Tietosuojaseloste-malli pienyritykselle

Mitä laki oikeasti vaatii, kuka selosteen tarvitsee ja valmis pohja, jonka voi kopioida sellaisenaan. Ilman latauslomaketta ja ilman sähköpostiosoitetta.

Tietosuojaseloste on GDPR:n vaatima seloste käsittelytoimista, joka kirjoitetaan sen ihmisen luettavaksi, jonka tietoja käsittelet. Laki käyttää siitä nimitystä informointivelvollisuus. Kansankielellä: kerro suoraan mitä keräät ja miksi, niin että sen ymmärtää ilman juristia.

Suurin osa suomalaisista pienyrityksistä hoitaa tämän kopioimalla naapurin tekstin, jolloin selosteessa lukee palveluita joita ei ole ja rekisterinpitäjänä joku muu. Tämä sivu antaa pohjan, jota ei tarvitse kopioida väärästä paikasta, ja kertoo rehellisesti sen, mihin pohja riittää ja mihin ei.

Mitä laki oikeasti vaatii pieneltä yritykseltä

GDPR näyttää isolta, mutta yhden hengen yritykselle vaatimus tiivistyy viiteen kysymykseen. Jos vastaat näihin kirjallisesti ja pidät vastaukset ajan tasalla, olet perusasioissa kunnossa.

Sen lisäksi selosteessa pitää kertoa ihmiselle hänen oikeutensa: oikeus nähdä omat tietonsa, oikaista virheet, pyytää poistoa, vastustaa käsittelyä ja tehdä valitus tietosuojavaltuutetun toimistoon. Nämä ovat vakiotekstit ja ne ovat alla olevassa pohjassa valmiina.

Kaksi asiaa ei ole selosteessa mutta ne kysytään usein samassa yhteydessä. Tietosuojavastaava tarvitaan vain harvoin, käytännössä julkisella sektorilla ja laajassa arkaluontoisessa käsittelyssä. Ja seloste käsittelytoimista, jota GDPR:n 30 artikla vaatii, on eri asia kuin tämä julkinen teksti: se on sisäinen dokumentti, ja pienin yrityksin sitä koskee kevennys, joskin poikkeuksineen.

Miten henkilötieto liikkuu pienessä yrityksessä

Selosteen kirjoittaminen on helppoa, kun piirtää ensin tämän. Neljä laatikkoa riittää, ja jokainen niistä vastaa yhteen selosteen kohtaan.

Jos et osaa täyttää laatikkoa numero kaksi, se on tärkeämpi löydös kuin puuttuva seloste. Se tarkoittaa, että asiakastietoja on paikoissa, joita kukaan ei ole listannut, ja juuri niistä tieto vuotaa.

Kuka tarvitsee tietosuojaselosteen

Käytännössä jokainen yritys, joka kerää nimen ja yhteystiedon. Alla tavallisimmat tapaukset. Vasemmalla on tilanne, oikealla se, tarvitaanko seloste.

Viimeinen rivi on ainoa, jossa vastaus ei ole automaattisesti kyllä, ja sekin muuttuu heti kun otat käyttöön ensimmäisen analytiikkatyökalun tai chat-ikkunan.

Valmis tietosuojaseloste-malli

Kopioi alla oleva teksti, korvaa hakasulkeissa olevat kohdat omilla tiedoillasi ja poista rivit, jotka eivät koske yritystäsi. Julkaise se omalla sivullaan ja linkitä alatunnisteesta sekä jokaisesta lomakkeesta. Pohja on vapaasti käytettävissä, emmekä pyydä siitä sähköpostiosoitetta.

TIETOSUOJASELOSTE
Päivitetty [PP.KK.VVVV]

1. REKISTERINPITÄJÄ
[Yrityksen nimi], Y-tunnus [1234567-8]
[Katuosoite, postinumero ja kaupunki]
Sähköposti [osoite]  Puhelin [numero]

2. YHTEYSHENKILÖ REKISTERIÄ KOSKEVISSA ASIOISSA
[Nimi], [sähköposti], [puhelin]

3. REKISTERIN NIMI
[Esim. asiakas- ja markkinointirekisteri]

4. MITÄ TIETOJA KÄSITTELEMME
- nimi
- sähköpostiosoite
- puhelinnumero
- [osoite, jos toimitamme tuotteita]
- [yrityksen nimi ja Y-tunnus, jos asiakas on yritys]
- [tilaus- ja ostohistoria]
- [laskutus- ja maksutiedot]
- [viestintä: yhteydenotot ja niiden sisältö]
- [verkkosivuston käyttötiedot, jos käytössä on analytiikka]

5. MIHIN TARKOITUKSEEN JA MILLÄ PERUSTEELLA
- Tilausten ja palvelun toimittaminen. Peruste: sopimus.
- Laskutus ja kirjanpito. Peruste: lakisääteinen velvoite.
- Yhteydenottoihin vastaaminen. Peruste: oikeutettu etu.
- [Markkinointiviestintä. Peruste: suostumus.]
Emme käytä tietoja automaattiseen päätöksentekoon
emmekä profilointiin.

6. MISTÄ TIEDOT SAADAAN
Tiedot saadaan rekisteröidyltä itseltään [tilauksen,
yhteydenoton tai sopimuksen yhteydessä].
[Lisäksi yritystiedot voidaan tarkistaa julkisista rekistereistä.]

7. KENELLE TIETOJA LUOVUTETAAN
Tietoja käsittelevät seuraavat palveluntarjoajat, joiden kanssa
on tehty käsittelysopimus:
- [tilitoimisto]
- [laskutusohjelma]
- [sähköposti- ja pilvipalvelu]
- [verkkosivujen palveluntarjoaja]
- [maksunvälittäjä]
Emme myy emmekä vuokraa tietoja kolmansille osapuolille.
[Tietoja siirretään EU:n ulkopuolelle seuraavien palveluiden
osalta: [palvelu]. Siirto perustuu [EU:n vakiolausekkeisiin].]

8. KUINKA KAUAN TIETOJA SÄILYTETÄÄN
- Kirjanpitoaineisto: 6 vuotta tilikauden päättymisestä
  (kirjanpitolaki).
- Asiakastiedot: [asiakassuhteen ajan ja X vuotta sen jälkeen].
- Yhteydenotot, joista ei synny asiakkuutta: [12 kuukautta].
- [Markkinointiluvat: kunnes rekisteröity perustaa suostumuksen.]
Määräajan jälkeen tiedot poistetaan tai anonymisoidaan.

9. MITEN TIEDOT SUOJATAAN
Tietoja käsitellään [salasanasuojatuissa järjestelmissä,
joihin on käytössä kaksivaiheinen tunnistautuminen]. Pääsy
on vain niillä henkilöillä, jotka tarvitsevat tietoja
työtehtävissään. [Paperiaineisto säilytetään lukitussa
tilassa.] Yhteydet verkkosivustolle on suojattu salauksella.

10. REKISTERÖIDYN OIKEUDET
Sinulla on oikeus:
- saada tietää, mitä tietoja sinusta käsitellään, ja saada
  niistä kopio
- vaatia virheellisen tiedon oikaisemista
- pyytää tietojesi poistamista, kun käsittelylle ei ole
  enää perustetta
- vastustaa käsittelyä tai pyytää sen rajoittamista
- perua antamasi suostumus milloin tahansa
- saada antamasi tiedot siirrettävässä muodossa
Pyynnön voi tehdä osoitteeseen [sähköposti]. Vastaamme
kuukauden kuluessa. Pyydämme tarvittaessa todistamaan
henkilöllisyyden.

11. VALITUSOIKEUS
Jos katsot, että tietojasi on käsitelty lainvastaisesti, voit
tehdä ilmoituksen tietosuojavaltuutetun toimistoon.

12. EVÄSTEET
[Sivustolla käytetään välttämättömiä evästeitä.
Analytiikka- ja markkinointievästeitä käytetään vain
suostumuksella, jonka voi perua evästeasetuksista.]

13. MUUTOKSET TÄHÄN SELOSTEESEEN
Päivitämme selostetta, kun käsittely muuttuu. Voimassa oleva
versio on aina tällä sivulla, ja päiväys on yllä.

Yksi asia kannattaa tarkistaa heti, koska se on tavallisin puute. Jos verkkosivullasi on yhteydenottolomake, lomakkeen vieressä pitää olla linkki selosteeseen ennen lähetysnappia, ei vasta alatunnisteessa sivun pohjalla. Informointi tarkoittaa, että ihminen näkee asian ennen kuin antaa tietonsa, ei sen jälkeen kun ne on jo lähetetty.

Toinen tavallinen puute on kohta 8. "Säilytämme tietoja niin kauan kuin se on tarpeen" on lause, joka ei kerro mitään eikä täytä vaatimusta. Laita numero: kuusi vuotta, kaksitoista kuukautta, asiakassuhteen ajan ja kaksi vuotta sen jälkeen. Numero pakottaa myös sinut miettimään, milloin vanhat tiedot oikeasti poistetaan, ja se on koko kohdan tarkoitus.

Missä pohja ei riitä

Yllä oleva malli on tehty tavalliselle pienyritykselle: asiakasrekisteri, laskutus, yhteydenottolomake ja ehkä uutiskirje. Se kattaa suuren osan suomalaisista mikroyrityksistä sellaisenaan. Kolmessa tapauksessa se ei riitä, ja sanomme sen suoraan sen sijaan että myisimme pohjan kaikkeen.

Näissä tapauksissa kirjoitamme selosteen teille tuntityönä (hinnat hinnastossa). Tyypillinen työmäärä on 1–2 tuntia, kun keräämme ensin listan siitä, missä asiakastiedot oikeasti ovat. Se lista on yleensä työn arvokkain osa, koska se paljastaa järjestelmät, joita kukaan ei muistanut.

Kolme asiaa, jotka kannattaa tehdä selosteen lisäksi

1. Tee lista siitä, missä asiakastiedot ovat Laskutusohjelma, sähköposti, puhelimen yhteystiedot, Excel työpöydällä, verkkolomakkeen kanta. Lista ennen tekstiä, ei toisin päin.
2. Tarkista käsittelysopimukset Jokaisen palvelun kanssa, joka näkee asiakastietosi, pitäisi olla käsittelysopimus. Isoilla palveluilla se on osa käyttöehtoja, pienellä toimittajalla se pitää pyytää.
3. Sovi etukäteen, mitä tehdään vuodon sattuessa Ilmoitus valvontaviranomaiselle on tehtävä 72 tunnissa siitä, kun asia tulee tietoon. Se on liian lyhyt aika keksittäväksi silloin, kun tilanne on päällä.

Evästeet ja analytiikka ovat eri asia kuin seloste

Nämä menevät sekaisin useammin kuin mikään muu. Tietosuojaseloste kertoo, mitä teet henkilötiedoilla. Evästesuostumus taas koskee sitä, saatko ylipäätään tallentaa käyttäjän selaimeen jotain, mikä ei ole välttämätöntä sivuston toiminnalle. Ne ovat kaksi eri velvoitetta, ja molemmat pitää hoitaa.

Käytännön sääntö on yksinkertainen. Välttämättömät evästeet, kuten ostoskori ja kirjautuminen, eivät vaadi suostumusta. Kaikki muu vaatii, ja suostumus pitää pyytää ennen kuin eväste asetetaan, ei sen jälkeen. Jos analytiikka käynnistyy heti sivun latauksessa ja suostumusikkuna kysyy asiaa vasta päälle, järjestys on väärä eikä sitä korjaa mikään selosteen kohta.

Halvin tapa hoitaa asia pienessä yrityksessä: älä ota käyttöön analytiikkaa, jota et lue. Moni pienyrityksen sivu kerää kävijädataa, jota kukaan ei ole katsonut vuoteen, ja maksaa siitä suostumusikkunalla, joka karkottaa lukijoita. Jos et tarvitse lukuja, poista työkalu, niin koko velvoite katoaa.

Seloste puolessa tunnissa

1. Avaa laskutusohjelma ja sähköposti rinnakkain Kirjoita muistiin jokainen paikka, jossa asiakkaan nimi tai yhteystieto on. Se on selosteen kohta 7.
2. Kirjoita jokaisen tiedon kohdalle miksi se on olemassa Jos et keksi syytä, tieto pitää poistaa eikä dokumentoida. Tämä on kohta 5.
3. Laita jokaiselle säilytysaika numerona Kirjanpitoaineisto kuusi vuotta, tarjoukset vuosi, uutiskirjeen tilaus kunnes se perutaan. Tämä on kohta 8.
4. Täytä loput pohjasta ja julkaise Loput ovat vakiotekstejä. Linkki alatunnisteeseen ja jokaisen lomakkeen viereen, niin työ on tehty.

Kuka tämän tekee

DT Nova Tmi, Y-tunnus 3595452-5, Helsinki. Puhelin 044 989 1659. Rakennamme verkkosivuja ja järjestelmiä, ja tietosuojaseloste on osa jokaista projektia, koska ilman sitä sivu ei ole valmis. Emme ole asianajotoimisto emmekä anna oikeudellisia lausuntoja. Kirjoitamme selosteen, joka vastaa sitä, mitä järjestelmässä oikeasti tapahtuu.

Usein kysyttyä

Soita 044 989 1659 Lähetä sähköpostia

Vastaa Mustafa Tarabya, DT Nova Tmi. Tämä sivu on yleistä tietoa, ei oikeudellinen neuvo.

Lue myös: yhteystiedot · blogi · hinnasto · kassajärjestelmä ravintolaan · kanta-asiakasohjelma pienyritykselle · digitaalinen leimakortti · ajanvarausjärjestelmien hinnat · verkkosivut yritykselle