20.7.2021

Asiakkaiden henkilötietojen kerääminen asiakkaita tarkkailemalla

Ilmoittajalta saatu selvitys

Vireillesaattaja on 7.7.2020 kertonut tietosuojavaltuutetun toimistolle epäilevänsä, että yritys kerää asiakkaiden henkilötietoja lainvastaisesti. Vireillesaattajan mukaan kyseessä on yritys, joka tarjoaa kotitalouksille ja taloyhtiöille asiakaskontaktin luomiseksi ilmaisen rakennuksen hengitysilman mittauksen. Vireillesaattaja oli 5.7.2020 huomannut yrityksen verkkosivuilla lomakkeen, joka vireillesaattajan arvion mukaan on todennäköisesti tarkoitettu yrityksen myyjille asiakasrekisterin luomiseksi. Lomake oli poistettu 6.7.2020, mutta vireillesaattaja on ottanut lomakkeen talteen tätä ennen.

Lomakkeessa oli varattu tila asuinalueen, talotyypin, nykyisen ilmanvaihtojärjestelmän ja rakennusvuoden tapaisten tietojen lisäksi esimerkiksi seuraaville tiedoille

· parisuhdedynamiikasta (ruksittavat vaihtoehdot: tasavertainen, vaimo hallitseva tai mies hallitseva)

· omistajien elämäntilanteesta (vaihtoehdot: nuori pariskunta ei vielä lapsia, keski-ikäinen pariskunta lapset vielä kotona, keski-ikäinen pariskunta ei enää lapsia, nuoret eläkeläiset, vanhukset)

· rahatilanteesta (vaihtoehdot: velallinen ja kaikki kuukausiveloitusta, suurin osa velatonta tuhlaileva, velaton tuhlaileva, velaton säästeliäs)

· ostajaryhmä (kilpailuttaja, epäilevä, tee-se-itse mies, muutosvastarintainen, hyväuskoinen, huolehtiva, innostunut)

Vireillesaattaja on toimittanut lomakkeen tietosuojavaltuutetun toimistolle.

Rekisterinpitäjältä saatu selvitys

Tietosuojavaltuutetun toimisto on pyytänyt rekisterinpitäjältä selvitystä 4.11.2020 päivätyllä selvityspyynnöllä. Rekisterinpitäjä on toimittanut tietosuojavaltuutetun toimistolle selvityksen 18.11.2020 sekä lisäselvityksen 18.12.2020. Rekisterinpitäjän mukaan kyse on ollut verkkosivujen kehitysvaiheessa olevasta lomakkeesta, ja rekisterinpitäjä on kertonut, että lomakkeen ei ole kuulunut olla näkyvillä. Rekisterinpitäjän mukaan lomaketta ei ole koskaan käytetty tai tietoja sen kautta kerätty. Rekisterinpitäjä on esittänyt selvityksessään, että niissäkin tilanteissa, joissa joku olisi vahingossa täyttänyt lomakkeen, tiedot eivät olisi tallentuneet, koska lomakkeen kehitys ei ole ollut niin pitkällä. Lisäksi lomakkeella olleet kysymykset ovat rekisterinpitäjän mukaan olleet täysin satunnaisia "Lorem Ipsum” -tyylisiä tekstejä, joita kehitystyötä tehnyt henkilö on käyttänyt hahmotellessaan lomakkeen ulkomuotoa. Lomake on ollut julkisesti näkyvillä muutamia päiviä, kunnes se huomattiin ja poistettiin.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan määriteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Oikeudellinen kysymys

Tietosuojavaltuutettu arvioi ja ratkaisee hakijan asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta. Asiassa on kysymys henkilötietojen käsittelyn läpinäkyvyydestä ja rekisteröityjen informoinnista. Läpinäkyvyyden periaatteesta on säädetty yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a-alakohdassa. Rekisteröityjen informoinnista säädetään yleisen tietosuoja-asetuksen 12–14 artikloissa.

Tietosuojavaltuutetun on ratkaistava, tuleeko asiassa käyttää yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan mukaisia korjaavia toimivaltuuksia, kuten yleisen tietosuoja-asetuksen 58(2)(a) artiklan mukaisen varoituksen antaminen.

Tietosuojavaltuutetun päätös

Päätös

Rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan a-alakohdan mukainen varoitus siitä, että asiakkaasta tarkkailemalla kerättyjen tietojen käsittely olisi tässä tapauksessa, ilman lainmukaista käsittelyperustetta ja rekisteröityjen informointia, yleisen tietosuoja-asetuksen säännösten vastaisia.

Perustelut

Yleisen tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista, joista yksi on läpinäkyvyyden periaate. Läpinäkyvyyden periaate edellyttää, että henkilötietoja käsitellään rekisteröidyn kannalta läpinäkyvästi. Yleisen tietosuoja-asetuksen 12–14 artikloissa säädetään puolestaan rekisteröityjen informoinnista. Jotta henkilötietojen käsittely olisi läpinäkyvää, rekisteröityä tulee muun muassa informoida tästä käsittelystä.

Nyt tarkasteltavana olevassa tapauksessa vireillesaattajan tietosuojavaltuutetun toimistolle toimittamien materiaalien pohjalta vaikuttaa sille, että rekisterinpitäjän laatima lomake on tarkoitettu henkilötietojen keräämiseen tarkkailemalla rekisteröityjä ja heidän asuinolosuhteitaan asiakaskäynnin tai muun asiakastapaamisen yhteydessä. Lomakkeeseen varatut täytettävät kohdat ovat harkittuja ja lomake on sisällöltään koherentti. Rekisterinpitäjä on esittänyt antamassaan selvityksessä, ettei lomaketta ole tosiasiallisesti käytetty. Lomakkeen ulkoasun ja huolitellun sekä johdonmukaisen sisällön perusteella tietosuojavaltuutettu kuitenkin katsoo, että lomaketta on ainakin aiottu käyttää riippumatta siitä, mitä tietoja lopulliselle lomakkeelle tulisi kerätä. Tietosuojavaltuutettu toteaa, ettei rekisterinpitäjältä saatu selvitys myöskään anna aihetta tulla asiassa muunlaiseen johtopäätökseen.

Tietosuojavaltuutettu korostaa, että myös silloin, kun henkilötietoja kerätään rekisteröityä tarkkailemalla, rekisteröidylle tulee toimittaa tiedot henkilötietojen käsittelystä tietosuoja-asetuksen 13 artiklan mukaisesti ja tarkoituksenmukaisessa muodossa. Informaation tulee tavoittaa rekisteröity oikeaan aikaan, ja informaation antamiskanavan valinnassa rekisterinpitäjän tulee pyrkiä lisäämään sen todennäköisyyttä, että informaatio tavoittaa rekisteröidyn tehokkaasti. Oikea-aikaisuuden osalta tarkkailutyyppinen henkilötietojen kerääminen edellyttää lähtökohtaisesti sitä, että rekisteröidylle annetaan informaatio siten, että rekisteröidyllä on sen perusteella mahdollisuus välttää tarkkailtavaksi joutuminen, eikä henkilötietojen käsittelyn ylipäänsä tulisi tulla yllätyksenä rekisteröidylle.

Voidaan myös todeta, että silloin, jos henkilötietoja kerätään rekisteröityjä tarkkailemalla, rekisterinpitäjällä tulee olla yleisen tietosuoja-asetuksen 6 artiklan mukainen käsittelyperuste, ja rekisteröityjä tulee informoida tästä henkilötietojen käsittelystä oikea-aikaisesti. Läpinäkyvyyden periaate edellyttää, että rekisterinpitäjä on rekisteröityä kohtaan avoin muun muassa sen suhteen, miten henkilötietoja kerätään ja käytetään. Näin toimittaessa rekisteröity pystyy halutessaan käyttämään tietosuoja-asetuksen III luvun mukaisia oikeuksiaan. Vastaava päämäärä on myös rekisteröidyn informoinnilla, jolla käytännössä toteutetaan käsittelyn läpinäkyvyyden periaatetta. Tietosuojavaltuutettu myös muistuttaa, että jos henkilötietoja on kerätty lainvastaisesti, rekisterinpitäjän tulee poistaa tällaiset tiedot ja muuttaa toimintatapansa tietosuojasääntelyn mukaiseksi.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään hallinto-oikeuteen. Valitusosoitus on liitteenä.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.

Päätös ei ole lainvoimainen

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.