TIETOSUOJA-ASETUKSEN VELVOITTEET PIENYRITTÄJÄLLE – OSA 6
Rekisteröidyllä on oikeus saada tietoa henkilötietojen käsittelystä.
EU:n yleinen tietosuoja-asetus ei edellytä tietosuojaselosteen laatimista, mutta rekisteröityjä täytyy kuitenkin informoida henkilötietojen käsittelystä.
Informointiin tarkoitettu asiakirja tai verkkosivuilla oleva rekisteröidyn informointiin tarkoitettu teksti on tavanomaisesti ristitty tietosuojaselosteeksi, mutta sen voi halutessaan nimetä myös toisin.
Tässä tekstissä puhutaan selkeyden vuoksi tietosuojaselosteesta, joka on käsitteenä ymmärrettävämpi, kuin esimerkiksi ”rekisteröidyn informointiin tarkoitettu kirjallinen kuvaus”.
Jos tietoja käytetään viestintään rekisteröidyn kanssa, informointi hoidetaan silloin, kun rekisteröityyn ollaan ensimmäistä kertaa yhteydessä.
Viestinnän alussa rekisterinpitäjän täytyy antaa ainakin kaikkein tärkeimmät tiedot
- henkilötietojen käsittelytarkoitusten yksityiskohdat
- rekisterinpitäjän identiteetti
- tiedot rekisteröidyn oikeuksista
- tiedot henkilötietojen käsittelyn merkittävimmästä vaikutuksesta tai käsittelystä, joka voi tulla rekisteröidylle yllätyksenä.
Jos rekisteröityyn ollaan ensimmäisen kerran yhteydessä esimerkiksi puhelimitse, nämä tiedot voidaan antaa puhelun aikana, ja loput tiedot muiden keinojen avulla. Henkilölle voidaan esimerkiksi lähettää sähköpostilla tietosuojaseloste, tai linkki rekisterinpitäjän verkossa julkaisemaan monitasoiseen tietosuojaselosteeseen.
Tietosuoja-asetuksen vaatimuksena on toimittaa rekisteröidylle kaikki henkilötietojen käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa.
Olet varmaan lukenut tämän saman jargonin usein, mutta avataanpa asiaa hieman. Nykyaikana yhä useampi on huolissaan siitä, mitä tietoja heistä kerätään, ja mihin niitä käytetään. Huoli ei ole lainkaan turha, sillä tietosuojassa ja/tai rekisteröidylle annettavissa tiedoissa on usein puutteita.
On erittäin yleistä, että tietosuoja-asiakirjat eivät ole lain ja asetuksen mukaisia, vaikka asiat olisikin käytännössä hoidettu lainmukaisesti. Tavanomaista on, että tietosuojaselosteen mallia katsotaan jonkun muun (puutteellisesta) tietosuojaselosteesta.
Jos asiakirjoissa on puutteita, voi asiakas olettaa tietosuojan olevan retuperällä. Virheellinen käsitys voidaan helposti korjata asianmukaisten tietosuoja-asiakirjojen avulla.
Miten rekisteröityä kuuluu informoida ja millainen tietosuojaselosteen kuuluu olla?
- Informaatio koko käsittelyn ajan: Rekisteröityä informoidaan ennen käsittelyn aloittamista tai aloitushetkellä. Lisäksi rekisteröityä informoidaan tarpeen mukaan, erityisesti muutos- ja poikkeamatilanteissa.
- Velvoite toimittaa kirjallinen tietosuojaseloste: Tiedot on toimitettava kirjallisesti, joko sähköisesti tai paperiversiona. Rekisteröidyn täytyy löytää informaatio helposti (koko käsittelyn ajan).
- Informointi suullisesti rekisteröidyn pyynnöstä: Rekisteröidyn pyynnöstä tiedot voidaan antaa suullisesti, edellyttäen että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Myös suullista tietoa voidaan antaa automatisoidusti, eli esimerkiksi nauhoitteena.
- Käsittelyn laajuus ja riskit: Rekisteröidyn täytyy ymmärtää käsittelyn riskit, säännöt, laajuus ja suojatoimet, sekä käsittelyn seuraukset. Rekisteröidyn täytyy olla tietoinen käsittelytavoista, jotka voivat liittyä henkilötietojen suojaan liittyviin perusoikeuksiin ja vapauksiin.
- Informaation on oltava rehellistä ja täsmällistä: Henkilötietojen käsittelystä annettu tieto ei saa olla harhaanjohtavaa. Henkilötietojen käsittelyä ei saa peitellä, eikä käsittelystä saa antaa tietoa valikoivasti, rekisteröityä manipuloivalla tavalla.
- Läpinäkyvät tiedot: Henkilötietojen käsittelyssä läpinäkyvyys tarkoittaa sitä, että rekisteröity saa henkilötietojensa käsittelystä mahdollisimman kattavan ja ymmärrettävän kuvan.
- Selkeästi, erillään muusta tiedosta: Tietosuojaseloste on esitettävä selkeästi erillään muusta tiedosta, kuten sopimusmääräyksistä, yleisistä käyttöehdoista tai myyntipuheesta.
- Rekisteröidyn täytyy tietää käyttötarkoitus: Rekisteröidyn täytyy tietää mihin tarkoitukseen hänen tietojaan käytetään. Lisäksi rekisteröidyn täytyy saada tietoa siitä, miten tietoja luovutuksen jälkeen käsitellään.
- Rekisteröidyn oikeudet: Rekisteröityä täytyy informoida hänen oikeuksistaan, sekä kertoa miten hän voi niitä käyttää.
Lue lisää: Tietosuojatyöryhmän tiivistetty ohje tietosuojaselosteen sisällöstä – Informointivelvoitteen edellyttämät tiedot ja tietosuoja.fi/rekisteroidyn-oikeudet-eri-tilanteissa
"Tietosuojatyöryhmä suosittelee, että erityisesti tietosuojaselosteissa rekisteröidyille annettavien tietojen ryhmät tulisi yhdistää toisiinsa monitasoisesti sen sijaan, että kaikki selosteen tiedot esitettäisiin näytöllä yhdellä kertaa."
Yksitasoinen ja monitasoinen tietosuojaseloste
Yksitasoisessa tietosuojaselosteessa kaikkien henkilötietoryhmien tiedot ovat samalla verkkosivulla / samassa asiakirjassa. Jos samassa selosteessa on useita henkilötietoryhmiä, saattaa tekstin saaminen ymmärrettävään muotoon olla haasteellista.
Siksi suosituksena on, että selosteita laaditaan tarpeen mukaan useampi, eli eri tietoryhmille / henkilötietoryhmille omansa. Tärkeintä on, että rekisteröity ymmärtää selvästi, mitä tietoja juuri hänestä kerätään, millä perusteella ja mihin hänestä kerättyjä tietoja käytetään.
Verkkosivuille tietosuojaselosteen voi asentaa ns. monitasoisesti, jolloin henkilö saa valita luettavakseen vain itseään koskevat tiedot, esimerkiksi alasivuina. Asianmukaista on, että esimerkiksi yrityksen sähköpostilistalle liittyvälle, ei anneta luettavaksi asiakirjaa, jossa on tiedot koko yrityksen henkilötietojen keräämisestä.
Lue lisää osasta 7: Yrityksen verkkosivut ja GDPR | Liidimagneetit, evästebannerit, lomakkeet ja sivujen GDPR-informaatio
Monitasoinen tietosuojaseloste sisältyy GDPR helposti Tietosuojapaketteihin, sekä GDPR kuntoon kuukaudessa -verkkovalmennukseen.
Yksitasoisen tietosuojaselosteen suurimmat ongelmat
Rekisteröity ei ymmärrä
- mitä henkilötietoja juuri hänestä kerätään
- millä perusteella juuri hänen tietonsa kerätään
- mihin tarkoituksiin juuri hänen tietojaan käytetään.
- mihin juuri hänen tietojaan luovutetaan.
- mitä oikeuksia juuri hänellä on.
Lisäksi rekisteröity saattaa joutua lukemaan paljon ylimääräistä tekstiä, joka ei koske häntä mitenkään.
Kuinka tehdään tietosuojaseloste?
- Kartoita kokonaiskuva. Mieti mitä henkilötietoja missäkin tilanteessa käsitellään, miten tiedot on saatu ja kenelle niitä luovutetaan, ja miten niitä luovutuksen jälkeen käsitellään.
- Suunnittele rekisteröityjen ryhmät / tietoryhmät ja selosteiden / alasivujen määrä.
- Tee otsikot. Otsikoista ei ole mitään varsinaisia määräyksiä, eli pääasia on että kieli on ymmärrettävää ja että rakenne on selkeä ja looginen. Voit hyödyntää myös valmista pohjaa.
- Kirjoita tekstit otsikoiden alle. Voit tehdä raakaversion ensin vapaammin tai vaikka ranskakalaisilla viivoilla, eli laitat ensin muistiin kaikki tarvittavat asiat.
- Tarkasta tämän sivuston ohjeista ja linkeistä, onko kaikki tarpeelliset asiat kirjattu. Voitko lisätä puuttuvia tietoja jonkin otsikon alle (muista pysyä otsikon aiheessa), vai tarvitsetko kokonaan uuden otsikon?
- Muotoile teksti. Lue myös muotoiluun ja esitystapaan liittyvät ohjeet linkeistä.
- Jos selosteessasi on useita ryhmiä, tee vielä tarkastus, eli katso vielä yläpuolella oleva lista: ”Yksitasoisen tietosuojaselosteen suurimat ongelmat”. Jos löysit vastaavia virheitä, tee tarvittavat korjaukset.