Moni yrittäjä tai yrityspäättäjä on siinä käsityksessä, että yrityksen liiketoiminnassa ei synny henkilötietorekistereitä. Totuus on kuitenkin melko kaukana tästä. Jos yritys ei käsittelisi henkilötietoja, se tarkoittaisi käytännössä sitä, että yrityksellä ei olisi asiakkaita tai henkilökuntaa saatikka laskutusta, markkinointia tai vaikka työvuorolistoja. Tämän harhaluulon takana on usein virheellinen käsitys siitä, mikä on henkilötieto tai henkilötietorekisteri.
Yleisimpiä henkilötietorekistereitä ovat mm.
asiakasrekisteri
henkilöstörekisteri
työvuorolistat
sidosryhmärekisteri
tietojärjestelmien käyttäjärekisterit
vierailijat
kulunvalvontarekisteri
kameravalvontarekisteri
kuitattavien asioiden rekisterit (esim. avaimet, autot)
todelliset edunsaajat – rekisteri
Ja näitä henkiölötietorekistereitä hallinnoidaan erilaisissa tietojärjestelmissä, kuten:
asiakashallinta (CRM)
taloushallinto
markkinointi (uutiskirje)
sähköpostipalvelin
työasemat ja niihin tallennettava henkilötieto (esim. Excel-/Word-listat)
manuaalinen materiaali (paperi jne)
paikalliset palvelimet
pilvipalvelut
muut dokumentinhallintajärjestelmät
Voimme siis lähes tulkoon todeta, että kaikkiin yrityksiin syntyy henkilötietorekistereitä. Ja koska näin on, jokaisen yrityksen tulisi kartoittaa tietosuojan nykytila ja tehdä tarvittavat toimenpiteet GDPR-asetuksen haltuun ottamiseksi.
Erityisiä henkilötietoryhmiä ovat tiedot, joista ilmenee henkilön:
rotu tai etninen alkuperä
poliittisia mielipiteitä
uskonnollinen tai filosofinen vakaumus
ammattiliiton jäsenyys
geneettisiä tai biometrisia tietoja
terveystietoja
seksuaalista käyttäytymistä ja suuntautumista koskevaa tietoa
Näitä tietoja on suojeltava erityisen tarkasti, koska niiden käsittely voi aiheuttaa huomattavia riskejä henkilön perusoikeuksille ja -vapauksille.
Milloin erityisiä henkilötietoryhmiä saa käsitellä?
Erityisiin henkilötietoryhmiin kuuluvia henkilötietoja saa käsitellä, kun kieltoon on säädetty poikkeus EU:n tietosuoja-asetuksessa tai erikseen unionin oikeudessa tai kansallisessa lainsäädännössä. On tärkeää tunnistaa, voiko tietoja käsitellä suoraan tietosuoja-asetuksen perusteella vai edellyttääkö käsittely asetuksen lisäksi vielä erillistä lainsäädäntöä tai sopimusmenettelyä.
Erityisiä henkilötietoryhmiä voi käsitellä suoraan tietosuoja-asetuksen perusteella seuraavissa tapauksissa:
Kun rekisteröity on antanut nimenomaisen suostumuksen kyseisten henkilötietojen käsittelyyn.
Kun käsittely on tarpeen rekisteröidyn tai jonkun toisen henkilön elintärkeiden etujen suojaamiseksi tilanteessa, jossa rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan.
Kun henkilötietoja käsitellään poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän säätiön, yhdistyksen tai muun voittoa tavoittelemattoman yhteisön laillisen toiminnan yhteydessä ja ne suojataan asianmukaisesti. Käsittely voi koskea vain yhteisön jäseniä, entisiä jäseniä tai henkilöitä, joilla on yhteisöön säännölliset, yhteisön tarkoitukseen liittyvät yhteydet. Tietoja ei saa luovuttaa yhteisön ulkopuolelle ilman suostumusta.
Kun käsittely koskee henkilötietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi esimerkiksi julkaisemalla ne verkkosivuillaan.
Kun käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Lisäksi käsittely on mahdollista aina, kun tuomioistuimet suorittavat lainkäyttötehtäviään.
Seuraavissa tapauksissa käsittely ei ole mahdollista suoraan asetuksen perusteella, vaan se edellyttää lisäksi tarkentavaa sääntelyä tai muuta menettelyä.
Kun käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla siltä osin, kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai työehtosopimuksessa. Tässä yhteydessä on myös säädettävä toimenpiteistä, joilla suojataan rekisteröidyn perusoikeudet ja edut.
Kun käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla. Käsittelyn mahdollistavan sääntelyn tulee olla oikeassa suhteessa käsittelyn tavoitteeseen nähden, ja siinä tulee noudattaa keskeisiltä osin oikeutta henkilötietojen suojaan. Tässä yhteydessä on myös säädettävä toimenpiteistä, joilla suojataan rekisteröidyn perusoikeudet ja edut.
Kun käsittely on tarpeen ennaltaehkäisevää terveydenhuoltoa, työterveydenhuoltoa, työkyvyn arviointia, lääketieteellisiä diagnooseja, terveys- tai sosiaalihuollollista hoitoa tai terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten unionin oikeuden, jäsenvaltion lainsäädännön tai terveydenhuollon ammattilaisen kanssa tehdyn sopimuksen mukaisesti. Edellytyksenä on, että tietoja käsittelee vain ammattilainen tai henkilö, jolla on lakisääteinen salassapitovelvollisuus.
Kun käsittely on tarpeen kansanterveyteen liittyvän yleisen edun vuoksi sellaisen unionin oikeuden tai jäsenvaltion lainsäädännön perusteella, jossa säädetään myös rekisteröidyn oikeuksia ja vapauksia suojaavista toimenpiteistä, erityisesti salassapitovelvollisuudesta.
Kun käsittely on tarpeen yleisen edun mukaista arkistointia, tieteellistä ja historiallista tutkimusta tai tilastointia varten tietosuoja-asetuksen mukaisesti unionin oikeuden tai jäsenvaltion lainsäädännön nojalla. Käsittelyn mahdollistavan sääntelyn tulee olla oikeassa suhteessa käsittelyn tavoitteeseen nähden, ja siinä tulee noudattaa keskeisiltä osin oikeutta henkilötietojen suojaan. Tässä yhteydessä on myös säädettävä toimenpiteistä, joilla suojataan rekisteröidyn perusoikeudet ja edut.
Tietosuoja on hyvin hoidettuna kilpailuetu ja puutteellisesti hoidettuna kaupan este. Yhä useampi sinunkin potentiaalisista asiakkaistasi tarkistaa yrityksesi tietosuojan tason pelkästään yrityksesi verkkosivujen viestinnän avulla. Jos et halua menettää potentiaalista asiakasta, joka on tietosuoja-asioista perillä ja vaatii tietosuojalain noudattamista omilta sidosryhmiltään, kannattaa huolehtia, että sinun liiketoimintasi noudattaa GDPR-asetusta.
Verkkosivujen tietosuoja on tietosuojasta valveutuneelle helppo tarkistaa näiden neljän asian avulla:
Evästebanneri – Valtaosalla verkkosivuja evästebanneri ei ole tietosuoja-asetuksen mukainen. Evästebannerin vaatimuksia on päivitetty säännöllisesti ja moni näistä pomppubannereista on vanhentuneen tiedon mukaisia, jonka tietosuojasta valveutunut henkilö huomaa heti. Lue tästä artikkelista ajantasainen evästebanneriohje ja tarkista. Tämän lisäksi sinun tulisi testata, että evästebanneri oikeasti toimii, eli jos verkkosivuvierailija kieltää evästeiden lataamisen, hylkääkö banneri kaikki evästeet todella, vai pelkästään väittää niin?
Tietosuojaseloste – Toinen verkkosivuilla oleva tietosuojaan liitetty asia on tietosuojaselosteet. Sen tehtävänä on kertoa sidosryhmille, miten heidän tietoja juuri teidän yrityksessänne käsitellään. Asiakirjan luonteen vuoksi sen kopioiminen muualta ei siis johda vaatimusten mukaisiin tuloksiin. EU Tietosuoja-asetus määrittelee sen tiedon, mitä tietosuojaselosteessa tulee kertoa.Tietosuojasta valveutunut henkilö näkee muutamassa sekunnissa, onko tietosuojaselosteesi GDPR-asetuksen mukainen vai ei. Useimmassa tapauksessa näin ei ole.
Check your host – Tiesitkö, että tietosuojalain nojalla, me emme saa siirtää dataa ilman laillista siirtoperustetta EU-alueen ulkopuolelle. Jos nettisivujen webhotelli eli palvelintila sijaitsee EU-alueen ulkopuolella, verkkosivut eivät välttämättä ole asetuksen mukaiset. Palvelin kerää tietoa verkkosivuvierailijoista. Tämän voit tarkistaa esimerkiksi tällä maksuttomalla Check Hosti-työkalulla. Siitä näet, missä palvelimet sijaitsevat.
Käytätkö verkkosivujesi liikenteen mittaamisessa ja analysoinnissa Google Analyticsia? Tiesitkö, että Tietosuojavaltuutetun toimisto tiedotti helmikuussa 2022 uudesta linjauksestaan: Google Analytics rikkoo EU:n yleistä tietosuoja-asetusta. Samaisesta syystä Itävälta on julistanut monelle tutun analytiikkaohjelman laittomaksi. Itävallan ratkaisun jälkeen myös Hollannin, Tanskan ja Ranskan tietosuojaviranomaiset julkistivat vastaavia päätöksiä, jotka toimivat muille eurooppalaisille yrityksille hyvinä ennakkotapauksina ja esimerkkinä tulevasta. Moni yritys on päättänyt jättää tiedon omaan arvoonsa. Google Analytics-seurantatunnus on kuitenkin helposti kenen tahansa löydettävissä verkkosivujen lähdekoodista. Tietosuojasta valveutunut henkilö ei tee yhteistyötä yrityksen kanssa, joka käyttää Google Analyticsia verkkosovuliikenteen analysoimiseen.
Törmäämme säännöllisesti kysymykseen sosiaalisen median ryhmissä siitä, millä perusteella markkinointiviestintää saa lähettää ihmisille sähköpostilla. Tarvitaanko sähköpostimarkkinointiin aina erillinen lupa vai voiko viestintää lähettää ilman erillistä lupaa? Vastaus riippuu tapauksesta. Teimme tätä varten selkeän Uutiskirje ja GDPR yleisohjeen, jonka avulla voit näppärästi suunnistaa oikean vastauksen luokse.
Vahvojen tunnistamispalvelujen toimittaja Identisure on julkaissut pohjoismaisen vertailun, jonka mukaan suomalaisten yritysten verkkokauppojen tietosuojassa on puutteita.
Vahvat henkilöllisyyden todentamisen keinot verkkokaupassa ovat Suomessa esimerkiksi pankkitunnksilla tai mobiilivarmenteella vahvistettu maksutapahtuma. Jos asiakkaan henkilöllisyyttä ei vahvisteta luotettavaksi, kasvaa riski petoksille. Identisure on pohjoismaiden johtava vahvojen tunnistautumispalveluiden toimittaja. Yritys julkaisi 6.10.2022 tiedotteen, jonka mukaan suomalaisten yritysten verkkokauppojen tietosuojassa on parantamisen varaa.
”Keinot asiakkaan henkilöllisyyden todentamiseen luotettavasti verkossa puuttuivat monissa tapauksissa kokonaan. Suomessa vain joka toinen yritys suojasi asiakkaidensa tiedot asianmukaisesti” sanoo Identisuren myyntijohtaja Otto Harinen.
”Lähes puolet suomalaisista yrityksistä, jotka suojasivat tiedot, perustelivat päätöstä GDPR-säännöillä tai vetosivat asiakkaan tietosuojaan. Vaikka tämä vastaa vain noin joka neljättä yritystä, on näiden termien käyttäminen positiivinen merkki, ja lupaa hyvää tulevaisuuden osalta. Mutta merkittävä muutos saavutetaan luultavasti vasta sitten, kun huolimattomasti toimivat yritykset saavat sakkoja tietosuojavastuusta luistamisesta”, Harinen jatkaa.
Norjalaiset olivat testin voittajia!
Selvitys toteutettiin Suomessa, Ruotsissa, Norjassa ja Tanskassa. Jokaisesta maasta valittiin 50 yksityisen sektorin yritystä, jotka myyvät tuotteita tai palveluita yksityishenkilöille. Kyselyssä testattiin, miten asiakkaan henkilöllisyys varmistettiin yhteydenotossa. Yhteydenotto tapahtui sähköpostitse, asiakaschatissa tai puhelimitse.
Tanska sijoittui testissä häntäpäähän, vain 4/10 yrityksestä edellytti tunnistautumista luotettavalla tavalla. Norja puolestaan sijoittui testi voittajaksi. Norjassa
vain noin joka viides yritys antoi pääsyn asiakastietoihin, jos asiakkaan henkilöllisyyttä ei voitu tunnistaa luotettavasti. Suomi ja Ruotsi ovat testissä samalla tasolla: lähes puolilta yrityksistä puuttui vahvan henkilöllisyyden todentamisen keinot.
3 käytännön vinkkiä yrityksille joiden tarvitsee tunnistaa asiakas
Älä esitä tarkastuskysymyksiä, joiden vastaus saattaa löytyä julkisista lähteistä. Myöskään henkilötunnuksen tietäminen ei todista henkilöllisyyttä.
Luo turvalliset käytännöt henkilön tunnistamiseen verkkopalvelussa tai muussa asiakaspalvelukanavassa.
Tutustu vahvan tunnistautumisen palveluihin ja valjasta palvelu käyttöön yritykseesi mahdollisimman pian.
Ilmoittajansuojelulaki astui voimaan 01.01.2023.
EU-direktiiviin pohjautuva laki velvoittaa kaikkia vähintään 50 henkeä työllistäviä yksityisen ja julkisen sektorin organisaatioita järjestämään sisäisen whistleblowing- eli ilmoituskanavan.
Tuore lainsäädäntö varmistaa, että henkilö, joka työnsä yhteydessä havaitsee tai epäilee yleisen edun vastaista toimintaa erikseen määritellyillä EU:n tai kansallisen oikeuden aloilla, voi ilmoittaa asiasta turvallisesti. Tämä pakottaa tietynlaisia organisaatioita toteuttamaan sisäisen ilmoituskanavan (whistle blowing) omalle henkilöstölle sekä ulkoisille sidosryhmille.
Millaisia yrityksiä Whistleblow koskee?
Sisäinen ilmoituskanava tulee perustaa 31.03.2023 mennessä jos jokin seuraavista koskettaa yritystäsi:
Yksityisen sektorin organisaatiot joissa on vähintään 250 työntekijää.
Rahoituspalvelujen alalla tai rahanpesulain soveltamisalaan kuuluvat toimijat koosta riippumatta
Valtionhallinto, alue- ja maakuntahallinto, kunnat ja muut julkisoikeudelliset oikeushenkilöt
17.12.2023 alkaen myös 50 henkeä ja siitä ylöspäin työllistävien toimijoiden on otettava ilmoituskanava käyttöön
Mitä Whistleblow yritykseltä vaatii?
Organisaatiot velvoitetaan luomaan ja ottamaan käyttöön epäiltyjen väärinkäytösten ilmoituskanavan eli ns. ”whistleblow” -kanavan, jossa ilmoittajan henkilöllisyys on suojattu. Ilmoituskanavan kautta oma henkilöstö ja sidosryhmät voivat ilmoittaa havaitsemistaan EU:n tai kansallisen lainsäädännön aloilla ja epäeettisen toiminnan epäilyistä organisaation nimeämille vastuuhenkilöille turvallisesti.
Sisäinen ilmoituskanava
Organisaatioiden on järjestettävä vaatimukset täyttävä, ilmoittajan suojan varmistava ja turvallinen ilmoituskanava yksityishenkilöiden käyttöön sekä siihen liittyvä hallinto.
Ilmoittajaa on suojeltava
EU-direktiivi tuo nyt erityistä suojaa ilmoittajalle, ”whistleblowerille”. Aiemmin käytetyt kanavat, kuten sähköposti tai intranet eivät siis enää riitä.
Vastatoimien kielto
Tarkoituksena on varmistaa, että ilmoittaja, joka havaitsee työssään rikkomuksia, voi ilmoittaa asiasta joutumatta suoraan tai välillisesti minkäänlaisten kostotoimenpiteiden kohteeksi.
Käänteinen todistustaakka ja vahingonkorvaukset
Vastatoimen toteuttajalla on näyttövelvollisuus siitä, että toteutettu toimenpide ei liittynyt aiemmasta väärinkäytöksestä ilmoittamiseen. Direktiivi tuo mukanaan myös vastatoimien kieltoa rikkovalle vahingonkorvausvastuun.
Miten Whistleblow-kanava vaikuttaa tietosuojaan?
Ilmoituskanavan käyttöönotto tuo mukanaan lisäyksiä useimpien organisaatioiden tietosuojaan sekä siihen liittyvään dokumentaatioon. Harkittavaksi tulee esim. seuraavat dokumentit:
Tietovirtakuvaus
Ilmoitukset todennäköisesti sisältävät ilmoituksen kohteen henkilötietoja tai muita tietoja, joista heidät voidaan tunnistaa. Tästä muodostuu käytännössä oma rekisterinsä, jossa tietoa saatetaan myös käsitellä useammalla eri käsittelyperusteella.
Vaikutustenarviointi ja tasapainotesti
Tietosuojavaltuutettu on linjannut, että Rekisterinpitäjän on ennen ilmoituskanavan käyttöönottoa toteutettava vaikutustenarviointi. Tässä yhteydessä on hyvä toteuttaa myös ja toiseen käsittelyperusteeseen liittyvä tasapainotesti.
Tietosuojaseloste
Rekisterinpitäjällä on tietosuoja-asetuksen mukaisesti velvollisuus informoida rekisteröityjä siitä, miten se heidän tietojaan käsittelee. Tämä toteutetaan asiaankuuluvalla tietosuojaselosteella.
Millaisella työkalulla voimme ottaa Whistleblowin haltuun?
Tietosuoja-asetuksen puitteissa verkkosivut eivät saa kerätä evästetietoja ilman verkkosivuvierailijan suostumusta. Tällä hetkellä evästebanneri on yleisin tapa pyytää käyttäjän suostumusta evästeiden hyväksymiseen. Evästebannerin sääntöjä on päivitetty säännöllisesti ja tällä hetkellä netissä surffaillessa huomaa nopeasti, että valta osa yrityksistä ei noudata ajantasaista evästeohjeistusta. Huolehdi evästebannerisi ajan tasalle alla olevan muistilistan avulla:
Muiden kuin välttämättömien evästeiden tallentamiseen ja tietojen käyttämiseen käyttäjän päätelaitteelta tulee pyytää suostumus.
Poiketen aiemmasta tulkinnasta käyttäjä ei voi verkkoselaimen asetusten kautta antaa pätevää suostumusta evästeiden ja muiden seurantateknologioiden käyttöön.
Käyttäjän suostumusta pyydettäessä häntä ei saa ohjata hyväksymään ei-välttämättömien evästeiden käyttöä ja näiden evästeiden käytöstä kieltäytymisen tulee olla yhtä helppoa kuin niiden hyväksymisen.
Jo annetun suostumuksen peruuttamisen tai tehtyjen valintojen muuttamisen tulee olla mahdollista ja sen tulee olla käyttäjälle mahdollisimman yksinkertaista.
Evästeiden ja muiden seurantatekniikoiden käyttöä ei voi perustella tietosuoja-asetuksen mukaisella rekisterinpitäjän oikeutetulla edulla.
Hyväksy kaikki – Hylkää muut paitsi pakolliset -painikkeiden on oltava samanarvoisia. Eli kikkailu asettelun, koon tai värien kanssa ei ole asetuksen mukainen toteutuksen tapa.
Erillinen linkki asetuksiin, jotta käyttäjä voi säätää suostumuksiaan halutessaan tarkemmin.
Suostumuksen perumisen on oltava yhtä helppoa kuin sen antaminen.
Sivuja on pystyttävä käyttämään myös ilman suostumusta.
”Hylkää kaikki” -painike puuttuu sivuston etunäkymästä (hyväksyminen ja hylkääminen on tuotava esille ”samanarvoisesti).
Hylkäystoiminto on piilotettu ”asetukset” -valikon taakse.
Suostumus on valmiiksi rastitettu.
Käyttäjälle ei kerrota hänen tietojensa käsittelystä selkeällä ja ymmärrettävällä tavalla.
Eriarvoiset valintapainikkeet: esim. ”hyväksy kaikki” -painike on korostettu.
Suostumusta vaativat evästeet on katsottu ”välttämättömiksi”.
Suostumuksen antamatta jättämistä ei ole tehty yhtä helpoksi suostumuksen antamisen kanssa.
Käsittelyperusteena käytetään oikeutettua etua muihin kuin välttämättömiin evästeisiin.
Moni verkkosivusto käsittelee edelleen henkilötietoja laittomasti
Kaikkeen tietojen tallentamiseen päätelaitteelle tarvitaan loppukäyttäjän suostumus. Ainoana poikkeuksena on sellainen tietojen tallentaminen, joka on välttämätöntä pyydetyn toiminnon kannalta.
Evästeiden lisäksi sääntely koskee kaikkea muutakin tietoa, mitä verkkovierailijan päätelaitteelle, selaimeen tai applikaatioon tallennetaan kuten;
erilaisia verkkoseurantateknologioita
kolmannen osapuolen fontteja
javascriptejä
Virheet ja puutteet käsittelyssä ovat varmasti suurimmalta osaltaan tahattomia. Siihen vetoaminen mahdollisessa viranomaisen toimittamassa toimenpiteessä on kuitenkin turhaa: yrityksen vastuuhenkilöillä on Suomessa lakiin perustuva selonottovelvollisuus.
Tietosuoja-asetuksen artikla 28 mukaisesti rekisterinpitäjä (useimmiten palveluiden tilaaja) saa käyttää ainoastaan sellaisia henkilötietojen käsittelijöitä (toimittaja), jotka toteuttavat riittävät suojatoimet asianmukaisten teknisten ja organisatoristen toimien täytäntöönpanemiseksi niin, että käsittely täyttää asetuksen vaatimukset ja sillä varmistetaan rekisteröidyn oikeuksien suojelu.
Puhutaan vaatimusten mukaisesta toiminnasta sekä siihen liittyvästä osoitusvelvollisuudesta.
Vastuu on langetettu rekisterinpitäjälle, eli tilaajalle. Henkilötietojen käsittelystä on myös tehtävä erillinen sopimus osapuolten kesken sekä rekisterinpitäjän on annettava ohjeistus toimintatavoista henkilötietojen käsittelijöille.
Tietosuojakelpoisuus ja sen tarkistaminen
Toimittajan tietosuojakelpoisuuden tarkistaminen on osa tilaavan yrityksen riskienhallintaa. Koska rekisterinpitäjä vastaa henkilötietojen käsittelystä ja varsinkin ulkoitustapauksissa vastuuasiat nostavat rooliaan.
Osapuolten kesken on mm. tehtävä kirjallinen sopimus ja rekisterinpitäjän on myös etukäteen varmistuttava siitä, että henkilötietojen käsittelijällä on riittävät tiedot ja taidot selviytyä lain vaatimuksista.
Ennakkotarkistus on omalta osaltaan vastaavankaltainen toimenpide kuin esimerkiksi ennakkoperintä-rekisteritarkistus (työ- tai käyttökorvausta maksavalla työn teettäjällä tai palvelun ostajalla on velvollisuus tarkistaa, kuuluuko suorituksen saaja ennakkoperintärekisteriin).
Maksuton tarkistustyökalu
Verkosta löytyvällä www.tietosuojavastuu.fi -tarkistustyökalulla voi helposti ja nopeasti tarkistaa haetun organisaation kohdalla, ovatko he julkaisseet oman tietosuoja- eli GDPR –kelpoisuustasonsa tilanteen palvelussa.
Palvelun maksullisella osioilla voi hoitaa muut ulkoistuksiin liittyvät sopimus- ja ohjeistustoiminnot sähköisesti, joka säästää aikaa ja vaivaa ja kaikkien ulkoistussopimusten tilanne on aina helposti tarkistettavissa.
Pk-yritysten tietosuojataidot puutteellisia – Haltuunotto ei ole niin vaikeaa, miltä se aluksi vaikuttaa.
Kauppalehden 6.9.2022 julkaistussa artikkelissa kerrotaan Tieken ja Tietosuojavaltuutetun tekemästä Gdpr2dsm-hankkeesta, jossa kartoitettiin muutama vuosi sitten Pk-yritysten tietosuojan tilaa. Artikkeli herättää paljon ajatuksia siitä, millä tolalla suomalaisten yritysten tietosuoja-asiat ovat.
”90 prosenttia yrityksistä tiesi, mikä gdpr on ja miten tietosuoja pitäisi hoitaa. 70 prosenttia yrityksistä vastasi, että hommat on hoidettu. Kun kysyttiin missä on ongelmia ja tarvitsette apua, melkein 80 prosenttia vastasi, ettei ymmärretäkään kaikkea ja tarvitaan apua.”
Timo Simell, Tieke
Hankkeessa selvisi, että Pk-yrityksistä vain 15-20% on hoitanut tietosuoja-asioitaan ulkoistamalla eli suurin osa pohtii tietosuoja-asioita täysin itsenäisesti, vaikka tietosuojataidot ovat osoittautuneet monelta osin puutteellisiksi.
Tietosuojadokumentaation voi hoitaa helposti kuntoon.
”Sääntelyn ydinsisältö on simppeli ja yksinkertainen. Kun tämä 2018 keväällä tuli, siihen liittyi paljon konsulttihypetystä ja uhkakuvien luomista. Perustiedot eivät ole rakettitiedettä. Ei tarvitse olla 10-sivuinen lakiterminen tekstiä sisältävä paketti. Mieti, mitä järjestelmiä on ja mitä tietoja kerätään. Kuka tietoja käsittelee ja mitä niillä tehdään”, Warma-Lehtinen kertoo. Eija Warma-Lahtinen, Lakimies, Castren & Snellman.
Jos liiketoiminta on tyyliä mies ja excel, tietosuojadokumentaation hoitaminen ilman asiantuntijan apua voi olla lopulta suhteellisen yksinkertainen asia. Tietosuojaselostepohjia ei kuitenkaan kannata poimia netistä, ne eivät sellaisenaan edusta sinun yritystäsi ja sinun liiketoiminnasta aiheutuvia rekistereitä saatikka sitä, kuinka tietoja yrityksessäsi käsitellään. Jokainen yritys laatii rekisterit itse.
Jos puolestaan yrityksessä kertyy rekistereitä enemmänkin, tietosuojaselosteiden laatiminen vie aikaa ja niiden manuaalinen hallinta voi olla raskasta. Silloin pitää pohtia, onko oman ajan ja vaivan arvoista lähteä tekemään dokumentaatiota itse, vai kannattaako ottaa käyttöön esimerkiksi Easy GDPR:n kaltainen palvelu, jossa on valmiiksi auki kirjoitettu dokumentaatio ja kattava materiaalipankki sekä työkalut, joilla tätä kaikkea on helppoa ja nopeaa hallita sekä jakaa eri kanaviin.
Valitsitpa toteutuksen tavaksi omat aikaresurssit tai Easy GDPR-palvelun, tietosuojadokumentaatio ei vaadi lakimiehen palkkaamista tai lakikoukeroiden ulkoa opettelua. Tietosuojadokumentaatiota kannattaa ajatella vähän niin kuin kirjanpitona. Pidät kirjaa siitä, mitä tietoja keräät, missä niitä säilytät ja miten niitä käsittelet.
Yhdysvalloissa laki sallii valtiolle pääsyn kaikkien amerikkalaisten yritysten dataan.
EU:n tietolainsäädäntö ei hyväksy tätä. GDPR-asetuksen mukaan dataa ei saa siirtää alueelle, jossa asetus ei ole voimassa (eli EU-alueen ulkopuolelle).
Google Analytics kerää henkilötietoja ja luonnollisesti data siirtyy EU-alueen ulkopuolelle Yhdysvaltoihin.
Jos pohdimme kokonaisuutta, samassa veneessä ovat Googlen lisäksi muutkin amerikkalaiset softat tai softat, jotka pyörivät amerikkalaisissa konesaleissa, kuten Microsoft, Hubspot, Pipedrive ym. yrityksissä yleisesti käytössä olevat pilvipohjaiset ohjelmat. Kaikki näistä ohjelmista keräävät tavalla tai toisella henkilötietoja, kuten IP-osoitteita, nimiä ja sähköpostiosoitteita, jotka siirtyvät Yhdysvaltoihin ja näin eivät vastaa tietosuojalain vaatimuksiin, vaikka tietosuojasivuillaan näin väittävätkin. Google Analytics on nyt vain noussut ensimmäisenä jättimäisenä datan käsittelijänä GDPR-asetuksen silmätikuksi. Suomessa Google Analytics on myös TSV:n 17.01.2023 perusteella julistettu laittomaksi, kuten aiemmin esimerkiksi Itävallassa ja Ranskassa. Kyseisen ohjelman käyttämisen on todettu rikkovan EU:n tietosuojalakia. Tietosuojavaltuutetun toimisto antoi 17.01.2023 päätöksen PK-seudun kirjastoille, jossa se kielsi GA:n käytön ja määräsi jo kerätyt henkilötiedot poistettavaksi. Jos yrityksesi viestii tietosuojavastuusta ja 100% GDPR-kelpoisuudesta, tiedät varmasti itsekin vastauksen siihen, kannattaako Google Analyticsin tilalle metsästää uusi Eurooppalainen analytiikkaohjelma.
Onko tilanne mieluinen? Ei tietenkään. Mutta onko tässä kaikessa järkeä? Se jää sinun päätettäväksesi. Henkilötietosi voivat huomaamattasi kulkea digitaalisesti usean eri organisaation läpi. GDPR-asetus antaa suojan sinun henkilötiedoillesi ja keinoja hallita tietojesi käsittelyä tässä digitalisoituneessa maailmassa. Lain tarkoitus ei ole tehdä huvikseen elämästä hankalaa, vaan sen tarkoitus on suojata ihmisten tietoja ja niiden joutumista verkkorikollisuuden kohteeksi tai muuten vain käsiin, joihin ne eivät kuulu.
Tietosuojalaki on suhteellisen tuore laki, joka laadittiin digitalisaation seurauksena. On luonnollista, että sitä kehitetään toimintaympäristöönsä sopivammaksi ja sen rajoja etsitään kansainvälisellä tasolla aktiivisesti. Rattaat pyörivät jatkuvasti, jotta löytyisi yhteinen ja turvallinen tapa toimia. Sillä välin meidän yrittäjien ja yrityspäättäjien tulee pitää hatusta kiinni, seurata tilannetta aktiivisesti ja yrittää parhaamme mukaan taipua tietosuojalain asettamiin vaatimuksiin. Pelkästään Google Analyticsin vaihtaminen eurooppalaiseen analytiikkajärjestelmään ei ole lopulta kovin suuri juttu. Usein datan saa siirrettyä Analyticsista uuteen järjestelmään mukana ja siirto ei tarkoita sitä, että yrityksesi ei voisi tehdä hakukoneoptimointia tai Google Ads-mainontaa ja hyötyä Googlen tuomasta verkkosivuliikenteestä.
Seuraa Tietosuojakeskus.fi sivua! Me pidämme sinut ajan tasalla siitä, mitä tietosuojaviranomainen päättää tulevaisuudessa Google Analyticsista.
