Lyhyt vastaus on kyllä — kolmella ehdolla. Käsittelyn on pysyttävä yritystasolla, se on ilmoitettava läpinäkyvästi tietosuojaselosteessa ja rekisteröidyillä on oltava toimiva tapa vastustaa käsittelyä. Alla on pidempi vastaus, joka on kirjoitettu niille, joiden on perusteltava työkalu palaverissa lakiosaston tai tietosuojavastaavan kanssa.
Onko yrityksen IP-osoite edes henkilötietoa?
GDPR:n mukaan IP-osoitetta käsitellään henkilötietona aina, kun se voidaan kohtuullisin toimenpitein yhdistää luonnolliseen henkilöön (Breyer, C-582/14). Yrityksen IP-osoite, joka viittaa vain oikeushenkilöön, on teknisesti edelleen henkilötietoa — joku henkilö on yhteyden takana — mutta suorittamamme tunnistus ei koskaan kohdistu yksityishenkilöön. Tunnistamme IP-osoitteen perusteella organisaation, hävitämme raa'an IP-osoitteen heti tunnistuksen jälkeen emmekä tallenna käyttäjätason tunnisteita.
Tämä on ratkaiseva ero: henkilötietoja käsitellään juuri sillä hetkellä, kun IP saapuu palvelimelle, ja tiedot supistetaan välittömästi organisaatiotason tietueeksi. GDPR koskee silti tätä lyhyttä käsittelyä, joten laillinen peruste tarvitaan — ja oikeutettu etu on tähän luontevin valinta.
Oikeutettu etu artiklan 6(1)(f) nojalla
Artikla 6(1)(f) sallii käsittelyn, kun rekisterinpitäjällä on oikeutettu etu, jota rekisteröidyn oikeudet ja edut eivät syrjäytä. B2B-kävijätunnistuksessa puntarointitesti on vakiintunut ja näyttää tältä.
| Elementti | Arviointi |
|---|---|
| Oikeutettu etu | Myynnin ja markkinoinnin analytiikka omalla sivustolla — todettu johdanto-osan kappaleissa 47 ja 48 oikeutetuksi liiketoiminnalliseksi eduksi. |
| Välttämättömyys | Organisaation tunnistaminen on vähiten kajoava tapa selvittää, mitkä yritykset vierailevat sivustolla — henkilökohtaista profiilia ei luoda. |
| Suhteellisuus | IP-osoite hävitetään tunnistuksen jälkeen, ei sivustojen välistä profilointia, ei käytöspohjaista mainontaa, ei datan myyntiä. |
| Kohtuullinen odotus | Yritysverkosta tuleva vierailija olettaa, että työnantajan läsnäolo toimittajan sivustolla on näkyvissä; yksilön tunnistamista ei luvata eikä suoriteta. |
| Suojatoimet | Läpinäkyvä tietosuojaseloste, opt-out saatavilla, standardit TOM-toimenpiteet, käsittely EU:ssa, lyhyet säilytysajat. |
Vaaka kallistuu eduksesi vain ja ainoastaan silloin, kun käsittely pysyy yritystasolla. Sillä sekunnilla, kun alat yhdistää vierailuja nimettyihin yksityishenkilöihin ilman erillistä laillista perustetta, asetelma muuttuu täysin.
Entä ePrivacy-direktiivi (TDDDG / § 25)?
ePrivacy (Saksassa TDDDG, aiemmin TTDSG § 25) säätelee pääsyä tietoihin, jotka on jo tallennettu päätelaitteelle — tämä on klassinen syy eväste-evästeiden olemassaoloon. Yritystason tunnistus IP-osoitteen perusteella ei tallenna tai lue tietoja vierailijan laitteelta. Ei evästeitä, ei localStoragea, ei sormenjälkiä. Siksi § 25 ei soveldu, eikä suostumusbanneria vaadita tätä nimenomaista tarkoitusta varten.
Milloin tiimit tarvitsevat silti suostumusbannerin
Lähes jokainen sivusto käyttää muita analytiikka- tai mainospikseleitä, jotka käyttävät laitetta (Google Analytics, LinkedIn Insight, Meta Pixel, chat-widgetit). Ne edellyttävät edelleen kunnollista Consent Management Platformia. Yritystason tunnistus ei yksinkertaisesta kuulu niihin työkaluihin, jotka pakottavat bannerin käyttöön.
Mitä sinun on asiakkaana tehtävä
Työkalun GDPR-yhteensopivuus on vain toinen puoli asiasta; toinen puoli on sivuston ylläpitäjän vastuulla. Nämä kolme toimenpidettä riittävät — kumpikaan ei vie kahvitaukoa pidempään.
- Päivitä tietosuojaselosteesi. Lisää kappale yritystason kävijätunnistuksesta, oikeutetusta edusta, IP-tunnistuksesta ja opt-outista. Valmis tekstipätkä löytyy GDPR-sivultamme.
- Tee DPA-sopimus. GDPR:n artiklan 28 mukaisesti teet kanssamme tietojenkäsittelysopimuksen — digitaalisesti workspace-asetuksista. Katso DPA-sivultamme liitteet, TOMs-yhteenveto ja alihankkijaluettelo.
- Julkaise toimiva opt-out. Linkitä /opt-out-sivu tietosuojaselosteestasi, jotta vierailijat voivat vastustaa käsittelyä. Huomioimme vastustamisen suoraan tunnistustasolla.
Opt-out (vastustamisoikeus)
Vastustaminen on GDPR:n artiklan 21 mukainen oikeus, ja toimiva opt-out ei ole vain lakisääteinen vaatimus — se tekee oikeutetun edun perustelusta uskottavan. Meillä on kaksi kanavaa: itsepalvelulomake osoitteessa /opt-out, jota kuka tahansa voi käyttää ilman tiliä, sekä sähköposti osoitteeseen info@lead.box, jonka käsittelemme manuaalisesti kymmenen arkipäivän kuluessa.
Kansainväliset tietosiirrot
Kaikki asiakasdata, tunnistusprosessi ja varmuuskopiot sijaitsevat EU:ssa, ISO 27001 -sertifioiduissa konesaleissa. Standardituotteessa ei tapahdu tietojen siirtoa kolmansiin maihin. Jos otat käyttöön integraation, joka lähettää tietoja EU:n ulkopuolelle (valintasi mukaan esim. oma CRM tai webhook), siirto tapahtuu sinun vastuullasi; me dokumentoimme DPA-sopimukseen, mitä tietoja järjestelmästä poistuu.
Tämä artikkeli tarjoaa yleistä ohjeistusta, ei lakineuvontaa. Jos tarvitset sitovan arvion omasta tilanteestasi, ota yhteyttä pätevään lakimieheen tai tietosuojavastaavaasi.
Julkaisija
lead.box Team
Lisää artikkeleita
Näe lead.box omassa liikenteessäsi
Aloita ilmaiseksi — ei korttia, ei myyntipuhelua. Tai varaa 20 minuutin esittely, jos haluat opastetun kierroksen.