Mitä tietosuojaselosteessa pitää olla? Pakolliset kohdat ja yleisimmät virheet

Jokaisen yrityksen, joka käsittelee asiakkaiden, työntekijöiden tai työnhakijoiden henkilötietoja, pitää kertoa siitä ihmisille. Tietosuojaseloste on tapa hoitaa tämä tiedonantovelvollisuus. Se on julkinen asiakirja, ja sen pitää olla selkeä ja helposti saatavilla.

Pakolliset kohdat

Tietosuoja-asetuksen 13 ja 14 artiklan mukaan selosteesta pitää käydä ilmi ainakin:

• Kuka tietoja käsittelee: yrityksen nimi ja yhteystiedot sekä tietosuojavastaavan yhteystiedot, jos sellainen on nimetty.
• Miksi tietoja käsitellään ja millä oikeusperusteella, esimerkiksi sopimus, lakisääteinen velvoite tai oikeutettu etu. Jos peruste on oikeutettu etu, kerro myös, mikä se on.
• Mitä tietoja käsitellään ja mistä ne saadaan, jos niitä ei kerätä ihmiseltä itseltään.
• Kenelle tietoja luovutetaan: esimerkiksi kirjanpitäjä, IT-palveluntarjoaja tai maksunvälittäjä.
• Siirtyvätkö tiedot EU:n ja ETA:n ulkopuolelle ja millä suojatoimilla.
• Kuinka kauan tietoja säilytetään tai miten säilytysaika määritellään.
• Ihmisen oikeudet: oikeus saada pääsy tietoihin, oikaista ja poistaa niitä, rajoittaa ja vastustaa käsittelyä, siirtää tiedot ja perua suostumus.
• Oikeus tehdä valitus tietosuojavaltuutetun toimistolle.
• Onko tietojen antaminen pakollista ja mitä seuraa, jos niitä ei anneta.
• Automaattinen päätöksenteko tai profilointi, jos sitä käytetään.

Esimerkki: säilytysaika oikein ja väärin

Säilytysaika on kohta, jossa selosteet useimmin jäävät epämääräisiksi. Sen ei tarvitse olla aina tarkka päivämäärä, mutta lukijan pitää ymmärtää, miten se määräytyy.

Kuukausimäärät ovat tässä esimerkkejä. Oikea aika riippuu käsittelyn tarkoituksesta, ja se pitää pystyä perustelemaan.

Yleisimmät virheet

• Yksi seloste kaikille. Asiakkaiden, työntekijöiden ja työnhakijoiden tietoja käsitellään eri tarkoituksiin, joten selosteet kannattaa tehdä erikseen.
• Säilytysaika puuttuu tai on “toistaiseksi”. Määrittelemätön säilytysaika oli yksi syy, miksi Verkkokauppa.com sai lähes 800 000 euron seuraamusmaksun, jonka korkein hallinto-oikeus piti voimassa kesäkuussa 2026.
• Vanha rekisteriseloste. Ennen vuotta 2018 laaditusta rekisteriselosteesta puuttuu yleensä oikeusperuste ja osa oikeuksista. Lue lisää: rekisteriseloste vai tietosuojaseloste.
• Kopioitu pohja. Toisen yrityksen tekstissä on järjestelmiä ja luovutuksia, joita teillä ei ole, ja omat puuttuvat.
• Lakikieli. Seloste pitää kirjoittaa niin, että tavallinen ihminen ymmärtää sen.
• Vanhentuneet toimittajat. Uusi sähköposti- tai palkkajärjestelmä muuttaa vastaanottajia ja usein myös EU:n ulkopuolisia siirtoja.

Riittääkö pohja?

Pohja auttaa alkuun, mutta se ei tiedä, mitä järjestelmiä käytätte, keille tietoja luovutatte tai kuinka kauan niitä säilytätte. Juuri näissä kohdissa virheet yleensä ovat. Voit aloittaa ilmaisesta tietosuojaselosteen pohjasta, jos käsittelyjä on vähän ja haluat tehdä työn itse.

Selosteen lisäksi yritys tarvitsee yleensä sisäisen kuvauksen käsittelyistä: seloste käsittelytoimista.