Mitä GDPR vaatii pienyrityksen kotisivuilta?

Tämä artikkeli ei ole oikeudellista neuvontaa. Emme ole juristeja, vaan olemme koonneet tähän tietosuojavaltuutetun toimiston ohjeiden yleiset linjat. Jos yrityksesi käsittelee arkaluonteisia tietoja, esimerkiksi terveystietoja, varmista oma tilanteesi lakimieheltä.

Mitä tietosuoja koskee kotisivuilla

Henkilötietoja liikkuu sivuston kautta muuallakin kuin lomakkeessa. Lomake kerää nimen ja yhteystiedot, viestit päätyvät sähköpostiin, kävijäseuranta voi tunnistaa laitteita ja palvelin tallentaa lokeja. Jokaiseen näistä liittyy jokin velvoite, ja jokaisesta tarvitaan maininta selosteessa.

Alla oleva taulukko kokoaa kokonaisuuden. Neljästä ensimmäisestä on oma artikkelinsa, joten niistä tässä on vain tiivistys. Kolme viimeistä käydään läpi tarkemmin, koska niistä ei ole omaa artikkelia ja ne jäävät helposti hoitamatta.

Seloste, evästeet ja lomake

Tietosuojaseloste tarvitaan käytännössä aina, kun sivulla on lomake. Tietosuojavaltuutetun toimiston ohjeen mukaan ihmiselle on annettava tiedot käsittelystä samalla hetkellä, kun hänen tietojaan kerätään. Asetus ei määrää tälle tiettyä muotoa, mutta verkkosivuilla tiedot kootaan tavallisesti selosteeksi. Seloste annetaan yrityksesi nimissä, koska yrityksesi päättää, mihin lomakkeen tietoja käytetään. Selosteen sisältö käydään läpi artikkelissa milloin kotisivuille tarvitaan tietosuojaseloste.

Evästeet. Suostumus tarvitaan, kun sivu tallentaa kävijän laitteelle muuta kuin sivun toiminnalle välttämätöntä, esimerkiksi kävijätilastojen tai mainosten seurantakoodin evästeitä. Sivu, joka toimii pelkillä välttämättömillä evästeillä, ei tarvitse banneria. Rajanveto on käyty läpi artikkelissa onko evästebanneri pakollinen. Jos mainostat Googlessa, suostumus pitää lisäksi välittää Googlen tunnisteille, mistä kertoo artikkeli Google Consent Mode v2.

Yhteydenottolomake. Kysy vain se, mitä ilman et voi vastata, ja lisää lomakkeen viereen linkki selosteeseen. Markkinointilupaa ei liitetä pakolliseksi valinnaksi. Kentät ja niiden perustelut löytyvät artikkelista mitä yhteydenottolomakkeessa pitää olla.

Muut pakolliset tiedot, kuten y-tunnus ja yhteystiedot, eivät ole tietosuojaa, mutta ne tarkistetaan usein samalla. Ne on koottu artikkeliin mitä tietoja laki vaatii verkkosivuille. Palvelimen sijainnin merkitys on omassa artikkelissaan kotimainen vai ulkomainen palvelin.

Minne lomakeviestit menevät ja kauanko niitä säilytetään

Lomake ei yleensä säilytä viestejä itse, vaan välittää ne sähköpostiisi. Silloin henkilötiedot asuvat postilaatikossa, ja usein myös jonkun muun postilaatikossa, jos viesti menee yhteiseen osoitteeseen tai sitä välitetään eteenpäin. Selvitä siis ensin, mihin osoitteisiin viestit päätyvät ja kenellä on niihin pääsy.

Tietosuojavaltuutetun toimiston mukaan henkilötietoja saa säilyttää vain niin kauan kuin se on tarpeen tietojen käyttötarkoitusta varten. Asetus ei määrää tarkkoja säilytysaikoja, joten rekisterinpitäjä eli sinä päätät ajan, perustelet sen ja kirjaat sen ylös. Kun tietoja ei enää tarvita, ne poistetaan tai anonymisoidaan. Myös muu laki, esimerkiksi kirjanpitolaki, voi vaikuttaa siihen, kauanko joitain tietoja on säilytettävä.

Käytännössä säilytysaika kannattaa sitoa siihen, mitä viestistä seurasi. Yhteydenotto, josta ei tullut kauppaa, ei yleensä tarvitse jäädä postilaatikkoon vuosiksi. Jos siitä tuli asiakkuus, tiedot siirtyvät asiakassuhteen mukana muihin järjestelmiin. Kirjaa valitsemasi käytäntö selosteeseen ja merkitse kalenteriin kerta vuodessa, jolloin vanhat viestit käydään läpi.

Palveluntarjoajat käsittelevät tietoja puolestasi

Pienyrityksen sivustolla tietoja käsittelee lähes aina joku muukin kuin yritys itse. Tietosuojavaltuutetun toimiston määritelmän mukaan henkilötietojen käsittelijä on taho, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. Esimerkkeinä mainitaan IT-palveluntarjoajat, joilla on pääsy rekisterinpitäjän henkilötietoihin, sekä markkinointi- ja viestintätoimistot, jotka käsittelevät tietoja asiakkaidensa puolesta.

Kotisivujen kohdalla käsittelijöitä ovat tyypillisesti webhotelli tai ylläpitäjä, sähköpostipalvelu ja mahdollinen ajanvaraus- tai chat-palvelu. Toimiston mukaan käsittelijän tekemästä käsittelystä on oltava käsittelysopimus tai muu oikeudellinen asiakirja, ja sopimuksen puuttuminen on asetuksen vastaista.

Joillakin palveluntarjoajilla käsittelyehdot on julkaistu sopimusehtojen yhteydessä, toisilta ne pitää pyytää. Älä oleta, vaan tarkista asia palvelu kerrallaan. Tee lyhyt lista palveluista, joiden kautta sivuston tiedot kulkevat, ja merkitse jokaisen kohdalle, mistä löydät sen käsittelyehdot. Sama lista auttaa myös selosteen vastaanottajia kirjoittaessa.

Kun joku kysyy omista tiedoistaan

Jokaisella, jonka tietoja käsittelet, on rekisteröidyn oikeudet. Hän voi muun muassa pyytää nähtäväksi tiedot, joita hänestä on, pyytää korjaamaan ne tai poistamaan ne. Se, mitä oikeuksia hän voi käyttää, riippuu esimerkiksi siitä, millä perusteella tietoja käsitellään. Pienyrityksessä tällaisia pyyntöjä tulee yleensä harvoin, joten niihin on helppo jättää varautumatta.

Tietosuojavaltuutetun toimiston ohjeen mukaan pyyntöön on vastattava ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa sen vastaanottamisesta. Jos pyyntöjä on paljon tai ne ovat monimutkaisia, määräaikaa voi jatkaa enintään kahdella kuukaudella. Jatkamisesta kerrotaan pyytäjälle, ja se on perusteltava. Oikeuden käyttäminen on lähtökohtaisesti maksutonta.

Pyynnöllä ei ole muotovaatimuksia. Se voi tulla sähköpostilla, puhelimessa tai lomakkeen kautta, eikä sitä voi pääsääntöisesti jättää käsittelemättä sillä perusteella, että se tuli muuta kuin toivomaasi kanavaa pitkin. Jos sinulla on perusteltu syy epäillä pyytäjän henkilöllisyyttä, voit pyytää lisätietoja sen vahvistamiseksi, mutta et enempää kuin sinulla on hänestä jo ennestään.

Jos et toteuta pyyntöä, siitä on ilmoitettava kuukauden kuluessa, kieltäytyminen on perusteltava ja pyytäjälle on kerrottava mahdollisuudesta valittaa valvontaviranomaiselle. Poistopyynnöstä voi kieltäytyä esimerkiksi silloin, kun tietoja tarvitaan lakisääteisen velvoitteen noudattamiseen tai oikeudellisen vaateen laatimiseen, esittämiseen tai puolustamiseen.

Valmistaudu etukäteen kirjaamalla, missä kaikkialla asiakkaiden ja yhteydenottajien tietoja on. Tavallisesti niitä on sähköpostissa, laskutusohjelmassa ja puhelimen yhteystiedoissa. Kun lista on olemassa, tiedät heti, mistä tiedot etsitään ja mistä ne poistetaan.

Jos tietoja vuotaa

Henkilötietojen tietoturvaloukkaus on tietosuojavaltuutetun toimiston mukaan tapahtuma, jonka seurauksena henkilötietoja tuhoutuu, häviää tai muuttuu, niitä luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta. Esimerkkeinä mainitaan muun muassa hakkerointi, haittaohjelmatartunta, varastettu tietokone ja tiliotteen postitus väärälle henkilölle. Kotisivujen kohdalla loukkaus voi olla esimerkiksi murto sivustolle tai sähköpostitiliin, jonne lomakeviestit tulevat.

Jos loukkauksesta voi aiheutua riski ihmisten oikeuksille ja vapauksille, siitä on ilmoitettava tietosuojavaltuutetun toimistolle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun se tuli tietoosi. Jos ilmoitus tehdään vasta 72 tunnin jälkeen, viivästykselle on esitettävä perusteltu selitys. Ilmoitus tehdään toimiston sähköisellä lomakkeella. Jos loukkaus todennäköisesti aiheuttaa korkean riskin, asiasta on kerrottava ilman aiheetonta viivytystä myös niille ihmisille, joiden tietoja se koskee. Velvoitteet perustuvat tietosuoja-asetuksen 33 ja 34 artiklaan.

Kaksi asiaa jää helposti huomaamatta. Ensinnäkin kaikki loukkaukset on dokumentoitava vaikutuksineen ja korjaustoimineen, myös ne, joista ei tarvitse ilmoittaa. Toiseksi tietoja puolestasi käsittelevän palveluntarjoajan on ilmoitettava loukkauksesta ensin sinulle, ellei ole sovittu, että se ilmoittaa suoraan viranomaiselle. Vastuu ilmoituksesta säilyy silti sinulla. Sovi siis etukäteen, miten ja kenelle ylläpitäjäsi kertoo, jos jotain tapahtuu. Murretun sivuston tekniset ensitoimet ovat artikkelissa mitä tehdä, kun kotisivut on hakkeroitu, ja ennaltaehkäisy artikkelissa kotisivujen tietoturva pienyritykselle.

Tarkistettavat asiat koottuna

• Sivulla on ajantasainen tietosuojaseloste, ja siihen on linkki lomakkeen vierestä ja sivun alalaidasta.
• Analytiikka ja mainonnan seuranta käynnistyvät vasta, kun kävijä on antanut suostumuksen.
• Tiedät, mihin osoitteisiin lomakeviestit menevät ja kenellä on niihin pääsy.
• Lomakeviesteille on päätetty säilytysaika, ja vanhat viestit poistetaan sen mukaan.
• Sinulla on lista palveluista, jotka käsittelevät sivuston tietoja, ja tiedät, mistä niiden käsittelyehdot löytyvät.
• Tiedät, missä yhteydenottajien ja asiakkaiden tiedot sijaitsevat, jotta voit vastata tietopyyntöön kuukauden kuluessa.
• Ylläpitäjän kanssa on sovittu, miten se kertoo sinulle murrosta tai tietovuodosta.
• Kun sivuille lisätään uusi palvelu, kuten chat, kartta tai ajanvaraus, seloste päivitetään samalla.

Näin me teemme sen

Teemme kotisivuihin tietosuojaselosteen ja tarvittaessa evästekäytännön. Seloste kattaa sivuston kautta tapahtuvan käsittelyn. Muun käsittelyn, kuten asiakasrekisterin tai laskutuksen, yrityksesi kuvaa itse. Säilytysajoista päättäminen, tietopyyntöihin vastaaminen ja ilmoitukset tietosuojavaltuutetun toimistolle jäävät yrityksellesi, koska ne kuuluvat rekisterinpitäjälle.

Kotisivujen peruspaketti on alkaen 350 € (alv 0 %). Ylläpito on alkaen 25 €/kk (alv 0 %), ja siihen kuuluvat suomalainen palvelin SSL-suojauksella, päivittäiset varmuuskopiot, valvonta, tietoturvapäivitykset ja tekninen tuki arkisin. Palveluiden sisältö on sivuilla kotisivut ja ylläpito ja kotisivujen ylläpito.