GDPR verkkosivustoille: käytännön opas rakentaville tiimeille

GDPR:ää on sovellettu 25. toukokuuta 2018 alkaen. Kahdeksan vuotta myöhemmin useimmat yritykset uskovat noudattavansa sitä, ja useimmat verkkosivustot, joita tarkastelemme, eivät noudata.

Kyse ei ole yleensä välinpitämättömyydestä. Kyse on siitä, että GDPR-työ tehtiin kerran, asiakirjoina, ja järjestelmä siirtyi sitten sen ympärillä. Uusi analytiikkatyökalu, uusi CRM, uusi chatbot, uusi markkinointiautomaatio. Jokainen lisäsi käsittelyä, jota rekisteri ei koskaan tavoittanut.

Tämä opas keskittyy siihen puoleen, jonka omistat tiiminä rakentavana: tietomalli, integraatiot, oikeuksia koskevat pyynnöt ja se, mitä koodissa oikeasti tapahtuu. Se ei ole oikeudellista neuvontaa, ja pitäydymme pois tulkintakysymyksistä, jotka kuuluvat juristeillenne.

Ensin lyhyt perusta

Asetus (EU) 2016/679 koskee henkilötietojen käsittelyä. Henkilötieto on mikä tahansa tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvä tieto, ja tunnistettavuus on laajempi käsite kuin useimmat tiimit olettavat. IP-osoitteet, evästetunnisteet, laitetunnisteet, hashatut sähköpostiosoitteet ja käyttäjätilitunnisteet ovat kaikki mukana.

Asetus koskee sinua, jos olet sijoittautunut EU:hun, tai jos et ole mutta tarjoat tavaroita tai palveluja EU:ssa oleville henkilöille tai seuraat heidän käyttäytymistään.

Rekisterinpitäjä päättää käsittelyn tarkoituksista ja keinoista. Henkilötietojen käsittelijä käsittelee rekisterinpitäjän puolesta. Useimmat verkkosivustojen omistajat ovat rekisterinpitäjiä, ja useimmat SaaS-toimittajat ovat henkilötietojen käsittelijöitä, mutta on tapauksia, joissa toimittajasi on itsenäinen rekisterinpitäjä, ja se muuttaa tarvittavaa sopimusta.

Kuusi käsittelyperustetta ja se, jota käytetään väärin

Jokainen käsittelytoimi tarvitsee yhden peruston artiklasta 6:

Suostumus. Vapaaehtoisesti annettu, yksilöity, tietoinen ja yksiselitteinen. Peruutettava yhtä helposti kuin annettu.
Sopimus. Käsittely on tarpeen sopimuksen täyttämiseksi rekisteröidyn kanssa.
Oikeudellinen velvoite. Laki vaatii sitä.
Elintärkeät edut. Harvinainen verkkosivustoilla.
Yleinen etu. Enimmäkseen julkinen sektori.
Oikeutettu etu. Sinun tai kolmannen osapuolen etu, joka ei syrjäydy rekisteröidyn oikeuksien tieltä.

Käytännössä oikeutettu etu on se, jota käytetään väärin. Se on todellinen peruste, ja siihen vedotaan usein ilman tasapainotestiä, joka tekee siitä toimivan. Jos aiot käyttää sitä, tarvitset dokumentoidun arvion, jossa yksilöidään etu, arvioidaan tarpeellisuus ja punnitaan rekisteröidyn oikeuksia. Yhden sivun muistio riittää. Ei mikään ei riitä.

Yksi asia, jota ei kannata arvata: pääsy tietoihin ja tietojen tallentaminen käyttäjän laitteelle kuuluu sähköisen viestinnän tietosuojadirektiivin alaan, ei vain GDPR:n. Siksi ei-välttämättömät evästeet vaativat suostumusta riippumatta siitä, mihin käsittelyperusteeseen vetoat itse tiedoille.

Missä verkkosivustot todella epäonnistuvat

Kahdeksan vuoden korjaustyön jälkeen sama lista toistuu.

Skriptit latautuvat ennen suostumusta

Klassikko. Suostumusbanneri renderöityy, mutta Google Analytics, Meta-pikseli ja chat-widget latautuivat jo <head>-lohkosta. Käyttäjä ei ole klikannut mitään, ja kolme kolmatta osapuolta on jo saanut hänen IP-osoitteensa.

Tämä on koodiongelma, ei alustaongelma. Suostumusalusta voi estää tunnistamansa skriptit, mutta itse lisäämäsi skriptitunniste latautuu joka tapauksessa, ellei sitä ole ehdollistettu. Todellinen korjaus on ehdollinen lataus: skriptejä ei injektoida ennen kuin suostumustila on tiedossa.

Testaa se sillä tavalla, jolla valvoja testaisi. Avaa selain tyhjällä profiililla, avaa verkkovälilehti, lataa sivu, älä koske banneriin, ja katso mitä lähtee ulos. Se on tarkastus.

Suostumusbanneri ei ole pätevä

Vaatimukset ovat vakiintuneet, ja useimmat bannerit rikkovat vähintään yhtä:

Hylkääminen on oltava yhtä helppoa kuin hyväksyminen, saman tason painikkeena, ei valikon takana.
Esivalitut valintaruudut eivät ole suostumus.
«Jatkamalla selaamista hyväksyt» ei ole suostumus.
Suostumus on eriteltävä tarkoituksittain. Yksi kaiken kattava kytkin ei kelpaa.
Peruuttamisen on oltava yhtä helppoa kuin antamisen, mikä tarkoittaa pysyvää linkkiä asetusten uudelleenavaamiseen.
Suostumustodiste on säilytettävä: mihin suostuttiin, milloin, minkä bannerin version kanssa.

Viimeinen unohtuu useimmin. Ilman suostumuslokia väite «käyttäjä suostui» ei ole todistettavissa.

Sääntöjoukko on muuttumassa. Ehdotetun Digital Omnibusin artiklat 88a ja 88b siirtäisivät nämä säännöt GDPR:ään, lisäisivät kuuden kuukauden hiljaisen jakson hylkäyksen jälkeen ja tekisivät koneluettavista signaaleista oikeudellisesti sitovia. Se on edelleen neuvottelussa, ja käsittelemme asemaa artikkelissa evästesuostumus Digital Omnibusin jälkeen.

Rekisteröidyn pyyntöjä ei voi täyttää

Käyttäjä pyytää kopion tiedoistaan. Tarvitset kaiken, ja kaikki tarkoittaa jokaista järjestelmää: tuotantotietokantaa, analytiikkaa, CRM:ää, tukijärjestelmää, sähköpostialustaa, tiedostotallennusta, lokeja, varmuuskopioita, tietovarastoa.

Useimmat organisaatiot voivat vastata tuotantotietokannasta ja arvaavat lopun. Se ei ole vaatimustenmukaisuutta, se on onnea.

Määräaika on yksi kuukausi pyynnön vastaanottamisesta, pidennettävissä kahdella kuukaudella monimutkaisissa tapauksissa, jos ilmoitat pidennyksestä ensimmäisen kuukauden aikana.

Oikeudet, jotka sinun on toteutettava:

Pääsy. Kopio tiedoista ja tietoa käsittelystä.
Oikaisu. Virheellisten tietojen korjaaminen.
Poistaminen. Poistaminen, kun edellytykset täyttyvät.
Käsittelyn rajoittaminen. Tietojen säilyttäminen mutta käsittelyn lopettaminen.
Siirrettävyys. Jäsennelty, yleisesti käytetty, koneluettava muoto, ja jos teknisesti mahdollista, suora siirto toiselle rekisterinpitäjälle.
Vastustaminen. Erityisesti suoramarkkinointia vastaan, jolloin lopettaminen on ehdotonta.
Oikeus olla joutumatta pelkästään automatisoidun päätöksenteon kohteeksi, jolla on oikeusvaikutuksia tai vastaava merkittävä vaikutus.

Siirrettävyysrajapinta, jonka rakennat tähän, on suurelta osin sama infrastruktuuri, jota Data Act edellyttää tuotedatalle. Kannattaa rakentaa kerran.

Säilytysajat ovat käytännössä ikuisia

GDPR vaatii säilyttämään henkilötietoja vain niin kauan kuin on tarpeen tarkoituksiin, joita varten ne kerättiin. Käytännössä useimmat järjestelmät säilyttävät kaiken ikuisesti, koska kukaan ei koskaan rakentanut poistoa.

Toimiva lähestymistapa on säilytys datamallin ominaisuutena, ei politiikkadokumenttina. Jokainen henkilötietoja sisältävä taulu saa säilytyssäännön, jokainen sääntö saa ajastetun työn, ja työ lokittaa mitä se poisti. Ilman sitä vastauksesi valvojan kysymykseen «kuinka kauan säilytätte tätä?» on «kunnes joku muistaa», mikä ei ole vastaus.

Varmuuskopiot ovat jatkuva kysymys. Yleisesti hyväksytty kanta on, että varmuuskopioiden ei tarvitse tukea kohdennettua poistoa, jos on dokumentoitu prosessi, joka varmistaa, ettei palautettuja tietoja käsitellä uudelleen ja että ne poistuvat varmuuskopion kierron myötä. Se kanta pitää kirjoittaa ylös ennen kuin sitä tarvitaan.

Kansainväliset siirrot on käsitelty pinnallisesti

Jos tietoja siirretään EU:n ulkopuolelle, tarvitset siirtomekanismin: tietosuojan riittävyyspäätöksen, vakiosopimuslausekkeet tai yritystä koskevat sitovat säännöt. Jos käytät vakiosopimuslausekkeita, tarvitset myös siirtovaikutusten arvioinnin.

Käytännön ongelma on inventaario. Useimmat tiimit tietävät suurista toimittajista ja jättävät huomiotta pienet: fonttien isännöinnin, CDN:n, virheenseurannan, sähköpostin toimituksen, tuen widgetin, A/B-testausalustan. Jokainen on siirto, jos toimittaja käsittelee EU:n ulkopuolella.

Kuinka rakentaa se niin, että se pysyy oikeana

Ero verkkosivustojen välillä, jotka pysyvät vaatimusten mukaisina, ja niiden välillä, jotka lipsuvat, on rakenteellinen.

Tee käsittelyrekisteristä elävä artefakti. Se on artiklan 30 vaatimus, ja useimmilla se on vanhentunut taulukko. Pidä se lähellä koodia, tarkista se aina kun uusi integraatio lisätään, ja tee siitä osa toimittajan käyttöönottoprosessia.

Keskitä henkilötiedot. Mitä useampaan järjestelmään henkilötiedot leviävät, sitä kalliimpaa jokainen oikeuspyyntö on. Yksi kanoninen henkilöentiteetti viittauksilla, ei kopioita.

Rakenna pyyntöjen käsittely kerran, kunnolla. Yksi työnkulku, joka kysyy jokaisesta järjestelmästä, kokoaa tuloksen ja kirjaa mitä tehtiin. Jos se on manuaalinen, se on hidas, epäjohdonmukainen ja epäonnistuu määräajassa juuri silloin kun sillä on väliä.

Tee suostumustilasta ensiluokkainen. Sovelluksesi pitäisi voida kysyä suostumustilaa ohjelmallisesti ja tehdä päätöksiä sen perusteella palvelinpuolella, ei vain latautuuko skripti selaimessa.

Kirjaa päätökset, kun ne tehdään. Lyhyt merkintä siitä, miksi valittiin oikeutettu etu, miksi säilytysaika on 24 kuukautta, miksi tämä toimittaja on henkilötietojen käsittelijä eikä rekisterinpitäjä. Nämä merkinnät ovat, mitä valvoja pyytää, ja niitä on lähes mahdotonta rekonstruoida vuotta myöhemmin.

Tietoturvaloukkaukset

72 tuntia siitä, kun sait tietoosi henkilötietojen tietoturvaloukkauksen, ilmoitus valvontaviranomaiselle, ellei loukkaus todennäköisesti aiheuta riskiä. Korkean riskin loukkauksissa myös ilmoitus rekisteröidyille ilman aiheetonta viivytystä.

Jos organisaatiollasi on myös NIS2- tai CRA-velvoitteita, sinulla on rinnakkaisia kelloja eri viranomaisille eri kynnyksillä. Suunnittele ne yhdessä. Kirjoitimme molemmista tässä: NIS2-opas ja Cyber Resilience Act -opas.

Sakot ja se, mikä oikeasti laukaisee ne

Enimmäismäärät ovat 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuosiliikevaihdosta, sen mukaan kumpi on suurempi, vakavimmista rikkomuksista, ja 10 miljoonaa euroa tai 2 prosenttia muista.

Käytännössä valvonta laukeaa ennustettavasti: valitukset rekisteröidyiltä, joiden pyyntöihin ei vastattu, evästebannerikampanjat, joita valvojat ajavat toimialoittain, ilmoitetut tietoturvaloukkaukset, jotka johtavat laajempaan tarkastukseen, ja mainonta-alan sivustot, jotka kilpailijat ilmiantavat.

Kuvio on, että pieni asia avaa oven ja tarkastus kattaa kaiken.

Realistinen aloitusjärjestys

Jos aloitat epävarmasta asemasta, tämä järjestys tuottaa nopeimmin tulosta:

Tarkista, mikä latautuu ennen suostumusta. Yksi tunti, ja se on yleisin havainto.
Kartoita henkilötiedot järjestelmittäin. Ei täydellisenä, mutta rehellisenä. Suurin osa organisaatioista löytää järjestelmiä, joita kukaan ei ollut listannut.
Testaa rekisteröidyn pyyntö itse. Pyydä omat tietosi ja katso, kuinka kauan se kestää ja mitä puuttuu.
Tarkista toimittajaluettelo siirtojen ja sopimusten osalta. Jokainen henkilötietoja koskettava toimittaja tarvitsee käsittelysopimuksen.
Aseta säilytysajat sinne, missä tiedot kasvavat nopeimmin. Lokit, analytiikka, tukiliput.

Se on muutaman viikon työ, ei vuosineljännes, ja se siirtää sinut arvauksesta tietoon.

Mistä me tulemme mukaan

Rakennamme ja ylläpidämme ohjelmistoja Euroopassa toimiville yrityksille, ja tämä on työtä, jota teemme rutiinisti: suostumusarkkitehtuuri, joka pitää palvelinpuolella, rekisteröidyn pyyntöjen työnkulut, jotka kattavat jokaisen järjestelmän, säilytysautomaatio ja tietokartat, jotka pysyvät ajan tasalla, koska ne on kytketty käyttöönottoprosessiin.

Emme ole asianajotoimisto emmekä anna oikeudellista neuvontaa. Otamme juristienne päättämän kannan ja teemme siitä toimivan järjestelmän.

Jos verkkosivustonne tai tuotteenne tarvitsee tätä työtä, kirjoittakaa osoitteeseen office@c9group.dev. Laajempi sääntely-ympäristö on oppaassamme EU:n digitaaliseen sääntelyyn 2026, ja lisää eurooppalaisesta työstämme löytyy EU-markkinoille tuloa käsittelevältä sivulta.