Tietosuojavaltuutetun viimeaikaisia ratkaisuja: puhelinmarkkinointi, seurantateknologiat ja henkilötietojen käsittelyn lainmukaisuus

Tietosuojavaltuutettu on julkaissut useita tietosuojaa koskevia ratkaisuja. Ensimmäisessä tapauksessa tietosuojavaltuutettu totesi, ettei puhelinmarkkinointia tehnyt rekisterinpitäjä ollut informoinut rekisteröityjä henkilötietojen käsittelystä. Toisessa ratkaisussa käsiteltiin verkkoapteekkisivustolla käytettäviä seurantateknologioihin liittyvää henkilötietojen käsittelyä. Kolmannessa ratkaisussa taas perintäyhtiö sai huomautuksen henkilötietojen käsittelystä muussa kuin säilyttämistarkoituksessa ilman laillista käsittelyperustetta.

Luontaistuotteita myyvä yritys – Rekisteröidyn oikeudet, puhelinmarkkinointi

Tietosuojavaltuutetun tuli arvioida asiassa, onko rekisterinpitäjä informoinut rekisteröityjä heidän yhteystietojensa käsittelystä yleisen tietosuoja-asetuksen 14 artiklan mukaisesti silloin, kun se ei ole saanut  suoramarkkinointitarkoituksissa käsittelemiään yhteystietoja rekisteröidyiltä itseltään. Vireillesaattaja oli esittänyt rekisterinpitäjälle henkilötietojen poistopyynnön markkinointipuheluiden lopettamiseksi. Vaikka vireillesaattajalla ei ollut asiakassuhdetta rekisterinpitäjään, hänen yhteystietojaan käsiteltiin. Rekisteriin päätyminen oli tapahtunut hänen tietämättään ja henkilötietojen poistaminen oli tehty hankalaksi.

Ratkaisussa katsottiin, ettei rekisterinpitäjä ollut informoinut rekisteröityjä heidän yhteystietojensa käsittelystä eikä rekisterinpitäjän menettelytapa henkilötietojen tarkastus- ja poistopyyntöjen toteuttamiseksi ollut yleisen tietosuoja-asetuksen mukainen.

Rekisterinpitäjän suorittamassa suoramarkkinoinnissa oli kyse puhelinmarkkinoinnista, joka ei edellytä rekisteröidyltä etukäteen hankittua suostumusta. Rekisteröityä tulisi kuitenkin tällöin informoida henkilötietojen käsittelystä esimerkiksi käsittelyn tarkoituksesta, oikeusperusteesta sekä henkilötietojen säilytysajasta. Tähän ei riitä, että informaatio on löydettävissä rekisterinpitäjän verkkosivuston tietosuojaselosteesta tai että rekisteröity ohjataan tutustumaan tietosuojaselosteeseen.

Löydät 9. kesäkuuta annetun päätöksen täältä.

Yliopiston Apteekki – Seurantateknologiat, henkilötietojen minimointivaatimus

Tietosuojavaltuutetun toimistolle oli tullut ilmoitus tutkimusprojektin kautta, että rekisterinpitäjä oli käsitellyt verkkoapteekkisivustollaan kolmannen osapuolen seurantapalveluihin, kuten eväste- ja seurantapikselipalveluita, liittyen henkilötietoja. Ilmoittajan mukaan rekisterinpitäjä välittää verkkoapteekistaan lääketietoja Metalle, Googlelle ja New Relicille. Kyseiset tiedot ovat yhdistettävissä yksittäiseen asiakkaaseen esimerkiksi IP-osoitteen kautta.

Rekisterinpitäjä on antamansa selvityksen perusteella käyttänyt Facebookin markkinointipalvelua ja toiminut yhteisrekisterinpitäjänä näiden markkinointipalveluiden osalta. Rekisterinpitäjä on myös käyttänyt Googlen palveluja ja pyytänyt myöhemmin Googlea poistamaan tiedot, joita Google on käsitellyt rekisterinpitäjän lukuun. New Relic on toiminut rekisterinpitäjän käyttämänä verkkosivuston suorituskykyä valvovana palveluna. Apulaistietosuojavaltuutettu arvioi asiassa itsehoitolääkkeisiin ja reseptilääkkeisiin liittyvää henkilötietojen käsittelyä.

Ratkaisun mukaan rekisterinpitäjä ei ole huolehtinut asianmukaisesti siitä, että ulkoisilla seurantapalveluntarjoajilla (Meta ja Google) ei ole ollut käsittelyn eheyden ja luottamuksellisuuden vaatimuksen ja käsittelyn turvallisuusvaatimuksen vastaista pääsyä verkkoapteekkiasiointia koskeviin henkilötietoihin. Lisäksi New Relic -palvelun käyttöön liittyvä henkilötietojen käsittely ei ole ollut kaikilta osin henkilötietojen minimointivaatimuksen mukaista. Henkilötietojen välittäminen ei ollut tarpeen verkkosivuston suorituskyvyn valvontatarkoituksessa. Rekisterinpitäjä sai huomautuksen ja ohjausta.

Löydät 27. toukokuuta annetun päätöksen täältä.

Perintäyhtiö – Henkilötietojen käsittelyn lainmukaisuus

Asiassa oli kyse pysäköinninvalvontamaksujen perinnästä ja tähän liittyvästä henkilötietojen käsittelystä. Vireillesaattajan mukaan rekisterinpitäjällä ei ollut lainmukaista perustetta hänen henkilötietojensa käsittelyyn.

Apulaistietosuojavaltuutetun päätöksen mukaan rekisterinpitäjällä ei ollut yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa tai 6 artiklan 1 kohdan f alakohdassa säädettyä perustetta käsitellä vireillesaattajan henkilötietoja. Henkilötietojen käsittelyn lainmukaisuutta perusteltiin sopimuksen täytäntöönpanolla. Asiassa kuitenkin katsottiin, ettei vireillesaattaja ollut sidottu asumisoikeusyhtiön ja rekisterinpitäjän toimeksiantajayhtiöiden välillä solmittuihin sopimuksiin, eikä vireillesaattaja ollut itse tehnyt sopimusta vuokraamansa autopaikan yksityisoikeudellisesta pysäköinninvalvonnasta.

Rekisterinpitäjällä kuitenkin oli tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdassa säädetty peruste säilyttää vireillesaattajan henkilötietoja viiden vuoden ajan perintätoimenpiteiden päättymisestä Perintätoiminnan harjoittajan on säilytettävä perintätoimintaan liittyvät asiakirjat noudattaakseen lakisääteistä velvoitettaan.

Apulaistietosuojavaltuutettu antoi rekisterinpitäjälle huomautuksen henkilötietojen käsittelystä muussa kuin säilyttämistarkoituksessa ilman laillista käsittelyperustetta.

Löydät 19. toukokuuta annetun päätöksen täältä.

Kuva: Unsplash/Alexander Andrews