Tietosuojavaltuutetun viimeaikaisia ratkaisuja – Salasanakäytännöt, asiakaspuheluiden tallentaminen ja oikeus tutustua tietoihin

Tietosuojavaltuutettu on julkaissut useita tietosuojaa koskevaa ratkaisua. Ensimmäisessä hylättiin valitus Fitness24Seven AB:n verkkopalvelun salasanakäytännöstä ja rekisteröidylle toimitettavista tiedoista. Toisessa ratkaisussa hylättiin valitus henkilön oikeudesta tutustua häntä koskeviin tietoihin. Kolmannessa ratkaisussa taas todettiin, että erään teleoperaattorin asiakaspuheluiden tallentamista koskeva informointi ei ole ollut yleisen tietosuoja-asetuksen mukaista, mutta todettiin teleoperaattorin jo muuttaneen käytäntöjä sopiviksi.

Fitness24Seven AB – salasanakäytäntö ja informointi

Tietosuojavaltuutettu julkaisi vastikään päätöksen Fitness24Seven AB:n verkkopalvelun salasanakäytännöstä ja rekisteröidylle toimitettavista tiedoista. Rekisteröity henkilö oli valittanut Fitness24Seven AB:n käytännöistä tietosuojavaltuutetulle. Rekisteröity ei muistanut, että hänelle olisi kerrottu yrityksen verkkosivuilla olevasta Omat sivut-palvelusta, jossa on hänen henkilötietojaan ja jonne kirjaudutaan ensimmäisen kerran sähköpostiosoitteella ja henkilön syntymäaikaa vastaavalla salasanalla.

Asiaa käsiteltiin yhteistyössä ruotsalaisten ja suomalaisten viranomaisten kanssa, koska Fitness24Seven AB on ruotsalainen yritys. Rekisterinpitäjän selvityksen mukaan nykyään salasana on vaihdettava linkin kautta, joka lähetetään sähköpostiosoitteeseen. Lisäksi selvityksessä kerrottiin Fitness24Seven AB:n ilmoittaneen henkilötietojen käsittelystä rekisteröitymisen yhteydessä ja Fitness24Seven AB:lla on ollut keino palauttaa tilit, jos ne on kaapattu.

Ruotsin valvontaviranomainen ja Suomen tietosuojavaltuutettu päätyivät toteamaan, ettei voida tässä tapauksessa saatujen tietojen perusteella katsoa, että rekisterinpitäjä olisi laiminlyönyt velvollisuutensa toimittaa rekisteröidylle tietoja henkilötietojen käsittelystä. Lisäksi katsottiin, että tutkinnan perusteella Fitness24Seven AB ei ollut laiminlyönyt velvollisuuksia toteuttaa sopivat tekniset ja organisatoriset toimenpiteet henkilötietojen käsittelyssä. Ruotsin valvontaviranomainen jatkaa kuitenkin Fitness24Seven AB:n toimien tutkimista muiden valitusten perusteella.

Suomen tietosuojavaltuutettu yhtyi Ruotsin valvontaviranomaisen päätökseen ja hylkäsi tämän valituksen. Päätös ei ole vielä lainvoimainen.

Tietosuojavaltuutetun päätös löytyy täältä.

Konsulttiyhtiö – rekisteröidyn oikeus tutustua häntä koskeviin tietoihin

Ratkaisussa rekisteröity halusi tutustua rekisterinpitäjänä toimivan konsulttiyhtiön hallussa oleviin häntä koskeviin tietoihin. Rekisterinpitäjä noudatti pyyntöä asianmukaisesti. Valitettavasti rekisterinpitäjälle ei ollut siirtynyt edeltäjältään joitain rekisteröityä koskevia tietoja/asiakirjoja. Lisäksi niitä ei rekisterinpitäjän mukaan löytynyt muualtakaan rekisterinpitäjältä. Se ei voinut toimittaa tietoja, mitä sillä ei ollut. Rekisteröity kysyi tietosuojavaltuutetulta, oliko rekisterinpitäjän toiminta tietosuojalainsäädännön vastaista.

Tietosuojavaltuutettu katsoi, että selvityksen perusteella ei ollut syytä epäillä rekisterinpitäjän kertomaa. Tiedot eivät ole siirtynyt rekisterinpitäjälle ja lisäksi tiedot ovat sen laatuisia, että niitä on rekisterinpitäjän edeltäjä saanut säilyttää vian niin kauan kuin se on tarpeen.  Rekisterinpitäjän katsottiin täyttäneen rekisteröidyn tietojen tarkastuspyynnön ja rekisterinpitäjää ei tietenkään voida määrätä toteuttamaan rekisteröidyn oikeus saada tutustua sellaisiin tietoihin, jota rekisterinpitäjällä ei ole hallussaan. Rekisteröidyn vaatimus siis hylättiin.

Tietosuojavaltuutetun päätös löytyy täältä.

Teleoperaattori – informoiminen asiakaspuheluiden tallentamisesta

Tietosuojavaltuutettu totesi päätöksessä, että erään teleoperaattorin asiakaspuheluiden tallentamista koskeva informointi ei ole ollut yleisen tietosuoja-asetuksen mukaista. Yrityksessä ei ollut yhdenmukaisesti informoitu puhelun alussa puheluiden tallentamisesta. Apulaistietosuojavaltuutettu antoi yritykselle huomautuksen, mutta totesi, että teleoperaattori oli jo muuttanut käytäntösä yleisen tietosuoja-asetuksen mukaiseksi.

Tietosuojavaltuutetun päätös löytyy täältä.

Kuva: Unsplash/Danielle Cerullo