Verkkosivuston tietosuoja ei ratkea yhdellä selosteella tai evästebannerilla. Yrityksen pitää tietää, mitä henkilötietoja sivusto ja siihen liitetyt palvelut käsittelevät, miksi käsittely on tarpeen, kenelle tietoja siirtyy ja miten ihmisten oikeudet toteutetaan käytännössä.
Aloita henkilötietojen ja tietovirtojen kartoituksesta
Listaa ensin lomakkeet, uutiskirjeet, analytiikka, mainonnan tunnisteet, chatit, ajanvaraus, maksaminen, upotukset, lokit ja muut sivustoon kytketyt palvelut. Jokaisesta kirjataan kerättävät tiedot, tarkoitus, oikeusperuste, vastaanottajat, sijainti, säilytysaika ja vastuuhenkilö. Myös IP-osoite, verkkotunniste ja keskustelun sisältö voivat olla henkilötietoja, jos ne liittyvät tunnistettuun tai tunnistettavissa olevaan ihmiseen.
Kartoitus erottaa yrityksen oman käsittelyn toimittajan tehtävistä. Yritys voi olla rekisterinpitäjä, vaikka tekninen kumppani asentaa lomakkeen tai analytiikan. Palveluntarjoajan rooli, käsittelysopimus, alikäsittelijät ja mahdolliset EU- tai ETA-alueen ulkopuoliset siirrot arvioidaan todellisen tietovirran perusteella eikä pelkän tuotenimen tai markkinointilupauksen varassa.
GDPR:n soveltuminen ei riipu EU-kansalaisuudesta
Tietosuoja-asetuksen alueellinen soveltamisala liittyy muun muassa rekisterinpitäjän tai käsittelijän EU:ssa olevaan toimipaikkaan sekä tietyissä tilanteissa EU:ssa oleville ihmisille tarjottaviin tavaroihin tai palveluihin ja heidän käyttäytymisensä seurantaan. EDPB korostaa, ettei suoja perustu henkilön kansalaisuuteen. Yksittäisen toimijan soveltamisala pitää arvioida sen oman toiminnan perusteella.
Kun sivusto kerää henkilötietoja, rekisteröidylle annetaan tietosuoja-asetuksen edellyttämät tiedot tiiviisti, ymmärrettävästi ja helposti saatavilla. Artikla 13 edellyttää tilanteesta riippuen esimerkiksi rekisterinpitäjän yhteystietoja, tarkoituksia ja oikeusperusteita, vastaanottajia, säilytysaikaa tai sen määräytymisperusteita sekä tietoa oikeuksista. Tämä voidaan toteuttaa tietosuojailmoituksella, joka vastaa sivuston todellista toimintaa; jokaiselle täysin henkilötietoja käsittelemättömälle sivulle ei synny automaattisesti samanlaista asiakirjavaatimusta.
| Käsittelytilanne | Ensimmäinen kysymys | Tyypillinen dokumentti |
|---|---|---|
| Yhteydenottolomake | mitä tietoja tarvitaan vastaukseen? | tietosuojailmoitus ja säilytyskäytäntö |
| Analytiikka tai mainonta | mitä tunnisteita asetetaan ja milloin? | evästetiedot, suostumus ja palvelukohtainen arvio |
| Ulkoinen palveluntarjoaja | käsitteleekö se tietoja yrityksen puolesta? | käsittelysopimus ja toimittajadokumentaatio |
Jokaisella käsittelytarkoituksella pitää olla peruste ja rajaus
Suostumus ei ole GDPR:n ainoa oikeusperuste eikä sitä pidä pyytää varmuuden vuoksi kaikkeen. Yhteydenottoon vastaaminen, tilauksen toimittaminen, lakisääteisen velvoitteen täyttäminen ja markkinointi voivat perustua eri oikeusperusteisiin. Tarkoitus määritellään ennen tietojen keräämistä, ja vain siihen tarpeelliset tiedot pyydetään. Oikeusperuste sekä mahdollinen oikeutettu etu dokumentoidaan.
Lomakkeen pakolliset kentät erotetaan vapaaehtoisista, eikä avoimeen kenttään pyydetä tarpeettomia arkaluonteisia tietoja. Uutiskirjeen tilausta ei niputeta palvelupyynnön ehdoksi, jos markkinointi ei ole palvelun toteuttamiseksi tarpeen. Double opt-in voi auttaa osoittamaan tilauksen ja vähentämään väärinkäyttöä, mutta sitä ei pidä kuvata yleisenä GDPR:n nimenomaisena vaatimuksena kaikissa tilanteissa.
Ei-välttämättömät evästeet ja vastaavat tekniikat vaativat yleensä suostumuksen
Traficomin ohjeen mukaan käyttäjän päätelaitteelle tallentaminen tai siellä olevan tiedon käyttäminen edellyttää lähtökohtaisesti suostumusta, ellei tekniikka ole välttämätön käyttäjän nimenomaisesti pyytämän palvelun toteuttamiseksi tai viestin välittämiseksi. Arvio koskee evästeiden lisäksi vastaavia tekniikoita. Se tehdään käyttötarkoituksen eikä esimerkiksi analytiikka- tai toiminnallinen-nimikkeen perusteella.
Pätevän suostumuksen pitää olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Ei-välttämättömiä tunnisteita ei käynnistetä ennen valintaa, valmiiksi rastitettuja vaihtoehtoja ei käytetä ja suostumuksen peruuttamisen pitää olla yhtä helppoa kuin sen antamisen. Käyttäjälle kerrotaan ymmärrettävästi tarkoitukset, kestot ja kolmannet osapuolet, ja yrityksen pitää pystyä osoittamaan saamansa suostumus.
Analytiikka, mainonta ja upotukset testataan käytännössä
Pelkkä bannerin näkyminen ei todista, että valinnat toimivat. Tarkista selaimen tallennustilasta ja verkkopyynnöistä, mitä latautuu ennen suostumusta, hyväksymisen jälkeen, hylkäyksessä ja suostumuksen peruuttamisen jälkeen. Testaa myös upotetut videot, kartat, chatit, lomakkeet ja palvelut, jotka voivat asettaa tunnisteita oman verkkotunnuksensa kautta.
Google Consent Mode tai muu tekninen suostumussignaali ei yksin tee käsittelystä lainmukaista. Yrityksen pitää edelleen arvioida käytettävät palvelut, oikeusperusteet, käyttäjälle annettavat tiedot ja asetusten todellinen toiminta. Muutokset tunnisteisiin tai palveluntarjoajiin päivitetään banneriin, ilmoituksiin ja käsittelydokumentaatioon ennen kuin uusi tietovirta jää pysyväksi.
Tietosuoja on jatkuva toimintamalli, ei julkaisuhetken tarkistus
Säilytysajat, käyttöoikeudet, poistot, varmuuskopiot ja tietoturva sovitaan järjestelmittäin. Rekisteröidyn tarkastus-, oikaisu-, poisto-, rajoitus-, vastustus- ja siirto-oikeuksien soveltuminen riippuu käsittelystä, mutta yrityksellä pitää olla tunnistettava tapa vastaanottaa, arvioida ja toteuttaa pyynnöt määräajoissa. Myös tietoturvaloukkauksille tarvitaan sisäinen havainto-, arviointi- ja ilmoitusprosessi.
Tarkista kokonaisuus aina, kun sivustolle lisätään uusi lomake, integraatio, mainonnan tunniste, chatbot tai henkilötietoja käsittelevä toimittaja. Vuosittainen katselmus ei riitä, jos palvelut muuttuvat useammin. Yritys säilyttää omistajuuden tunnuksiin ja dokumentaatioon, nimeää vastuuhenkilöt ja pyytää tarvittaessa tietosuojan asiantuntijalta oikeudellisen arvion.
- ajantasainen tietovirta- ja palveluntarjoajaluettelo
- tarkoitukset, oikeusperusteet ja säilytysajat dokumentoituna
- toimiva suostumuksen antaminen, hylkääminen ja peruuttaminen
- prosessi rekisteröityjen pyynnöille ja tietoturvaloukkauksille
Kun haluat huomioida tietosuojan jo sivuston rakenteessa, integraatioissa ja laadunvarmistuksessa, tutustu verkkosivupalveluumme.
Lähteet ja lisätiedot
Artikkelin oikeudelliset periaatteet perustuvat EU:n tietosuoja-asetukseen, EDPB:n ohjeisiin ja Traficomin evästeohjeeseen. Sisältö on yleistä tietoa, ei oikeudellinen arvio yksittäisestä yrityksestä.
