Pk-yrityksen GDPR-ohjelmiston valinta alkaa omasta työstä: kuka tietää, mitä henkilötietoja käsitellään, kuka hyväksyy muutokset ja miten rekisteröidyn pyyntöön vastataan? Yrityksen koko ei yksin ratkaise, tarvitaanko ohjelmaa. Pieni verkkopalvelu voi käsitellä tietoja monessa järjestelmässä, kun taas suurempi yritys voi hallita vakaat prosessinsa nykyisillä välineillä. Tässä oppaassa rakennetaan pk-yritykselle käyttökelpoinen aloitusjärjestys ja hankintakoe. Hintojen laskemista käsittelee erikseen GDPR-ohjelmiston kustannusopas.
Aloita velvoitteista, älä ominaisuusluettelosta
GDPR:n 5 artiklan 2 kohta ja 24 artikla edellyttävät, että rekisterinpitäjä pystyy osoittamaan tietosuojaperiaatteiden noudattamisen ja toteuttaa tilanteeseen sopivat toimet. Asetus ei määrää käyttämään tiettyä ohjelmistoa. Laadi ensin luettelo toistuvista käsittelyistä: henkilöstö, myynti, asiakaspalvelu, markkinointi ja toimittajien käyttö. Tunnista kunkin käsittelyn tarkoitus ja omistaja. Yksi yritys voi olla työntekijätietojen rekisterinpitäjä ja asiakkaalle tuotetun palvelun käsittelijä; rooli vaihtelee toiminnan mukaan.
Kun tietoa on vähän ja yksi nimetty henkilö ylläpitää sitä säännöllisesti, hyvin hallittu taulukko ja sopimuskansio voivat riittää. Kun sama tieto kulkee usean tiimin välillä, käsittelyjen omistajat vaihtuvat tai tietopyyntöjä tulee eri kanavista, työnkulku voi auttaa. Ostopäätöksen perusteeksi kirjataan nykyinen ongelma: esimerkiksi uusi toimittaja ei päädy selosteeseen, sopimusta ei löydetä tai asiakkaan pyyntö jää ilman omistajaa. Vasta sen jälkeen arvioidaan, mikä ominaisuus ratkaisee ongelman.
Seloste ei ole vain suurten yritysten asia
30 artiklan 5 kohdan poikkeus alle 250 työntekijän organisaatioille on rajattu. Se ei koske käsittelyä, joka voi aiheuttaa riskiä rekisteröidylle, ei ole satunnaista tai liittyy erityisiin henkilötietoryhmiin tai rikostietoihin. Toistuva henkilöstö- tai asiakastietojen käsittely merkitsee usein, ettei pelkkään henkilöstömäärään voi vedota. Arvioi silti kunkin toiminnon todellinen tilanne. Vältä yleislausetta, että jokainen pieni yritys tarvitsee samanlaisen tai yhtä laajan selosteen. ROPA-ohjelmiston opas erittelee selosteen kentät ja rekisterinpitäjän sekä käsittelijän roolit.
Seloste kannattaa rakentaa käsittelytarkoitusten ympärille, ei pelkäksi sovelluslistaksi. Yksi asiakaspalvelun tarkoitus voi käyttää useaa järjestelmää. Yksi markkinointialusta voi puolestaan tukea eri tarkoituksia, jotka on arvioitava erikseen. Käytä käsittelyn omistajaa tarkistamaan tiedot. Jos ohjelmisto täyttää kenttiä automaattisesti, merkitse ehdotukset tarkistamattomiksi, kunnes ne vastaavat käytäntöä. Tietoja ei pidä hyväksyä vain siksi, että lomake näyttää valmiilta.
Kolme pk-yrityksen ensimmäistä työnkulkua
Ensimmäinen on uuden tai muuttuvan käsittelyn kirjaaminen. Yritys hankkii esimerkiksi uuden varauspalvelun. Tuotteen omistaja kertoo, mitä tietoa palveluun menee ja mihin tarkoitukseen; tietosuojaosaaja auttaa arvioimaan oikeusperustetta, vastaanottajia, säilytystä ja mahdollisia siirtoja. Vastuullinen hyväksyy kuvauksen. Ohjelmisto voi säilyttää tiedot, nimetä omistajan ja näyttää avoimet kysymykset. Se ei voi vahvistaa toimittajan tosiasiallisia alikäsittelijöitä ilman ajantasaista lähdettä.
Toinen työnkulku on rekisteröidyn oikeuksien käsittely. Asiakas voi pyytää tietojen tarkastamista tavallisella sähköpostilla. Pyyntö kirjataan, vastaanottopäivä säilytetään, tietolähteet tunnistetaan ja vastaus hyväksytään. Asetuksen 12 artiklan tavallinen enimmäisaika on yksi kuukausi vastaanotosta, ja mahdollinen enintään kahden lisäkuukauden pidennys vaatii säädetyt perusteet sekä ilmoituksen ensimmäisen kuukauden aikana. Pelkkä muistutus ei kokoa tietoja eikä arvioi poikkeuksia. Testaa nämä rajat tietopyyntöjen hallinnan oppaan esimerkillä.
Kolmas on toimittajasuhde. Kun palveluntarjoaja käsittelee henkilötietoja yrityksen lukuun, arvioi 28 artiklan sopimus tai muu sitova oikeudellinen asiakirja, alikäsittelijät ja riittävät takeet. Kaikki yrityksen toimittajat eivät ole tällaisia käsittelijöitä. Ohjelmisto voi näyttää, mihin käsittelyyn sopimus liittyy ja milloin se tarkistettiin. Oikeudellisesti puutteellista sopimusta ei kuitenkaan korjaa se, että tiedosto on tallennettu alustaan. Käsittelysopimuksen opas selittää arvioitavat ehdot.
Vastuujako ratkaisee käyttöönoton
Nimeä pienessäkin yrityksessä kullekin käsittelylle käytännön omistaja. Tietosuoja-asiantuntija tai tietosuojavastaava voi neuvoa ja valvoa, mutta hän ei välttämättä tunne myyntijärjestelmän jokaista tietovirtaa. Tietosuojavastaavan nimeäminen määräytyy GDPR:n 37 artiklan ehtojen perusteella, ei yrityksen käyttämän ohjelmiston mukaan. Jos DPO on nimetty, hänen riippumattomuuttaan ja asemaansa koskevat 38 ja 39 artiklat. Vastuu vaatimustenmukaisuudesta kuuluu edelleen rekisterinpitäjälle.
Sovi, mistä omistaja saa tiedon muutoksesta. IT-hankinnan tarkistus, uuden palveluntarjoajan sopimus ja uuden markkinointitavan käyttöönotto ovat luontevia pisteitä. Jos tieto saapuu tietosuojatiimille vasta kuukausia myöhemmin, automaattinen muistutus vanhan selosteen katselmoinnista ei ratkaise ongelmaa. Aloita yhdestä prosessista ja osoita, että muutos kulkee käytännössä omistajalle, arvioijalle ja hyväksyjälle.
Suomen toimintaympäristö ja työelämän tiedot
Suomessa työnantajan henkilötietojen käsittelyssä on huomioitava GDPR:n lisäksi laki yksityisyyden suojasta työelämässä. Sen tarpeellisuusvaatimus koskee työsuhteen kannalta välittömästi tarpeellisia tietoja. Siksi henkilöstöön liittyvää esimerkkiä ei pidä täyttää ulkomaisen mallin oletuksilla. Selvitä, mitä yritys tosiasiassa kerää, kenellä on pääsy ja milloin tieto poistetaan. Näitä päätöksiä voi kirjata ohjelmistoon, mutta tuote ei ratkaise lain soveltamista työnantajan puolesta.
Toinen paikallinen kysymys on asiointikieli. Kysy, millä kielellä työntekijä tai asiakas saa vastauksen ja millainen vienti annetaan suomalaiselle viranomaiselle. Suomenkielinen käyttöliittymä voi auttaa ylläpitäjiä, mutta se ei ole itsessään GDPR:n nimenomainen vaatimus jokaiselle sovellukselle. Tärkeää on, että rekisteröity saa 12 artiklan edellyttämän ymmärrettävän viestin ja organisaatio pystyy selittämään käsittelynsä. Tietosuoja Suomessa käsittelee muuta kansallista taustaa.
Pienen yrityksen koehanke
Kuvitellaan 25 hengen asiantuntijayritys, jolla on työntekijärekisteri, asiakasprojektit ja viisi henkilötietoja käsittelevää palveluntarjoajaa. Yrityksen verkkosivulta tulee muutama yhteydenotto viikossa. Luvut ovat vain esimerkki. Valitse yksi asiakasprojekti ja yksi henkilöstötoiminto, kuvaa niiden tiedot ja luo ne valittuun työkaluun. Pyydä omistajia tarkistamaan kuvaus. Sen jälkeen simuloi asiakaspyyntöä ja toimittajan vaihtoa. Kirjaa, mitkä vaiheet sujuivat, mihin tarvittiin käsityötä ja mikä jäi avoimeksi.
Koehankkeen onnistumista ei mitata sillä, kuinka nopeasti tyhjä tili avautui. Parempia mittareita ovat hyväksyttyjen tietojen osuus, avointen epäselvyyksien näkyvyys ja kyky löytää tiettyyn päätökseen käytetty lähde. Jos selosteen täyttö näyttää nopealta siksi, että ohjelma arvaa säilytysajat, nopeus ei ole luotettava etu. Jos taas samojen tietojen päivittäminen sopimusluetteloon ja selosteeseen vähenee ilman virheitä, hyöty on mitattavissa.
Hinta, turva ja poistuminen
Pyydä tarjous, joka kertoo lisenssin mittarin, käyttäjät, organisaatiot, moduulit, käyttöönoton, tuen ja viennin. Älä käytä tässä oppaassa mainittua yrityskokoa markkinahinnan arviona. Ohjelmiston kustannus on myös omien ihmisten aika. Jos lähtötietoja ei ole, ensimmäinen vuosi voi olla työläs riippumatta sovelluksesta. Jos niitä on jo hyvin ylläpidetty, käyttöönotto voi olla lähinnä muotoilu- ja hyväksymistyötä. Vertaa tietosuojaohjelmistojen valintakriteerejä omaan koetapaukseen.
Selvitä, käsitteleekö tuotteen toimittaja tietoja yrityksen lukuun, missä palvelu ja varmuuskopiot ovat ja mistä tukihenkilöt voivat päästä tietoihin. EU:ssa oleva palvelin ei yksin todista, ettei kolmansiin maihin tapahdu pääsyä. Kysy alikäsittelijät ja tarvittaessa siirtoperusteet. Varmista ennen sopimusta, että selosteet, liitteet ja historia voidaan viedä käyttökelpoisessa muodossa. Irtautuminen voi olla merkittävä kustannus, jos tieto on vietävä käsin toiseen välineeseen.
Päätä käyttöönotosta vaiheittain
Aloita yhdestä todellisesta käsittelystä, ei kaikista rekistereistä yhtä aikaa. Tarkista hyväksytty vienti vanhaan aineistoon nähden. Lisää seuraavaksi toimittajasuhde ja vasta sen jälkeen oikeuspyynnön työnkulku. Tämä järjestys on ehdotus pienelle yritykselle, ei lakisääteinen aikataulu. Toisen yrityksen kiireellisin ongelma voi olla juuri pyynnöt tai tietoturvaloukkausten arviointi. Priorisoi silloin sen mukaan.
Kun ensimmäinen osa toimii, sovi kevyt säännöllinen tarkistus. Kysy jokaiselta omistajalta, ovatko tarkoitus, tietoryhmät, toimittajat ja säilytys muuttuneet. Uusi muutos käsitellään heti, eikä vuosikatselmusta odoteta. Jos avoimia tietoja kertyy, selvitä johtuuko se ajasta, epäselvästä vastuusta vai tuotteen vaikeasta käytöstä. Ongelma voi olla prosessissa eikä ohjelmistossa.
Oikeusperuste, informointi ja käsittelyn tarkoitus
Pk-yrityksen ensimmäisessä kartoituksessa vastaan tulee usein väite, että kaikki asiakastiedot käsitellään suostumuksella. Se ei ole automaattisesti oikea. GDPR:n 6 artiklan oikeusperuste valitaan käsittelyn tarkoituksen ja olosuhteiden mukaan. Sopimuksen täytäntöönpano, lakisääteinen velvoite ja oikeutettu etu voivat olla eri toiminnoissa relevantteja, mutta jokaisella on omat rajansa. Ohjelmisto voi säilyttää perusteen ja päätöksen lähteet. Se ei voi muuttaa sopimatonta perustetta sopivaksi pudotusvalikon avulla.
Tietosuojailmoitus on erillinen viesti rekisteröidylle. Se ei ole sama asiakirja kuin sisäinen käsittelytoimien seloste, vaikka niiden tiedot pitäisi sovittaa yhteen. Jos yritys alkaa käyttää asiakkaan tietoja uuteen markkinointitarkoitukseen, omistajan pitää arvioida tarkoitus, oikeusperuste, informointi ja mahdollinen suostumus ennen lähetyksiä. Tietosuojaselosteen malli voi auttaa löytämään puuttuvat tiedot, mutta julkaistava teksti on sovitettava yrityksen todelliseen käsittelyyn. Tuote, joka kirjoittaa ilmoituksen automaattisesti, tarvitsee silti oikeat lähtötiedot.
Tarkista myös tietojen minimointi. Jos verkkolomake kysyy syntymäaikaa, vaikka yritys tarvitsee vain yhteystiedon vastatakseen tarjouksen pyyntöön, oikea ratkaisu voi olla kentän poistaminen eikä monimutkaisempi ohjelmisto. Minimoinnin käytännöt auttavat tekemään muutoksen tiedon keruussa. Hallintatyökalu on hyödyllinen, jos se näyttää päätöksen ja seuraa toteutusta, mutta varsinainen vähentäminen tapahtuu lomakkeessa ja järjestelmän asetuksissa.
Riskien ja poikkeamien rajaaminen
Pienellä yrityksellä ei ole automaattisesti matalaa tietosuojariskiä. Arkaluonteinen palvelu tai suuri määrä asiakastietoja voi vaatia enemmän arviointia kuin henkilöstömäärä antaa ymmärtää. Toisaalta jokainen erityisen henkilötietoryhmän käsittely ei sellaisenaan tee vaikutustenarvioinnista pakollista; 35 artiklan korkean riskin kriteerit on arvioitava. Kirjaa kysymykset, käytetty tieto ja päätös. Ohjelmisto voi ohjata arviointia, mutta se ei voi tuntea kaikkia tosiasioita ilman organisaation osallistumista.
Tietoturvaloukkauksessa työnkulun tulee auttaa erottamaan tapahtuman havaitseminen, riskin arviointi ja mahdollinen viranomaisilmoitus. Asetuksen 33 artiklan mukaan henkilötietojen tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkauksesta on tultu tietoiseksi, jollei ole epätodennäköistä, että loukkaus aiheuttaisi riskin ihmisten oikeuksille ja vapauksille. Jos ilmoitus tehdään myöhemmin, viivästymisen syyt on kerrottava; jokainen tekninen poikkeama ei kuitenkaan ole ilmoitettava henkilötietojen tietoturvaloukkaus. Kaikki henkilötietojen tietoturvaloukkaukset on kuitenkin dokumentoitava 33 artiklan 5 kohdan mukaisesti. Katso loukkausten käsittelyprosessi. Kokeile tuotteessa myös tapaus, josta päätetään olla ilmoittamatta perustellusti.
Pk-yrityksessä sama henkilö voi havaita tapahtuman, kerätä tiedot ja valmistella päätöksen. Määritä kuitenkin varahenkilö ja yhteys tekniseen toimittajaan ennen vahinkoa. Jos kaikki ilmoitukset menevät yhden sähköpostilaatikon kautta, loma tai tilin sulkeutuminen voi katkaista prosessin. Ohjelmisto voi säilyttää tehtävät, mutta myös sen oma palvelukatko vaatii vaihtoehtoisen toimintaohjeen. Tämä on käytännöllinen hankintakysymys: saako organisaatio käsiksi vastuisiin ja yhteystietoihin, jos järjestelmä ei toimi?
Toimittajamuutos ja kansainväliset siirrot
Kun uusi toimittaja tulee mukaan, pyydä sen palvelukuvaus, alikäsittelijät, pääsypaikat ja sopimus. Vasta sen jälkeen arvioi, onko toimittaja käsittelijä, erillinen rekisterinpitäjä vai jokin muu osapuoli tässä käsittelyssä. Roolien erottelu on tärkeää, koska 28 artiklan käsittelysopimusta ei pidä käyttää yleisenä leimana kaikille yhteistyökumppaneille. Ohjelmisto voi tehdä luokittelun näkyväksi, mutta tosiasiallinen päätös perustuu siihen, kuka määrittää tarkoituksen ja keskeiset keinot.
Jos henkilöihin liittyvää tietoa päätyy EU:n ulkopuolelle tai sitä voidaan käyttää sieltä, selvitä siirtosäännöt. Pelkkä EU-konesalin osoite ei kerro tukipääsyistä tai ketjun alikäsittelijöistä. Samoin yhdysvaltalainen toimittaja ei automaattisesti tarkoita lainvastaista siirtoa: tilanteen perusteella tarkistetaan käytettävä oikeudellinen mekanismi ja suojatoimet. Tuotevertailussa pyydä konkreettinen palvelu- ja alikäsittelijäluettelo, älä pelkkää markkinointitermiä ”EU-yhteensopiva”.
Mitä asiakkaalle voidaan näyttää?
Monet pk-yritykset saavat asiakkailta tietosuojaa koskevia kyselyjä. Tarvittava näyttö riippuu yrityksen roolista. Käsittelijänä toimiva yritys voi kuvata sovitut turvatoimet, alikäsittelijät ja menettelyn tietoturvaloukkausten varalta. Rekisterinpitäjänä se voi kertoa käsittelytarkoitukset, vastaanottajat ja oikeuksien käyttötavan. Älä jaa koko sisäistä selostetta tai sopimuksia automaattisesti, jos niissä on muiden asiakkaiden tai työntekijöiden luottamuksellisia tietoja. Valmistele tarkoitukseen sopiva, tarkistettu vastaus.
Tämä on hyvä ohjelmiston käyttötapa: kerää hyväksytyt tiedot yhteen ja näytä, milloin ne tarkistettiin. Jos tieto on vanha tai epävarma, vastauksen laatija näkee sen ennen kuin lupaa asiakkaalle mitään. Se on käytännön arvoa ilman väitettä, että dokumentaatio yksin nopeuttaisi myyntiä tietyllä prosentilla. Asiakkaan kysely voi paljastaa puutteen, jonka korjaus vaikuttaa koko yrityksen toimintaan.
Milloin lisäsääntelyä kannattaa tutkia?
GDPR koskee henkilötietojen käsittelyä, mutta osa yrityksistä kuuluu lisäksi toimialakohtaisen kyberturvasääntelyn piiriin. NIS2:n Suomen soveltamisala tai DORA:n rahoitusalan soveltamisala on selvitettävä erikseen. Pk-yrityksen koko, asiakkaat ja palvelu eivät yksin riitä johtopäätökseen. Älä osta monisääntelymoduulia vain siksi, että myyjä listaa NIS2:n ja DORA:n. Aloita sen selvittämisestä, koskeeko kyseinen velvoite juuri yritystä ja mikä näyttö siitä täytyy tuottaa.
Jos sama järjestelmä käsittelee esimerkiksi toimittajasuhteita usean velvoitteen yhteydessä, tietojen yhteiskäyttö voi olla hyödyllistä. Silloin varmista, ettei ohjelma sekoita erilaisten lakien raportointia tai määräaikoja. Sama tietoturvaloukkaus voi johtaa useaan arvioon, mutta yhden asetuksen ilmoitus ei automaattisesti täytä toista. Valitse tuotteen laajuus todettujen velvoitteiden, ei mahdollisten myöhempien markkinointilupausten perusteella.
Pienyrityksen ensimmäinen kuukausi ilman keinotekoista aikataululupausta
Aloittavan yrityksen kannattaa erottaa kiireellinen oikeudellinen asia ja dokumentaation rakentaminen. Jos rekisteröidyn pyyntö on jo saapunut tai tietoturvaloukkaus on havaittu, käsittele se heti soveltuvien määräaikojen mukaan. Älä siirrä vastausta myöhemmäksi, jotta uusi ohjelmisto ehditään ensin ottaa käyttöön. Jos akuuttia asiaa ei ole, aloita nykyisten käsittelyjen ja vastuuhenkilöiden selvittämisestä. Vasta sen jälkeen tiedät, mitä aineistoa tuot ohjelmaan.
Ensimmäinen käyttöönottoviikko ei välttämättä tuota täydellistä rekisteriä, varsinkin jos lähtötilanne on hajallaan. Aseta kullekin puuttuvan tiedon kysymykselle omistaja ja lähde. Merkitse, mikä on vahvistettu ja mikä odottaa tarkistusta. Älä julkaise henkilöstön tai asiakkaiden informointia arvattujen kenttien perusteella. Kun valittu käsittely on hyväksytty ja sen vienti toimii, lisää toinen toiminto. Tällainen vaiheistus vähentää riskiä, että sama epäselvä oletus kopioituu koko rekisteriin.
Jos lähtöaineistossa on kriittinen aukko, merkitse se päätösmuistioon eikä vain ohjelmiston tehtävälistaan. Näin johto ymmärtää, mitä osa hankkeesta on kesken ja kuka antaa tarvittavan tiedon. Ohjelmiston onnistumista ei pidä raportoida valmiiksi sen perusteella, että kaikki lomakekentät sisältävät tekstiä. Hyväksytty tieto, avoin epävarmuus ja suunniteltu korjaus ovat kolme eri tilaa.
Milloin ohjelma ei ratkaise ongelmaa?
Jos pääongelma on puuttuva oikeusperuste tai tarpeettomien tietojen kerääminen, ratkaisu voi olla prosessin muuttaminen ennen ohjelmistohankintaa. Jos tiedot ovat oikein mutta omistajia ei ole, päätä työnjako. Jos tietosuojavastaava saa tietää muutoksista vasta jälkikäteen, kytke arvio hankintamenettelyyn. Ohjelmisto voi tehdä nämä vaiheet näkyviksi, mutta se ei pysty pakottamaan yritystä kertomaan uudesta käyttötarkoituksesta, jota kukaan ei syötä siihen.
Kirjaa koeajon lopuksi yksi asia, joka parani, yksi joka vaatii muuta toimintaa ja yksi jota tuotteella ei ole tarkoitus tehdä. Tämä erottelu auttaa ostamaan oikean laajuisen ratkaisun. Jos hyöty on vain visuaalinen koontinäkymä, arvioi riittääkö se kustannukseen. Jos hyöty on vastuullisten päätösten ja aineiston jäljitettävyys usean tiimin yli, varmista että juuri tämä työnkulku kuuluu tilaukseen.
Usein kysytyt kysymykset
Tarvitseeko pk-yritys GDPR-ohjelmiston?
Ei automaattisesti. GDPR edellyttää soveltuvien velvoitteiden hoitamista ja osoittamista, mutta ei tiettyä tuotetta. Hankinta on järkevä, jos nykyiset puutteet voidaan ratkaista tuotteella ja työnjaolla.
Vapauttaako alle 250 työntekijää selosteesta?
Ei yleisesti. Artiklan 30 kohdan 5 poikkeus on rajattu riskin, satunnaisuuden ja tietoryhmien perusteella. Toistuvat käsittelyt on arvioitava erikseen.
Korvaako ohjelmisto asiantuntijan tai DPO:n?
Ei. Se voi helpottaa dokumentointia ja koordinointia. DPO:n nimeämisvelvollisuus määräytyy erillisten 37 artiklan perusteiden mukaan, ja oikeudellinen harkinta jää organisaatiolle.
Mikä on hyvä ensimmäinen testi?
Kuvaa yksi todellinen käsittely, muuta siinä toimittajaa ja vie hyväksytty seloste ulos. Näin näet tiedon laadun, työnjaon ja poistumisen jo ennen laajaa käyttöönottoa.
Yhteenveto
Pk-yritykselle sopiva GDPR-ohjelmisto on sellainen, jonka avulla oikeat ihmiset voivat ylläpitää oikeita tietoja ja näyttää päätösten perusteet. Aloita velvoitteista ja nykyisistä katkoista, kokeile yhtä käsittelyä ja vertaile vasta sitten tarjouksia. Yrityksen koko ei tee tiedosta automaattisesti yksinkertaista, eikä ohjelmisto tee keskeneräisestä arviosta oikeaa.
Lähteet tarkistettu 27.9.2026.