Tietosuojaselosteen tekeminen: kuusi kenttää ja 30 minuuttia

Tietosuojaseloste on lyhyt lista faktoja omasta yrityksestä, ei juridinen projekti. Tämä ohje kertoo, mitkä kuusi kenttää pitää täyttää oikeasti ja missä neljässä kohdassa valmiit mallipohjat menevät pieleen. Lopussa ilmainen pohja, jolla pääset alkuun.

Lyhyt vastaus: Tietosuojaseloste on sivu, jolla kerrot ihmisille, mitä henkilötietoja käsittelet, miksi, kuinka kauan ja kenelle ne kulkevat. Tavallisella pienyrityksellä sen tekemiseen menee noin puoli tuntia, kun ensin on olemassa lista järjestelmistä, joissa asiakastietoja on. Voit ottaa rungon suoraan ilmaisesta pohjasta sivustollamme ja täyttää kuusi kenttää omilla tiedoillasi. Tärkein työ ei ole kirjoittaminen vaan se, että jokainen kohta on totta.

Tietosuojaseloste on yksi niistä asioista, jotka lykkääntyvät kuukausia, koska ne kuulostavat juridiselta projektilta. Ne eivät ole. Selosteen sisältö on lyhyt lista faktoja omasta yrityksestä, ja jokainen niistä on jo tiedossasi. Ainoa syy, miksi tehtävä tuntuu isolta, on se, että tiedot ovat hajallaan eri järjestelmissä eikä kukaan ole kirjoittanut niitä yhteen paikkaan.

Tämä sivu käy läpi, mitä selosteeseen oikeasti kirjoitetaan, missä järjestyksessä kannattaa edetä ja mitkä neljä kohtaa menevät valmiissa mallipohjissa lähes aina pieleen. Emme ole asianajotoimisto emmekä anna oikeudellista neuvontaa. Kun haluat viranomaisen oman muotoilun jostakin kohdasta, tarkista tietosuojavaltuutetun toimiston ohjeet osoitteessa tietosuoja.fi.

Mikä tietosuojaseloste on — ja mikä se ei ole

Ole tässä tarkka, koska sanat menevät netissä sekaisin. Tietosuoja-asetus ei määrää, että yrityksellä on oltava asiakirja nimeltä "tietosuojaseloste". Asetus asettaa tiedonantovelvollisuuden: kun keräät henkilötietoja, sinun on kerrottava ihmiselle tietyt asiat tiiviisti, ymmärrettävästi ja helposti saatavilla olevassa muodossa. Seloste on vakiintunut ja käytännöllinen tapa hoitaa tuo velvollisuus yhdellä sivulla. Nimi saa olla myös "tietosuojakäytäntö" tai "privacy policy". Sisältö ratkaisee, ei otsikko.

Kaksi sekaannusta kannattaa purkaa heti:

• Seloste ei ole vanha rekisteriseloste. Rekisteriseloste oli ennen vuotta 2018 voimassa olleen henkilötietolain termi. Jos sivullasi lukee yhä "rekisteriseloste" ja siinä viitataan henkilötietolakiin, dokumentti on vanhentunut ja kertoo lukijalle, ettei asiaa ole katsottu vuosiin.
• Seloste ei ole evästesuostumus. Suostumusbanneri on tekninen toiminto, joka kysyy luvan ei-välttämättömien evästeiden asettamiseen ennen kuin ne asetetaan. Seloste on teksti, joka kertoo käsittelystä. Toinen ei korvaa toista, vaikka molemmat käsittelevät samaa aihetta.

Kolmas ero on selosteen ja sisäisen käsittelytoimien luettelon välillä. Seloste on ulospäin, ihmisille. Luettelo on sisäinen työkalu, joka kertoo sinulle itsellesi, mitä tietoja missäkin on. Käytännössä luettelo tehdään ensin, ja seloste syntyy siitä lähes itsestään. Laajemmin GDPR:n kokonaisuudesta kirjoitimme erikseen artikkelissa GDPR pienyritykselle.

Ensimmäinen askel: listaa työkalusi

Tietosuojaselosteen tekeminen alkaa listasta, ei mallipohjasta. Ota tyhjä paperi ja kirjoita jokainen järjestelmä, jossa on yhdenkin asiakkaan tai yhteydenottajan tietoja. Selostetta ei voi kirjoittaa ennen kuin lista on olemassa, koska kolme kuudesta täytettävästä kentästä otetaan suoraan siitä. Tyypillinen pieni yritys löytää listalle enemmän rivejä kuin arvasi: verkkokaupan tai varausjärjestelmän, laskutusohjelman, sähköpostin, yhteydenottolomakkeen, kävijäanalytiikan, uutiskirjetyökalun, webhotellin, varmuuskopiot ja usein myös puhelimen viestisovellukset. Kirjoita jokaisen viereen kaksi asiaa: mitä tietoja siellä on ja onko palvelu oma vai ulkopuolisen ylläpitämä. Tämä yksi paperi on koko työn vaikein osa.

Tyypillinen pieni yritys löytää listalle enemmän rivejä kuin arvasi:

• verkkokauppa tai varausjärjestelmä, jossa on tilaajien nimet ja osoitteet
• laskutusohjelma ja tilitoimiston järjestelmä
• sähköposti, jossa on vuosien yhteydenotot
• verkkosivun yhteydenottolomake ja sen sähköpostiliitäntä
• kävijäanalytiikka ja mahdolliset mainospikselit
• uutiskirjetyökalu ja sen tilaajalista
• webhotelli tai palvelin, jossa sivusto ja sen lokit sijaitsevat
• varmuuskopiot, myös se ulkoinen kovalevy laatikossa
• puhelimen yhteystiedot ja WhatsApp-keskustelut, jos asiakkaat kirjoittavat sinne

Kirjoita jokaisen viereen kaksi asiaa: mitä tietoja siellä on ja onko palvelu oma vai ulkopuolisen ylläpitämä. Ulkopuoliset ovat käsittelijöitä, ja ne kuuluvat selosteen vastaanottajakenttään. Tämä yksi paperi on koko työn vaikein osa, ja sen jälkeen loppu on kirjoittamista.

Kuusi kenttää, jotka pitää täyttää oikeasti

Tietosuojaselosteessa on kuusi kenttää, joissa oma tietosi on pakko olla; loput on vakiotekstiä, jonka pohja hoitaa puolestasi. Ensimmäinen on rekisterinpitäjä yhteystietoineen, mukaan lukien osoite, johon tietosuoja-asiat saa lähettää. Toinen on se, mitä tietoja käsitellään, konkreettisina kenttinä eikä sanana "asiakastiedot". Kolmas on käyttötarkoitus ja oikeusperuste jokaiselle tietoryhmälle erikseen. Neljäs on vastaanottajat eli ne palvelut, joille tieto kulkee. Viides on säilytysaika lukuna tai laskusääntönä. Kuudes on rekisteröidyn oikeudet ja valitusreitti valvontaviranomaiselle. Jos vain nämä kuusi ovat kunnossa, seloste on parempi kuin useimmat suomalaisilla pienyrityssivuilla.

Huomaa kohta 3. Se on ainoa kenttä, jossa joudut oikeasti ajattelemaan, ja se on myös se, jonka mallipohjat pilaavat useimmin.

Neljä kohtaa, joissa valmiit mallipohjat menevät pieleen

Netistä löytyvät tietosuojaselosteen pohjat ovat rakenteeltaan yleensä kunnossa. Ongelma on siinä, mitä niissä on esitäytettynä, ja neljä virhettä toistuu niin usein, että ne kannattaa tarkistaa ennen julkaisua. Oikeusperusteeksi kopioituu "suostumus", vaikka kyse on sopimuksesta tai lakisääteisestä velvoitteesta. Vastaanottajat jätetään tyhjäksi, vaikka ulkopuolisia palveluita on kuusi. Säilytysajaksi kirjoitetaan "niin kauan kuin on tarpeen", mikä ei ole aika vaan merkki siitä ettei asiaa ole mietitty. Ja pohja kieltää siirrot EU:n ulkopuolelle, vaikka käytössä on yhdysvaltalainen työkalu. Yhteistä on se, ettei virhe synny pohjasta vaan siitä, että esitäytetty teksti jätetään paikalleen.

1. Oikeusperusteeksi kopioidaan "suostumus", vaikka se on sopimus tai oikeutettu etu Tämä on yleisin ja hankalin virhe. Jos asiakas tilaa tuotteen, tietojen käsittelyn peruste on sopimuksen täyttäminen, ei suostumus. Ero ei ole muodollinen: suostumus on peruutettavissa milloin tahansa, ja jos olet luvannut selosteessa käsitteleväsi tilaustietoja suostumuksen nojalla, olet luvannut lopettaa käsittelyn pyynnöstä — vaikka kirjanpitolaki velvoittaa säilyttämään saman tositteen. Kirjoita jokaiselle tietoryhmälle erikseen: sopimus, lakisääteinen velvoite, oikeutettu etu vai suostumus. Suostumus jää yleensä vain uutiskirjeelle ja ei-välttämättömille evästeille.
2. Vastaanottajat jätetään tyhjäksi, vaikka niitä on kuusi Moni kirjoittaa "emme luovuta tietoja kolmansille osapuolille" ja tarkoittaa sillä, ettei myy listoja eteenpäin. Se ei ole sama asia. Analytiikkapalvelu, uutiskirjetyökalu, laskutusohjelma, maksunvälittäjä, tilitoimisto ja webhotelli käsittelevät kaikki asiakastietojasi sinun lukuusi, ja ne kuuluvat vastaanottajiin. Palaa listaasi ja kopioi ulkopuoliset palvelut suoraan tähän kenttään. Samalla huomaat, keneltä puuttuu käsittelysopimus.
3. Säilytysajaksi kirjoitetaan "niin kauan kuin on tarpeen" Se ei ole aika. Se on lause, joka kertoo lukijalle, ettei asiaa ole mietitty. Kirjoita luku tai sääntö, joka on tarkistettavissa: kirjanpitoaineisto lain edellyttämän ajan, tarjouspyynnöt 12 kuukautta, asiakastiedot kaksi vuotta asiakassuhteen päättymisestä, uutiskirjeen tilaajat kunnes tilaus perutaan. Valitse aika, jota oikeasti noudatat. Liian tiukka lupaus on huonompi kuin rehellinen pidempi aika.
4. Pohja kieltää siirrot EU:n ulkopuolelle, vaikka käytössä on yhdysvaltalainen työkalu Suomenkielisissä pohjissa lukee usein valmiiksi "tietoja ei siirretä EU- tai ETA-alueen ulkopuolelle". Katso sitten omaa listaasi: uutiskirjetyökalu, analytiikka, pilvitallennus ja lomakepalvelu ovat hyvin usein yhdysvaltalaisia. Silloin lause on väärä. Oikea ratkaisu ei ole työkalun vaihto paniikissa vaan sen kirjoittaminen selosteeseen: mitä palvelua käytetään, mihin tieto siirtyy ja millä järjestelyllä siirto on toteutettu. Tarkista palvelun omista tietosuojaehdoista, mitä siirtomekanismia se käyttää, ja tarkista tietosuojavaltuutetun toimiston ohjeet, jos tilanne on epäselvä.

Yhteinen nimittäjä on sama: virhe ei synny siitä, mitä pohjassa lukee, vaan siitä, että esitäytetty teksti jätetään paikalleen. Käy jokainen valmis lause läpi ja kysy, onko se totta juuri sinun yrityksessäsi.

Seloste 30 minuutissa

Kun lista järjestelmistä on tehty, itse tietosuojaselosteen kirjoittaminen vie noin puoli tuntia ja etenee seitsemässä vaiheessa. Avaa pohja ja tallenna oma kopio. Täytä rekisterinpitäjä ja se osoite, johon tietosuojapyynnöt lähetetään. Kirjoita tietoryhmät ja niiden käyttötarkoitukset — kolmesta viiteen ryhmää riittää useimmille. Merkitse jokaiselle ryhmälle erikseen oikeusperuste äläkä laita kaikkeen suostumusta. Kopioi vastaanottajat suoraan listastasi ja merkitse samalla, mitkä palvelut ovat EU:n ulkopuolella. Kirjoita säilytysajat ja vakioteksti rekisteröidyn oikeuksista. Julkaise lopuksi omalle sivulleen ja linkitä alatunnisteeseen sekä jokaisen lomakkeen viereen.

1. Avaa pohja ja tallenna oma kopio Käytä ilmaista pohjaa sivustollamme tai mitä tahansa muuta runkoa, jossa on kaikki kuusi kenttää. Noin 5 minuuttia.
2. Täytä rekisterinpitäjä ja yhteystieto Virallinen nimi, Y-tunnus, osoite ja osoite, johon tietosuojapyynnöt lähetetään. Perusta tarvittaessa oma osoite, jotta pyynnöt eivät huku myyntipostiin. Noin 3 minuuttia.
3. Kirjoita tietoryhmät ja tarkoitukset Kolmesta viiteen ryhmää riittää useimmille: yhteydenottajat, asiakkaat ja tilaukset, uutiskirjeen tilaajat, verkkosivun kävijät. Jokaiselle yksi lause tarkoituksesta. Noin 8 minuuttia.
4. Merkitse jokaiselle ryhmälle oikeusperuste Sopimus, lakisääteinen velvoite, oikeutettu etu tai suostumus. Älä laita kaikkeen suostumusta. Noin 5 minuuttia.
5. Kopioi vastaanottajat listastasi Kaikki ulkopuoliset palvelut, joissa tietoa käsitellään. Merkitse samalla, mitkä niistä ovat EU:n ulkopuolella. Noin 5 minuuttia.
6. Kirjoita säilytysajat ja oikeudet Aika jokaiselle ryhmälle ja vakioteksti rekisteröidyn oikeuksista sekä kantelumahdollisuudesta valvontaviranomaiselle. Noin 4 minuuttia.
7. Julkaise ja linkitä Oma sivu osoitteessa, joka ei muutu, linkki alatunnisteeseen ja linkki jokaisen lomakkeen viereen, jossa tietoja kerätään. Merkitse päivitysajankohta selosteen loppuun. Noin 5 minuuttia.

Puoli tuntia riittää, jos et yritä samalla ratkaista jokaista tietosuojakysymystä kerralla. Seloste on elävä sivu. Kun otat uuden työkalun käyttöön, lisäät yhden rivin.

Milloin selosteen tekoa EI kannata ostaa ulkopuolelta

Suoraan sanottuna: useimpien mikroyritysten ei kannata maksaa tästä kenellekään. Jos yrityksesi on yhden tai muutaman ihmisen kokoinen, myyt tavallisia tuotteita tai palveluita ja käsittelet vain nimiä, yhteystietoja, tilauksia ja laskutusta, tämä on työ, jonka teet itse yhdellä istumalla ilmaisella pohjalla. Ulkopuolinen ei tiedä paremmin, mitä järjestelmiä käytät — hän joutuu kysymään sinulta juuri sen saman listan, jonka teit yllä. Maksat siis siitä, että joku kirjoittaa sinun vastauksesi puhtaaksi.

Sama pätee tietosuojaohjelmistoihin, jotka generoivat selosteen lomakkeella kuukausimaksua vastaan. Ne tuottavat saman tekstin kuin ilmainen pohja, ja niiden esitäytöt kärsivät täsmälleen samoista neljästä virheestä. Vuosimaksu ei tee tekstistä totta.

Apu on perusteltua, kun tilanne poikkeaa tavallisesta:

• käsittelet terveystietoja, rikostietoja tai muita erityisiin ryhmiin kuuluvia tietoja
• toimintasi ydin on ihmisten seuranta, profilointi tai automaattinen päätöksenteko
• käsittelet lasten tietoja suoraan kuluttajille suunnatussa palvelussa
• myyt useaan maahan ja joudut miettimään siirtoja ja useita valvontaviranomaisia
• rakennat uutta järjestelmää, jossa tietomalli pitää suunnitella alusta oikein

Näissä tilanteissa kyse ei ole enää selosteen kirjoittamisesta vaan käsittelyn suunnittelusta, ja silloin oikea keskustelukumppani on juristi tai tietoturvaa ja tietosuojaa tekevä toimittaja. Meidän osaltamme kaikki työ, jota myymme, hinnoitellaan avoimesti hinnastossa. Selosteen tekemistä ei kannata ostaa meiltä, jos kuulut yllä kuvattuun tavalliseen ryhmään. Sano se ääneen itsellesi ennen kuin maksat siitä kenellekään.

Mihin seloste laitetaan ja miten se pysyy totta?

Tietosuojaseloste kuuluu omalle sivulleen, jonka osoite ei muutu, ja siihen viitataan siellä, missä tietoja kerätään. Käytännössä paikkoja on kolme: alatunniste, yhteydenottolomakkeen vieressä oleva linkki ja tilauksen tai uutiskirjeen tilauksen yhteydessä oleva linkki. Linkin pitää olla luettavissa ennen lähetyspainiketta, ei vasta kiitossivulla. Seloste pysyy totta yhdellä säännöllä: kun otat käyttöön uuden työkalun, joka näkee asiakastietoja, lisäät sen samana päivänä vastaanottajiin. Se on yksi rivi ja kestää minuutin. Ilman tuota sääntöä seloste vanhenee vuodessa, ja vanhentunut seloste on juuri se dokumentti, joka kääntyy sinua vastaan.

Pidä seloste totta yhdellä säännöllä: kun otat käyttöön uuden työkalun, joka näkee asiakastietoja, lisäät sen samana päivänä vastaanottajiin. Se on yksi rivi ja kestää minuutin. Ilman tuota sääntöä seloste vanhenee vuodessa, ja vanhentunut seloste on juuri se dokumentti, joka kääntyy sinua vastaan, jos joku joskus kysyy.

Merkitse loppuun päivämäärä, jolloin seloste on viimeksi tarkistettu. Se on lukijalle signaali ja sinulle muistutus. Kerran vuodessa avaa lista järjestelmistä ja katso, onko siellä rivejä, joita ei enää käytetä. Jos on, poista tiedot palvelusta äläkä vain lopeta kirjautumista sinne.

Usein kysyttyä

Kun olet valmis, katso selostetta vielä kerran asiakkaan silmin. Ymmärtääkö hän kolmessa minuutissa, mitä tiedoilleen tapahtuu ja keneen hän ottaa yhteyttä, jos haluaa ne pois? Jos ymmärtää, olet tehnyt sen, mitä laki tavoittelee. Runko löytyy ilmaisesta pohjasta sivustollamme, ja tarkat viranomaisohjeet osoitteesta tietosuoja.fi.

Lue seuraavaksi

• Tarjouspyynnön tekeminen IT-projektista: 10 riviä, joilla tarjoukset ovat vertailukelpoisia
• Yrityssovelluksen kehittämisen hinta
• WordPress-ylläpidon hinta ja mitä siihen oikeasti kuuluu
• WordPressin hakukoneoptimointi: neljä asetusta, jotka ratkaisevat teknisen puolen
• Webhotellin vaihto ilman katkoa: testaa uusi palvelin ennen kuin kukaan asiakas näkee mitään

Lue myös: IT-konsultointi pienyritykselle · Tekoälykonsultointi pienyritykselle · Digitalisaatio pienyritykselle · Liikkeenjohdon konsultointi pienelle yritykselle · Google-yritysprofiili: tee itse ilmaiseksi tai anna meidän hoitaa se · Sähköposti yritykselle: mitä nimi@firma.fi maksaa ja miten se otetaan käyttöön · verkkotunnus ja domain · WordPress-ylläpito: mitä se on, mitä se maksaa ja milloin sitä ei tarvita