Viisi myyttiä, joihin pienyrittäjät kompastuvat

Kesto: noin 10 min · videoluento

Tavoite

Tämän oppitunnin jälkeen tunnistat viisi yleisintä väärinkäsitystä, joiden vuoksi pienyritysten tietosuoja jää hoitamatta – ja tiedät, mikä niissä on totta ja mikä ei.

Sisältö

Video lisätään tähän (Bunny Stream -upotus).

Myytti 1: "GDPR koskee vain isoja yrityksiä."

Ei pidä paikkaansa. Tietosuoja-asetusta sovelletaan jokaiseen, joka käsittelee henkilötietoja osana liiketoimintaa – yksinyrittäjään siinä missä pörssiyhtiöön. Pienelle yritykselle on muutama kevennys (esimerkiksi tietosuojavastaavaa ei yleensä tarvita), mutta perusvelvoitteet ovat samat: tiedä mitä tietoja sinulla on, kerro siitä ihmisille, suojaa tiedot ja pysty osoittamaan, että teet näin.

Myytti 2: "Minulla ei ole henkilörekisteriä, vain asiakkaiden yhteystiedot."

Asiakkaiden nimet, puhelinnumerot ja sähköpostit laskutusohjelmassa, puhelimessa tai sähköpostin osoitekirjassa ovat henkilörekisteri. Henkilötieto on mikä tahansa tieto, josta ihminen on tunnistettavissa. Moduulissa 3 kartoitat, missä kaikkialla näitä tietoja yrityksessäsi on – useimmat yllättyvät määrästä.

Myytti 3: "Kirjanpitäjä hoitaa tämän."

Kirjanpitäjä hoitaa kirjanpidon ja usein palkat, eli hän käsittelee henkilötietoja sinun lukuusi. Vastuu rekisterinpitäjänä on silti sinulla, ja kirjanpitäjän kanssa pitää olla kirjallinen sopimus käsittelystä (moduuli 5). Harva tilitoimisto tarjoaa tietosuojan hoitamista palveluna – kysy omaltasi, mitä sopimus kattaa.

Myytti 4: "Riittää, kun verkkosivuilla on rekisteriseloste."

Rekisteriseloste oli vanhan henkilötietolain käsite, ja se lakkasi olemasta vuonna 2018. Nyt tarvitaan tietosuojaseloste (informointi rekisteröidyille), ja sen lisäksi sisäinen seloste käsittelytoimista, jota ei julkaista, mutta joka on näytettävä valvojalle pyydettäessä. Nämä ovat kaksi eri asiakirjaa, ja molemmat tehdään tällä kurssilla (moduulit 3 ja 4).

Myytti 5: "Pieniä ei valvota eikä sakoteta."

Valvonta kohdistuu usein ilmoitusten perusteella: tyytymätön asiakas, entinen työntekijä tai kilpailija tekee kantelun. Seuraamukset porrastetaan yrityksen koon ja rikkomuksen mukaan, ja pienelle yritykselle tyypillisin seuraamus on huomautus tai määräys korjata asia – mutta myös seuraamusmaksuja on määrätty keskisuurille yrityksille, ja evästekäytännöistä Traficom on antanut lukuisia päätöksiä. Suurin käytännön riski ei silti ole sakko, vaan se, ettet pysty vastaamaan asiakkaan tai viranomaisen kysymykseen, kun se tulee.

Muista ainakin nämä

• Asetus koskee kaikkia yrityksiä, pienimpiäkin.
• Asiakkaiden yhteystiedot ovat henkilörekisteri, missä ne sitten ovatkin.
• Vastuu on rekisterinpitäjällä eli sinulla, ei kirjanpitäjällä tai ohjelmistotoimittajalla.
• Tarvitset sekä julkisen tietosuojaselosteen että sisäisen selosteen käsittelytoimista.
• Kantelu voi tulla keneltä tahansa; dokumentointi on paras turva.

Lähteet ja lisälukemista

• Tietosuojavaltuutetun toimisto: tietosuoja.fi → Organisaatiot
• Euroopan tietosuojaneuvoston pk-yritysopas: edpb.europa.eu/sme