Mitä tapahtuu, jos sinulla ei ole tietosuojaselostetta

Jos huomaat keränneesi tietoja ilman selostetta, toimi järjestelmällisesti äläkä paniikissa:

1. Kartoita jokainen lomake, tiliominaisuus, analytiikka- tai mainostagi, SDK ja palveluntarjoaja, joka käsittelee henkilötietoja
2. Luonnostele seloste, joka kuvaa nämä tosiasiat tarkasti, mukaan lukien yleisösi edellyttämät alueelliset osiot
3. Tarkista suostumusasetuksesi, jotta suostumusta vaativat evästeet ja seurantatyökalut eivät käynnisty ennen kuin käyttäjät hyväksyvät
4. Julkaise seloste pysyvässä URL-osoitteessa ja linkitä siihen alatunnisteesta, lomakkeista, sovelluksen asetuksista ja kauppalistauksista
5. Päivitä App Store-, Google Play- ja muiden alustojen listauksesi uudella linkillä
6. Aseta voimaantulopäivä ja pidä arkistoa, jotta tulevat versiot ovat jäljitettävissä
7. Hanki oikeudellista neuvontaa, jos käsittelet arkaluonteisia tietoja tai lasten tietoja, olet saanut valituksen tai valvontaviranomainen on ottanut sinuun yhteyttä

Opas siitä, miten tietosuojaseloste kirjoitetaan, käy jokaisen vaiheen läpi perusteellisesti. Jos haluat nopeamman alun, tietosuojaselostegeneraattori opastaa sinut saman kartoituksen läpi ja antaa sinun esikatsella koko selosteen maksutta ilman tiliä.

Yhtä maailmanlaajuista lakia ei ole, mutta jos keräät henkilötietoja verkossa, ainakin yksi sääntö koskee sinua lähes varmasti. Tärkeimmät:

• GDPR ja UK GDPR: koskevat EU:hun tai Isoon-Britanniaan sijoittautuneita organisaatioita sekä niiden ulkopuolisia organisaatioita, jotka tarjoavat tavaroita tai palveluja siellä oleville ihmisille tai seuraavat heidän käyttäytymistään. Artiklat 13 ja 14 edellyttävät tiettyjä tietoja, kun tietoja kerätään.
• CalOPPA: velvoittaa jokaisen kaupallisen verkkosivuston tai verkkopalvelun ylläpitäjän, joka kerää henkilön tunnistavia tietoja Kalifornian asukkailta, julkaisemaan tietosuojaselosteen näkyvästi, eikä liikevaihtorajaa ole.
• CCPA: edellyttää yksityiskohtaista tietosuojaselostetta voittoa tavoittelevilta yrityksiltä, jotka täyttävät jonkin sen raja-arvoista, kuten vuotuisen bruttoliikevaihdon yli 26 625 000 dollaria 1.1.2025 alkaen tarkistettuna.
• Muut Yhdysvaltain osavaltiot ja COPPA: monilla osavaltioilla on kattavat tietosuojalait, ja COPPA edellyttää verkkoilmoitusta palveluilta, jotka on suunnattu alle 13-vuotiaille lapsille.
• Kanada, Brasilia, Australia, Uusi-Seelanti: PIPEDA, LGPD sekä Australian ja Uuden-Seelannin tietosuojalait (Privacy Act) edellyttävät kukin avoimuutta henkilötietojen käsittelystä.

Opas tarvitsenko tietosuojaselosteen käy jokaisen tilanteen läpi tarkemmin.

Kyllä, ja tämä on usein ensimmäinen seuraus, johon kehittäjät törmäävät. Applen App Review -ohjeen 5.1.1(i) mukaan kaikissa sovelluksissa on oltava linkki tietosuojaselosteeseen App Store Connectin metatietokentässä sekä sovelluksen sisällä helposti saatavilla. Google Playn User Data -käytännön mukaan kaikkien sovellusten on julkaistava tietosuojaselosteen linkki Play Consolessa ja sovelluksen sisällä, ja myös sovellusten, jotka eivät käsittele lainkaan henkilötietoja tai arkaluonteisia käyttäjätietoja, on toimitettava seloste.

Ilman selostetta uusi lähetys todennäköisesti hylätään, ja olemassa olevaan sovellukseen voidaan kohdistaa toimia myöhemmässä tarkastuksessa. Google Playn toimiin voi kuulua hylkäys, poistaminen ja jäädyttäminen, ja vakavat tai toistuvat rikkomukset voivat vaarantaa kehittäjätilin. Selosteen on myös oltava yhdenmukainen lähettämiesi tietosuojamerkintöjen ja Data safety -lomakkeen kanssa.

Jos julkaiset mobiilisovelluksen, oppaat Google Playn tietosuojaselosteesta ja Apple App Storen tietosuojaselosteesta luettelevat kunkin kaupan tarkat vaatimukset.

Monet käyttämäsi työkalut tekevät tietosuojaselosteesta sopimukseen perustuvan ehdon niiden käytölle. Esimerkiksi Google Analyticsin ehdot edellyttävät, että julkaiset tietosuojaselosteen, jossa kerrot evästeiden, mobiilitunnisteiden tai vastaavan tekniikan käytöstä sekä Google Analyticsin käytöstä ja siitä, miten se kerää ja käsittelee tietoja. Mainosohjelmat vaativat yleisesti vastaavia tietoja evästeistä ja mainonnan personoinnista, ja sähköpostialustat odottavat lähettäjien kertovan, miten tilaajien tietoja käytetään.

Kun rikot palveluntarjoajan ehtoja, se voi yleensä rajoittaa, jäädyttää tai lopettaa käyttöoikeutesi samojen ehtojen nojalla. Mainostuloista tai markkinointilistasta riippuvaiselle yritykselle tilin menettäminen voi olla haitallisempaa kuin valvontaviranomaisen kirje, koska se tapahtuu ilman kuulemista ja sen peruminen voi viedä aikaa.

Korjaus on suoraviivainen: kerro selosteessasi jokaisesta käyttämästäsi työkalusta sen ehtojen edellyttämällä tavalla. Oppaat Google Analyticsin tietosuojaselosteesta ja AdSensen tietosuojaselosteen vaatimuksista näyttävät, mitä aiheita kukin palveluntarjoaja odottaa sanamuodoilta.

Kaikki seuraukset eivät tule valvontaviranomaiselta. Yritysasiakkaat pyytävät rutiininomaisesti tietosuojaselostetta hankintojen ja toimittajien tietoturva-arviointien yhteydessä. Puuttuva seloste tai seloste, joka selvästi ei kuvaa tuotettasi, herättää kysymyksiä, jotka hidastavat tai pysäyttävät kauppoja, etenkin suurempien asiakkaiden kanssa, joilla on omia tietosuojavelvoitteitaan.

Muita käytännön vaikutuksia on helppo aliarvioida:

• Kumppanuus- ja integraatio-ohjelmat, kuten kirjautuminen Googlella tai selainlaajennusten kaupat, vaativat usein selosteen URL-osoitteen ennen hyväksyntää
• Maksu-, sähköposti- ja markkinointipalvelujen tarjoajat odottavat kauppiaiden kertovan, miten asiakastietoja käsitellään
• Sijoittajat ja yritysostajat käyvät tietosuoja-asiakirjat läpi due diligence -tarkastuksessa
• Käyttäjät etsivät yhä useammin tietosuojalinkkiä ennen kuin antavat sähköpostiosoitteensa tai korttinumeronsa

Mikään näistä ei tuo mukanaan sakkoa, mutta jokainen voi maksaa menetettyinä tuloina ja viivästyksinä enemmän kuin aika, joka tarvitaan tarkan selosteen julkaisemiseen. Selkeä ja rehellinen seloste on myös hiljainen luottamuksen merkki sivustosi jokaisella sivulla.

GDPR pitää läpinäkyvyyttä keskeisenä velvoitteena. Artiklan 83 kohdan 5 mukaan artiklojen 12–22 rekisteröidyn oikeuksia koskevien säännösten rikkomisesta, mukaan lukien tiedot, jotka ihmisille on annettava, voidaan määrätä hallinnollinen sakko, joka on enintään 20 miljoonaa euroa tai 4 % edeltävän tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta, sen mukaan, kumpi on suurempi. UK GDPR:ssä vastaava enimmäismäärä on 17,5 miljoonaa puntaa tai 4 %.

Nämä ovat ylärajoja, eivät lähtökohtia. Artiklan 83 kohta 2 edellyttää, että viranomaiset ottavat huomioon rikkomisen luonteen, vakavuuden ja keston, asianomaisten henkilöiden määrän, sen, oliko rikkominen tahallinen vai tuottamuksellinen, vahinkojen lieventämiseksi toteutetut toimet sekä organisaation yhteistyön. Sakkojen on oltava tehokkaita, oikeasuhteisia ja varoittavia.

Sakot eivät myöskään ole ainoa keino. Artiklan 58 nojalla valvontaviranomaiset voivat antaa varoituksia ja huomautuksia, määrätä saattamaan käsittelyn GDPR:n mukaiseksi, määrätä ilmoittamaan tietoja asianomaisille henkilöille sekä asettaa käsittelylle väliaikaisia tai pysyviä rajoituksia, kiellon mukaan lukien. Pienelle yritykselle määräys lopettaa jokin markkinointikäytäntö voi olla merkittävämpi kuin teoreettinen enimmäissakko.

Kaliforniassa on kaksi päällekkäistä järjestelmää. CCPA koskee voittoa tavoittelevia yrityksiä, jotka harjoittavat liiketoimintaa Kaliforniassa ja ylittävät jonkin raja-arvon, kuten vuotuisen bruttoliikevaihdon yli 26 625 000 dollaria, 100 000 tai useamman kuluttajan tai kotitalouden henkilötietojen ostamisen, myymisen tai jakamisen tai vähintään puolet vuotuisesta liikevaihdosta henkilötietojen myymisestä tai jakamisesta. Kalifornian tietosuojaviraston (California Privacy Protection Agency) ilmoittaman tammikuun 2025 tarkistuksen jälkeen hallinnolliset sakot ja siviilioikeudelliset seuraamukset voivat olla 2 663 dollaria rikkomusta kohden tai 7 988 dollaria tahallista rikkomusta kohden tai rikkomusta kohden, joka koskee sellaisten kuluttajien henkilötietoja, joiden yritys tietää olevan alle 16-vuotiaita. Virasto valvoo hallinnollisesti, ja osavaltion oikeuskansleri (Attorney General) voi nostaa siviilikanteita.

CalOPPA ei aseta kokorajaa. Ylläpitäjä rikkoo sitä, jos se ei julkaise vaatimukset täyttävää selostetta 30 päivän kuluessa siitä, kun sille on ilmoitettu puutteesta. CalOPPA ei itse sisällä seuraamusten määriä, mutta rikkomuksiin voidaan puuttua Kalifornian Unfair Competition Law -lain nojalla, jolloin siviilioikeudelliset seuraamukset voivat Business and Professions Coden pykälän 17206 mukaan olla enintään 2 500 dollaria rikkomusta kohden.

Rikkomuskohtaiset summat kasvavat nopeasti, kun ne lasketaan käyttäjää tai latausta kohden. CCPA- ja CPRA-opas selittää, mitä Kalifornian edellyttämien tietojen on sisällettävä.

Yhdysvalloissa ei ole yleistä liittovaltion lakia, joka velvoittaisi jokaisen yrityksen julkaisemaan tietosuojaselosteen. Federal Trade Commission Act kuitenkin kieltää epäreilut tai harhaanjohtavat teot ja menettelyt kaupankäynnissä, ja FTC on käyttänyt tätä toimivaltaa jo vuosia yrityksiä vastaan, joiden tietosuojalausunnot olivat harhaanjohtavia tai joiden käytännöt rikkoivat niiden antamia lupauksia. Sovintoihin sisältyy yleensä pitkäaikaisia velvoitteita, kuten tietosuojaohjelmia, riippumattomia arviointeja ja raportointia, ja FTC:n määräyksen rikkominen voi johtaa siviilioikeudellisiin seuraamuksiin.

Lapsille suunnattuja palveluja koskee tiukempi sääntö. COPPA-sääntö velvoittaa alle 13-vuotiaille lapsille suunnattujen verkkosivustojen ja verkkopalvelujen ylläpitäjät tai ne, jotka tosiasiallisesti tietävät keräävänsä tällaisten lasten henkilötietoja, julkaisemaan tietosuojailmoituksen verkossa ja hankkimaan todennettavissa olevan huoltajan suostumuksen. FTC:n COPPA-ohjeistuksen mukaan tuomioistuin voi määrätä rikkojille siviilioikeudellisia seuraamuksia, jotka ovat enintään 53 088 dollaria rikkomusta kohden, ja summa tarkistetaan inflaation mukaan.

Opetus on, että sekä vaikenemiseen että epätarkkuuteen liittyy riski. Selosteen puuttuminen ei suojaa FTC:n tarkastelulta, jos käytäntösi ovat epäreiluja, ja seloste, jossa sanotaan väärin, aiheuttaa oman harhaanjohtavuusongelmansa.

Jos käyttäjäsi ovat näissä maissa, myös niiden lait edellyttävät avoimuutta tietojen käsittelystä:

• Kanada: PIPEDA:n avoimuusperiaate velvoittaa organisaatiot pitämään tiedot käytännöistään ja menettelyistään helposti saatavilla. Tietosuojavaltuutetun toimisto (Office of the Privacy Commissioner) tutkii valituksia, ja Quebecin Law 25 lisää omat julkaisuvelvoitteensa.
• Brasilia: LGPD antaa ihmisille oikeuden saada selkeää tietoa käsittelystä. Sen seuraamuksiin kuuluu varoituksia ja sakkoja, jotka ovat enintään 2 % yrityksen liikevaihdosta Brasiliassa, kuitenkin enintään 50 miljoonaa realia (R$) rikkomusta kohden.
• Australia: Privacy Actin piiriin kuuluvilla toimijoilla, yleensä yrityksillä, joiden vuotuinen liikevaihto ylittää 3 miljoonaa Australian dollaria (A$), sekä joillakin pienemmillä, on APP 1:n mukaan oltava selkeästi ilmaistu ja ajantasainen tietosuojaseloste. OAIC voi tutkia ja hakea siviilioikeudellisia seuraamuksia vakavista yksityisyyden loukkauksista.
• Uusi-Seelanti: Privacy Act 2020 velvoittaa toimijat kertomaan ihmisille tietojen keräämisestä, ja tietosuojavaltuutettu (Privacy Commissioner) voi tutkia valituksia ja antaa noudattamisilmoituksia.

Yksityiskohdat vaihtelevat, joten tarkista tietosuojalakien koontisivulta jokainen maa, jossa palvelet.