2. Henkilötietojen käsittelijä toimii rekisterinpitäjän lukuun
Rekisterinpitäjä ei välttämättä suorita kaikkea henkilötietojen käsittelyä itse, vaikka se määrittelee, mihin tarkoituksiin ja millä tavoilla henkilötietoja käsitellään. Henkilötietojen käsittelijäksi kutsutaan ihmistä tai organisaatiota, joka käsittelee henkilötietoja rekisterinpitäjän lukuun ja sen ohjeiden mukaisesti. Esimerkiksi jäsenrekisteriohjelmiston toimittaja toimii henkilötietojen käsittelijänä harrastustoiminnan järjestäjän lukuun.
Henkilötietojen käsittelijä voi olla esimerkiksi yritys, yksityinen elinkeinonharjoittaja, viranomainen tai yhdistys. Henkilötietojen käsittelijällä ei tarkoiteta rekisterinpitäjän alaisuudessa toimivia yksittäisiä työntekijöitä, jotka käsittelevät henkilötietoja osana työtehtäviään.
Henkilötietojen käsittelijöitä voivat olla esimerkiksi IT-palvelujentarjoajat, joilla on pääsy rekisterinpitäjän henkilötietoihin. Henkilötietojen käsittelijöiden tehtävät voivat olla tarkkaan rajattuja, kuten postin toimituksen ulkoistaminen. Tehtävät voivat olla myös laajoja, ja niihin voi liittyä tietyn palvelun hallinta toisen organisaation puolesta tai esimerkiksi työntekijöiden palkanmaksu.
Henkilötietojen käsittelijä voi käsitellä henkilötietoja vain rekisterinpitäjän määrittelemiin tarkoituksiin. Se ei voi ryhtyä käsittelemään näitä tietoja omiin tarkoituksiinsa.
Harrastustoiminnan järjestäjän on tärkeää tunnistaa, mitkä tahot ovat sen henkilötietojen käsittelijöitä ja varmistaa, että niiden kanssa on tehty sopimus henkilötietojen käsittelystä.
Myöhemmin oppaassa kerrotaan tarkemmin, mitä henkilötietojen käsittelystä tehtävän sopimuksen tulee sisältää.
