PIPEDA/CPPA-suostumusratkaisu

Olemme jo auttaneet yli 25 000 verkkosivustoa noudattamaan GDPR-, TTDSG- ja e-tietosuojavaatimuksia.

Asiakkaidemme joukossa on joitain maailman suurimmista verkkosivustoista ja tunnetuimmista tuotemerkeistä.

… ja paljon muuta.

Evästeen suostumus osana PIPEDAa

Suostumus henkilötietojen keräämiseen PIPEDA:ssa

• Tieto henkilötietojen keräämisestä, käytöstä ja luovuttamisesta on toimitettava täydellisessä muodossa. Evästeiden suostumuksen ymmärtämisen helpottamiseksi Kanadan henkilötietojen suojaa ja sähköisiä asiakirjoja koskevassa laissa (PIPEDA) on syytä korostaa muutamia seikkoja.
• Henkilötietojen ja sähköisten asiakirjojen suojalaki edellyttää, että kuluttajat ymmärtävät nopeasti PIPEDA:n evästesuostumuksen luonteen ja tarkoituksen. Jotta suostumus katsottaisiin päteväksi ja merkitykselliseksi, organisaatioiden on annettava tiedot tietosuojasäännöistään ja määräyksistään kattavalla ja ymmärrettävällä tavalla. Tämä puolestaan tarkoittaa, että organisaatioiden on annettava tiedot tietosuojasäännöstään ja -määräyksistään helposti yksilöiden saatavilla olevassa muodossa.
• Valitettavasti todellisuus osoittaa, että tärkeää tietoa tietosuojakäytännöistä on usein piilotettu käyttöehtoihin. Ne, joilla on vähän aikaa ja energiaa tarkastella yksityisyyttä koskevia tietoja, eivät saa käytännön hyötyä tietoylimäärästä. Järkevän suostumuksen saamiseksi organisaatioiden on annettava verkkosivustojen vierailijoille mahdollisuus nopeasti ja suoraan tarkistaa tietosuojakäytännön keskeiset osat. Tämä on tärkeää esimerkiksi, jos tarjotun palvelun tai tuotteen käyttö edellyttää sovelluksen ostamista tai lataamista.
• Kuluttajat ja asiakkaat odottavat, että edes evästeen suostumuksella PIPEDA:ssa heidän henkilötietojaan ei siirretä toiselle organisaatiolle ilman heidän tietämystänsä ja suostumustaan. Tämä näkökohta on otettava huomioon myös PIPEDA Kanadan evästeiden hyväksymisessä. Tästä syystä tietojen luovuttaminen kolmansille osapuolille on yksilöitävä selvästi. Erityistä huomiota tulee kiinnittää tietojen luovuttamiseen kolmansille osapuolille, jotka voivat käyttää tietoja omiin tarkoituksiinsa palvelujen tarjoamisen sijaan.
• Mihin tarkoituksiin henkilötietoja kerätään, käytetään tai luovutetaan? Asiakkaille ja kuluttajille on tiedotettava kaikista tarkoituksista, joihin tietoja kerätään ja käytetään. Heidän on kyettävä ymmärtämään, mihin heiltä pyydetään lupaa. Tämä tarkoitus on kuvattava selkeällä kielellä. Epämääräisiä tarkoituksia ja ilmauksia, kuten ”palvelun optimointi”, tulee välttää. Se, mikä on olennaista palvelun tarjoamisen kannalta, on erotettava tiedoista, jotka eivät ole sitä. Kaikki käytettävissä olevat vaihtoehdot tulee selittää selkeästi.

Tietojen väärinkäytön ja tietojen menetyksen riskit

• Vahinko ja seuraukset

  Kun yritys tai organisaatio suunnittelee mahdollisia tappioita, jotka voivat aiheutua henkilötietojen keräämisestä, käytöstä tai paljastamisesta, henkilötietojen ja sähköisten asiakirjojen suojalaki edellyttää, että tämä riski on minimoitava vastuullisesti. Joissakin tapauksissa ennakoivat lieventämistoimet voivat vähentää riskiä merkittävästi. Muissa tapauksissa riski pysyy kuitenkin lähes ennallaan.

• Kuluttajalle on aina tiedotettava merkittävistä jäännösriskeistä, joihin liittyy merkittäviä tappioita. Henkilötietojen suojasta ja sähköisistä asiakirjoista annetun lain kannalta merkittävä riski on sellainen, jonka toteutumisen todennäköisyys on enemmän kuin minimaalinen. Merkittävä riski sisältää fyysisen vahingon, nöyryytyksen, maineen vahingoittumisen, työpaikan, liiketoiminta- tai uramahdollisuuksien menetyksen ja taloudellisen menetyksen.

• Näihin riskeihin kuuluvat myös identiteettivarkaudet ja negatiiviset vaikutukset luottopisteisiin. Vahinkoriski on siksi määriteltävä laajasti. Välittömän vahingon lisäksi on tarkoituksenmukaista huomioida ennakoitavissa olevat vahingot, jotka voivat aiheutua pahantahtoisista toimijoista tai muista osapuolista.

• Tarjoa yksilöille selkeitä tapoja sanoa ”kyllä” tai ”ei”.

• Kuluttajalle on annettava mahdollisuus valita ennen tuotteen tai palvelun käyttöä. Tämä valinta on selitettävä selvästi ja helposti saatavilla. Se, onko kutakin vaihtoehtoa kuvata parhaiten ”opt-in” tai ”opt-out”, riippuu PIPEDA:n evästeen suostumuksella määritetyistä tekijöistä.

• Ole innovatiivinen ja luova

  Organisaatioiden tulee suunnitella ja/tai ottaa käyttöön innovatiivisia suostumusprosesseja evästeiden suostumukseen PIPEDA:ssa, jotka voidaan ottaa käyttöön juuri ajoissa, ovat kontekstikohtaisia ja sopivat käytettävän käyttöliittymän tyyppiin.

Evästeen suostumus PIPEDA:ssa

Tietosuojakäytännön muutokset

Tietoinen suostumus evästeiden muuttamisen muodossa PIPEDA:ssa on jatkuva prosessi, joka kehittyy olosuhteiden muuttuessa; Organisaatioiden ei pitäisi luottaa staattiseen ajoitukseen, vaan suostumuksen tulee käsitellä dynaamisena ja vuorovaikutteisena prosessina.

• Jos organisaatio aikoo tehdä olennaisia muutoksia tietosuojasääntöihinsä ja Kanadan GDPR:n mukaisiin määräyksiin, sen on ilmoitettava siitä käyttäjille ja hankittava heidän suostumuksensa ennen kuin muutokset tulevat voimaan. Sisältömuutokset sisältävät henkilötietojen käytön muuhun tarkoitukseen, josta ei ole alun perin sovittu, tai henkilötietojen luovuttamista kolmannelle osapuolelle muuhun tarkoitukseen kuin palvelun tarjoamisen edellyttämään.

• Tietosuojamuistutukset

  Organisaatioiden tulisi harkita ajoittain yksilöiden muistuttamista heidän Kanadan tietosuoja-asetuksen mukaisista tietosuojavalinnoistaan ja pyytää heitä tarkistamaan ne. Lopuksi parhaana käytäntönä on, että organisaatioiden tulee säännöllisesti tarkistaa tiedonhallintasääntöjään ja määräyksiään varmistaakseen, että henkilötietoja käsitellään jatkossakin henkilön kanssa sovitulla tavalla.

• osoittaa noudattamista

  Organisaatioiden olisi pyynnöstä pystyttävä osoittamaan noudattaminen ja erityisesti toteuttamansa suostumusprosessin selkeä ja yksiselitteinen luonne kohdeyleisönsä yleisestä näkökulmasta pätevän ja merkityksellisen suostumuksen varmistamiseksi.

• Saadakseen nimenomaisen suostumuksen ja täyttääkseen Kanadan tietosuojalain mukaiset velvoitteensa organisaatioiden tulee pystyä
  • Anna tietosuojatiedot täydellisessä muodossa ja korosta tai kiinnitä huomiota neljään avaintekijään:
    • Mitä henkilötietoja kerätään?
    • Kenen kanssa henkilötietoja jaetaan?
    • Mihin tarkoituksiin henkilötietoja kerätään, käytetään tai luovutetaan?
    • Mitkä ovat vahinkojen ja muiden seurausten riskit?
  • Suostumusmuoto – Evästeen suostumus PIPEDA Kanadassa.
  • Hanki nimenomainen suostumus tietojen keräämiseen, käyttämiseen tai luovuttamiseen.