Mitä blogisi tietosuojaselosteessa TÄYTYY kertoa GDPR:n mukaan

Yksinkertainen, ei-juridinen opas verkkosivustojen omistajille avoimen selosteen laatimiseen, joka suojaa sekä lukijoitasi että liiketoimintaasi.

---

Miksi blogisi ei ole vapautettu vaatimuksista

Myytti: ”Olen vain bloggaaja, en tarvitse tietosuojaselostetta.”

Todellisuus: Jos käytät Google Analyticsia, sallit kommentit tai sinulla on sähköpostin tilauslomake, keräät henkilötietoja (IP-osoitteita, sähköpostiosoitteita, nimiä). Tämä tuo sinut esimerkiksi GDPR:n kaltaisten merkittävien tietosuojalakien piiriin.

Selosteen rooli: Se on keskeinen oikeudellinen asiakirja, jota GDPR:n lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaate (5 artikla) edellyttää ja joka selittää, miten ja miksi keräät tietoja.

---

Pakolliset osiot: oikeudelliset velvoitteesi

Vaatimustenmukaisen tietosuojaselosteen on vastattava tiettyihin kysymyksiin käyttäjän näkökulmasta. Nämä osiot täyttävät oikeuden saada tietoa (GDPR:n 12 ja 13 artikla).

---

1. Perusasiat (kuka olet)

Henkilöllisyys ja yhteystiedot:

• Vaatimus: Kerro selkeästi, kuka on rekisterinpitäjä (sinä tai yrityksesi nimi).
• Toimenpide: Tarjoa käyttäjille helposti löydettävä tapa ottaa sinuun yhteyttä tietosuojakysymyksissä (sähköpostiosoite).

Viimeisin päivityspäivämäärä:

• Vaatimus: Aseta viimeisin päivityspäivämäärä näkyvästi sivun yläosaan. Näin täytät velvoitteen ilmoittaa käyttäjille muutoksista.

---

2. Mitä keräät ja miksi (läpinäkyvyys)

Kerättävien tietojen luokat:

• Vaatimus: Luettele kaikki keräämäsi henkilötietojen tyypit, olivatpa ne suoria tai epäsuoria.

Esimerkkejä blogista: Nimet ja sähköpostiosoitteet (lomakkeista), IP-osoitteet (analytiikasta tai kommenteista), kommenttien sisältö, evästetunnisteet, selaimen tyyppi ja laitetiedot.

Tarkoitus ja oikeusperuste (GDPR:n ydin):

• Vaatimus: Selitä jokaisesta tietotyypistä, miksi sitä kerätään ja mihin kuudesta oikeusperusteesta tukeudut.

Esimerkkejä:

• Sähköpostiosoite → Tarkoitus: uutiskirjeiden lähettäminen → Oikeusperuste: käyttäjän suostumus.
• IP-osoite → Tarkoitus: verkkosivuston turvallisuus ja väärinkäytösten ehkäisy → Oikeusperuste: oikeutettu etu.

Evästeet ja seurantateknologiat:

• Vaatimus: Kerro, että käytät evästeitä (ja vastaavia teknologioita, kuten seurantapikseleitä).
• Toimenpide: Selitä niiden tarkoitus (esim. toiminnallisuus, analytiikka, mainonta) ja lisää linkki erilliseen evästekäytäntöösi tai suostumustenhallintaratkaisusi (CMP) asetussivulle.

Tietojen jakaminen ja säilytys

Tietojen jakaminen kolmansille osapuolille:

• Vaatimus: Kerro kaikista ulkoisista palveluista, jotka käsittelevät käyttäjiesi tietoja (henkilötietojen käsittelijäsi).

Esimerkkejä blogista: Google Analytics, Mailchimp/MailerLite, sosiaalisen median jakolisäosat (Facebook, X/Twitter), mainosverkostot (AdSense).

Säilytyskäytäntö:

• Vaatimus: Selitä, kuinka kauan säilytät eri tyyppisiä tietoja.
• Toimenpide: Kerro, että säilytät tietoja vain niin kauan kuin tarkoituksen toteuttaminen edellyttää (esim. sähköpostiosoitteet säilytetään, kunnes käyttäjä peruuttaa tilauksen; analytiikkatiedot poistetaan 26 kuukauden jälkeen).

---

3. Käyttäjän oikeudet: lukijoiden hallinta omiin tietoihinsa

GDPR antaa käyttäjille kahdeksan perusoikeutta heidän tietoihinsa. Selosteessasi on selitettävä nämä oikeudet ja ennen kaikkea se, miten käyttäjä voi käyttää niitä (rekisteröidyn pääsypyynnöt).

• Oikeus tutustua tietoihin ja oikeus tietojen oikaisemiseen: Oikeus kysyä, mitä tietoja sinulla on, ja korjata mahdolliset virheet.
• Oikeus tietojen poistamiseen (oikeus tulla unohdetuksi): Oikeus pyytää henkilötietojensa poistamista (esim. kommentin ja kaikkien siihen liittyvien tietojen poistaminen).
• Oikeus peruuttaa suostumus: Oikeus kieltäytyä helposti markkinoinnista tai ei-välttämättömästä seurannasta milloin tahansa.

---

4. Parhaat käytännöt sijoitteluun ja selkeyteen

Hyvä seloste on sellainen, joka on oikeasti luettavissa.

Sijoittelu: Tietosuojaselosteeseen johtavan linkin tulee olla selvästi esillä jokaisella sivulla (yleensä alatunnisteessa). Siihen on myös linkitettävä suoraan kaikissa tilauslomakkeissa ja kommenttiosioissa.

Sävy: Käytä selkeää kieltä. Vältä juridista jargonia ja monimutkaisia lauserakenteita. Kirjoita niin, että keskivertolukija ymmärtää oikeutensa ja käytäntösi.

Tarkkuus: Tee ensin tietojen tarkastus. Selosteen on kuvattava tarkasti ne työkalut ja lisäosat, joita blogissasi todella käytät.

---

Lähteet

Tämän blogikirjoituksen vaatimukset perustuvat GDPR:ään sekä ICO:n ja EDPB:n ohjeistuksiin.