Jokaisen kumppanin, olipa kyse tärkeää tietojärjestelmää kehittävästä IT-talosta tai tiloissamme liikkuvasti siivousyrityksestä, valinta on päätös luottaa kumppaniin ja siihen, että he huolehtivat heille paljastuvista tiedoista asiallisesti. Myös tekninen tai fyysinen pääsymahdollisuus tietoihin on käsittelyä, joka on sopimuksellisesti tarkennettava, jotta mahdollisuuksia epäselvyyksiin ei voi jäädä.

Käsittelysopimusten yhteydessä törmää usein käsitykseen, että "Eikö sitä voisi vaan sopia, että kukin noudattaa lakeja ja asetuksia tahollaan?" Ei voi, koska lait ja asetukset eivät vaadittavalla tarkkuudella määrittele esimerkiksi sitä, millaista turvallisuutta minkäkin tasoisen tiedon suojaaminen vaatii. Turvallisuuskäytäntöjen on elettävä ajassa ja riiputtava siitä, kuinka luottamuksellisen tiedon äärellä operoidaan. Käsittelysopimuksissa vaihtelee lisäksi selvästi työnjako ja käsittelijän rajaamisen aste - haluammeko kumppanilta tarkkoja sitoumuksia vai riittääkö meille löyhemmät sopimuslausekkeet esimerkiksi tietosuoja-asetuksen oletusarvojen mukaisesta toiminnasta?

Käsittelysopimuksilla voidaan parhaillaan saavuttaa tilanne, jossa kumppanin kanssa on sovittu todella selvästi heidän vastuullaan olevista asioista sekä heidän toteuttamista toimenpiteistä turvallisuuden eteen. Kuka pitää lokia ja millaisia asioita sinne tallentuu? Kuka kaivaa henkilötiedot esiin, kun rekisteröity niitä pyytää? Saako kumppani käyttää, ja kuinka se valvoo omia käyttämiään alihankkijoita? Hyvän sopimuksen jälkeen itse voi nukkua yöt vähän rauhallisemmin ja tietää, ette digiturva putoa organisaatioiden välisiin rajoihin.