Joka rakentaa uuden verkkosivuston tai verkkokaupan, ajattelee ensin suunnittelua, maksutapoja ja varastoa. GDPR-näkökulma tulee usein myöhemmin tai ei ollenkaan. Mitä silloin käytännössä tapahtuu: et voi antaa täydellistä vastausta, jos vierailija kysyy, mitä hänen tietojaan sinulla on, sopimuksesi isännöinti- ja analytiikkaosapuolten kanssa puuttuvat, ja evästeet jäävät ehkä asetetuksi ennen kuin vierailija on antanut siihen suostumusta. Nämä eivät ole abstrakteja riskejä, vaan tilanteita, joita käytännössä ilmaantuu melko pian.
Tässä ei ole kyse yhdestä sakkoa tai yhdestä valvontahetkestä. Kyse on sarjasta erillisiä kohtia, joissa asetus vaatii jotain, ja jotka tulevat näkyville vasta, kun joku kysyy niistä: asiakas, liikekumppani tai vierailija itse.
Tietosuojaseloste on näkyvä osa
Puuttuva tai epätäydellinen tietosuojaselostus on yleensä se, mikä ensimmäisenä huomataan, myös vierailijoiden puolelta. Mutta selostus on vain ulkopinta. Kulissien takana asetus vaatii muun muassa, että tiedät, mitkä osapuolet käsittelevät tietojasi puolestasi, ja että sovit siitä kirjallisesti. Ilman näitä sopimuksia sinulla ei ole näkyvyyttä siihen, mitä isännöintiyritys, sähköposti-työkalu tai maksutoimittaja tarkalleen ottaen tekee vierailijoittesi tiedoilla.
Evästeet ja seurantatyökalut ilman suostumusta
Verkkokauppa tai verkkosivusto käyttää usein analytiikkaa, mainospikseleitä tai chat-widgetejä, jotka keräävät tietoja jo sivun latautuessa. Jos näin tapahtuu ennen kuin vierailija on tehnyt valinnan, niin se ennakoi suostumusta, jota asetus siihen vaatii. Tämä on yksi niistä kohdista, joihin valvontaviranomaiset yleisiin ohjeisiin nimenomaisesti katsovat, ilman että tämä tarkoittaa mitään yksittäisestä tilanteesta.
Ei tietojen käsittäjän sopimusta, ei yleiskatsausta
Jokainen työkalu, joka käsittelee vierailijoittesi tai asiakkaittesi tietoja — paketti-seuranta-järjestelmä, uutiskirjetyökalu, arviointialusta — on yleensä tietojen käsittäjä. Asetus vaatii, että sinulla on sen kanssa tietojen käsittäjän sopimus. Jos se puuttuu, et vain puutu dokumentista, vaan myös yleiskatseista siitä, kuka säilyttää mitä tietoja missä. Tämä yleiskatsaus on juuri sitä, mitä käsittelytoimintojen rekisteri tekee näkyväksi, ja sitä pyytävät myös asiakkaat tai ostajat. Halutessasi nähdä, miltä tällainen sopimus käytännössä näyttää, voit käydä tietopankin läpi aiheen mukaan.
Jos sitten jotain menee pieleen
Verkkokauppa käsittelee yleensä enemmän tietoja kuin tavallinen verkkosivusto: nimeä, osoitetta, maksutietoja, joskus syntymäpäivää. Jos jotain menee pieleen jollekin näistä tietoja käsitteleville osapuolille, tietomurron ilmoitusvelvollisuus tulee huomioon sen mukana olevan määräajan kanssa. Ilman yleiskatsausta siitä, mitkä työkalut käsittelevät mitä tietoja, on vaikea nopeasti määrittää, pitääkö ja miten siihen reagoida. Ensimmäisen käsityksen tilanteesta saat muutamalla lyhyellä kysymyksellä tilanteesta.
Vierailijoiden kysymykset, joihin et voi vastata
Jokaisella vieraajalla ja asiakkaalla on oikeus kysyä, mitä tietoja sinulla on hänestä, tai pyytää poistamista. Ilman rekisteriä ja selkeyttä siitä, mitkä työkalut säilyttävät tietoja, on sellainen pyyntö vaikea vastata täysin asetuksen määräajassa. Tämä ei kosketa vain suhteen tuohon yksittäiseen vieraajaan, vaan myös kuvaa, jonka liikekumppani tai vakuutusyhtiö saa yrityksestäsi kysyttäessä.
Missä tämä yleensä puristaa
Käytännössä harvoin kyse on yhdestä suuresta puutteesta. Se on kasautuminen: puuttuva sopimus täällä, liian aikasin asetettu evästee siellä, ei näkemystä siitä, missä tiedot tarkalleen ovat. Jokainen osa erikseen näyttää pieneltä, mutta yhdessä ne vaikeuttavat vastaamista kysymykseen — vierailijan, asiakkaan tai valvontaviranomaisen puolelta — täydellisesti. Kuinka tietojen perusturvallisuus liittyy tähän, voit lukea tietojen turvallisuutta koskevalla sivulla.
Tämä teksti on yleinen kuvaus, ei juridista neuvontaa verkkosivustostasi tai verkkokaupastasi. Oman tilanteesi arvioinnissa voit ottaa yhteyttä juristiin tai Tietosuojavaltuutetun toimistoon.
Haluatko ensin nähdä, missä verkkosivustosi tai verkkokauppasi on tällä hetkellä? Ilmainen pika-skannaus antaa muutamassa minuutissa indikaation, ilman että sinun tarvitsee luoda tiliä.