Tietosuojaseloste: maksuton pohja pienyritykselle, mitä siihen kuuluu ja täytetty esimerkki

Moni yrittäjä tekee tietosuojaselosteen vasta, kun verkkosivujen tekijä tai uutiskirjepalvelu sitä pyytää. Velvollisuus syntyy kuitenkin jo siitä, että yritys tallentaa yhdenkin asiakkaan nimen ja puhelinnumeron. Hyvä uutinen on, että pienyrityksen seloste on yleensä yhden sivun mittainen, ja sen voi tehdä itse alla olevalla pohjalla.

Mikä on tietosuojaseloste?

Tietosuojaseloste on rekisterinpitäjän eli henkilötietoja käsittelevän yrityksen ilmoitus siitä, miten se käsittelee henkilötietoja. Se on tapa täyttää EU:n yleisen tietosuoja-asetuksen informointivelvollisuus: ihmisellä on oikeus tietää, mitä hänestä kerätään ja miksi, jo silloin kun tietoja kerätään.

Sanoja tietosuojaseloste, tietosuojailmoitus, rekisteriseloste ja privacy policy käytetään samasta asiasta. Rekisteriseloste on vanhan henkilötietolain termi, joka korvautui, kun tietosuoja-asetusta alettiin soveltaa vuonna 2018. Muoto on vapaa, kunhan sisältö on kattava ja ymmärrettävä.

Kenellä on vastuu tietosuojasta?

Vastuu tietosuojasta on rekisterinpitäjällä eli sillä yrityksellä, joka päättää, mihin ja miten henkilötietoja käytetään. Toiminimessä se on yrittäjä itse, osakeyhtiössä yhtiö. Vastuu ei siirry palveluntarjoajalle, vaikka tiedot olisivat sen järjestelmässä.

Mitä tietosuojaselosteeseen pitää kirjoittaa?

Tietosuojaselosteeseen pitää kirjoittaa vähintään tietosuoja-asetuksen 13 artiklan tiedot: kuka käsittelee tietoja, mihin tarkoitukseen ja millä oikeusperusteella, kenelle tietoja luovutetaan, siirretäänkö niitä EU:n ulkopuolelle, kuinka kauan niitä säilytetään ja mitä oikeuksia ihmisillä on. Jos tiedot saadaan muualta kuin ihmiseltä itseltään, kerrotaan lisäksi tietolähde ja tietoryhmät (14 artikla).

Tietosuojaselosteen pohja

Kopioi alla oleva pohja ja korvaa hakasulkeissa olevat kohdat omilla tiedoillasi. Poista kohdat, jotka eivät koske yritystäsi, ja lisää omat käyttötarkoituksesi. Pohja on yleinen malli, ei oikeudellinen neuvo: jos käsittelet terveystietoja tai muita erityisiä tietoryhmiä, tarkista seloste asiantuntijan kanssa.

1. Rekisterinpitäjä: [Yrityksen nimi], Y-tunnus [1234567-8], [osoite]. Tietosuoja-asioissa: [sähköposti], [puhelin].
2. Mihin henkilötietoja käytetään: palvelujen tuottaminen ja toimittaminen, ajanvaraus, laskutus ja maksujen seuranta, asiakasviestintä, [markkinointi], lakisääteisten kirjanpito- ja veroilmoitusvelvoitteiden hoitaminen.
3. Käsittelyn oikeusperusteet: sopimus asiakkaan kanssa (palvelut, ajanvaraus, laskutus); lakisääteinen velvoite (kirjanpito ja verotus); oikeutettu etu (asiakassuhteen ylläpito ja suoramarkkinointi nykyisille asiakkaille); suostumus ([esim. uutiskirje]).
4. Mitä tietoja käsitellään: nimi, puhelinnumero, sähköposti, [osoite], laskutustiedot, [Y-tunnus yritysasiakkailta], ostetut palvelut ja ajanvaraukset, asiakkaan kanssa käyty viestintä.
5. Mistä tiedot saadaan: asiakkaalta itseltään. [Yritysasiakkaiden tietoja voidaan tarkistaa julkisista rekistereistä, kuten YTJ:stä.]
6. Kenelle tietoja luovutetaan: tietoja käsittelevät puolestamme [ajanvarausjärjestelmä], [laskutus- ja kirjanpito-ohjelma], [tilitoimisto] ja [sähköpostipalvelu]. Tietoja luovutetaan viranomaisille vain lain velvoittamana. Tietoja ei myydä.
7. Siirrot EU:n ja ETA:n ulkopuolelle: [Tietoja ei siirretä EU:n ja ETA:n ulkopuolelle.] TAI [Palveluntarjoaja X voi käsitellä tietoja Yhdysvalloissa. Siirto perustuu Euroopan komission hyväksymiin vakiolausekkeisiin tai tietosuojakehykseen.]
8. Säilytysaika: asiakastiedot säilytetään asiakassuhteen ajan ja [2] vuotta viimeisen asioinnin jälkeen. Laskut ja muut kirjanpitoaineistot säilytetään kirjanpitolain mukaan, tilinpäätös ja kirjanpidot 10 vuotta tilikauden päättymisestä ja tositteet 6 vuotta sen vuoden lopusta, jona tilikausi päättyi. Markkinointiluvan perusteella käsiteltävät tiedot säilytetään luvan peruuttamiseen asti.
9. Oikeutesi: sinulla on oikeus saada tietää, mitä tietoja sinusta käsittelemme, ja saada niistä kopio, vaatia virheellisen tiedon korjaamista, tietojen poistamista tai käsittelyn rajoittamista, vastustaa käsittelyä, joka perustuu oikeutettuun etuun tai suoramarkkinointiin, siirtää antamasi tiedot toiseen järjestelmään ja peruuttaa antamasi suostumus milloin tahansa. Lähetä pyyntö osoitteeseen [sähköposti]. Vastaamme kuukauden kuluessa.
10. Valitusoikeus: jos katsot, että tietojasi käsitellään lainvastaisesti, voit tehdä valituksen tietosuojavaltuutetun toimistolle (tietosuoja.fi).
11. Automaattinen päätöksenteko: emme tee automaattisia päätöksiä emmekä profiloi asiakkaita.
12. Tietoturva: tiedot ovat salasanoin ja kaksivaiheisella tunnistautumisella suojatuissa järjestelmissä, ja niihin on pääsy vain niillä, jotka tarvitsevat niitä työssään.
13. Päivitetty: [pp.kk.vvvv].

Esimerkki: täytetty tietosuojaseloste pienelle kampaamolle

Miten valitset käsittelyn oikeusperusteen?

Oikeusperuste valitaan jokaiselle käyttötarkoitukselle erikseen tietosuoja-asetuksen 6 artiklan vaihtoehdoista. Pienyrityksessä tavallisimmat ovat sopimus, lakisääteinen velvoite ja oikeutettu etu. Suostumusta tarvitaan harvemmin kuin luullaan: lähinnä uutiskirjeisiin uusille henkilöille ja evästeisiin, joita sivusto ei välttämättä tarvitse.

Laskut ja kuitit kuuluvat kirjanpitoaineistoon, jota ei saa poistaa ihmisen pyynnöstä ennen kirjanpitolain säilytysajan päättymistä. Säilytysajat on koottu sivulle kirjanpitoaineiston säilytys.

Tarvitaanko työntekijöille oma tietosuojaseloste?

Työntekijöille kannattaa tehdä oma seloste, koska heidän tietojaan käsitellään eri tarkoituksiin ja eri perusteilla kuin asiakkaiden. Työnhakijoiden, työntekijöiden ja palkanlaskennan tietoihin sovelletaan lisäksi työelämän tietosuojalakia, joka rajaa, mitä tietoja työnantaja saa kerätä.

Mitä työnantaja saa kysyä ja kerätä, on käyty läpi sivulla mitä tietoja työnantaja saa kerätä työntekijästä. Jos palkanlaskenta on ulkoistettu, tilitoimisto on henkilötietojen käsittelijä, ja se mainitaan työntekijöiden selosteessa vastaanottajana.

Mihin tietosuojaseloste laitetaan?

Tietosuojaseloste laitetaan sinne, missä tietoja kerätään: verkkosivujen alatunnisteeseen linkiksi, ajanvaraus- ja yhteydenottolomakkeen viereen, uutiskirjeen tilauslomakkeeseen ja tarvittaessa paperisena toimipisteeseen. Tietosuoja-asetuksen 12 artiklan mukaan tiedot pitää antaa tiiviisti, selkeästi ja helposti saatavilla, ja maksutta.

Jos rakennat sivustoa, katso myös yrityksen kotisivut. Evästeiden suostumus on oma asiansa: sitä ei voi kuitata tietosuojaselosteen tekstillä, vaan sivuston on kysyttävä lupa ennen kuin muita kuin välttämättömiä evästeitä käytetään.

Onko tietosuoja tietoturvaa?

Tietosuoja ja tietoturva ovat eri asioita, mutta ne tukevat toisiaan. Tietosuoja tarkoittaa ihmisen oikeutta yksityisyyteen ja sitä, että hänen tietojaan käsitellään laillisesti. Tietoturva on teknisiä ja hallinnollisia keinoja, joilla tiedot suojataan katoamiselta, vuodoilta ja luvattomalta käytöltä. Tietoturva on siis yksi tietosuojan toteuttamisen keino, ja tietosuoja-asetus edellyttää asianmukaista tietoturvaa.

Pienyrityksen tärkeimmät tietoturvatoimet ovat kaksivaiheinen tunnistautuminen, ajantasaiset laitteet ja varmuuskopiot. Niistä enemmän sivulla kyberturvallisuus yrityksessä.

Mitä tapahtuu, jos tietosuojaselostetta ei ole?

Jos tietosuojaseloste puuttuu, yritys rikkoo tietosuoja-asetuksen informointivelvollisuutta. Tietosuojavaltuutettu voi antaa huomautuksen tai määräyksen korjata asia, ja vakavissa tapauksissa tietosuojavaltuutetun toimiston seuraamuskollegio voi määrätä hallinnollisen seuraamusmaksun. Asetuksen enimmäismäärä on 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta, mutta pienyrityksille seuraamukset ovat käytännössä huomattavasti pienempiä ja suhteutettuja.

Toinen seuraus on käytännöllinen: monet ajanvaraus-, maksu- ja markkinointipalvelut edellyttävät linkkiä tietosuojaselosteeseen ennen käyttöönottoa. Seloste kannattaa tarkistaa aina, kun otat käyttöön uuden palvelun, joka käsittelee asiakkaiden tietoja, ja päivittää päiväys.

Kirjoittaja

Matti Keränen

Kirjanpitäjä, Tauko kirjanpito

Tekee pienyritysten kirjanpitoa Taukossa ja kirjoittaa asioista, joita yrittäjät kysyvät meiltä useimmin. Pyrkii vastaamaan niin, ettei lukijan tarvitse tuntea yhtään kirjanpitotermiä.