EUT:lta ratkaisu koskien henkilötietojen käsitettä

Euroopan unionin tuomioistuin (EUT) on antanut 4. syyskuuta ratkaisun asiassa C‑413/23 P, joka koskee henkilötietojen käsitettä pseudonymisoidun datan siirron yhteydessä. Tuomioistuin selventää ratkaisussaan, milloin pseudonymisoituja tietoja pidetään henkilötietoina. Pseudonymisoidut tiedot eivät välttämättä ole kaikissa tilanteissa henkilötietoja, jos tiedot on suojattu siten, ettei niitä ole mahdollista yhdistää tiettyyn henkilöön. Se, milloin pseudonymisoituja tietoja pidetään henkilötietoina, vaatii tilannekohtaista harkintaa.

Taustaa

Ratkaisun taustalla oli henkilötietojen käsittelyä koskeva kiista, jonka osapuolina olivat Euroopan tietosuojavaltuutettu ja Single Resolution Board (yhteinen kriisinratkaisuneuvosto, SRB). Espanjalaisen pankin (Banco Popular Español SA) osakkeenomistajat ja velkojat olivat valittaneet Euroopan tietosuojavaltuutetulle, ettei SRB ollut ilmoittanut heille, että se luovuttaa heitä koskevia tietoja tilintarkastus- ja konsultointiyritys Deloittelle. Luovutettavat tiedot koskivat osakkeenomistajien ja velkojien SRB:lle toimittamia kommentteja, jotka sisälsivät henkilökohtaisia mielipiteitä. Ennen tietojen luovutusta tiedot olivat pseudonymisoitu.

Euroopan tietosuojavaltuutettu totesi päätöksessään, että SRB:n olisi tullut kertoa henkilöille heidän henkilötietojensa luovuttamisesta. SRB valitti päätöksestä Unionin yleiseen tuomioistuimeen (EUYT), joka kumosi Euroopan tietosuojavaltuutetun päätöksen ratkaisulla T-557/20. Nyt antamassaan ratkaisussa EUT on kumonnut EUYT:n tuomion ja palauttanut asian takaisin sen käsiteltäväksi.

Ratkaisun perustelut

EUT toteaa ratkaisussa, että pseudonymisoidut tiedot eivät välttämättä ole henkilötietoja, mikäli niitä ei ole mahdollista yhdistää takaisin henkilöön organisaatiolla todennäköisesti käytössä olevilla keinoilla. Näitä keinoja on aina arvioitava tapauskohtaisesti. Toiselle organisaatiolle pseudonymisoituja tietoja siirrettäessä on arvioitava tietojen vastaanottajan kykyä yhdistää tietoja tunnistettaviin henkilöihin. Pseudonymisoituja tietoja ei pidetä henkilötietoina vastaanottavan organisaation näkökulmasta, jos yhdistäminen ei ole sen osalta mahdollista.

Rekisterinpitäjän informointivelvollisuuden osalta ratkaisussa todetaan, että velvollisuus koskee henkilötietoja siinä muodossa, jossa ne ovat ennen niiden luovuttamista kolmannelle osapuolelle, eli ennen mahdollista pseudonymisointia. Informointivelvollisuus tarkoittaa rekisterinpitäjän velvollisuutta ilmoittaa rekisteröidylle tämän henkilötietojen käsittelystä ja sen tarkoituksista tiiviisti, läpinäkyvästi ja helposti ymmärrettävässä sekä selkeässä muodossa.

Ratkaisussa vahvistetaan myös henkilökohtaisten mielipiteiden olevan henkilötietoja, mikäli ne ovat yhdistettävissä tunnistettavaan henkilöön. Henkilötietojen käsite on laaja ja se voi kattaa kaikenlaiset tiedot, sekä objektiiviset että subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, edellyttäen, että ne koskevat kyseessä olevaa henkilöä. Tieto koskee tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, kun tieto liittyy tunnistettavissa olevaan henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi.

EUT:n koko ratkaisun voit lukea täältä.

EUT:n tiedotteen asiasta voit lukea täältä.

Tietosuojavaltuutetun toimiston tiedotteen asiasta voit lukea täältä.

Kuva: Unsplash / Alexandre Lallemand