Mitkä palvelut kuuluvat tietosuojaselosteeseen?

Jokainen upotettu kolmannen osapuolen palvelu, joka käsittelee henkilötietoja — analytiikka, mainonta, fontit, kartat, chat, CDN, isännöinti — on mainittava tietosuojaselosteessa.

Tietosuojaseloste ja suostumusbanneri vastaavat kahteen eri kysymykseen. Banneri säätelee, saako palvelu ylipäätään latautua (suostumus TDDDG:n 25 §:n mukaan). Tietosuojaseloste täyttää GDPR:n 13 artiklan mukaisen tiedonantovelvollisuuden — sen on mainittava myös palvelut, jotka toimivat muulla perusteella kuin suostumuksella: hosting, CDN, palvelinpuolen roskapostisuodatin, fonttien toimitus. Palvelu, joka ei tarvitse banneria, voi silti kuulua tietosuojaselosteeseen.

Tiedot kustakin palvelusta noudattavat kiinteää kaavaa: palveluntarjoajan nimi ja osoite, käsittelyn tarkoitus, oikeusperuste (suostumus, sopimus, oikeutettu etu), käsiteltävien tietojen luokat, säilytysaika, siirretäänkö tietoja kolmanteen maahan ja minne ja millä perusteella, sekä rekisteröidyn oikeudet mukaan lukien peruuttaminen. Jos jokin näistä kohdista puuttuu, seloste on siltä osin puutteellinen — ja se on itsenäinen, sakolla rangaistava rikkomus riippumatta siitä, oliko itse liittäminen sallittua.

Yleisin virhe on vanhentunut lista. Palveluja tulee lisää liitännäisten, Tag Managerin tai teemapäivityksen kautta ilman, että tietosuojaselostetta päivitetään. Päinvastoin siellä on usein vielä työkaluja, jotka on jo aikoja sitten poistettu. Käytännöllinen vertailu: lataa sivu yksityisessä ikkunassa, kirjaa „Verkko“-välilehdellä kaikki vieraat isännät ja tarkista ne tietosuojaselostetta vasten — vähintään jokaisen suuremman sivustomuutoksen jälkeen.

Onko tämä riski?

GDPR 13 art. vaatii tietoja tarkoituksesta, oikeusperusteesta, vastaanottajista, säilytysajasta ja kolmannen maan siirrosta. Puutteellinen tietosuojaseloste on itsenäinen rikkomus — riippumatta siitä, onko itse upotus laillinen.

Mitä voit tehdä

• Laadi täydellinen lista kaikista upotetuista palveluista (myös niistä, jotka tulevat lisäosan tai tunnistehallinnan kautta).
• Per palvelu: lisää toimittaja, tarkoitus, oikeusperuste, säilytysaika, vastaanottajamaa.
• Ylläpidä tietosuojaselostetta jokaisella sivuston muutoksella.
• Vertaa säännöllisesti, vastaavatko todella ladatut palvelut tietosuojaselostetta.

Usein kysytyt kysymykset

Pitääkö minun kirjoittaa tietosuojaselosteeseen myös hosting ja CDN?

Kyllä. Hosting-palvelu ja CDN käsittelevät kävijöiden IP-osoitteita ja ovat GDPR:n 13 artiklan tarkoittamia vastaanottajia. Ne eivät tarvitse suostumusbanneria, mutta kuuluvat selosteeseen tarkoituksen, oikeusperusteen ja mahdollisen kolmannen maan siirron kanssa.

Riittääkö tietosuojaselosteen generaattori?

Lähtökohtana kyllä. Luodut tekstit kattavat vakiopalvelut, mutta ne on mukautettava tosiasiassa käytettyihin työkaluihin ja pidettävä ajan tasalla. Generaattori ei korvaa inventaariota eikä oikeudellista tarkastusta.

Mitä tapahtuu puutteellisen tietosuojaselosteen kohdalla?

Se on itsenäinen GDPR-rikkomus 13 artiklan mukaan, josta valvontaviranomaiset voivat määrätä sakon — vaikka itse tietojenkäsittely olisi laillista. Käytännössä etusijalla ovat aluksi huomautukset ja kehotukset.

Kuinka usein tietosuojaseloste on tarkistettava?

Jokaisen muutoksen jälkeen, joka lisää tai poistaa palveluja, ja lisäksi kiinteässä syklissä (esim. puolivuosittain). Rutiinitarkistukseen riittää „Verkko“-välilehdellä ladattujen vieraiden isäntien lyhyt vertailu selosteeseen.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.