Ulkoistamisen riskien sopimusoikeudellinen hallinta – Tietosuoja-asetuksen ja DORA-asetuksen sääntelykehys

Abstract

Tutkielman aiheena on henkilötietojen käsittelyn ulkoistamisen riskien sopimusoikeudellinen hallinta finanssialalla. Organisaatiot yhä useammin tekevät strategisen ratkaisun ulkoistaa jonkin toiminnon tai toimintoa tukevan järjestelmäratkaisun. Ulkoistamispäätöksen jälkeen riskienhallintaa toteutetaan kolmessa eri vaiheessa: ensimmäiseksi mahdollisen sopimusosapuolen ennakkoarviointina, toiseksi ulkoistamisjärjestelyjä koskevilla sopimusehdoilla ja kolmanneksi sopimuksen ja palvelun toteutuksen valvontana.

Tutkielmassa tarkastellaan tietosuoja-asetuksen ja DORA-asetuksen sääntelyä, joiden soveltamisalat risteävät henkilötietojen käsittelyn ulkoistamisessa finanssialalla. Tutkielman tavoitteena on jäsentää asetuksien sopimuksia koskevat säännökset riskienhallinnan näkökulmasta. Tutkielman alussa tunnistetaan ulkoistamisen riskejä näiden sääntelyjen näkökulmasta. Tämän jälkeen tarkastellaan asetuksissa määriteltyä vastuunjakoa, joka selventää riskien kohdentumista ja sopimusvapauden rajoja. Tutkimusmetodina käytetään lainoppia, kun säädöstekstiä tulkitaan ja systematisoidaan tutkielman tavoitteen saavuttamiseksi.

Tutkielmassa luodaan sääntelyperusteinen riskiluokittelu, joka sisältää DORA-asetuksen sääntelystä johdetut ulkoistamisen riskit. Asetuksien vaatimia sopimusehtoja tulkitaan siten, miten ne hallitsevat näitä riskejä. Johtopäätöksenä todetaan, että asetuksien sääntelyn mukaiset sopimusehdot suojaavat hyvin ulkoistamisen riskeiltä, kunhan ehdot on laatinut asiantunteva taho ja ehtojen toteutuminen varmistetaan myös käytännössä. Sopimusehtojen avulla ei voida kuitenkaan siirtää vastuuta, joten ulkoistamisen riskit ovat lähtökohtaisesti ulkoistavan osapuolen vastuulla. Sopimusehtoja laatiessa on tärkeä ymmärtää, mitä riskejä niillä hallitaan, jotta sopimusehdoilla voidaan toteutettaa riskienhallintaa organisaation oman riskiympäristön näkökulmasta.

DORA-asetuksen riskiperusteinen lähestymistapa huomioi sopimusvapauden periaatteen, mikä näkyy asteittaisena sääntelynä. Usein DORA-asetuksen soveltuessa myös tietosuoja-asetus tulee sovellettavaksi, jolloin tulee huomioida molempien asetusten sopimusehtoja sääntelevät artiklat. Asetuksien samanaikainen soveltuminen johtaa valvontaviranomaisten päällekkäiseen valvontaan, mutta DORA-asetuksessa keskitytään finanssipalvelujen häiriönsietokykyyn ja tietosuoja-asetuksessa luonnollisten henkilöiden henkilötietojen suojaan.

This thesis examines the contractual management of the risks associated with the outsourcing of personal data processing in the financial sector. Organisations are increasingly making the strategic decision to outsource a particular function or an information system supporting their operations. Following the outsourcing decision, risk management is implemented in three different stages: first, through the prior assessment of a potential contractual counterparty; second, through contractual provisions governing the outsourcing arrangement; and third, through the monitoring of both contractual performance and service delivery.

The thesis examines the regulatory framework established by the General Data Protection Regulation (GDPR) and the Digital Operational Resilience Act (DORA), the scopes of application of which intersect in the outsourcing of personal data processing in the financial sector. The objective of the thesis is to systematise the contractual provisions of these regulations from the perspective of risk management.

The thesis begins by identifying the risks associated with outsourcing from the perspective of these regulatory frameworks. It then examines the allocation of responsibilities established by the regulations, which clarifies the allocation of risks and the limits of contractual freedom. The research employs the doctrinal legal method, as statutory provisions are interpreted and systematised in order to achieve the objective of the thesis.

The thesis develops a regulation-based risk classification that includes outsourcing risks derived from the regulatory framework of DORA. The contractual provisions required under the regulations are interpreted in terms of how they mitigate these risks. The thesis concludes that the contractual provisions required by the regulations provide effective protection against the risks associated with outsourcing, provided that they are drafted by competent professionals and that their implementation is ensured in practice. However, contractual provisions cannot transfer legal responsibility, meaning that the risks associated with outsourcing remain, as a general rule, the responsibility of the outsourcing party. When drafting contractual provisions, it is essential to understand the specific risks they are intended to mitigate so that they can effectively support risk management from the perspective of the organisation’s own risk environment.

DORA’s risk-based approach takes the principle of contractual freedom into account, which is reflected in its graduated regulatory framework. In situations where DORA applies, the GDPR will often also be applicable, requiring consideration of the contractual provisions prescribed by both regulations. The simultaneous application of the two regulatory frameworks results in overlapping supervision by competent authorities; however, DORA focuses on the operational resilience of financial services, whereas the GDPR is concerned with the protection of the personal data of natural persons.