Yrityksen kotisivut, evästeet ja tietosuoja: mitä sivuilla pitää huomioida?

Moni pienyrittäjä kysyy kotisivuja tilatessaan: "tarvitaanko meille evästebanneri ja tietosuojaseloste?" Vastaus riippuu siitä, mitä sivu oikeasti tekee. Sivu, jossa on vain tekstiä ja yhteystiedot, on eri tilanteessa kuin sivu, jossa on mainosseuranta, upotettu video ja yhteydenottolomake.

Tämä artikkeli perustuu Traficomin evästeohjeeseen ja tietosuojavaltuutetun toimiston tiedotteeseen. Se ei ole lakineuvontaa. Jos tilanteesi on monimutkainen, kysy neuvoa asiantuntijalta.

Kuka valvoo mitä?

Traficomin evästeohjeen mukaan Traficom valvoo evästeiden käyttöä ja tulkitsee suostumusta sähköisen viestinnän palveluista annetun lain 205 §:n mukaisesti. Tietosuojavaltuutetun toimisto on toimivaltainen henkilötietojen käsittelyssä. Käytännössä evästeet kuuluvat Traficomille ja henkilötietojen käsittely tietosuojavaltuutetulle.

Mikä eväste on?

Eväste on pieni tiedosto tai tieto, jonka sivusto tallentaa kävijän laitteeseen. Evästeitä käytetään esimerkiksi kirjautumisen muistamiseen, ostoskoriin, kävijämäärien seuraamiseen ja mainosten kohdentamiseen. Ohjeessa puhutaan evästeiden lisäksi niiden kaltaisista tekniikoista.

Milloin suostumus tarvitaan?

Traficomin ohjeen mukaan suostumus tarvitaan lähtökohtaisesti kaikkiin muihin kuin välttämättömiin evästeisiin, ja ei-välttämättömiä evästeitä ei saa asettaa ennen kuin käyttäjä on tehnyt valintansa. Ohje mainitsee esimerkkeinä, joihin suostumus yleensä tarvitaan: kohdennettu mainonta, sosiaalisen median liitännäiset, kolmannen osapuolen sisällöt ja useimmiten analytiikka.

Välttämättömät evästeet ovat poikkeus. Ohjeen mukaan poikkeus koskee evästeitä, joiden ainoa tarkoitus on viestin välittäminen verkossa, tai jotka ovat välttämättömiä palvelun tarjoamiseksi, jota käyttäjä on nimenomaisesti pyytänyt. Ohje mainitsee esimerkkeinä ostoskorin, kirjautumisistunnon, lomaketietojen muistamisen, tietoturvan ja saavutettavuuden. Poikkeus on kuitenkin rajattu: eväste saa olla vain palvelun vaatimassa laajuudessa.

Oikeutettu etu ei kelpaa perusteeksi. Ohjeen mukaan oikeutettu etu ei kelpaa oikeusperusteeksi evästeiden tallentamiselle tai käytölle, vaikka se voi olla peruste muulle henkilötietojen käsittelylle.

Millainen on pätevä suostumus?

Ohjeen mukaan suostumuksen pitää olla:

Lisäksi ohjeen mukaan:

• Kieltäytymisen on oltava yhtä helppoa kuin hyväksymisen. "Hyväksy kaikki" -painikkeen rinnalla pitää olla vastaava kieltäytymisvalinta.
• Suostumus on voitava peruuttaa milloin tahansa, ja peruuttamisen on oltava yhtä helppoa kuin antamisen.
• Suostumus on pystyttävä osoittamaan jälkikäteen. Palveluntarjoajan on tallennettava vähintään suostumuksen ajankohta ja muut ohjeessa mainitut tiedot.
• Jos kävijä jatkaa ilman valintoja, sivuston on toimittava vain välttämättömillä evästeillä.

Käytännössä tämä tarkoittaa, että evästebanneri ei saa olla koristeena, ja että pelkkä "jatkamalla hyväksyt evästeet" -ilmoitus ei riitä muille kuin välttämättömille evästeille.

Käytännön kysymykset kotisivuja suunnitellessa

Mitä sivu oikeasti tallentaa?

Tee lista kaikesta, mitä sivulla on:

• Analytiikka, kuten kävijäseuranta
• Mainos- ja seurantakoodit, esimerkiksi sosiaalisen median pikselit
• Upotukset: kartta, video, sosiaalisen median syöte
• Chat ja muut lisäosat
• Lomakkeet ja niiden tallentama tieto
• Fontit ja muut ulkoiset palvelut, jotka ladataan kolmannelta osapuolelta

Jokainen kolmannen osapuolen palvelu voi asettaa omia evästeitään tai kerätä kävijän tietoja. Kysy tekijältäsi, mitä sivu lataa ja mistä. Jos et tarvitse jotain palvelua, älä lisää sitä.

Pienin ratkaisu on usein yksinkertaisin

Jos sivusto ei käytä analytiikkaa, mainostusta eikä kolmannen osapuolen upotuksia, ei-välttämättömiä evästeitä ei välttämättä synny lainkaan, eikä suostumusta tarvita. Tällöin riittää, että kerrot sivun tietosuojasivulla, mitä tietoja kerätään ja miten. Esimerkiksi tämän sivuston tietosuojaseloste kertoo, mitä sivusto tallentaa ja mihin tietoja käytetään. Tarkista kuitenkin aina omalta sivultasi, mitä se todella tekee. Lupaus, jota sivu ei noudata, on huonompi kuin ei lupausta.

Jos haluat kävijämääriä, mieti ensin, tarvitsetko niitä. Ilmainen Search Console kertoo, millä hauilla sivu on näkynyt, eikä vaadi seurantakoodia omalle sivullesi.

Kartat, videot ja chat

Upotettu kartta tai video on usein kolmannen osapuolen sisältöä. Traficomin ohje mainitsee kolmannen osapuolen sisällöt esimerkkinä tilanteesta, jossa suostumus yleensä tarvitaan. Kysy tekijältäsi, asettaako upotus evästeitä. Vaihtoehto on linkittää karttaan tai videoon sen sijaan, että upotetaan se sivulle.

Tietosuoja: lomakkeet ja tietosuojaseloste

Yhteydenottolomake kerää henkilötietoja: nimen, sähköpostiosoitteen ja viestin. Silloin kävijälle pitää kertoa, mitä tietoja kerätään, miksi, kuka niitä käsittelee ja kuinka kauan niitä säilytetään.

Tietosuojavaltuutetun toimiston tiedotteen mukaan tietosuoja-asetus ei edellytä entisen kaltaista rekisteri- tai tietosuojaselostetta sellaisenaan, mutta rekisteröidyille pitää antaa tiedot käsittelystä. Käytännössä selkeä tietosuojasivu on edelleen paras tapa antaa nämä tiedot. Sen pitäisi kertoa vähintään:

• kuka yritys on (rekisterinpitäjä) ja miten siihen saa yhteyden
• mitä tietoja kerätään ja mihin tarkoitukseen
• kuinka kauan tietoja säilytetään
• kenelle tietoja luovutetaan, esimerkiksi palveluntarjoajalle
• mitä oikeuksia kävijällä on, kuten tarkastus-, korjaus- ja poisto-oikeus

Kirjoita seloste selkeällä kielellä. Pitkä juridinen teksti, jota kukaan ei lue, ei auta ketään.

Lomakkeen vieressä kannattaa olla lyhyt maininta ja linkki tietosuojasivulle, esimerkiksi: "Käytämme tietoja vain yhteydenottoosi vastaamiseen." Älä lupaa mitään, mitä et pidä.

Entä jos sivusto on jo olemassa?

Jos sivullasi on jo evästebanneri tai seurantaa, tarkista:

• Asettuvatko ei-välttämättömät evästeet vasta valinnan jälkeen?
• Onko kieltäytyminen yhtä helppoa kuin hyväksyminen?
• Voiko valinnan muuttaa myöhemmin?
• Vastaako evästeselosteen teksti sitä, mitä sivu todella tekee?
• Onko tietosuojasivu ajan tasalla ja linkitetty lomakkeen vieressä?

Jos et osaa tarkistaa näitä itse, pyydä tekijää käymään ne läpi. Muita tyypillisiä virheitä on kuvattu artikkelissa verkkosivujen yleisimmät virheet. Hyvän sivuston sisältö on koottu artikkeliin mitä hyvä yrityksen verkkosivusto sisältää.

Tarkistuslista

• Onko lista siitä, mitä sivu lataa ja mihin tarkoitukseen?
• Tarvitaanko jokaista seuranta- ja mainospalvelua oikeasti?
• Onko suostumus pyydetty ennen ei-välttämättömiä evästeitä?
• Onko kieltäytyminen ja peruuttaminen helppoa?
• Onko tietosuojasivu selkeä ja ajan tasalla?
• Onko lomakkeen vieressä maininta tietojen käytöstä?

Kun suunnittelemme kotisivuja, käymme nämä asiat läpi alussa. Voit pyytää tarjouksen yhteystiedot-sivun kautta tai tarkistaa sivusi perusasiat ilmaisella sivustotarkistuksella. Tarkistus ei arvioi evästeitä eikä tietosuojaa.

Lähteet

• Evästeet ja niiden kaltaiset tekniikat: ohjeistus palveluntarjoajille, Traficom
• Tietosuoja-asetus ei edellytä entisen kaltaista rekisteri- tai tietosuojaselostetta, Tietosuojavaltuutetun toimisto

Usein kysyttyä

Tarvitseeko jokaisella kotisivulla olla evästebanneri?

Ei välttämättä. Traficomin ohjeen mukaan suostumus tarvitaan muihin kuin välttämättömiin evästeisiin. Jos sivu ei aseta ei-välttämättömiä evästeitä, banneria ei tarvita. Tämä pitää kuitenkin tarkistaa sivun todellisesta toiminnasta, ei arvata.

Riittääkö, että banneri sanoo "jatkamalla hyväksyt evästeet"?

Ei muille kuin välttämättömille evästeille. Ohjeen mukaan suostumus edellyttää aktiivista tekoa, ja kieltäytymisen on oltava yhtä helppoa kuin hyväksymisen.

Tarvitaanko tietosuojaselostetta, jos sivulla on yhteydenottolomake?

Tietosuojavaltuutetun toimiston mukaan tietosuoja-asetus ei vaadi selostetta tietyssä muodossa, mutta tiedot käsittelystä on annettava. Selkeä tietosuojasivu on käytännössä helpoin tapa tehdä se.