Jos yrityksesi kerää tai käsittelee henkilötietoja, esimerkiksi asiakkaiden nimiä, yhteystietoja, palautteita tai evästeisiin tallentuvaa dataa, tarvitset tietosuojaselosteen. Velvollisuus perustuu EU:n yleiseen tietosuoja-asetukseen (GDPR), joka koskee lähes kaikkia yrityksiä ja yhteisöjä, jotka käsittelevät henkilötietoja osana toimintaansa.
Mikä on tietosuojaseloste?
Tietosuojaseloste on dokumentti, jossa kerrotaan avoimesti, miten ja miksi henkilötietoja käsitellään. Se toimii rekisterinpitäjän läpinäkyvyysraporttina ja sen tarkoitus on, että kuka tahansa ymmärtää, mitä tietoja hänestä kerätään, mihin niitä käytetään ja mitä oikeuksia hänellä on.
Tietosuojaseloste ei ole sama asia kuin evästekäytäntö. Evästekäytännössä kuvataan verkkosivujen seurantatekniikoita, kuten Google Analytics tai Facebook-pikseli, kun taas tietosuojaseloste käsittelee kaikkea henkilötietojen käsittelyä yrityksen toiminnassa.
Milloin tietosuojaseloste tarvitaan?
Tietosuojaseloste on laadittava aina, kun henkilötietojen käsittely kuuluu GDPR:n soveltamisalaan. Tämä tarkoittaa esimerkiksi seuraavia tilanteita:
- Yritys kerää asiakkaiden yhteystietoja yhteydenotto- tai tilauslomakkeella
- Yritys lähettää uutiskirjeitä tai markkinointiviestejä
- Yritys tallentaa työnhakijoiden tietoja
- Verkkosivut käyttävät evästeitä, joilla seurataan kävijöiden toimintaa
Poikkeuksia ei käytännössä ole, sillä lähes jokainen verkkosivu käsittelee henkilötietoja jollain tavalla.
Milloin et tarvitse tietosuojaselostetta?
Tietosuojaselostetta ei tarvita, jos henkilötietoja ei käsitellä lainkaan. Tämä on käytännössä mahdollista vain, jos sivusto ei kerää mitään tunnistettavaa tietoa kävijöistä. Esimerkiksi seuraavissa tapauksissa selostetta ei yleensä tarvita:
- Sivusto on täysin staattinen eikä sisällä lomakkeita, kommentointia tai analytiikkaa
- Sivustolla ei käytetä evästeitä tai seurantaohjelmia
- Sivustolla ei ole mitään yhteydenottotapaa, jossa käyttäjä voisi antaa henkilötietojaan
Tällaisia sivustoja on kuitenkin harvoin, ja jo esimerkiksi palvelimen lokitiedot voivat sisältää henkilötietoja, kuten IP-osoitteita. Siksi käytännössä lähes kaikilla yrityksillä on oltava tietosuojaseloste.
Mitä tietosuojaselosteessa pitää kertoa?
GDPR:n artikla 13 määrittelee vähimmäissisällön. Selosteessa on oltava ainakin:
- rekisterinpitäjän nimi ja yhteystiedot
- käsittelyn tarkoitus ja oikeusperuste (esimerkiksi suostumus, sopimus tai oikeutettu etu)
- mitä tietoja kerätään ja mistä ne saadaan
- kenelle tietoja luovutetaan ja siirretäänkö niitä EU:n ulkopuolelle
- tietojen säilytysajat
- rekisteröidyn oikeudet (oikeus tarkastaa, oikaista, poistaa, rajoittaa ja siirtää tietonsa)
- tieto mahdollisuudesta tehdä valitus tietosuojavaltuutetulle
Hyvä seloste on selkeä ja helposti ymmärrettävä. Juridinen jargoni ei tee siitä lainmukaista, vaan GDPR edellyttää, että tieto on läpinäkyvää ja helposti saatavilla.
Entä evästeet ja seuranta?
Jos sivustollasi käytetään evästeitä tai vastaavia teknologioita, niistä on annettava erillinen evästeilmoitus ja pyydettävä suostumus ennen kuin muita kuin välttämättömiä evästeitä asetetaan käyttäjän laitteelle. Evästekäytäntö voidaan yhdistää tietosuojaselosteeseen, mutta sen on silti oltava selkeästi tunnistettavissa ja hyväksyttävissä.
Mistä saa apua?
Ajantasaiset ohjeet ja mallipohjat löytyvät Tietosuojavaltuutetun toimiston sivuilta osoitteesta tietosuoja.fi.
Jos yritys käsittelee henkilötietoja laajemmin, kuten asiakasrekistereitä, verkkokaupan tilaustietoja tai työntekijöiden henkilötietoja, tietosuojaseloste kannattaa laatia asiantuntijan kanssa.
Tietosuojaselosteesta tulisi käydä ilmi seuraavat asiat:
Tietosuojaselosteen on oltava selkeä ja helposti ymmärrettävä. Siitä tulee käydä ilmi vähintään seuraavat tiedot:
1. Rekisterinpitäjän tiedot
Ilmoita organisaation nimi, yhteystiedot sekä mahdollisen tietosuojavastaavan yhteystiedot, jos sellainen on nimetty.
2. Käsiteltävät henkilötiedot
Kerro avoimesti, mitä henkilötietoja käsitellään.
Esimerkkejä: nimi, sähköpostiosoite, puhelinnumero, osoite, IP-osoite, käyttäjätunnus ja salasana.
Jos käsittelet arkaluonteisia tietoja (esimerkiksi henkilötunnuksia tai terveystietoja), se on mainittava erikseen ja perusteltava käsittelyn välttämättömyys.
3. Käsittelyn tarkoitus
Selitä, miksi tietoja käsitellään.
Esimerkkejä: tilausten toimittaminen, asiakassuhteen ylläpito, palveluiden kehittäminen, markkinointi tai lakisääteisten velvoitteiden täyttäminen.
4. Käsittelyn oikeusperuste
Kerro, mihin GDPR:n mukaiseen oikeusperusteeseen käsittely perustuu.
Vaihtoehtoja ovat suostumus, sopimuksen täytäntöönpano, lakisääteinen velvoite, elintärkeä etu, yleinen etu tai rekisterinpitäjän oikeutettu etu.
Esimerkki: Asiakkaan tietoja käsitellään sopimuksen toteuttamiseksi ja asiakassuhteen hoitamiseksi.
5. Tietojen säilytysaika
Selitä, kuinka kauan henkilötietoja säilytetään.
Esimerkki: Tietoja säilytetään niin kauan kuin asiakassuhde on voimassa ja sen jälkeen lain edellyttämän ajan verran.
6. Henkilötietojen vastaanottajat
Kerro, kenelle tietoja luovutetaan tai kuka niitä käsittelee.
Esimerkki: Tietoja voidaan siirtää alihankkijoille tai palveluntarjoajille, jotka käsittelevät tietoja rekisterinpitäjän lukuun, kuten kirjanpito- tai verkkopalvelutoimittajille.
7. Tietojen siirto EU:n tai ETA:n ulkopuolelle
Jos tietoja siirretään EU:n tai ETA:n ulkopuolelle, mainitse se ja kuvaa käytetyt suojatoimet.
Esimerkki: Osa käyttämistämme pilvipalveluista voi sijaita EU:n ulkopuolella. Siirrot perustuvat EU:n komission mallisopimuslausekkeisiin.
8. Rekisteröidyn oikeudet
Luettele henkilön oikeudet GDPR:n mukaisesti:
- oikeus tarkastaa itseään koskevat tiedot
- oikeus tietojen oikaisuun tai poistamiseen
- oikeus käsittelyn rajoittamiseen tai vastustamiseen
- oikeus siirtää tiedot järjestelmästä toiseen
Jos käsittely perustuu suostumukseen, henkilöllä on oikeus peruuttaa se milloin tahansa.
9. Oikeus tehdä valitus valvontaviranomaiselle
Ilmoita, että rekisteröidyllä on oikeus valittaa tietosuojavaltuutetulle, jos hän katsoo, että henkilötietoja on käsitelty lainvastaisesti.
Tietosuojavaltuutetun toimiston yhteystiedot: tietosuoja.fi
10. Automaattinen päätöksenteko ja profilointi
Kerro, tehdäänkö henkilötiedoista automaattisia päätöksiä tai profilointia.
Esimerkki: Automaattisia yksittäispäätöksiä tai profilointia ei tehdä.
Jos automatisointia tehdään, on kuvattava sen logiikka ja vaikutukset henkilöön.
Tietosuojaselostemalli
Alla on täytetty tietosuojaselostemalli. Voit kopioida mallin ja muokata valmiiksi
täytettyjä kohtia vastaamaan sinun yrityksesi tietoja.
Rekisterinpitäjä
Yritys Oy Ab
Y-tunnus: 1234567-8
Osoite: Esimerkkikatu 1 A 2, 00100 Helsinki
Puhelin: 0400 123 4567
Sähköposti: yritys@yritys.fi
Rekisteriasioita hoitava henkilö
Nimi: Seppo Tietävä
Puhelin: 0400 123 4567
Sähköposti: yritys@yritys.fi
Tietosuojavastaava
Nimi: Pia Pollari
Puhelin: 0400 123 4567
Sähköposti: yritys@yritys.fi
Rekisterin käyttötarkoitus
Henkilötietoja käytetään asiakkaiden tunnistamiseen, käyttöoikeuksien hallintaan, tilausten toimittamiseen, asiakassuhteen ylläpitoon ja palveluiden kehittämiseen.
Tietoja voidaan käyttää myös asiakasviestintään ja markkinointiin, jos asiakas on siihen antanut suostumuksensa.
Käsittelyn oikeusperuste
Henkilötietojen käsittely perustuu asiakkaan ja yrityksen välisen sopimuksen täytäntöönpanoon, asiakkaan suostumukseen tai rekisterinpitäjän oikeutettuun etuun, kuten palvelun kehittämiseen ja asiakassuhteen hoitoon.
Rekisterin tietosisältö
Rekisterissä voidaan käsitellä seuraavia tietoja:
nimi, yrityksen nimi, sähköpostiosoite, puhelinnumero, osoitetiedot, käyttäjätunnus, IP-osoite, evästetiedot ja muut asiakkaan itse antamat tiedot.
Henkilötunnuksia tai muita arkaluonteisia tietoja ei kerätä ilman laillista perustetta.
Tietojen säilytysaika
Tietoja säilytetään niin kauan kuin asiakassuhde on voimassa ja sen jälkeen vain niin kauan kuin se on tarpeen lakisääteisten velvoitteiden täyttämiseksi tai oikeuksien turvaamiseksi.
Tietoja poistetaan tai anonymisoidaan, kun säilytyksen peruste poistuu.
Säännönmukaiset tietolähteet
Tiedot saadaan pääasiassa rekisteröidyltä itseltään esimerkiksi yhteydenottolomakkeen, tilauksen tai muun asioinnin yhteydessä.
Lisäksi tietoja voidaan kerätä sivuston käytöstä evästeiden ja analytiikkatyökalujen, kuten Google Analyticsin, avulla.
Tietojen luovutukset ja siirrot EU:n/ETA:n ulkopuolelle
Tietoja ei säännönmukaisesti luovuteta yrityksen ulkopuolelle.
Jos tietoja siirretään EU:n tai ETA:n ulkopuolelle, varmistetaan, että siirto tapahtuu tietosuoja-asetuksen mukaisesti (esimerkiksi EU:n komission mallisopimuslausekkeilla tai muilla hyväksytyillä suojatoimilla).
Evästeiden käyttö
Sivustomme käyttää evästeitä (cookies) parantaakseen käyttökokemusta, analysoidakseen kävijäliikennettä ja tarjotakseen personoitua sisältöä.
Eväste on pieni tekstitiedosto, joka tallentuu käyttäjän selaimeen. Evästeet voivat olla välttämättömiä sivuston teknisen toiminnan kannalta tai ei-välttämättömiä, kuten analytiikka- ja markkinointievästeitä.
Muita kuin välttämättömiä evästeitä käytetään vain käyttäjän ennalta antamalla, vapaaehtoisella ja tietoisella suostumuksella. Suostumus pyydetään sivustolla näkyvän evästepalkin kautta ennen kuin tällaisia evästeitä asetetaan. Käyttäjä voi hyväksyä kaikki evästeet, sallia vain osan niistä tai kieltää ei-välttämättömien evästeiden käytön kokonaan.
Käyttäjä voi myös muuttaa tai peruuttaa antamansa suostumuksen milloin tahansa evästepalkin “Muokkaa evästeasetuksia” -linkin kautta.
Välttämättömät evästeet ovat teknisesti tarpeellisia sivuston toimimiselle eivätkä edellytä suostumusta. Niitä käytetään esimerkiksi kirjautumisen hallintaan ja sivuston tietoturvan varmistamiseen.
Evästeiden käytöstä ja hallinnasta kerrotaan tarkemmin erillisessä evästekäytännössä
(linkitä oma evästekäytäntösivusi).
Rekisterin suojaus
Tiedot siirretään SSL-suojattua yhteyttä käyttäen.
Sähköiset tiedot on suojattu palomuurilla, salasanoilla ja käyttöoikeuksien hallinnalla.
Tietoihin pääsevät vain ne työntekijät, joiden työtehtävät sitä edellyttävät.
Automaattinen päätöksenteko ja profilointi
Automaattisia yksittäispäätöksiä tai profilointia ei tehdä.
Jos tällainen toiminto myöhemmin otetaan käyttöön, sen logiikasta ja vaikutuksista ilmoitetaan erikseen.
Rekisteröidyn oikeudet
Rekisteröidyllä on oikeus:
- saada pääsy omiin tietoihinsa
- pyytää virheellisten tietojen oikaisua tai poistamista
- rajoittaa tai vastustaa tietojensa käsittelyä
- siirtää tiedot järjestelmästä toiseen
- peruuttaa suostumuksensa milloin tahansa
Kirjalliset pyynnöt tulee lähettää rekisterinpitäjän yhteystietoihin.
Tarkastuspyyntö on maksuton enintään kerran vuodessa.
Valitusoikeus
Rekisteröidyllä on oikeus tehdä valitus Tietosuojavaltuutetulle, jos hän katsoo, että henkilötietoja on käsitelty lainvastaisesti.
Lisätietoja: www.tietosuoja.fi
Huom:
Tietosuojaselosteelle ei ole virallista vakiomallia. Tämä pohja on laadittu GDPR:n vaatimusten mukaisesti ja se tulisi aina päivittää vastaamaan yrityksen todellisia käsittelytoimia.
