Tietosuojaselosteen laatiminen – lataa malli Sopimuskoneesta

Yrityksillä on lakisääteinen velvoite informoida asiakkaitaan sekä muihin sidosryhmiin kuuluvia luonnollisia henkilöitä heidän henkilötietojensa käsittelystä. Käytännössä lähes kaikki yritykset keräävät tavalla tai toisella henkilötiedoiksi luokiteltavaa materiaalia, jolloin myös tietosuojaselosteen laatiminen ja päivittäminen tulevat ajankohtaisiksi.

Sopimuskoneesta voit ladata yrityksesi käyttöön tietosuojaselosteen muokattavan mallin, jonka sisältö perustuu EU:n yleisen tietosuoja-asetuksen eli GDPR:n vaatimuksiin henkilötietojen käsittelystä.

Mikä on tietosuojaseloste ja milloin sitä tarvitaan?

Tietosuojaseloste on julkinen asiakirja, jolla yritys tai muu organisaatio ilmaisee, mitä henkilötietoja rekisteröidyistä – eli esimerkiksi asiakkaista, verkkosivuston kävijöistä tai muista luonnollisista henkilöistä eli ihmisistä – kerätään.

Seloste kertoo myös sen, miten ja miksi tietoja kerätään ja miten niitä säilytetään. Velvollisuus henkilötietojen käsittelystä ilmoittamiseen pohjautuu EU:n yleiseen tietosuoja-asetukseen eli GDPR:ään.

Isommilta yrityksiltä saattaa löytyä erilliset tietosuojaselosteet esimerkiksi työnhakijoille tai muille yrityksen sidosryhmille. Pienyritykselle puolestaan voi tilanteesta riippuen riittää hyvin yksi tietosuojaseloste, jos siinä pystytään ilmaisemaan kaikki vaadittavat tiedot tiiviissä ja helposti ymmärrettävässä muodossa.

Henkilötietojen käsittelystä informointi

GDPR:n mukaan henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän tulee olla helposti saatavilla ja ymmärrettävissä. Henkilötietoja on käsiteltävä lainmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Asianmukaisesti ja kattavasti laadittu tietosuojaseloste on keino vastata näihin vaatimuksiin.

Tavanomaisesti yritykset luovat selosteesta verkkosivuille oman alasivunsa, johon löytyy linkki sivuston alaosasta. Tietosuojaselostetta tulisi kuitenkin tarjota aktiivisesti nähtäväksi aina, kun verkkosivuston kävijöistä kerätään henkilötietoja esimerkiksi rekisteröinti-, yhteydenotto- tai tilauslomakkeiden avulla. Siksi linkki tietosuojaselosteeseen löytyy yleensä myös vastaavien lomakkeiden yhteydestä.

Henkilötietojen käsittelystä tulisi informoida rekisteröityjä siten, että tiedot ovat selkeästi erillään muusta tietosuojaan liittyvästä informaatiosta, kuten sopimus- ja käyttöehdoista. Tietojen on myös oltava rekisteröityjen saatavilla maksutta.

Mikä on henkilötietoa ja mikä ei?

Tavanomaisimpia esimerkkejä henkilötiedoista ovat nimi, osoite, syntymäaika, puhelinnumero ja sähköpostiosoite, kuten etunimi.sukunimi(at)yritys.fi. Käytännössä henkilötietoja ovat kaikki sellaiset tiedot, jotka liittyvät tunnistettavissa olevaan tai tunnistettuun henkilöön. Myös verkkosivuston kävijän IP-osoite on henkilötieto.

Sen sijaan esimerkiksi yrityksen rekisteritunnus, yleinen sähköpostiosoite (esimerkiksi info(at)yritys.fi) tai anonymisoidut tiedot eivät ole henkilötietoja. Anonymisoitujen ja pseudonymisoitujen henkilötietojen määritelmää on avattu tarkemmin Tietosuojavaltuutetun toimiston verkkosivuilla.

Tietosuojaseloste – tai muu selkeästi nimetty vastaava asiakirja – on siis käytännössä pakollinen aina, kun yritys käsittelee edellä lueteltuja henkilötietoja. GDPR-asetuksessa ei itsessään mainita sanaa tietosuojaseloste, vaan asetuksessa määrätään rekisteripitäjän informaatiovelvollisuudesta rekisteröityjä kohtaan.

Tietosuojaseloste on asianmukainen keino kertoa omille asiakkaille tai verkkopalvelun käyttäjille avoimesti heidän henkilötietojensa käsittelyn periaatteista sekä käyttäjien oikeuksista tarkistaa tai oikaista tietoja. Tietosuojaselosteen laatiminen kattavasti ja läpinäkyvästi on siis paitsi lakisääteinen velvoite, myös hyvää asiakaspalvelua.

Tietosuojaselosteen sisältö

Tietosuojaselosteen sisältövaatimuksista on pääosin linjattu EU:n yleisen tietosuoja-asetuksen artikloissa 13 ja 14. Tietosuojaselosteesta pitää lähtökohtaisesti tulla ilmi muun muassa:

• rekisterinpitäjän (eli yrityksesi) sekä tapauksen mukaan tämän mahdollisen edustajan identiteetti ja yhteystiedot
• tapauksen mukaan tietosuojavastaavan yhteystiedot
• rekisterin nimi (esim. asiakasrekisteri tai markkinointirekisteri)
• henkilötietojen käsittelyn peruste ja tarkoitus
• säännönmukaiset tietolähteet (eli mistä henkilötiedot saadaan)
• mitä henkilötietoja käsitellään
• henkilötietojen luovuttamista koskevat periaatteet
• henkilötietojen suojausta ja säilytysaikaa koskevat periaatteet
• rekisteröidyn oikeudet päästä käsiksi henkilötietoihin tai oikaista tai poistaa niitä.

Tietosuojaselosteen sisältöön ja esimerkkikirjauksiin voit tutustua seikkaperäisemmin Sopimuskoneen muokattavan mallin avulla. Voit lisätä, poistaa ja muokata tietosuojaselostepohjan sisältämiä kirjauksia tarpeen mukaan.

Tietosuojaselosteen päivittäminen

Tietosuojaselosteeseen ei pidä suhtautua asiakirjana, joka laaditaan kerran ja sen jälkeen unohdetaan linkiksi yrityksen verkkosivuston alalaitaan. Esimerkiksi yrityksen käyttämiä tietojärjestelmiä, analytiikkatyökaluja tai verkkokauppa-alustaa koskevat muutokset voivat aiheuttaa sen, että tietosuojaselostetta on päivitettävä.

Myös muuttuvat lait, viranomaisohjeistukset ja tietosuojaa koskevan oikeuskäytännön muuttuminen vaikuttavat tietosuojaselosteen sisältövaatimuksiin.

Siksi jokaisen yrityksen on hyvä arvioida säännöllisin väliajoin, vastaako tietosuojaselosteessa annettu informaatio sitä, miten henkilötietoja yrityksessä tosiasiassa käsitellään.

• Yrityksille

Procountor