GDPR eli yleinen tietosuoja-asetus koskee kaikkia EU:ssa toimivia organisaatioita, jotka käsittelevät henkilötietoja, myös pieniä yrityksiä. Suomessa toimiva pienyritys kuuluu GDPR:n soveltamisalaan, jos se kerää, tallentaa tai muulla tavoin käsittelee asiakkaiden, työntekijöiden tai muiden luonnollisten henkilöiden tietoja. Yrityksen koko ei vapauta velvoitteista, mutta tietyissä tilanteissa sovelletaan kevennettyjä vaatimuksia.
Monessa pienyrityksessä henkilötietoja käsitellään ilman selkeää dokumentaatiota tai prosessia, koska resurssit ovat rajalliset ja tietosuoja-asiat tuntuvat abstrakteilta. Tämä altistaa yrityksen valvontaviranomaisen huomiolle ja asiakasreklamaatioille. Käytännön korjaustoimenpiteet alkavat usein yksinkertaisesta asiasta: selvitetään, mitä tietoja ylipäänsä kerätään, miksi ja miten kauan niitä säilytetään. Tästä kartoituksesta rakentuu pohja kaikelle muulle.
Tietosuojaseloste ei ole pelkkä lakitekninen muodollisuus, vaan se on usein ensimmäinen paikka, jossa asiakas arvioi yrityksen luotettavuutta. Jos seloste puuttuu kokonaan, on vanhentunut tai kirjoitettu tavalla, jota kukaan ei ymmärrä, se viestii huolimattomuudesta. Selkeä, ajantasainen ja yleiskielinen seloste on konkreettinen toimenpide, jolla pienyritys osoittaa ottavansa tietosuojan vakavasti ja täyttää samalla lainsäädännölliset velvoitteensa.
GDPR on EU:n tietosuoja-asetus, joka määrittelee, miten henkilötietoja saa kerätä, käsitellä ja säilyttää. Pienelle yritykselle se tarkoittaa käytännössä velvollisuutta kertoa avoimesti tietojen käytöstä, hankkia tarvittaessa suostumus, suojata tiedot asianmukaisesti ja reagoida tietoturvaloukkauksiin määräajassa.
Asetus tuli voimaan vuonna 2018 ja korvasi aiemman EU-direktiivin. Se yhtenäisti tietosuojasääntelyä koko EU:n alueella, mikä tarkoittaa, että suomalainen yritys noudattaa samoja perussääntöjä kuin saksalainen tai ranskalainen toimija. Kansallinen lainsäädäntö, kuten Suomen tietosuojalaki, täydentää asetusta tietyiltä osin.
Pienyritykselle GDPR ei ole pelkkä hallinnollinen taakka. Se on myös viesti asiakkaille siitä, että heidän tietojaan kohdellaan vastuullisesti. Tietosuojan laiminlyönti voi vahingoittaa mainetta tavalla, joka on vaikeampi korjata kuin itse sakko.
GDPR koskee käytännössä kaikkia suomalaisia pienyrityksiä, jotka käsittelevät henkilötietoja liiketoiminnassaan. Tähän riittää esimerkiksi asiakasrekisterin ylläpito, uutiskirjeen lähettäminen tai työntekijätietojen hallinta. Yrityksen liikevaihto tai henkilöstömäärä ei ratkaise soveltamisalaa.
Asetuksessa on kuitenkin yksi merkittävä helpotus pienille toimijoille: alle 250 henkilöä työllistävät organisaatiot on vapautettu tiettyjen käsittelytoimien kirjaamisvelvollisuudesta, ellei käsittely ole säännöllistä, koske erityisiä henkilötietoryhmiä tai aiheuta riskiä rekisteröidyille. Käytännössä useimmilla pienyrityksillä on kuitenkin jonkinlainen kirjaamisvelvollisuus, koska asiakastietojen käsittely on tyypillisesti säännöllistä.
Soveltamisalan ulkopuolelle jää lähinnä täysin yksityiseen käyttöön liittyvä tietojen käsittely, jolla ei ole liiketoiminnallista yhteyttä. Epäselvissä tilanteissa oikeudellinen arviointi riippuu aina yrityksen konkreettisesta toiminnasta ja siitä, millaisia tietoja todellisuudessa käsitellään.
Pienen yrityksen keskeisimmät GDPR-velvoitteet ovat tietojen käsittelyn läpinäkyvyys, lainmukainen käsittelyperuste jokaiselle tietoryhmälle, rekisteröidyn oikeuksien toteuttaminen, tietoturvan riittävä taso sekä tietoturvaloukkausten ilmoittaminen viranomaiselle.
Konkreettisemmin tämä tarkoittaa seuraavaa:
Käsittelytoimien rekisteröinti on lisäksi velvollisuus silloin, kun käsittely on säännöllistä tai koskee erityisiä henkilötietoryhmiä, kuten terveystietoja.
GDPR-vaatimusten toteuttaminen käytännössä etenee tyypillisesti neljässä vaiheessa: kartoitetaan käsiteltävät henkilötiedot, määritellään käsittelyperusteet, laaditaan tarvittavat asiakirjat ja luodaan prosessit poikkeustilanteiden hallintaan.
Ensimmäinen askel on selvittää, mitä tietoja yritys ylipäänsä kerää ja mistä ne tulevat. Tämä niin sanottu tietovirtojen kartoitus paljastaa usein tietoja, joita kerätään tarpeettomasti tai joiden käsittelyperusteesta ei ole selvyyttä. Minimoinnin periaate eli vain tarpeellisten tietojen kerääminen on yksi GDPR:n keskeisistä lähtökohdista.
Käytännön toimenpiteitä ovat muun muassa tietosuojaselosteen laatiminen verkkosivustolle, henkilöstön ohjeistaminen tietojen käsittelystä, sopimusten tarkistaminen alihankkijoiden kanssa sekä selkeän prosessin luominen sille, miten toimitaan, jos asiakas pyytää tietojensa poistamista tai jos tietomurto tapahtuu. Nämä eivät vaadi suurta organisaatiota, mutta ne edellyttävät suunnitelmallisuutta.
GDPR-rikkomuksesta voi seurata hallinnollinen sakko, joka voi olla enintään 20 miljoonaa euroa tai neljä prosenttia yrityksen vuotuisesta maailmanlaajuisesta liikevaihdosta. Pienyrityksille määrättävät sanktiot ovat tyypillisesti huomattavasti pienempiä, mutta myös varoitukset ja huomautukset ovat mahdollisia seuraamuksia.
Suomessa valvovana viranomaisena toimii tietosuojavaltuutetun toimisto, joka voi tutkia yrityksiä joko omasta aloitteestaan tai yksityishenkilön kantelun perusteella. Käytännön kokemus osoittaa, että merkittävä osa tapauksista käynnistyy asiakkaan tai entisen työntekijän tekemästä kantelusta.
Taloudellisen sanktion lisäksi rikkomuksesta voi seurata mainehaittaa, joka pienelle yritykselle voi olla pitkäkestoisempaa vahinkoa kuin itse sakko. Rekisteröidyllä on myös oikeus vaatia korvausta GDPR-rikkomuksesta aiheutuneesta vahingosta suoraan yritykseltä.
Asiantuntija-apua tietosuoja-asioissa on perusteltua harkita silloin, kun yritys käsittelee arkaluonteisia henkilötietoja, laajentaa toimintaansa uusille markkinoille, ottaa käyttöön uusia digitaalisia palveluja tai kohtaa tietoturvaloukkauksen. Myös sopimusten tarkistaminen alihankkijoiden kanssa on tilanne, jossa oikeudellinen arviointi tuottaa lisäarvoa.
Tietosuojakysymysten monimutkaisuus vaihtelee merkittävästi toimialan ja liiketoimintamallin mukaan. Yksinkertaisessa palveluyrityksessä, joka ylläpitää asiakasrekisteriä, velvoitteet ovat hallittavissa kohtuullisella omalla panostuksella. Sen sijaan esimerkiksi terveyteen liittyviä tietoja käsittelevä tai laajaa profilointia harjoittava organisaatio kohtaa huomattavasti vaativamman sääntelykentän.
Me Hedman Partnersilla autamme yrityksiä tietosuojastrategian rakentamisessa ja olemassa olevien käytäntöjen kehittämisessä. Ensimmäinen yhteydenotto toimistoomme on maksuton, ja tietosuojaneuvontapalvelumme kattavat niin alkukartoituksen kuin jatkuvan tuen tietosuoja-asioissa. Oikeudellinen arviointi on aina tilannekohtaista, ja varhainen asiantuntijakonsultaatio auttaa välttämään ongelmat ennen kuin ne syntyvät.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.