Tietosuojaseloste kotisivuille on aihe, joka hämmentää monta yrittäjää: pitääkö sellainen olla, mitä siihen kuuluu ja tuleeko sakkoja, jos se puuttuu? Selkeä lähtökohta on tämä: jos sivustollasi kerätään henkilötietoja — vaikka vain nimi ja sähköposti yhteydenottolomakkeella — kävijälle on kerrottava, miten hänen tietojaan käsitellään.
Kiinnostava yksityiskohta on, ettei laki itse asiassa vaadi juuri "tietosuojaseloste"-nimistä dokumenttia. Se vaatii, että kävijää informoidaan. Käytännössä tämä hoidetaan selkeällä sivulla, jota on tapana kutsua tietosuojaselosteeksi. Käydään läpi, mitä laki oikeasti edellyttää, mitä kävijälle kannattaa kertoa ja miten selosteen saa kuntoon ilman juristia. Tämä artikkeli on yleistä tietoa, ei juridinen ohje.
- Keräätkö henkilötietoja? Jos lomakkeella kerätään edes nimi ja sähköposti, kävijää on informoitava käsittelystä.
- Laki ei vaadi tiettyä dokumenttia — se vaatii informoinnin. Tietosuojaseloste on vakiintunut tapa hoitaa se.
- Kerro perusasiat: kuka, mitä, miksi, kuinka kauan, kenelle ja mitkä ovat kävijän oikeudet.
- Mitä vähemmän keräät, sitä lyhyempi seloste riittää — esittelysivustolle kevyt versio.
Milloin tietosuojaseloste tarvitaan
Ratkaiseva kysymys ei ole yrityksen koko vaan se, käsitteletkö henkilötietoja. Henkilötieto on mikä tahansa tieto, josta ihmisen voi tunnistaa: nimi, sähköpostiosoite, puhelinnumero tai vaikka valokuva. Kun sivustollasi on yhteydenottolomake, jonka kautta kävijä lähettää nimensä ja sähköpostinsa, käsittelet henkilötietoja — ja silloin kävijälle on kerrottava, mitä niille tapahtuu.
Tämä koskee myös pientä yritystä ja toiminimeä. Kokorajaa ei ole samalla tavalla kuin joissakin muissa velvoitteissa, koska kyse on kävijän oikeudesta tietää, kuka hänen tietojaan käsittelee ja miksi. Hyvä uutinen on, että pienen esittelysivuston seloste on lyhyt ja yksinkertainen, koska käsittelyäkin on vähän.
Milloin seloste voi olla hyvin kevyt
Jos sivustollasi ei ole lainkaan lomakkeita eikä kävijäseurantaa, käsiteltäviä henkilötietoja on hyvin vähän tai ei ollenkaan. Silloin selosteesta tulee lyhyt, ja se voi keskittyä lähinnä yhteydenottoihin. Mitä enemmän sivustolla kerätään tietoa — analytiikkaa, uutiskirjeen tilaajia, ajanvarauksia — sitä laajempi selosteesta luonnollisesti tulee.
Mitä laki oikeasti edellyttää
Tässä on hyödyllistä erottaa dokumentin nimi ja itse velvoite. Tietosuojavaltuutetun toimiston mukaan asetuksessa ei säädetä rekisteri- eikä tietosuojaselosteesta. Asetuksessa säädetään kuitenkin rekisterinpitäjän velvollisuudesta informoida rekisteröityjä. Toisin sanoen laki ei määrää nimeä "tietosuojaseloste", mutta se velvoittaa kertomaan kävijälle, miten hänen tietojaan käsitellään.
Käytännössä tämä velvoite hoidetaan juuri sivulla, jota on tapana kutsua tietosuojaselosteeksi. Nimi on vakiintunut ja kävijöille tuttu, joten sitä kannattaa käyttää, vaikka laki puhuu informoinnista. Olennaista ei ole otsikko vaan se, että kävijä saa selkeästi tarvitsemansa tiedon silloin, kun hän luovuttaa tietonsa.
Mitä selosteessa kerrotaan
Tietosuojavaltuutetun toimiston mukaan kävijälle kerrotaan tyypillisesti ainakin nämä asiat. Lista näyttää pitkältä, mutta pienelle yritykselle jokainen kohta on yleensä muutama lause.
Rekisterinpitäjän eli yrityksesi nimi ja yhteystiedot. Näin kävijä tietää, kehen ottaa yhteyttä tietojaan koskevissa asioissa.
Esimerkiksi nimi ja sähköposti yhteydenottoon vastaamista varten. Kerro myös millä perusteella tietoja käsitellään.
Kerro säilytysaika tai peruste, jolla se määräytyy. Tietoja ei ole tarkoitus säilyttää pidempään kuin on tarpeen.
Jos tietoja käsittelee esimerkiksi sähköpostipalvelu tai muu kumppani, se kerrotaan. Samoin mahdollinen siirto EU:n ulkopuolelle.
Oikeus tarkastaa, korjata ja poistaa tiedot, oikeus tehdä valitus valvontaviranomaiselle sekä oikeus peruuttaa suostumus, jos käsittely perustuu suostumukseen.
Haluatko sivut, joissa perusasiat ovat kunnossa?
Teemme kotisivut valmiiksi puolestasi ja huolehdimme, että tarvittavat sivut ovat paikallaan. Näet esikatselun 1–2 arkipäivässä, maksutta ja sitoumuksetta.
Pyydä maksuton esikatselu →Näin kirjoitat selosteen selkeäksi
Yleisin virhe on kopioida joltain toiselta sivustolta pitkä ja monimutkainen seloste, joka kuvaa käsittelyä, jota omalla sivustolla ei edes tehdä. Tuloksena on dokumentti, joka on sekä epätarkka että kävijälle hyödytön. Parempi tapa on kuvata täsmälleen se, mitä omalla sivustolla oikeasti tapahtuu — ei enempää eikä vähempää.
Kirjoita selkokielellä. Kävijä ei etsi juridista tekstiä vaan vastausta kysymykseen "mitä tiedoilleni tapahtuu". Kun vastaus on suora ja lyhyt, se sekä täyttää velvoitteen että rakentaa luottamusta. Selkeä tietosuojaseloste on itse asiassa pieni luottamussignaali, samaan tapaan kuin sivuston tietoturva — se kertoo, että yritys hoitaa asiansa huolella.
Tietosuojaseloste ja evästebanneri ovat eri asioita
Nämä kaksi sekoitetaan usein. Tietosuojaseloste kertoo, miten henkilötietoja käsitellään. Evästebanneri taas kysyy luvan seurantaan liittyville evästeille. Voit tarvita toisen, molemmat tai et kumpaakaan riippuen siitä, mitä sivustolla tehdään. Jos sivustolla on lomake muttei kävijäseurantaa, saatat tarvita selosteen muttet banneria. Evästeiden puolta käsitellään erikseen artikkelissa onko evästebanneri pakollinen.
Mihin seloste sijoitetaan
Seloste kannattaa laittaa omalle sivulleen ja linkittää se kahteen paikkaan: sivuston alatunnisteeseen, josta kävijät osaavat sitä etsiä, ja sinne missä tietoja kerätään, kuten yhteydenottolomakkeen yhteyteen. Näin kävijä löytää tiedon juuri silloin, kun hän on luovuttamassa tietojaan — mikä on koko informoinnin tarkoitus.
Alatunniste on vakiintunut ja odotettu paikka, joten sieltä sitä osataan hakea myös myöhemmin. Selosteen ei tarvitse olla näkyvästi esillä etusivulla eikä häiritä muuta sisältöä; riittää, että se on helposti löydettävissä. Meidän tekemillämme sivuilla tietosuojaa käsittelevä sivu kuuluu vakiona kokonaisuuteen, joten sitä ei tarvitse erikseen muistaa.
Näin etenet
- Listaa mitä tietoja keräät. Käy läpi lomakkeet ja muut paikat, joissa kerätään nimiä, sähköposteja tai muita henkilötietoja.
- Kerro miksi ja millä perusteella. Selitä lyhyesti, mihin tietoja käytetään ja millä perusteella niitä käsitellään, esimerkiksi yhteydenottoon vastaamiseksi.
- Kerro säilytys ja luovutukset. Kerro kuinka kauan tietoja säilytetään ja luovutetaanko niitä ulkopuolisille.
- Kuvaa kävijän oikeudet. Kerro oikeus tarkastaa, korjata ja poistaa tiedot sekä oikeus tehdä valitus valvontaviranomaiselle.
- Julkaise selkeällä sivulla. Laita tiedot omalle sivulleen ja linkitä se sinne, missä tietoja kerätään, kuten yhteydenottolomakkeen yhteyteen.
Usein kysytyt kysymykset
Tarvitseeko yrityksen kotisivuille tietosuojaselosteen?
Jos sivustolla kerätään henkilötietoja esimerkiksi yhteydenottolomakkeella, kävijälle on kerrottava, miten hänen tietojaan käsitellään. Tietosuoja-asetus ei säädä juuri tietyn nimistä selostetta, mutta velvoittaa informoimaan rekisteröityjä. Käytännössä tämä toteutetaan selkeällä tietosuojaa käsittelevällä sivulla.
Vaatiiko laki nimenomaan tietosuojaselosteen?
Tietosuojavaltuutetun toimiston mukaan asetuksessa ei säädetä rekisteri- eikä tietosuojaselosteesta. Asetuksessa säädetään kuitenkin rekisterinpitäjän velvollisuudesta informoida rekisteröityjä. Vakiintunut tapa täyttää tämä on julkaista kävijälle suunnattu tietosuojaseloste, vaikka dokumentin nimeä ei laissa määrätä.
Mitä tietosuojaselosteessa pitää kertoa?
Yleensä kerrotaan rekisterinpitäjän nimi ja yhteystiedot, mitä tietoja kerätään, mihin tarkoitukseen ja millä perusteella, kuinka kauan tietoja säilytetään, kenelle niitä mahdollisesti luovutetaan sekä kävijän oikeudet. Mukaan kuuluu myös oikeus tehdä valitus valvontaviranomaiselle ja oikeus peruuttaa suostumus, jos käsittely perustuu suostumukseen.
Riittääkö esittelysivustolle kevyt tietosuojaseloste?
Mitä vähemmän tietoja kerätään, sitä lyhyempi seloste riittää. Jos sivustolla on vain yhteydenottolomake eikä kävijäseurantaa, seloste voi olla lyhyt ja selkeä. Olennaista on, että se kattaa juuri sen käsittelyn, jota sivustolla oikeasti tehdään — ei mitään ylimääräistä.
Mihin tietosuojaseloste sijoitetaan kotisivuilla?
Seloste kannattaa laittaa omalle sivulleen ja linkittää se sinne, missä tietoja kerätään, kuten yhteydenottolomakkeen yhteyteen ja sivuston alatunnisteeseen. Näin kävijä löytää sen helposti silloin, kun hän luovuttaa tietojaan. Linkki alatunnisteessa on vakiintunut ja odotettu paikka.
Yhteenveto: informointi ratkaisee, ei otsikko
Jos kotisivuillasi kerätään henkilötietoja, kävijälle on kerrottava, miten niitä käsitellään. Laki ei vaadi tiettyä dokumenttia nimeltä tietosuojaseloste, mutta se velvoittaa informoimaan — ja tietosuojaseloste on vakiintunut, kävijälle tuttu tapa hoitaa se.
Pidä seloste tarkkana ja lyhyenä: kuvaa juuri se, mitä omalla sivustollasi tapahtuu, selkokielellä. Mitä vähemmän keräät, sitä kevyempi seloste riittää — ja sitä helpompi se on pitää ajan tasalla. Selkeys ei ole vain velvoite, vaan myös luottamuksen osoitus kävijälle.