B2B-verkkosivukävijöiden tunnistus Suomessa

Tietosuojavaltuutetun toimisto valvoo Suomessa henkilötietojen käsittelyä, ja hallinnollisista seuraamusmaksuista päättää toimiston sisällä toimiva kollegiaalinen seuraamuskollegio, ei tietosuojavaltuutettu yksin — eurooppalaisittain epätavallinen kaksivaiheinen rakenne. Evästeet ja vastaavat laitetason teknologiat kuuluvat sen sijaan sähköisen viestinnän palveluista annetun lain piiriin, ja niitä valvoo Traficom, Liikenne- ja viestintävirasto. Käytännössä kävijätunnistustyökalua koskeva suomalainen tarkastus voi siis koskettaa kahta erillistä säännöstöä yhtä aikaa: onko henkilötietojen käsittely GDPR:n mukaan laillista, ja täyttääkö kävijän päätelaitteelle tallennettu tai sieltä luettu tieto Traficomin valvomat sähköisen viestinnän vaatimukset. Sen tietäminen, kumpi viranomainen vastaa mistäkin kysymyksestä, säästää aikaa hankintakeskusteluissa.

Tietosuojalaki (1050/2018) on täydentävä kansallinen laki, ei GDPR:n korvaaja. Se säätää suomalaisia erityispiirteitä henkilötunnusten käsittelystä, tutkimusta, tilastointia ja journalismia varten tehtävästä käsittelystä sekä edellä kuvatusta kansallisesta valvonta- ja seuraamusrakenteesta. Yritystason verkkosivukävijöiden tunnistuksessa mikään näistä erityisjärjestelyistä ei sovellu, joten keskeisiksi jäävät GDPR:n yleiset velvoitteet: dokumentoitu oikeusperuste, läpinäkyvä tietosuojaseloste sekä 28 artiklan mukainen tietojenkäsittelysopimus jokaisen mukana olevan käsittelijän, myös tunnistuspalvelun tarjoajan, kanssa.

Laitetason sääntö on sähköisen viestinnän palveluista annetussa laissa, joka koskee tiedon tallentamista kävijän päätelaitteelle tai sen lukemista sieltä, ja sitä valvoo Traficom, ei tietosuojavaltuutettu. lead.box tunnistaa yrityksiä käyntiin liittyvistä verkkotason tiedoista eikä aseta mainostunnisteita, seurantapikseleitä tai laitesormenjälkiä kävijän päätelaitteelle, joten se ei ole tämän suostumustyyppisen säännön kohde. Kaikki muu, mitä sivustosi lataa — analytiikkatunnisteet, mainospikselit, chat-widgetit — arvioidaan erikseen Traficomin vaatimuksia vasten, joten oman tunnistepinon tarkistaminen erillään tästä kysymyksestä on silti järkevää.

Kyllä. Kuka tahansa kävijä voi milloin tahansa vastustaa käsittelyä julkisen opt-out-sivun kautta, ja yritys voi pyytää koko verkkonsa liikennettä koskevaa yritystason opt-outia, jolloin kyseisen organisaation kävijöitä ei enää tunnisteta. Koska oikeusperuste nojaa dokumentoituun etujen punnintaan eikä suostumukseen, vastustamisoikeus on käytännön kontrollipiste, ja sitä pitäisi voida käyttää ilman perusteluvelvollisuutta ja ilman viivettä. Tunnistustoiminta tulisi myös mainita omassa tietosuojaselosteessa osana käsittelytoimien kuvausta; valmis kappale, jonka voi muokata omaan sanamuotoon ja liittää suoraan verkkosivun tietosuojaselosteeseen, löytyy GDPR-sivulta.

Suomalainen yritysdata on poikkeuksellisen siistiä työstettäväksi, koska PRH:n ylläpitämä Yritys- ja yhteisötietojärjestelmä (YTJ) antaa jokaiselle rekisteröidylle toimijalle vakaan, maksutta haettavan Y-tunnuksen. Kun lead.box yhdistää käynnin organisaatioon, tämä voidaan tyypillisesti tarkistaa YTJ-rekisteristä sekunneissa, minkä vuoksi suomalaiset myynti- ja markkinointitiimit luottavat yritystason osumaan yleensä nopeasti sen sijaan, että kohtelisivat sitä mustana laatikkona. Se helpottaa myös yhdistämistä omaan CRM:ään, sillä Y-tunnus on viiteavain, jota useimmat suomalaiset B2B-tietokannat jo käyttävät.

Suomalainen B2B-hankinta on tiukkojen julkisten kilpailutusten ulkopuolellakin yleensä pragmaattista ja asiakirjavetoista eikä juridispainotteista: tarkastuksessa halutaan tyypillisesti tavanomainen 28 artiklan mukainen tietojenkäsittelysopimus, julkaistu alihankkijaluettelo, vahvistus käsittelypaikasta sekä lyhyt kirjallinen selvitys oikeusperusteesta ja etujen punninnasta, ja niiden ollessa kunnossa prosessi etenee nopeasti. Suuremmat organisaatiot ja julkiseen sektoriin liittyvät hankkeet odottavat lisäksi kirjallista tietosuojakyselyä säilytysajoista, tietoturvatoimista ja tietoturvaloukkausten ilmoittamisesta, joten valmiiksi laaditut englanninkieliset vastaukset lyhentävät prosessia huomattavasti.

Suomalaiset B2B-tiimit käyttävät yleisesti HubSpotia, Pipedriveä tai Microsoft Dynamicsia markkinoinnin automaatiotyökalun rinnalla, ja arvioinnissa käytännön kysymys ei useinkaan koske oikeusperustetta vaan sitä, kuinka nopeasti tunnistettu käynti muuttuu käyttökelpoiseksi tietueeksi. lead.box vie tunnistetut yritykset ulos CSV-, Excel- tai JSON-muodossa ja voi lähettää osumat eteenpäin webhookilla, jolloin käynti voi tulla rikastettuna tietueena tai tehtävänä juuri siihen CRM:ään, jota myyntitiimi jo avaa joka aamu, ilman että kenenkään tarvitsee opetella uutta käyttöliittymää. Tällainen luovutus merkitsee Suomen tiliperustaisessa, arvokkaassa B2B-myynnissä enemmän kuin markkinoilla, joissa nojataan suureen transaktiomäärään.

Koodinpätkä asennetaan kerran yhtenä tagina sivupohjaan, minkä jälkeen ensimmäiset omasta liikenteestä tunnistetut yritykset näkyvät yleensä vuorokauden sisällä, mikä antaa suomalaisten ostajien suosimalle testaa-ennen-sitoutumista-lähestymistavalle konkreettista aineistoa pelkän myyntiväitteen sijaan. Käyttäjäpaikkoja voi lisätä sitä mukaa kun useampi kollega tarvitsee pääsyn, viennit ja webhookit voidaan sovittaa jo olemassa olevaan CRM- tai taulukkotyönkulkuun, ja peruutus tapahtuu itsepalveluna ilman kiinteää sopimuskautta, josta pitäisi neuvotella pois — yksityiskohta, jonka suomalaiset ostajat, jotka karttavat sitoutumista yhteen toimittajaan, tarkistavat yleensä ajoissa eivätkä viime tingassa.