8.2.2021

Lasten koulukuvien lisääminen pienoiskoossa asiakkaiden laskuille

Apulaistietosuojavaltuutetun päätös

Asia

Tietojen minimointi

Hakijan vaatimukset perusteluineen

Hakija on 30.8.2019 saattanut tietosuojavaltuutetun toimistossa vireille asian, joka on koskenut sitä, että hänen lastensa kuvat näkyvät pienoiskoossa rekisterinpitäjän laskulla. Rekisterinpitäjä on erikoistunut päiväkoti- ja koulukuvauksiin. Hakija on ottanut yhteyttä rekisterinpitäjän asiakaspalveluun, ja tietosuojavaltuutetun toimistolle toimitetun asiakaspalvelun viestin mukaan rekisterinpitäjän tietoturvavastaavan on tarkoitus pohtia kuvien peittämistä perintätoimistolle toimitettavissa laskuissa.

Rekisterinpitäjältä saatu selvitys

Asiassa on 12.1.2021 pyydetty selvitystä rekisterinpitäjältä. Selvityspyyntöön on vastattu 21.1.2021. Annetussa selvityksessä on todettu, että rekisterinpitäjä tulostaa valokuvat valokuvatulostimilla ja laskut normaaleilla paperitulostimilla. Laskut toimivat selvityksen mukaan myös pakkauslistoina, ja rekisterinpitäjä tulostaa niihin asiakkaan kotiosoitteen lisäksi pienellä resoluutiolla mustavalkoiset kuvat. Yksittäisen kuvan koko on selvityksen mukaan 1,4 x 2 cm. Annetun selvityksen mukaan laskussa olevien kuvien avulla rekisterinpitäjän henkilökunta pystyy varmistamaan, että lähetettävät kuvat ja lasku täsmäävät, mikä selvityksen mukaan varmistaa sen, että rekisterinpitäjä ei lähetä valokuvia virheellisiin osoitteisiin.

Annetun selvityksen mukaan kuvia ei lisätä perintälaskulle, mutta asiakas saattaa haluta nähdä alkuperäisen laskun, koska kuvat tilannut asiakas on selvityksen mukaan saattanut kadottaa tai hävittää alkuperäisen laskun ja haluaa nähdä sen saatuaan perintälaskun. Edelleen selvityksen mukaan rekisterinpitäjä toimittaa tarvittaessa alkuperäisen laskun pdf-kopion perintätoimistolle.

Annetussa selvityksessä on todettu, että rekisterinpitäjä ei ole ryhtynyt asiaa koskeviin toimenpiteisiin. Selvityksen mukaan rekisterinpitäjä tulostaa ja lähettää vuosittain noin 400 000 oppilaan valokuvat, ja tämä on ensimmäinen kerta, kun rekisterinpitäjä saa asiasta asiakaspalautetta. Selvityksen mukaan rekisterinpitäjä on tulostanut kuvat laskuihin jo useiden vuosien ajan. Rekisterinpitäjän mukaan kuvat parantavat oleellisesti toimitusvarmuutta ja nykykäytäntö on sen näkemyksen mukaan perusteltavissa kuvien toimitukseen liittyvän tietoturvan kannalta.

Hakijan vastine

Tietosuojavaltuutetun toimisto on 22.1.2021 pyytänyt hakijalta vastinetta ja osoitetietoja. Hakija on 27.1.2021 saapuneessa vastineessaan todennut, että hänen mielestään perintätoimiston ei tule missään tilanteissa nähdä hänen lastensa kuvia.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleinen tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan määriteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee hakijan asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain pohjalta. Asiassa on ratkaistava

1. onko rekisterinpitäjä laskujen yhteydessä suorittamansa henkilötietojen käsittelyn yhteydessä noudattanut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin periaatetta ja 25 artiklan 2 kohdassa säädettyä; ja

2. onko rekisterinpitäjälle annettava yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukainen määräys saattaa käsittelytoimensa yleisen tietosuoja-asetuksen säännösten mukaisiksi.

Apulaistietosuojavaltuutetun päätös ja perustelut

Päätös

Rekisterinpitäjä ei ole noudattanut laskujen yhteydessä suorittamansa henkilötietojen käsittelyn yhteydessä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin periaatetta ja 25 artiklan 2 kohdassa säädettyä.

Määräys

Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen saattaa laskujen yhteydessä suorittamansa henkilötietojen käsittely yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa ja 25 artiklan 2 kohdassa säädetyn mukaiseksi siten, että sen on varmistettava, että laskuista ei enää ilmene tarpeettomia henkilötietoja.

Perustelut
Tietojen minimoinnin periaatteesta

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädetään tietojen minimoinnin periaatteesta. Henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.

Käsiteltävien henkilötietojen on edellä mainitusti oltava määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia. Todettakoon, että jo henkilötietolakia koskeneessa hallituksen esityksessä oli täsmennetty niin sanotun tarpeellisuusvaatimuksen sisältöä. Henkilötietoja voidaan pitää käsittelyn tarkoituksen kannalta tarpeellisina silloin, kun ne ovat asianmukaisia ja olennaisia, eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja mihin niitä myöhemmin käsitellään (HE 96/1998 vp, s.42). Yleisen tietosuoja-asetuksen johdanto-osan perustelukappaleessa 39 on niin ikään todettu, että henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Näin ollen voidaan todeta, että henkilötietoja saa käsitellä ainoastaan, jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin.

Asiassa on edellä mainitusti kysymys tietojen minimoinnin periaatteesta, mistä periaatteesta Euroopan tietosuojaneuvosto on myös antanut käytännön ohjeita antamiensa suuntaviivojen yhteydessä. Näiden ohjeiden mukaan ensi alkuun olisi selvitettävä, onko henkilötietojen käsittely ylipäänsä tarpeellista. Henkilötietojen käsittelyä kehotetaan nimenomaisesti välttämään silloin, kun se vain on mahdollista. Lisäksi erikseen on korostettu, että käsiteltävien henkilötietojen on oltava oleellisia kysymyksessä olevan käsittelyn tarkoituksen kannalta. Kaikkien käsiteltävien henkilötietojen olisi niin ikään oltava tarpeellisia erikseen määritellyn tarkoituksen saavuttamiseksi. Tietyn henkilötiedon käsittely olisi sallittua vain, jos käsittelyn tarkoitusta ei ole mahdollista saavuttaa muilla tavoin. Käytännössä kussakin tilanteessa tulisi näin ollen kerätä mahdollisimman vähän henkilötietoja.

Merkitystä on lisäksi yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa säädetyllä. Rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.

Käsillä olevasta tapauksesta

Todettakoon, että asiassa ei ole esitetty mitään sellaista, joka osoittaisi pienten mustavalkoisten kuvien olevan välttämätöntä sen varmistamiseksi, että valokuvia ei lähetetä virheellisiin osoitteisiin. Apulaistietosuojavaltuutettu katsoo lisäksi, että sellaisen asiakirjan, jossa pienoiskuvat näkyvät, toimittaminen perintätoimistolle, ei saadun selvityksen perusteella ole välttämätöntä saatavan perimiseksi.

Apulaistietosuojavaltuutettu katsoo, että käsittelyn tarkoitus olisi kohtuullisesti toteutettavissa muilla keinoin. Kuten Euroopan tietosuojaneuvoston antamissa suuntaviivoissa on todettu, henkilötietojen käsittelyä on pyrittävä välttämään. Lisäksi apulaistietosuojavaltuutettu kiinnittää huomiota siihen, että kyse on ollut lasten henkilötietojen käsittelystä ja korostaa tältä osin, että yleisen tietosuoja-asetuksen johdanto-osan perustelukappaleen 38 mukaan erityisesti lasten henkilötietoja on pyrittävä suojaamaan.

Edellä esitetyillä perusteilla apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdassa tarkoitetun määräyksen saattaa laskujen yhteydessä suorittamansa henkilötietojen käsittely yleisessä tietosuoja-asetuksessa säädetyn mukaiseksi.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään.

Päätös ei ole vielä lainvoimainen.

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.