Tietosuojaselosteen vinkkilista

Mikä on tietosuojaseloste? Ja miksi sellainen tarvitaan?

Artikkelin herättämän kiinnostuksen vuoksi päätimme järjestää 3kpl ilmaisia webinareja aiheesta "Tietosuojaseloste osana tietosuojatyötä". Ilmoittaudu mukaan >>

Hyvällä tietosuojaselosteella organisaatio viestii tiiviisti ja selkeästi ihmisille, miten heistä kerättyjä henkilötietoja tullaan käsittelemään. Selosteen avulla ihminen, jonka henkilötietoja käsitellään, ymmärtää käsittelyä, pystyy seuraamaan toimiiko organisaatio lupauksiensa mukaisesti ja saa oikeuksia vaikuttaa . EU:n yleinen tietosuoja-asetus velvoittaa organisaatiota tiedottamaan avoimesti tehdystä henkilötietojen käsittelystä - tietosuojaseloste on yksi osa tätä.

Keskimäärin suomalaiset tietosuojaselosteet ovat turhan pitkiä ja sisältävät liikaa ympäripyöreitä sekä vaikeasti ymmärrettäviä lauseita. Liian usein yleisluontoisella kuvauksella pyritään juridisesti kuittaamaan kaikki mahdollinen henkilötietojen käsittelyyn liittyvä, jolloin ei oikeasti anneta hyödyllistä tietoa rekisteröidyille ja nosteta tärkeimpiä asioita selvästi esille.

Tietosuojatyössä suunnitellaan, päätetään ja dokumentoidaan, miten henkilötietoja käsitellään. Tämän jälkeen varmistetaan ja dokumentoidaan, että arjessa myös toimitaan tämän mukaisesti. Lisäksi organisaation on tiedotettava avoimesti tehdystä henkilötietojen käsittelystä - tietosuojaseloste on yksi osa tätä tiedottamista. Tietosuojaseloste on ulkoinen tiivistelmä henkilötietojen käsittelystä yhden rekisterin osalta, ei siis koko tietosuojatyön ydin. Se on kuitenkin erittäin tärkeä dokumentti, josta jatkossa yhä useampi ihminen on kiinnostunut.

Useimmilla organisaatioilla on vähintäänkin asiakkaita ja työntekijöitä, joten tietosuojaselosteet pitäisi olla ainakin asiakas- ja henkilöstörekistereistä. Kun organisaatio tietää, miksi ja miten se henkilötietoja käsittelee, hyvän tietosuojaselosteen kokoaminen ei ole vaikea asia. Samalla se on tapa näyttää asiakkaille tai työntekijöille, että tässä tasolla tietosuoja ymmärretään ja teidän henkilötietoja arvostetaan.

Tietosuojaselosteen suositeltu rakenne

Hyppää tästä linkillä joko yleisiin vinkkeihin muotoilusta, saatavuudesta tai päivityksistä tai selosteen kohtaan, johon haluat tarkempia vinkkejä.

Suositusrakenne on tehty GDPR:n tiedotusvaatimusten sekä tietosuojavaltuutetun ohjeistusten perusteella.

Rekisterinpitäjä (organisaationne tunniste- ja yhteystiedot)
Yhteyshenkilön yhteystiedot (keneltä saa lisätietoja)
Rekisterin nimi (asiakasrekisteri, henkilöstörekisteri, tapahtumarekisteri...)
Henkilötietojen käsittelyn tarkoitus
Rekisterin tietosisältö
Säännönmukaiset tietolähteet (oma toiminta, rekisteröity itse, luovutukset kumppaneilta)
Tietojen vastaanottajat
Tietojen siirto EU:n tai ETA:n ulkopuolelle
Rekisterin suojauksen periaatteet
Tietojen säilytysaika
Rekisteröidyn yleiset oikeudet
Muut rekisteröidyn oikeudet

Yleinen vinkki: Muotoilu

Kukaan ei halua käyttää koko päivää tietosuojaselosteiden lukemiseen. Vältä pitkää ja vaikeaselkoista viestintää, niin yllätät lukijan positiivisesti.

Ole tiivis ja tehokas, vältä vaikeita termejä, älä lörpöttele.
Ei ympäripyöreitä ilmaisuja!
Käytä tiivistelmiä ja bullet listoja, tarvittaessa ikoneja, kuvia tai värejä.
Kirjoita niin selvästi, että kohderyhmäsi keskivertolukija ymmärtää tekstin vaivatta.

Tee näin - Valitse rekisterikokonaisuudet tarkasti, jotta voit kirjoittaa selkeän selosteen ja jopa lyhyen tiivistelmän avainkohdista sen alkuun.

Älä tee näin - Älä kirjoita maksimaalisen kattavaa yleislausetta, jossa tärkeät sisällöt hukkuvat ja lukija pelästyy jo dokumentin pituudesta. Älä käytä tulkintaa jättäviä ilmaisuja kuten "voimme käyttää henkilötietoja tutkimustarkoituksiin" (siis käytettekö vai ette, ja millaiseen tutkimukseen?).

Yleinen vinkki: Saatavuus

Pyri asettamaan tietosuojaseloste saataville niihin paikkoihin / tilanteisiin, missä henkilö voi sitä todennäköisimmin kaivata.

Jos ihminen joutuu etsimään tietosuojaselostetta, se on turhan huonosti saatavilla.
Osioi seloste niin, että ihminen voi heti hypätä asiaan, joka kiinnostaa.
Erota tietosuojaseloste selvästi muista sopimus- ja käyttöehdoista yms.

Tee näin - Selkeä "Tietosuojaseloste" -linkki oman nettisivun jokaisen sivun alalaidassa, selkeästi erotettavalla ja havaittavalla tekstillä. Lisäksi jokaisella sivulla, missä henkilötietoja kerätään, oma mahdollismman selkeä linkki selosteeseen.

Älä tee näin - Tietosuojaan liittyvät asiat käyttöehtojen tai muun lakitekstin seassa. Linkki pienellä painoarvolla, koska "eihän näitä koskaan kukaan lue".

Yleinen vinkki: Muutokset

Henkilötietojen käsittely elää ajassa ja muutokset selosteen sisältöön ovat luonnollisia.

Tiedota ihmisiä, kun jokin muuttuu. Pyri pitämään muutosten määrä reiluna, jotta ihmisten on helppo pysyä kärryillä.
Kerro muutoksen syyt, mahdolliset vaikutukset ihmisiin ja nosta esiin kohdat, joita muutettiin.

Tee näin - Tiedota tähän teemaan dedikoidulla viestillä, totuttuja kanavia pitkin, kaikki rekisteröityjä. Tiedota etenkin, mitä muutettiin ja miksi.

Älä tee näin - Älä muuta selostetta kaikessa hiljaisuudessa, upota tiedotetta yleisen uutiskirjeen sekaan tai tiedota some-päivityksellä, jossa kerrotaan "selostetta on päivitetty", mutta jätetään lopputyö rekisteröidylle.

Vinkit kohtaan 4: Henkilötietojen käyttötarkoitus

Mitä eri tarkoituksia varten nämä tiedot hallussamme ovat? Rekisteröidyn pitäisi tietosuojaselosteesta ymmärtää, kuinka laajaa hänen tietojensa käsittely on ja millaisia vaikutuksia hänelle voi siitä kertyä.

Erottele erilaiset tiedon käyttötarkoitukset selvästi.
Kerro selvästi (tasan yksi) oikeusperuste, mihin mikäkin käyttötarkoitus perustuu.
Mikäli suoritetaan oikeutettuun etuun perustuvaa käsittelyä, tiivistelmä perusteista, joilla organisaation edun nähdään menevän yksilön edun edelle.

Tee näin - Asiakasrekisterin tietoja käsitellään sopimuksen tuottamiseen perustuen laskuttamiseen sekä kriittisten käyttötiedotteiden lähettämiseen. Suostumuksen perusteella palvelun käyttötietoja käsitellään lisäksi käyttötutkimuksen tekemiseen sekä asiakkaan yhteystietoja muiden palvelujen markkinointiin.

Älä tee näin - Asiakasrekisterin tietoja käytetään asiakassuhteen hoitamiseen.

Vinkit kohtaan 5: Rekisterin tietosisältö

Kerro henkilötietoryhmät, joita rekisteröidystä voidaan tallentaa. Mikäli rekisteröity ei itse anna kaikkia tietoja, vaan ne kerätään / muodostetaan muuten, nämä on erityisen tärkeää mainita selvästi.

Kerro yksilöintitiedot (esim. nimi, syntymäaika, henkilötunnus) yksi kerrallaan
Muita tietoja voit niputtaa helpottaaksesi ymmärtämistä (esim. tilaustiedot)
Väliotsikointi voi auttaa tietojen esittämistä

Muista tämä - Kaikki tiedot, joilla opimme henkilöstä jotain, ovat henkilötietoja. Tapahtumaan ilmoittauminen voi vaatia vain nimi ja sähköpostitiedon, mutta samalla syntyy ehkäpä oleellisempi pala henkilötietoa siitä, että tämä henkilö on osallistunut tällaiseen tapahtumaan / toimintaan.

Vinkit kohtaan 7: Tietojen vastaanottajat

Osa läpinäkyvää viestintää on kertoa, mille vastaanottajille rekisteröityjen tietoja siirretään tai luovutetaan.

Nimeä organisaatiot, joilla on pääsy tai jotka käsittelevät henkilötietoja.
Voit niputtaa useita organisaatioita vastaanottajaryhmäksi, kun perustelet, miksi tämä on reilua, ja kuvaat vastaanottajan roolin tarkasti (esim. mitä he tiedoilla tekevät)
Kerro vastaanottajien sijainnit (esim. EU, luotettu 3. maa, USA & Privacy Shield, muu 3. maa)

Muista tämä - Tietojen vastaanottaja on määritelty EU:n yleisessä tietosuoja-asetuksessa laajasti. Vastaanottaja voi olla henkilötietojen käsittelijä (esim. IT-järjestelmätoimittaja, joka toimii rekisterinpitäjän nimissä), yhteisrekisterinpitäjä tai kolmas osapuoli (esim. yhteistyökumppani, viranomainen).

Tee näin - Rekisterin tietoja vastaanottavat Suomessa sijaitseva Yritys Oy -niminen kumppani suorittaakseen asiakaspalvelua sekä rekisterin käsittelemiseksi hankittuja IT-järjestelmiä tuottavat yritykset, jotka sijaitsevat joko EU:ssa tai USA:ssa ollen Privacy Shield -rekisteröityjä.

Älä tee näin - "Rekisterin tietoja ei luovuteta eteenpäin" (GDPR ei puhu pelkästään 3. osapuolille luovuttamisesta, vaan myös tietoja vastaanottavista käsittelijöistä on kerrottava).

Vinkit kohtaan 8: Tietojen siirto EU:n tai ETA:n ulkopuolelle

Mikäli tietoja siirretään EU:n tai ETA:n ulkopuolelle, tietosuojataso on vaarassa pudota. Tämän takia ihmisille pitää selvästi kertoa, tehdäänkö tätä, ja jos tehdään, miten tietosuojasta pidetään huolta.

Kerro selvästi, siirtyvätkö tiedot EU:n tai ETA:n ulkopuolelle. Tämä on selkeä kyllä tai ei.
Jos siirtyvät, kerro mikä peruste (esim. Privacy Shield -järjestely, EU:n päätös tietosuojan riittävyydestä maassa tai tietty GDPR-artikla) mahdollistaa tietojen siirron.

Muista tämä - Tietojen siirtäminen määritellään EU:n yleisessä tietosuoja-asetuksessa laajasti. Mikäli henkilötietoja esimerkiksi käsitellään (katsotaan, muokataan, lisätään, jne.) etäyhteyden yli Intiasta, niiden nähdään siirtyvän Intiaan. Sama pätee tietenkin esimerkiksi käytetyn SaaS-ohjelmiston palvelimen sijaintiin. Intiassa oleva tietopalvelin tarkoittaa tietojen siirtoa Intiaan.

Vinkit kohtaan 10: Tietojen säilytysaika

Henkilötietojen käsittelyn pääperiaatteita ovat tietojen minimointi sekä säilytyksen rajoittaminen. Tietoja ei saa siis haalia liikaa tai hamstrata varastoon sen jälkeen, kun perustetta niiden käsittelyllä ei ole.

Kerro säilytysaika tai sen määräytymisperuste selvästi.
Erottele säilytysajat, mikäli ne eroavat eri henkilötiedoille käyttötarkoituksittain. Joidenkin tietojen säilytysjasta voi esimerkiksi säätää laki, joten nämä on tiedostettava ja viestittävä erikseen.

Tee näin - "Asiakkuussopimuksen tuottamiseen liittyvät asiakkuuden perustiedot tuhotaan viimeistään kolme kuukautta asiakassuhteen päättymisen jälkeen. Suostumuksen perusteella käsitelvät viestintätiedot säilytetään, kunnes asiakas peruu suostumuksensa. Kirjanpitoaineistoja säilötään kirjanpitolain mukaisesti kuusi vuotta."

Älä tee näin - "Tietoja säilötään niin kauan, kuin oikeusperusteet mahdollistavat."

Vinkit kohtaan 11: Rekisteröidyn yleiset oikeudet

Rekisteröidyllä on jatkossa monia oikeuksia, joilla hän voi vaikuttaa ja saada tietoja henkilötietojensa käsittelystä. Rekisteröidyllä on aina oikeus saada pääsy tietoihin sekä oikaista virheelliset tiedot.

Selitä tiivisti ja selkeästi, mitä tämä rekisteröidyn oikeudet tarkoittaa.
Kerro selkeät ohjeet, kuinka rekisteröity voi oikeuttaan käyttää.

Tee näin - Sähköinen lomake nettisivuilla, jonka kautta rekisteröidyt voivat esittää esimerkiksi pyynnön päästä käsiksi omiin henkilötietoihinsa.

Älä tee näin - Tietosuojaselosteessa kerrotaan "ottakaa yhteyttä asiakaspalveluumme".

Vinkit kohtaan 12: Muut rekisteröidyn oikeudet

Tietyt rekisteröidyn oikeudet tulee mahdollistaa, mikäli toteutettu henkilötietojen käsittely täyttää tietyt ehdot. Näitä ovat mm. oikeus tietojen poistamiseen (käytetään myös "oikeus tulla unohdetuksi"), oikeus tietojen siirtämiseen, vastustamisoikeus, oikeus käsittelyn rajoittamiseen sekä oikeus olla joutumatta automatisoidun päätöksenteon kohteeksi. Nämä oikeudet liittyvät aina tietynlaiseen käsittelyyn, kuten suotumukseen tai oikeutettuun etuun perustuvaan käsittelyyn, julkisen vallan käyttöön tai profilointiin. Oikeus tietojen siirtämiseen liittyy myös automaattiseen, sopimuksen tuottamiseen perustuvaan käsittelyyn.

Tiedosta, mitkä rekisteröidyn oikeudet teidän on mahdollistettava. Ole etenkin tarkkana, jos käsittelet henkilötietoja vahvasti suostumukseen tai oikeutettuun etuun perustuen.
Selitä tiivisti ja selkeästi, mitä nämä oikeudet tarkoittavat ja miksi sellaiset rekisteröidyllä on.
Kerro selkeät ohjeet, kuinka rekisteröity voi oikeuttaan käyttää.
Mainitse mahdollisesta vastustamisoikeudesta niin, että se ei voi mennä rekisteröidyltä ohi.

Tee näin - Käy selvästi läpi, mihin muihin rekisteröidyn oikeuksiin teidän on valmistauduttava, ja viesti selkeästi vain relevanteista oikeuksista selosteessa.

Älä tee näin - Älä summittaisesti täytä selosteeseen rekisteröidyn oikeuksia selvittämättä, oletteko velvollisia nämä mahdollistamaan.

Extra-vinkki: Testaa onko selosteenne ymmärrettävä

Rekisterinpitäjän on jatkossa pystyttävä osoittamaan, että henkilötietoja käsitellään tietosuoja-asetuksen mukaisesti. Yksi tapa osoittaa, että läpinäkyvään informointiin on panostettu, on testauttaa oman tietosuojaselosteen selkeyttä ja dokumentoida tulokset.

Anna siis seloste luettevaksi henkilölle, joka edustaa hyvin rekisteröityjen joukkoanne. Kysy, oliko teksti selkeää ja ymmärsikö hän tämän perusteella, mitä hänen antamillaan henkilötiedoilla tullaan tekemään ja mitä oikeuksia hänellä on. Löydät joko hyviä tuloksia, tai parannettavaa...

Toivottavasti nämä vinkit auttavat tietosuojatyötänne. Vielä loppusanoina, älkää nähkö tietosuojaselostetta pakollisena riskienhallintadokumenttina. Suurin riski tässä asiassa on, jos ette ole viestinnässänne selkeitä. Nähkää tietosuojaseloste keinona näyttää esimerkiksi asiakkaille ja työntekijöille, että "meillä tietosuoja ymmärretään, siitä viestitään selvästi ja teidän henkilötietojanne arvostetaan ja käsitellään huolella".