Pienyrittäjän opas tietosuojaselosteen laatimiseen

Jos pieni yrityksesi kerää minkäänlaisia henkilötietoja – sähköpostiosoitteita, yhteydenottolomakkeita tai vaikka analytiikkaevästeitä – sinulla on lakisääteinen velvollisuus laatia tietosuojaseloste. Se ei ole pelkkä hyvä käytäntö, vaan yleisen tietosuoja-asetuksen (GDPR) mukainen lakisääteinen vaatimus.

Tässä oppaassa käymme vaihe vaiheelta läpi, miten kirjoitat GDPR:n vaatimukset täyttävän tietosuojaselosteen, joka myös rakentaa käyttäjien luottamusta.

---

---

Mikä tietosuojaseloste on ja miksi sillä on merkitystä?

Tietosuojaseloste on oikeudellinen asiakirja, joka kertoo:

• Mitä henkilötietoja keräät
• Miksi keräät niitä
• Miten käytät, tallennat ja suojaat niitä
• Jaatko niitä kolmansille osapuolille
• Miten käyttäjät voivat tarkastella, muokata tai poistaa tietojaan

Jos yrityksesi palvelee EU:ssa sijaitsevia käyttäjiä, GDPR edellyttää, että annat nämä tiedot selkeästi ja läpinäkyvästi.

---

Vaihe vaiheelta: näin kirjoitat tietosuojaselosteen pienyrityksellesi

Vaihe 1: luettele keräämäsi henkilötiedot

Aloita tunnistamalla kaikki henkilötiedot, joita keräät suoraan tai välillisesti:

• Koko nimi
• Sähköpostiosoite
• Puhelinnumero
• IP-osoite
• Selain- tai laitetiedot
• Sijainti (jos käytät maantieteellistä kohdennusta)
• Maksutiedot (jos myyt tuotteita tai palveluja)

---

Vaihe 2: kerro, miksi keräät näitä tietoja

Kerro käyttäjille tietojen keruun tarkoitus. Ole selkeä ja täsmällinen.

Yleisiä syitä ovat:

• Yhteydenottoihin vastaaminen
• Tilausten tai maksujen käsittely
• Markkinointiviestinnän lähettäminen (suostumuksella)
• Verkkosivuston liikenteen analysointi
• Lakisääteisten velvoitteiden täyttäminen

Sinun on myös määritettävä käsittelyn oikeusperuste GDPR:n mukaan, kuten suostumus, sopimuksen täyttäminen tai oikeutettu etu.

---

Vaihe 3: kerro tietojen jakamisesta kolmansille osapuolille

Käytätkö esimerkiksi seuraavia työkaluja:

• Google Analytics?
• Facebook Pixel?
• Mailchimp tai Klaviyo?
• Stripe tai PayPal?

Jos kyllä, sinun on nimettävä nämä kolmannet osapuolet ja selitettävä, mitä tietoja jaetaan ja miksi. Kerro myös, siirretäänkö tietoja EU:n ulkopuolelle ja mitä suojatoimia sinulla on käytössä (kuten vakiosopimuslausekkeet).

---

Vaihe 4: kerro käyttäjille heidän oikeuksistaan

GDPR:n mukaan yksityishenkilöillä on oikeus:

• Tutustua henkilötietoihinsa
• Oikaista virheelliset tiedot
• Pyytää tietojensa poistamista
• Rajoittaa tietojen käsittelyä tai vastustaa sitä
• Saada kopio tiedoistaan (tietojen siirrettävyys)

Lisää selkeä yhteydenottotapa (yleensä sähköposti tai yhteydenottolomake), jonka kautta käyttäjät voivat käyttää oikeuksiaan.

---

Vaihe 5: lisää evästekäytäntö (tai osio)

Evästeet keräävät usein henkilötietoja, ja ne on otettava huomioon GDPR:ssä. Tietosuojaselosteessasi tulisi:

• Selittää, minkä tyyppisiä evästeitä käytät
• Kertoa niiden tarkoitus (esim. toiminnalliset, analytiikka, markkinointi)
• Täsmentää, asetetaanko evästeet ennen vai jälkeen käyttäjän suostumuksen
• Linkittää yksityiskohtaiseen evästekäytäntöön tai asetuskeskukseen

CookiePalin kaltaiset suostumustenhallintaratkaisut auttavat automatisoimaan suostumusten keruun ja tallentamaan käyttäjien asetukset GDPR-vaatimustenmukaisuutta varten.

---

Vaihe 6: kerro, miten tallennat ja suojaat tietoja

Mainitse:

• Missä tietoja säilytetään (palvelimet, pilvi, EU:ssa vai sen ulkopuolella)
• Miten ne on suojattu (salaus, rajoitettu pääsy)
• Kuinka kauan säilytät tietoja (perusteluineen)

Läpinäkyvyys rakentaa luottamusta ja tukee osoitusvelvollisuutta GDPR:n mukaan.

---

Vaihe 7: tee tietosuojaselosteestasi helposti löydettävä

Varmista, että selosteesi on:

• Linkitetty verkkosivuston alatunnisteessa
• Saatavilla kaikilla sivuilla, myös rekisteröitymisen yhteydessä
• Kirjoitettu yksinkertaisella, selkeällä kielellä
• Merkitty viimeisimmällä päivityspäivämäärällä

---

Esimerkki tietosuojaselosteen rakenteesta

Tässä yksinkertaistettu runko, jota voit noudattaa:

• Johdanto
• Mitä henkilötietoja keräämme
• Miksi keräämme tietojasi (käyttötarkoitukset + oikeusperuste)
• Keiden kanssa jaamme tietojasi
• Evästeet ja seuranta
• Oikeutesi GDPR:n mukaan
• Miten voit ottaa meihin yhteyttä
• Tämän selosteen päivitykset

---

Yhteenveto

Tietosuojaselosteet eivät ole vain suurille yrityksille – ne ovat välttämättömiä jokaiselle pienyritykselle, joka kerää henkilötietoja. Kun GDPR:n valvonta jatkuu kaikkialla EU:ssa, läpinäkyvä ja hyvin kirjoitettu tietosuojaseloste on ratkaisevan tärkeä sekä lainmukaisuuden että käyttäjien luottamuksen kannalta.

Kertomalla selkeästi, mitä tietoja keräät, miksi ja miten niitä käsitellään, osoitat osoitusvelvollisuuden täyttämistä ja kunnioitusta käyttäjiesi yksityisyyttä kohtaan.

---

Lähteet

Virallinen GDPR-teksti (artiklat 12–22)
https://eur-lex.europa.eu/eli/reg/2016/679/oj

Euroopan komissio – tietosuojasäännöt
https://commission.europa.eu/law/law-topic/data-protection_en

ICO (Ison-Britannian GDPR) – oikeutesi tutustua tietoihisi
https://ico.org.uk/your-data-matters/your-right-of-access/

CNIL (Ranskan tietosuojaviranomainen) – evästeet ja muut seurantatekniikat
https://www.cnil.fr/en/cookies-and-other-tracking-devices