Henkilötietojen käsittelijän tietosuoja-asetuksen mukainen vahingonkorvausvastuu

Vielä henkilötietolain aikana korvausvelvollisuus henkilötietojen käsittelyssä tapahtuneesta vahingosta oli rekisterinpitäjällä (HetiL 47 §). Henkilötietodirektiivi jätti jäsenvaltioille mahdollisuuden ulottaa korvausvastuu kansallisessa sääntelyssä myös käsittelijään, mutta tätä mahdollisuutta käytti harva. Teknologian kehittyminen, lisääntynyt alihankkija-asemassa olevien henkilötietojen käsittelijöiden käyttö, sekä ennen kaikkea huomio siitä, miten tietojenkäsittelystä on nopeasti kehittynyt yhdessäkäsittelyä, ovat kuitenkin jatkuvasti kasvattaneet painetta saada henkilötietojen käsittelyyn liittyvää vastuuta jaettua useammille toimijoille. Tietosuoja-asetuksen 82 artiklassa (Vastuu ja oikeus korvauksen saamiseen) henkilötietojen käsittelijä on nyt tuotu näkyväksi vastuunkantajaksi. Artiklan mukaan henkilötietojen käsittelijä on vastuussa käsittelystä aiheutuneesta vahingosta, jos se on toiminut rekisterinpitäjän lainmukaisen ohjeistuksen ulkopuolella tai sen vastaisesti, ja vapautuminen edellyttää näyttöä siitä, ettei käsittelijä ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta. Lisäksi on huomioitava, että käsittelijä voi joutua edellä mainitut edellytykset täyttäessään vahingonkärsijää kohtaan yhteisvastuuseen, jos se on osallistunut samaan tietojenkäsittelyyn kuin missä vahinko on aiheutunut. Tässä pro gradu -tutkielmassa tarkastellaan henkilötietojen käsittelijän tietosuoja-asetuksen mukaista vahingonkorvausvastuuta. Työn ensimmäisessä osiossa tarkastellaan, millaisten tietosuoja-asetuksesta tulevien edellytysten täyttyessä käsittelijä on lähtökohtaisesti vastuussa vahingosta. Työn toinen osio keskittyy puolestaan siihen, milloin käsittelijä tosiasiallisesti päätyy maksamaan vahingonkärsijälle korvauksen. Tämä on eri kysymys kuin ensimmäisessä osiossa esitetty johtuen etenkin saman käsittelyn käsitteen ulottuvuudesta, rekisterinpitäjien ja käsittelijöiden solidaarisesta vahingonkorvausvastuusta suhteessa vahingonkärsijään, sekä elinkeinonharjoittajien välisestä sopimusvapaudesta. Saman käsittelyn käsitteen määritelmän puuttuminen nähdään työssä yhtenä keskeisenä asetuksen ongelmakohtana, ja käsitteelle annetaan vaihtoehtoisia määritelmiä, jotka johtavat erilaisiin lopputulemiin yhteisvelallisten piiriä määritettäessä. Yhteisvastuun osalta nostetaan myös esille muita siihen liittyviä tulkinnallisia ongelmakohtia, jotka tuovat epävarmuutta siihen, millaisissa tilanteissa käsittelijä on lopulta vastuussa. Tutkimuksessa on erityisesti pyritty löytämään sääntelyn jättämiä ongelmakohtia, jotka mahdollistavat erilaisten tulkintojen myötä erilaisia lopputuloksia. Tällä kun on erityisen merkittäviä seurauksia käsittelijän vastuun hahmottamisessa. Tällaisiksi auki jääviksi tai jätetyiksi elementeiksi on työssä katsottu edellisessä kappaleessa mainittujen ohella esimerkiksi roolituksen epävarmuus, lainvastaisen ohjeistuksen seuraukset, hyvin pienessä roolissa käsittelyyn osallistuneiden vastuu, sekä käsiteltävien tietojen luonteen virhearvioinnista seuraava vastuu. Kaikille näille on pyritty muodostamaan perusteltuja tulkintoja. Huomiota on kiinnitetty myös siihen, miten käsittelijä edelleen jää helposti piiloon korvausvaatimuksen kohdetta valittaessa, ja miten tällainen saattaa mahdollistaa välinpitämättömän asenteen asetuksen noudattamista kohtaan. Sama vaikutus voi olla myös sillä, jos käsittelijä on sijoittautunut EU:n ulkopuolelle ja seuraamusten täytäntöönpano on epävarmaa. Työssä on lisäksi päädytty siihen, etteivät toimijat voi keskenään sopia siitä, keneen vahingonkärsijä voi kohdistaa vahingonkorvausvaatimuksen, mutta sopimusvapauden myötä viimekätisestä maksajatahosta ja lopullisista vastuuosuuksista on mahdollista päättää. Vastuuosuuksista sopiminen taas tarkoittaa käytännössä myös artiklan 82(5) regressioikeudesta sopimista, ja regressioikeudestakin sopiminen on näin katsottu mahdolliseksi. Kaikilla näillä on merkittävä vaikutus siihen, päätyykö henkilötietojen käsittelijä vahingonkorvauksen maksajaksi