Lyhyt vastaus
Kyllä, GDPR on voimassa uudessa verkkosivustossasi tai verkkokaupassasi heti, kun siihen kulkee henkilötietoja. Näin tapahtuu nopeammin kuin monet yrittäjät ajattelevat: yhteydenottolomake, tilaus nimellä ja osoitteella, evästekyltti analytiikkaa varten tai chatikkuna, joka pyytää sähköpostiosoitetta — ne ovat kaikki henkilötietojen käsittelyä. Yrityksesi koko tai kävijöiden määrä ei vaikuta asiaan.
Se, mikä vaihtelee, on sen laajuus, mitä sinulta vaaditaan. Informatiivinen verkkosivusto, jolla on vain osoite ja puhelinnumero, vaatii vähän. Verkkokauppa, jolla on asiakastilit, maksutiedot, toimitusosoitteet ja uutiskirje, vaatii enemmän: siihen osallistuu useita osapuolia, jotka käsittelevät tietoja puolestasi, ja siihen liittyy sopimuksia.
Milloin tämä koskee sinua käytännössä
GDPR tulee kuvaan sillä hetkellä, kun verkkosivustosi tai verkkokauppasi tekee jotakin tietojen kanssa, jotka ovat jäljitettävissä henkilöön. Ajattele yhteydenottolomaketta, joka tallentaa nimen ja sähköpostiosoitteen, analytiikan työkalua, joka seuraa kävijöiden käyttäytymistä, mainostajien pikseliä, asiakkaiden kirjautumistiliä tai tilaamisprosessia, jossa osoite- ja maksutiedot tallennetaan ja lähetetään pakettitoimitusten tai maksuntarjoajien kautta.
Jokainen näistä osista tarkoittaa, että on olemassa osapuoli, joka käsittelee tietoja puolestasi: isäntäpalvelintoimittajasi, verkkokauppaalustasi, analytiikan toimittajasi, sähköpostimarkkinointityökalusi. Näille osapuolille on useimmissa tapauksissa oltava käsittelysopimus. Kuinka arvioit sopimusta ja mihin sinun tulisi kiinnittää huomiota, on selvitetty kohdassa tietokannan selitys kussakin tilanteessa.
Milloin tämä koskee sinua vähemmän
Puhtaasti informatiivinen verkkosivusto ilman lomakkeita, ilman seurantaevästeitä ja ilman kolmansia osapuolia, jotka seuraavat, käsittelee vähän tai ei lainkaan henkilötietoja. Siinä tapauksessa GDPR:n vaikutus on rajallinen. Mutta käytännössä tämä on harvinaista: useimmilla sivustoilla on ainakin yhteydenottolomake tai analytiikka-skripti, ja molemmat lasketaan jo käsittelyksi.
Se ei siis ole kysymys siitä, koskiiko tämä minua vai ei, vaan siitä, missä määrin. Yksinkertainen esittelyverkkosivusto vaatii lyhyen tietosuojakäytännön ja katsauksen käytettäviin työkaluihin. Verkkokauppa, jolla on asiakastilit ja useita toimittajia, vaatii kattavamman kuvan: mitä työkalua käsittelee mitä, kuka on prosessoija ja mihin tiedot tallennetaan.
Mitä tämä käytännössä tarkoittaa
Kun rakennat uutta verkkosivustoa tai verkkokauppaa, nousee yleensä kolme kysymystä samanaikaisesti. Ensinnäkin: mitkä työkalut ja toimittajat käsittelevät tietoja puolestasi ja onko sinulla jokaiselle niistä käsittelysopimus? Toiseksi: onko sivustolla tietosuojakäytäntö, joka selittää, mitä teet ja miksi? Kolmanneksi: onko tämä uusi käsittely merkitty käsittelyrekisteriin, jotta voit milloin tahansa näyttää, mitä tapahtuu?
Näihin kolmeen kysymykseen ei pitäisi vastata toisistaan riippumatta. Verkkokauppaalusta, maksuntarjoaja ja lähettäjä ovat usein kaikki kolme prosessoijaa, ja jokaiselle niistä tulee olla paikka rekisterissä. Jos jotakin menee vikaan matkan varrella — esimerkiksi siksi, että toimittaja lähettää tietoja suojaamattomasti — se on hetki, jolloin voit nopeasti arvioida, mitä on tapahtunut ja onko se ilmoitusvelvollisuuden alainen. Saat ensimmäisen viitteen siitä muutamilla kysymyksillä, jotka antavat heti suunnan.
Kuinka tämä liittyy olemassa oleviin velvoitteisiin
Uusi verkkosivusto tai verkkokauppa ei yleensä ole erillinen GDPR-velvoite, vaan se on laajentuminen siitä, mitä jo pätee. Jos yrityksellään käsitellään jo henkilöstötietoja tai kerätään jo asiakastietoja, verkkosivusto tulee sen päälle: uusia tietojenkäsittelijöitä, uusia tietoväliä ja siten täydennys rekisteriin ja olemassa oleviin tietojenkäsittelijöiden sopimuksiin. GDPR itse ja EDPB:n ja Datan suojaviranomaisen ohjaavat periaatteet muodostavat siinä tapauksessa lähtökohdan; kuinka nämä tiedot on järjestetty tälle alustalle ja mistä jokaisen osan lähde löytyy, luet kohdasta tiedot siitä, kuinka tieto on järjestetty.
Se, ovatko oman erityisen verkkosivuston tai verkkokaupan kaikki osat täysin GDPR-ehtojen mukaisia, on jotain, jonka voit parhaiten käydä läpi juristi kanssa tai, jos olet epävarma konkreettisesta käsittelystä, Datan suojaviranomaisen kanssa. Tämä artikkeli antaa selvennystä, ei oikeudellista neuvontaa.
Tarkista itse, missä seisot
Haluatko nähdä nopeasti, mitkä osat kuuluvat uuteen verkkosivustoon tai verkkokauppaan — mitkä työkalut, mitkä tietojenkäsittelijät, mitkä asiakirjat? Tee ilmainen pika-skannaus tai selaa aiheita tietovarastossa. Haluatko seurata tätä rakenteellisesti, kun rekisteri ja valvonta tulevat mukaan, voit avata liiketoiminnan tilin ja jatkaa siitä, missä nyt olet.