\ Verkkokaupan tietosuoja. Sarja päättyy. verkkokaupassa. Teksti: Markus Salminen Kuvitus: Maija Vuorela

Transkriptio

1 Sarja päättyy Tiedot suojaan Teksti: Markus Salminen Kuvitus: Maija Vuorela verkkokaupassa 26 TIETOSUOJA 4/2010 tietoturvan ja tietosuojan erikoislehti

2 Henkilötietoja saa hyödyntää vain niihin tarkoituksiin, joista asiakkaalle on ennalta kerrottu. Osa 4: Asiakastiedot liiketoiminnan välineinä Asiakkaiden henkilötietojen hyödyntäminen on useimmiten välttämätöntä verkkokauppojen palvelujen tuotannolle ja kehittämiselle. Asiakastietoja saa hyödyntää vain niihin tarkoituksiin, joista asiakkaalle on ennalta kerrottu. Joidenkin tietojen käyttämiseen tarvitaan myös asiakkaan nimenomainen suostumus. Tavallisin asiakkaan tietojen hyödyntämisen tarkoitus on palveluiden tuottaminen ja tilattujen tuotteiden toimittaminen asiakkaalle. Kirjoitussarja päättyy VERKKOKAUPPA Tietosuojan vuoden 2010 erityisteemana on seurattu verkkokaupan tietosuojan järjestämistä ja kehittämistä. Verkkokaupan tietosuoja on neljässä osassa julkaistu kirjoitussarja, joka kattaa havainnollisesti ja yksinkertaistaen verkkokaupan asiakastietojen käsittelyn elinkaaren. Tarkoituksena on antaa kokonaiskuva olennaisimmista tietosuojan vaatimuksista ja henkilötietojen käsittelyn vastuullisesta toteuttamisesta verkkokaupoissa. Aihetta käsitellään verkkokauppaa pitävän yrityksen eli rekisterinpitäjän näkökulmasta. Sarjan ensimmäisessä osassa Tietosuojassa 1/2010 käsiteltiin asiakastietojen keräämistä, toisessa osassa 2/2010 asiakastietojen hallintaa ja kolmannessa osassa 3/2010 asiakastietojen jalostamista. Numerossa 4/2010 käsitellään asiakastietojen hyödyntämistä verkkokaupan liiketoiminnassa. Artikkeleihin on yhteistyössä tietosuojavaltuutetun toimiston kanssa valittu ajankohtaisia, tietosuojavaltuutetun käsittelemiä verkkokauppaan liittyviä tapauksia. \ Tiedoistaan asiakas tunnetaan Asiakastietoja hyödynnetään verkkokaupan asiakassuhteiden hoidossa ja kehittämisessä. Analysoimalla asiakkaiden antamia tietoja sekä osto- ja palvelutapahtumista järjestelmiin tallentuvia tietoja kauppa pyrkii ymmärtämään paremmin asiakaskunnan tarpeita. Asiakastuntemus mahdollistaa myös sopivimpien palveluiden ja tuotteiden sekä viestinnän kohdentamisen yksittäisille asiakkaille. Asiakastietoja voidaan hyödyntää myös verkkokaupan liiketoiminnan analysoimiseksi. Verkkokaupan liiketoiminnan johtamisessa tarvitaan yrityksen toimintaa kuvaavia raportteja. Raportointi voi tarjota yrityksen johdolle ja toiminnan suunnittelusta vastaavalle henkilöstölle toteumatietoa ja ennusteet esimerkiksi asiakasmäärien kehittymisestä sekä asiakasryhmien, tuotteiden ja markkina-alueiden kannattavuudesta. Asiakastietojen ja palvelutapahtumien analysointia voidaan useilla toimialoilla hyödyntää myös mahdollisten väärinkäytösten ehkäisyssä ja tutkinnassa. Esimerkiksi rahanpesulaki velvoittaa monia verkkokauppoja tunnistamaan asiakkaita ja tallentamaan henkilötietoja rahanpesun estämiseksi ja selvittämiseksi. Profilointi voi edellyttää asiakkaan lupaa Sähköisen liiketoiminnan erityispiirteitä ovat palvelun asiakaskohtaistaminen ja personointi. Verkkokaupan sisältöä ja käyttöliittymää voidaan mukauttaa tiettyä asiakasta tai asiakasryhmää varten. Personoinnilla tietoturvan ja tietosuojan erikoislehti 4/2010 TIETOSUOJA 27

3 Uutiskirjeiden lukemisen seuraaminen Voiko yritys lähettää sähköpostitse niin sanotun personoidun linkin internetissä olevaan uutiskirjeeseen ja näin seurata, kuka menee lukemaan kirjeen? Yritykset haluaisivat seurata lukemista, jotta ne voisivat markkinoida toimintaansa tai tuotteitaan niistä kiinnostuneille puhelimitse. Tietosuojavaltuutettu katsoi, että henkilötietolain kannalta uutiskirjeen lukemista ja muuta internet-surffailua koskevat tiedot ovat henkilötietoja, jos ne voidaan yhdistää viestinnän osapuolena olevaan ihmiseen. Jos seurannan tarkoituksena on puhelinmarkkinoinnin harjoittaminen, henkilöiden tunnistaminen vaikuttaisi nimenomaisesti olevan yrityksen tavoitteena. Uutiskirjeen lukemisen tai muun internet-surffailun seuraaminen ja kertyvien henkilötietojen hyödyntäminen suoramarkkinointitarkoituksessa edellyttää lähtökohtaisesti kyseisen henkilön suostumusta, eikä niitä saa seurata tai hyödyntää hänen tietämättään. Lisäksi henkilötietojen käsittelyn tulee ylipäänsä olla asiallisesti perusteltua ja tarpeellista. Henkilötietojen käsittelylle annettavan suostumuksen tulee olla vapaaehtoinen, yksilöity ja tietoinen tahdonilmaisu. Tämä ja henkilötietolain informointivelvoite huomioon ottaen yrityksen tulee suostumusta pyytäessään kertoa kaiken kattavasti muun muassa kerättävistä henkilötiedoista ja niiden käyttötarkoituksista. Käytännössä uutiskirjeen vastaanottajille tulee kertoa henkilötietojen keräämisestä ja muusta käsittelystä joko silloin, kun he liittyvät postituslistalle tai viimeistään varsinaisessa uutiskirjettä koskevassa sähköpostiviestissä. Tiedon tulee olla sisällöltään riittävän yksityiskohtaista ja helposti löydettävissä. Saamansa tiedon perusteella vastaanottaja voi harkita, haluaako avata uutiskirjeen. Jos hän päättää avata sen, henkilötietojen käsittelyn voidaan katsoa perustuvan hänen suostumukseensa. Tietosuojavaltuutettu kiinnitti huomiota myös siihen, että sähköisen viestinnän tietosuojalain mukaan viesti, tunnistamistiedot ja paikkatiedot ovat lähtökohtaisesti luottamuksellisia. Tämä koskee myös verkkosivustojen selaamisesta kertyviä tunnistamistietoja. Kyseinen laki on sähköiseen viestintään liittyvien henkilötietojen (kuten tunnistamistietojen) käsittelyä sääntelevä erityislaki, jota valvoo näiltä osin Viestintävirasto. Valtuutettu ohjasi tiedustelemaan asiaa myös Viestintävirastosta. \ Lähde: Tietosuojavaltuutetun toimisto pyritään tuottamaan asiakkaalle lisäarvoa mukauttamalla verkkokaupan palveluita ja käyttöliittymää vastaamaan paremmin hänen tarpeitaan. Parhaimmillaan personointi parantaa myös verkkokaupan käyttökokemusta ja saa asiakkaan palaamaan palveluun jatkossakin. Kun asiakkaan henkilötietoja käsitellään personointitarkoituksissa, hänelle on kerrottava avoimesti, mitä tietoja personointiin käytetään, ja millaisia profiileja asiakkaasta muodostetaan. Samalla on arvioitava tapauskohtaisesti, onko kyseessä sellainen tietojen käsittely, joka vaatii asiakkaalta nimenomaisen suostumuksen. Mikäli asiakastietojen perusteella tehdään asiakasta koskevia merkittäviä päätöksiä ainoastaan automatisoidun tietojenkäsittelyn perusteella, eikä päätöksentekoon osallistu lainkaan verkkokaupan henkilökuntaa, saattaa kyseeseen tulla niin sanottu automatisoitu päätös. Automatisoidusta päätöksen sallittavuudesta säädetään henkilötietolaissa, ja siitä pitää ilmoittaa tietosuojavaltuutetulle. Sähköiseen suoramarkkinointiin vaaditaan asiakkaan suostumus Verkkokaupan toiminnassa on syytä erottaa toisistaan niin sanottu asiakassuhdeviestintä ja suoramarkkinointi. Myös asiakkaan on kyettävä erottamaan toisistaan asiakassuhdeja suoramarkkinointiviestit. Kun asiakkaalle lähetetään asiakassuhteen hoitamiseen liittyvää viestintää, joka ei sisällä markkinointia, on kyse asiakassuhdeviestinnästä. Sitä eivät koske suoramarkkinoinnin suostumus- ja kieltovaatimukset. Asiakassuhdeviestintää eivät koske suoramarkkinoinnin suostumus- ja kieltovaatimukset. Henkilötietojen käytöstä suoramarkkinoinnissa säädetään sekä henkilötietolaissa että sähköisen viestinnän tietosuojalaissa. Henkilötietolaissa rekisteröidylle annetaan mahdollisuus kieltää (Opt-Out) kaikki itseensä kohdistuva suoramarkkinointi. Sähköisen viestinnän tietosuojalain mukaan sähköisillä viestintävälineillä, kuten sähköpostilla tai tekstiviestein toteutettavaan markkinointiin vaaditaan pääsääntöisesti henkilön suostumus etukäteen (Opt-In). Laki sisältää myös suppeasti tulkittavan poikkeuksen, jonka nojalla suoramarkkinointia voi harjoittaa ilman suostumusta: Kun verkkokauppa saa asiakkaan yhteystiedon sähköisessä viestissä tuotteen tai palve- 28 TIETOSUOJA 4/2010 tietoturvan ja tietosuojan erikoislehti

4 Uusi direktiivi muuttaa evästeiden käytön Tietosuoja Asiakastietojen hyödyntämisessä huomioitavaa: Suunnittele ja informoi asiakastietojen hyödyntämisen käyttötarkoitukset. Tarvitsetko suostumuksia tietojen käsittelyyn? Onko käytössä automatisoitu päätös? Miten asiakas tunnistaa asiakassuhdeviestinnän ja suoramarkkinoinnin? Onko käytössä erityisiä suoramarkkinointirekistereitä? Suoramarkkinoinnin suostumusten ja kieltojen kerääminen, hallinta ja hyödyntäminen. Tiedota henkilötietojen käsittelystä myös suoramarkkinointiviesteissä. Tiedota evästeistä. Huomaa kehittyvä lainsäädäntö. lun myynnin yhteydessä, voi se käyttää yhteystietoa samaan tuoteryhmään kuuluvien palvelujen suoramarkkinoinnissa. Verkkokaupan tunnistamattomille asiakkaille on sallittua ilman suostumusta esittää verkkosivuilla yleistä markkinointia esimerkiksi bannereiden avulla. Tunnistettuihin asiakkaisiin henkilötietojen perusteella kohdistetut sähköiset markkinointiviestit ovat kuitenkin sähköisen viestinnän tietosuojalain mukaisesti suostumuksenvaraisia. Internetsivuston ponnahdusmainonnan toteutuksessa tulee huomioida, että asiakkaalla on ainakin oikeus kieltää häneen kohdistettavat ponnahdusmainokset, jos niiden kohdentamisessa hyödynnetään hänen henkilötietojaan. pelisääntöjä. Kieltomahdollisuudesta kerrottava selvästi Asiakasta on informoitava selvästi markkinoinnin kieltomahdollisuudesta mainosviestien yhteydessä. Suoramarkkinointiviestissä on kerrottava myös rekisterinpitäjän tiedot ja se, mistä henkilörekisteristä asiakkaan tiedot on poimittu. Mikäli verkkokaupalla on tarkoitus sallia asiakastietojensa käyttö myös yhteistyökumppaniensa suoramarkkinoinnissa, tulee tästäkin kertoa suostumusta pyydettäessä tai pyytää kumppaneille erillinen suostumus suoramarkkinointiin. Suostumuksia ja kieltoja voidaan kerätä asiakkaalta kaikissa asiakaskohtaamisissa. Verkkokaupalla näitä ovat yleensä verkkopalvelun rekisteröityminen ja omien tietojen päivitys sekä asiakaspalvelu puhelimitse ja sähköpostitse. Suoramarkkinoinnin kieltoja voi päivittää myös esimerkiksi Asiakkuusmarkkinointiliiton suoramarkkinoinnin rajoituspalvelussa. Suostumusten ja kieltojen hyödyntämisen kannalta on olennaista, että ne kerätään kaikissa kanavissa yhdenmukaisessa muodossa. Suoramarkkinoinnin kielto-oikeus verkkopalvelun viestitoiminnossa Pankin verkkopankkipalvelussa oli viestitoiminto, jota pankki ja sen asiakas saattoivat käyttää keskinäisessä yhteydenpidossaan. Pankki käytti viestitoimintoa myös markkinointiviestiensä lähettämiseen asiakkaalle. Asiakas kielsi pankkia lähettämästä hänelle markkinointiviestejä viestitoimintoon. Pankki katsoi, ettei sinne lähetetty markkinointimateriaali ole henkilötietolain eikä sähköisen viestinnän tietosuojalain tarkoittamaa suoramarkkinointia eikä siten henkilötietolain mukaisen kielto-oikeuden piirissä. Pankin mielestä viestitoiminnon markkinointiviestejä tulisi käsitellä samoin periaattein kuin verkkopankkien bannerimainontaa tai jopa yleisten verkkosivujen mainoksia. Asiakas pyysi tietosuojavaltuutettua ottamaan kantaa siihen, onko hänellä oikeus kieltää markkinointiviestien lähettäminen viestitoimintoon. Tietosuojavaltuutettu katsoi, että verkkopankin viestitoiminnossa on kyse henkilökohtaisesta viestintäkanavasta, jonka tarjoaminen ja käyttäminen edellyttävät pankilta asiakkaan henkilötietojen käsittelyä. Näin ollen kyseistä toimintaa koskee soveltuvin osin myös henkilötietolaki. Valtuutetun mukaan asiakkaalla on henkilötietolain perusteella oikeus kieltää hänelle suunnattu suoramarkkinointi myös verkkopalvelun viestitoiminnossa. \ Lähde: Tietosuojavaltuutetun toimisto tietoturvan ja tietosuojan erikoislehti 4/2010 TIETOSUOJA 29

5 Tällöin niiden merkitys on yhteismitallinen myös, kun eri kanavista kerätyt tiedot koostetaan yhteen. Ristiriitaisesti tai väärin kerätyt suostumukset ja kiellot voivat johtaa pahimmillaan koko asiakasrekisterin käyttökelvottomuuteen suoramarkkinointitarkoituksiin. Erityisistä suoramarkkinointirekistereistä ilmoitettava Jos verkkokaupassa hyödynnetään ulkoisista tietolähteistä suoramarkkinointitarkoituksiin hankittuja henkilötietoja, tulee huomioida, että tiedoista voi muodostua henkilötietolain mukainen erityinen suoramarkkinointirekisteri. Samoin entisten asiakkaiden tietojen hyödyntäminen suoramarkkinointiin asiakassuhteen päättymisen jälkeen on mahdollista erityisiä suoramarkkinointirekisterejä hyödyntäen. Erityisten suoramarkkinointirekisterien käytöstä verkkokaupalla on ilmoitusvelvollisuus tietosuojavaltuutetulle. Evästeiden käyttöön tiukemmat säännöt Evästeet ovat verkkopalvelun käyttäjän tietokoneelle tai muulle päätelaitteelle tallentuvia tiedostoja, joita voidaan käyttää verkkokau- pan palveluiden käyttäjäkohtaiseen mukauttamiseen ja sivuston käyttöön liittyvien tietojen keräämiseen. Evästeiden avulla voidaan esimerkiksi ylläpitää tietoa asiakkaan ostoskorin sisällöstä tai verkkokaupan ulkoasuun liittyvistä asioista. Voimassaolevan sähköisen viestinnän tietosuojalain mukaan evästeiden käytöstä on kerrottava asiakkaalle. Jatkossa asiakkaiden verkkopalveluiden käytön seurantaan evästeiden avulla tulee Suomessakin vaikuttamaan EU:n niin sanottu evästedirektiivi. Sen sisältöä ollaan viemässä sähköisen viestinnän tietosuojalakiin ensi vuoden toukokuuhun mennessä. Direktiivin sanamuotojen perusteella näyttäisi siltä, että evästeen tallentaminen asiakkaan päätelaitteelle vaatisi jatkossa asiakkaan etukäteen antaman nimenomaisen suostumuksen, ainakin kun tietoja on tarkoitus hyödyntää markkinointitarkoituksissa. Suomen lainsäädännön sanamuodot selviävät lain valmistelun edetessä, ja niiden vaikutukset evästeiden hyödyntämiseen tulee ottaa huomioon toimintaa suunniteltaessa. Tietosuojalainsäädäntö ei estä vaan tukee kannattavaa verkkoliiketoimintaa. Tietosuojapykälät tukevat kannattavaa verkkokauppaa Asiakkaan henkilötietojen optimoitu ja vastuullinen hyödyntäminen on lopputulosta tietosuojalainsäädännön vaatimusten kattavasta huomioimisessa verkkokaupan liiketoiminnan ja tietojärjestelmien suunnittelussa. Se, miten taitavasti yritys kerää, hallinnoi, jalostaa ja hyödyntää asiakastietopääomaansa, määrittää myös sen menestystä kilpailussa asiakkaiden luottamuksesta ja kukkarosta. Asiakastiedot ovat verkkokaupalle kriittinen resurssi, ja tietosuojalainsäädäntö tuo pelisääntöjä niiden käsittelyyn. Lain vaatimusten kattava huomioiminen toiminnassa on erinomainen investointi toiminnan laatuun ja tuottavuuteen. Tietosuojalainsäädäntö ei estä vaan tukee kannattavaa verkkoliiketoimintaa, kunhan lain vaatimukset huomioidaan ajoissa. Hyvällä suunnittelulla asiakastietojen hyödynnettävyys ja arvo liiketoiminnassa maksimoidaan samalla kun asiakkaiden yksityisyydensuoja varmistetaan. \ Kirjoittaja Artikkelisarjan kirjoittaja Markus Salminen toimii tietosuojaasiantuntijana Lex-Dialog Oy:ssä ja on erikoistunut kuluttajaliiketoiminnan tietosuojan kehittämiseen. Salmisella on aihealueen oikeudellisen (OTM) ja kaupallisen (KTM) osaamisen lisäksi yli kymmenen vuoden kokemus liiketoiminnan ja tietojärjestelmien kehittämishankkeista. Hän on kirjoittanut aiheesta kirjan Tietosuoja sähköisessä liiketoiminnassa (Talentum 2009) sekä tietosuojavaltuutetun toimiston ohjeen Portaalitoiminnan suunnittelu ja toteutus (Asiaa tietosuojasta 2/2007). \ 30 TIETOSUOJA 4/2010 tietoturvan ja tietosuojan erikoislehti