Verkkokaupan tietosuoja: tilaukset, asiakastiedot ja markkinointi

Verkkokaupan tietosuoja muodostuu ostoskorista, tilauksesta, maksamisesta, toimituksesta ja myöhemmästä asiakassuhteesta. Tietosuojaseloste ei yksin ratkaise näitä vaiheita: myös lomakkeiden, liitäntöjen, käyttöoikeuksien ja poistamisen on vastattava asiakkaalle kerrottua. Tilauksen toimittamiseen tarvittavaa osoitetta voidaan käsitellä eri perusteella kuin samaan osoitteeseen lähetettävää markkinointia.

Tässä oppaassa kuvitteellinen Valopaja Oy myy tavallisia kodin valaisimia suomalaisille kuluttajille. Asiakas voi tehdä yksittäisen tilauksen ilman asiakastiliä. Yritys käyttää maksupalvelua, kuljetusliikettä, verkkokauppa-alustaa ja erillistä uutiskirjepalvelua. Täytetty esimerkki käy läpi näiden tietovirrat sekä tilanteet, joissa tilauksen aikana syntyneitä tietoja ei saa käyttää myöhemmin ehdotetulla tavalla. Toimiala ei sisällä ikärajatuotteita tai terveydenhuollon palveluja, joiden erityissäännöt muuttaisivat arviota.

Piirrä tilauksen tietovirta ennen lomakkeiden muuttamista

Valopajan tilaus numero V1042 sisältää ostajan nimen, sähköpostin, toimitusosoitteen, tuotteen ja maksun tilan. Ostajan kortin koko numero ei tule kaupan omaan asiakaspalvelunäkymään. Maksupalvelu palauttaa viitetunnisteen ja onnistumismerkinnän. Kuljetusliike saa toimitukseen tarvittavat tiedot, mutta ei uutiskirjeen suostumusta tai asiakkaan aikaisempaa selaushistoriaa.

Kartoituksessa tarkistetaan myös vähemmän näkyvät siirrot: hylättyjen maksujen raportti, sivulle upotettu chat, palautusportaali ja lisäosan virheloki. Jos lokiin päätyy koko lomakkeen sisältö, tieto ei jää vain varsinaiseen tilausjärjestelmään. Järjestelmien ja riippuvuuksien kartoitus auttaa nimeämään jokaisen todellisen vastaanottajan.

Evästeiden välttämättömyys ratkaistaan toiminnon perusteella

Suomessa päätelaitteelle tallentamisesta ja tietojen käytöstä säädetään sähköisen viestinnän palveluista annetun lain 205 §:ssä. Suostumuspoikkeus koskee viestin välittämistä tai käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi välttämätöntä tallentamista ja käyttöä. Kaupan liiketoiminnallinen hyöty ei yksin tee mainonnan mittaamisesta välttämätöntä. Myöskään palveluntarjoajan käyttämä nimi ”toiminnallinen” ei ratkaise luokittelua.

Valopaja sallii esimerkissään korin ylläpitämisen edellyttämän istuntotunnisteen ilman seurantasuostumusta. Mainospikseli ja asiakkaan eri sivukäyntejä yhdistävä analytiikka odottavat asianmukaista suostumusta. Yritys tarkistaa selaimen verkkopyynnöistä, käynnistyykö pikseli jo ennen bannerin valintaa. Suostumuksen tallentaminen jälkikäteen ei korjaa jo alkanutta seurantaa.

Traficomin evästeohje selventää myös kieltäytymistä ja peruuttamista. Valmiiksi hyväksytty valinta tai sivuston käytön jatkaminen ei ole pätevä suostumus ei-välttämättömään käyttöön. Valopaja tarjoaa helposti löydettävät valinnat hyväksymiseen, kieltäytymiseen ja tarkoituskohtaiseen muuttamiseen. Evästeasetukset saa myöhemmin uudelleen näkyviin alatunnisteesta, ja peruuttaminen vaikuttaa myös toteutukseen.

Evästesääntö ja henkilötietojen käsittelyperuste ovat kaksi erillistä kysymystä. Oikeutettu etu ei korvaa päätelaitetta koskevaa suostumusvaatimusta. Vastaavasti se, että ratkaisu ei käytä perinteistä evästettä, ei yksin vapauta muun vastaavan tekniikan arvioinnista. Suostumuksen edellytykset on huomioitava myös siinä, miten suostumuksen sisältö ja ajankohta voidaan myöhemmin osoittaa.

Rajaa kassalla pyydettävät tiedot

GDPR:n 6 artiklan sopimusperuste kattaa vain sopimuksen täytäntöönpanemiseksi tai henkilön pyytämiksi sopimusta edeltäviksi toimiksi tarpeellisen käsittelyn. Ehtoihin kirjoitettu laaja analytiikkalause ei tee kaikesta profiloinnista välttämätöntä lampun myymiselle. Valopaja erottaa tilauksen toimittamisen, kirjanpidon, turvallisuuden ja markkinoinnin omiksi tarkoituksikseen.

Kassalta poistetaan syntymäpäivä ja sukupuoli, koska tämän tuotteen myynti ei tarvitse niitä. Puhelinnumeroa kysytään valitun toimitustavan edellyttämään saapumisilmoitukseen vain, jos se todella tarvitaan. Jos sähköposti riittää valittuun noutoilmoitukseen, pakollista puhelinnumeroa ei perustella tulevalla markkinoinnilla. Lahjatilauksessa ostajan ja vastaanottajan tiedot erotetaan, jotta lahjan saajasta ei muodostu uutiskirjeasiakasta.

Valopaja valitsee vierasoston, koska kertatilauksen toimittaminen onnistuu ilman pysyvää tiliä. Tämä on tarpeellisuusarvioon perustuva käytännön ratkaisu, ei väite siitä, että GDPR sisältäisi sanamuodoltaan kaikkia verkkopalveluja koskevan vierasostopykälän. Jos tili on osa jatkuvaa palvelua, sen tarkoitus ja tarvittavat tiedot arvioidaan palvelun todellisen sisällön mukaan. Tietojen minimoinnin lomake-esimerkit auttavat poistamaan kenttiä, joita jokin valmis alusta vain ehdottaa.

Maksupalvelu ei aina ole kaupan käsittelijä

Verkkokaupan puolesta ja sen ohjeiden mukaan toimiva palveluntarjoaja voi olla henkilötietojen käsittelijä. Maksupalvelu voi kuitenkin määrittää omiin lakisääteisiin tehtäviinsä liittyvän käsittelyn tarkoitukset ja keinot itse. Myös kuljetusliikkeen asema arvioidaan todellisten tehtävien perusteella. Kaikkia ulkopuolisia yrityksiä ei siksi merkitä käsittelijöiksi yhdellä rivillä.

Valopaja luokittelee uutiskirjepalvelun käsittelijäksi rajatussa lähetyspalvelussa. Maksukumppanilta se pyytää selvityksen maksun toteuttamisen, petostentorjunnan ja pakollisten tarkastusten rooleista. Eri toiminnoilla voi olla erilainen asema. Rekisterinpitäjän ja käsittelijän vastuunjako ohjaa tämän dokumentointia ennen sopimusmallin valintaa.

Käsittelijän kanssa tarvitaan 28 artiklan mukainen sopimus, joka kattaa muun muassa ohjeet, luottamuksellisuuden, suojatoimet, alikäsittelijät, oikeuspyyntöjen avustamisen sekä palauttamisen ja poistamisen. Käsittelysopimuksen malli täytetään palvelun todellisilla tietoryhmillä. Riippumattomalle rekisterinpitäjälle luovuttaminen tarvitsee puolestaan asianmukaisen perusteen, tiedot vastaanottajasta ja tarvittavat järjestelyt; käsittelysopimus ei muuta tosiasiallista roolia.

EU-palvelin ja kansainvälinen tukipalvelu

Valopajan verkkokauppa-alustan tietokanta sijaitsee Suomessa, mutta toimittajan tukipalvelu ilmoittaa voivansa avata asiakastietoja ETA:n ulkopuolelta. Yritys ei päättele palvelimen sijainnista, ettei kansainvälisiä siirtoja ole. Se selvittää vastaanottavan oikeushenkilön, pääsyn tarkoituksen, tietoryhmät, maat ja siirron suojausmekanismin.

Jos käytetään tietosuojan riittävyyspäätöstä, sen voimassaolo ja vastaanottajan kuuluminen soveltamisalaan tarkistetaan. Vakiolausekkeita käytettäessä tarvitaan oikea moduuli ja tilanteen edellyttämä siirtoarvio. Henkilötietojen siirrot EU:n ulkopuolelle ja siirtovaikutustenarvioinnin käytännön toteutus auttavat erottamaan sopimuspaperin toimivasta suojauksesta.

Esimerkin toimittaja ei pysty vielä nimeämään yhtä tukeen osallistuvaa alihankkijaa. Valopaja ei avaa tämän toimijan pääsyä tuotantoon ennen selvitystä. Tukipyyntö ratkaistaan aluksi keinotekoisella testitilauksella. Tämä ei poista myöhemmän tuotantopääsyn arviointia, mutta estää asiakastietojen käyttämisen kokeilussa, jonka vastaanottajaketju on vielä tuntematon.

Tilausvahvistus, asiakaspoikkeus ja kesken jäänyt kori

Tarpeellinen tilausvahvistus ja noutoilmoitus ovat eri asioita kuin markkinointiviesti. Valopaja pitää toimitusviestin sisältönä tilauksen tilan ja tarpeelliset toimintaohjeet. Se ei lisää viestiin mainosta toisesta tuoteryhmästä ja käsittele kokonaisuutta edelleen pelkkänä palveluviestinä.

Sähköisen viestinnän palveluista annetun lain 200 § lähtee luonnolliseen henkilöön kohdistuvassa sähköisessä suoramarkkinoinnissa ennakkosuostumuksesta. Rajattu asiakaspoikkeus koskee saman myyjän omia samaan tuoteryhmään kuuluvia tai muuten vastaavia tuotteita ja palveluja, kun yhteystieto saadaan asiakkaalta myynnin yhteydessä. Helppo ja maksuton kielto pitää mahdollistaa jo kerättäessä sekä jokaisen viestin yhteydessä. Pelkkä aikaisempi verkkosivukäynti ei täytä näitä ehtoja.

Valopaja valitsee esimerkissään uutiskirjeelle erillisen vapaaehtoisen suostumuksen. Ostajan ei tarvitse liittyä listalle saadakseen tilausvahvistuksen. Keskeneräisen korin sähköpostiosoitetta ei siirretä automaattiseen ”unohdit ostoksesi” -kampanjaan, koska kävijällä ei ole aikaisempaa asiakassuhdetta eikä markkinointisuostumusta. Pelkkä osoitteen kirjoittaminen kassalle ei muodosta kumpaakaan.

Tietosuojavaltuutetun ajantasainen suoramarkkinoinnin ohje käsittelee myös kiellon toimeenpanoa. Valopaja pysäyttää lähetykset sekä päälistassa että jo ajastetussa kampanjassa. Jos henkilö pyytää samalla kaikkien tietojen poistamista, myös kieltomerkinnän poistamista koskeva toive selvitetään ja sen seuraukset selitetään. Merkintää ei säilytetä vastoin henkilön nimenomaista poistotahtoa vain vetoamalla yleiseen estolistakäytäntöön. Vastustamisoikeuden ohje erottaa tämän tavallisesta markkinoinnin lopettamisesta.

Säilytysajat: tilaus ei ole yksi jakamaton arkisto

Kirjanpitolain 2 luvun 10 § edellyttää tilikauden tositteiden ja laissa tarkoitetun muun vastaavan aineiston säilyttämistä vähintään kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi, jollei muu laki edellytä pidempää aikaa. Tilinpäätöstä, kirjanpitoja ja muita pykälän ensimmäisen momentin aineistoja koskee vähintään kymmenen vuotta tilikauden päättymisestä. Nämä eivät ole koko asiakasprofiilin yhteisiä säilytysaikoja.

Jos Valopajan tilikausi päättyy 31.12.2026, sen vuoden tavallinen myyntitosite kuuluu kuuden vuoden säännön perusteella säilytettäväksi vuoden 2032 loppuun. Mahdollinen pidempi erityisvelvoite arvioidaan erikseen. Sama laskentatapa ei oikeuta pitämään asiakkaan selaushistoriaa tai markkinointiprofiilia vuoteen 2032.

Asiakastilin, takuuasian, virhevastuun selvittämisen ja avoimen riidan säilytystarpeet määritellään aineistokohtaisesti. Takuuajan päättyminen ei yksin ratkaise kaikkia kuluttajakaupan vastuita. Toisaalta mahdollinen tuleva reklamaatio ei ole peruste säilyttää tarpeettomasti jokaisen asiakaspalveluviestin kaikkia liitteitä. Säilytyspäätökseen kirjataan tarvittava näyttö, käyttöoikeus ja poistamisen käynnistävä tapahtuma.

Valopaja valitsee ilman tilausta päättyvän teknisen koriluonnoksen poistettavaksi 24 tunnin kuluttua, koska pidempää toimintatarvetta ei tässä toteutuksessa ole. Asiakaspalvelun kuvitteellinen palautuskuva poistetaan, kun palautusasia on ratkaistu eikä kuvaa tarvita enää yksilöityyn vaatimukseen. Nämä ovat esimerkkipäätöksiä, eivät Suomen yleisiä verkkokaupan määräaikoja. Säilytyksen rajoittaminen ulottuu myös liitteisiin ja vientitiedostoihin.

Asiakkaan pyyntö ja turvallinen arki

Asiakas pyytää tilinsä poistamista. Valopaja lopettaa tilin kirjautumisen ja poistaa tarpeettomat profiilitiedot, mutta käsittelee erikseen myyntitositteen lakisääteisen arkistoinnin. Vastauksessa kerrotaan, mitä poistettiin, mitä säilytetään, millä perusteella ja kuinka kauan. Asiakasta ei vastata vain ilmoittamalla ”tili suljettu”, jos tiedot edelleen jäävät taustajärjestelmään.

Tarkastuspyynnössä selvitetään myös palvelukeskustelut, vastaanottajat ja asiakkaaseen yhdistyvät tunnisteet. Tietojen siirrettävyys koskee 20 artiklan edellytysten täyttyessä suostumukseen tai sopimukseen perustuvaa automaattista käsittelyä; kaikki kaupan sisäiset arviot eivät automaattisesti kuulu siirrettävään aineistoon. Vastausten lähtökohtainen määräaika on kuukausi, ja jatkaminen edellyttää 12 artiklan ehtoja sekä perusteltua ilmoitusta määräajassa.

Valopajan asiakaspalvelija tunnistetaan henkilökohtaisella tunnuksella ja monivaiheisella todennuksella. Hän näkee toimituksen hoitamisessa tarvittavat tiedot, mutta ei voi viedä kaikkien asiakkaiden tietoja yhdellä latauksella. Varastokäyttäjä näkee keräily- ja toimitustiedot. Ylläpitäjän oikeus ei ole tavallisen työvuoron oletus, ja epäilyttävän viennin tapahtumat ohjataan nimetyille vastuuhenkilöille.

Mitä asiakkaalle näytetään kassalla?

Valopajan kassalla tietosuojatietojen linkki on yhteystietokenttien vieressä. Lyhyt teksti kertoo tilauksen toimittamisesta, maksupalvelusta ja toimituskumppanista. Täydellinen ilmoitus nimeää rekisterinpitäjän ja yhteystiedot sekä kuvaa tarkoitukset, perusteet, vastaanottajat, siirrot, säilyttämisen ja soveltuvat oikeudet. Asiakas näkee myös, mitkä kentät ovat tarpeellisia ja mitä niiden antamatta jättämisestä seuraa. Ilmoituksen lukemisen kuittaus ei ole yleinen suostumus kaikkiin taustajärjestelmän toimintoihin.

Lahjan vastaanottaja ei välttämättä ole asioinut kassalla lainkaan. Valopaja arvioi tämän vuoksi häntä koskevan informoinnin erikseen, eikä siirrä ostajan antamaa markkinointivalintaa vastaanottajalle. Asiakaspalvelulle laadittu ohje sanoo, että toimitusosoitteen vastaanottaminen ostajalta tarkoittaa toimituksen järjestämistä, ei vastaanottajan liittämistä kanta-asiakasohjelmaan. Jos toimitustiedon lähde jää epäselväksi, asia selvitetään ennen kuin henkilön kysymykseen vastataan.

Tietosuojaselosteen malli auttaa kokoamaan ilmoituksen, mutta Valopaja täyttää siihen omat palvelunsa ja todelliset säilytyspäätöksensä. Yleinen lause mahdollisista kumppaneista ei kerro asiakkaalle, mihin hänen tilaustietonsa todella kulkevat.

Julkaisua edeltävän tarkistuksen täytetty tulos

Valopajan kokeilutilaus V1042 läpäisee maksun ja toimituksen: asiakkaan osoite näkyy vain oikeissa näkymissä, ja uutiskirjelista jää tyhjäksi ilman suostumusta. Evästetarkistus kuitenkin paljastaa, että maksun kiitossivun erillinen mainostunniste käynnistyy myös kieltäytymisen jälkeen. Yritys korjaa kyseisen sivun latausehdon ja tarkistaa koko ostopolun uudelleen. Pelkän etusivun onnistunut banneritarkistus ei olisi löytänyt virhettä.

Toinen tarkistus koskee poistettua testitiliä. Asiakaspalvelun hakutulos ei enää näytä profiilia, mutta ladattu raportti sisältää sen edelleen. Raportin säilytys ja pääsy korjataan, ja poistoprosessiin lisätään tämä vastaanottaja. Toteutuksen hyväksyntä perustuu lopulta siihen, mitä järjestelmä todella tekee: tarpeelliset tilaukset kulkevat, markkinointivalinnat säilyvät ja tarpeettomat henkilötiedot poistuvat myös sivureiteiltä.