Organisaatio on kartoittanut käsittelemänsä henkilötiedot ja lajitellut ne omiin rekistereihin.

Kaikista rekistereistä on tehty erillinen tietovirtakuvaus, jossa on kuvattu koko tiedon kaari siitä, kun se saadaan aina sinne, missä kyseinen tieto poistetaan tai tiedon säilytysajan peruste.

Myös selosteet käsittelytoimista on toteutettu sekä rekisterinpitäjän että hebkilötietojen käsittelijä -versioina ja ne on todennettavissa Easy GDPR -palvelussa.

Riskejä on arvioitu rekisterikohtaisesti sekä toteutettu tasapainotestit silloin, kun käsittelyn oikeusperusteena on oikeutettu etu. Lisäksi  on toteutettu vaikutustenarvioinnit (DPIA) silloin, kun laki on sellaisen vaatinut.

Kaikista rekistereistä on toteutettu oma, erillinen tietosuojaseloste, jotka on soveltuvin osin jaettu organisaation verkkosivuilla.

Tietosuojatoimenpiteitä arvioidaan säännöllisesti, toimenpiteet on suunniteltu vuosikelloon ja niitä toteutetaan tietosuojaohjelman mukaisesti.

Arvioitu ja kuvattu rekisterikohtaisissa tietovirtakuvauksissa, joissa on määritelty käsittelyn oikeusperusteet.

Arvioitu tietovirtakuvauksissa käsittelyn kohtuullisuutta suhteessa käyttötarkoitukseen. Samalla on arvioitu, että henkilötietoja ei käsitellä rekisteröidyn kannalta odottamattomalla tavalla.

Periaate on toteutettu rekisterikohtaisilla tietosuojaselosteilla, jossa käsittelystä on kerrottu selkeästi ja ymmärettävästi ja jotka on asetettu helposti saavutettavaksi organisaation verkkosivuille.

Henkilötietojen käyttötarkoitukset on määritelty rekisterikohtaisesti tietovirtakuvauksissa sekä informoitu tietosuojaselosteilla.

Käsiteltävien henkilötietojen käyttötarkoitusperusteiset arvioinnit on kuvattu tietovirtakuvauksissa. Tietoja käsitellään vain siltä osin ja niin kauan, kuin se määritellyn tarkoituksen kannalta on välttämätöntä.

Tietosuojan toteutussuunnitelmassa vuosikelloon allokoitu säännöllinen tarkastus.

Tietojen säilytysaikoja on rekisterikohtaisesti arvioitu tietovirtakuvauksissa ja informoitu tietosuojaselosteilla.

Suojaustoimia on arvioitu tietovirtakuvauksissa niihin kohdistuvine riskeineen, informoitu tietosuojaselosteilla sekä varmistetaan henkilötietojen käsittely niitä käsittelevien toimihenkilöiden säännöllisellä koulutuksella.

Toteutettu, dokumentoitu ja todennettavissa Easy GDPR -palvelussa.

Suunniteltu ja dokumentoitu Easy GDPR -palvelussa eri osioissa sekä jalkautettu henkilöstön koulutusten ja ohjeistusten kautta läpi koko organisaation.

Rekisterinpitäjä on huomioinut saatavilla olevan tekniikan suunnitellessaan organisatorisia toimenpiteitä ja ne on kuvattu Easy GDPR -palvelussa.

Rekisterinpitäjä on allokoinut riittävät resurssit organisaation tietosuojatoimenpiteiden toteutusta varten ja sen mahdollistamiseksi hankkinut D-Fence Easy GDPR -palvelun.

Organisaatio on arvioinut ja dokumentoinut teeman mukaiset toimenpiteet Easy GDPR -palvelun eri osioissa.

Todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit on kuvattu tietovirtakuvauksissa rekisterikohtaisesti yleisellä tasolla ja tarkemmin tietosuojan vaikutustenarvioinneissa niiltä osin, kun laki niiden toteuttamista on vaatinut.

Rekisteriä pitävä organisaatio on arvioinut rekisterikohtaisesti kyseisen rekisterin henkilötietoihin liittyviä käsittelytoimia sekä niihin kohdistuvia mahdollisia riksejä.

Organisaatio ylläpitää jatkuvasti sisäänrakennettua ja oletusarvoista tietosuojaa, joka on toteutettu, dokumentoitu ja todennettavissa Easy GDPR -palvelussa.

Organisaatio on määritellyt tietojen minimoinnin periaatteen mukaisesti kutakin käyttötarkoitusta varten tarpeellisia tietoja ja kuvannut ne tietovirtakuvauksissaan.

Organisaatio on määritellyt tietojen minimoinnin periaatteen mukaisesti kutakin käyttötarkoitusta varten tarpeellisia tietoja ja kuvannut ne tietovirtakuvauksissaan.

Henkilötietoihin kohdistuvat käsittelytoimet on rajoitettu vain niihin, mikä on välttämätöntä käyttötarkoituksen kannalta ja ne on kuvattu tietovirtakuvauksissa.

Edelleen tietojen säilytysajat tai niiden määräytymisen perusteita on suunniteltu ja kuvattu tietovirtakuvauksissa.

Käsiteltävien tietojen saatavuutta on suunniteltu ja kuvattu tietovirtakuvauksissa.

Organisaatio on informoinut tietojen käsittelystä läpinäkyvästi tietosuojaselosteilla, jotka on jaettu organisaation verkkosivuille helposti rekisteröityjen saavutettavaksi.

Kaikkien henkilötietojen käsittelylle on henkilötietoryhmittäin määritelty käsittelyn oikeusperuste. Ne on kuvattu tietovirtakuvauksissa ja informoitu rekisteröidyille tietosuojaselosteilla.

Organisaatio on suunnitellut ja toteuttanut käsittelytoimet siten, että henkilötietoja ei käsitellä rekisteröidyn kannalta perusteettoman haitallisella, syrjivällä, odottamattomalla tai harhaanjohtavalla tavalla. Rekisteröidyille on taattu riittävä itsemääräämisoikeus sekä mahdollistettu vuorovaikutus rekisteriäpitävän organisaation tietosuojayhteyspisteen kautta. Tämä yhteyspiste on informoitu rekisteröidyille tietosuojaselosteilla.

Oikeus on informoitu organisaation tietosuojaselosteissa yhteyspisteineen oikeuden toteuttamiseksi.

Oikeus on informoitu organisaation tietosuojaselosteissa yhteyspisteineen oikeuden toteuttamiseksi.

Oikeus on informoitu organisaation tietosuojaselosteissa yhteyspisteineen oikeuden toteuttamiseksi.

Oikeus on informoitu organisaation tietosuojaselosteissa. Oikeuden toteutumisen helpottamiseksi organisaatio on kuvannut tietovirtakuvaukissa ne järjestelmät, joissa kunkin rekisterin tietoja käsitellään.

Oikeus on informoitu organisaation tietosuojaselosteissa yhteyspisteineen oikeuden toteuttamiseksi.

Oikeus on informoitu organisaation tietosuojaselosteissa yhteyspisteineen oikeuden toteuttamiseksi. Tätä oikeutta voi rekisteröity käyttää vain jos tietojen käsittelyperusteena on suostumus tai sopimus.

Oikeus on informoitu organisaation tietosuojaselosteissayhteyspisteineen oikeuden toteuttamiseksi. 

Oikeus on informoitu organisaation tietosuojaselosteissa yhteyspisteineen oikeuden toteuttamiseksi.

Toimittajien sopimustilanteen hallinta on toteutettu Easy GDPR -palvelun "palveluntarjoajat" osiossa ja sopimustilanteet arvioidaan säännöllisesti.

Samaisessa palveluntarjoajat-osiossa hallitaan myös ohjeistusten tilanne.

Henkilötietoja käsittelevien alihankkijoiden ja toimittajien tilan arviointi on kirjattu tietosuojasuunnitelman vuosikelloon.

Henkilöstön tietoturvaosaamisesta huolehditaan koulutuksella ja se on yksi tietosuojasuunnitelman vuosikelloon määritellyistä toimenpiteistä.

Organisaatiolla on käytössään tietoturvapolitiikka sekä erityisohjeita laadukkaan kyberkyvykkyyden ylläpitämiseksi.

Käytettävät järjestelmät pidetään ajan tasalla ja toimihenkilöiden päätelaitteissa on asianmukaiset turvaohjelmistot.

Henkilötietoja tai kriittistä liiketoimintatietoa käsitellään asiankuuluvalla huolellisuudella, joka on osa toimihenkilökohtaista osaamista.

Tapahtumia lokitetaan siellä, missä järjestelmät sen mahdollistavat tai laki sitä vaatii.

Organisatoriset ja tekniset suojaustoimet

Henkilötietoja käsittelevä henkilöstö on ohjeistettu tilaajan antamalla ohjeistuksella. Tietosuojaosaamista ylläpidetään säännöllisillä tietosuojakatsauksilla.

Organisaation toteuttamat lain vaatimuksiin perustuvat henkilötietojen käsittelytoimet ja niihin liittyvä dokumentaatio ovat kokonaisuudessaan todennettavissa Easy GDPR-palvelussa.

Osoitusvelvollisuuden periaatteiden toteutuminen

Organisaatio on toteuttanut riittävät tekniset ja organisatoriset suojaustoimet ja sisällyttänyt ne osaksi käsittelyä. Näin käsittely vastaa vaatimuksia ja rekisteröityjen oikeuksia ja vapauksia suojellaan.

Sopimus henkilötietojen käsittelystä (DPA)

Organisaatio on tehnyt toimeksiantoon liittyvät lainmukaiset sopimukset rekisterinpitäjän kanssa.

Rekisterinpitäjän ohjeistus henkilötietojen käsittelijälle

Organisaatio käsittelee tietoja ainoastaan rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti.

Henkilötietojen käsittelijä on informoinut läpinäkyvästi muista henkilötietoja käsittelevistä toimijoista ja huolehtii, että ne käsittelevät tietoja samalla huolellisuudella kuin organisaatio itse.

Organisaatio ei siirrä tietoja kolmansille osapuolille ilman rekisterinpitäjän nimenomaista lupaa.

Käsitellessään henkilötietoja rekisterinpitäjän lukuun organisaatio huolehtii siitä, että tietoja käsittelevät vain sellaiset henkilöt, joilla on oikeus käsitellä niitä.

Organisaatio on toteuttanut riittävät tietoturva-toimenpiteet, joiden riittävyyden arviointi on sisällytetty tietosuojahallinnon vuosikelloon.