Sudenkuopat, riskit ja viralliset lähteet
Maksutiedot, GDPR ja vahva tunnistaminen: korttitietojen suojaus kauppiaalle
Miten tietosuoja-asetus koskee kortti- ja maksutietoja, mitä vahva tunnistaminen ja 3-D Secure tarkoittavat verkkokaupalle ja miten kauppias toimii tietomurrossa.
Kortti- ja maksutiedot ovat usein henkilötietoja, kun ne voidaan yhdistää asiakkaaseen, joten niiden käsittelyyn sovelletaan EU:n tietosuoja-asetusta (EU) 2016/679 ja tietosuojalakia (1050/2018). Kauppiaan kannattaa käsitellä mahdollisimman vähän maksutietoja itse: kun maksupääte tai ulkoistettu maksusivu hoitaa kortin tiedot, yritykselle jää yleensä vain tapahtuman viite, summa ja osittainen kortinnumero. Verkkomaksuissa maksupalveludirektiivin mukainen vahva tunnistaminen (käytännössä usein 3-D Secure) vähentää väärinkäyttöä ja siihen liittyviä takaisinperintöjä. Tässä oppaassa kuvataan periaatteet; tietosuojan tulkinnassa yksittäistapauksessa kannattaa kääntyä asiantuntijan puoleen.
Mitä maksutietoja kauppias tyypillisesti käsittelee
| Tieto | Missä se syntyy | Tarvitseeko kauppias sitä | Huomio |
|---|---|---|---|
| Kortin koko numero, voimassaolo, turvakoodi | Maksupääte tai maksusivu | Ei yleensä | Ei tallenneta omiin järjestelmiin |
| Osittainen kortinnumero ja korttityyppi | Kuitti, raportti | Kyllä, täsmäytykseen ja palautuksiin | Henkilötieto, jos yhdistettävissä asiakkaaseen |
| Tapahtuman viite, summa, aika | Raportti | Kyllä, kirjanpito ja takaisinperinnät | Kirjanpitoaineistoa |
| Asiakkaan nimi, osoite, sähköposti | Verkkokauppa, tilaus | Kyllä, toimitukseen | Henkilötieto |
| Tokeni toistuviin veloituksiin | Maksunvälittäjä | Tilauksissa | Käsittely sopimuksen mukaan |
Tietosuoja-asetuksen periaatteet, kuten käyttötarkoitussidonnaisuus, tietojen minimointi ja säilytyksen rajoittaminen, koskevat näitä tietoja. Kauppiaan tulee tietää, millä perusteella se käsittelee tietoja (tyypillisesti sopimuksen täytäntöönpano ja lakisääteinen velvoite, kuten kirjanpito), kertoa siitä tietosuojaselosteessa ja säilyttää tiedot vain tarpeellisen ajan.
Säilytysajat: kirjanpito vai tietosuoja
Kirjanpitolain mukaan tositteet ja kirjanpitoon liittyvä aineisto on säilytettävä laissa säädetyn ajan, tositteet ja liiketapahtumia koskeva kirjeenvaihto vähintään kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi, ja tilinpäätös sekä kirjanpidot vähintään kymmenen vuotta tilikauden päättymisestä (kirjanpitolaki 2 luku 10 §). Tämä on peruste säilyttää tapahtumien viitteet, summat ja kuitit. Se ei ole peruste säilyttää koko kortinnumeroa tai turvakoodia, joita kirjanpito ei tarvitse. Tarkista säilytysajat kirjanpitolaista ja sovi niistä tilitoimiston kanssa.
Vahva tunnistaminen verkkomaksuissa
Maksupalveludirektiivi (EU) 2015/2366 ja sitä täydentävä komission delegoitu asetus (EU) 2018/389 edellyttävät, että maksaja tunnistetaan vahvasti, kun hän käynnistää sähköisen maksun, ellei poikkeus sovellu. Suomessa vaatimus on maksupalvelulaissa. Vahva tunnistaminen yhdistää kaksi kolmesta: jotain, mitä asiakas tietää (PIN), jotain, mitä hänellä on (puhelin, kortti), ja jotain, mitä hän on (biometria).
Korttimaksuissa vahva tunnistaminen toteutetaan verkossa yleensä 3-D Secure -protokollalla. Tyypillisiä poikkeuksia ovat:
- pienet lähimaksut myymälässä tietyin kumulatiivisin rajoin
- pienet etämaksut tietyin rajoin
- samansuuruiset toistuvat veloitukset samalle maksunsaajalle, kun sarja on aloitettu vahvalla tunnistamisella (kauppiaan käynnistämiä veloituksia ei lisäksi yleensä pidetä maksajan käynnistäminä, joten ne jäävät vaatimuksen ulkopuolelle)
- maksunvälittäjän riskianalyysiin perustuvat poikkeukset.
Poikkeuksen käyttäminen voi siirtää väärinkäytön riskin: jos maksu tehdään ilman vahvaa tunnistamista, kauppias voi joutua kantamaan väärinkäyttöön perustuvan takaisinperinnän. Kysy maksunvälittäjältä, miten poikkeuksia sovelletaan ja kuka kantaa riskin. Takaisinperinnöistä kerrotaan oppaassa takaisinperintä eli chargeback.
Havainnollinen laskelma: riskin hinta
Verkkokauppa myy 500 tilausta kuukaudessa, keskiostos 70 €. Ilman vahvaa tunnistamista väärinkäyttöön perustuvia takaisinperintöjä on havainnollisesti 0,4 % tilauksista eli 2 kuukaudessa; vahvalla tunnistamisella 0,1 % eli 0,5 kuukaudessa. Käsittelymaksu on 20 € ja tuote menetetään.
- Ilman: 2 × (70 + 20) = 180 €/kk
- Vahvalla tunnistamisella: 0,5 × (70 + 20) = 45 €/kk
- Ero: 135 €/kk eli 1 620 € vuodessa
Toisaalta osa asiakkaista voi keskeyttää ostoksen tunnistautumisessa. Arvioi oma tilanteesi maksunvälittäjän tilastojen avulla.
Tietomurto: toimi näin
- Rajoita vahinko: irrota epäilty laite verkosta, vaihda salasanat ja ilmoita maksunvälittäjälle viipymättä.
- Ilmoita tietosuojavaltuutetulle: henkilötietojen tietoturvaloukkauksesta on ilmoitettava ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus tuli tietoon, ellei loukkaus todennäköisesti aiheuta riskiä (tietosuoja-asetus, 33 artikla).
- Ilmoita rekisteröidyille, jos loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen (34 artikla).
- Tee rikosilmoitus poliisille, jos kyse on rikoksesta.
- Dokumentoi tapahtumat, toimenpiteet ja päätökset.
- Pyydä apua: Kyberturvallisuuskeskus antaa ohjeita tietoturvaloukkauksiin.
PCI DSS -vaatimuksista kerrotaan oppaassa PCI DSS pk-yritykselle, ja tyypilliset virheet on koottu oppaaseen korttimaksujen sudenkuopat. Verkkokaupan maksutavoista lue verkkomaksamisen kulut.
Puhelin- ja sähköpostitilaukset ilman korttitietoja
Moni pieni yritys ottaa tilauksia puhelimitse tai sähköpostilla, ja houkutus pyytää kortin tiedot suoraan on suuri. Se on kuitenkin riskialtista sekä tietoturvan että takaisinperintöjen kannalta, koska maksu ilman vahvaa tunnistamista jää kauppiaan riskille. Turvallisempia tapoja ovat:
- Maksulinkki: lähetä asiakkaalle maksunvälittäjän maksulinkki sähköpostilla tai tekstiviestillä. Asiakas maksaa itse ja tunnistautuu vahvasti, eikä kortin tieto kulje yrityksen kautta.
- Lasku tai pikasiirto: yritysasiakkaille ja suuriin summiin lasku tai tilisiirto on usein luontevin.
- Maksu noudettaessa: jos tuote noudetaan, maksu voidaan ottaa vastaan päätteellä paikan päällä.
- Ennakkomaksu ajanvarauksessa: käytä ajanvarausjärjestelmän maksuintegraatiota, älä tallenna korttia itse.
Jos asiakas lähettää kortin tiedot pyytämättä sähköpostilla, älä käytä niitä, poista viesti ja pyydä asiakasta maksamaan maksulinkillä. Kerro henkilöstölle kirjallisesti, ettei kortin tietoja kirjata minnekään.
Maksunvälittäjän rooli tietosuojassa kannattaa myös selvittää: välittäjä voi olla maksutietojen osalta itsenäinen rekisterinpitäjä, koska sillä on omia lakisääteisiä velvoitteita, kuten asiakkaan tunteminen, tai se voi joissakin palveluissa toimia kauppiaan lukuun käsittelijänä. Roolijako vaikuttaa siihen, tarvitaanko käsittelijäsopimus. Tarkista asia välittäjän sopimusehdoista ja tietosuojaselosteesta.
Usein kysyttyä
Onko osittainen kortinnumero henkilötieto?
Se voi olla, jos sen voi yhdistää asiakkaaseen esimerkiksi tilaustietojen kautta. Käsittele sitä siksi henkilötietona.
Tarvitseeko pieni kauppa tietosuojaselosteen?
Jos yritys käsittelee asiakkaiden henkilötietoja, sen on annettava rekisteröidyille tietosuoja-asetuksen edellyttämät tiedot, yleensä tietosuojaselosteella tai -ilmoituksella.
Saako asiakkaan kortin tallentaa tulevia ostoksia varten?
Tallennus tehdään maksunvälittäjän tokenisointipalvelulla asiakkaan suostumuksella ja sopimuksen mukaisesti, ei omiin järjestelmiin. Kerro asiakkaalle, miten tallennettu kortti poistetaan.
Kuinka kauan kuitteja ja tapahtumaraportteja pitää säilyttää?
Kirjanpitoaineistona tositteet säilytetään kirjanpitolain mukaisen ajan, joka on tositteilla vähintään kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi. Takaisinperintöjä varten tarvittavat todisteet kannattaa säilyttää ainakin korttijärjestelmän kiistämisajan. Kun säilytysperuste päättyy, henkilötiedot poistetaan tai anonymisoidaan.
Lähteet
- Tietosuojavaltuutetun toimisto – tietosuoja-asetus, tietoturvaloukkausten ilmoittaminen
- Finanssivalvonta – vahva tunnistaminen maksupalveluissa
- Kyberturvallisuuskeskus – tietoturvaohjeet ja loukkausten ilmoittaminen
- EUR-Lex – tietosuoja-asetus (EU) 2016/679, maksupalveludirektiivi (EU) 2015/2366 ja asetus (EU) 2018/389
