Lyhyesti
- Tietosuojaselostetta ei mainita missään laissa. Tietosuoja-asetus velvoittaa kertomaan ihmisille, miten heidän tietojaan käsitellään – ja seloste on vakiintunut tapa hoitaa velvollisuus todistettavasti.
- Pakollinen sisältö tulee asetuksen 13 ja 14 artiklasta: käyttötarkoitukset, oikeusperusteet, vastaanottajat, säilytysajat ja rekisteröidyn oikeudet.
- Valmis seloste on myös pidettävä esillä. Postin 100 000 euron seuraamusmaksu jäi voimaan, kun KHO katsoi, ettei linkkipolun päähän piilotettu tieto täytä velvollisuutta (KHO 2023:81).
- Informointipuutteet kuuluvat asetuksen ankarampaan seuraamusluokkaan, jossa enimmäismäärä on 20 miljoonaa euroa tai 4 prosenttia liikevaihdosta.
- Seloste käsittelytoimista on eri asiakirja: sisäinen kartta, jota ei julkaista.
Tietosuojaseloste on asiakirja, jolla yritys kertoo asiakkailleen, työntekijöilleen ja verkkosivujensa kävijöille, mitä henkilötietoja se kerää, mihin se tietoja käyttää ja kuinka kauan se niitä säilyttää. Sanaa ei löydy tietosuoja-asetuksesta eikä tietosuojalaista, mutta velvollisuus sen takana on ehdoton. Tässä artikkelissa käyn selosteen läpi samassa järjestyksessä kuin toimeksiannoissa: mitä siihen kirjataan, mikä kussakin kohdassa tavallisesti unohtuu ja kuka puutteet lopulta huomaa.
Miksi tietosuojaseloste tehdään, vaikka laki ei tunne koko sanaa
Tietosuojavaltuutetun toimisto sanoo suoraan, ettei asetus vaadi laatimaan tietosuojaselostetta – ei myöskään vanhan lain aikaista rekisteriselostetta. Sen sijaan asetuksen 13 ja 14 artikla määräävät kertomaan jokaiselle, jonka tietoja käsittelet, mitä tiedoille tapahtuu. Kerrottavia asioita on niin paljon, ettei velvollisuuden hoitaminen ilman koottua asiakirjaa onnistu käytännössä keneltäkään. Siksi seloste tehdään.
Velvollisuus koskee kaikkia, jotka käsittelevät tunnistettavissa olevien henkilöiden tietoja. Asiakasrekisteri riittää yksinään. Samoin riittää uutiskirjeen tilaajalista, saapuneet työhakemukset tai verkkosivuston kävijäseuranta. Käytännössä jokainen yritys tarvitsee selosteen, ja tarve syntyy heti osakeyhtiön perustamisen yhteydessä, ensimmäisestä asiakkaasta alkaen.
Asiakirjan nimen saa valita itse, mutta valinnalla on väliä. Tietosuojavaltuutetun toimisto suosittaa julkaisemaan tiedot yleisesti tunnetulla nimellä, ja tietosuojaseloste on se nimi, jota ihmiset osaavat etsiä. Englannista käännetyt ”tietosuojalausekkeet” ja ”privacy policyt” eivät esiinny viranomaiskielessä. Nimen lisäksi asetuksen 12 artikla määrää muodon: tiedot on annettava tiiviisti, ymmärrettävästi ja helposti saatavilla, ja informoinnin on oltava maksutonta. Sama artikla antaa rekisteröidyn pyynnöille kuukauden vastausajan.
Selosteessa kerrotaan, mitä teet – se, millä perusteella tietoja ylipäätään saa käsitellä, on oma kysymyksensä, jonka olen käynyt läpi henkilötietojen käsittelyä koskevassa artikkelissa.
Posti maksoi 100 000 euroa selosteesta, joka oli piilossa
Ratkaisu KHO 2023:81 kertoo, miksi selosteen sijainti on yhtä tärkeä kuin sen sisältö. Postin osoitteenmuutospalvelua käytti vuonna 2019 noin 161 000 ihmistä. Tieto siitä, miten palvelu käsitteli heidän tietojaan, oli olemassa – mutta vasta usean linkin takana Postin sivustolla. Seuraamuskollegio määräsi 100 000 euron seuraamusmaksun. Hallinto-oikeus kumosi maksun, korkein hallinto-oikeus palautti sen voimaan.
KHO:n perustelu kannattaa painaa mieleen: tietojen toimittaminen rekisteröidylle edellyttää rekisterinpitäjältä aktiivisia toimia. Se, että seloste on jossain saatavilla, jos käyttäjä osaa kaivaa, ei täytä velvollisuutta. Maksun kannalta ei auttanut, että laiminlyönti oli tuottamuksellinen eikä kenellekään näytetty aiheutuneen vahinkoa.
Korjausliike on halpa: linkki selosteeseen jokaisen sivun alatunnisteeseen sekä niihin kohtiin, joissa tietoja kerätään – yhteydenottolomakkeen viereen, verkkokaupan kassalle ja työpaikkailmoitukseen.
Tietosuojaselosteen sisältö kohta kohdalta
Asetuksen 13 artikla luettelee kerrottavat asiat, kun keräät tiedot henkilöltä itseltään, ja 14 artikla silloin, kun hankit ne muualta. Luettelot ovat lähes samat, joten yksi huolellinen seloste kattaa molemmat. Tarkistan selosteita työkseni, ja jokaisella kohdalla on oma tyypillinen kompastuskivensä – siksi käyn ne läpi pareittain: mitä vaaditaan ja missä mennään vikaan.
- Rekisterinpitäjä ja yhteystiedot. Kuka käsittelystä vastaa: yrityksen nimi, y-tunnus, osoite ja toimiva yhteydenottokanava. Jos yritykselle on nimitetty tietosuojavastaava, myös sen yhteystiedot. Pohjasta kopioidussa selosteessa tämä kohta jää hämmästyttävän usein puolityhjäksi.
- Käyttötarkoitukset. Mihin tietoja käytetään: tilausten toimittaminen, laskutus, asiakasviestintä, markkinointi, rekrytointi. Tyypillinen virhe on kirjata yksi ympäripyöreä tarkoitus, kuten ”liiketoiminnan hoitaminen”, joka ei kerro lukijalle mitään.
- Oikeusperuste jokaiselle tarkoitukselle erikseen. Sopimus kattaa tilauksen käsittelyn, lakisääteinen velvoite kirjanpidon, oikeutettu etu suoramarkkinoinnin nykyasiakkaille, suostumus uutiskirjeen. Useimmissa tarkastamissani selosteissa perusteet on niputettu yhdeksi listaksi, jota ei ole kytketty mihinkään tarkoitukseen – ja jos vetoat oikeutettuun etuun, myös itse etu pitää kuvata.
- Kerättävät tiedot. Tietoryhmät riittävät: yhteystiedot, tilaushistoria, laskutustiedot. Henkilötunnus on oma lukunsa: tietosuojalain 29 § sallii sen käsittelyn vain laissa säädetyillä perusteilla tai rekisteröidyn suostumuksella, joten kirjaa myös, miksi tunnusta tarvitset.
- Tietolähteet. Jos hankit tietoja muualta kuin henkilöltä itseltään – vaikkapa luottotietoyhtiöltä tai julkisista rekistereistä – lähde on kerrottava, ja 14 artiklan mukaan informointi on hoidettava viimeistään kuukauden kuluessa tietojen saamisesta.
- Vastaanottajat. Tilitoimisto, IT-ylläpito, maksunvälittäjä, kuljetusliike ja muut kumppanit, joille tietoja siirtyy esimerkiksi toimeksiantosopimuksen perusteella. Tämä luettelo vanhenee nopeimmin: järjestelmät vaihtuvat, eikä selostetta muisteta päivittää samalla.
- Siirrot EU:n ulkopuolelle. Moni pilvipalvelu vie tietoja Yhdysvaltoihin. Jos siirtoja on, seloste kertoo, mihin ja millä suojatoimilla.
- Säilytysajat tai niiden määräytymisperusteet. Kirjanpitoaineistolla on lakisääteinen aikansa, asiakastiedoille voi määrittää ajan asiakassuhteen päättymisestä. Tämä on kokemukseni mukaan selosteiden yleisin kokonaan puuttuva kohta.
- Rekisteröidyn oikeudet. Oikeus tarkastaa tietonsa, vaatia oikaisua tai poistoa, vastustaa käsittelyä ja saada tiedot siirretyksi – sekä oikeus peruuttaa suostumus, jos käsittely perustuu siihen.
- Valitusoikeus ja automaattinen päätöksenteko. Rekisteröidyllä on oikeus kannella valvontaviranomaiselle, ja tämä oikeus on mainittava selosteessa. Jos teet automatisoituja päätöksiä tai profilointia, myös niistä on kerrottava.
Kaksi asiakirjaa, jotka menevät selosteen kanssa sekaisin
Seloste käsittelytoimista on asetuksen 30 artiklan vaatima sisäinen asiakirja: kartta kaikesta yrityksen henkilötietojen käsittelystä, joka esitetään pyynnöstä valvontaviranomaiselle. Sitä ei julkaista verkkosivuilla. Artiklan 5 kohdassa on 250 työntekijän raja, joka lupaa pienyrityksille helpotusta – mutta vapautus kattaa vain satunnaisen käsittelyn, eikä asiakasrekisterin ylläpidossa tai palkanmaksussa ole mitään satunnaista. Siksi molemmat asiakirjat tarvitaan useimmissa yrityksissä: julkinen tietosuojaseloste ja sisäinen seloste käsittelytoimista.
Evästeistä säädetään kokonaan toisessa laissa, sähköisen viestinnän palvelulaissa. Sen 205 § vaatii evästeiden tallentamiselle käyttäjän suostumuksen, ja poikkeus koskee vain palvelun toiminnalle välttämättömiä evästeitä. Analytiikka- ja markkinointievästeille suostumus kysytään ennen kuin ne asetetaan. Evästeistä voi kertoa tietosuojaselosteessa tai erillisessä evästeselosteessa – kunhan jossain kerrotaan, mitä evästeitä sivusto käyttää ja mihin.
Henkilöstön tiedoille on tiukemmat säännöt kuin asiakkaiden
Työnantajaa sitoo tietosuoja-asetuksen lisäksi laki yksityisyyden suojasta työelämässä. Sen 3 § sallii vain työsuhteen kannalta välittömästi tarpeellisten tietojen käsittelyn, eikä vaatimuksesta voi poiketa edes työntekijän suostumuksella. Lain 4 §:n mukaan tiedot kerätään ensisijaisesti työntekijältä itseltään – muualta kerääminen vaatii pääsääntöisesti suostumuksen. Terveydentilaa koskevia tietoja saa 5 §:n nojalla käsitellä vain laissa rajatuissa tilanteissa, ja ne säilytetään erillään muista henkilötiedoista.
Käytännössä työnantajan kannattaa laatia henkilöstölle oma selosteensa, joka kattaa palkanmaksun, työajanseurannan ja rekrytoinnin. Työnhakijoita informoidaan jo hakuvaiheessa.
Kuka puutteista jää kiinni
Valvonta ei ala viranomaisen ratsiasta vaan kantelusta. Tietosuojalain 21 §:n mukaan jokaisella on oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi, ja se on maksutonta. Tyytymätön asiakas, entinen työntekijä tai kilpailija voi tehdä sen viidessä minuutissa. Seloste on yrityksen julkisin tietosuoja-asiakirja – ensimmäinen, jonka valvoja avaa, ja ainoa, jonka kuka tahansa voi tarkistaa koska tahansa.
Seuraamusmaksun määrää tietosuojalain 24 §:n mukainen seuraamuskollegio. Asetuksen 83 artikla jakaa rikkomukset kahteen luokkaan, ja jako yllättää monet: informointipuutteet eli 12–14 artiklan laiminlyönnit kuuluvat ankarampaan luokkaan, jossa enimmäismäärä on 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta liikevaihdosta. Sisäisen 30 artiklan selosteen laiminlyönti jää lievempään luokkaan (10 miljoonaa euroa tai 2 prosenttia). Puuttuva tai piilotettu seloste on siis raskaamman pään rikkomus – ja kuten Postin tapaus osoitti, maksuun ei tarvita tahallisuutta eikä näyttöä vahingosta.
Näin selosteen laatiminen etenee
- Kartoita tietovirrat – listaa järjestelmät, joihin henkilötietoa kertyy: verkkokauppa, asiakasrekisteri, kirjanpito, sähköposti, rekrytointikanavat.
- Ryhmittele käsittely käyttötarkoituksiksi – ja valitse jokaiselle oikeusperuste.
- Kirjaa vastaanottajat järjestelmälistan pohjalta – ja tarkista, missä data fyysisesti sijaitsee.
- Päätä säilytysajat ja niiden perusteet – lakisääteiset ajat, kanneajat, asiakassuhteen kesto.
- Kirjoita seloste lukijalle, älä juristille – lyhyet virkkeet, ei artiklanumeroita leipätekstiin.
- Julkaise seloste tunnetulla nimellä – linkitä se joka sivun alatunnisteeseen, merkitse päivityspäivä ja käy asiakirja läpi aina, kun toiminta muuttuu.
Mallipohja kelpaa rungoksi, mutta jokainen kohta täytetään oman toiminnan mukaan. Kopioitu seloste, jossa lukee toisen yrityksen järjestelmät ja säilytysajat, kertoo tarkastajalle yhdellä silmäyksellä, ettei käsittelyä ole tosiasiassa mietitty.
Jos haluat varmistaa kokonaisuuden kerralla, käyn läpi selosteen lisäksi käsittelysopimukset, evästekäytännön ja henkilöstöpuolen – koko tietosuoja ja GDPR -kokonaisuuden saa kuntoon etänä, ja hinnan tiedät ennen kuin työ alkaa.
Tarvitsetko tietosuojaselosteen tai tarkistuksen nykyiselle?
Kerro lyhyesti tilanteesta, niin saat alustavan arvion ja kiinteän hinnan ennen aloitusta. Maksuton alkuarvio ei sido toimeksiantoon.
Usein kysyttyä tietosuojaselosteesta
Onko tietosuojaseloste pakollinen?
Asiakirjaa juuri tällä nimellä laki ei tunne, mutta informointivelvollisuus on ehdoton – ja sen täyttäminen ilman koottua, julkaistua asiakirjaa ei käytännössä onnistu. Siinä mielessä seloste on pakollinen lähes jokaiselle yritykselle.
Mitä eroa on tietosuojaselosteella ja selosteella käsittelytoimista?
Tietosuojaseloste julkaistaan ja se on suunnattu rekisteröidyille. Seloste käsittelytoimista taas jää yrityksen sisäiseksi: se on 30 artiklassa vaadittu kartta kaikesta käsittelystä, ja se näytetään valvontaviranomaiselle pyydettäessä. Pienyrityksen vapautus jälkimmäisestä kariutuu yleensä siihen, että asiakasrekisteri ja palkanmaksu ovat säännöllistä käsittelyä.
Riittääkö ilmainen tietosuojaselostemalli?
Rungoksi kyllä, sisällöksi ei. Käyttötarkoitukset, oikeusperusteet, vastaanottajat ja säilytysajat on kirjoitettava oman toiminnan mukaan, eikä mikään pohja tunne sinun järjestelmiäsi. Pohjasta on apua, kun jokainen kohta täytetään itse ja luettelot tarkistetaan todellisuutta vasten.
Tarvitseeko yhden hengen yritys tietosuojaselosteen?
Tarvitsee heti, kun asiakkaista tai muista ihmisistä kertyy tunnistettavia tietoja – ja asiakasrekisteri riittää täyttämään ehdon. Velvollisuus ei katso yrityksen kokoa eikä yhtiömuotoa. Pieni toiminta näkyy vain siinä, että asiakirjasta tulee lyhyt.
Kuinka usein tietosuojaseloste pitää päivittää?
Kiinteää määräaikaa ei ole. Päivityksen laukaisee muutos käsittelyssä: käyttöön otettu järjestelmä, vaihtunut kumppani, uusi käyttötarkoitus tai muuttunut säilytysaika. Uudesta käyttötarkoituksesta kerrotaan rekisteröidyille ennen kuin jatkokäsittely alkaa. Suosittelen kiinnittämään tarkistuksen vuosikelloon, jolloin se ei unohdu.
Lähteet
- EU:n yleinen tietosuoja-asetus (EU) 2016/679 – 12 artikla (muoto, maksuttomuus ja kuukauden vastausaika), 13 ja 14 artikla (kerrottavien tietojen luettelot ja 14 artiklan kuukauden määräaika), 30 artikla (seloste käsittelytoimista ja pk-vapautuksen rajat), 83 artikla (seuraamusluokat).
- Tietosuojalaki (1050/2018) – 21 § oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi, 24 § seuraamuskollegio, 29 § henkilötunnuksen käsittelyn edellytykset.
- Laki sähköisen viestinnän palveluista (917/2014) 205 § – evästeiden suostumusvaatimus ja välttämättömien evästeiden poikkeus.
- Laki yksityisyyden suojasta työelämässä (759/2004) – 3 § tarpeellisuusvaatimus, 4 § tietojen keräämisen ensisijaisuusjärjestys, 5 § terveydentilatietojen käsittely.
- KHO 2023:81 – rekisteröidyn informointi vaatii rekisterinpitäjältä aktiivisia toimia, eikä usean linkin taakse sijoitettu tieto kelvannut; KHO palautti 100 000 euron seuraamusmaksun voimaan.
- Tietosuojavaltuutetun toimisto: rekisteröidyn informointi – selosteelle ei ole määrämuotoa, ja julkaisunimeksi suositellaan yleisesti tunnettua nimeä.
Viimeksi päivitetty: elokuu 2026
