Ilman tietosuojalauseketta verkkosivustoltanne puuttuu asiakirja, jossa selostat, mitkä henkilötiedot kerät, mihin tarkoitukseen ja kuinka kauan. GDPR velvoittaa organisaatioita informoimaan vierailijoita ja asiakkaita tästä etukäteen; sitä kutsutaan informointiovelvollisuudeksi. Jos tämä tieto puuttuu, et voi osoittaa täyttäväsi tätä velvollisuutta.
Mitä käytännössä tapahtuu, riippuu siitä, kuka huomaa puutteen. Vierailija voi tehdä valituksen Tietosuojaviranomaiselle, liikekumppani voi kysyä asiasta tarjouskilpailussa, ja maksuntarjoaja tai mainosalusta voi kieltäytyä liittymästä verkkosivustoosi niin kauan kuin tietosuojalauseketta ei ole. Mikään näistä tilanteista ei ole kuvitteellinen; ne johtuvat ehdoista, joita kolmannet osapuolet jo asettavat, riippumatta siitä, mitä valvontaviranomainen ikinä tekisi.
Miksi tietosuojalauseke on enemmän kuin muodollisuus
Tietosuojalauseke on näkyvä todiste jostakin, jonka pitäisi jo valmiiksi tietää: mitkä tiedot verkkosivustosi kerää, millä lomakkeilla, evästeiden tai analytiikkatyökalujen kautta, ja mihin tarkoitukseen. Jos lauseke puuttuu, on todennäköistä, että myös tämä inventaario itsessään ei ole tehty. Se ei koske vain verkkosivustoa, vaan myös laajempaa kuvaa siitä, kuinka yrityksesi käsittelee henkilötietoja — asia, joka tulee esiin aina, kun etsit vastausta konkreettiseen GDPR-kysymykseen.
EDPB ja Tietosuojaviranomainen ovat julkaisseet ohjeita siitä, mitä tietosuojalausekkeessa tulee vähintään olla, kuten rekisterinpitäjän yhteystiedot, säilytysajat ja alanumeroitujen oikeudet. Nämä ohjeet eivät ole lakia, mutta valvontaviranomaiset soveltavat niitä arvioidessaan, onko informointiovelvollisuus täytetty.
Mitä käytännössä tapahtuu, kun lauseke puuttuu
Välittömimmät seuraukset harvoin toteutuvat valvontaviranomaisella, vaan niiden kanssa, joiden kanssa teet yhteistyötä. Vakuutusyhtiö, joka arvioi kyberturvapoliisiaan, kysyy usein tietosuojalausekkeesta osana asiakirjoja. Hankinnan järjestävä viranomainen voi tehdä samoin. Ja vierailija, joka miettii, mitä täytetyllä yhteydenottolomakkeella tapahtuu, voi puuttuvan selityksen vuoksi päättää olla tekemättä kanssasi liiketoimintaa tai tehdä valituksen.
Lisäksi puuttuva tietosuojalauseke on usein merkki siitä, että myös muut osat eivät ole kunnossa: ei yhteenvetoa siitä, mitkä SaaS-työkalut käsittelevät henkilötietoja, ei sopimuksia tiedonkäsittelijöiden kanssa, ei kirjattuja säilytysaikoja. Tämä on juuri sitä yhteyttä, jonka tietovirta, jossa on selvitys kustakin GDPR-aiheesta tekee näkyväksi: tietosuojalauseke seisoo harvoin yksinään.
Valvontaviranomaisen rooli
Tietosuojaviranomainen voi toimia, kun informointiovelvollisuutta ei noudateta, mutta miten ja milloin se tapahtuu, riippuu tapauksen olosuhteista eikä ole etukäteen ennustettavissa. Mitä on varmaa, on se, että tietosuojalauseen puuttuminen ei ole laiminlyönti, joka itsestään käy vähemmän näkyväksi verkkosivuston vierailijoiden määrän kasvaessa — pikemminkin päinvastoin.
Se, johtaako valitus tosiasiallisesti tutkintaan ja mikä olisi sen lopputulos, ei ole yleisesti sanottavissa. Tietyn tilanteen arvioimiseksi juristi tai Tietosuojaviranomainen itsensä on asianmukainen kontakti.
Kuinka ratkaiset tämän
Yksityisyysselosteen laatiminen edellyttää selkeää katsausta siihen, mitä verkkosivustollesi todella kerätään: yhteydenottolomakkeet, evästeet, verkkokauppa tilaustieto mukaan lukien, uutiskirje. Kun se katsaus on olemassa, seloste itse on yleensä nopea kirjoittaa. Siihen liittyvään kysymykseen siitä, mitä tietoja käytännössä käsittelet ja mitä välineitä käyttäen, auttaa se, että katsot, miten tämä katsaus kootaan, esimerkiksi sen kautta, kuinka tiedot ja järjestelmät dokumentoidaan.
Yksityisyysseloste ei ole lisäksi kertaluonteinen teksti. Uudet lomakkeet, uudet välineet tai uusi uutiskirjepalvelu muuttavat sitä, mitä kerätään, ja siten myös sitä, mitä selostteessa on oltava. Jos haluat, että se katsaus päivittyy verkkosivuston muutosten mukana, voit dokumentoida sen liiketoiminnalliseen tiliin jotta se ei jää kertaluonteiseksi toimenpiteeksi.
Gdpria.eu tarjoaa yksityisyysselosteen generaattorin maksutta, samoin kuin tietokannan ja muut perussekit. Jos haluat tietää, missä yrityksesi on tällä hetkellä, ilmainen pikatutkimus on hyvä aloituspiste nähdäksesi, mitkä osat ovat jo kunnossa ja mitkä tarvitsevat huomiota.