Tietosuojaseloste nettisivuille: onko se pakollinen ja mitä siihen tulee

Lyhyt vastaus: kertominen on pakollista, seloste on tapa

Tietosuojaseloste nettisivuille ei ole sellaisenaan lakisääteinen asiakirja, mutta kävijöille kertominen on. EU:n yleinen tietosuoja-asetus velvoittaa kertomaan henkilötietojen käsittelystä, ja verkkosivuilla se hoidetaan tavallisesti tietosuojaselosteella: sivulla, joka kertoo selvästi, mitä tietoja keräät, miksi ja millä perusteella, kenelle ne kulkevat, kuinka kauan niitä säilytetään ja miten kävijä voi käyttää oikeuksiaan.

Tietosuojavaltuutetun toimisto on sanonut asian suoraan tiedotteessaan: tietosuoja-asetus ei edellytä rekisteri- tai tietosuojaselosteen laatimista, mutta rekisteröityjä täytyy informoida henkilötietojen käsittelystä. Asetuksessa ei myöskään säädetä tietystä muodosta, jossa tiedot annetaan.

Ero kuulostaa saivartelulta, mutta sillä on käytännön merkitys. Sivu nimeltä tietosuojaseloste ei täytä velvoitetta, jos siitä puuttuu olennaista tai se kuvaa jotain muuta kuin sitä, mitä sivustollasi oikeasti tapahtuu.

Verkkosivuilla erillinen sivu on silti lähes aina järkevin ratkaisu. Siihen on helppo linkittää lomakkeen, evästeasetusten ja alatunnisteen vierestä, ja sen päivittäminen on yhden sivun työ.

Onko tietosuojaseloste pakollinen?

Selosteena ei, informointina kyllä. Jos verkkosivusi keräävät henkilötietoja, sinun pitää kertoa käsittelystä, ja kun tiedot kerätään kävijältä itseltään, tiedot käsittelystä annetaan silloin, kun tiedot kerätään. Näin todetaan Tietosuojavaltuutetun toimiston informointiohjeessa.

Ratkaiseva kysymys on siis, käsitteleekö sivustosi henkilötietoja. Useimmiten vastaus on kyllä, koska tietoja kertyy aivan tavallisista toiminnoista:

• yhteydenottolomake, johon kirjoitetaan nimi, sähköposti tai puhelinnumero
• ajanvaraus tai tarjouspyyntö
• uutiskirjeen tilaus
• chat, jossa kävijä kertoo asiastaan
• verkkokauppa tilaus-, toimitus- ja maksutietoineen
• kävijämittaus ja muu seuranta, joka kerää IP-osoitteita tai laitteen tunnisteita

Viimeinen kohta on tulkinnanvarainen. Yksittäinen tunniste ei aina ole henkilötieto, mutta mitä enemmän tietoa kerätään ja yhdistellään, sitä todennäköisemmin se on. Jos sivusi on pelkkä esite ilman lomakkeita, mittausta ja upotuksia, käsiteltävää voi olla hyvin vähän. Yksikin lisätty lomake muuttaa tilanteen.

Mitä tietosuojaselosteeseen pitää kirjoittaa?

Tietosuojaselosteeseen kirjoitetaan tietosuoja-asetuksen 13 artiklan tiedot, kun henkilötiedot kerätään kävijältä itseltään. Tietosuojavaltuutetun toimiston informointitaulukon mukaan ne ovat:

• rekisterinpitäjän eli yrityksesi nimi ja yhteystiedot
• tietosuojavastaavan yhteystiedot, jos sellainen on nimitetty
• käsittelyn tarkoitukset ja käsittelyn oikeusperuste
• oikeutetut edut, jos käsittely perustuu oikeutettuun etuun
• henkilötietojen vastaanottajat tai vastaanottajaryhmät
• tiedot siirroista EU:n ja ETA:n ulkopuolelle ja siitä, millä perusteella ne tehdään
• säilytysaika tai, jos sitä ei voi kertoa, kriteerit, joilla se määräytyy
• rekisteröidyn oikeudet: pääsy tietoihin, oikaisu, poistaminen, käsittelyn rajoittaminen, vastustaminen ja tietojen siirto järjestelmästä toiseen
• oikeus peruuttaa suostumus milloin tahansa, jos käsittely perustuu suostumukseen
• oikeus tehdä valitus valvontaviranomaiselle
• onko tietojen antaminen pakollista ja mitä seuraa, jos niitä ei anna
• automaattinen päätöksenteko ja profilointi, jos sellaista on

Jos tiedot saadaan muualta kuin henkilöltä itseltään, sovelletaan 14 artiklaa, ja silloin kerrotaan lisäksi, mitä tietoryhmiä käsitellään ja mistä tiedot on saatu. Toimiston ohjeen mukaan tiedot annetaan silloin kohtuullisessa ajassa, viimeistään kuukauden kuluessa, tai jo aiemmin, jos henkilöön otetaan yhteyttä tai tietoja luovutetaan eteenpäin ennen sitä.

Lista näyttää pitkältä, mutta pienen yrityksen selosteessa moni kohta on yhden lauseen mittainen. Vaikeus ei ole pituudessa vaan siinä, että jokainen lause pitää paikkansa.

Tarkoitus ja peruste: kohta, joka jää helpoimmin epämääräiseksi

Tarkoitus on selosteen tärkein kohta. Tietosuojavaltuutetun toimisto pyytää kiinnittämään siihen erityistä huomiota: kävijällä pitää olla selkeä käsitys siitä, mihin kaikkiin tarkoituksiin hänen tietojaan käsitellään.

”Asiakassuhteen hoitaminen” on otsikko eikä tarkoitus. Kerro, mitä oikeasti teet: ”Käytämme lomakkeella lähettämiäsi tietoja vastataksemme kysymykseesi”, ”Lähetämme uutiskirjeen osoitteeseen, jolla olet sen tilannut”, ”Muistutamme varatusta ajasta tekstiviestillä päivää ennen”.

Jokaiselle tarkoitukselle kerrotaan oikeusperuste. Tavallisia perusteita ovat sopimus, esimerkiksi kun kävijä varaa ajan tai tilaa tuotteen, suostumus, esimerkiksi uutiskirjeen tilauksessa, oikeutettu etu ja lakisääteinen velvoite, esimerkiksi kun kirjanpitoaineistoa pitää säilyttää lain vaatima aika. Jos vetoat oikeutettuun etuun, kerro, mikä se etu on.

Jos sama tieto palvelee useaa tarkoitusta, kirjoita ne erikseen. Varauksen puhelinnumero muistutusviestiä varten ja sama numero markkinointiin ovat kaksi eri tarkoitusta, ja markkinoinnille tarvitaan oma perusteensa. Siitä on enemmän artikkelissa sähköpostimarkkinointi ja markkinointilupa.

Säilytysaika: ”niin kauan kuin on tarpeen” ei riitä

Säilytysaika on kohta, jossa selosteet jäävät helpoimmin tyhjän lauseen tasolle. Tietosuojavaltuutetun toimiston taulukossa, joka nojaa EU:n tietosuojatyöryhmän ohjeisiin, todetaan suoraan, ettei riitä todeta tietoja säilytettävän niin kauan kuin on tarpeellista. Säilytysaika pitää kertoa niin, että ihminen pystyy arvioimaan, kauanko hänen tietonsa säilyvät.

Anna siis aika tai sääntö, josta aika selviää. Esimerkiksi: lomakeviestit poistetaan, kun asia on hoidettu ja sovittu aika on kulunut. Varaustiedot säilytetään asiakkuuden ajan ja sen jälkeen määräajan. Kirjanpitoon kuuluvat tositteet säilytetään kirjanpitolain vaatiman ajan.

Taulukon mukaan eri tietoryhmille ja eri tarkoituksille kannattaa tarvittaessa määritellä eri säilytysajat. Tärkeintä on, että kerrottu aika on se, mitä oikeasti tapahtuu. Jos seloste lupaa poiston vuodessa mutta lomakeviestit löytyvät sähköpostista viiden vuoden takaa, seloste ei pidä paikkaansa.

Säilytysaikojen käytännöstä asiakastietojen osalta on oma artikkelinsa asiakasrekisteri ja GDPR.

Vastaanottajat: jokainen palvelu, johon tiedot kulkevat

Vastaanottaja ei tarkoita vain kumppania, jolle tietoja luovutetaan. Tietosuojavaltuutetun toimiston taulukossa todetaan, että myös henkilötietojen käsittelijät, joille tiedot siirretään, ovat vastaanottajia. Verkkosivuilla se tarkoittaa palveluita, joiden kautta tiedot kulkevat.

Käy läpi, mihin sivustosi tiedot oikeasti päätyvät: palvelin, sähköpostipalvelu, johon lomakkeet tulevat, ajanvarausjärjestelmä, uutiskirjepalvelu, maksupalvelu, kävijämittari, chat ja tilitoimisto. Jokainen niistä kuuluu selosteeseen.

Taulukon mukaan lähtökohta on kertoa vastaanottaja nimeltä. Jos kerrot vain vastaanottajaryhmistä, esimerkiksi ”uutiskirjepalvelu”, sinun pitää pystyä perustelemaan, miksi se on asianmukaista, ja ryhmän kuvauksen pitää olla mahdollisimman täsmällinen.

Tämä kohta paljastaa myös kopioidun selosteen. Jos listassa on palveluita, joita et käytä, tai siitä puuttuu se, jota käytät joka päivä, tarkka lukija huomaa sen.

Siirrot EU:n ulkopuolelle

Jos jokin käyttämistäsi palveluista käsittelee tietoja EU:n ja ETA-alueen ulkopuolella, siitä kerrotaan selosteessa. Taulukon mukaan mainitaan erityisesti, millä tietosuoja-asetuksen perusteella siirto tehdään, esimerkiksi komission tietosuojan riittävyyttä koskevalla päätöksellä tai tietosuojaa koskevilla vakiolausekkeilla, ja mahdollisuuksien mukaan linkki asiakirjaan tai tieto siitä, mistä sen saa.

Pienen yrityksen sivustolla siirtoja syntyy huomaamatta, koska moni tavallinen työkalu on yhdysvaltalainen. Selvitä jokaisen palvelun ehdoista, missä tietoja käsitellään ja mihin siirto perustuu. Kävijämittauksen osalta asiaa on käsitelty artikkelissa Google Analytics ja tietosuoja.

Kävijän oikeudet ja valitus

Selosteessa kerrotaan tiivistetysti, mitä oikeuksia kävijällä on ja miten hän voi käyttää niitä. Pelkkä luettelo ei auta ketään, joten kerro myös tapa: mihin osoitteeseen pyyntö lähetetään ja miten henkilöllisyys tarvittaessa varmistetaan.

Taulukon mukaan vastustamisoikeus pitää saattaa nimenomaisesti kävijän tietoon, selkeästi ja erillään muusta tekstistä. Jos käsittely perustuu suostumukseen, kerro, miten sen voi peruuttaa. Peruuttamisen pitää olla yhtä helppoa kuin suostumuksen antamisen.

Lisäksi kerrotaan oikeudesta tehdä valitus valvontaviranomaiselle, joka Suomessa on tietosuojavaltuutetun toimisto. Taulukon mukaan valituksen voi tehdä erityisesti siinä jäsenvaltiossa, jossa henkilö asuu tai työskentelee tai jossa rikkomuksen väitetään tapahtuneen.

Mitä eroa on tietosuojaselosteella ja rekisteriselosteella?

Rekisteriseloste on kumotun henkilötietolain käsite, ja tietosuojaseloste on sen laajennettu versio. Henkilötietolaki (523/1999) vaati laatimaan rekisteriselosteen erikseen jokaisesta rekisteristä, ja sen tarkoitus oli kertoa rekisteröidylle tietojen käsittelystä.

Tietosuojavaltuutetun toimiston mukaan tietosuojaseloste on laajennettu rekisteriseloste, jossa kerrotaan lisäksi rekisteröidyn oikeuksista. Kumpaakaan nimeä ei löydy EU:n tietosuoja-asetuksesta, jota on sovellettu toukokuusta 2018. Asetus puhuu informoinnista.

Käytännön ero on sisällössä. Toimisto huomauttaa, että henkilötietolain mukainen rekisteriseloste ei todennäköisesti vastaa tietosuoja-asetuksen vaatimuksia. Jos sivustollasi on yhä rekisteriseloste, tarkista ainakin käsittelyn oikeusperuste, säilytysaika ja valitusoikeus. Toimiston taulukossa ne on merkitty tiedoiksi, jotka ovat uusia henkilötietolakiin verrattuna.

Seloste käsittelytoimista on eri asia

Nimet menevät helposti sekaisin, koska tietosuoja-asetuksessa on myös seloste käsittelytoimista. Se ei ole kävijälle tarkoitettu teksti vaan organisaation sisäinen asiakirja, kirjallinen kuvaus henkilötietojen käsittelystä.

Tietosuojavaltuutetun toimiston mukaan sitä ei ole tarkoitettu käytettäväksi suoraan informointiin, mutta sitä voi hyödyntää, kun rekisteröidyille suunnattua tietoa kirjoitetaan. Jos sellainen on jo tehty, aloita siitä.

Kummankin pohjaksi tarvitaan sama kartoitus. Toimiston informointiohjeen mukaan informointia varten täytyy kartoittaa ja dokumentoida kokonaiskuva siitä, miten henkilötietoja käsitellään.

Voiko tietosuojaselosteen pohjan kopioida?

Rakenteen voi, sisältöä ei. Otsikot ovat eri selosteissa lähes samat, koska ne tulevat suoraan tietosuoja-asetuksesta: rekisterinpitäjä, tarkoitukset ja perusteet, vastaanottajat, siirrot, säilytysajat, oikeudet ja valitus. Pohjasta on siksi hyötyä muistilistana.

Otsikoiden alle kirjoitettava teksti on eri asia. Sen pitää kuvata sinun yrityksesi käsittelyä: sinun lomakkeitasi, sinun järjestelmiäsi ja sinun säilytysaikojasi. Toisen yrityksen seloste kertoo toisen yrityksen palveluista, ja yleinen mallipohja ei kerro kenenkään.

Kopioidun selosteen tunnistaa yleensä nopeasti. Siinä mainitaan palveluita, joita sivustolla ei ole, siitä puuttuvat ne, jotka sivustolla näkyvät, ja säilytysajat on kirjoitettu muotoon ”niin kauan kuin on tarpeen”. Jokainen näistä on merkki siitä, ettei informointi vastaa todellisuutta.

Oikea järjestys on kartoittaa ensin ja kirjoittaa sitten. Kun kartoitus on tehty, selosteen kirjoittaminen on suurelta osin oman listan muuttamista luettavaksi tekstiksi.

Kirjoita kävijälle, ei juristille

Tietosuojavaltuutetun toimiston mukaan tiedon on oltava tiivistä, läpinäkyvää, ymmärrettävää ja helposti saatavilla, ja informoinnissa on käytettävä selkeää ja yksinkertaista kieltä. Yksi arviointikriteeri on, että kohderyhmään kuuluva keskivertohenkilö ymmärtää annetun tiedon.

Käytännössä se tarkoittaa lyhyitä lauseita, me- tai sinä-muotoa ja esimerkkejä. ”Käsittelemme rekisteröidyn henkilötietoja sopimussuhteen perusteella” on oikein mutta raskas. ”Kun varaat ajan, tallennamme nimesi ja puhelinnumerosi, jotta voimme muistuttaa varauksesta” on oikein ja selvä.

Pitkän selosteen voi jakaa kerroksiin. Toimiston ohjeessa kuvataan kerroksellinen informointi, jossa keskeisimmät tiedot ja mahdolliset yllättävät ehdot kerrotaan ensimmäisessä kerroksessa ja yksityiskohdat sen jälkeen. Verkkosivulla se voi tarkoittaa lyhyttä yhteenvetoa sivun alussa ja tarkempia osioita sen alla.

Mihin tietosuojaseloste laitetaan sivuilla?

Tietosuojaseloste laitetaan omalle sivulleen, johon linkitetään jokaisen sivun alatunnisteesta ja jokaisesta kohdasta, jossa tietoja kerätään. Tietosuojavaltuutetun toimiston mukaan tieto pitäisi julkaista yleisesti tunnetulla nimellä, kuten tietosuoja, tietosuojaseloste, yksityisyys tai yksityisyyden suoja, selkeästi erillään muusta tiedosta ja maksutta saatavilla.

Ajoitus ratkaisee paikan. Kun tiedot kerätään kävijältä itseltään, tiedot käsittelystä annetaan keräämisen hetkellä. Siksi linkki kuuluu myös lomakkeen lähetyspainikkeen viereen, ajanvarauksen vahvistusvaiheeseen, uutiskirjeen tilauskenttään ja chatin aloitusikkunaan, ei pelkästään alatunnisteeseen.

Lomakkeen vieressä toimii kerroksellisen mallin mukaisesti lyhyt lause siitä, mihin tietoja käytetään, ja linkki selosteeseen. Lomakkeista on enemmän artikkelissa yhteydenottolomake, joka toimii.

Älä piilota selostetta PDF-tiedostoon tai kuvaan. Tavallinen sivu on helpompi lukea puhelimella ja ruudunlukijalla, ja sitä on helpompi päivittää.

Milloin selostetta pitää päivittää?

Selostetta pitää päivittää aina, kun henkilötietojen käsittely muuttuu, ja lisäksi se tarkistetaan määräajoin. Tietosuojavaltuutetun toimisto ohjeistaa arvioimaan säännöllisesti, vastaako informointi tosiasiallista käsittelyä, ja viestimään muutoksista selkeästi ja hyvissä ajoin.

Tavallisia päivityksen syitä ovat:

• uusi lomake, ajanvaraus, chat tai uutiskirje
• palveluntarjoajan vaihto, esimerkiksi sähköposti-, varaus- tai maksupalvelun
• uusi seuranta- tai mainoskoodi sivustolla
• tietojen käyttö uuteen tarkoitukseen
• yrityksen nimen, osoitteen tai yhteystietojen muutos
• säilytysaikojen muutos

Uuden tarkoituksen kanssa pitää olla erityisen tarkka. Toimisto muistuttaa, ettei käsittelyn tarkoitusta voi muuttaa yhteensopimattomaksi alkuperäisen kanssa ilman rekisteröidyn suostumusta tai lain säännöstä. Selosteen päivittäminen ei siis yksin tee uudesta käytöstä sallittua.

Merkitse selosteeseen päivämäärä, jolloin se on viimeksi päivitetty. Siitä on hyötyä sinulle itsellesi yhtä paljon kuin lukijalle.

Runko pienen yrityksen selosteelle

Alla on rakenne, ei valmis teksti. Jokaisen kohdan sisältö kirjoitetaan oman kartoituksen perusteella.

Evästeet kannattaa kuvata omassa osiossaan tai omalla sivullaan, koska niistä kerrotaan tarkemmin kuin muusta. Evästeitä koskevat vaatimukset ovat artikkelissa evästeet verkkosivuilla.

Yhteenveto

Tietosuojaseloste ei ole pakollinen asiakirja, mutta kävijöille kertominen henkilötietojen käsittelystä on pakollista, ja verkkosivuilla seloste on siihen käytännöllisin tapa. Sisältö tulee tietosuoja-asetuksen 13 artiklasta: kuka vastaa, mitä kerätään, miksi ja millä perusteella, kenelle tiedot kulkevat, kuinka kauan niitä säilytetään ja millä oikeuksilla kävijä voi vaikuttaa.

Pohjasta saa rakenteen, mutta tekstin pitää kuvata sivustosi todellista käsittelyä. Säilytysajat kerrotaan aikoina tai sääntöinä, vastaanottajat nimetään ja linkki selosteeseen on siellä, missä tietoja kerätään.

Tarkemmat ohjeet löytyvät Tietosuojavaltuutetun toimiston sivuilta, ja niihin kannattaa palata aina, kun oma tilanne muuttuu.