GDPR ja tietoturva-auditoinnit: Käytännön opas verkkosivuston omistajille

⚠️ Vastuuvapauslauseke: Tämä artikkeli on yleinen opastava opas eikä muodosta oikeudellista neuvontaa. Lait ja säädökset voivat vaihdella maan, toimialan ja oman tilanteesi mukaan. Käänny aina pätevän lakimiehen tai tietosuoja-asiantuntijan puoleen saadaksesi organisaatiollesi räätälöityä ohjeistusta.

Johdanto: Mitä tämä opas kattaa

GDPR voi tuntua ylivoimaiselta – etenkin kun pyörität verkkosivustoa ja yrität ymmärtää, mitä se käytännössä tarkoittaa päivittäisen toimintasi kannalta. Tämä opas käy selkokielellä läpi keskeiset tekniset ja organisatoriset osa-alueet, jotka sinun on hyvä tuntea.

Emme ole täällä pelottelemassa sinua. Suurin osa siitä, mitä GDPR vaatii verkkosivustoilta, on käytännön tervettä järkeä: pidä järjestelmäsi turvallisina, ole läpinäkyvä siitä, mitä tietoja keräät, ja varaudu suunnitelmalla siltä varalta, että jokin menee pieleen.

Ydinajatus: ”asianmukainen turvallisuus”

Pohjimmiltaan GDPR:n 32 artikla edellyttää, että organisaatiot toteuttavat turvallisuustoimia, jotka ovat ”riskiä vastaavia”. Tämä tarkoittaa, ettei ole olemassa yhtä ainoaa tarkistuslistaa – velvollisuutesi riippuvat siitä, millaisia tietoja käsittelet ja kuinka arkaluonteisia ne ovat.

Pienellä blogilla, joka kerää uutiskirjeen tilauksia, on erilaiset vaatimukset kuin terveydenhuollon alustalla, joka käsittelee potilastietoja. Mutta lähes kaikilta verkkosivustoilta, jotka keräävät henkilötietoja, odotetaan yleensä joitakin perustason turvallisuustoimia:

• HTTPS/SSL – salatut yhteydet verkkosivustosi ja kävijöiden välillä
• Pääsynvalvonta – rajataan, kenellä on sisäisesti pääsy henkilötietoihin
• Poikkeamien havaitseminen – tieto siitä, milloin jokin menee pieleen
• Säännölliset turvallisuustarkastukset – tarkistetaan, että suojauksesi toimivat edelleen

Yksi tärkeä asia: sinun on pystyttävä osoittamaan, että teet nämä asiat, etkä vain väittämään tekeväsi niin. Dokumentaatiolla on merkitystä.

Evästeet: muutakin kuin pelkkä banneri

Evästesuostumus on yksi GDPR:n noudattamisen näkyvimmistä osista – ja myös yksi useimmin väärinymmärretyistä.

Perussääntö: jokainen eväste, joka ei ole ehdottoman välttämätön verkkosivustosi toiminnalle, edellyttää kävijän ennalta annettua, tietoon perustuvaa suostumusta. Tämä tarkoittaa, että:

• Analytiikkatyökalut, kuten Google Analytics, edellyttävät suostumusta
• Markkinointipikselit (Facebook, LinkedIn jne.) edellyttävät suostumusta
• Kirjautumisen istuntoevästeet ovat yleensä välttämättömiä eivätkä edellytä suostumusta

Pätevä suostumusmekanismi tarkoittaa, että käyttäjä voi yhtä helposti sanoa ei kuin kyllä. Valmiiksi rastitetut ruudut eivät kelpaa. Valtava ”Hyväksy kaikki” -painike pienen harmaan ”Hallitse asetuksia” -linkin vieressä on niin ikään ongelmallinen.

Ja tässä on se tekninen yksityiskohta, johon monet verkkosivustot kompastuvat: evästeitä ei saa asettaa ennen kuin suostumus on annettu. Monet sivustot lataavat seurantaskriptejä taustalla, kun suostumusbanneri on vielä näkyvissä – tämä on rikkomus riippumatta siitä, mitä bannerissa lukee.

Tietosuojaselosteesi

Tietosuojaseloste on lakisääteinen vaatimus, jos keräät mitä tahansa henkilötietoja. Sen on kuitenkin sisällettävä tarkkoja tietoja, ei pelkkiä yleisiä lausuntoja.

Vähintään sen tulisi selittää:

• Kuka tietoja kerää (organisaatiosi nimi ja yhteystiedot)
• Mitä tietoja keräät ja miksi
• Mitä oikeusperustetta käytät (suostumus, oikeutettu etu jne.)
• Kenen kanssa jaat tietoja
• Kuinka kauan säilytät tietoja
• Mitä oikeuksia käyttäjillä on (pääsy, poistaminen, oikaisu jne.)

Epämääräiset lausunnot, kuten ”saatamme jakaa tietoja kumppaneiden kanssa”, eivät yleensä täytä vaatimusta. Ole täsmällinen.

Jos jokin menee pieleen: tietoturvaloukkauksesta ilmoittaminen

Jos sinua kohtaa henkilötietojen tietoturvaloukkaus – joku saa luvattoman pääsyn käyttäjiesi tietoihin – sinulla voi olla lakisääteinen velvollisuus ilmoittaa siitä.

GDPR:n 33 artiklan mukaan sinun on yleensä ilmoitettava kansalliselle tietosuojaviranomaiselle 72 tunnin kuluessa siitä, kun olet saanut loukkauksesta tiedon, jos se aiheuttaa riskin ihmisten oikeuksille. Ruotsissa tämä viranomainen on IMY (Integritetsskyddsmyndigheten).

Tämän vuoksi järjestelmiesi valvonnalla on merkitystä – mitä nopeammin havaitset ongelman, sitä enemmän sinulla on aikaa reagoida ja ilmoittaa siitä oikein.

Huomautus: Kaikkia poikkeamia ei tarvitse ilmoittaa. Se, laukaiseeko loukkaus ilmoitusvelvollisuuden, riippuu poikkeaman luonteesta ja vakavuudesta. Pyydä oikeudellista neuvontaa omaa tilannettasi varten.

Huomio NIS2:sta

NIS2-direktiivi on EU:n kyberturvallisuussäädös, joka tuli voimaan lokakuussa 2024. Se koskee tietyillä toimialoilla (energia, terveydenhuolto, rahoitus, digitaalinen infrastruktuuri ja muut) toimivia organisaatioita ja asettaa tiukemmat kyberturvallisuusvaatimukset kuin GDPR.

Jos toimit jollakin näistä toimialoista, NIS2:ta kannattaa tutkia tarkemmin – mieluiten toimialasi tuntevan asiantuntijan kanssa. Poikkeamien raportoinnin määräajat ovat NIS2:n mukaan tiukemmat kuin GDPR:ssä (24 tuntia alustavalle ilmoitukselle).

Tämä opas ei käsittele NIS2:ta syvällisesti, koska sen sovellettavuus vaihtelee suuresti organisaatiotyypin ja maan mukaan.

Yleisiä kysymyksiä

Tarvitsenko tietosuojavastaavan (DPO)? Useimmat pienet ja keskisuuret verkkosivustot eivät tarvitse. Tietosuojavastaava vaaditaan yleensä, jos olet viranomainen tai jos ydintoimintaasi kuuluu arkaluonteisten tietojen laajamittainen käsittely. Jos olet epävarma, tarkista asia lakimieheltä.

Pitääkö minun rekisteröityä tietosuojaviranomaiselle? Useimmissa EU-maissa sinun ei tarvitse rekisteröityä oma-aloitteisesti. Sinun on kuitenkin pidettävä sisäistä selostetta käsittelytoimistasi (kutsutaan nimellä RoPA).

Mistä tiedän, onko verkkosivustoni teknisesti vaatimustenmukainen? Turvallisuusauditointi voi auttaa tunnistamaan teknisiä puutteita – kuten vanhentuneita SSL-varmenteita, puuttuvia tietoturvaotsakkeita tai evästeitä, jotka laukeavat ennen suostumusta. FortifyNetin kaltaiset työkalut voivat antaa sinulle nopean yleiskuvan verkkosivustosi teknisestä turvallisuustilanteesta.

Mistä saat asianmukaista oikeudellista neuvontaa

Tämän oppaan on tarkoitus antaa sinulle lähtökohta – ei täydellistä vastausta. GDPR:n noudattaminen riippuu omasta tilanteestasi, käsittelemistäsi tiedoista, maastasi ja toimialastasi.

Asianmukaista ohjeistusta varten harkitse seuraavia:

• Kansallisen tietosuojaviranomaisesi verkkosivusto (esim. imy.se Ruotsissa)
• Pätevä tietosuojaan erikoistunut lakimies tai konsultti
• Yrityksesi oikeudellinen osasto, jos sellainen on

Älä luota yksinomaan blogiartikkeleihin (mukaan lukien tähän!) oikeudellista vaatimustenmukaisuutta koskevissa päätöksissä.