Opas · 7 min lukuaika

Milloin kotisivuille tarvitaan tietosuojaseloste ja mitä siinä on?

Moni pienyrittäjä miettii, tarvitaanko tietosuojaselostetta, jos sivuilla on vain yhteydenottolomake. Tässä artikkelissa käydään läpi, milloin seloste tarvitaan, mitä siihen kirjoitetaan, miten lomake, analytiikka ja upotukset vaikuttavat ja miten seloste pidetään ajan tasalla.

Lyhyt vastaus

Kyllä, käytännössä tarvitaan. Yhteydenottolomake kerää nimen, sähköpostiosoitteen ja usein puhelinnumeron, ja ne ovat henkilötietoja. Kun henkilötietoja kerätään ihmiseltä itseltään, hänelle on kerrottava keräämisen yhteydessä, kuka tiedot kerää, mihin niitä käytetään, kauanko niitä säilytetään ja mitä oikeuksia hänellä on. Verkkosivuilla tämä hoidetaan yleensä tietosuojaselosteella. Seloste on aina yrityksesi oma asiakirja.

Mikä tietosuojaseloste on

Tietosuojaseloste on vakiintunut nimi, ei lain termi. Itse velvoite tulee EU:n tietosuoja-asetuksesta: yrityksen on informoitava ihmisiä, joiden henkilötietoja se käsittelee, ja seloste on tavallisin tapa tehdä se verkossa. Tietosuojavaltuutetun toimiston ohjeen mukaan yleisölle suunnatut tiedot voidaan antaa sähköisesti esimerkiksi verkkosivuilla, ja ne julkaistaan tyypillisesti otsikolla kuten tietosuoja, tietosuojaseloste tai yksityisyyden suoja.

Selosteen laatii rekisterinpitäjä, eli se yritys, joka päättää, miksi ja miten tietoja käsitellään. Kotisivujen tapauksessa rekisterinpitäjä on sinun yrityksesi, ei sivujen tekijä eikä palvelinta ylläpitävä yritys. Siksi seloste on yrityksesi nimissä ja kuvaa yrityksesi käsittelyä.

Tarvitaanko seloste, jos sivuilla on vain yhteydenottolomake?

Tämä on pienyrittäjän yleisin kysymys, ja vastaus on käytännössä kyllä. Tietosuojavaltuutetun toimiston määritelmän mukaan henkilötietoja ovat kaikki tiedot, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan henkilöön. Esimerkkeinä mainitaan muun muassa nimi, puhelinnumero, etunimi.sukunimi-muotoinen sähköpostiosoite ja IP-osoite. Lomakkeen tavalliset kentät ovat siis henkilötietoja.

Sama sivu tekee kaksi hyödyllistä rajausta. Yleinen sähköpostiosoite, kuten info-alkuinen osoite, ei ole henkilötieto, eikä yhtiömuotoisen yrityksen y-tunnus ole. Toiminimen eli yksityisen elinkeinonharjoittajan nimi ja y-tunnus sen sijaan ovat henkilötietoja, koska toiminimen takana on yksittäinen ihminen. Lomakkeen lähettäjä on joka tapauksessa ihminen, joten hänen nimensä ja yhteystietonsa ovat henkilötietoja silloinkin, kun hän kirjoittaa yrityksen puolesta.

Entä sivu, jolla ei ole lomaketta lainkaan? Palvelimet tallentavat tyypillisesti lokeihin kävijöiden IP-osoitteita, ja IP-osoite on henkilötieto. Siksi selosteen pitäminen on järkevää kaikilla yrityksen sivuilla, vaikka lomaketta ei olisi.

Mitä selosteessa pitää olla

Tietosuoja-asetuksen 13 artikla luettelee tiedot, jotka on annettava, kun henkilötiedot kerätään ihmiseltä itseltään. Alla ne on koottu kotisivujen kannalta.

Selosteen sisältö kotisivujen näkökulmasta
Tieto	Mitä se tarkoittaa sivustolla
Rekisterinpitäjä ja yhteystiedot	Yrityksesi nimi ja osoite, johon tietosuoja-asioissa voi ottaa yhteyttä
Tarkoitus ja oikeusperuste	Miksi tietoja kerätään, esimerkiksi yhteydenottoon vastaaminen, ja millä perusteella. Jos peruste on oikeutettu etu, kerrotaan myös, mikä se etu on
Vastaanottajat	Kenelle tiedot päätyvät. Asetus sallii kertoa vastaanottajat myös ryhminä, esimerkiksi palvelinpalvelun tarjoaja
Siirrot EU- ja ETA-alueen ulkopuolelle	Jos jokin käytetty palvelu siirtää tietoja alueen ulkopuolelle, siitä on kerrottava
Säilytysaika	Kuinka kauan lomakeviestejä ja lokeja säilytetään, tai miten aika määräytyy
Rekisteröidyn oikeudet	Oikeus saada pääsy tietoihin, oikaista ja poistaa niitä, rajoittaa käsittelyä, vastustaa sitä ja siirtää tiedot järjestelmästä toiseen
Suostumuksen peruminen	Jos käsittely perustuu suostumukseen, sen saa perua milloin tahansa
Valitusoikeus	Oikeus tehdä valitus valvontaviranomaiselle, Suomessa tietosuojavaltuutetulle

Artiklassa on lisäksi kohtia, jotka koskevat vain osaa yrityksistä, kuten tietosuojavastaavan yhteystiedot ja automaattinen päätöksenteko. Tietosuojavaltuutetun toimiston ohjeen mukaan tiedot on annettava tiiviissä, läpinäkyvässä, helposti ymmärrettävässä ja selkeässä muodossa. Lakitekstin kopioiminen ei siis riitä, vaan selosteen pitää kertoa, mitä juuri sinun sivuillasi tapahtuu.

Lomake, analytiikka ja upotukset

Selosteen sisältö riippuu siitä, mitä sivuilla on. Käy läpi nämä kolme.

Lomake. Kerro, mitä kenttiä lomakkeessa on, mihin viesti toimitetaan ja kuinka kauan viestejä säilytetään. Jos lomake lähettää viestit ulkopuolisen palvelun kautta, se on vastaanottaja, joka mainitaan selosteessa ryhmänä.

Analytiikka. Kävijäseuranta käsittelee tyypillisesti tietoja, joista kävijä voidaan tunnistaa, ja käyttää usein evästeitä. Evästeiden käyttöön tarvittavaa suostumusta valvoo Suomessa Traficom, mutta tietosuojavaltuutetun toimiston tiedotteen mukaan muut evästeisiin liittyvät henkilötietokysymykset, kuten kansainväliset tietojen siirrot ja kerättyjen tietojen jatkokäsittely, kuuluvat edelleen sille. Siksi analytiikka näkyy tyypillisesti sekä evästebannerissa että selosteessa. Milloin banneri tarvitaan, on käyty läpi artikkelissa onko evästebanneri pakollinen. Jos mittaat mainontaa, katso myös mistä tiedät, tuottaako mainonta.

Upotukset. Upotettu video, kartta tai somesyöte ladataan palvelun omalta palvelimelta. Silloin kävijän selain ottaa yhteyden kyseiseen palveluun jo sivua avatessa, ja palvelu voi asettaa omia evästeitään. Mainitse upotetut palvelut selosteessa, ja tarkista niiden ehdoista, siirtyykö tietoja EU- ja ETA-alueen ulkopuolelle.

Palvelut, jotka käsittelevät tietoja yrityksesi lukuun, kuten palvelinpalvelu, ovat tietosuojalainsäädännön termein henkilötietojen käsittelijöitä, ja käsittelystä on sovittava niiden kanssa käsittelysopimuksella tai muulla oikeudellisella asiakirjalla. Selosteessa ne voidaan kertoa vastaanottajien ryhminä, eikä jokaista palvelua tarvitse nimetä erikseen.

Mistä pohja selosteelle

Tietosuoja-asetus ei määrää selosteelle tiettyä muotoa, ja tietosuojavaltuutetun toimiston ohjeen mukaan rekisterinpitäjä arvioi itse, mikä informointitapa sopii parhaiten. Valmiita malleja on tarjolla monesta lähteestä, esimerkiksi lakipalveluilta. Pohja on hyvä lähtökohta, kunhan muistat kolme asiaa:

Poista se, mitä et tee: pohjassa voi olla uutiskirje, verkkokauppa tai markkinointirekisteri, joita sinulla ei ole. Seloste, joka kuvaa olematonta käsittelyä, ei ole läpinäkyvä.
Lisää se, mitä sivuillasi on: jokainen lomake, analytiikkapalvelu ja upotus.
Kirjoita omin sanoin: selkeä kieli on vaatimus, ei tyylikysymys.

Toisen yrityksen selosteen kopioiminen on huono lähtökohta. Se kuvaa toisen yrityksen käsittelyä, ja virheet kopioituvat mukana.

Missä seloste pidetään

Tavallisin paikka on oma sivu, johon on linkki jokaisen sivun alatunnisteessa. Koska tiedot on annettava silloin, kun ne kerätään, linkki kannattaa lisätä myös lomakkeen yhteyteen, esimerkiksi lähetyspainikkeen alle lyhyen lauseen kanssa.

Tietosuojavaltuutetun toimisto kuvaa ohjeessaan myös kerroksellisen informoinnin, jossa kokonaisuus pilkotaan pienempiin osiin. Kotisivuilla se tarkoittaa käytännössä sitä, että lomakkeen alla on yksi selkeä lause ja linkki koko selosteeseen. Selosteen pitää olla helppo lukea, joten tee siitä yhtä saavutettava kuin muistakin sivuista. Aiheesta lisää artikkelissa verkkosivujen saavutettavuus.

Miten seloste päivitetään

Seloste vanhenee, kun sivut muuttuvat. Päivitä se aina, kun sivuille tulee uusi lomake, analytiikka, upotus tai uutiskirje, tai kun jokin palvelu vaihtuu. Tietosuojavaltuutetun toimiston ohje kehottaa viestimään muutoksista selkeästi ja hyvissä ajoin.

Käytännön tapa on lisätä selosteen loppuun päivityspäivä ja käydä seloste läpi aina, kun sivuihin tehdään isompi muutos. Kun tarkistat samalla muut sivujen perusasiat, apuna voi käyttää artikkelia millaiset ovat hyvät yrityskotisivut.

Näin me teemme sen

Tietosuojaseloste ja tarvittaessa evästekäytäntö kuuluvat tekemiimme kotisivuihin. Seloste on silti yrityksesi oma asiakirja ja julkaistaan yrityksesi nimissä. Jos yrityksesi käsittelee henkilötietoja muuallakin kuin sivustolla, esimerkiksi asiakasrekisterissä, sen kuvaaminen on yrityksesi asia, koska vain sinä tiedät, miten yrityksesi toimii.

Tämä ei ole juridinen neuvo. Emme ole juristeja. Artikkeli kuvaa yleisiä periaatteita tietosuojavaltuutetun toimiston ohjeiden pohjalta. Jos käsittelet arkaluonteisia tietoja, kuten terveystietoja, tai sivuillasi on paljon mittausta ja markkinointia, kysy asiaa lakimieheltä.

Usein kysyttyä

Kysymyksiä tietosuojaselosteesta

Tarvitaanko tietosuojaseloste, jos sivuilla on vain yhteydenottolomake?

Käytännössä kyllä. Lomake kerää nimen ja yhteystietoja, ja ne ovat henkilötietoja. Kun tietoja kerätään ihmiseltä itseltään, hänelle on kerrottava keräämisen yhteydessä, kuka tiedot kerää, mihin niitä käytetään ja mitä oikeuksia hänellä on. Verkkosivuilla tämä tehdään yleensä tietosuojaselosteella.

Mitä tietosuojaselosteessa pitää olla?

Ainakin rekisterinpitäjän nimi ja yhteystiedot, käsittelyn tarkoitus ja oikeusperuste, vastaanottajien ryhmät, mahdolliset siirrot EU- ja ETA-alueen ulkopuolelle, säilytysaika, rekisteröidyn oikeudet ja oikeus tehdä valitus tietosuojavaltuutetulle.

Kenen nimissä tietosuojaseloste on?

Yrityksesi nimissä. Rekisterinpitäjä on se yritys, joka päättää, miksi ja miten tietoja käsitellään, eli kotisivujen tapauksessa sinun yrityksesi, ei sivujen tekijä eikä palvelinta ylläpitävä yritys.

Pitääkö analytiikka ja upotetut videot mainita selosteessa?

Kyllä. Analytiikka käsittelee tyypillisesti tietoja, joista kävijä voidaan tunnistaa, ja upotettu video tai kartta ladataan palvelun omalta palvelimelta. Mainitse ne selosteessa, ja tarkista, siirtyykö tietoja EU- ja ETA-alueen ulkopuolelle. Evästeiden suostumuksesta on lisäksi omat sääntönsä.

Missä tietosuojaseloste pidetään kotisivuilla?

Omalla sivullaan, johon on linkki jokaisen sivun alatunnisteessa. Linkki kannattaa lisätä myös lomakkeen yhteyteen, koska tiedot on annettava silloin, kun ne kerätään. Päivitä seloste aina, kun sivuille tulee uusi lomake, analytiikka tai upotus.

Lue seuraavaksi

Ota yhteyttä

Pyydä demo Pyydä tarjous Jätä yhteystiedot