Henkilötietojen käsittelyn ehdot
Henkilötietojen käsittelyn ehdot
1. Yleistä
1.1. Tässä sopimusliitteessä määritellään Sopimuksessa olevien sopimusehtojen lisäksi osapuolia sitovasti ne henkilötietojen käsittelyä ja tietosuojaa koskevat sopimusehdot, joiden mukaisesti käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta ja lukuun.
1.2. Näissä ehdoissa kuvatuista käsittelijän kohtuullisista toimenpiteistä ja velvollisuuksista ei suoriteta erillistä korvausta, ellei toisin ole sovittu. Sellaisista toimenpiteistä, jotka oikeuttavat korvauksiin, sovitaan etukäteen osapuolten kesken.
1.3. ”Rekisterinpitäjän henkilötiedoilla” tarkoitetaan näissä ehdoissa henkilötietoja, joista rekisterinpitäjä vastaa. Henkilötiedon käsite on määritelty EU:n yleisen tietosuoja-asetuksen artiklassa 4. Henkilötiedoilla tarkoitetaan myös pseudonymisoituja henkilötietoja.
1.4. ”Sopimuksella” tarkoitetaan näissä ehdoissa osapuolten välillä tehtyä sopimusta, jonka perusteella henkilötietoja käsitellään, sekä muutossopimusta, jolla muutetaan edellä tarkoitettu sopimus vastaamaan EU:n yleistä tietosuoja-asetusta.
1.5. Osapuolet noudattavat toiminnassaan kulloinkin voimassaolevaa henkilötietojen käsittelyyn ja tietosuojaan liittyvää lainsäädäntöä sekä lainsäädännön nojalla annettuja viranomaismääräyksiä. Sopimuksella ei poiketa lainsäädännön osapuolille asettamista pakottavista velvoitteista.
1.6. Osapuolet tarkistavat Sopimusta tarvittaessa, jos lainsäädäntöön tai sen tulkintaa koskeviin suosituksiin, ohjeistuksiin tai määräyksiin tulee muutoksia.
2. Osapuolten roolit henkilötietojen käsittelyssä
2.1. Rekisterinpitäjä toimii henkilötietojen käsittelyä ja tietosuojaa koskevan lainsäädännön tarkoittamana rekisterinpitäjänä silloin, kun se määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.
2.2. Ryhmittymän ollessa käsittelijänä tämän sopimusliitteen velvoitteet koskevat kaikkia ryhmittymän jäseniä, ja ryhmittymän käyttämiä alihankkijoita, jotka osallistuvat henkilötietojen käsittelyyn.
2.3. Henkilötietojen käsittelyn kohde, luonne ja tarkoitus sekä henkilötietojen tyypit ja rekisteröityjen ryhmät sekä rekisterinpitäjän ja käsittelijän velvollisuudet ja oikeudet kuvataan Sopimuksen liitteenä olevassa käsittelytoimien kuvauksessa ja/tai muussa rekisterinpitäjän kirjallisessa ohjeistuksessa. Jos käsittelytoimien kuvausta ja/tai muuta kirjallista ohjeistusta ei ole tehty tai se on puutteellinen, osapuolet laativat tai täydentävät käsittelytoimien kuvausta. Osapuolen on ilmoitettava toiselle
osapuolelle, jos käsittelytoimien kuvaus tai muu rekisterinpitäjän ohjeistus on puutteellinen tai, jos osapuoli epäilee sitä lainvastaiseksi.
3. Osapuolten velvollisuudet Henkilötietojen käsittely
3.1. Käsittelijä vastaa siitä, että sen Sopimuksessa määritelty osuus Sopimuksen mukaisesta palvelusta on kulloinkin voimassa olevan henkilötietolainsäädännön ja Sopimuksen vaatimusten mukainen, ottaen erityisesti huomioon, mitä on säädetty sisäänrakennetusta ja oletusarvoisesta tietosuojasta sekä hyvästä tietojen käsittelytavasta.
3.2. Jos Sopimuksen perusteella laaditaan tai muuten käsitellään potilasasiakirjoja tai asiakasasiakirjoja, käsittelijä sitoutuu laatimaan ne ja käsittelemään niitä siten kuin potilasasiakirjoja ja asiakasasiakirjoja koskeva lainsäädäntö ja viranomaisten määräykset edellyttävät.
3.3. Osapuolten tulee noudattaa Sopimuksen mukaisessa toiminnassa lakia viranomaisten toiminnan julkisuudesta (621/1999) sekä muita salassapidosta ja vaitiolovelvollisuudesta annettuja voimassa olevia säädöksiä.
3.4. Käsittelijän Sopimuksen mukaisessa toiminnassa käsittelemät asiakkuutta koskevat asiakirjat ovat rekisterinpitäjän asiakirjoja. Toiminnassa käsiteltävien asiakirjojen laatimiseen, käsittelyyn ja arkistointiin noudatetaan samoja periaatteita kuin muihinkin viranomaisten asiakirjoihin siltä osin kuin asiakirjat ovat lainsäädännössä tarkoitettuja viranomaisten asiakirjoja.
3.5. Käsittelijä saa käyttää rekisterinpitäjän henkilötietoja vain Sopimuksen mukaisten palvelujen toteuttamiseen ja silloinkin ainoastaan Sopimuksen tarkoituksen edellyttämässä laajuudessa ja vain sinä aikana, kuin se on Sopimuksen kohteen täyttämiseksi välttämätöntä.
3.6. Palveluntuottaja ei saa muodostaa Kaupungin henkilötiedoista anonyymiä dataa. Kaupunki saa muodostaa Palveluntuottajan henkilötiedoista anonyymiä dataa esimerkiksi tilastointia varten.
3.7. Käsittelijän on käsiteltävä rekisterinpitäjän henkilötietoja rekisterinpitäjän antaman kohtuullisen ohjeistuksen ja niiden päivitysten mukaisesti. Henkilötietoja ei saa käyttää esimerkiksi mainontaan tai markkinointiin eikä niitä saa ilman rekisterinpitäjän lupaa luovuttaa ulkopuolisille ilman lakisääteistä velvollisuutta. Käsittelijän on säilytettävä rekisterinpitäjän henkilötietoja niin, että ne eivät joudu sivullisten käsiin.
3.8. Sen lisäksi, mitä muualla Sopimuksessa on sovittu henkilötietojen suojaa, tietoturvallisuutta ja tietojen salassapitoa koskevista vaatimuksista, käsittelijä sitoutuu toteuttamaan riskiä vastaavan turvallisuustason varmistamiseksi
asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen käsittelyn turvallisuuden varmistamiseksi ottaen huomioon uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit siltä osin kuin käsittelijä voi Sopimuksen perusteella vaikuttaa rekisterinpitäjän henkilötietojen suojaan.
3.9. Käsittelijä huolehtii Sopimuksen perusteella käsittelemiensä rekisterinpitäjän henkilötietojen asianmukaisesta suojaamisesta Sopimuksen vaatimusten, käsittelytoimien kuvauksen ja/tai rekisterinpitäjän kohtuullisen kirjallisen ohjeistuksen sekä omien käytäntöjensä mukaisesti varmistaakseen henkilötietojen luottamuksellisuuden, eheyden ja saatavuuden.
3.10. Käsittelijä korjaa viipymättä havaitut rekisterinpitäjän henkilötietojen käsittelyä koskevat virheet tai puutteet tai siltä osin kuin käsittelijä ei voi vaikuttaa virheen tai puutteen korjaamiseen, ilmoittaa asiasta viipymättä rekisterinpitäjälle.
3.11. Osapuolet dokumentoivat sovitut ja toteutetut toimenpiteet ja huolehtivat siitä, että dokumentaatio on ajan tasalla. Osapuolet arvioivat teknisiä ja organisatorisia toimenpiteitä ja niiden riittävyyttä säännöllisesti.
Ohjeet henkilötietojen käsittelystä
3.12. Käsittelijä käsittelee rekisterinpitäjän henkilötietoja Sopimuksen ja rekisterinpitäjän antamien kohtuullisten kirjallisten ohjeiden mukaisesti.
3.13. Käsittelijä ilmoittaa ilman aiheetonta viivytystä rekisterinpitäjälle, jos rekisterinpitäjän antamat ohjeet tai käsittelijän sisäiset ohjeet ovat puutteellisia tai jos käsittelijä epäilee niitä lainvastaisiksi. Rekisterinpitäjä laatii tai täydentää ohjeita tarvittaessa yhteistyössä käsittelijän kanssa.
3.14. Rekisterinpitäjällä on oikeus muuttaa, täydentää ja päivittää käsittelijälle antamiaan henkilötietojen käsittelyä ja tietosuojaa koskevia ohjeita. Käsittelijä tekee tarvittavat muutostyöt rekisterinpitäjän ohjeiden mukaisesti. Mikäli muutostöistä aiheutuu vähäistä suurempaa vaivaa tai kustannuksia, käsittelijällä on oikeus veloittaa rekisterinpitäjältä muutoksista aiheutuvat kustannukset. Tällaisesta avustamisesta ja kustannuksista sovitaan etukäteen osapuolten kesken.
3.15. Käsittelijä ja muut henkilötietojen käsittelijät sitoutuvat noudattamaan muutettuja, täydennettyjä tai päivitettyjä kohtuullisia ohjeita.
Osapuolten tietosuojavastaavat
3.16. Jos osapuolella ei ole tietosuojavastaavaa, osapuoli on velvollinen nimeämään tietosuojasta vastaavan yhteyshenkilön henkilötietojen käsittelyä varten. Osapuoli ilmoittaa kirjallisesti tässä kohdassa tarkoitetun yhteyshenkilön tai tietosuojavastaavan yhteystiedot ja niiden muutokset toiselle osapuolelle.
Käsittelijän henkilöstö
3.17. Käsittelijä huolehtii siitä, että henkilötietoja käsittelevät vain ne käsittelijän lukuun työskentelevät henkilöt, joiden työtehtäviin rekisterinpitäjän aineiston käsittely kuuluu siltä osin kuin käsittelijä pystyy Sopimuksen perusteella vaikuttamaan asiaan. Käsittelijän on varmistettava, että jokainen käsittelijän alaisuudessa toimiva henkilö, jolla on pääsy rekisterinpitäjän henkilötietoihin, on tietoinen henkilötietojen käsittelyyn liittyvistä velvoitteistaan ja käsittelee niitä ainoastaan Sopimuksen ja osapuolten ohjeiden mukaisesti.
3.18. Käsittelijä vastaa siitä, että sen henkilökunta noudattaa Sopimuksen piiriin kuuluvissa asioissa salassapidosta ja tietosuojasta annettuja säännöksiä, määräyksiä ja Sopimuksen ehtoja mukaan lukien tämän liitteen ehdot.
3.19. Käsittelijä varmistaa, että kaikki sen alaisuudessa toimivat henkilöt, joilla on oikeus käsitellä rekisterinpitäjän henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee lakisääteinen salassapitovelvollisuus. Käsittelijän tulee ohjeistaa henkilöstönsä salassapitoa koskevista säännöksistä ja menettelyistä.
3.20. Käsittelijän velvollisuus on perehdyttää työntekijänsä tietosuojalainsäädäntöön ja viranomaisten tietosuojaa koskeviin määräyksiin.
3.21. Kaupunki perehdyttää Palveluntuottajan työntekijät Kaupungin erityisiin tietosuojaa ja tietoturvaa koskeviin ohjeistuksiin siltä osin, kun Kaupunki ei ole toimittanut ohjeistuksia Palveluntuottajalle.
Käsittelijän avustamis- ja tiedonantovelvollisuus
3.22. Käsittelijä saattaa rekisterinpitäjän saataville tämän pyynnöstä kaikki tiedot, jotka rekisterinpitäjä tarvitsee rekisterinpitäjälle ja käsittelijälle säädettyjen velvollisuuksien noudattamisen osoittamista varten, ja osallistuu pyydettäessä sovitulla tavalla rekisterinpitäjän vastuulla olevien kuvausten ja muiden dokumenttien, kuten EU:n yleisen tietosuoja-asetuksen mukaisen vaikutustenarvioinnin, laatimiseen ja tekemiseen sekä ennakkokuulemisen suorittamiseen ja mahdollisen tietosuojaa koskevan sertifioinnin hankkimiseen. Mikäli avustamisesta aiheutuu vähäistä suurempaa vaivaa tai kustannuksia, käsittelijällä on oikeus veloittaa rekisterinpitäjältä avustamisesta aiheutuvat kustannukset. Tällaisesta avustamisesta ja kustannuksista sovitaan etukäteen osapuolten kesken.
3.23. Ellei Sopimuksen mukaisista palvelutasovaatimuksista muuta johdu, käsittelijä sitoutuu reagoimaan viimeistään 72 tunnin kuluessa rekisterinpitäjän yhteydenotosta ja vastaamaan viimeistään yhden (1) viikon kuluessa rekisterinpitäjän tietosuojaa koskeviin palvelupyyntöihin tai reklamaatioihin tai
muihin viesteihin, pois lukien EU:n yleisen tietosuoja-asetuksen mukaiset tietoturvaloukkaukset, joihin sovelletaan Sopimuksessa määritettyjä määräaikoja.
Auditoinnit
3.24. Käsittelijä sallii tietosuojaan liittyvien menettelyiden tarkastamiseksi rekisterinpitäjän tai sen valtuuttaman auditoijan suorittamat auditoinnit sekä osallistuu niihin ja myötävaikuttaa auditointioikeuden toteutumiseen.
3.25. Auditoinnit eivät saa vaarantaa käsittelijän tai kolmansien osapuolten tietosuojaa tai tietoturvaa.
3.26. Rekisterinpitäjän on ilmoitettava käsittelijälle kirjallisesti auditoinnista kaksi viikkoa ennen auditoinnin toteuttamista ja käsittelijällä on oikeus valmistautua auditointiin. Käsittelijällä on oikeus perustellusta syystä siirtää auditoinnin ajankohtaa.
3.27. Käsittelijällä on oikeus vaatia auditointia suorittavaa tahoa allekirjoittamaan auditointia koskeva salassapitosopimus. Salassapitosopimus ei saa estää tarkastusta koskevien tulosten raportointia rekisterinpitäjälle.
3.28. Auditoinnin tulokset ovat luottamuksellisia, mutta tämä ei estä osapuolta saamasta koko auditointiraporttia sekä sen löydösten korjaussuunnitelmaa käyttöönsä.
3.29. Kumpikin osapuoli vastaa omista auditoinneista aiheutuvista kustannuksistaan. Kaikki kustannukset sovitaan etukäteen ennen auditointioikeuden toteuttamista.
Rekisteröityjen pyynnöt
3.30. Käsittelijä ilmoittaa viipymättä rekisterinpitäjälle kaikista rekisteröityjen pyynnöistä, jotka koskevat rekisteröidyn voimassa olevan lainsäädännön mukaisten oikeuksien käyttämistä. Käsittelijä ohjaa kolmansien osapuolten tekemät rekisterinpitäjän aineistoa koskevat tietopyynnöt ilman aiheetonta viivytystä rekisterinpitäjälle siltä osin kuin käsittelijällä ei ole lainsäädäntöön perustuvaa velvollisuutta vastata tietopyyntöihin.
3.31. Käsittelijä avustaa kohtuullisin toimin rekisterinpitäjää, jotta rekisterinpitäjä pystyy täyttämään velvollisuutensa vastata näihin pyyntöihin.
4. Alihankkijat, jotka käsittelevät henkilötietoja
4.1. Siltä osin kuin käsittelijä käyttää toiminnassaan alihankkijoita, jotka käsittelevät rekisterinpitäjän henkilötietoja, alihankintaan sovelletaan Sopimuksessa kuvattuja ehtoja. Käsittelijä vastaa käyttämiensä alihankkijoiden osuudesta kuin omastaan.
4.2. Jos käsittelijän alihankkija käsittelee rekisterinpitäjän henkilötietoja eikä alihankkijan käyttämisestä ole sovittu Sopimuksessa, alihankkijan käyttäminen edellyttää rekisterinpitäjän ennakkoon kirjallisesti antamaa erityistä tai yleistä lupaa.
4.3. Käsittelijän on ilmoitettava rekisterinpitäjälle etukäteen kirjallisesti kaikista suunnitelluista muutoksista, jotka koskevat henkilötietojen käsittelijöinä toimivien alihankkijoiden lisäämistä tai vaihtamista, ja annettava rekisterinpitäjälle mahdollisuus vastustaa ehdotettuja muutoksia.
4.4. Käsittelijällä on velvollisuus kirjallisilla sopimuksilla sitouttaa käyttämänsä alihankkijat noudattamaan Sopimuksen ehtoja.
5. Palvelun sijainti
5.1. Kaupungilla on oikeus käsitellä Palveluntuottajan henkilötietoja Euroopan talousalueen ulkopuolella edellyttäen, että osapuolet huolehtivat siitä, että henkilötietojen siirto toteutetaan lainsäädännön mukaisesti asianmukaisella siirtosopimuksella noudattaen EU-komission kulloinkin voimassa olevia mallilausekkeita ja/tai muita tuolloin voimassa olevia henkilötietojen siirtoa koskevia vaatimuksia. Henkilötietojen käsittelyllä tarkoitetaan myös pääsyn mahdollistamista rekisterinpitäjän henkilötietoihin, esimerkiksi hallinta- ja valvontayhteyden välityksellä.
5.2. Ellei palvelun tuottamispaikasta ole toisin sovittu, Palveluntuottajalla on oikeus käsitellä Kaupungin henkilötietoja ainoastaan Euroopan talousalueella. Jos osapuolet sopivat, että Palveluntuottaja saa siirtää Kaupungin henkilötietoja Euroopan talousalueen ulkopuolelle, osapuolet huolehtivat siitä, että henkilötietojen siirto toteutetaan lainsäädännön mukaisesti asianmukaisella siirtosopimuksella noudattaen EU-komission kulloinkin voimassa olevia mallilausekkeita ja/tai muita tuolloin voimassa olevia henkilötietojen siirtoa koskevia vaatimuksia.
6. Tietoturvaloukkaukset
6.1. Osapuolilla tulee olla kirjallinen ohjeistus tietoturvaloukkaustilanteissa toimimiseen.
6.2. Käsittelijän on ilmoitettava välittömästi rekisterinpitäjälle tietoonsa tulleesta henkilötietojen tietoturvaloukkauksesta tai vastattava välittömästi rekisterinpitäjän tietoturvaloukkausta koskevaan yhteydenottoon. Lisäksi käsittelijän on vastattava kirjallisesti rekisterinpitäjälle ilman aiheetonta viivytystä ja viimeistään 36 tunnin kuluessa tietoonsa tulleesta henkilötietojen tietoturvaloukkauksesta tai rekisterinpitäjän tietoturvaloukkausta koskevasta yhteydenotosta. Lisäksi käsittelijä sitoutuu ilmoittamaan rekisterinpitäjälle ilman aiheetonta viivytystä muista palvelun häiriö- tai ongelmatilanteista, joilla voi olla vaikutuksia rekisteröityjen asemaan ja oikeuksiin.
6.3. Käsittelijän on annettava rekisterinpitäjälle vähintään seuraavat tiedot tietoturvaloukkauksesta:
1) kuvattava tapahtunut henkilötietojen tietoturvaloukkaus, mukaan lukien asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät, sillä tarkkuudella, kuin nämä ovat tiedossa;
2) ilmoitettava tietosuojavastaavan tai muun vastuuhenkilön nimi ja yhteystiedot, jolta voi saada asiassa lisätietoja;
3) kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset; sekä
4) kuvattava toimenpiteet, joita Käsittelijä ehdottaa tai joita se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta ja tarvittaessa myös toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.
6.4. Henkilötietojen tietoturvaloukkauksen havaittuaan käsittelijä ryhtyy viipymättä toimenpiteisiin tietoturvaloukkauksen vaikutusten rajoittamiseksi ja korjaamiseksi.
7. Henkilötietojen käsittelyn päättyminen
7.1. Sopimuksen voimassaoloaikana käsittelijä ei saa poistaa rekisterinpitäjän lukuun käsittelemiään henkilötietoja ilman rekisterinpitäjän nimenomaista pyyntöä. Henkilötietoja ei saa poistaa, jos lainsäädännössä tai viranomaismääräyksissä edellytetään, että käsittelijä säilyttää henkilötiedot.
7.2. Palveluntuottajan työntekijä käsittelee Kaupungin henkilörekisteriin kuuluvia henkilötietoja silloin, kun Palveluntuottajan työntekijä työskentelee Kaupungille. Palveluntuottaja ei käsittele henkilötietoja muutoin tai sopimuskauden päättymisen jälkeen.
7.3. Kaupunki käsittelee Palveluntuottajan henkilörekisteriin kuuluvia henkilötietoja sopimuskauden aikana ja siihen saakka, kunnes Kaupungin sopimuksessa tai lainsäädännössä asetetut velvollisuudet ovat täytetty. Kaupunki tuhoaa henkilötiedot, kun niille ei ole enää käsittelyperustetta. Kaupunki palauttaa henkilötiedot Palveluntuottajalle, mikäli Palveluntuottaja näin vaatii sopimuskauden aikana tai välittömästi sen jälkeen. Kaupunki säilyttää henkilötiedot kuitenkin siltä osin kuin lainsäädännössä tai viranomaismääräyksissä näin edellytetään.
7.4. Toiminnassa käsiteltävien asiakirjojen arkistoinnissa noudatetaan samoja periaatteita kuin muidenkin viranomaisten asiakirjojen arkistoinnissa siltä osin kuin asiakirjat ovat lainsäädännössä tarkoitettuja viranomaisten asiakirjoja.