Tietosuojan huomioiva kysely alkaa päätöksestä, mitä vastauksilla halutaan selvittää. Asiakastyytyväisyyden seuraaminen ei automaattisesti edellytä vastaajan nimeä, tarkkaa ikää tai koko ostohistoriaa. Toisaalta nimetön vastauslomake ei vielä osoita kyselyn olevan anonyymi, jos kutsulinkki, lokit tai pieni vastaajaryhmä paljastavat henkilön.
Tässä oppaassa suunnitellaan kysely tarkoituksesta lopulliseen raporttiin. Mukana on kuvitteellisen kotipalveluyrityksen täytetty kysymysvalinta, tietosuojaratkaisu ja tarkistus ennen avaamista. Työntekijöiden, lasten tai terveystietoja sisältävien kyselyiden erityispiirteet on arvioitava erikseen; tavallisen asiakaspalautteen malli ei ratkaise niitä.
1. Määrittele tarkoitus ja tuloksen käyttötapa
Kirjoita tarkoitus niin, että sen perusteella voi poistaa tarpeettoman kysymyksen. ”Palvelun kehittäminen” voi olla liian väljä. Täsmällisempi tarkoitus on esimerkiksi selvittää, missä palvelualueissa sovittu saapumisaika ja työn lopputulos vastaavat asiakkaiden odotuksia.
Määrittele myös, kuka käyttää tulosta. Aluekohtainen kuukausiraportti, yksittäisen reklamaation käsittely ja työntekijän henkilökohtainen arviointi ovat eri käyttötapoja. Jos sama kysely palvelee niitä kaikkia, tietojen tarpeellisuus, informointi ja pääsyoikeudet on eroteltava. Kyselyn myöhempi käyttäminen myynnin kohdentamiseen ei kuulu alkuperäiseen tarkoitukseen pelkän ”kehittämisen” otsikon vuoksi.
Tietojen minimointi koskee kysymysten lisäksi tarkkuutta, yhdisteltävyyttä ja saatavuutta. Alue voi riittää tarkan kotiosoitteen sijaan. Kuukausi voi riittää käyntipäivän sijaan. Raportin lukija ei välttämättä tarvitse yksittäisiä vastauksia, vaikka rajattu laadunhallinnan henkilökunta käsittelisi niitä perustellusti.
2. Selvitä, syntyykö henkilötietoja
Tarkastele vastausten lisäksi kutsulistaa, vastauslinkkiä, palvelun kirjautumista, teknisiä lokitietoja ja vientitiedoston sarakkeita. Sähköpostitse lähetetty yksilöllinen linkki voi yhdistää vastauksen asiakkaaseen. Palvelu saattaa tallentaa käyttäjätunnisteen, vaikka lomakkeessa ei ole nimikenttää.
Jäsenkyselyssä kutsujen lähettäminen ja vastausten käyttö on sovitettava myös yhdistyksen jäsentietojen käsittelyyn. Jäsenrekisterin käyttöoikeus ei itsessään tarkoita oikeutta lukea kaikkia yksittäisiä vastauksia.
IP-osoite voi olla henkilötieto käsittelytilanteen ja tunnistamiskeinojen perusteella. Pelkkä sen esiintyminen ei kerro kaikkia soveltuvia velvoitteita, mutta sitä ei pidä unohtaa anonymiteettilupauksesta. Vapaassa tekstissä henkilö voi nimetä itsensä, työntekijän tai perheenjäsenen. Pieni ryhmä ja tarkka tapahtumakuvaus voivat tunnistaa vastaajan ilman erillistä tunnistetta.
Tietosuojavaltuutetun anonymisointia ja pseudonymisointia koskeva ohje korostaa tapauskohtaista tunnistettavuuden arviointia. Koodattu vastaus voi olla henkilötieto, jos se voidaan yhdistää henkilöön lisätiedoilla. Anonymisointi edellyttää laajempaa arviointia kuin nimen poistaminen.
Jos vain lopullinen raportti on anonyymi, se ei poista alkuperäisen keruun velvoitteita. Kutsu- ja vastausaineistojen käsittelyperuste, informointi, säilytys ja suojaus tarvitaan niin kauan kuin ne ovat henkilötietoja. Raportin luokittelu dokumentoidaan erikseen alkuperäisestä aineistosta.
3. Valitse käsittelyperuste ennen julkaisemista
GDPR:n 6 artiklassa on kuusi käsittelyperustetta. Kyselylle ei ole yhtä automaattista perustetta. Vapaaehtoinen osallistuminen ei yksin osoita, että oikeudelliseksi perusteeksi olisi valittu suostumus. Kyselyn yhteys ostettuun palveluun ei myöskään tee siitä välttämätöntä sopimuksen täyttämiseksi. Perusteiden ehdot löytyvät tietosuoja-asetuksesta.
Suostumusta käytettäessä sen pitää olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen, ja sen voi peruuttaa. Kyselyyn vastaamisen ja erillisen markkinointiluvan välillä ei saa olla pakollista sidosta. Jos vastaukset muuttuvat myöhemmin aidosti anonyymeiksi, on kerrottava ymmärrettävästi, ettei yksittäistä vastausta silloin enää voida tunnistaa poistamista varten.
Oikeutettu etu voi soveltua joihinkin asiakaspalautetilanteisiin, jos tavoiteltu etu, välttämättömyys ja etujen tasapaino on arvioitu. Tällöin huomioidaan asiakkaan kohtuulliset odotukset, kyselyn sisältö, osallistumisen seuraukset ja vastustamisoikeus. Viranomaisen tehtäviensä yhteydessä suorittama käsittely ei perustu f alakohdan oikeutettuun etuun.
Työpaikalla valtasuhde voi vaikeuttaa suostumuksen vapaaehtoisuutta. Lisäksi Suomen työelämän tarpeellisuusvaatimus rajaa työnantajan keräämiä tietoja. Kyselyä ei voi käyttää tarpeettomien työntekijätietojen hankkimiseen siksi, että lomakkeen alussa on hyväksymisruutu.
4. Täytetty kysymysvalinta kotipalveluyritykselle
Seuraava Aamukoti ja kaikki esimerkin tulokset ovat kuvitteellisia. Yritys haluaa verrata siivouspalvelun laatua kolmella riittävän suurella palvelualueella. Tavoitteena ei ole yksittäisen työntekijän tulospisteytys eikä asiakkaiden markkinointiprofilointi. Laadunhallinta valitsee neljä kysymystä:
| Kysymys | Vastaustapa | Perustelu |
|---|---|---|
| Vastasiko työn lopputulos sovittua? | Asteikko 1–5 ja ”en osaa sanoa” | Mittaa työn lopputulosta ilman henkilön nimeä |
| Toteutuiko sovittu saapumisaika? | Kyllä, ei, en osaa sanoa | Antaa tiedon aikataulun toteutumisesta |
| Oliko yhteydenpito selkeää? | Asteikko 1–5 ja ”en osaa sanoa” | Kohdistuu palvelun viestintään |
| Millä palvelualueella käynti oli? | Kolme laajaa aluetta | Mahdollistaa aluevertailun ilman osoitetta |
Kaikki kysymykset ovat vapaaehtoisia. Nimi, syntymäaika, tarkka käyntiaika ja siivoojan nimi jätetään pois, koska ne eivät ole tarpeen valittuun aluevertailuun. Pelkkä vastausasteikko ei silti tee keruusta automaattisesti asianmukaista: kysymyksen tarkoitus ja yhdistävät tekniset tiedot on arvioitava edelleen.
Yritys hylkää ehdotuksen ”kerro kaikki, mikä käynnissä meni pieleen” laajana vapaana tekstinä. Yksittäinen ongelma ohjataan erilliseen asiakaspalvelukanavaan, jossa sen käsittelyn tarkoitus ja tarpeelliset tiedot ovat selvät. Kyselyn lopussa voi avata erillisen yhteydenottopyynnön, mutta sen yhteystietoja ei yhdistetä analyysin vastausriviin.
5. Vapaa teksti ja erityiset henkilötietoryhmät
Vapaa tekstikenttä voi olla perusteltu esimerkiksi tarkasti rajatun palveluongelman ymmärtämiseksi. Tällöin vastaajalle annetaan selkeä ohje siitä, mitä tietoja tarvitaan ja mitä ei pidä kirjoittaa. Ohje ei yksin estä ylimääräisten tietojen päätymistä järjestelmään. Tarvitaan rajatut käyttöoikeudet ja toimintatapa tarpeettoman sisällön poistamiseen tai erottamiseen.
Terveydentilaa, uskontoa tai muita erityisiä henkilötietoryhmiä sisältävä vastaus voi edellyttää 6 artiklan perusteen lisäksi 9 artiklan käsittelykiellon poikkeuksen arviointia. Henkilön oma-aloitteinen kirjoittaminen yksityiseen kyselyyn ei tee tiedosta automaattisesti nimenomaisesti julkistettua tietoa. Kaikkea vapaaseen kenttään tullutta ei saa säilyttää varmuuden vuoksi.
Aamukodin erilliseen yhteydenottopyyntöön saapuu asiakkaan sairauden kuvaus, vaikka ongelman ratkaisemiseen riittäisi tieto kulkujärjestelystä. Asiakaspalvelu rajaa työohjeen tarpeelliseen käytännön järjestelyyn ja käsittelee ylimääräisen terveystiedon poistamisen erikseen. Kyselyraporttiin sitä ei siirretä. Tämä on esimerkin ratkaisuperiaate, ei lupa arvioida asiakkaan terveydentilaa.
6. Ilmoita todellinen käsittely ennen vastaamista
Kun tiedot kerätään henkilöltä itseltään, 13 artiklan tiedot toimitetaan keräyshetkellä. Tietosuojavaltuutetun informointiohje auttaa valitsemaan selkeän ja kohderyhmälle sopivan esitystavan. Kerro rekisterinpitäjä, tarkoitus ja peruste, tietoryhmät tilanteen ymmärtämiseksi, vastaanottajat, säilytys sekä soveltuvat oikeudet ja yhteystiedot. Siirtoja ja automaattisia päätöksiä koskevat ehdolliset tiedot lisätään, kun ne ovat merkityksellisiä.
Aamukodin lyhyt aloitusteksti kuuluu: ”Selvitämme siivouspalvelun laatua palvelualueittain. Osallistuminen on vapaaehtoista eikä vaikuta saamaasi palveluun. Emme kysy nimeäsi. Kutsujen hallinnassa käytetään erillistä tunnistetta, joten emme lupaa keruuvaiheen olevan täysin anonyymi. Yksittäiset vastaukset ovat vain nimetyn laadunhallinnan ryhmän käytössä. Raportit laaditaan yhdistetyistä tuloksista.”
Tämän yhteydessä esitetään valittu käsittelyperuste ja suora pääsy täydellisiin tietoihin. Esimerkin oma ratkaisu on poistaa kutsutunnisteet kahden viikon kuluessa kyselyn sulkemisesta ja tunnistettavat raakavastaukset kolmen kuukauden kuluessa, kun raportti on tarkistettu. Nämä ajat edellyttävät yrityksen tarpeellisuusarviota; niitä ei esitetä lakisääteisinä kyselyaikoina. Turvallisuuslokien tarkoitus ja säilytys arvioidaan erikseen.
7. Tarkista alusta, vastaanottajat ja viennit
Kyselypalvelun valinnassa tarkistetaan, käsitteleekö toimittaja vastauksia vain tilaajan lukuun vai myös omiin tarkoituksiinsa. Käsittelysopimus tehdään silloin, kun kyse on 28 artiklan suhteesta. Alikäsittelijät, pääsyoikeudet ja mahdolliset ETA:n ulkopuoliset siirrot selvitetään todellisesta palvelusta; tallennusalue ei yksin kerro etätuen pääsyistä.
Asetuksista tutkitaan vastaajien tunnistaminen, linkkien yksilöllisyys, lokit, raporttien jakaminen ja automaattiset vientitoiminnot. Jos raakavastaukset kopioidaan joka yö yhteiseen taulukkoon, kyselypalvelun poisto ei poista tätä kopiota. Vastuut ja poistotavat ulotetaan kaikkiin käytettyihin paikkoihin.
Selosteeseen käsittelytoimista kirjataan toiminto asetuksen velvoitteen soveltuessa. Selosteeseen viitataan hyväksytyllä kysymysversiolla, perusteiden arvioinnilla ja säilytysratkaisulla. Kyselyn vastauksia ei kopioida selosteeseen. Tarkoitus on kuvata käsittelyä, ei muodostaa uutta vastausrekisteriä dokumentoinnin nimissä.
8. Seuraa keksitty vastaus koko ketjun läpi
Aamukoti tekee ennen avaamista tarkistuksen täysin keksityllä vastauksella. Lomake näyttää neljä sovittua kysymystä. Viennissä ilmenee kuitenkin viides sarake: henkilökohtaisen kutsun tunniste. Julkaisupäätös keskeytetään siltä osin, että raporttivientiä ei vielä anneta laajalle käyttäjäryhmälle. Tunniste poistetaan analyysiviennistä ja erillisen kutsurekisterin käyttö rajataan.
Toinen tarkistus osoittaa, että alueella C on vain kaksi vastausta. Yritys ei julkaise tätä pientä aluekohtaista tulosta erillään, vaan yhdistää sen laajempaan raporttiin arvioituaan tunnistamisen riskin. Kaksi tai mikään muukaan yksittäinen ryhmäkoko ei ole GDPR:n yleinen anonymiteettiraja. Myös muut tiedot ja aikaisemmat raportit vaikuttavat arvioon.
Lopuksi poistetaan keksitty vastaus, tarkistetaan vientikopio ja varmistetaan, ettei julkinen raporttilinkki avaa raakadataa. Osoitusvelvollisuuden aineistoon jää lyhyt päätös: mitä tarkistettiin, mitä löytyi ja millä muutoksilla kysely hyväksyttiin. Hyväksyntä koskee tätä kysymys- ja asetuskokonaisuutta.
Kyselyn sulkeminen ja myöhempi käyttö
Sulkemisen yhteydessä lopetetaan muistutukset, estetään tarpeettomat uudet vastaukset ja toteutetaan sovitut poistot. Raportin saajille annetaan vain heidän tehtäväänsä tarvittava kokonaisuus. Jos raportin rinnalla säilytetään tunnistettavat raakavastaukset, niiden tarve perustellaan erikseen; raportin valmistuminen ei automaattisesti oikeuta säilyttämään kaikkea alkuperäistä.
Uusi käyttötarkoitus arvioidaan ennen yhdistämistä muihin aineistoihin. Asiakastyytyväisyyspisteiden liittäminen henkilökohtaiseen myyntiprofiiliin voi muuttaa perusteita, riskejä ja henkilön odotuksia olennaisesti. Lomakkeessa annettu yleinen lupa ”kehittämiseen” ei ratkaise tätä. Toimiva kysely tuottaa tarpeellisen vastauksen tutkimuskysymykseen ja päättää tunnistettavan aineiston elinkaaren suunnitellulla tavalla.