Lyhyt vastaus: ilman pitkää rekisteröitymislomaketta ei tarkoita ilman tunnistautumista, ilman henkilötietoja tai ilman myöhempiä lisäkysymyksiä. Kun palvelu käyttää pankkitunnuksia, mobiilivarmennetta tai muuta vahvaa tunnistusta, käyttäjän pitää ymmärtää, mitä tietoja käsitellään ja miksi.
Ilmaus ilman rekisteröitymistä kuulostaa monelle siltä, että käyttäjä ei tee tiliä lainkaan. Käytännössä kyse voi olla vain siitä, että erillinen lomake, käyttäjätunnus ja salasana jäävät pois tai jäävät taustalle. Tunnistautuminen, maksaminen, asiakassuhteen syntyminen ja mahdolliset lisätietopyynnöt ovat silti omia vaiheitaan.
Suomalaisessa vahvassa sähköisessä tunnistamisessa tunnistusvälineitä voivat olla esimerkiksi verkkopankkitunnukset, mobiilivarmenne ja varmennekortit. Nämä käsitteet eivät ole koristeita. Ne liittyvät henkilöllisyyden varmistamiseen ja siihen, että palvelu tai sen kumppani saa käyttäjästä tietoja, joiden käsittelylle pitäisi olla selkeä peruste ja ymmärrettävä seloste.
Tämän sivun tarkoitus on erottaa kolme asiaa: lomakkeen puuttuminen, vahva tunnistautuminen ja myöhemmät asiakkaan tuntemiseen liittyvät pyynnöt. Kun nämä pidetään erillään, lukija ei tee liian suurta päätelmää yhdestä myyntilauseesta.
Kolme asiaa, jotka sekoitetaan helposti
Ensimmäinen asia on rekisteröitymislomake. Se on käyttöliittymän osa: kysytäänkö nimeä, sähköpostia, salasanaa ja muita tietoja erillisessä lomakkeessa ennen kuin palvelua voi käyttää. Jos lomake puuttuu, käyttökokemus voi tuntua nopeammalta, mutta siitä ei voi päätellä, että palvelu olisi nimetön.
Toinen asia on vahva tunnistautuminen. Se voi tapahtua pankkitunnuksilla, mobiilivarmenteella tai muulla hyväksytyllä välineellä. Tällöin käyttäjä ei ehkä täytä pitkää lomaketta, mutta henkilöllisyyttä varmistetaan tavalla, joka on paljon painavampi kuin pelkkä sähköpostiosoite. Siksi tunnistautumisen yhteydessä pitää lukea, mihin palveluun käyttäjä ohjataan ja mitä lupia hän antaa.
Kolmas asia on myöhempi lisätietopyyntö. Pankit ja muut ilmoitusvelvolliset voivat pyytää asiakkaalta tuntemistietoja ja varojen alkuperää koskevia tietoja. Tapahtuma ei välttämättä etene ilman riittäviä tietoja. Tämä voi tulla esiin vasta silloin, kun käyttäjä yrittää kotiuttaa, siirtää rahaa tai selvittää epäselvää maksua. Nopea alku ei siis takaa, että kaikki myöhemmät vaiheet ovat yhtä kevyitä.
Vertailu: lomake, tunnistautuminen ja lisätietopyyntö
| Tilanne | Mitä se yleensä kuvaa | Mitä kannattaa tarkistaa |
|---|---|---|
| Ei pitkää lomaketta | Käyttäjä ei ehkä täytä perinteistä tilinavauslomaketta ennen aloitusta. | Onko tilin tai asiakassuhteen syntyminen kuvattu ehdoissa? Miten käyttäjä voi myöhemmin hallita tietojaan? |
| Vahva tunnistautuminen | Henkilöllisyys varmistetaan esimerkiksi pankkitunnusten, mobiilivarmenteen tai varmennekortin avulla. | Mille palvelulle tunnistautuminen annetaan, mitä tietoja välittyy ja mihin käyttötarkoitukseen? |
| Myöhempi lisätietopyyntö | Palvelu, pankki tai muu osapuoli voi pyytää lisätietoja asiakkaan tuntemisen, varojen alkuperän tai turvallisuuden vuoksi. | Onko pyyntö johdonmukainen, tuleeko se oikeasta kanavasta ja kerrotaanko, miksi tietoja pyydetään? |
| Petos- tai väärinkäyttöepäily | Käyttäjä huomaa oudon tapahtuman, väärän vastaanottajan, epäilyttävän viestin tai oman tunnistautumisen väärinkäytön riskin. | Ota viipymättä yhteyttä pankkiin ja tee rikosilmoitus viranomaisohjeiden mukaisesti. Älä luota lupaukseen, että rahat palautuvat varmasti. |
Taulukon tarkoitus ei ole tehdä palvelusta turvallista tai turvatonta yhdellä rivillä. Se auttaa lukijaa kysymään oikeaa kysymystä oikeassa hetkessä. Jos kyse on tunnistautumisesta, huomio on tietojen käsittelyssä. Jos kyse on kotiutuksen lisäselvityksestä, huomio on pyynnön perusteessa ja kanavassa. Jos kyse on epäillystä petoksesta, turvallinen ensimmäinen askel on oma pankki ja viranomaisohje.
Mitä henkilötietojen käsittelystä pitäisi näkyä?
Henkilötietojen käsittelyn pitää olla käyttäjälle ymmärrettävää ennen kuin hän antaa arkaluonteisia tietoja tai tunnistautuu. Tietosuojavaltuutetun ohjeistuksen mukaan läpinäkyviin tietoihin kuuluvat muun muassa rekisterinpitäjä, käsittelyn tarkoitukset, oikeusperuste, säilytys, luovutukset, EU- tai ETA-alueen ulkopuoliset siirrot sekä rekisteröidyn oikeudet. Tavalliselle lukijalle tämä tarkoittaa käytännössä sitä, että tietosuojaselosteen pitää vastata peruskysymyksiin ilman arvaamista.
Tietosuojan lukulista ennen tunnistautumista
- Kuka käsittelee tietoja ja kuka on varsinainen rekisterinpitäjä?
- Miksi tietoja kerätään: tunnistamiseen, maksuihin, lain velvoitteisiin, turvallisuuteen vai markkinointiin?
- Mitä tietoja palvelu kertoo säilytysajasta ja mahdollisista luovutuksista?
- Siirretäänkö tietoja EU- tai ETA-alueen ulkopuolelle, ja jos siirretään, miten asia selitetään?
- Miten käyttäjä voi käyttää oikeuksiaan, esimerkiksi saada tietoa käsittelystä?
- Onko seloste kirjoitettu palvelun todellisista toiminnoista vai pelkistä yleisistä lauseista?
Hyvä seloste ei pakota lukijaa arvaamaan, mihin tunnistautuminen johtaa. Jos teksti on vain laaja luettelo mahdollisuuksia, eikä lukija ymmärrä, mikä osa koskee juuri tätä palvelua, päätöstä kannattaa hidastaa. Epäselvyys ei tarkoita automaattisesti väärinkäyttöä, mutta se on merkki siitä, että käyttäjällä ei ole vielä riittävästi tietoa.
Skenaario: tunnistuspyyntö tulee yllättävässä kohdassa
Miten toimia ilman paniikkia?
Kuvittele, että olet nähnyt lupauksen nopeasta aloituksesta. Talletusvaiheessa tai kotiutuksessa palvelu pyytääkin lisätietoja. Ensimmäinen askel ei ole etsiä tapaa ohittaa pyyntöä, vaan tarkistaa, onko pyyntö odotettavissa ehdoissa ja tietosuojatiedoissa. Katso, pyydetäänkö tietoja turvallisessa kanavassa, kerrotaanko pyynnön peruste ja vastaako viesti palvelun virallista viestintätapaa.
Jos pyyntö koskee pankkitunnuksia, korttitietoja tai asiakirjoja, ole erityisen tarkka. Älä lähetä tietoja keskusteluikkunaan, sähköpostiosoitteeseen tai linkkiin, jonka aitoutta et voi arvioida. Jos jokin tuntuu väärältä, pysähdy ja tarkista asia oman pankin tai viranomaisohjeiden kautta. Kiireeseen vetoava viesti on usein huono merkki riippumatta siitä, miltä sivusto muuten näyttää.
Lisätietopyyntö ei ole itsessään todiste huijauksesta. Se voi liittyä asiakkaan tuntemiseen, maksun turvallisuuteen tai sääntöjen noudattamiseen. Ongelmaksi se muuttuu, jos pyyntö on epäselvä, suhteeton, ristiriidassa aiemman tiedon kanssa tai ohjaa käyttäjän luovuttamaan tietoja epävarmaan paikkaan.
Pankkitunnukset eivät ole pelkkä kirjautumistapa
Verkkopankkitunnukset ovat monelle tuttu arjen väline, minkä vuoksi niiden käyttö voi tuntua turvalliselta myös silloin, kun palvelu muuten on vieras. Tuttu tunnistusväline ei kuitenkaan tee tuntemattomasta palvelusta automaattisesti luotettavaa. Se vain tarkoittaa, että tunnistamisen hetki voi olla teknisesti vahva. Päätös palvelun käytöstä vaatii edelleen luvan, ehtojen, tietosuojan ja maksujen erillisen tarkistuksen.
Kun tunnistaudut, katso aina, mihin palveluun tunnistautuminen liittyy. Tunnistusikkunan osoite, palvelun nimi ja paluunäkymä kannattaa lukea rauhassa. Jos palvelu vaihtuu kesken prosessin tai jos käyttöliittymä painostaa nopeaan hyväksymiseen, älä jatka vain siksi, että tunnistustapa on sinulle tuttu.
Sama koskee mobiilivarmennetta ja varmennekorttia. Ne voivat olla hyväksyttyjä tunnistusvälineitä, mutta niiden turvallinen käyttö edellyttää, että käyttäjä tietää, mitä on hyväksymässä. Tunnistusvälineen vahvuus ei korvaa palvelun läpinäkyvyyttä.
Jos epäilet tietojen väärinkäyttöä
Jos maksamiseen, verkkopankkiin tai korttitietoihin liittyy petosepäily, turvallinen toimintatapa on ottaa viipymättä yhteyttä omaan pankkiin ja tehdä rikosilmoitus. Älä luota tuntemattoman tahon lupaukseen, että tilanne korjataan maksamalla lisää, avaamalla uusi reitti tai lähettämällä lisää tunnistetietoja.
Tässä vaiheessa tärkeintä on rajata vahinko. Sulje epäilyttävät yhteydet, tallenna viestit ja tapahtumatiedot, älä jatka keskustelua epävarmassa kanavassa ja toimi pankin ohjeiden mukaan. Jos kyseessä on myös pelaamisen hallintaan liittyvä tilanne, esimerkiksi tunne siitä, että tappioita pitää jahdata heti takaisin, päätöstä kannattaa siirtää ja hakea tukea.
Palvelun asiakastuki voi olla hyödyllinen tavallisessa selvittelyssä, mutta petosepäilyssä oma pankki ja viranomaisohje ovat ensisijaisia. Tämä raja suojaa käyttäjää tilanteissa, joissa huijari yrittää pitää keskustelun omassa kanavassaan.
Mitä hyväksyntähetkellä kannattaa huomata?
Vahvassa tunnistautumisessa ratkaiseva hetki on se, mitä käyttäjä hyväksyy. Moni painaa jatka-painiketta, koska tunnistusväline on tuttu ja prosessi muistuttaa pankkiasiointia. Juuri siksi ruudun tekstit kannattaa lukea rauhassa. Kenen palveluun olet tunnistautumassa? Mitä toimintoja hyväksyt? Palaatko tunnistuksen jälkeen samalle sivustolle, jolle luulit meneväsi?
Jos hyväksyntäruutu tai paluusivu tuntuu ristiriitaiselta, älä jatka vain siksi, että olet jo aloittanut. Keskeyttäminen on normaali turvallisuustoimi. Tunnistautumisen voi yleensä aloittaa uudelleen, mutta väärään paikkaan annettu hyväksyntä voi olla vaikeampi selvittää jälkikäteen. Erityisen varovainen kannattaa olla, jos viesti tai sivu painostaa toimimaan heti.
Hyvässä prosessissa käyttäjä ymmärtää ennen hyväksymistä, mitä hän tekee. Jos teksti on epäselvä, käännetty huolimattomasti tai eri kohdissa ristiriitainen, ongelma ei ole käyttäjän osaamisessa. Rahaan ja henkilötietoihin liittyvässä palvelussa selkeys on osa turvallisuutta. Epäselvä palvelu siirtää liikaa riskiä lukijalle.
Mitä tietoja käyttäjän kannattaa säilyttää itsellään?
Jos päätät jatkaa tunnistautumiseen, pidä itselläsi selkeä jälki siitä, mitä näit. Tallenna palvelun nimi, ehtojen päivämäärä jos sellainen näkyy, tietosuojaselosteen olennainen kohta, maksutapahtuman tunniste ja mahdolliset viestit. Tavoite ei ole rakentaa arkistoa jokaisesta ruudusta, vaan varmistaa, että myöhempi selvittely ei perustu pelkkään muistiin.
Tämä on tärkeää myös siksi, että tunnistautumisen eri vaiheet voivat tapahtua eri järjestelmissä. Käyttäjä näkee kasinosivun, tunnistuspalvelun, maksupalvelun ja mahdollisesti asiakastuen viestejä. Jos kaikki tuntuu sulautuvan yhteen, myöhempi ongelma on vaikeampi paikantaa. Yksinkertainen aikajana auttaa erottamaan, missä vaiheessa jokin muuttui epäselväksi.
Älä kuitenkaan tallenna tai jaa arkaluonteisia tunnistetietoja tarpeettomasti. Kuvakaappaus ei saa sisältää salasanoja, kertakäyttökoodeja tai muita tietoja, joita ulkopuolinen voisi käyttää väärin. Turvallinen muistiinpano kertoo mitä tapahtui, mutta ei paljasta välineitä, joilla joku voisi toimia puolestasi.
Helppouden ja hallinnan tasapaino
Nopea tunnistautuminen voi olla käyttäjälle mukavaa, mutta se voi myös lyhentää harkinta-aikaa. Mitä vähemmän vaiheita näkyy, sitä helpommin päätös tuntuu pieneltä. Rahapelipalveluissa juuri tämä voi olla ongelma: tekninen sujuvuus ei saa viedä huomiota pois ehdoista, tietojen käsittelystä, maksujen rajoista ja pelaamisen hallinnasta.
Hyvä oma sääntö on pitää pieni tauko ennen ensimmäistä maksua. Jos et osaa selittää itsellesi, mitä tietoja annoit, kuka niitä käsittelee ja missä tilanteessa lisätietoja voidaan pyytää, päätös ei ole vielä valmis. Tauko ei estä järkevää käyttöä, mutta se voi estää kiireessä tehdyn hyväksynnän.
Jos tunnistautuminen liittyy tilanteeseen, jossa yrität korjata tappiota tai jatkaa pelaamista vastoin omaa aikomustasi, tietosuojakysymys ei ole ainoa huoli. Silloin tärkeämpää on pysähtyä ja hakea tukea pelaamisen hallintaan. Turvallinen palvelu ei perustu siihen, että käyttäjä jatkaa painostuksen tunteessa.
Seuraavaksi
Tunnistautuminen kertoo, kuka käyttäjä on ja mitä tietoja palvelu käsittelee. Se ei silti vastaa kaikkiin maksujen, valvonnan tai pelaamisen hallinnan kysymyksiin. Niihin kannattaa siirtyä vasta, kun henkilötietojen peruskuva on selvä.
- Takaisin pääoppaaseen – eri kysymykseen keskittyvä jatkoluku.
- Maksut, kotiutus ja lisätiedot – eri kysymykseen keskittyvä jatkoluku.
- Riskimerkit ennen talletusta – eri kysymykseen keskittyvä jatkoluku.
- Pelaamisen hallinta ja apu – eri kysymykseen keskittyvä jatkoluku.