GDPR-vaatimustenmukaisuus Yhdysvaltalaisille ja muille kuin eurooppalaisille yrityksille: käytännön opas

Monet yhdysvaltalaiset yritykset olettavat, että yleinen tietosuoja-asetus (GDPR) koskee vain Eurooppaan sijoittautuneita yrityksiä. Tämä oletus on riskialtis. Jos yrityksesi tarjoaa tavaroita tai palveluja Euroopan unionin alueella oleville ihmisille, seuraa heidän käyttäytymistään tai käsittelee heidän henkilötietojaan näihin toimintoihin liittyen, GDPR voi koskea sinua, vaikka yrityksesi olisi perustettu ja toimisi Yhdysvalloissa.

Perustajille, startup-yrityksille ja kasvaville pienyrityksille kyse ei ole vain oikeudellisesta teoriasta. GDPR voi vaikuttaa siihen, miten keräät sähköpostiosoitteita, toteutat mainoskampanjoita, käytät evästeitä, tallennat asiakastietoja, käsittelet maksuja, hallinnoit alihankkijoita ja käsittelet tietoturvapoikkeamia. Jos yrityksesi on perustettu Yhdysvalloissa ja palvelee kansainvälistä yleisöä, tietosuoja-asioiden vaatimustenmukaisuuden on oltava osa toimintamalliasi alusta alkaen.

Tässä oppaassa selitetään, mitä GDPR on, miksi muiden kuin eurooppalaisten yritysten voi olla tarpeen noudattaa sitä, mitä tietoja se kattaa ja mitkä käytännön toimet voivat auttaa pienentämään riskiä.

Mikä GDPR on

GDPR on Euroopan unionin tietosuojalaki. Sen tarkoituksena on antaa yksilöille enemmän hallintaa siihen, miten heidän henkilötietojaan kerätään, käytetään, jaetaan, säilytetään ja poistetaan.

Laki on soveltamisalaltaan laaja. Se koskee monia erilaisia tietojen käsittelytoimia, kuten:

• Yhteystietojen kerääminen lomakkeiden kautta
• Sähköpostimarkkinointikampanjoiden toteuttaminen
• Verkkosivuston kävijöiden seuraaminen evästeillä tai analytiikkatyökaluilla
• Asiakas- tai työntekijätietojen tallentaminen
• Tietojen jakaminen toimittajien, alustojen tai palveluntarjoajien kanssa
• Maksu- ja tilaustietojen käsittely
• Automaattisten järjestelmien käyttäminen käyttäjien profilointiin tai segmentointiin

GDPR asettaa velvoitteita myös läpinäkyvyyden, tietoturvan, rekisteröidyn oikeuksien, tietoturvaloukkausten käsittelyn ja vastuullisuuden osalta. Käytännössä tämä tarkoittaa, että yritykset tarvitsevat enemmän kuin tietosuojaselosteen. Ne tarvitsevat toimivia prosesseja.

Miksi yhdysvaltalaiset yritykset voivat kuulua soveltamisalaan

GDPR ei rajoitu yrityksiin, jotka sijaitsevat fyysisesti EU:ssa. Laki voi koskea EU:n ulkopuolella toimivia organisaatioita, jos ne tekevät jompaakumpaa seuraavista:

• Tarjoavat tavaroita tai palveluja EU:ssa oleville ihmisille
• Seuraavat EU:ssa olevien ihmisten käyttäytymistä, myös seuranta- ja käyttäytymisanalytiikkateknologioiden avulla

Tämä tarkoittaa, että yhdysvaltalainen startup, verkkokauppa, SaaS-yritys, konsultti, sovelluskehittäjä tai verkkokauppabrändi voi kuulua GDPR:n piiriin, vaikka kaikki omistajat, työntekijät ja palvelimet olisivat Yhdysvalloissa.

Esimerkkejä:

• Delawareen rekisteröity yhtiö, joka myy digitaalisia tuotteita asiakkaille Ranskassa tai Saksassa
• Texasissa toimiva LLC, joka ajaa maksettuja mainoksia EU:n asukkaille suunnattuna
• Kalifornialainen startup, joka käyttää analytiikkaa ja evästeitä EU-kävijöiden tarkasteluun
• Newyorkilainen konsulttiyritys, joka kerää yhteydenottoja EU:ssa sijaitsevilta liideiltä

Jos yritykselläsi on tarkoituksellinen suhde EU:ssa oleviin ihmisiin, sinun kannattaa arvioida, sovelletaanko GDPR:ää.

Mitä pidetään henkilötietona

GDPR määrittelee henkilötiedot laajasti. Se ei rajoitu ilmeisiin tunnisteisiin, kuten nimeen tai henkilötunnukseen. Laki voi kattaa kaiken tiedon, joka liittyy tunnistettavissa olevaan henkilöön.

Yleisiä esimerkkejä ovat:

• Nimi
• Sähköpostiosoite
• Postiosoite
• Puhelinnumero
• IP-osoite
• Laitetunnisteet
• Sijaintitiedot
• Evästetunnisteet
• Maksutiedot
• Käyttäjätilin kirjautumistiedot
• Työsuhdetiedot
• Terveystiedot
• IP-pohjaiset käyttäytymistiedot

Tiedon ei tarvitse yksinään tunnistaa henkilöä ollakseen henkilötietoa. Jos tieto voidaan kohtuudella yhdistää yksilöön, se voi kuulua GDPR:n piiriin.

Tämä laaja määritelmä on yksi syy siihen, miksi monet yritykset aliarvioivat lain merkityksen. Yksinkertainen uutiskirjeen tilauslomake, asiakasportaali tai verkkosivuston analytiikkatyökalu voi synnyttää velvoitteita, jos siihen liittyy EU:n asukkaita.

Miksi ”olemme Yhdysvalloissa” ei ole turvallinen perustelu

Jotkut yritykset olettavat, että koska ne on perustettu Yhdysvaltain osavaltion lain mukaan, GDPR ei ulotu niihin. Näin sääntely ei toimi.

GDPR keskittyy toimintaan, siihen henkilöön, jonka tietoja käsitellään, ja yhteyteen EU:hun. Se, missä yrityksesi on perustettu, on paljon vähemmän ratkaisevaa kuin se, mitä yrityksesi tosiasiassa tekee.

Jos yrityksesi käsittelee EU:n henkilötietoja tavalla, jota GDPR koskee, sinun on ehkä noudatettava lakia riippumatta siitä, oletko:

• Delawareen, Wyomingiin, Floridaan tai mihin tahansa muuhun osavaltioon perustettu yhtiö
• Yhden henkilön omistama LLC
• Bootstrapped-startup
• Etätyötä tekevä yritys ilman fyysistä toimistoa Yhdysvaltojen ulkopuolella

Tästä syystä perustajien kannattaa miettiä vaatimustenmukaisuutta jo uuden yrityksen perustamisen yhteydessä. Perustaminen on vasta alku. Yrityksen toiminta, toimittajat, sopimukset ja asiakasvirrat ovat kaikki tärkeitä.

GDPR:n keskeiset periaatteet, jotka yritysten tulisi tietää

GDPR perustuu ydinsääntöihin, jotka ohjaavat arjen vaatimustenmukaisuutta. Pienyrityksille tärkeimmät ovat:

Lainmukaisuus, kohtuullisuus ja läpinäkyvyys

Tarvitset käsittelylle pätevän oikeusperusteen, ja sinun on selitettävä toimintasi selkeällä kielellä.

Käyttötarkoitussidonnaisuus

Käytä henkilötietoja vain siihen tarkoitukseen, jonka olet ilmoittanut. Älä kerää tietoja yhtä tarkoitusta varten ja käytä niitä myöhemmin toiseen, asiaankuulumattomaan tarkoitukseen ilman asianmukaista ilmoitusta ja oikeusperustetta.

Tietojen minimointi

Kerää vain ne tiedot, joita todella tarvitset. Mitä enemmän tietoja, sitä enemmän riskiä.

Täsmällisyys

Pidä henkilötiedot ajan tasalla ja korjaa tiedot tarvittaessa.

Säilytyksen rajoittaminen

Älä säilytä henkilötietoja loputtomiin vain siksi, että voit. Säilytä tietoja vain niin kauan kuin se on tarpeen ilmoitettuun tarkoitukseen.

Eheys ja luottamuksellisuus

Suojaa henkilötiedot asianmukaisilla teknisillä ja organisatorisilla turvatoimilla.

Vastuullisuus

Pysty osoittamaan, että noudatat vaatimuksia. Käytännöt ovat tärkeitä, mutta niin ovat myös dokumentit, sopimukset ja sisäiset menettelyt.

Oikeusperusteet tietojen käsittelylle

GDPR:n mukaan yrityksillä on yleensä oltava laillinen peruste henkilötietojen käsittelylle. Yleisiä perusteita ovat:

• Suostumus
• Sopimuksen täytäntöönpano
• Lakisääteinen velvoite
• Elintärkeät edut
• Yleistä etua koskeva tehtävä
• Oikeutettu etu

Monille yhdysvaltalaisille yrityksille yleisimmät perusteet ovat suostumus, sopimuksen täytäntöönpano ja oikeutettu etu.

Tärkeää on, että suostumus ei aina ole pakollinen, mutta jos sitä käytetään, sen on oltava informoitu, yksilöity, vapaaehtoinen ja helposti peruutettavissa. Valmiiksi rastitetut valintaruudut tai epämääräiset yleisluontoiset luvat eivät yleensä riitä.

Yleisiä käynnistäjiä pienyrityksille

Sinun kannattaa tarkistaa GDPR-velvoitteet, jos yrityksesi tekee jotakin seuraavista:

• Myy asiakkaille EU:ssa
• Tarjoaa verkkosivuston, joka markkinoi aktiivisesti EU:n asukkaille
• Käyttää uudelleenkohdistusta tai käyttäytymiseen perustuvaa mainontaa
• Käyttää evästeitä, pikseleitä tai analytiikkatyökaluja, jotka seuraavat kävijöitä
• Lähettää markkinointisähköposteja EU-yhteystiedoille
• Tallentaa asiakastilejä
• Käyttää kolmannen osapuolen maksupalveluja, CRM-järjestelmiä tai tukiohjelmistoja, jotka käsittelevät EU-tietoja
• Kerää työhakemuksia EU:ssa olevilta hakijoilta

Vaikka yrityksesi olisi pieni, EU-asiakkaiden tai -käyttäjien olemassaolo voi synnyttää velvoitteita.

Miksi IP-osoitteen perusteella estäminen ei ole luotettava strategia

Jotkut yritykset yrittävät välttää GDPR:ää estämällä EU-kävijät tai vaatimalla heitä klikkaamaan ilmoitusta siitä, etteivät he ole EU:ssa. Nämä oikaisut eivät ole luotettavia.

IP-paikannus ei ole täydellinen. VPN:t, mobiilioperaattorit, jaetut verkot ja matkustaminen voivat kaikki peittää käyttäjän todellisen sijainnin. Lomakekenttä tai valintaruutu ei myöskään ratkaise perimmäistä kysymystä siitä, tarjoaako yrityksesi todellisuudessa palveluja EU:ssa oleville ihmisille tai seuraako heidän käyttäytymistään.

Jos yrityksesi haluaa välttää GDPR-altistuksen, kestävä ratkaisu on suunnitella liiketoimintamalli ja verkkosivuston käytännöt sen mukaisesti. Monissa tapauksissa parempi ratkaisu on noudattaa GDPR:ää.

Käytännön askeleet GDPR-valmiuden parantamiseen

Pienen yrityksen ei tarvitse valtavaa lakitiimiä tullakseen GDPR-valmiimmaksi. Se tarvitsee kuitenkin jäsennellyn lähestymistavan.

1. Kartoitata tietosi

Tunnista, mitä henkilötietoja keräät, mistä ne tulevat, minne ne menevät, kuka niitä pääsee käsittelemään ja kuinka kauan säilytät niitä.

2. Vähennä tarpeetonta keruuta

Jos et tarvitse kenttää lomakkeessa, poista se. Jos toimittajatyökalu kerää tietoja, joita et koskaan käytä, harkitse sen vaihtamista.

3. Päivitä tietosuojailmoituksesi

Tietosuojailmoituksesi tulisi selittää selkeästi:

• Mitä tietoja keräät
• Miksi keräät niitä
• Mikä on käsittelyn oikeusperuste
• Jaatko tietoja kolmansien osapuolten kanssa
• Kuinka kauan säilytät tietoja
• Mitä oikeuksia käyttäjillä on
• Miten käyttäjät voivat ottaa sinuun yhteyttä

4. Tarkista evästeet ja seuranta­työkalut

Jos käytät analytiikkaa, mainospikseleitä, uudelleenkohdistustyökaluja tai istunnon tallennusohjelmistoa, selvitä, tarvitaanko suostumus tai muita ilmoituksia.

5. Tee toimittajasopimukset kuntoon

Jos palveluntarjoajat käsittelevät henkilötietoja puolestasi, tarvitset sopimuksia, jotka jakavat vastuut asianmukaisesti. Tämä on erityisen tärkeää hosting-, palkanlaskenta-, CRM-, sähköpostimarkkinointi- ja asiakastukialustoissa.

6. Laadi prosessi rekisteröidyn pyyntöihin

EU:ssa olevilla henkilöillä voi olla oikeus saada pääsy tietoihinsa, oikaista niitä, poistaa ne tai rajoittaa niiden käsittelyä. Sinun on tiedettävä, miten pyynnöt vastaanotetaan, varmennetaan, seurataan ja käsitellään.

7. Valmistaudu tietoturvaloukkauksiin

Sinulla tulisi olla tietoturvapoikkeamien toimintasuunnitelma. GDPR voi edellyttää nopeaa ilmoitusta tietyissä loukkaustilanteissa, joten sinun on tiedettävä, kuka on vastuussa, mitä dokumentoidaan ja milloin tarvitaan oikeudellista arviointia.

8. Kouluta tiimisi

Jokaisen, joka käsittelee asiakastietoja, tulisi ymmärtää tietosuoja- ja tietoturvaan liittyvät perusodotukset. Käytäntö on hyödyllinen vain, jos ihmiset noudattavat sitä.

Tietoturva on tärkeää

Tietoturva ei ole vain IT-asia. GDPR:n mukaan henkilötiedot on suojattava luvattomalta pääsyltä, luovutukselta, muuttamiselta ja katoamiselta.

Hyviä perustason kontrollikeinoja ovat usein:

• Vahvat salasanat ja monivaiheinen tunnistautuminen
• Roolipohjaiset käyttöoikeudet
• Salaus siirron aikana ja levossa, kun se on tarkoituksenmukaista
• Toimittajien due diligence -arviointi
• Säännölliset ohjelmistopäivitykset ja korjaukset
• Varmuuskopiointi- ja palautusmenettelyt
• Lokitettu pääsy arkaluonteisiin järjestelmiin
• Vanhentuneiden tietojen turvallinen hävittäminen

Pienten yritysten ei tarvitse rakentaa kaikkea yliteknisesti, mutta niiden pitäisi pystyä perustelemaan valintansa ja osoittamaan, että ne ovat tehneet kohtuulliset toimet.

Erityistä huomiota startupeille ja uusille yrityksille

Jos perustat yritystä nyt, tietosuoja kannattaa ottaa mukaan lanseerauslistaan. Tämä on erityisen tärkeää, jos aiot palvella asiakkaita Yhdysvaltojen ulkopuolella.

Kun perustajat käynnistävät yritystä, he tekevät jo päätöksiä yhtiömuodosta, omistuksesta, rekisteröidystä asiamiehestä, toimintasuunnitelmista sekä vero- ja pankkirekisteröinneistä. Samaan aikaan on järkevää miettiä myös:

• Mitä tietoja yritys kerää
• Mitkä toimittajat käsittelevät kyseisiä tietoja
• Mille asiakassegmenteille yritys tähtää
• Onko yrityksellä EU-kävijöitä tai -asiakkaita
• Mitä sisäisiä käytäntöjä pitäisi olla ennen julkaisua

Zenind tukee yrittäjiä yrityksen perustamisprosessissa, ja tietosuoja-valmius sopii samaan kurinalaiseen lähestymistapaan: rakenna liiketoiminta oikein alusta alkaen, jotta tuleva kasvu ei aiheuta vältettävissä olevaa riskiä.

Milloin kannattaa hakea oikeudellista apua

GDPR on yksityiskohtainen, ja monet yritykset tarvitsevat oikeudellista tukea omien velvoitteidensa arvioimiseen. Harkitse ammattilaisen apua, jos:

• Yritykselläsi on EU-asiakkaita tai -käyttäjiä
• Käsittelet arkaluonteisia henkilötietoja
• Tukeudut voimakkaasti mainontaan, seurantaan tai profilointiin
• Käsittelet tietoja laajassa mittakaavassa
• Et ole varma, mikä oikeusperuste soveltuu
• Sinun täytyy laatia tai tarkistaa toimittajasopimuksia
• Olet saanut pyynnön EU:ssa asuvalta henkilöltä tai viranomaiselta

Tämä artikkeli on käytännön yleiskatsaus, ei oikeudellista neuvontaa. Todellista vaatimustenmukaisuuden arviointia varten työskentele pätevän lakimiehen tai tietosuoja-asiantuntijan kanssa.

Keskeiset opit

• GDPR voi koskea yhdysvaltalaisia ja muita kuin eurooppalaisia yrityksiä.
• Laki keskittyy siihen, miten käsittelet henkilötietoja, ei vain siihen, missä yrityksesi on perustettu.
• Henkilötiedot määritellään laajasti, ja ne voivat sisältää IP-osoitteita, evästeitä ja käyttäytymistunnisteita.
• Pienyritysten kannattaa kartoittaa tietovirrat, päivittää ilmoitukset, hallita toimittajia ja valmistautua käyttäjien oikeuksiin liittyviin pyyntöihin.
• Jos yrityksesi palvelee EU-asiakkaita tai seuraa EU-kävijöitä, GDPR:n on oltava osa toimintasuunnitelmaasi.

Yhteenveto

Yhdysvaltalaisille yrityksille GDPR ei ole kaukainen eurooppalainen asia. Se on käytännön vaatimustenmukaisuuskysymys, joka voi vaikuttaa siihen, miten verkkosivustosi toimii, miten sopimuksesi laaditaan, miten markkinointisi toteutetaan ja miten tietosi suojataan.

Yritykset, jotka hoitavat GDPR:n hyvin, eivät ole niitä, jotka sivuuttavat sen. Ne ovat niitä, jotka tunnistavat sen ajoissa, keräävät vähemmän tietoa, asettavat selkeät säännöt ja rakentavat vaatimustenmukaisuuden osaksi työnkulkua alusta lähtien. Jos yritystäsi ollaan vasta perustamassa tai se valmistautuu kansainväliseen kasvuun, nyt on oikea aika järjestäytyä.