{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/fi\/alihankkijan-roolin-ymmartaminen-gdprn-mukaisesti-vastuut-ja-seuraukset\/","title":{"rendered":"Alihankkijan roolin ymm\u00e4rt\u00e4minen GDPR:n mukaisesti: Vastuut ja seuraukset"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

GDPR-alihankkija: Miksi palveluntarjoajiesi arvioinnista on tullut t\u00e4rke\u00e4 asia yrityksellesi<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Tietojenk\u00e4sittelyn ulkoistaminen palveluntarjoajalle ei koskaan vapauta yrityst\u00e4 vastuusta. Vuodesta 2021 l\u00e4htien CNIL<\/strong> on lis\u00e4nnyt seuraamuksia organisaatioille, jotka eiv\u00e4t ole arvioineet tai s\u00e4\u00e4nnelleet toimintaansa asianmukaisesti GDPR-alihankkija<\/strong> 1 miljoona euroa Mobius Solutionsia vastaan joulukuussa 2025, 1,5 miljoonaa euroa Dedalus Biologiea vastaan, 600 000 euroa Canal+ Groupia vastaan, 800 000 euroa Discordia vastaan. Viesti on selv\u00e4: ulkoista tietojen k\u00e4sittely henkil\u00f6tiedot<\/strong> ei delegoi vaatimustenmukaisuutta.<\/p>\n

Johtajien kannalta asia on siirtynyt lakiasioista riskienhallintaan. Palveluntarjoajien arviointi, virallistaminen GDPR-alihankintasopimus<\/strong>Ketjun seuranta ajan kuluessa: n\u00e4m\u00e4 ovat lakis\u00e4\u00e4teisi\u00e4 velvoitteita, joiden noudattamatta j\u00e4tt\u00e4minen tulee kalliiksi.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

GDPR-alihankkijan roolin ja velvollisuuksien ymm\u00e4rt\u00e4minen<\/h2>

Kuka on alihankkija GDPR:n tarkoittamassa merkityksess\u00e4?<\/h3>

GDPR m\u00e4\u00e4rittelee henkil\u00f6tietojen k\u00e4sittelij\u00e4ksi luonnollisen henkil\u00f6n tai oikeushenkil\u00f6n, joka k\u00e4sittelee henkil\u00f6tiedot<\/strong> puolesta rekisterinpit\u00e4j\u00e4<\/strong>Heti kun palveluntarjoaja k\u00e4ytt\u00e4\u00e4, is\u00e4nn\u00f6i, analysoi tai tallentaa henkil\u00f6tiedot<\/strong> jonka uskot h\u00e4nelle, h\u00e4n on alihankkija: pilvipalveluntarjoajat, SaaS-julkaisijat, palkanlaskennan tarjoajat, markkinointitoimistot, puhelinkeskukset, CRM-palveluntarjoajat, s\u00e4hk\u00f6postipalveluntarjoajat, IT-yll\u00e4pitoyritykset.<\/p>

Raja, jonka status on rekisterinpit\u00e4j\u00e4<\/strong> ei ole aina ilmeist\u00e4. Palveluntarjoaja, joka p\u00e4\u00e4tt\u00e4\u00e4 tietojenk\u00e4sittelyn tarkoituksesta tai keinoista, siirtyy korkeampaan luokkaan ja kantaa sitten t\u00e4yden vastuun. Juuri t\u00e4h\u00e4n ansaan Mobius Solutions Ltd lankesi, jolle m\u00e4\u00e4r\u00e4ttiin miljoonan euron sakko. CNIL<\/strong> joulukuussa 2025 Deezerin datan uudelleenk\u00e4yt\u00f6st\u00e4 omien palveluidensa parantamiseksi ilman asiakkaan ohjeita.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Alihankkijan velvollisuudet, jotka on esitetty 28 artiklassa<\/h3>

Yleisen tietosuoja-asetuksen 28 artiklassa luetellaan nimenomaisesti alihankkijan velvollisuudet<\/strong> toimi ainoastaan dokumentoitujen ohjeiden mukaisesti, takaa valtuutetun henkil\u00f6st\u00f6n luottamuksellisuuden, toteuta asianmukaiset tekniset ja organisatoriset turvatoimenpiteet, avusta rekisterinpit\u00e4j\u00e4<\/strong> yksil\u00f6iden oikeuksien hallinnassa ja rikkomusten ilmoittamisessa, tietojen poistamisessa tai palauttamisessa palvelun p\u00e4\u00e4ttyess\u00e4 sek\u00e4 yll\u00e4pidossa k\u00e4sittelytoimien rekisteri<\/strong> sen toiminnalle ominainen.<\/p>

T\u00e4m\u00e4 viimeinen velvoite usein unohdetaan. Ranskan tietosuojaviranomainen CNIL on kuitenkin maininnut sen useissa viimeaikaisissa sanktioissa, mukaan lukien Mobius Solutions -tapaus. Rekisterin pit\u00e4m\u00e4tt\u00e4 j\u00e4tt\u00e4minen tarkoittaa, ett\u00e4 menett\u00e4\u00e4 t\u00e4rkeimm\u00e4n todisteen vaatimustenmukaisuudesta tarkastuksen yhteydess\u00e4.<\/p>

Alihankinnan ketjureaktio: ennakkolupa vaaditaan<\/h3>

Alihankkija voi palkata seuraavan alihankkijan ("ketjureaktio") vain, jos siihen on etuk\u00e4teen annettu kirjallinen, erityinen tai yleinen lupa alihankkijalta. rekisterinpit\u00e4j\u00e4<\/strong>Yleisen valtuutuksen tapauksessa palveluntarjoajan on ilmoitettava asiakkaalle kaikista muutoksista, jotta t\u00e4m\u00e4 voi vastustaa niit\u00e4. SaaS-palveluntarjoajan, joka on riippuvainen pilvipalveluntarjoajasta, joka itse k\u00e4ytt\u00e4\u00e4 valvonta-alipalveluntarjoajaa, on kyett\u00e4v\u00e4 dokumentoimaan jokainen ketjun lenkki.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Velvollisuus arvioida alihankkijoita: liian usein laiminly\u00f6ty velvollisuus<\/h2>

GDPR:n nimenomainen ja j\u00e4sent\u00e4v\u00e4 velvoite<\/h3>

GDPR:n 28 artiklan 1 kohta on yksiselitteinen: rekisterinpit\u00e4j\u00e4<\/strong> "K\u00e4yt\u00e4 vain alihankkijoita, jotka tarjoavat riitt\u00e4v\u00e4t takuut." T\u00e4m\u00e4 ei ole suositus, vaan positiivinen velvoite. Ennen sopimuksen tekemist\u00e4 esimiehen on varmistettava, ett\u00e4 palveluntarjoajalla on tarvittavat taidot, menettelytavat ja organisaatio k\u00e4sitell\u00e4 tietoja asetuksen mukaisesti.<\/p>

T\u00e4m\u00e4 edellytt\u00e4\u00e4 virallista arviointimenettely\u00e4: kriteeritaulukkoa, vaatimustenmukaisuuskysely\u00e4, tositteiden pyyt\u00e4mist\u00e4 (turvallisuuspolitiikka, sertifikaatit, Tietosuoja<\/strong>, rekisteri, jonkin nime\u00e4minen Tietosuojavastaava<\/strong>), seuraavien alihankkijoiden analysointi, palvelimen sijainnin ja mahdollisten tiedonsiirrot<\/strong> EU:n ulkopuolella. T\u00e4t\u00e4 arviointia on seurattava ja s\u00e4ilytett\u00e4v\u00e4 \u2013 ilman sit\u00e4 johtaja ei pysty osoittamaan huolellisuuttaan eik\u00e4 vastuuvelvollisuusperiaatteen noudattamista.<\/p>

CNIL-pakotteet, joiden tulisi varoittaa johtajia<\/h3>

Vuonna 2024 CNIL<\/strong> Se m\u00e4\u00e4r\u00e4si 87 pakotetta, joiden yhteism\u00e4\u00e4r\u00e4 oli yli 55 miljoonaa euroa. Useat viimeaikaiset tapaukset osoittavat, ett\u00e4 sen palveluntarjoajien arvioinnista ja s\u00e4\u00e4ntelyst\u00e4 on tullut keskeinen valvonta-alue.<\/p>

Dedalus Biologien tapaus (huhtikuu 2022, 1,5 miljoonaa euroa) on edelleen tyypillinen. CNIL<\/strong> Ranskan kilpailuviranomainen m\u00e4\u00e4r\u00e4si seuraamuksen t\u00e4lle l\u00e4\u00e4ketieteellisten laboratorioiden ohjelmistojulkaisijalle laajan terveystietoja koskevan tietomurron j\u00e4lkeen. Tietoturva-aukon lis\u00e4ksi t\u00e4rkeimp\u00e4n\u00e4 syyn\u00e4 ilmoitettiin artiklan 28 mukaisten pakollisten lausekkeiden puuttuminen sen vakiosopimuksista. T\u00e4m\u00e4 p\u00e4\u00e4t\u00f6s oli k\u00e4\u00e4nnekohta: alihankkijaa voidaan nyt rangaista suoraan suhteen asianmukaisen virallistamisen laiminly\u00f6nnist\u00e4 asiakkaan vastuusta riippumatta.<\/p>

Mobius Solutions Ltd \/ Deezer -tapaus (joulukuu 2025, 1 miljoona euroa) havainnollistaa yleisimpi\u00e4 puutteita: tietojen s\u00e4ilytt\u00e4mist\u00e4 sopimuksen p\u00e4\u00e4ttymisen j\u00e4lkeen, k\u00e4sittely\u00e4 asiakkaan ohjeiden vastaisesti, rekisterin puutetta ja turvatoimien puutetta, jotka johtivat useiden miljoonien k\u00e4ytt\u00e4jien tietojen julkaisemiseen darknetiss\u00e4.<\/p>

Discord-tapaus (2022, 800 000 euroa) johtaa seuraamuksiin rekisterinpit\u00e4j\u00e4<\/strong> 28 artiklan mukaisen sopimuksen puuttuminen. Canal+ Groupille m\u00e4\u00e4r\u00e4ttiin 600 000 euron sakko vuonna 2022, ja sit\u00e4 rangaistiin erityisesti riitt\u00e4vien sopimusj\u00e4rjestelyjen puutteesta. 27. tammikuuta 2021 alkaen CNIL<\/strong> vihki oppinsa voimaan samanaikaisesti hyv\u00e4ksym\u00e4ll\u00e4 rekisterinpit\u00e4j\u00e4<\/strong> (150 000 euroa) ja sen alihankkija (75 000 euroa) siit\u00e4, etteiv\u00e4t ne olleet ryhtyneet toimenpiteisiin valtakirjojen v\u00e4\u00e4rent\u00e4misen est\u00e4miseksi.<\/p>

Mit\u00e4 CNIL tarkastelee auditoinneissaan<\/h3>

P\u00e4\u00e4t\u00f6ksi\u00e4 teht\u00e4ess\u00e4 ohjausruudukko CNIL<\/strong> Yksityiskohdat ovat selventyneet. Viranomainen varmistaa, ett\u00e4 kyseess\u00e4 on GDPR-alihankintasopimus<\/strong> kirjallinen ja 28 artiklan mukainen ohjeiden dokumentointi, ajantasainen luettelo seuraavista alihankkijoista, tosiasiallisesti toteutetut tekniset ja organisatoriset toimenpiteet, ilmoitusmenettelyt tietomurto<\/strong>, j\u00e4rjestelyt yksil\u00f6iden avustamiseksi heid\u00e4n oikeuksiensa kanssa, sopimuksen irtisanomisen ehdot ja suoritettujen tarkastusten j\u00e4ljitett\u00e4vyys.<\/p>

Jotta organisaatiosi voisi valmistautua n\u00e4ihin tarkastuspisteisiin, meid\u00e4n T\u00e4ydellinen opas GDPR-vaatimustenmukaisuustarkastuksiin<\/a><\/strong> yksityiskohtaisesti kuvataan sovellettava menetelm\u00e4.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Haluatko suojata alihankintaketjusi ja osoittaa vaatimustenmukaisuutesi?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tKeskustele Viqtor\u00ae-asiantuntijan kanssa<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Vankan sopimuskehyksen rakentaminen: GDPR:n alihankintasopimus<\/h2>

Artiklan 28 kappaleen 3 pakolliset lausekkeet<\/h3>

Tietojenk\u00e4sittelysopimus (DPA)<\/strong>, Tai GDPR-alihankintasopimus<\/strong>on sis\u00e4llett\u00e4v\u00e4 asetuksessa m\u00e4\u00e4r\u00e4tyt keskeiset lausekkeet: k\u00e4sittelyn kohde ja kesto, luonne ja tarkoitus, tietojen tyyppi ja henkil\u00f6ryhm\u00e4t, velvollisuudet ja oikeudet rekisterinpit\u00e4j\u00e4<\/strong>Sen on my\u00f6s sis\u00e4llett\u00e4v\u00e4 kahdeksan alihankkijan erityist\u00e4 sitoumusta: toimia dokumentoitujen ohjeiden mukaisesti, taata luottamuksellisuus, toteuttaa vaaditut turvatoimenpiteet, ottaa mukaan seuraavia alihankkijoita vain valtuutetuilla henkil\u00f6ill\u00e4, auttaa vastaamaan yksil\u00f6iden pyynt\u00f6ihin, avustaa turvallisuus- ja ilmoitusasioissa, palauttaa tai poistaa tiedot sopimuksen p\u00e4\u00e4ttyess\u00e4 ja asettaa saataville kaikki tarvittavat tiedot tarkastuksia varten.<\/p>

Kustantajan vakioehdot ovat yleens\u00e4 riitt\u00e4m\u00e4tt\u00f6mi\u00e4, kuten CNIL<\/strong> Dedalusta ja useita muita palveluntarjoajia, joille on sittemmin m\u00e4\u00e4r\u00e4tty seuraamuksia, kritisoitiin t\u00e4st\u00e4. Sopimuskohtainen tarkastelu on v\u00e4ltt\u00e4m\u00e4t\u00f6nt\u00e4.<\/p>

Kirjoittamisessa v\u00e4ltett\u00e4v\u00e4t sudenkuopat<\/h3>

Useat virheet heikent\u00e4v\u00e4t s\u00e4\u00e4nn\u00f6llisesti vaatimustenmukaisuutta. Alihankkijan kokonaan vastuusta vapauttava lauseke ei ole t\u00e4yt\u00e4nt\u00f6\u00f6npanokelpoinen aliurakoitsijaa vastaan. CNIL<\/strong> vuodon uhrille. Puuttuva tai vanhentunut luettelo seuraavista alihankkijoista paljastaa rekisterinpit\u00e4j\u00e4<\/strong> ep\u00e4onnistumiseen. Ep\u00e4m\u00e4\u00e4r\u00e4isesti kuvatut turvatoimenpiteet ovat riitt\u00e4m\u00e4tt\u00f6mi\u00e4: CNIL<\/strong> odottaa konkreettista, todennettavissa olevaa ja p\u00e4iv\u00e4tty\u00e4 viiteasiakirjaa. Rikkomusilmoitusmenettelyn puuttuminen tai m\u00e4\u00e4r\u00e4ajat, jotka ovat ristiriidassa 72 tunnin m\u00e4\u00e4r\u00e4ajan kanssa. rekisterinpit\u00e4j\u00e4<\/strong>, pid\u00e4tet\u00e4\u00e4n j\u00e4rjestelm\u00e4llisesti laiminly\u00f6vi\u00e4 alihankkijoita vastaan.<\/p>

Tietosuojavastaavan keskeinen rooli ja tiedonhallinta<\/h3>

THE Tietosuojavastaava<\/strong> Tietosuojavastaavalla (DPO) on keskeinen rooli: h\u00e4n johtaa palveluntarjoajien arviointia, validoi sopimuslausekkeita, valvoo alihankkijoiden rekisteri\u00e4 ja varoittaa johtoa riskeist\u00e4. Tietosuojavastaavan puuttuessa Tietosuojavastaava<\/strong>N\u00e4m\u00e4 teht\u00e4v\u00e4t on suoritettava selke\u00e4sti m\u00e4\u00e4ritellyn toiminnon avulla. tiedonhallinta<\/a> riippuu pitk\u00e4lti t\u00e4st\u00e4 kyvyst\u00e4 yll\u00e4pit\u00e4\u00e4 suhteita alihankkijoihin ajan kuluessa.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Suhteen hallinta ajan kuluessa: auditoinnit, seuranta ja h\u00e4iri\u00f6tilanteet<\/h2>

Jatkuva velvoite, ei pelkk\u00e4 allekirjoitusmuodollisuus<\/h3>

Sen kirjaaminen sopimukseen ei riit\u00e4. rekisterinpit\u00e4j\u00e4<\/strong> on ajan mittaan varmistettava, ett\u00e4 sen palveluntarjoaja noudattaa sitoumuksiaan: s\u00e4\u00e4nn\u00f6lliset tarkastukset, vuosittainen tarkastus Tietosuoja<\/strong>systemaattinen p\u00e4ivitys muutosten yhteydess\u00e4 (uusi seuraava alihankkija, uusi laajuus, uusi palvelimen sijainti).<\/p>

Siell\u00e4 CNIL<\/strong> on yksiselitteinen: alihankkijan k\u00e4ytt\u00f6 ei koskaan vapauta rekisterinpit\u00e4j\u00e4<\/strong> huolellisuusvelvollisuudestaan. Canal+:n m\u00e4\u00e4r\u00e4\u00e4m\u00e4 seuraamus perustui juuri siihen havaintoon, ett\u00e4 palveluntarjoajien tehokasta valvontaa ei ollut toteutettu. Toisaalta yritys, joka kykenee tuottamaan tarkastusraportteja, t\u00e4ytettyj\u00e4 kyselylomakkeita ja toimintasuunnitelmia, osoittaa huolellisuuttaan jopa vaaratilanteen sattuessa.<\/p>

THE Viqtor Alihankkijoiden Moduuli<\/a> keskitt\u00e4\u00e4 arvioinnin, sopimuksen, my\u00f6hemm\u00e4t alihankkijat, auditoinnit ja vaihtohistorian yhteen tietovarastoon.<\/p>

Palveluntarjoajaan liittyv\u00e4\u00e4n tietomurtoon reagoiminen<\/h3>

Merkitt\u00e4v\u00e4 osa vuosittain viranomaisille ilmoitetuista rikkomuksista CNIL<\/strong> mukana alihankkija. rekisterinpit\u00e4j\u00e4<\/strong> Siksi sopimukseen on sis\u00e4llytett\u00e4v\u00e4 nopea h\u00e4lytysj\u00e4rjestelm\u00e4 alusta alkaen. Alihankkijan on ilmoitettava asiakkaalleen "mahdollisimman pian", mik\u00e4 k\u00e4yt\u00e4nn\u00f6ss\u00e4 tarkoittaa 24\u201348 tuntia, jotta ilmoitus ehtii tehd\u00e4 lainmukaisen 72 tunnin m\u00e4\u00e4r\u00e4ajan puitteissa. CNIL<\/strong>Sivumme, joka on omistettu aiheelle tietomurtolausunto<\/a> H\u00e4n selostaa vaiheet yksityiskohtaisesti.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Mit\u00e4 sinun on huomioitava<\/h2>