Suostumuksen, oikeutetun edun ja sopimuksen täyttämisen välinen ero

Suostumuksen, oikeutetun edun ja sopimuksen täyttämisen välinen ero

GDPR ei koske vain sitä, että käyttäjiä pyydetään hyväksymään evästeet. Ennen henkilötietojen keräämistä tai käyttämistä yrityksellä on oltava käsittelylle laillinen peruste. Kolme perustetta menee helposti sekaisin: suostumus, oikeutettu etu ja sopimuksen täyttämisen välttämättömyys.

Jokainen niistä voi olla pätevä oikeassa yhteydessä, mutta ne eivät ole keskenään vaihdettavissa. Väärän perusteen valinta voi vaikuttaa ihmisille annettaviin tietoihin, heidän oikeuksiinsa ja siihen, miten evästebanneri tai suostumustenhallintaratkaisu (CMP) toimii.

---

Mikä on laillinen peruste?

GDPR edellyttää, että organisaatiolla on laillinen peruste ennen henkilötietojen käsittelyä. Euroopan tietosuojaneuvoston (EDPB) yleiskatsaus luettelee kuusi perustetta: suostumus, sopimus, lakisääteinen velvoite, elintärkeät edut, yleinen etu ja oikeutetut edut. Valitse peruste käsittelyn tarkoituksen mukaan, älä vasta sen jälkeen, kun data on jo kerätty.

---

Suostumus selitettynä

Suostumus on vapaaehtoisesti annettu, yksilöity, tietoinen ja yksiselitteinen hyväksyntä henkilötietojen käsittelylle. ICO:n pätevää suostumusta koskeva ohjeistus selittää, että suostumus edellyttää selvää myönteistä toimintaa.

Suostumus sopii usein tilanteisiin, joissa ihmisillä on aito valinnanvapaus ja hallinta: sähköpostimarkkinoinnin opt-in, valinnaiset analytiikkaevästeet, mainosevästeet, retargeting-pikselit, käyttäytymisseuranta, uutiskirjeet ja valinnainen tietojen jakaminen kolmannen osapuolen markkinointityökaluille.

Suostumusta ei saa pakottaa, piilottaa asiaan kuulumattomiin ehtoihin, niputtaa yhteen tai olettaa vaikenemisesta. Valmiiksi rastitetut ruudut, epämääräinen sanamuoto ja ”selaamalla eteenpäin” eivät ole vahvoja suostumusmalleja. Suostumuksen peruuttamisen on myös oltava yhtä helppoa kuin sen antaminen. CookiePal tukee suostumusbannereita, skannausta ja automaattista estoa silloin, kun ei-välttämättömien evästeiden on odotettava suostumusta.

---

Oikeutettu etu selitettynä

Oikeutettu etu voi soveltua, kun organisaatiolla on aito laillinen etu, käsittely on tarpeen kyseistä tarkoitusta varten eikä yksilön oikeuksia ja vapauksia pidä tärkeämpinä. ICO kuvaa kolmiosaisen oikeutettujen etujen arvioinnin: tarkoituskoe, välttämättömyyskoe ja tasapainotuskoe.

Asiayhteydestä riippuen se voi sopia vähäriskisiin toimintoihin, kuten petosten ehkäisyyn, verkkosivuston turvallisuuteen, sisäiseen hallintoon, tiettyyn B2B-viestintään, rajattuun analytiikkaan tai väärinkäytösten estämiseen. Se ei ole oikotie suostumuksen ohi. Seurantaevästeet, mainospikselit, retargeting ja vastaavat laiteteknologiat voivat edelleen vaatia evästesuostumuksen, vaikka pitäisit GDPR:n mukaista oikeutettua etua sopivana perusteena. Ihmisillä on myös vastustamisoikeus.

---

Sopimuksen täyttämisen välttämättömyys selitettynä

Sopimuksen täyttämisen välttämättömyys soveltuu silloin, kun käsittely on tarpeen yksilön kanssa tehdyn sopimuksen täyttämiseksi tai tietyjen sopimusta edeltävien toimien tekemiseksi hänen pyynnöstään. ICO:n sopimusta koskeva ohjeistus selittää, että käsittelyn on oltava aidosti välttämätöntä sopimuksen tai pyydetyn toimen toteuttamiseksi.

Esimerkkejä ovat toimitusosoitteen käsittely tilauksen lähettämiseksi, maksutietojen käsittely oston viimeistelemiseksi, käyttäjän pyytämät tilitiedot, palveluviestit, varaustiedot tai yhteystiedot pyydettyyn tarjoukseen vastaamiseksi. Perustetta ei pidä venyttää kattamaan yleisiä liiketoimintatavoitteita: tilausvahvistussähköposti ei tee mainosuutiskirjeistä sopimuksen kannalta välttämättömiä, eivätkä analytiikkaevästeet ole välttämättömiä sille, että joku voi lukea verkkosivustoa.

---

Kolmen perusteen vertailu

| Laillinen peruste | Sopii parhaiten | Käyttäjän hallinta | | --- | --- | --- | | Suostumus | Valinnainen käsittely, jossa on aito valinnanvara | Voi peruuttaa suostumuksen | | Oikeutettu etu | Välttämättömät, kohtuulliset ja tasapainotetut liiketoimintaedut | Voi vastustaa | | Sopimuksen täyttämisen välttämättömyys | Sopimuksen tai pyydetyn toimen edellyttämä käsittely | Sidottu palvelun tarjoamiseen |

Jos käsittely on valinnaista, suostumus voi olla sopiva peruste. Jos se on tarpeen tasapainotetun liiketoimintaedun vuoksi, oikeutettu etu voi sopia. Jos se on aidosti tarpeen pyydetyn palvelun tarjoamiseksi, sopimuksen täyttämisen välttämättömyys voi soveltua.

---

Miten tämä vaikuttaa evästebannereihin

Evästebannerit koskevat evästeitä ja vastaavia teknologioita, eivät kaikkea henkilötietojen käsittelyä. Seurantasi taustalla oleva peruste on silti tärkeä. Ehdottoman välttämättömät evästeet eivät välttämättä tarvitse suostumusta, mutta ne on selitettävä. Analytiikka-, mainos-, retargeting- ja kohderyhmien rakentamiseen käytettävät evästeet tarvitsevat yleensä suostumuksen ennen käynnistymistään. Myös toiminnalliset työkalut, kuten live chat tai upotettu video, voivat tarvita sen toimintatavasta riippuen.

ICO:n evästeohjeistus selittää, että suostumus voidaan vaatia tietojen tallentamiseen laitteelle tai niiden käyttämiseen, ellei poikkeus ole voimassa.

---

Vältettävät yleiset virheet

Oikeutetun edun käyttäminen siksi, että suostumusprosentit ovat matalia

Matalat hyväksymisprosentit eivät muuta laillista perustetta. Peruste riippuu tarkoituksesta ja asiayhteydestä, ei yrityksen toivomasta lopputuloksesta.

Markkinoinnin kutsuminen sopimukseen perustuvaksi

Asiakas voi tarvita tilin tai kuitin, mutta ei yleensä tarvitse mainossähköposteja tai retargetingia saadakseen palvelun.

Suostumuksen pyytäminen, kun valinnanvaraa ei ole

Kun käsittely on aidosti välttämätöntä palvelun tarjoamiseksi, suostumus ei välttämättä ole oikea peruste.

Eri tarkoitusten sekoittaminen

Tietoturva, palvelun toimittaminen, analytiikka, markkinointi ja personointi ovat eri tarkoituksia. Älä niputa niitä yhteen epämääräiseen lausumaan.

---

Käytännön tarkistuslista

Ennen laillisen perusteen valintaa kysy, mitä dataa käsittelet, mikä on tarkka tarkoitus, onko käsittely valinnaista vai välttämätöntä, liittyvätkö evästeet asiaan, onko yksilöllä aito valinnanvara ja odottaisiko hän kohtuudella käsittelyä, voitko käyttää vähemmän dataa, mitä oikeuksia sovelletaan ja vastaavatko tietosuojaselosteesi ja evästebannerisi todellista toteutusta.

---

Yhteenveto

Suostumus, oikeutettu etu ja sopimuksen täyttämisen välttämättömyys ratkaisevat eri ongelmia. Suostumus on tarkoitettu aitoon valinnanvaraan, oikeutettu etu edellyttää välttämättömyyttä ja oikeudenmukaista tasapainoa, ja sopimuksen täyttämisen välttämättömyys koskee käsittelyä, joka on aidosti tarpeen sopimuksen tai pyydetyn toimen toteuttamiseksi. Evästeiden, mainonnan, analytiikan ja markkinointityökalujen kohdalla erota tarkoitukset selkeästi ja varmista, että selitys, valinnat ja verkkosivuston toiminta vastaavat toisiaan.