Uutiskirjelistan tietosuojaseloste — mitä siinä pitää kertoa
Kun keräät uutiskirjeen tilaajia, tietosuoja-asetuksen 13 artikla luettelee tiedot, jotka tilaajalle on annettava jo lomakkeella. Sähköpostityökalu on selosteessa vastaanottaja, ja jos se siirtää listan EU:n ulkopuolelle, siirrosta on kerrottava erikseen. Tässä kohdat artikloittain, suoraan asetuksen suomenkielisestä tekstistä.
Uutiskirjeen sähköpostilista on henkilötietojen käsittelyä samalla tavalla kuin mikä tahansa asiakasrekisteri: jokainen osoite yksilöi ihmisen. Tästä syystä tilaajalle on kerrottava, kuka listaa pitää, mihin sitä käytetään ja missä se on. Tämä sivu käy läpi, mitä tietosuoja-asetus vaatii kertomaan, missä vaiheessa, ja miten valitsemasi sähköpostityökalu muuttaa tekstiä. Suostumuksesta ja siitä, milloin sitä tarvitaan, kerromme sähköpostimarkkinoinnin GDPR-oppaassa.
Lyhyt vastaus
Tilaajalle on kerrottava lomakkeen yhteydessä ainakin rekisterinpitäjä, käsittelyn tarkoitus ja oikeusperuste, vastaanottajat (sähköpostityökalu mukaan lukien), mahdollinen siirto EU:n ulkopuolelle, säilytysaika, rekisteröidyn oikeudet, suostumuksen peruutusoikeus ja oikeus valittaa valvontaviranomaiselle. Vaatimus on tietosuoja-asetuksen 13 artiklassa. Lisäksi työkalun kanssa tarvitaan käsittelysopimus (28 artikla), ja lista kirjataan omaan käsittelytoimien selosteeseen (30 artikla).
Milloin tiedot annetaan: kun osoite kerätään
Tietosuoja-asetuksen 13 artiklan 1 kohdan mukaan tiedot on toimitettava ”silloin, kun henkilötietoja saadaan”. Uutiskirjeessä se hetki on tilauslomake. Käytännössä lomakkeen viereen tulee lyhyt maininta ja linkki selosteeseen, jossa kaikki kohdat ovat. Suostumuksen peruuttamisesta asetus on vielä tarkempi: 7 artiklan 3 kohdan mukaan ”ennen suostumuksen antamista rekisteröidylle on ilmoitettava tästä”, ja peruuttamisen ”on oltava yhtä helppoa kuin sen antaminen”.
Muodosta 12 artikla sanoo, että tiedot annetaan ”tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä”. Tietosuojavaltuutetun toimisto ohjeistaa samaan suuntaan: rekisterinpitäjän on arvioitava, onko informaatio ymmärrettävää ”kohderyhmän näkökulmasta”. Jos myöhemmin käytät listaa muuhun kuin kerrottuun tarkoitukseen, 13 artiklan 3 kohta vaatii ilmoittamaan uudesta tarkoituksesta ennen käsittelyä.
Tietosuojaselosteen kohdat artikloittain
Taulukon vasen sarake on asetuksen vaatimus, oikea kertoo, mitä se tarkoittaa uutiskirjelistalla. Artiklaviitteet ovat asetuksen konsolidoidusta suomenkielisestä tekstistä, luettu 25.9.2026.
| Kohta | Artikla | Uutiskirjelistalla |
|---|---|---|
| Rekisterinpitäjä ja yhteystiedot | 13.1 a | Yrityksesi nimi ja osoite, johon tietosuojakysymykset lähetetään |
| Tietosuojavastaava | 13.1 b | Vain ”tapauksen mukaan” eli jos sellainen on nimitetty |
| Tarkoitus ja oikeusperuste | 13.1 c | Uutiskirjeen lähettäminen; peruste on yleensä suostumus (6.1 a) |
| Oikeutettu etu | 13.1 d | Vain jos käsittely perustuu oikeutettuun etuun (6.1 f) |
| Vastaanottajat | 13.1 e | Sähköpostityökalu ja muut palvelut, joihin lista päätyy |
| Siirrot EU:n ulkopuolelle | 13.1 f | Kohdemaa, riittävyyspäätös tai suojatoimet ja mistä ne saa |
| Säilytysaika | 13.2 a | Aika tai kriteeri, jolla aika määräytyy |
| Rekisteröidyn oikeudet | 13.2 b | Pääsy, oikaisu, poisto, rajoittaminen, vastustaminen, siirto |
| Suostumuksen peruutus | 13.2 c, 7.3 | Peruutus milloin tahansa, esimerkiksi linkistä jokaisessa viestissä |
| Valitusoikeus | 13.2 d | Valvontaviranomainen; Suomessa tietosuojavaltuutettu |
| Onko tietojen antaminen pakollista | 13.2 e | Tilaus on vapaaehtoinen; kerro, mitä tapahtuu ilman osoitetta |
| Automaattinen päätöksenteko | 13.2 f | Vain jos käytät 22 artiklassa tarkoitettua automaattista päätöksentekoa, profilointi mukaan lukien |
← pyyhkäise →
Lähde: asetus (EU) 2016/679, 13 artikla, EUR-Lex, luettu 25.9.2026. Taulukko ei ole oikeudellinen neuvo; oikea sarake on meidän tiivistyksemme artiklan sanamuodosta.
Kolme kohtaa kaipaa tarkennusta. Vastaanottaja on 4 artiklan 9 kohdan mukaan taho, jolle henkilötietoja luovutetaan, ”oli kyseessä kolmas osapuoli tai ei” — sähköpostityökalu kuuluu siis tähän, vaikka se toimii vain sinun lukuusi. Säilytysajan asetus jättää sinulle: se vaatii kertomaan ajan tai, jos se ei ole mahdollista, ”tämän ajan määrittämiskriteerit”. Valitusoikeus osoitetaan Suomessa tietosuojavaltuutetulle, joka toimii tietosuojalain 8 §:n mukaan ”kansallisena valvontaviranomaisena”. Jos lähetät yrityksille oikeutetun edun perusteella, 21 artiklan 4 kohta lisää vielä yhden velvoitteen: vastustamisoikeus on kerrottava viimeistään ensimmäisessä yhteydenotossa ”selkeästi ja muusta tiedotuksesta erillään”.
Miten sähköpostityökalu muuttaa selostetta
Työkalu vaikuttaa selosteeseen kahdessa kohdassa: vastaanottajissa ja siirroissa. Jos lista pysyy EU:ssa, siirtokohta on lyhyt. Jos työkalu siirtää tietoja kolmanteen maahan, 13 artiklan 1 kohdan f alakohta vaatii kertomaan siirrosta sekä ”tietosuojan riittävyyttä koskevan komission päätöksen olemassaolosta tai puuttumisesta” tai suojatoimista ja siitä, ”miten niistä saa jäljennöksen”.
Esimerkki: Mailchimpin käsittelysopimus (kohta 6.1) sallii tietojen siirron ”to and in the United States and anywhere else in the world”, joten Mailchimpia käyttävän selosteessa on siirtokohta. MailerLiten käsittelysopimuksen alihankkijoina ovat Google Cloud Saksassa ja Alankomaissa sekä puolalainen Vercom. ActiveCampaignilla EU-alueen voi valita EMEA-alueen tileille, jotka on luotu 14.3.2024 jälkeen. Seitsemän työkalun datan sijainti tietosuojaselosteista luettuna on sivulla sähköpostityökalujen datan sijainti, ja siirtoperusteiden tausta sivulla Schrems II ja listan siirto EU:n ulkopuolelle.
Käsittelysopimus: automaattinen vai erikseen hyväksyttävä
Asetuksen 28 artiklan 3 kohdan mukaan käsittelijän suorittamaa käsittelyä ”on määritettävä sopimuksella tai muulla … oikeudellisella asiakirjalla”. Tietosuojavaltuutetun toimisto sanoo suoraan: ”Sopimuksen puuttuminen on tietosuoja-asetuksen säännösten vastaista.” Työkaluissa sopimus syntyy kahdella tavalla, luettuna niiden omista ehdoista 25.9.2026:
- Osa käyttöehtoja: Mailchimp (”incorporated into … the Agreement”), Brevo (käyttöehtojen liite) ja MailerLite.
- Allekirjoitettava erikseen: ActiveCampaign (”You must execute a DPA”) ja EmailOctopus.
- Ei löytynyt: Systeme.ion sivuilta emme löytäneet julkista käsittelysopimusta emmekä alihankkijalistaa.
Sopimuksesta kannattaa lukea kaksi kohtaa, jotka asetus nimeää: alihankkijat, joista käsittelijän on 28 artiklan 2 kohdan mukaan yleisen luvan perusteella tiedotettava ”kaikista suunnitelluista muutoksista”, ja tietojen poisto tai palautus palvelun päätyttyä (3 kohdan g alakohta).
Käsittelytoimien seloste on eri asiakirja
Tilaajalle annettava tietosuojaseloste ja 30 artiklan seloste käsittelytoimista sekoittuvat helposti. Tietosuojavaltuutetun toimiston mukaan jälkimmäinen on ”organisaation sisäinen asiakirja”, joka toimitetaan valvontaviranomaiselle pyydettäessä, eikä sitä ”ole tarkoitettu käytettäväksi suoraan rekisteröidyn informointiin”. Selosteeseen kirjataan 30 artiklan 1 kohdan mukaan muun muassa tarkoitukset, rekisteröityjen ja tietojen ryhmät, vastaanottajat, siirrot kolmansiin maihin ja poistamisen määräajat. Toimisto tarjoaa siihen vapaaehtoisen mallipohjan.
Alle 250 työntekijän yritys on 30 artiklan 5 kohdan mukaan vapautettu, paitsi jos käsittely ”ei ole satunnaista”. Toimiston oma esimerkki koskee työntekijätietoja: pienikin yritys käsittelee niitä säännöllisesti, joten käsittely ei ole satunnaista. Säännöllisesti postitettava uutiskirjelista on meidän tulkintamme mukaan samaa luokkaa, ja siksi se kuuluu selosteeseen.
Mitä tehdä nyt
- Käy taulukon 12 kohtaa läpi omaa selostettasi vasten ja lisää puuttuvat.
- Lisää tilauslomakkeelle linkki selosteeseen ja maininta peruutusoikeudesta ennen tilausnappia.
- Tarkista työkalun käsittelysopimus: onko se osa ehtoja vai pitääkö se allekirjoittaa tilin asetuksista.
- Kirjaa siirrot, jos työkalun sopimus sallii käsittelyn EU:n ulkopuolella, ja päivitä kohta, kun vaihdat työkalua. Jos työkalu on vielä valitsematta, sähköpostityökalujen vertailu näyttää myös datan sijainnin.
- Lisää lista käsittelytoimien selosteeseen, esimerkiksi toimiston mallipohjalla.