Tietosuojavaltuutetun viimeaikaisia ratkaisuja – oikeus tutustua tietoihin ja henkilötietojen käsittelyn turvallisuus

Ensimmäisessä ratkaisussa apulaistietosuojavaltuutettu katsoi, että omat luottotiedot on voitava tarkastaa lähtökohtaisesti maksutta. Toisessa ratkaisussa sähköistä puhelinluettelopalvelua tarjoavalle yritykselle määrättiin 5000 euron seuraamusmaksu sillä se oli säännönmukaisesti laiminlyönyt asiakkaiden oikeuden saada heitä koskevien asiakaspuhelujen tallenteet. Kolmannessa ratkaisussa käsiteltiin hyvinvointialueen toimintaa tapauksessa, jossa hyvinvointialueen työntekijöiden epäillään katsoneen yksittäisten työntekijöiden potilastietoja ilman perusteltua syytä.

Dun & Bradstreet Finland Oy – Luottotiedot, tarkastusoikeus

Asiassa oli kyse rekisterinpitäjän velvollisuudesta toteuttaa asianmukaiset toimenpiteet rekisteröidyn omiin tietoihin tutustumista koskevan pyynnön johdosta sekä rekisterinpitäjän oikeudesta periä maksu toistuvista tarkastuspyynnöistä. Tietosuojavaltuutetun toimistoon oli tehty useita yhteydenottoja koskien luottotietoyhtiön antamia vastauksia rekisteröidyille, jotka olivat halunneet käyttää oikeutta tutustua tietoihinsa. Asiassa esitetyn selvityksen perusteella tietopyyntöjä esittäneille asiakkaille oli vastattu vakioviestillä, jossa ainoastaan ohjattiin kirjautumaan verkkopalveluun.  Lisäksi asiakkailta oli säännönmukaisesti peritty maksu, jos he olivat pyytäneet tietoja useammin kuin kerran vuoden sisällä.

Ratkaisun mukaan rekisterinpitäjä menetteli yleisen tietosuoja-asetuksen vastaisesti vastatessaan rekisteröityjen omiin tietoihin tutustumista koskeviin pyyntöihin ja periessään säännönmukaisesti rekisteröidyltä suuruisen maksun, jos rekisteröity pyysi saada tutustua omiin useammin kuin kerran vuodessa. Ratkaisun mukaan rekisterinpitäjän tapa vastata tietopyyntöihin on perustellusti voinut antaa oikeuksiaan käyttäneille rekisteröidyille käsityksen, että omiin tietoihin tutustuminen on mahdollista vain verkkopalveluun kirjautumalla, eikä muita keinoja omiin tietoihin tutustumiseksi ole. Lisäksi rekisterinpitäjä on jättänyt arvioimatta tapauskohtaisesti, onko rekisteröidyn pyynnöt ilmeisen perusteettomia tai kohtuuttomia pyyntöjen toistuvuuden vuoksi, kun se on perinyt maksun säännönmukaisesti aina, kun tietopyyntö on esitetty useammin kuin kerran vuodessa.

Yritykselle annettiin huomautus ja se määrättiin korjaamaan käytäntönsä henkilötietoja koskevien pyyntöjen toteuttamisessa ja niihin vastaamisessa.

Löydät 10. maaliskuuta annetun päätöksen täältä ja tietosuojavaltuutetun tiedotteen asiasta täältä.

Suomen Numerokeskus Oy – Puhelutallenne, tarkastusoikeus

Asiassa oli kyse rekisteröidyn oikeudesta saada tutustua häntä koskevaan puhelutallenteeseen. Tietosuojavaltuutetun toimisto selvitti yrityksen toimintaa kuuden vuosina 2021–2024 saapuneen kantelun perusteella. Kanteluiden mukaan yritys oli kieltäytynyt antamasta heille asiakaspuhelujen tallenteita, joita he olivat pyytäneet laskujen reklamointia varten. Lisäksi yritys oli poistanut tallenteet ennen rekisteröityjen oikeuksien toteuttamista.

Ratkaisussa katsottiin, että rekisterinpitäjä on jättänyt kaikilta osin toteuttamatta rekisteröityjen oikeuden saada tutustua puhelutallenteeseen, mikä on vastoin yleistä tietosuoja-asetusta ja tietosuojavaltuutetun jo useita vuosia sitten vakiintunutta ja selkeää ratkaisukäytäntöä. Rekisterinpitäjän menettelyä pidettiin erityisen moitittavana siksi, että kyseessä on ollut rekisterinpitäjän systemaattinen toimintatapa. Huomion arvoisena pidettiin sitä, että rekisteröidyt olivat pyytäneet puhelutallenteita reklamoidakseen saamastaan laskusta, mikä korostaa oikeuden toteuttamisen tärkeyttä rekisteröityjen oikeusturvan kannalta. Menettelyn moitittavuutta lisäsi se, että rekisterinpitäjä oli rekisteröityjen pyyntöjen vastaanottamisen jälkeen poistanut puhelutallenteet ennen oikeuden toteuttamista.

Tietosuojavaltuutetun toimiston seuraamuskollegio määräsi Numerokeskus Oy:lle 5 000 euron hallinnollisen seuraamusmaksun. Yritykselle annettiin lisäksi huomautus tietosuojalainsäädännön rikkomisesta ja se määrättiin korjaamaan toimintatapansa puhelutallenteiden osalta.

Löydät 2. maaliskuuta annetun päätöksen täältä ja tietosuojavaltuutetun tiedotteen asiasta täältä.

Pohjois-Pohjanmaan hyvinvointialue – Potilastiedot, Sisäänrakennettu ja oletusarvoinen tietosuoja, Henkilötietojen käsittelyn turvallisuus

Tietosuojavaltuutetun toimisto käynnisti oma-aloitteisen selvityksen hyvinvointialueen potilastietojen käytön valvonnasta vuosina 2023–2024 tietoon tulleiden urkintaepäilyjen vuoksi. Kymmenet epäilyt olivat tulleet tietosuojavaltuutetun toimiston tietoon julkisuudessa esillä olleiden tietojen, yksityishenkilöiden yhteydenottojen sekä hyvinvointialueelta ja poliisilta saatujen tietojen kautta.

Ilmoituksissa rekisteröidyt toivat esille, että useat kymmenet rekisterinpitäjän palveluksessa olevat työntekijät olivat käsitelleet heitä koskevia potilastietoja ilman lainmukaista perustetta. Yhteydenottojen perusteella työntekijät käsittelisivät perusteettomasti erityisesti niiden potilaiden tietoja, jotka ovat työsuhteessa rekisterinpitäjään. Lisäksi yhteydenotoissa on tuotu esille, että rekisterinpitäjä ei olisi viivytyksettä puuttunut riittävällä tavalla potilastietojen lainvastaiseen käsittelyyn, mikä olisi aiheuttanut rekisteröidyille haittaa, kuten kärsimystä ja salassapitovelvollisuuden alaisten potilastietojen luottamuksellisuuden menettämistä.

Ratkaisussa katsotiin, ettei rekisterinpitäjä ollut toteuttanut riittävän tehokkaita toimenpiteitä varmistaakseen potilastietojen lainmukaisen käsittelyn. Erityisesti tietoturvaloukkausten laajuus ja pitkä kesto osoittivat, ettei rekisterinpitäjä ollut toteuttanut asianmukaisia toimenpiteitä tietoturvaloukkausten estämiseksi ja hallitsemiseksi, vaikka käsittely koski erityisiin henkilötietoryhmiin kuuluvia terveystietoja. Rekisterinpitäjä ei myöskään ollut puuttunut viivytyksettä havaittuihin tietoturvaloukkauksiin. Ratkaisussa korostettiin, että rekisterinpitäjällä on velvollisuus valvoa sen teknisten ja organisatoristen toimenpiteiden tehokkuutta erityisesti korkean riskin henkilötietojen käsittelyssä ja havaittuihin puutteisiin on reagoitava viipymättä.

Rekisterinpitäjä sai huomautuksen sekä määräyksen toteuttaa asianmukaiset organisatoriset ja tekniset toimenpiteet, jotta se voi varmistaa potilastietojen lainmukaisen käsittelyn.

Päätöksessä arvioitiin hyvinvointialueen toimintaa rekisterinpitäjänä, eli siinä ei oteta kantaa yksittäisiin henkilöihin kohdistuneisiin rikosepäilyihin tai niiden selvittämiseen.

Löydät 12. helmikuuta annetun päätöksen täältä ja tietosuojavaltuutetun tiedotteen asiasta täältä.

Kuva: Unsplash / National Cancer Institute