Jokainen yrittäjä on jo varmasti kuullut 25.5.2018 voimaan astuvasta GDPR:stä eli EU:n uudesta tietosuoja-asetuksesta nimeltä General Data Protection Regulation. Asetus vaikuttaa lähes kaikkiin yrityksiin, ja moni pienyrittäjä onkin kauhistunut uudistusta ja mahdollisia sanktioita.
Älä kuitenkaan suotta stressaa. Laki vaatii yrittäjältä tiettyjä asioita, mutta sen tarkoitus on ennen kaikkea selkeyttää yhteisiä sääntöjä Euroopan alueella ja varmistaa asiakkaiden oikeudet henkilötietojensa suhteen tänä aikana, kun dataa kerätään ennennäkemätön määrä eri palveluissa. Kun kerran kartoitat, mitä henkilötietoja keräät, miksi ja kauan niitä säilytät, olet jo pitkällä.
Sanktioiden ja sakkojen pelkääminen on myös turhaa. Pyri palvelemaan asiakastasi hyvin ja pitämään huolta hänen henkilötiedoistaan ja ole erityisen tarkka, jos käsittelet arkaluonteisia tietoja. Harva pienyrittäjä kuitenkaan kerää asiakkaistaan arkaluonteista dataa, vaan tyypillisiä henkilötietoja ovat esimerkiksi yhteystiedot, tilaustiedot ja ajanvaraukset.
Huomaa, että tämä teksti ei ole lakitekstiä eikä sitä pidä ymmärtää lainopillisena neuvona. Tekstin tarkoitus on auttaa pienyrittäjiä ymmärtämään, mistä uudessa tietosuoja-asetuksessa on kyse ja miten sitä pääpiirteissään noudatetaan.
Seuraavia askelia seuraamalla yrittäjä voi valmistautua GDPR:ään. Tärkeintä on kartoittaa, mitä tietoa keräät ja tehdä suunnitelma mahdollisen tietoturvaloukkauksen varalle ja dokumentoida, miten tietoja käsitellään yrityksessäsi.
Yrittäjänä sinulle kertyy asiakkaistasi henkilötietoja, kuten yhteystietoja, verkkokauppatilauksia, laskuja ja tehtyjä maksuja. Voi olla, että säilöt tietoja eri paikoissa ja sovelluksissa, kuten sähköpostissa ja osoitekirjassa.
Kartoita siis ensin, mitä dataa sinulla on ja missä.
Henkilötietojen käsittely ja säilytys voi perustua esimerkiksi suostumukseen, sopimuksen suorittamiseen tai lailliseen velvoitteeseen. Sinun pitää osoittaa, mihin datan kerääminen, käsittely ja säilyttäminen perustuu.
Arkaluonteiset henkilötiedot, kuten etniseen taustaan, poliittisiin mielipiteisiin liittyvä tai seksuaalielämään liittyvä data, vaativat erilaisen oikeusperusteen. Selvitä siis, keräätkö arkaluonteisia tietoja ja onko sinun tarpeen ylipäänsä kerätä niitä.
Jos henkilötietojen kerääminen perustuu suostumukseen, asiakkaan pitää antaa suostumus vapaaehtoisesti, selkeästi ja tietäen, mihin hän suostuu. Yrittäjänä sinun pitää tallentaa asiakkaan antama suostumus ja antaa hänelle myös oikeus peruuttaa suostumus yhtä helposti kuin hän on sen antanut.
Nykyaikana, kun tietoja säilytetään pääosin digitaalisesti, meistä on tullut datahamstraajia. Tietoja säilytetään vuosikausia, usein turhaan. Tämän estämiseksi yksi GDPR:n keskeisistä periaatteista on henkilötietojen säilyttämisen minimointi.
Kaikkien yritysten tulee päättää, kuinka kauan ne säilyttävät henkilötietoja. Säilytysaika voi tulla suoraan laista, alan käytännöistä tai ne voivat perustua esimerkiksi yrityksen omiin käytäntöihin.
Sinulla pitää siis olla pätevä syy säilyttää henkilötietoja. Samoin sinun pitää selvittää, kauan tarvitset tietoja ja pitää mielessä yllä mainittu tietojen säilyttämisen minimointi.
Kun et enää tarvitse henkilötietoja sitä tarkoitusta varten, miksi keräsit ne alunperin, sinun pitää poistaa tiedot – jos sinulla siis ei ole pätevää syytä niiden säilyttämiseen. Esimerkiksi laskujen säilytys kirjanpitoa varten on pätevä peruste.
Yksi syy, miksi GDPR luotiin, oli varmistaa, että ihmisillä on enemmän valtaa sen suhteen, mihin heidän henkilötietojaan käytetään. Tästä syystä GDPR antaa asiakkaallesi monia oikeuksia omien tietojensa suhteen.
Jos olet ulkoistanut osan yrityksesi toimintaan liittyvistä palveluista, on todennäköistä, että palveluntarjoajalla on pääsy jonkinlaisiin henkilötietoihin. Varmista tällöin, että sopimukset yrityksesi ja palveluntarjoajan välillä noudattavat uutta tietosuoja-asetusta.
Jos siirrät tietoja EU:n ulkopuolisiin maihin, sinun pitää varmistaa, että siirto on turvallinen. Tämä voi tarkoittaa yksinkertaisesti sitä, että käytät palvelua, joka säilöö henkilötietoja vaikkapa Yhdysvalloissa. Euroopan komissio päättää, mitkä turvatoimet ovat riittävät. EU:n ja Yhdysvaltojen väliset siirrot tehdään ns. Privacy Shield -järjestelyn alla, ja voit tarkistaa täältä, kuuluuko yhdysvaltalainen yritys järjestelyyn.
Komissio on myös julkaissut erilaisia mallisopimuksia, joiden perusteella tietoja voidaan siirtää EU:ssa toimivan yrityksen ja EU:n ulkopuolella toimivan yrityksen välillä. Nämä mallisopimukset ovat pienyrityksille joustava tapa taata riittävät turvatoimet. Pääset lataamaan mallit täältä.
Asiakkaallasi on oikeus tietää, mitä tietoja hänestä kerätään ja miten niitä käsitellään. Tämä tapahtuu yleensä tietosuojaselosteella, eli tässä ei ole sinänsä mitään uutta.
Tietosuojaselosteessa pitää olla tietyt pakolliset tiedot, kuten yrityksesi nimi ja yhteystiedot, datan käsittelyn syy ja lainmukainen peruste käsittelylle. Tietosuojaselosteen malli tulee löytymään Tietosuojavaltuutetun sivuilta, kunhan sisältö päivitetään GDPR:n mukaiseksi.
Henkilötietojen turvallisuus on keskeinen edellytys GDPR:n mukaiselle tietosuojakäytännölle. Ensimmäinen askel henkilötietojen turvallisuuden varmistamiseksi on niiden asianmukainen säilyttäminen ja käsittely tekniikan ja käytännön tasolla.
Varmista siis, etteivät ulkopuoliset pääse dataan käsiksi. Tämä ei ole pienyrityksessä rakettitiedettä, vaan maalaisjärjellä pääsee pitkälle: käytä turvallisia salasanoja, pidä tietokoneesi näyttö suojassa ja tarkastele kriittisesti, kenellä yrityksessäsi on oikeus käsitellä tietoja.
Jotta kerätyt henkilötiedot pysyvät turvassa, mieti kaksi kertaa, ennen kuin käytät avoimia verkkoyhteyksiä, sillä et tiedä, kuka pääsee tarkastelemaan kerättyjä henkilötietoja. Erilaiset petolliset toimintatavat, kuten urkinta, tietojenkalastelu ja niin kutsuttu sosiaalinen manipulointi (social engineering), vaarantavat datasi turvallisuuden, joten sinun on hyvä olla tietoinen riskeistä.
GDPR edellyttää, että jos yrityksessä tapahtuu tietoturvaloukkaus, yrittäjän pitää ilmoittaa siitä valvontaviranomaiselle eli Suomessa tietosuojavaltuutetulle 72 tunnin sisällä tapauksesta. Tietoturvaloukkaus tarkoittaa loukkausta, joka johtaa esimerkiksi tietojen vahingossa tapahtuvaan tai lainvastaiseen tuhoamiseen tai tietojen menetykseen.
Ilmoitus viranomaiselle on pakollinen, jos loukkaus asettaa asiakkaasi oikeudet ja vapaudet todennäköisesti riskiin. Asiakkaille pitää ilmoittaa, jos loukkaus aiheuttaa todennäköisesti korkean riskin.
Riskiin vaikuttavia tekijöitä on tietoturvaloukkauksen laatu: tietojen tuhoaminen, häviäminen tai muuttuminen, kuinka isoon määrään tietoa tai asiakkaita loukkauksella on vaikutusta, millaisia vaikutuksia asiakkaille tietoturvaloukkauksella voi olla, millaista tietoa loukkaus koskee ja niin edelleen. Riskin arviointiin on siis monia eri perusteita.
Lopuksi, rekisterinpitäjän pitää pystyä osoittamaan toimivansa GDPR:n vaatimuksien mukaisesti.
Käytännössä tämä tarkoittaa, että yrityksen pitää tallentaa ja dokumentoida kaikki henkilötietojen käsittelyn toimet, kartoittaa data ja perusteet sen käsittelylle, säilyttämisajalle ja tietojen siirrolle. Tähän sisältyvät myös mahdolliset sopimukset tietojen käsittelystä kolmansien osapuolten kanssa tai sopimukset EU:n ulkopuolelle siirrettyihin tietoihin liittyen.