Rekisterinpitäjä eli se, joka päättää, miksi ja miten henkilötietoja käsitellään, korvaa vahingon, joka aiheutuu tietosuoja-asetuksen vastaisesta käsittelystä. Korvattavaa voi olla sekä aineellinen vahinko, kuten huijauksessa menetetty raha, että aineeton vahinko, kuten huoli ja häpeä. Vahingon kärsijän on näytettävä rikkomus, vahinko ja niiden välinen syy-yhteys, mutta rekisterinpitäjä vapautuu vain osoittamalla, ettei se ole millään tavalla vastuussa vahingon aiheuttaneesta tapahtumasta.

Korvausta vaaditaan rekisterinpitäjältä ja riidassa käräjäoikeudessa. Tietosuojavaltuutettu valvoo käsittelyn lainmukaisuutta, mutta se ei määrää korvausta.

Henkilö tai yhteisö, joka ylläpitää henkilötietoja sisältävää rekisteriä, voi joutua vahingonkorvausvastuuseen tietojen laittoman käytön perusteella. Henkilötiedolla tarkoitetaan kaikkia tietoja, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan henkilöön, esimerkiksi hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä. Tyypillisiä henkilörekistereitä ovat esimerkiksi yrityksen asiakasrekisteri tai potilasrekisteri.

Rekisterinpitäjä on juridisessa vastuussa rekisteristä. Rekisterinpitäjän on korvattava sellainen aineellinen ja aineeton vahinko, joka aiheutuu laittomasta henkilötietojen käsittelystä rekisteröidylle tai muulle henkilölle.

Tietosuoja-asetuksen 82 artiklan mukainen korvausvastuu edellyttää asetuksen rikkomista, vahinkoa ja niiden välistä syy-yhteyttä. Vahingonkärsijän ei tarvitse erikseen näyttää rekisterinpitäjän tahallisuutta tai huolimattomuutta. Rekisterinpitäjä voi vapautua korvausvastuusta osoittamalla, ettei se ole millään tavalla vastuussa vahingon aiheuttaneesta tapahtumasta. Korvattavaa voi olla myös lainvastaisesta henkilötietojen käsittelystä aiheutunut aineeton vahinko, kuten häpeä tai muu kärsimys.

Vahinkojen ennaltaehkäisemiseksi laissa on asetettu henkilörekisterin pitäjälle useita velvoitteita, esimerkiksi huolellisuus tietojen käsittelyssä ja kielto käsitellä tietoja, ellei siihen ole perustetta. Erityisesti terveystietojen ja muiden arkaluonteisten henkilötietojen puutteellinen suojaaminen voi aiheuttaa merkittävää vahinkoa. Korvausvastuu edellyttää kuitenkin tietosuoja-asetuksen rikkomista, vahinkoa ja niiden välistä syy-yhteyttä.

Suomessa henkilötietojen käsittelyn lainmukaisuutta valvoo tietosuojavaltuutettu, joka voi tarvittaessa puuttua lainvastaiseen toimintaan (tietosuojalain 8 ja 14 §). Tavallisten kansalaisten onkin yleensä vaikea saada kokonaiskuvaa siitä, mihin kaikkialle heidän henkilötietojaan on kirjattu ja kuka näitä tietoja käyttää. Tietosuojavaltuutettu turvaa toiminnallaan myös rekisteröityjen oikeuksia.
 

Keitä vastuu koskee: rekisterinpitäjä, käsittelijä ja rekisteröity

Henkilörekisterin pitäjä on vanhahtava ilmaisu. Nykyisessä tietosuojasääntelyssä käytetään termiä rekisterinpitäjä, eikä henkilötietojen käsittely rajoitu varsinaisiin rekistereihin. Myös yksittäinen sähköposti, valokuva tai Excel-taulukko voi sisältää henkilötietoja.

Rekisterinpitäjä on se, joka päättää, miksi ja miten henkilötietoja käsitellään. Se voi olla yritys, yhdistys, taloyhtiö, viranomainen tai yksityinen elinkeinonharjoittaja. Henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän lukuun, esimerkiksi palkanlaskentaa, asiakasjärjestelmää tai pilvipalvelua hoitava yritys. Rekisteröity on se ihminen, jonka tietoja käsitellään.

Käsittelijän vastuu on rajatumpi kuin rekisterinpitäjän. Käsittelijä vastaa vahingosta, jos se on rikkonut nimenomaan käsittelijälle asetettuja tietosuoja-asetuksen velvoitteita tai toiminut rekisterinpitäjän lainmukaisten ohjeiden vastaisesti. Jos useampi käsittelyyn osallistunut taho on vastuussa samasta vahingosta, ne voivat joutua yhteisvastuuseen koko vahingosta (tietosuoja-asetuksen 82 artiklan 2 ja 4 kohta). Korvausvaatimus voidaan kohdistaa rekisterinpitäjään tai vastuussa olevaan käsittelijään.
 

Mitä lakia sovelletaan

Rekisterinpitäjän korvausvastuu perustuu EU:n yleiseen tietosuoja-asetukseen, jota on sovellettu toukokuusta 2018. Asetus on suoraan voimassa olevaa oikeutta Suomessa. Kansallinen tietosuojalaki (1050/2018) tuli voimaan 1.1.2019 ja kumosi henkilötietolain (523/1999).

Tietosuojalaki täsmentää ja täydentää asetusta, mutta siinä ei ole omaa vahingonkorvaussäännöstä. Korvausriita käsitellään muilta osin tavallisessa suomalaisessa riita-asian menettelyssä.

Jos käsittely on tapahtunut ennen kuin asetusta alettiin soveltaa, vastuu arvioidaan tuolloin voimassa olleen henkilötietolain mukaan. Käytännössä näin vanhat korvausvaatimukset ovat usein jo vanhentuneet.

Kun toimivaltainen viranomainen käsittelee henkilötietoja esimerkiksi rikosten ennalta estämiseksi, selvittämiseksi tai syyteharkintaan saattamiseksi, käsittelyyn sovelletaan lakia henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1054/2018). Tällainen käsittely jää yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle, eikä siihen sovelleta myöskään tietosuojalakia (tietosuojalain 2 §:n 3 momentti). Rikosasioiden tietosuojalain 60 §:ssä säädetään erikseen rekisterinpitäjän vahingonkorvausvastuusta.
 

Milloin rekisterinpitäjä joutuu korvaamaan

Korvausvastuu edellyttää kolmea asiaa:

1. Henkilötietoja on käsitelty tietosuoja-asetuksen vastaisesti. Käsittelyltä on puuttunut peruste, tietoja on käsitelty laajemmin kuin tarkoitus edellyttää, tiedot ovat olleet virheellisiä tai tietoturva on ollut puutteellinen.
2. Sinulle on aiheutunut vahinkoa. Pelkkä rikkominen ei vielä ole korvattava vahinko, vaan sinun on kerrottava ja näytettävä, millaista haittaa tai menetystä siitä seurasi.
3. Vahinko johtuu juuri tästä käsittelystä eli niiden välillä on syy-yhteys.

Kun nämä on näytetty, rekisterinpitäjä voi vapautua vain osoittamalla, ettei se ole millään tavalla vastuussa vahingon aiheuttaneesta tapahtumasta. Pelkkä yleinen huolellisuus ei välttämättä riitä. Yleisestä vahingonkorvauslaista tuttua tuottamusta eli huolimattomuutta vahingon kärsijän ei tarvitse erikseen näyttää.

Käsittelyn lainmukaisuus ja korvausvastuu kulkevat käsi kädessä. Rekisterinpitäjän perusvelvollisuudet, kuten käsittelyperuste, tietojen virheettömyys ja tietoturvasta huolehtiminen, ovat keskeisiä, kun arvioidaan, onko asetusta rikottu.

Mitä suurempia riskejä henkilötietojen käsittely aiheuttaa, sitä asianmukaisempia suojatoimia se edellyttää. Erityisesti terveystietojen ja muiden erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyyn liittyy korostuneita vaatimuksia. Myös taloudellista tilannetta koskevat tiedot voivat edellyttää vahvoja suojatoimia.
 

Mitä vahinkoa korvataan

Aineellinen vahinko on rahassa mitattava menetys. Se voi olla esimerkiksi huijauksessa menetetty raha, kun vuotaneita tietoja on käytetty petokseen, tai kulut, joita sinulle syntyi tunnusten vaihtamisesta, uuden henkilökortin hankkimisesta tai virheellisen merkinnän oikaisemisesta. Myös menetetty asunto, laina tai työpaikka voi olla vahinkoa, jos syy-yhteys virheelliseen käsittelyyn näytetään.

Aineeton vahinko tarkoittaa haittaa, jota ei voi suoraan laskea rahassa. Se voi olla esimerkiksi huolta, häpeää, pelkoa tietojen väärinkäytöstä tai muuta kärsimystä siitä, että yksityiset tiedot levisivät.

Aineettomankin vahingon on oltava todellinen, ja sen syntyminen on pystyttävä kuvaamaan uskottavasti. Aineettoman vahingon korvattavuudelle ei ole asetettu yleistä vakavuuden vähimmäiskynnystä, mutta vahingon olemassaolo ja syy-yhteys tietosuojarikkomukseen on silti osoitettava.
 

Kun käsittelyyn osallistuu useampi taho

Jos samaan käsittelyyn osallistuu useita rekisterinpitäjiä tai käsittelijöitä ja ne ovat vastuussa samasta vahingosta, kukin niistä voi joutua vastaamaan koko vahingosta. Tarkoitus on, että vahingon kärsijä saa korvauksen eikä joudu selvittämään yritysten välistä työnjakoa. Koko korvauksen maksanut voi periä muilta niiden osuuden takaisin.
 

Tietomurto ja tietovuoto

Kun rikollinen murtautuu tietojärjestelmään, kyse voi olla rikoslain 38 luvun 8 §:ssä tarkoitetusta tietomurrosta. Rikoksentekijän vastuu ei kuitenkaan yksin ratkaise rekisterinpitäjän korvausvastuuta. Rekisterinpitäjä voi joutua korvausvastuuseen, jos tietosuoja-asetuksen 82 artiklan mukaiset edellytykset täyttyvät.

Pelkkä vuoto ei yksin ratkaise, että rekisterinpitäjä on rikkonut asetusta. Ratkaisevaa on, olivatko sen tietoturvatoimet riittävät tietojen laatuun ja riskeihin nähden. Rekisterinpitäjän on kuitenkin itse pystyttävä näyttämään, mitä se teki: millaiset suojaukset, salaukset, päivitykset ja käyttöoikeuksien rajaukset sillä oli. Jos esimerkiksi salasanoja on säilytetty salaamattomina tai tiedossa ollut tietoturva-aukko on jätetty korjaamatta, vapautuminen on vaikeaa.
 

Valvonta, seuraamusmaksu ja korvaus ovat eri asioita

Tietosuojavaltuutettu on Suomessa tietosuoja-asetuksessa tarkoitettu valvontaviranomainen. Voit saattaa asian valtuutetun käsiteltäväksi, jos katsot, että tietojasi käsitellään lainvastaisesti (tietosuojalain 21 §).

Valtuutetun on käsiteltävä kantelu kolmessa kuukaudessa tai ilmoitettava sinulle tässä ajassa arvio päätöksen ajankohdasta. Jos se laiminlyö tämän, voit valittaa hallinto-oikeuteen. Valtuutettu voi tehostaa tiettyjä päätöksiään uhkasakolla (tietosuojalain 22 §).

Hallinnollisen seuraamusmaksun määrää tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen muodostama seuraamuskollegio. Seuraamusmaksua ei voida määrätä valtion tai kunnan viranomaisille, eikä sitä saa määrätä, jos rikkomuksesta tai laiminlyönnistä on kulunut yli kymmenen vuotta (tietosuojalain 24 §). Tietyt henkilötietojen lainvastaisen käsittelyn teot voivat lisäksi täyttää rikoslain 38 luvun 9 §:ssä säädetyn tietosuojarikoksen tunnusmerkistön (tietosuojalain 26 §).

Seuraamusmaksu maksetaan valtiolle, eikä se korvaa sinun vahinkoasi. Tietosuojavaltuutettu ei myöskään ratkaise vahingonkorvausasiaa. Jos rekisterinpitäjä ei maksa korvausta vapaaehtoisesti, riita ratkaistaan käräjäoikeudessa.

Valtuutetun päätöksestä voi silti olla hyötyä näyttönä siitä, että käsittely oli lainvastaista. Voit tehdä kantelun ja vaatia korvausta samaan aikaan.
 

Media ja journalismi

Tietosuojalain 27 §:ssä säädetään poikkeuksista tietosuoja-asetuksen soveltamiseen silloin, kun henkilötietoja käsitellään journalistisia tarkoituksia varten. Poikkeusten tavoitteena on sovittaa yhteen henkilötietojen suoja ja sananvapaus. Median julkaisemaan sisältöön liittyvää vastuuta voidaan arvioida myös rikoslain ja vahingonkorvauslain perusteella.
 

Esimerkkejä

Esimerkki: Verkkokaupan asiakasrekisteri vuotaa, ja asiakkaan nimi, osoite ja ostohistoria leviävät. Pian hän saa huijausviestin ja menettää 500 euroa. Jos vuoto johtui riittämättömästä tietoturvasta, hän voi vaatia korvausta sekä rahasta että huolesta, kun hän näyttää vahingon ja sen yhteyden vuotoon. Verkkokauppa vapautuu vain osoittamalla, ettei vuoto ollut millään tavalla sen vastuulla.

Esimerkki: Esihenkilö lähettää työntekijän sairauslomatodistuksen diagnooseineen koko työyhteisön sähköpostilistalle. Terveystietojen levittämiselle ei ollut perustetta, joten käsittely oli lainvastaista. Työntekijä voi vaatia työnantajalta korvausta kokemastaan häpeästä. Teko voi samalla olla rikos.

Esimerkki: Yrityksen asiakasrekisteriin on merkitty väärin, että sinulla on maksamaton lasku perinnässä, ja vuokranantaja hylkää hakemuksesi. Pyydä ensin virheen korjaamista. Korvausta voit vaatia, jos pystyt näyttämään, että hylkäys johtui juuri virheellisestä tiedosta eikä esimerkiksi muista hakijoista.

Mitä tehdä, jos epäilet tietojasi käsitellyn väärin

1. Selvitä tilanne. Pyydä rekisterinpitäjältä tiedot siitä, mitä tietoja sinusta käsitellään, mistä ne on saatu ja kenelle niitä on luovutettu. Tietovuodossa pyydä selvitys siitä, mitä tapahtui ja mitä tietoja vuoto koski.
2. Rajaa vahinko. Vaihda salasanat, ilmoita pankille ja harkitse luottotietojen tai henkilöllisyyden väärinkäytön estämistä. Rajaamatta jätetystä vahingosta voi olla vaikea saada korvausta.
3. Vaadi korjausta. Jos tieto on väärä, vaadi sen korjaamista tai poistamista.
4. Kokoa näyttö. Säilytä viestit, päivämäärillä varustetut kuvakaappaukset, ilmoitus tietoturvaloukkauksesta sekä kuitit menetyksistä ja aiheutuneista kuluista. Kirjaa, miten tilanne on vaikuttanut sinuun.
5. Esitä yksilöity korvausvaatimus rekisterinpitäjälle. Kerro, mihin rikkomukseen vaatimus perustuu, mitä vahinkoa syntyi ja paljonko vaadit. Aseta kohtuullinen vastausaika, esimerkiksi kaksi viikkoa.
6. Tee tarvittaessa kantelu tietosuojavaltuutetulle.
7. Jos sovintoa ei synny, asia ratkaistaan käräjäoikeudessa.

Korvaussaatava vanhenee yleensä kolmessa vuodessa.

Jos korvausvaatimus perustuu sopimusrikkomukseen, aika alkaa siitä, kun vahingonkärsijä havaitsi tai hänen olisi pitänyt havaita virheellisyys sopimuksen täyttämisessä. Sopimussuhteen ulkopuoliseen vahingonkorvaukseen perustuvassa vaatimuksessa aika alkaa siitä, kun vahingonkärsijä sai tai hänen olisi pitänyt saada tieto vahingosta ja siitä vastuussa olevasta. Sovellettava alkamisajankohta riippuu korvausvaatimuksen oikeudellisesta perusteesta eikä pelkästään siitä, onko rekisterinpitäjä vahingonkärsijän sopimuskumppani (velan vanhentumisesta annetun lain 4 § ja 7 §:n 1 momentin 1 ja 3 kohta).

Vanhentumiseen sovelletaan lisäksi lain 7 §:n 2 momentin mukaista enimmäisaikaa ja sen poikkeuksia. Vanhentumisen voi katkaista esimerkiksi esittämällä rekisterinpitäjälle riittävästi yksilöidyn korvausvaatimuksen (10 §).

Huomaa, että kantelu tietosuojavaltuutetulle ei ole korvausvaatimus rekisterinpitäjälle.
 

Mitä rekisterinpitäjä voi vastata

Rekisterinpitäjä vetoaa usein siihen, että käsittelylle oli peruste, että tietoturva oli asianmukainen tai ettei vahinkoa ole syntynyt. Se voi myös väittää, että huijaus johtui muusta kuin vuodosta, esimerkiksi aiemmin julkisista tiedoista tai muualla tapahtuneesta vuodosta. Siksi syy-yhteyden näyttäminen ratkaisee usein asian. Mitä tarkemmin pystyt osoittamaan, että juuri tämän rekisterin tiedot päätyivät väärinkäyttäjälle, sitä vahvempi vaatimuksesi on.

Rekisterinpitäjän kannalta olennaista on dokumentointi. Kun vahinko on sattunut, sen pitää pystyä näyttämään, millaiset käsittelyperusteet, ohjeet, sopimukset käsittelijöiden kanssa ja tietoturvatoimet sillä oli. Ilman tätä aineistoa vastuusta on vaikea vapautua. Viranomaisen puuttuminen ja vahingonkorvausvastuu voivat toteutua samanaikaisesti.
 

Raha ja kulut

Korvauksen suuruus riippuu vahingosta. Aineellinen vahinko korvataan todellisen menetyksen mukaan, ja sen näyttämiseen tarvitaan kuitit ja tiliotteet. Aineettoman vahingon määrä arvioidaan tapauskohtaisesti vahingonkärsijälle aiheutuneiden todellisten seurausten perusteella. Arvioinnissa voidaan ottaa huomioon esimerkiksi tietojen arkaluonteisuus ja leviämisen laajuus.

Kun vaadittava summa on pieni, oikeudenkäynnin kuluriski voi olla suurempi kuin itse vaatimus. Hävinnyt osapuoli joutuu yleensä korvaamaan vastapuolen kohtuulliset oikeudenkäyntikulut. Tarkista siksi ennen kannetta, kattaako kotivakuutuksesi oikeusturvavakuutus riidan. Lisätietoa: Oikeudenkäyntikulut ja Oikeusturvavakuutus.
 

Tavalliset virheet yksin toimiessa

Moni tyytyy kanteluun tietosuojavaltuutetulle ja odottaa korvausta sitä kautta. Kantelu ei kuitenkaan tuo rahaa eikä katkaise korvaussaatavan vanhentumista. Toinen tavallinen virhe on vaatia korvausta pelkästä rikkomuksesta kertomatta, mitä haittaa siitä seurasi.

Kolmas on jättää syy-yhteys näyttämättä: jos samoja tietoja on vuotanut useasta paikasta, sinun on perusteltava, miksi juuri tämä vuoto johti vahinkoon. Neljäs on kohdistaa korvausvaatimus väärään tahoon selvittämättä, onko vahingosta vastuussa rekisterinpitäjä, henkilötietojen käsittelijä vai molemmat. Moni myös jättää vahingon rajaamatta, esimerkiksi salasanat vaihtamatta, jolloin osa myöhemmästä vahingosta voi jäädä omalle vastuulle.
 

Milloin juristista on apua

Juristista on hyötyä, kun rekisterinpitäjä kiistää vastuunsa, vahinko on euroissa merkittävä tai kyse on terveys-, talous- tai muista arkaluonteisista tiedoista. Juristi käy läpi rekisterinpitäjältä saadut tiedot ja tietoturvaloukkausilmoituksen, arvioi, mitä asetuksen velvoitetta on rikottu, ja laskee vahingon.

Hän laatii ja toimittaa rekisterinpitäjälle riittävästi yksilöidyn korvausvaatimuksen, jolla voidaan katkaista saatavan vanhentuminen, ja neuvottelee sovinnosta. Jos sovintoa ei synny, juristi arvioi oikeudenkäynnin kuluriskin ja ajaa kannetta käräjäoikeudessa.

Yrittäjälle juristi voi käydä etukäteen läpi käsittelyperusteet, tietosuojaselosteen, sopimukset palveluntarjoajien kanssa ja tietoturvaloukkauksen toimintaohjeen. Vahingon jälkeen hän auttaa arvioimaan, kannattaako vaatimus maksaa vai kiistää.
 

Usein kysyttyä

Voinko saada korvausta, vaikka minulle ei syntynyt rahallista menetystä?

Voit. Myös aineeton vahinko, kuten huoli ja häpeä, voidaan korvata. Sinun on kuitenkin kerrottava ja näytettävä, millaista haittaa rikkomuksesta sinulle aiheutui; pelkkä rikkomus ei vielä ole vahinko.

Pitääkö minun näyttää, että yritys toimi huolimattomasti?

Ei tarvitse. Sinun on näytettävä lainvastainen käsittely, vahinko ja syy-yhteys. Rekisterinpitäjä vapautuu vain osoittamalla, ettei se ole millään tavalla vastuussa vahingon aiheuttaneesta tapahtumasta.

Määrääkö tietosuojavaltuutettu minulle korvauksen?

Ei määrää. Valtuutettu valvoo käsittelyn lainmukaisuutta, ja seuraamuskollegion määräämä seuraamusmaksu menee valtiolle. Korvausta vaaditaan rekisterinpitäjältä ja riidassa käräjäoikeudessa.

Voiko yritys sopimusehdolla vapautua vastuusta tietovuodoista?

Kuluttajasopimuksen kohtuuton vastuunrajoitusehto voidaan sovitella tai jättää huomiotta (kuluttajansuojalain 4 luvun 1 §; oikeustoimilain 36 §). Ehto sitoo lisäksi vain sopimuspuolta. Se ei siis koske esimerkiksi henkilöä, jonka tietoja yritys käsittelee ilman sopimusta hänen kanssaan.

Vastaako kunta tai muu viranomainen tietosuojarikkomuksesta?

Myös viranomainen voi olla rekisterinpitäjänä korvausvastuussa. Seuraamusmaksua sille ei kuitenkaan voida määrätä. Poliisin ja syyttäjän rikosasioihin liittyvään käsittelyyn sovelletaan omaa lakia henkilötietojen käsittelystä rikosasioissa.

Kuinka kauan minulla on aikaa vaatia korvausta?

Yleensä kolme vuotta. Vanhentumisajan alkamishetki riippuu korvausvaatimuksen oikeudellisesta perusteesta. Sopimusrikkomukseen perustuvassa vaatimuksessa ratkaisevaa on virheellisyyden havaitseminen, ja sopimussuhteen ulkopuolisessa vahingonkorvauksessa tieto vahingosta ja siitä vastuussa olevasta. Katkaise vanhentuminen esittämällä riittävästi yksilöity vaatimus ajoissa.

Tietoni vuotivat, mutta niitä ei ole vielä käytetty väärin. Voinko vaatia korvausta?

Voit esittää vaatimuksen. Perusteltu huoli tietojen väärinkäytöstä voi olla aineetonta vahinkoa, mutta sinun on kuvattava, millaista haittaa vuoto sinulle käytännössä aiheutti. Tunnusten vaihtamisesta ja muista suojautumistoimista syntyneet kulut voivat lisäksi olla aineellista vahinkoa.

Mistä tiedän, kuka on rekisterinpitäjä?

Yleensä se on yritys tai yhteisö, jonka kanssa olet asioinut, esimerkiksi verkkokauppa, työnantaja, taloyhtiö tai yhdistys. Rekisterinpitäjän nimi ja yhteystiedot löytyvät tavallisesti sen tietosuojaselosteesta. Jos tietosi ovat palveluntarjoajan järjestelmässä, palveluntarjoaja voi toimia henkilötietojen käsittelijänä rekisterinpitäjän lukuun. Korvausvaatimus voidaan kohdistaa rekisterinpitäjään tai myös käsittelijään, jos käsittelijän oma korvausvastuu täyttyy (tietosuoja-asetuksen 82 artiklan 2 ja 4 kohta).