VectaGDPR pienyritykselle
GDPR on pitkä ja sen lukeminen epämiellyttävää, joten sillä on helppo pelotella. Tässä se, mitä laki tosiasiassa vaatii kolmen tai kymmenen hengen yritykseltä — ja yhtä tärkeänä se puolet työstä, jota myydään pienyrityksille turhaan.
Lyhyt vastaus: Pienen yrityksen GDPR on käytännössä kolme velvollisuutta. Tiedä, mitä henkilötietoja teillä on ja miksi. Kerro se ihmisille tietosuojaselosteessa. Pysty poistamaan tai antamaan ne tiedot, kun joku pyytää. Näiden päälle tulee kaksi aikarajaa: tietopyyntöön vastataan kuukauden kuluessa ja tietovuodosta ilmoitetaan viranomaiselle 72 tunnin kuluessa. Suurin osa siitä, mistä pienyrityksiä pelotellaan — tietosuojavastaava, vaikutustenarviointi, miljoonasakot — ei koske tavallista pientä suomalaista yritystä lainkaan.
GDPR eli tietosuoja-asetus tuli voimaan vuonna 2018, ja siitä lähtien pienyrityksille on myyty sen nimissä koulutuksia, ohjelmistoja ja auditointeja. Osa on ollut hyödyllistä. Osa on perustunut siihen, että asetus on pitkä ja sen lukeminen on epämiellyttävää, joten sitä on helppo käyttää pelotteluun.
Tämä sivu on yritys kertoa, mitä laki tosiasiassa vaatii kolmen tai kymmenen hengen suomalaiselta yritykseltä. Emme ole asianajotoimisto emmekä anna oikeudellista neuvontaa, mutta olemme tehneet tämän tarpeeksi monta kertaa nähdäksemme, mikä osa työstä on oikeasti tarpeen ja mikä on myytyä ahdistusta.
Mitä henkilötieto tarkoittaa?
Henkilötieto on mikä tahansa tieto, josta yksittäinen ihminen on tunnistettavissa joko suoraan tai yhdistelemällä. Nimi ja sähköpostiosoite ovat henkilötietoja, ja niin ovat myös pelkkä puhelinnumero, asiakasnumero, joka on yhdistettävissä nimeen, valvontakameran kuva ja verkkosivun lokiin jäävä IP-osoite. Määritelmä on laaja, ja siksi käytännön yllätys pienyrityksille on yleensä se, kuinka monessa paikassa henkilötietoja on. Tyypillinen kolmen hengen yritys käsittelee niitä ainakin sähköpostissa, laskutusohjelmassa, verkkosivun yhteydenottolomakkeessa, palkanlaskennassa, puhelimen yhteystiedoissa ja jossakin Excel-tiedostossa, jonka tekijä ei enää ole talossa. Jokainen näistä on käsittelyä, ja jokainen kuuluu saman kolmen velvollisuuden piiriin.
Tästä seuraa, ettei tietosuoja ole erillinen projekti vaan ominaisuus niissä järjestelmissä, joita yritys jo käyttää. Mitään uutta ohjelmistoa ei tarvita sen selvittämiseen, missä henkilötiedot ovat — tarvitaan lista niistä paikoista, joissa ne jo ovat.
Kolme oikeaa velvollisuutta
1. Tiedä, mitä teillä on ja miksi
Jokaiselle henkilötietojen käsittelylle pitää olla peruste. Käytännössä pienessä yrityksessä perusteita on kolme tai neljä: sopimus, kun kyse on asiakkaasta; lakisääteinen velvoite, kun kyse on kirjanpidosta ja palkoista; oikeutettu etu, kun kyse on esimerkiksi olemassa olevan asiakassuhteen hoitamisesta; ja suostumus, kun kyse on markkinoinnista ihmisille, jotka eivät ole asiakkaita.
Suostumusta käytetään usein väärin. Se ei ole yleisperuste kaikelle, ja sen pitää olla vapaaehtoinen, yksilöity ja peruutettavissa. Asiakkaan laskuttamiseen ei tarvita suostumusta, koska peruste on sopimus. Uutiskirjeen lähettämiseen henkilölle, joka ei ole asiakas, tarvitaan.
Tämä työ on käytännössä yhden taulukon tekemistä: mitä tietoa, mistä se tuli, missä se on, millä perusteella ja kuinka kauan sitä säilytetään. Yhdellä sivulla, ei kaksikymmentäsivuisena dokumenttina. Isommilla toimijoilla tämä on virallinen seloste käsittelytoimista, ja alle 250 hengen yrityksillä siihen on lievennyksiä — mutta taulukko kannattaa tehdä joka tapauksessa, koska ilman sitä kahteen seuraavaan velvollisuuteen on mahdotonta vastata.
2. Kerro ihmisille
Ihmisellä on oikeus tietää, mitä tietoja hänestä käsitellään ja miksi. Tämä hoidetaan tietosuojaselosteella, joka on verkkosivulla ja johon viitataan siellä, missä tietoja kerätään: yhteydenottolomakkeessa, tilauksessa, uutiskirjeen tilauskohdassa.
Selosteen ei tarvitse olla juridinen taideteos. Sen pitää kertoa, kuka on rekisterinpitäjä ja mistä hänet tavoittaa, mitä tietoja kerätään, mihin niitä käytetään, millä perusteella, kenelle niitä luovutetaan, kuinka kauan niitä säilytetään ja mitä oikeuksia ihmisellä on. Olemme kirjoittaneet siitä oman sivunsa, jossa on rakenne ja malli: tietosuojaseloste, malli ja ohje.
Yleisin virhe on kopioida seloste toiselta sivustolta ja jättää siihen kohtia, jotka eivät pidä paikkaansa. Seloste, jossa luvataan säilytysaikoja, joita ei noudateta, on huonompi kuin lyhyt seloste, joka on totta.
3. Pysty toimimaan, kun ihminen käyttää oikeuksiaan
Ihmisellä on oikeus saada nähdä omat tietonsa, oikaista virheelliset tiedot, saada tiedot poistetuksi tietyissä tilanteissa, saada ne siirrettävässä muodossa ja vastustaa tiettyä käsittelyä, esimerkiksi suoramarkkinointia. Käytännössä nämä tarkoittavat, että teidän on pystyttävä etsimään yhden ihmisen tiedot kaikista järjestelmistänne. Juuri siksi ensimmäisen kohdan taulukko on tärkeä: ilman sitä et tiedä, mistä kaikkialta etsiä.
Miten henkilötiedon elinkaari kulkee?
Tietopyyntö: mikä se on ja miten siihen vastataan?
Tietopyyntö tarkoittaa sitä, että ihminen pyytää nähdä, mitä tietoja hänestä käsitellään. Sitä ei tarvitse tehdä lomakkeella eikä siinä tarvitse perustella mitään. Pyyntö voi tulla sähköpostilla, puhelimessa tai kasvotusten, eikä siinä tarvitse mainita sanaa GDPR ollakseen pätevä. Tämä on ensimmäinen asia, jonka pienyritykset yleensä hoitavat väärin: pyyntö kuitataan "lähetä virallinen hakemus" -vastauksella, ja määräaika alkaa silti kulua.
- Merkitse päivämäärä muistiin Määräaika on kuukausi pyynnön vastaanottamisesta. Sitä voi jatkaa kahdella kuukaudella, jos pyyntö on monimutkainen, mutta jatkosta on kerrottava pyytäjälle sen ensimmäisen kuukauden aikana. Hiljaisuus ei ole jatkoaikaa.
- Varmista, kuka pyytää Tiedot annetaan vain sille, jota ne koskevat. Tunnistaminen tehdään kevyimmällä riittävällä tavalla: usein riittää, että vastaus lähetetään siihen sähköpostiosoitteeseen, joka on jo rekisterissä. Älä pyydä henkilötunnusta tai passikopiota, jos et sitä oikeasti tarvitse — ylimääräisten tietojen kerääminen on itsessään uusi ongelma.
- Etsi tiedot kaikista järjestelmistä Sähköposti, laskutus, asiakasrekisteri, verkkokauppa, uutiskirjelista, varmuuskopiot. Tässä kohtaa ensimmäisen luvun taulukko maksaa itsensä takaisin, koska ilman sitä joku unohtuu aina.
- Kokoa vastaus ymmärrettävään muotoon Kerro, mitä tietoja on, mistä ne on saatu, mihin niitä käytetään, kenelle niitä on luovutettu ja kuinka kauan niitä säilytetään. Raakadumppi tietokannasta ei täytä vaatimusta, jos siitä ei saa selvää.
- Lähetä maksutta Ensimmäinen jäljennös on maksuton. Maksun saa periä vain, jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttoman toistuvia, ja se on harvinaista.
Jos pyyntö koskee poistoa, muista että poisto-oikeus ei ole ehdoton. Kirjanpitolaki velvoittaa säilyttämään tositteita, eikä asiakas voi vaatia laskutietojensa poistoa kesken säilytysajan. Silloin oikea vastaus ei ole poisto vaan selitys: mitkä tiedot poistettiin, mitkä säilyvät ja millä lain perusteella. Markkinointilistalta poistuminen sen sijaan hoidetaan aina ja heti.
Käsittelysopimus: kun toimittaja käsittelee teidän asiakastietojanne
Käsittelysopimus tarkoittaa kirjallista sopimusta siitä, että ulkopuolinen palvelu käsittelee henkilötietoja teidän lukuunne. Sellainen pitää olla, ja käytännössä velvollisuus koskee lähes jokaista yritystä, koska laskutusohjelma, verkkosivujen ylläpitäjä, uutiskirjepalvelu, tilitoimisto ja pilvitallennus ovat kaikki tällaisia käsittelijöitä. Hyvä uutinen on, ettei sopimusta yleensä tarvitse itse kirjoittaa: vakiintuneilla palveluilla se on osa käyttöehtoja tai erillisenä liitteenä ja saatavilla pyytämällä. Työ on siis lähinnä pyytämistä, tarkistamista ja tallentamista, ja siihen menee yksi sähköposti per toimittaja.
Neljä kohtaa kannattaa katsoa jokaisesta sopimuksesta, koska juuri niissä sopimukset eroavat toisistaan:
| Kohta | Mitä siinä pitää lukea | Miksi |
|---|---|---|
| Alikäsittelijät | kenelle toimittaja edelleen siirtää tiedot ja ilmoitetaanko muutoksista | tieto voi kulkea useamman yrityksen läpi kuin luulisi |
| Sijainti | missä tietoa säilytetään ja siirretäänkö sitä EU:n ulkopuolelle | EU:n ulkopuoliset siirrot vaativat oman perusteensa |
| Ilmoitus tietomurrosta | että toimittaja ilmoittaa teille viivättä ja millä kanavalla | teidän 72 tuntinne alkaa siitä, kun te saatte tietää |
| Tietojen palautus ja poisto | mitä tiedoille tapahtuu, kun sopimus päättyy | muuten asiakasrekisteri jää palveluun, jota ette enää käytä |
Jos toimittaja ei pysty näyttämään mitään sopimusta, se on tieto itsessään. Ei välttämättä syy vaihtaa, mutta syy kysyä tarkemmin.
72 tuntia: mitä tehdä, jos tietoja vuotaa?
Henkilötietojen tietoturvaloukkauksesta on lähtökohtaisesti ilmoitettava tietosuojavaltuutetun toimistolle 72 tunnin kuluessa siitä, kun asia tuli tietoon. Ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä ihmisten oikeuksille — esimerkiksi jos kadonnut laite oli salattu eikä siihen päässyt kukaan. Jos riski on korkea, myös niille ihmisille, joita asia koskee, on kerrottava.
Kolme päivää on lyhyt aika, jos kukaan ei ole miettinyt asiaa etukäteen. Käytännön valmistautuminen on yksi paperi, jossa lukee kolme asiaa: kuka päättää, että ilmoitus tehdään, kuka sen kirjoittaa ja mistä löytyy lista järjestelmistä, joissa henkilötietoja on. Sama paperi kelpaa vuosia.
Huomaa myös, ettei ilmoituksen tarvitse olla täydellinen ensi yrittämällä. Ilmoituksen voi tehdä puutteellisin tiedoin ja täydentää sitä myöhemmin. Se on parempi kuin myöhästyä siksi, että odotettiin täyttä kuvaa.
Mikä GDPR:ssä ei koske teitä?
Iso osa siitä, mitä pienyrityksille myydään GDPR:n nimissä, ei ole laissa velvollisuus lainkaan. Tämä luku on tässä siksi, että se on käytännössä puolet siitä työstä, jota pienyrityksille yritetään myydä: tietosuojavastaava, vaikutustenarviointi, sertifioinnit, tietosuojaohjelmistot ja vuosittaiset auditoinnit. Tietosuojavastaava on pakollinen vain tarkasti rajatuissa tilanteissa, vaikutustenarviointi vaaditaan vasta korkean riskin käsittelystä, eikä sertifiointia tai erillistä ohjelmistoa vaadita lainkaan. Ne voivat silti olla hyödyllisiä, mutta ne ovat valinta eivätkä vaatimus, ja tämä ero kannattaa tietää ennen kuin ostaa. Alla jokainen kohta erikseen.
Vaikutustenarviointi eli DPIA vaaditaan silloin, kun käsittely todennäköisesti aiheuttaa korkean riskin: laajamittainen seuranta, arkaluonteisten tietojen laajamittainen käsittely, järjestelmällinen automaattinen päätöksenteko. Asiakasrekisteri, laskutus ja uutiskirje eivät ole tällaisia. Jos joku myy teille vaikutustenarviointia verkkokaupan asiakasrekisteristä, kysykää, minkä korkean riskin perusteella.
Myöskään erillistä sertifiointia, tietosuojaohjelmistoa tai vuosittaista auditointia ei laissa vaadita. Ne voivat olla hyödyllisiä isoissa organisaatioissa. Pienessä yrityksessä sama raha tuottaa enemmän hyötyä, jos se käytetään siihen, että sähköpostissa on kaksivaiheinen tunnistautuminen ja varmuuskopiot toimivat.
Sakot: mitä valvonta oikeasti tekee?
GDPR:n enimmäissakot ovat suuria, ja niitä siteerataan myyntipuheissa lähes aina. Enimmäismäärä ei kuitenkaan kerro, mitä käytännössä tapahtuu, koska seuraamus on suhteutettava rikkomuksen vakavuuteen, kestoon, tahallisuuteen, siihen onko rikkomus korjattu ja siihen, tekeekö toimija yhteistyötä valvojan kanssa. Käytännössä valvonta kohdistuu toistuvaan ja tahalliseen toimintaan: laajamittaiseen luvattomaan tiedonkeruuseen, viranomaisen kehotusten ohittamiseen ja siihen, että ihmisten oikeuksia jätetään järjestelmällisesti toteuttamatta. Tavallinen ensimmäinen seuraamus pienelle toimijalle Suomessa on huomautus tai määräys korjata asia, ei sakko.
Sakkoasteikko on siis kirjoitettu asetuksen vakavimpia tapauksia varten, ei ensimmäistä puutetta varten. Sen siteeraaminen pienyritykselle kertoo enemmän myyntipuheesta kuin riskistä.
Tästä ei kannata vetää johtopäätöstä, että laki on merkityksetön. Kannattaa vetää se johtopäätös, että peruskunto riittää: kun taulukko on tehty, seloste on totta ja tietopyyntöön osataan vastata, olette siinä joukossa, johon valvonta ei kohdistu.
Yhden illan tehtävälista
- Listaa järjestelmät, joissa on henkilötietoja Sähköposti, laskutus, verkkosivu, uutiskirje, palkat, pilvilevy, puhelin. Yksi sivu riittää.
- Kirjoita jokaisen viereen peruste ja säilytysaika Sopimus, lakisääteinen velvoite, oikeutettu etu tai suostumus. Säilytysaika sanoina, esimerkiksi "kirjanpidon osalta lain edellyttämä aika, muuten kaksi vuotta asiakassuhteen päättymisestä".
- Päivitä tietosuojaseloste vastaamaan listaa Poista siitä kaikki, mikä ei ole totta. Lyhyt ja tosi voittaa pitkän ja kopioidun.
- Kerää käsittelysopimukset toimittajilta Yksi sähköposti per toimittaja. Tallenna vastaukset samaan kansioon.
- Kirjoita yhden sivun ohje tietopyyntöön ja tietovuotoon Kuka vastaa, mistä tiedot etsitään, kenelle ilmoitetaan. Tämä paperi on ainoa, jolla on merkitystä sinä päivänä, kun jotain tapahtuu.
Jos haluatte käydä tämän listan läpi kerran kunnolla jonkun kanssa, joka ei myy teille ohjelmistoa sen päälle, teemme sitä työtä: tietosuoja yrityksille.
Usein kysyttyä
Mikä on tietopyyntö ja pitääkö siihen aina vastata?
Tietopyyntö on ihmisen pyyntö saada nähdä, mitä tietoja hänestä käsitellään. Siihen on vastattava kuukauden kuluessa, maksutta, eikä pyytäjän tarvitse perustella pyyntöään. Pyyntö on pätevä, vaikka se tulisi tavallisena sähköpostina eikä siinä mainittaisi lakia. Jos pyyntö on monimutkainen, määräaikaa voi jatkaa kahdella kuukaudella, mutta jatkosta on ilmoitettava ensimmäisen kuukauden aikana.
Voiko asiakas vaatia kaikkien tietojensa poistoa?
Ei kaikissa tilanteissa. Poisto-oikeus väistyy, jos tietojen säilyttämiseen on lakisääteinen velvoite, kuten kirjanpidon tositteissa. Oikea vastaus on silloin kertoa, mitkä tiedot poistettiin ja mitkä säilyvät ja millä perusteella. Markkinointilistalta poistuminen sen sijaan on aina toteutettava.
Tarvitseeko pienyritys tietosuojavastaavan?
Lähes varmasti ei. Vastaava on pakollinen viranomaisille sekä toimijoille, joiden ydintoimintaa on laajamittainen seuranta tai arkaluonteisten tietojen laajamittainen käsittely. Tavallinen asiakasrekisteri ja laskutus eivät täytä näitä. Yhteyshenkilön nimeäminen on silti käytännöllistä, koska silloin on selvää, kuka vastaa tietopyyntöön.
Tarvitsemmeko sopimuksen kirjanpitäjän tai verkkosivujen ylläpitäjän kanssa?
Kyllä, jos he käsittelevät henkilötietoja teidän lukuunne. Käsittelysopimus on lähes aina valmiina toimittajan ehdoissa, joten työ on lähinnä sen pyytämistä ja tallentamista. Tarkista siitä alikäsittelijät, tietojen sijainti, ilmoitusvelvollisuus tietomurrosta ja se, mitä tiedoille tapahtuu sopimuksen päättyessä.
Mitä tapahtuu, jos emme ole tehneet mitään näistä?
Yleensä ei mitään, ennen kuin joku tekee tietopyynnön tai valituksen. Valvonta Suomessa on käytännössä reaktiivista ja ensimmäinen seuraamus pienelle toimijalle on tyypillisesti huomautus tai määräys korjata asia. Riski ei ole sakko vaan se, että joudutte tekemään kaiken kerralla kiireessä ja huonosti. Yhden illan työ etukäteen poistaa sen.
Riittääkö verkosta kopioitu tietosuojaseloste?
Riittää lähtökohdaksi, ei lopputulokseksi. Kopioidussa selosteessa on lähes aina kohtia, jotka eivät pidä paikkaansa teidän kohdallanne, ja seloste, joka lupaa väärin, on huonompi kuin lyhyt seloste, joka on totta. Käytä mallia runkona ja muuta jokainen kohta vastaamaan sitä, mitä oikeasti teette.
Lue seuraavaksi
- GDPR-tarkistuslista verkkosivuille: kahdeksan kohtaa, jotka tarkistat itse selaimella
- Yrityssovelluksen kehittämisen hinta
- WordPress-ylläpidon hinta ja mitä siihen oikeasti kuuluu
- WordPressin hakukoneoptimointi: neljä asetusta, jotka ratkaisevat teknisen puolen
- Webhotellin vaihto ilman katkoa: testaa uusi palvelin ennen kuin kukaan asiakas näkee mitään
- Kalasteluviestien tunnistaminen yrityksessä: viisi merkkiä ja sääntö, joka pysäyttää tilinumeron vaihdon
Lue myös: kanta-asiakassovellus yritykselle · QR-koodi generaattori · yhteystiedot · blogi · hinnasto · kassajärjestelmä ravintolaan · kanta-asiakasohjelma pienyritykselle · digitaalinen leimakortti