Voinko kopioida jonkun toisen tietosuojaselosteen?

Muiden selosteiden lukeminen on järkevä tapa oppia. Tavoitteena on lainata rakennetta ja ideoita, ei koskaan lauseita. Käytännöllinen menetelmä:

1. Lue kolme tai neljä selostetta yrityksiltä, jotka muistuttavat omaasi, mukaan lukien vähintään yksi, joka toimii päämarkkina-alueellasi
2. Kirjaa ylös niiden käsittelemät aiheet ja käyttämä järjestys, älä sanamuotoja
3. Pane merkille, mikä tekee selosteesta helppolukuisen, kuten tiivistelmät, taulukot ja selkeät pyyntöohjeet
4. Sulje nuo välilehdet ja rakenna oma tietokartoituksesi tuotteesi, lomakkeidesi ja palveluntarjoajiesi perusteella
5. Kirjoita jokainen osio omin sanoin kartoituksen pohjalta
6. Vertaa runkoasi pakollisen sisällön tarkistuslistaan löytääksesi puutteet
7. Varmista, että evästebannerisi, sovelluskauppojen merkinnät ja selosteesi kertovat saman asian

Jos haluat saman rakenteen vähemmällä käsityöllä, tietosuojaselostegeneraattori kysyy jokaisesta aiheesta selkokielellä ja kokoaa sanamuodot versioidusta lausekekirjastosta. Koska teksti valitaan vastaustesi perusteella eikä kopioida kolmannelta osapuolelta, se kuvaa sinun tuotettasi eikä jonkun muun.

Vaikka tekijänoikeus ei olisikaan ongelma, kopioitu seloste kuvaa toisen yrityksen liiketoimintaa. Mieti, mikä tavallisesti menee pieleen, kun pieni verkkokauppa kopioi suuren ohjelmistoyrityksen selosteen:

• Siinä mainitaan väärä oikeushenkilö, osoite ja tietosuojayhteyshenkilö
• Siinä luetellaan palveluntarjoajia, joita kauppa ei käytä, ja jätetään pois ne, joita se käyttää, kuten maksunvälittäjä ja sähköpostialusta
• Siinä kuvataan ominaisuuksia, joita kaupalla ei ole, kuten mobiilisovelluksia, ääniavustajia tai yritystilejä
• Siinä luvataan pyyntöprosesseja, vastausaikoja ja kieltäytymistyökaluja, joita kauppa ei ole koskaan rakentanut
• Siinä esitetään käsittelyperusteita, tiedonsiirtoja ja säilytysaikoja, jotka eivät vastaa todellisuutta
• Se kattaa alueita, joilla kauppa ei toimi, ja ohittaa ne, joilla se toimii

Jokainen ristiriita on virheellinen väite siitä, miten henkilötietoja käsitellään. Lukijat eivät voi käyttää oikeuksiaan jollekulle toiselle kuuluvien yhteystietojen kautta, ja kuka tahansa tuotettasi arvioiva, sovelluskaupan tarkastajasta yritysasiakkaaseen, huomaa eron selosteen ja sivustosi todellisen toiminnan välillä.

Yleensä on. Tietosuojaseloste on kirjoitettua tekstiä, ja kirjoitettu teksti on yleensä tekijänoikeuden suojaama omaperäisenä teoksena. Yhdysvaltain tekijänoikeusviraston (U.S. Copyright Office) mukaan teos on tekijänoikeuden suojaama sillä hetkellä, kun se luodaan ja tallennetaan aineelliseen muotoon, ja rekisteröinti on yleensä vapaaehtoista. Se, että alatunnisteesta puuttuu tekijänoikeusmerkintä, ei tarkoita, että tekstin saisi vapaasti ottaa.

Tekijänoikeudella on tässä merkityksellisiä rajoja. Tekijänoikeusviraston mukaan tekijänoikeus ei suojaa tosiasioita, ideoita, järjestelmiä tai toimintatapoja, eikä se suojaa nimiä, otsikoita, iskulauseita tai lyhyitä fraaseja. Tämä tarkoittaa, että tietosuojaselosteen aiheita, kuten tietoryhmiä, käyttötarkoituksia, oikeuksia ja säilytysaikoja, saa käsitellä kuka tahansa. Suojattua voi olla tietyn kirjoittajan ilmaisu: hänen kirjoittamansa lauseet, rakenteelliset valinnat ja selitykset.

Säännöt vaihtelevat maittain, ja useimmat maat suojaavat teokset automaattisesti ilman rekisteröintiä. Tämä on yleinen selitys, ei oikeudellista neuvontaa. Käytännön johtopäätös on yksinkertainen: ideoiden uudelleenkäyttö on sallittua, kun taas jonkun sanamuodon kopioiminen kokonaisuudessaan on riski, jota sinun ei tarvitse ottaa.

Voi, koska tietosuojaselostetta pidetään joukkona tosiasiallisia lupauksia. Yhdysvalloissa Federal Trade Commission Actin 5 pykälä kieltää kaupankäynnissä tai sitä koskevissa toimissa epäreilut tai harhaanjohtavat teot ja menettelyt, ja FTC on nostanut lukuisia kanteita yrityksiä vastaan, joiden tietosuojalausunnot eivät vastanneet niiden todellisia käytäntöjä. Useimmilla osavaltioilla on omat kuluttajansuojalakinsa, jotka kattavat samankaltaisen toiminnan.

Kalifornia lisää tähän erityisen säännön. CalOPPA velvoittaa kaupalliset verkkosivustot ja verkkopalvelut, jotka keräävät henkilön tunnistavia tietoja Kalifornian asukkailta, julkaisemaan selosteen, jonka sisältö on määritelty, ja pykälän 22576 mukaan on rikkomus jättää noudattamatta omaa julkaistua selostettaan joko tietoisesti ja tahallisesti tai huolimattomasti ja olennaisesti. Kopioitu seloste, joka lupaa käytäntöjä, joita et noudata, on juuri tällainen riski.

Sillä ei ole merkitystä, että sanat on kirjoittanut joku muu. Kun julkaiset ne selosteenasi, ne ovat sinun väitteitäsi liiketoiminnastasi, ja vastaat niiden totuudenmukaisuudesta.

Jos palvelet ihmisiä Euroopan talousalueella (ETA) tai Isossa-Britanniassa, EU:n yleinen tietosuoja-asetus (GDPR) tekee tarkkuusvaatimuksesta vielä konkreettisemman. Artikla 13 edellyttää, että ilmoitat tietoja kerätessäsi henkilöllisyytesi ja yhteystietosi, mahdollisen tietosuojavastaavan yhteystiedot, käsittelyn tarkoitukset ja käsittelyperusteen, vastaanottajat, mahdolliset siirrot alueen ulkopuolelle ja niiden suojatoimet, säilytysajat tai niiden määrittämiskriteerit, käytettävissä olevat oikeudet sekä oikeuden tehdä valitus valvontaviranomaiselle.

Kopioitu seloste epäonnistuu useimmissa näistä heti ensimmäisestä päivästä. Siinä nimetään toinen rekisterinpitäjä, kuvataan muita käyttötarkoituksia ja luetellaan toisen yrityksen henkilötietojen käsittelijät. Artiklan 5 kohdan 1 alakohta a edellyttää lisäksi, että käsittely on lainmukaista, kohtuullista ja läpinäkyvää, ja artikla 12 vaatii tiedot tiiviissä, läpinäkyvässä, helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa.

Artiklojen 12–22 läpinäkyvyyttä ja oikeuksia koskevien säännösten rikkominen kuuluu GDPR:n korkeampaan sakkoluokkaan. Ongelman näkee kuitenkin odottamatta sakkoakin: ilmoitus, joka kuvaa jonkun muun käsittelyä, ei yksinkertaisesti informoi käyttäjiäsi, ja juuri sitä varten seloste on olemassa. GDPR-tietosuojaselosteen opas luettelee kaikki vaaditut kohdat.

Voivat, ja kopioitu teksti tekee hylkäyksestä todennäköisemmän. Google Playn User Data -käytäntö edellyttää tietosuojaselostetta, joka sisältää kehittäjän tiedot ja tietosuoja-asioiden yhteyspisteen, kertoo, minkä tyyppisiin henkilötietoihin ja arkaluonteisiin käyttäjätietoihin sovellus pääsee käsiksi ja mitä se kerää, käyttää ja jakaa, sekä selittää tietojen turvallisen käsittelyn ja kehittäjän säilytys- ja poistokäytännön. Seloste, jossa on toisen yrityksen nimi ja yhteystiedot, ei täytä tätä kuvausta.

Applen ohje 5.1.1(i) edellyttää samoin, että selosteessa kerrotaan, mitä tietoja sovellus kerää, miten se ne kerää ja kaikki tietojen käyttötavat, sekä selitetään säilytys, poistaminen ja se, miten käyttäjät voivat peruuttaa suostumuksensa tai pyytää tietojen poistamista. Kauppojen tarkastajat myös vertaavat selostetta lähettämiisi tietosuojamerkintöihin ja Data safety -vastauksiin; niiden väliset ristiriidat ovat yleinen syy lisäkysymyksiin.

Muut alustat noudattavat samaa logiikkaa. Googlen OAuth-vahvistus, Chrome Web Store -listaukset ja maksupalveluntarjoajat odottavat kaikki, että seloste kuvaa sinun tuotettasi. Kopioimalla säästät minuutteja, mutta voit menettää päiviä uudelleenlähetyksiin.

Pohjat eroavat kopioinnista, koska ne tarjotaan uudelleenkäyttöön. Pohjan tekijä odottaa sinun muokkaavan sitä, ja sen ehdot kertovat, mitä saat tehdä. Tarkista ennen minkään pohjan käyttöä kolme asiaa:

• Lisenssi: jotkin pohjat ovat vapaasti käytettävissä ja muokattavissa, jotkin edellyttävät tekijän mainitsemista ja jotkin kieltävät kaupallisen käytön tai edelleenlevityksen
• Päivämäärä: ennen viimeaikaisia lakimuutoksia kirjoitetusta pohjasta voi puuttua pakollisia kohtia
• Sopivuus: blogia varten tehty pohja ei kata sovellusta, jossa on sovelluksen sisäisiä ostoja ja mainos-SDK:ita

Jotkin organisaatiot julkaisevat omat selosteensa avoimilla lisensseillä, kuten Creative Commonsilla. Jos selosteella on tällainen lisenssi, saat käyttää sitä uudelleen ilmoitetuin ehdoin, joihin voi kuulua tekijän mainitseminen ja muokatun version jakaminen samalla lisenssillä. Lupa ratkaisee tekijänoikeuskysymyksen mutta ei tarkkuuskysymystä: sinun on silti kirjoitettava jokainen tosiasia uudelleen.

Parempi lähestymistapa on pohja, joka mukautuu vastauksiisi, sen sijaan että muokkaisit sitä käsin. Tietosuojaselosteen pohja -sivu selittää, miten rakenne voi muuttua kuvaamasi palvelun perusteella.

Sinulla on kolme realistista vaihtoehtoa, ja jokainen alkaa samasta asiasta: rehellisestä kartoituksesta siitä, mitä keräät ja miksi.

• Kirjoita itse: maksutonta ja täysin hallinnassasi, jos etenet järjestelmällisesti. Vaiheittainen opas siitä, miten tietosuojaseloste kirjoitetaan, sisältää tarkistuslistan, jota voit käyttää luonnostellessasi.
• Käytä generaattoria: nopeampaa ja johdonmukaisempaa, kunhan se kysyy todellisista käytännöistäsi. Legal Policy Generatorin kysely ja koko esikatselu ovat maksuttomia ilman tiliä, ja yksinkertainen HTML- ja PDF-lataus on maksuton.
• Palkkaa lakimies: oikea valinta, kun käsittelet arkaluonteisia tietoja, palvelet lapsia, myyt tai jaat tietoja mainontaa varten tai kohtaat vaativia yritysasiakkaita.

Valitsitpa minkä tahansa reitin, kustannukset ovat yleensä pienemmät kuin ihmiset odottavat; paljonko tietosuojaseloste maksaa vertailee vaihtoehtoja. Jokainen niistä on kopiointia turvallisempi, koska jokainen tuottaa asiakirjan, joka kuvaa sinun liiketoimintaasi eikä jonkun muun.