Tietosuojaseloste vai käyttöehdot: mikä on ero?

Ajattele, että asiakirjat vastaavat eri kysymyksiin. Tietosuojaselosteesi vastaa kysymykseen mitä tiedoilleni tapahtuu? Käyttöehtosi vastaavat kysymykseen mitkä täällä ovat säännöt, ja mitä tapahtuu, jos jokin menee pieleen?

Tässä vertailu rinnakkain:

• Tarkoitus: tietosuojaseloste tiedottaa; käyttöehdot asettavat sitovat säännöt sinun ja käyttäjiesi välille.
• Miksi se on olemassa: tietosuojaseloste on yleensä olemassa, koska tietosuojalaki tai alusta edellyttää sitä; käyttöehdot ovat olemassa, koska haluat sopimuksen, johon voit luottaa.
• Pääasiallinen yleisö: tietosuojaseloste puhuttelee käyttäjiä, valvontaviranomaisia ja sovellusten tarkastajia; käyttöehdot puhuttelevat käyttäjiä ja riitatilanteessa tuomioistuinta tai välimiestä.
• Ketä se sitoo: tietosuojaseloste kuvaa omia käytäntöjäsi, ja sitä voidaan käyttää sinua vastaan, jos se on virheellinen; käyttöehdot pyrkivät asettamaan velvollisuuksia molemmille osapuolille.
• Hyväksyminen: tietosuojaseloste on annettava, ei hyväksyttävä; käyttöehdot edellyttävät yleensä käyttäjän hyväksyntää toimiakseen sopimuksena.

Viimeinen kohta jää useimmin huomaamatta. Kun pyydät käyttäjiä ”hyväksymään tietosuojaselosteen”, se ei muutu sopimukseksi, eikä se luo pätevää suostumusta henkilötietojen käsittelyyn. Tietosuojaseloste on tietoa, jonka olet ihmisille velkaa. Käyttöehdot ovat sopimus, jota tarjoat heille, eikä näitä kahta saa koskaan sekoittaa rekisteröitymisprosessissasi.

Käytä tätä jakoa päättäessäsi, mihin lause kuuluu.

Tietosuojaselosteen aiheet:

• kuka olet ja miten sinuun saa yhteyden tietosuoja-asioissa
• mitä henkilötietoja keräät ja mistä lähteistä
• miksi käytät niitä ja GDPR:n mukainen käsittelyperuste kullekin tarkoitukselle
• henkilötietojen käsittelijät, mainoskumppanit ja muut vastaanottajat
• kansainväliset siirrot ja niiden suojatoimet
• säilytysajat
• käyttäjien oikeudet ja niiden käyttäminen
• evästeet ja vastaavat seurantatekniikat

Käyttöehtojen aiheet:

• kelpoisuus, käyttäjätilit ja tietoturvavastuut
• hyväksyttävä käyttö ja kielletty toiminta
• oman sisältösi omistus ja käyttöoikeus, jonka otat käyttäjien sisältöön
• maksut, tilaukset, uusiminen, peruuttaminen ja hyvitykset
• käytön keskeyttäminen ja päättäminen
• vastuuvapauslausekkeet ja vastuunrajoitus lain sallimissa rajoissa
• sovellettava laki, riitojen ratkaiseminen ja käyttöehtojen muutokset

Jotkin aiheet koskevat molempia. Käyttäjätilin poistaminen kuuluu käyttöehtoihin sopimusasiana ja tietosuojaselosteeseen säilytystä ja oikeuksia koskevana asiana. Tällöin kumpikin asiakirja käsittelee asiaa omasta näkökulmastaan ja linkittää toiseen sen sijaan, että toistaisi sen. Tietosuojapuolen kokonaisuudessaan näet oppaasta mitä tietosuojaselosteen pitäisi sisältää.

Monissa tilanteissa kyllä. Velvollisuus tulee tietosuojalainsäädännöstä eikä sopimusoikeudesta, ja se riippuu siitä, mitä keräät, ei siitä, kuinka suuri verkkosivustosi on.

• EU ja Britannia: GDPR:n ja Britannian GDPR:n 13 ja 14 artikla edellyttävät, että annat ihmisille tietyt tiedot, kun keräät heidän henkilötietojaan, mukaan lukien henkilöllisyytesi, tarkoitukset, käsittelyperusteet, vastaanottajat, säilytysajat ja oikeudet.
• Kalifornia: CalOPPA edellyttää, että kaupallisten verkkosivustojen ja verkkopalvelujen ylläpitäjät, jotka keräävät henkilön tunnistettavia tietoja Kalifornian asukkailta, julkaisevat tietosuojaselosteen näkyvästi.
• Muut alueet: Kanadassa, Brasiliassa, Australiassa ja Uudessa-Seelannissa on kaikissa tietosuojalakeja, joihin sisältyy avoimuus- tai ilmoitusvelvollisuuksia, vaikka kynnysarvot ja yksityiskohdat eroavat.
• Sovelluskaupat: sekä Apple että Google Play edellyttävät tietosuojaselosteen linkkiä niiden kautta jaettavilta sovelluksilta riippumatta siitä, missä kehittäjä sijaitsee.

Jo yhteydenottolomake, uutiskirjeen tilaus tai analytiikkaskripti tarkoittaa yleensä, että henkilötietoja käsitellään, joten hyvin harva todellinen verkkosivusto jää kaikkien sääntöjen ulkopuolelle. Perusteellisemman läpikäynnin löydät oppaista tarvitsenko tietosuojaselosteen ja GDPR:n tietosuojaselostevaatimukset. Jos vastaus projektisi kohdalla on kyllä, julkaise tietosuojaseloste ennen julkaisua äläkä odota, että käyttäjä tai tarkastaja pyytää sitä.

Yleensä ei samalla kattavalla tavalla. Mikään yleinen sääntö ei sano, että jokaisen verkkosivuston on julkaistava käyttöehdot. Julkaiset ne, koska sopimus suojaa sinua: se määrittää, kuka palvelua saa käyttää, mitä käyttäjät eivät saa tehdä, kuka omistaa sisällön, miten maksut ja hyvitykset toimivat ja miten riidat käsitellään.

On kuitenkin tärkeitä poikkeuksia, joissa laki käytännössä edellyttää käyttöehtotyyppisiä tietoja:

• Verkkokauppa EU:ssa ja Britanniassa: myyjien on annettava kuluttajille tietyt ennakkotiedot ennen sopimuksen tekemistä, kuten kokonaishinta, peruuttamisoikeudet ja valitusten käsittely, ja asetettava sopimusehdot saataville tavalla, joka mahdollistaa niiden tallentamisen ja toisintamisen.
• Käyttäjien sisältö EU:ssa: välityspalvelujen, mukaan lukien monet sivustot, jotka isännöivät käyttäjien julkaisuja tai latauksia, on digipalvelusäädöksen (Digital Services Act) mukaan kuvattava käyttöehdoissaan sisältörajoitukset ja moderointi.
• Tilaukset Yhdysvalloissa: toistuvia maksuja veloittaviin yrityksiin sovelletaan liittovaltion ja osavaltioiden sääntöjä tietojen antamisesta, suostumuksesta ja peruuttamisesta.

Jos mikään näistä ei koske sinua, käyttöehdot ovat liiketoiminnallinen päätös eivätkä lakisääteinen velvollisuus, joskin yleensä järkevä sellainen. Oppaamme tarvitsenko käyttöehdot käy jokaisen käynnistävän tekijän läpi vuorollaan, ja käyttöehtogeneraattori muuttaa vastauksesi luonnokseksi, jonka voit esikatsella maksutta.

Koska yleisöt eroavat, myös kirjoitustyyli eroaa.

Tietosuojaselosteen on oltava GDPR:n 12 artiklan sanoin tiivis, läpinäkyvä, helposti ymmärrettävä ja helposti saatavilla. Valvontaviranomaiset lukevat sitä tarkistaakseen, vastaako sanomasi sitä, mitä tuotteesi todella tekee. Sovellusten tarkastajat tarkistavat, että linkki on olemassa ja toimii. Tietosuojasta kiinnostuneet käyttäjät silmäilevät sitä jakamisen, mainonnan ja poistamisen osalta. Jokaisen väitteen pitäisi olla tosiasia, jonka pystyt osoittamaan: mitä henkilötietojen käsittelijöitä käytät, kuinka kauan säilytät tietoja ja miten ihmiset käyttävät oikeuksiaan.

Käyttöehtoja luetaan enimmäkseen silloin, kun jokin on mennyt pieleen: hyvitysriita, estetty tili, tekijänoikeusvalitus tai korttiveloituksen peruutus. Selkeys on silti tärkeää, koska EU:n ja Britannian kuluttajaoikeudessa epäselviä ehtoja tulkitaan kuluttajan eduksi. Käyttöehdot saavat kuitenkin olla jämäköitä. Ne asettavat rajoja, pidättävät oikeuksia ja jakavat riskejä.

Käytännön seuraus: älä koskaan kopioi markkinointisivusi lupauksia kumpaankaan asiakirjaan. Tietosuojaseloste, jonka mukaan tietoja ”ei koskaan jaeta”, vaikka käytössäsi on mainospikseli, tai käyttöehdot, jotka lupaavat keskeytyksetöntä palvelua, muuttuvat suojan sijaan todisteiksi sinua vastaan. Kirjoita molemmat asiakirjat selkeällä ja asiallisella tyylillä kuin joku, joka odottaa tulevansa tarkistetuksi.

Voit julkaista ne samalla sivulla, mutta siitä on harvoin hyötyä, ja se aiheuttaa kolme vältettävissä olevaa ongelmaa.

1. Suostumus sotkeutuu. GDPR:n 7 artiklan 2 kohdan mukaan, kun suostumusta pyydetään kirjallisella ilmoituksella, joka koskee myös muita asioita, suostumuspyyntö on esitettävä selvästi erillään näistä muista asioista. Kun tietoja koskevat luvat haudataan sopimuksen sisään, pätevän suostumuksen osoittaminen vaikeutuu.
2. Sopimuskieli vuotaa tiedotteeseen. Ilmaukset kuten ”hyväksyt, että voimme kerätä” antavat ymmärtää, että tietosuojatiedot ovat jotain, mistä käyttäjät neuvottelevat. GDPR:n mukaan sopimuksen hyväksyminen ei ole sama asia kuin suostumus käsittelyyn, ja kunkin tarkoituksen oma käsittelyperuste on selitettävä selkeästi.
3. Päivitykset törmäävät. Saatat joutua päivittämään tietosuojaselosteen, kun lisäät uuden analytiikkatyökalun, pyytämättä kaikkia hyväksymään koko sopimusta uudelleen, ja sama pätee toisinpäin.

Selkeämpi malli on kaksi asiakirjaa, jotka viittaavat toisiinsa. Käyttöehdoissa todetaan, että tietosuojaseloste selittää, miten henkilötietoja käsitellään, ja tietosuojaseloste pysyy itsenäisenä tiedotteena. Jos haluat käyttäjien näkevän molemmat rekisteröityessään, näytä kaksi erillistä linkkiä hyväksymistoiminnon vieressä ja tee selväksi, että vain käyttöehdot hyväksytään.

Sijoittelu seuraa tehtävää.

• Jokaisen sivun alatunniste: linkitä molemmat asiakirjat, jotta kävijät löytävät ne milloin tahansa.
• Rekisteröityminen ja kassa: sijoita käyttöehdot sopimuksen luovan toiminnon viereen sanamuodolla kuten ”Luomalla tilin hyväksyt käyttöehdot” sekä linkki tietosuojaselosteeseen tiedoksi.
• Tietojen keräyskohdat: yhteydenottolomakkeiden, uutiskirjeen tilausten ja liidilomakkeiden pitäisi linkittää tietosuojaselosteeseen siellä, missä tiedot kerätään.
• Sovelluskaupat: tietosuojaselosteen URL-osoite merkitään kaupan sivun kenttiin, ja Apple tarjoaa lisäksi erillisen kentän käyttöoikeussopimukselle.
• Sovellusten sisällä: asetus- tai tietoja-näkymän pitäisi linkittää molempiin asiakirjoihin.

Sijoittelu ei ole koristetta. Yhdysvaltalaiset tuomioistuimet ovat kieltäytyneet panemasta täytäntöön käyttöehtoja, jotka oli linkitetty vain alatunnisteeseen, kun käyttäjillä ei ollut kohtuullista tietoa niistä, joten käyttöehtojesi sijainti vaikuttaa suoraan siihen, sitovatko ne ketään. Myös tietosuojaseloste, jota kukaan ei löydä keräämishetkellä, epäonnistuu tehtävässään, vaikka se olisikin jossain sivustollasi. Yksityiskohtaisia sijoittelumalleja löydät oppaasta mihin tietosuojaselosteen linkki kannattaa sijoittaa.

Ristiriidat tietosuojaselosteen ja käyttöehtojen välillä johtuvat yleensä siitä, että ne on kirjoitettu eri aikoina eri mallipohjista. Toisen mukaan tilit poistetaan 30 päivän kuluttua, toisen mukaan 90 päivän. Toinen sanoo, ettet koskaan myy tietoja, toinen myöntää kumppaneille käyttöoikeuden käyttäjien sisältöön.

Turvallisempi työnkulku:

1. Listaa tosiasiat kerran: kerätyt tiedot, henkilötietojen käsittelijät, maksukanava, käyttäjien sisältö, palvellut alueet ja ikärajat.
2. Laadi tai luo tietosuojaseloste näiden tosiasioiden pohjalta.
3. Laadi tai luo käyttöehdot samojen tosiasioiden pohjalta.
4. Tarkista yhteiset aiheet ristiin: poistaminen, säilytys, viestintä, käyttäjien sisältö ja kolmansien osapuolten palvelut.
5. Julkaise molemmat selkeine voimaantulopäivineen ja säilytä vanhat versiot.

Legal Policy Generator noudattaa tätä lähestymistapaa. Vastaat selkokielisiin kysymyksiin, ja se kokoaa versioiduista, deterministisistä lausekkeista tietosuojaselosteen tai käyttöehdot; mikään tekoäly ei kirjoita lausekkeita ajon aikana. Kysely ja koko esikatselu ovat maksuttomia ilman tiliä, ja yksinkertainen HTML- tai PDF-lataus on maksuton. Edistyneet alueelliset tai valinnaiset moduulit maksavat 5 dollaria. Tulos heijastaa antamiasi tosiasioita, eikä se ole oikeudellista neuvontaa.