelujen tarjoaja toimii henkilötietojen käsittelijän roolissa. (Euroopan tietosuojaneuvoston tulkintaohjeet 07/2020)

Lisätietoa: 

• Tanskan tietosuojaviranomainen Datatilsynet: Vejledende tekst om rollefordelingen, når private er leverandører til det offentlige, saatavilla osoitteessa

1.2 Rekisterinpitäjyyden organisointi hallintosäännössä

Kuntalain 90 §:n mukaan jokaisessa kunnassa on oltava hallintosääntö. Hallintosäännössä annetaan lain mukaan tarpeelliset määräykset ainakin kunnan hallinnon ja toiminnan järjestämisestä, päätöksenteko- ja hallintomenettelystä ja valtuuston toiminnasta. Hallintosäännössä määrätään kunnan eri viranomaisten toimivallan jaosta ja tehtävistä, ja siten myös tietosuojavastuiden kohdentamisesta kunnassa. 

Myös yleiset kirjaukset rekisterinpitäjyydestä on kunnissa tarpeen sisällyttää hallintosääntöön. Kuntaliiton ylläpitämä hallintosääntömalli on päivitetty vuonna 2025. Malliin on lisätty uusi kappale kunnan tai kunnan toimielimen tehtävistä rekisterinpitäjinä. 

Vaihtoehto 1 

Siltä osin kuin lainsäädännössä rekisterinpitäjän tehtävää ei ole säädetty erikseen toiselle viranomaiselle, kunta toimii rekisterinpitäjänä. Rekisterinpitäjän operatiivisista tehtävistä, kuten tietosuojavastaavan nimeämisestä, tietosuojaa 

Vaihtoehto 2 

Kunnanhallitus ja muut toimielimet toimivat alaisten toimintojensa käsittelyn osalta rekisterinpitäjinä siltä osin kuin lainsäädännössä rekisterinpitäjän tehtävää ei ole säädetty toisen viranomaisen vastuulle. Rekisterinpitäjä

• Toteuttaa tarvittavat tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että henkilötietojen käsittelyssä noudatetaan tietosuojalainsäädäntöä
• Panee tarvittaessa täytäntöön asianmukaiset tietosuojaa koskevat toimintaperiaatteet 
• Nimeää tietosuojavastaavan 

Vaihtoehdossa 1 kunta toimii tehtävien osalta kokonaisrekisterinpitäjänä, joskin kunnanhallituksen yleisestä hallinnon johtamisvastuusta seuraa valvontavelvoite siitä, että henkilötietojen käsittely kunnassa tapahtuu lainmukaisesti. Kunta kohdentaa tässä vaihtoehdossa rekisterinpitäjälle kuuluvat tehtävät eri viranomaisille organisaatiossaan, pääosin kuitenkin kunnanhallitukselle. Vaihtoehdossa 2 perinteisen tulkinnan mukaan kunnassa rekisterinpitäjä on kulloinkin kysymyksessä olevien tehtävien hoidosta säännösten ja määräysten mukaan vastuussa oleva viranomainen. Vastuut voidaan kunnassa kohdentaa myös tämän perinteisen mallin mukaan kunnanhallitukselle sekä lautakunnille ja muille toimielimille erikseen niiden alaisen käsittelytoiminnan osalta. 

Vaihtoehtojen osalta on huomioitava, että erityislainsäädännössä on voitu säätää niistä poikkeavasti rekisterinpitäjyyden kohdentumisesta. Lisäksi on huomioitava, että kunnanhallitus toimii rekisterinpitäjänä ainakin eräiden kunnan yhteisten toimintojen, kuten henkilöstöhallinnon osalta. Jos rekisterinpitäjyys halutaan delegoida hallintosäännön määräyksellä, on delegointiin sisällytettävä kaikki rekisterinpitäjän tehtävät, ei pelkästään muodollista asemaa. Rekisterinpitäjyyden on oltava selkeästi määritelty kunnan hallintosäännössä ja roolin on vastattava viranomaisen tosiasiallista toimintaa henkilötietojen käsittelyssä. 

1.3 Vastuiden määrittäminen sopimuksin henkilötietojen käsittelyn osapuolten välillä

Henkilötietojen käsittelyroolien tunnistaminen on tärkeää myös siksi, että toimijoiden väliset vastuualueet voidaan määrittää tietosuoja-asetuksen mukaisesti. 

Rekisterinpitäjä – henkilötietojen käsittelijä – alikäsittelijä

Tietosuoja-asetus edellyttää sopimaan henkilötietojen käsittelystä rekisterinpitäjän ja henkilötietojen käsittelijän välillä (tietosuoja-asetuksen 28 artikla) sekä henkilötietojen käsittelijän ja sen käyttämän "alikäsittelijän" välillä (tietosuoja-asetuksen 28 artiklan 4 kohta). Sopimuksen puuttuminen on tietosuoja-asetuksen säännösten vastaista. Tietosuoja-asetuksen 28 artiklassa on lueteltu tekijät, joista on sovittava käsittelysopimuksessa. Euroopan tietosuojaneuvoston tulkintaohjeissa 07/2020 on annettu kattavampaa ohjeistusta rekisterinpitäjän ja henkilötietojen käsittelijän välisen sopimuksen vähimmäissisällöstä. Vähimmäisvaatimusten ohella sopimukseen on usein tarpeen sisällyttää määräyksiä myös muista asioista. Tällaisia voivat olla muun muassa rekisteröityjen oikeuksien käyttämistä koskevien pyyntöjen käsittely, tietoturvaloukkauksista ilmoittaminen, auditointien toteuttaminen sekä näistä toimenpiteistä aiheutuvien kustannusten jakautuminen osapuolten kesken.

Koko käsittelyketjua on säänneltävä kirjallisilla sopimuksilla. Jos henkilötietojen käsittelijä aikoo käyttää (hyväksyttyä) alihankkijana toimivaa käsittelijää (”alikäsittelijä”), sen on tehtävä alikäsittelijän kanssa sopimus, jossa asetetaan samat velvoitteet kuin rekisterinpitäjä asettaa henkilötietojen käsittelijälle, tai velvoitteet on asetettava muussa säädöksessä EU:n tai jäsenvaltion lainsäädännön nojalla.

Yhteisrekisterinpitäjät

Tietosuoja-asetuksen 26 artiklan mukaan yhteisrekisterinpitäjät määrittelevät keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin vastuualueen tietosuoja-asetuksen velvoitteiden noudattamiseksi, paitsi siltä osin kuin lainsäädännössä määritellään rekisterinpitäjien vastuualueet. Yhteisrekisterinpitäjien osalta vastuut on usein määritelty laissa. Jos näin on, yhteisrekisterinpitäjiä koskevan keskinäisen järjestelyn (Euroopan tietosuojaneuvoston tulkintaohjeiden 07/2020) mukaan sopimuksen tai muun oikeudellisesti sitovan asiakirjan) on katettava kaikki muut velvollisuudet, jotka ovat tarpeen tietosuoja-asetuksen noudattamisen varmistamiseksi ja joita ei käsitellä lainsäädännössä. Esimerkiksi hallintosäännön määräys yhteisrekisterinpitäjyydestä ei yleensä ole tällainen asiakirja, koska yhteisrekisterinpitäjien tulee määrittää yksityiskohtaisesti kunkin osapuolen vastuualueet tietosuoja-asetuksen velvoitteiden noudattamiseksi.

Itsenäiset rekisterinpitäjät

Tietosuoja-asetus ei suoraan velvoita sopimaan henkilötietojen käsittelystä itsenäisten rekisterinpitäjien välillä. Tietojen luovuttamiseen voi kuitenkin joskus olla tarpeen itsenäistenkin rekisterinpitäjien asettaa sopimuksin ehtoja riskien hallitsemiseksi. Sopimuksissa voidaan sopia esimerkiksi siitä, mihin tarkoituksiin tietoja saa käyttää ja mitä muita ehtoja käsittelyyn liittyy, sekä kuinka toimitaan, jos sopijaosapuolten välillä luovutettuihin tietoihin kohdistuu henkilötietojen tietoturvaloukkaus. Tietojen luovutuksiin viranomaisten välillä sovelletaan myös esimerkiksi julkisuuslakia, jonka vaatimukset tulee tarvittaessa huomioida sopimuksissa. Sopimuksella ei voida rajoittaa tietojen käsittelyä koskevien lakisääteisten velvoitteiden soveltamista.