Kun yritys käsittelee henkilötietoja, sen on kerrottava käsittelystä ihmisille, joita tiedot koskevat. Verkkosivulla tiedot kootaan usein tietosuojaselosteeksi. GDPR ei edellytä tietynnimistä asiakirjaa tai yhtä vakiomuotoa, vaan ymmärrettävää ja oikeaan aikaan annettua tietoa.

Mikä on tietosuojaseloste?

Tietosuojaseloste kertoo, mitä henkilötietoja kerätään, mihin niitä käytetään ja kuka niistä vastaa. Sen avulla asiakkaan, työnhakijan tai muun rekisteröidyn pitäisi ymmärtää käsittely ja omat oikeutensa.

Tietosuojaseloste ja evästekuvaus käsittelevät osin eri asioita. Evästekuvaus kertoo sivuston evästeistä ja vastaavista tekniikoista. Henkilötietojen käsittelyä koskevaa tietoa tarvitaan myös esimerkiksi lomakkeista, tilauksista ja työnhausta.

Milloin käsittelystä on kerrottava?

Verkkosivulla tietoa tarvitaan esimerkiksi silloin, kun:

  • Yritys kerää asiakkaiden yhteystietoja yhteydenotto- tai tilauslomakkeella
  • Yritys lähettää uutiskirjeitä tai markkinointiviestejä
  • Yritys tallentaa työnhakijoiden tietoja
  • Verkkosivut käyttävät evästeitä, joilla seurataan kävijöiden toimintaa

Pelkkä selosteen julkaiseminen alatunnisteessa ei aina riitä. Varmista, että tarvittavat tiedot löytyvät myös siinä tilanteessa, jossa henkilötietoja kerätään, esimerkiksi yhteydenottolomakkeen yhteydessä.

Entä jos sivusto ei kerää henkilötietoja?

Jos henkilötietoja ei käsitellä, niiden käsittelystä ei myöskään tarvitse laatia kuvausta. Tilanne on kuitenkin selvitettävä koko sivuston toiminnan perusteella. Tarkista ainakin:

  • Keräävätkö lomakkeet, kommentointi tai analytiikka tunnistettavia tietoja?
  • Mitä tietoja evästeet, upotukset ja ulkopuoliset palvelut välittävät?
  • Tallentuvatko kävijän IP-osoite tai muut tunnistetiedot palvelimen lokeihin?

Staattinen sivu tai evästeiden puuttuminen ei yksin osoita, ettei henkilötietoja käsitellä. Kysy tarvittaessa sivuston toteuttajalta ja palveluntarjoajalta, mitä tietoja järjestelmät tallentavat.

Mitä tietosuojaselosteessa pitää kertoa?

GDPR:n 13 artikla koskee henkilöltä itseltään kerättyjä tietoja ja 14 artikla muualta saatuja tietoja. Tarvittava sisältö riippuu käsittelystä. Seuraavat asiat auttavat kokoamaan sen:

  • rekisterinpitäjän nimi ja yhteystiedot
  • käsittelyn tarkoitus ja oikeusperuste (esimerkiksi suostumus, sopimus tai oikeutettu etu)
  • mitä tietoja kerätään ja mistä ne saadaan
  • tietojen vastaanottajat sekä mahdolliset siirrot EU:n tai ETA:n ulkopuolelle
  • säilytysajat tai perusteet, joilla säilytysaika määräytyy
  • tilanteeseen soveltuvat oikeudet ja ohje niiden käyttämiseen
  • tieto mahdollisuudesta tehdä valitus tietosuojavaltuutetulle

Kirjoita seloste asiakkaan ymmärtämällä kielellä. Kuvaa oman yrityksesi käytännöt täsmällisesti ja pidä tiedot ajan tasalla.

Entä evästeet ja seuranta?

Evästeiden ja vastaavien tekniikoiden käyttöön tarvitaan pääsääntöisesti käyttäjän suostumus. Laissa säädetyt poikkeukset koskevat muun muassa käyttäjän pyytämän palvelun kannalta välttämätöntä käyttöä. Evästeistä voi kertoa tietosuojaselosteen yhteydessä, mutta tiedon antaminen ja suostumuksen pyytäminen ovat eri asioita. Tietosuojaselostetta ei tarvitse hyväksyttää käyttäjällä.

Mistä saa apua?

Tietosuojavaltuutetun toimiston sivuilla on ohjeet rekisteröidyn informointiin: tietosuoja.fi. Aloita kartoittamalla oman yrityksen käsittelytoimet. Jos esimerkiksi tietojen vastaanottajat, käsittelyperusteet tai kansainväliset siirrot jäävät epäselviksi, selvitä ne ennen selosteen julkaisemista.

Tietosuojaselosteen laatiminen kohta kohdalta

Käy seuraavat kohdat läpi oman toiminnan perusteella. Lista auttaa valmistelussa, mutta kaikkien yritysten käsittely ei mahdu samaan pohjaan.

1. Rekisterinpitäjän tiedot
Ilmoita yrityksen nimi ja yhteystiedot. Lisää tietosuojavastaavan yhteystiedot, jos sellainen on nimetty.

2. Käsiteltävät henkilötiedot
Luettele käsiteltävät tietoryhmät, kuten yhteystiedot, tilaukset ja verkkotunnisteet. Terveystiedot kuuluvat GDPR:n erityisiin henkilötietoryhmiin. Henkilötunnuksen käsittelyä koskevat omat vaatimuksensa; se ei ole samalla perusteella erityinen henkilötietoryhmä.

3. Käsittelyn tarkoitus
Kerro konkreettisesti, mihin tietoja käytetään. Tilausten toimittaminen, rekrytointi ja markkinointi ovat eri tarkoituksia.

4. Käsittelyn oikeusperuste
Yhdistä kuhunkin tarkoitukseen siihen soveltuva käsittelyperuste. Älä luettele kaikkia mahdollisia perusteita varmuuden vuoksi. Jos peruste on oikeutettu etu, kerro myös tavoiteltu etu.

5. Tietojen säilytysaika
Kerro tietoryhmäkohtaiset säilytysajat tai niiden määrittämisperusteet. Esimerkiksi tilausaineiston ja uutiskirjeen tilaajatietojen säilytystarpeet voivat erota toisistaan.

6. Henkilötietojen vastaanottajat
Kuvaa, kenelle tietoja luovutetaan ja mitä palveluntarjoajia käsittelyyn osallistuu. Selvitä esimerkiksi verkkokaupan, maksamisen, toimitusten ja taloushallinnon roolit.

7. Tietojen siirrot EU:n tai ETA:n ulkopuolelle
Selvitä käytettyjen palvelujen tiedonkäsittely ja mahdolliset siirrot. Jos siirtoja tehdään, kerro sovellettava siirtoperuste ja tarvittavat suojatoimet todellisen järjestelyn mukaan. Pelkkä mallisopimuslausekkeiden maininta ei korvaa siirron arviointia.

8. Rekisteröidyn oikeudet
Kerro, mitä oikeuksia henkilöllä on kyseisessä käsittelyssä ja miten hän voi käyttää niitä. Oikeuksiin kuuluvat soveltuvin osin:

  • oikeus tarkastaa itseään koskevat tiedot
  • oikeus tietojen oikaisuun tai poistamiseen
  • oikeus käsittelyn rajoittamiseen tai vastustamiseen
  • oikeus siirtää tiedot järjestelmästä toiseen. Suostumukseen perustuvassa käsittelyssä on myös oikeus peruuttaa suostumus.

9. Oikeus tehdä valitus
Kerro oikeudesta valittaa tietosuojavaltuutetulle, jos henkilö katsoo, että hänen tietojaan käsitellään lainvastaisesti. Lisätietoja: tietosuoja.fi.

10. Automaattinen päätöksenteko ja profilointi
Selvitä, kuuluuko käsittelyyn automaattista päätöksentekoa tai profilointia, ja kuvaa se asianmukaisesti. GDPR:n 22 artiklassa tarkoitettujen päätösten osalta on kerrottava myös merkitykselliset tiedot logiikasta sekä päätösten merkitys ja ennakoidut seuraukset.

Tietosuojaselosteen esimerkkirunko

Seuraava runko auttaa kokoamaan selosteen. Yhteystiedot ovat kuvitteellisia. Täydennä jokainen kohta yrityksen todellisen toiminnan mukaan ja poista siihen kuulumattomat esimerkit. Pelkkä yrityksen nimen vaihtaminen ei tee rungosta käyttövalmista.

Rekisterinpitäjä
Yritys Oy Ab
Y-tunnus: 1234567-8
Osoite: Esimerkkikatu 1 A 2, 00100 Helsinki
Puhelin: 0400 123 4567
Sähköposti: yritys@yritys.fi

Rekisteriasioita hoitava henkilö
Nimi: Seppo Tietävä
Puhelin: 0400 123 4567
Sähköposti: yritys@yritys.fi

Tietosuojavastaava, jos nimetty
[Lisää nimetyn tietosuojavastaavan yhteystiedot. Poista kohta, jos tietosuojavastaavaa ei ole.]

Henkilötietojen käyttötarkoitukset

[Kuvaa käyttötarkoitukset erikseen. Esimerkiksi: asiakkaan tunnistaminen, käyttöoikeuksien hallinta, tilausten toimittaminen ja asiakasviestintä. Lisää markkinointi vain, jos tietoja käytetään siihen, ja täsmennä markkinoinnin toteutustapa.]

Käsittelyn oikeusperuste

[Kirjaa kunkin käyttötarkoituksen oikeusperuste. Tilausten toimittaminen voi perustua sopimuksen täytäntöönpanoon. Jos käytät suostumusta tai oikeutettua etua, kuvaa niiden soveltuminen kyseiseen tarkoitukseen.]

Rekisterin tietosisältö

[Luettele käsiteltävät tietoryhmät. Esimerkiksi nimi, yhteystiedot, tilaus- ja maksutiedot, käyttäjätunnus sekä sivuston käytöstä tallentuvat tiedot. Älä lisää tietoryhmiä, joita yritys ei käsittele.]

Tietojen säilytysaika

[Täydennä tietoryhmäkohtaiset säilytysajat tai niiden määrittämisperusteet. Kerro myös, miten tiedot poistetaan tai anonymisoidaan säilytystarpeen päätyttyä.]

Säännönmukaiset tietolähteet

[Kerro, mistä tiedot saadaan: esimerkiksi asiakkaalta lomakkeella tai tilauksen yhteydessä, yhteistyökumppanilta tai sivuston käytöstä. Nimeä käytetyt palvelut ja kuvaa niiden kautta saatavat tiedot.]

Tietojen luovutukset ja siirrot EU:n/ETA:n ulkopuolelle

[Luettele vastaanottajat tai vastaanottajaryhmät. Kerro mahdollisista siirroista EU:n tai ETA:n ulkopuolelle ja niiden perusteista. Jos siirtoja ei tehdä, varmista asia myös palveluntarjoajien osalta ennen tämän ilmoittamista.]

Evästeiden käyttö

[Kuvaa, mitä evästeitä ja vastaavia tekniikoita sivustolla käytetään ja mihin tarkoituksiin. Mainitse myös sivulle upotettujen ulkopuolisten palvelujen toiminta.]

Eväste on selaimelle tallennettava tieto. Evästeitä voidaan käyttää esimerkiksi kirjautumiseen, asetusten muistamiseen, analytiikkaan tai mainonnan kohdentamiseen.

[Kerro, miten käyttäjältä pyydetään suostumus sitä edellyttävään käyttöön ja miten hän voi hyväksyä tai hylätä käyttötarkoitukset. Kuvauksen on vastattava sivustolla toimivaa suostumusratkaisua.]

[Lisää ohje ja toimiva linkki suostumuksen muuttamiseen tai peruuttamiseen.]

[Erittele välttämättömiksi katsotut käyttötarkoitukset ja niiden perusteet. Kaikki sivuston toimintaa helpottavat evästeet eivät ole suostumuksesta vapautettuja.]

[Lisää linkki erilliseen evästekuvaukseen, jos yksityiskohtaiset tiedot ovat toisella sivulla.]

Rekisterin suojaus

[Kuvaa tietojen suojaus yleisellä tasolla, esimerkiksi käyttöoikeuksien rajaaminen ja tiedonsiirron suojaaminen. Kirjaa vain käytössä olevat toimet äläkä julkaise tietoturvaa vaarantavia teknisiä yksityiskohtia.]

Automaattinen päätöksenteko ja profilointi

[Kerro, kuuluuko käsittelyyn automaattista päätöksentekoa tai profilointia. Jos kuuluu, kuvaa se ja lisää soveltuvat tiedot päätöksenteon logiikasta ja vaikutuksista. Älä käytä kielteistä vakiolausetta tarkistamatta palvelujen toimintaa.]

Rekisteröidyn oikeudet

Henkilötietojen käsittelyyn liittyvät oikeudet riippuvat käsittelyperusteesta ja tilanteesta. Soveltuvin osin rekisteröidyllä on oikeus:

  • saada pääsy omiin tietoihinsa
  • pyytää virheellisten tietojen oikaisua tai poistamista
  • rajoittaa tai vastustaa tietojensa käsittelyä
  • siirtää tiedot järjestelmästä toiseen
  • peruuttaa suostumuksensa milloin tahansa

[Lisää yhteystiedot ja ohje oikeuksia koskeville pyynnöille.] Pyyntöihin vastaaminen on lähtökohtaisesti maksutonta. Maksu tai kieltäytyminen voi tulla kyseeseen vain tietosuoja-asetuksessa säädetyin perustein.

Valitusoikeus

Rekisteröidyllä on oikeus tehdä valitus Tietosuojavaltuutetulle, jos hän katsoo, että henkilötietoja on käsitelty lainvastaisesti.

Lisätietoja: www.tietosuoja.fi

Tämä on valmistelun apuväline, ei valmis kuvaus yrityksesi toiminnasta. Tarkista sisältö, toteuta tarvittavat käytännöt ja päivitä selostetta, kun henkilötietojen käsittely muuttuu.

Lisätietoa: Tietosuojavaltuutetun ohje informointiin, Rekisteröidyn oikeudet, Henkilötietojen siirrot ETA:n ulkopuolelle, Traficomin evästeohje.

Kipinä™
Labonan AI-apuri
Moi! Mietitkö, mitä tämä tarkoittaisi oman yrityksesi kohdalla? Kirjoita muutama sana, niin katsotaan yhdessä, mitä kannattaisi tehdä. Keskeneräinenkin idea riittää.