Verkostoitumissovellus: mitä julkinen ostaja tarkistaa

Kun julkinen organisaatio harkitsee verkostoitumissovelluksen kokeilua, tietosuojakysymyksiä on käytännössä seitsemän: kuka on rekisterinpitäjä, mitä osallistuja saa tietää ennen liittymistä, kerätäänkö vain tarpeelliset tiedot, miten oikeuksia käytetään, mikä on käsittelyn peruste, miten testaus tehdään ja miten pilotin tarkoitus kerrotaan. Käymme ne läpi järjestyksessä, kerromme mitä toimittajalta kannattaa kysyä ja annamme Kohtaan omat vastaukset.

Jotkin julkiset organisaatiot hoitavat pilotin lyhyellä toimittajan tarkistuslistalla täyden vaikutustenarvioinnin sijaan, kun organisaatio ei itse kerää henkilötietoja. Selvitä oman tietosuojavastaavasi kanssa, onko tämä reitti käytettävissä teillä. Alla olevat kysymykset sopivat kumpaankin tapaan.

Täydelliset vastaukset ovat hankintasivulla, ja Kohtaan tietosuojaseloste on osoitteessa /fi/privacy.

Kuka on rekisterinpitäjä pilotissa?

Rekisterinpitäjä on se, joka päättää, miksi ja miten henkilötietoja käsitellään. Jos organisaatiosi vain isännöi tapahtumaa eikä itse kerää henkilötietoja, rekisterinpitäjä on toimittaja, eikä tietojenkäsittelysopimusta tarvita. Näin Kohtaa toimii tällaisissa pilooteissa.

Pilotissa, jossa ostaja ei kerää henkilötietoja, rekisterinpitäjä on Curtis Thomas, joka ylläpitää Kohtaa-palvelua, Oulu, Suomi, ja voimassa on osoitteen /fi/privacy tietosuojaseloste. Tietojenkäsittelysopimusta ei tarjota, koska organisaatiosi ei ole osallistujien tietojen rekisterinpitäjä, eikä sillä siksi ole käsittelijälle annettavia ohjeita.

Joskus ostaja silti tarvitsee rekisterinpitäjän aseman, esimerkiksi koska oma ohjeistus vaatii allekirjoitetun sopimuksen jokaisesta toimittajasta. Sopimusmalli on olemassa ja saatavilla pyynnöstä. Kysy keneltä tahansa toimittajalta ensimmäiseksi, kuka rekisterinpitäjä on, ja pyydä vastaus yhdellä lauseella ja oikealla nimellä. Jos vastaus on epämääräinen, loputkin vastaukset ovat sitä.

Näkeekö osallistuja tietosuojailmoituksen ennen liittymistä?

Osallistujan pitää lukea, kuka vastaa hänen tiedoistaan, ennen kuin hän antaa ne. Kohtaassa jokaisen tapahtuman liittymislomakkeen viimeinen vaihe nimeää rekisterinpitäjän ja linkittää tietosuojaselosteeseen. Järjestäjä voi lisäksi kirjoittaa tapahtumalle oman ilmoituksen.

Kysy toimittajalta kolme asiaa: missä ilmoitus näkyy, näkyykö se ennen kuin henkilö lähettää mitään, ja voiko järjestäjä lisätä siihen tapahtumakohtaista tekstiä. Linkki alatunnisteessa ei ole vastaus.

Kohtaassa järjestäjä kirjoittaa tapahtumakohtaisen tietosuojailmoituksen englanniksi ja halutessaan suomeksi, enintään 600 merkkiä kummallakin kielellä. Se näkyy liittymisvaiheessa Liity-painikkeen yläpuolella, julkisella tapahtumasivulla ennen kirjautumista ja osallistujan tapahtumanäkymässä liittymisen jälkeen. Sitä voi muokata julkaisun jälkeenkin, joten tietosuojatarkistuksesta tulleen sanamuodon voi liittää myöhemminkin.

Kerätäänkö vain tarpeelliset tiedot?

Pilotti saa kerätä vain sen, mitä se tarvitsee. Hyvä vastaus luettelee pakolliset tiedot ja osoittaa, että kaikki muu on vapaaehtoista. Kohtaassa kirjautumiseen tarvitaan sähköpostiosoite ja liittymiseen nimi. Kaiken muun voi jättää tyhjäksi, ellei järjestäjä tee jotakin kenttää pakolliseksi omassa tapahtumassaan.

Järjestäjä voi tehdä pakolliseksi vain kaksi profiilikenttää: osallistujan tyypin (esimerkiksi perustaja tai sijoittaja) ja sen, mitä hän etsii. Järjestäjä voi piilottaa tapahtumasta yrityksen, toimialan ja vaiheen. Osallistuja voi myös valita näkyä nimettömänä.

Pyydä toimittajalta kenttäluettelo taulukkona, jossa jokaisen kentän vieressä on pakollinen tai vapaaehtoinen ja tieto siitä, kuka kentän näkee. Kysy myös asioista, joista harva kertoo ensin: tallennetaanko kirjautumispalvelun profiilikuvan osoite, kirjataanko sivunäytöt, kerätäänkö laitetunnisteita? Kohtaa tallentaa Google- tai LinkedIn-kirjautumisen profiilikuvan osoitteen, ja henkilö voi poistaa sen liittymislomakkeella. Kirjautuneiden käyttäjien sivunäytöt kirjataan oman tuotekehityksen analytiikkaan käyttäjätunnuksella ja sivun polulla, ilman IP-osoitetta, selainta tai laitetunnistetta.

Miten osallistuja käyttää oikeuksiaan?

Oikeuksien käytön pitää olla omatoimista ja yhden tai kahden klikkauksen päässä, ja rajat on kerrottava rehellisesti. Kohtaassa osallistuja voi ladata kaikki hänestä säilytetyt tiedot yhdellä klikkauksella, korjata profiilinsa, poistaa tilinsä, kytkeä ilmoitukset pois ja vastustaa käsittelyä sähköpostilla.

Vienti on yksi JSON-tiedosto, joka kattaa tilin, tapahtumaosallistumiset, tapaamispyynnöt, viestit, yhteysmerkinnät, muistiinpanot ja muuta. Poisto poistaa kaikki henkilötiedot: nimen, sähköpostin, kuvan, esittelyn, viestit, muistiinpanot, arvioinnit ja tapahtumakohtaisen profiilin. Osallistuja voi myös valita automaattisen poiston seitsemän päivää viimeisen tapahtumansa jälkeen. Hän saa muistutuksen 24 tuntia ennen, ja peruminen onnistuu yhdellä klikkauksella.

Tärkein kysymys on, mitä poiston jälkeen jää. Kohtaassa jää nimetön merkintä siitä, että kaksi ihmistä on tavannut tapahtumassa: siinä ovat tunnisteet, määrät ja päivämäärät mutta ei profiilitietoja, koska toisen osapuolen yhteyshistoria nojaa siihen. Kukaan ei menetä yhteyttään, koska joku toinen käyttää oikeuksiaan. Varmuuskopioita ei koske mikään säilytysaikaa koskeva väite. Toimittaja, joka sanoo "kaikki poistetaan", ei ole katsonut tarkasti.

Valitukset osoitetaan tietosuojavaltuutetulle (tietosuoja.fi), ja vastustamisoikeutta käytetään sähköpostilla rekisterinpitäjälle.

Mikä on käsittelyn peruste?

Peruste on syy, jonka nojalla käsittely on lainmukaista. Kohtaa nojaa oikeutettuun etuun (GDPR 6 artiklan 1 kohdan f alakohta): tarkoitus on yhdistää ihmisiä ammatillisissa ja verkostoitumistapahtumissa, ja yhteysmerkintä on tarpeen palvelun tuottamiseksi. Suostumus ei ole peruste, eikä suostumuksia tallenneta.

Tällä on merkitystä yhdelle monen tarkistuslistan kohdalle: "osallistujat voivat peruuttaa suostumuksensa, jos suostumus on käsittelyn peruste". Jos suostumus ei ole peruste, kohta ei sovellu sellaisenaan. Peruuttamisen tehtävän hoitavat silti muut reitit: vastustaminen sähköpostilla, poisto tilisivulta, tapahtumasta poistuminen, ilmoitusten kytkeminen pois, nimetön profiili ja Telegram-yhteyden katkaiseminen.

Älä hyväksy vastaukseksi "olemme GDPR-vaatimusten mukaisia". Vaatimustenmukaisuus on johtopäätös, jonka teet itse, ei lause, jonka toimittaja kirjoittaa. Pyydä peruste artiklan numeron kanssa. Kohtaa ei väitä olevansa vaatimustenmukainen minkään suhteen: se kuvaa, mitä tuote tekee, jotta tarkastajasi voi tehdä oman johtopäätöksensä.

Käytetäänkö testauksessa oikeaa dataa?

Jos testauksessa käytetään oikeita henkilötietoja, käytön pitää olla perusteltua ja hallittua. Parempi vastaus on, että testit tehdään synteettisellä datalla. Kohtaassa testaukseen luodut tapahtumat merkitään testitapahtumiksi, ne käyttävät synteettisiä tilejä osoitteilla, joihin ei voi toimittaa postia, ja ne jätetään pois kaikista ajastetuista sähköposteista.

Kysy toimittajalta, jakavatko testit ja oikeat tapahtumat tietokannan, ja jos jakavat, miten ne erotetaan. Kohtaalla on yksi tuotantotietokanta, joten erottelu tehdään merkinnällä: testitapahtuma merkitään luotaessa, testitilit käyttävät varattuja verkkotunnuksia, ja jokainen ajastettu työ ohittaa ne.

Pilotille siisteintä on arviointitapahtuma synteettisellä datalla, jossa ainoat oikeat henkilötiedot ovat arvioijien omat kirjautumiset ja ne poistetaan sovitusti jälkeenpäin. Tästä kannattaa sopia kirjallisesti ennen arvioinnin alkua.

Miten osallistujille kerrotaan pilotin tarkoitus?

Osallistujan pitää liittyessään lukea, miksi pilotti on olemassa ja mitä hänen tiedoilleen tapahtuu. Työkalun pitää antaa järjestäjän kirjoittaa se omin sanoin. Kohtaassa se on tapahtumakohtainen tietosuojailmoitus, joka näkyy ennen Liity-painiketta ja julkisella tapahtumasivulla.

Kirjoita se selkeästi. Kolme virkettä riittää: kuka tapahtuman järjestää, mihin työkalua käytetään (osallistujien auttamiseen löytämään ja tapaamaan toisensa) ja mitä järjestäjä näkee (yhteenvetoluvut, ja yksityisessä tapahtumassa ei sitä, kuka tapasi kenet).

Ole tarkka siitä, mitä järjestäjä näkee. Järjestäjä ja apujärjestäjät näkevät jokaisen osallistujan profiilin ja voivat viedä nimen, roolin, yrityksen ja tavoitteen. Yksityisessä tapahtumassa, joka on oletus, he näkevät tapaamisten määrät ja varatut ajat mutta eivät sitä, kuka tapaa kenet. "Ota yhteyttä" -pyyntö paljastaa yhteystiedot vain toiselle henkilölle, ja vain jos hän hyväksyy pyynnön.

Jos valmistelet pilottia nyt, hankintasivulta löytyy toimittajayhteenveto, jonka voi liittää omiin lomakkeisiin, ja luottamussivulla kerrotaan, missä tiedot säilytetään. Kysymykset voit lähettää yhteydenottosivun kautta.