henkilötietojen käsittely - rekisteröidyn tunnistaminen - puheluiden nauhoittaminen - informointi

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	22.11.2019
Diaarinumero:	7713/163/2018

ASIA

Hakija on pyytänyt tietosuojavaltuutettua arvioimaan, toimiiko rekisterinpitäjä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) mukaisesti pyytäessään rekisteröityä lähettämään tarkastusoikeuden käyttämistä varten sähköpostilla kuvan henkilöllisyystodistuksen molemmista puolista tai passistaan rekisteröidyn henkilöllisyyden vahvistamiseksi ennen rekisteröidyn oikeuksien toteuttamista. Lisäksi rekisteröidyn on tullut lähettää kuva henkilöllisyystodistuksen tai passin kuvasivusta omien kasvojensa vieressä. Toimipisteessä tunnistaminen ei hakijan mukaan onnistunut.

Hakija on lisäksi saattanut tietosuojavaltuutetun toimistossa vireille rekisterinpitäjän puheluiden tallentamista koskevan asian. Hakija on keskustellut rekisterinpitäjän asiakaspalvelijan kanssa puhelimessa ja saanut selville, että rekisterinpitäjä tallentaa asiakaspuhelunsa. Hakijan mukaan puhelinkeskustelun aikana on ilmennyt, että rekisterinpitäjä ei informoi puheluiden tallentamisesta verkkosivuillaan eikä puhelun alussa. Asiakaspalvelija ei osannut myöskään kertoa, miten puhelinnauhoitukset voi tarkastaa.

APULAISTIETOSUOJAVALTUUTETUN PÄÄTÖS

Rekisteröidyn tunnistaminen

Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Jos rekisterinpitäjällä on perusteltua syytä epäillä pyynnön tehneen luonnollisen henkilön henkilöllisyyttä, rekisterinpitäjä voi 12 artiklan 6 kohdan mukaan pyytää toimittamaan lisätiedot, jotka ovat tarpeen henkilöllisyyden vahvistamiseksi.

Yleisen tietosuoja-asetuksen johdanto-osan 57 kappaleen mukaan tunnistamiseen olisi sisällytettävä rekisteröidyn digitaalinen tunnistaminen esimerkiksi todentamismekanismin avulla, kuten käyttämällä samoja tunnisteita, joita rekisteröity käyttää kirjautuessaan rekisterinpitäjän tarjoamiin verkkopalveluihin.

Kun otetaan huomioon 5 artiklan 1 kohdan c alakohta, rekisterinpitäjän ei tulisi pyytää rekisteröidyltä enempää tietoja kuin tämän tunnistamista varten on tarpeen. Rekisterinpitäjä on elokuvayhtiö ja elokuvateatteriketju. Toimialastaan johtuen rekisterinpitäjä ei pääsääntöisesti käsittele asiakkaita koskevia erityisiin henkilötietoryhmiin kuuluvia tietoja. Rekisterinpitäjä ei myöskään toiminnassaan käsittele eikä sen ole tarpeen käsitellä rekisteröidyn passin tai henkilöllisyystodistuksen tietoja. Rekisterinpitäjä kerää siis kyseessä olevat tiedot nimenomaisesti rekisteröidyn tunnistamista varten. Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä kerää siten tunnistamista varten enemmän tietoa kuin sillä on alun perin ollut.

Tästä johtuen nämä tiedot on käsillä olevassa tapauksessa laskettava 12 artiklan 6 kohdan mukaisiksi lisätiedoiksi, joita rekisterinpitäjän tulisi pyytää vain, jos sillä on perusteltua syytä epäillä rekisteröidyn henkilöllisyyttä.

Apulaistietosuojavaltuutetun arvion mukaan rekisterinpitäjän toimintatapa rekisteröidyn tunnistamisessa ei ole tapahtunut tapauskohtaisen harkinnan perusteella, vaan on ollut säännönmukainen tunnistamiskeino. Lisäksi kyseinen tunnistamiskeino ei ole ollut 12 artiklan 2 kohdan mukainen keino, jolla rekisterinpitäjän voitaisiin katsoa yrittäneen helpottaa rekisteröidyn oikeuksien käyttöä. Rekisterinpitäjän toimintatavan voidaan siten katsoa vaikeuttaneen kohtuuttomasti rekisteröidyn oikeuksien toteuttamista. Apulaistietosuojavaltuutettu katsoo myös, että rekisterinpitäjä on käsitellyt rekisteröidyn tunnistamiseksi laajempaa joukkoa henkilötietoja kuin rekisteröidyn tunnistamiseksi on tarpeen ja siten toiminut vastoin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimointiperiaatetta.

Edellä kuvatuin perustein apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjän käytäntö, jossa se pyytää rekisteröidyn tunnistamiseksi lisätietona kopion passista tai henkilöllisyystodistuksesta sekä valokuvan kyseisen todistuksen kanssa, ylittää yleisen tietosuoja-asetuksen 5 artiklan minimointiperiaatteen noudattamisen ja 12 artiklan 2 ja 6 kohdan mukaisen rekisteröidyn tunnistamista oikeuksien käyttöä varten koskevien edellytysten rajat.

Lisäksi apulaistietosuojavaltuutettu toteaa, että rekisterinpitäjän tulee henkilötietoja kerätessään noudattaa yleisen tietosuoja-asetuksen 5 artiklan mukaisia henkilötietojen käsittelyä koskevia periaatteita. Rekisterinpitäjän tulee henkilötietoja kerätessään huolehtia muun muassa henkilötietojen säilytyksen rajoittamisesta (5 artiklan 1 kohdan e alakohta) ja henkilötietojen luottamuksellisesta käsittelystä (5 artiklan 1 kohdan f alakohta). Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu.

Apulaistietosuojavaltuutettu panee merkille, että rekisterinpitäjän tietosuojaselosteen mukaan rekisterinpitäjä on jo ryhtynyt toimiin asiantilan korjaamiseksi rekisteröidyn asioidessa suomen kielellä ja poistanut kyseessä olevan tunnistamiskäytännön käytöstä. Tunnistamiskäytäntö on saadun selvityksen perusteella edelleen yleisen tietosuoja-asetuksen edellytysten vastainen rekisteröidyn asioidessa englanniksi.

Edellä kuvatun perusteella apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen muuttaa rekisteröidyn tunnistamista koskevan käytäntönsä yleisen tietosuoja-asetuksen säännösten mukaiseksi silloin kun rekisteröity asioi englanniksi. Apulaistietosuojavaltuutettu toteaa lisäksi, että rekisterinpitäjän tulee varmistaa, että edellä kuvattuja omakuvia sekä kuvia passista ja henkilöllisyystodistuksesta ei säilytetä.

Rekisteröidyn informointi puheluiden tallentamisesta

Kun henkilötietoja kerätään rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle yleisen tietosuoja-asetuksen 13 artiklan mukaiset tiedot. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan rekisterinpitäjän on käsiteltävä henkilötietoja lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Yleisen tietosuoja-asetuksen johdanto-osan 39 kappaleen mukaan luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään.

Rekisterinpitäjän selvityksen perusteella puheluiden tallentamista koskevan tiedon puute on johtunut puutteellisesta tiedonkulusta rekisterinpitäjän ja henkilötietojen käsittelijän välillä. Rekisterinpitäjältä saadun selvityksen mukaan se on 30.10.2018 saadun asiakaspalautteen myötä ryhtynyt toimiin puheluiden tallentamisesta informoimiseksi, ja lisännyt tiedon puhelun nauhoittamisesta puhelun alkuun 2.11.2018.

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä on tallentanut asiakaspuheluita informoimatta tallentamisesta rekisteröityjä, jolloin rekisteröidyt eivät ole saaneet riittävää kuvaa rekisterinpitäjän suorittamasta henkilötietojen käsittelystä yleisen tietosuoja-asetuksen 13 artiklan mukaisesti. Lisäksi apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä ei ole käsitellyt henkilötietoja rekisteröidyn kannalta läpinäkyvästi. Rekisterinpitäjä on siten käsitellyt henkilötietoja yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan ja 13 artiklan vastaisesti.

Rekisterinpitäjä on antamansa selvityksen mukaan ohjeistanut henkilötietojen käsittelijää puhelutallenteisiin liittyvän tarkastusoikeuden toteuttamisesta ja kertoo toteuttavansa puhelutallenteita koskevan tarkastusoikeuden samalla prosessilla kuin muutkin tarkastusoikeutta koskevat pyynnöt. Apulaistietosuojavaltuutettu kiinnittää huomiota siihen, että puheluiden tallentaminen on tapahtunut rekisterinpitäjän tarkoituksia varten ulkopuolisen henkilötietojen käsittelijän toimesta. Rekisterinpitäjän on tällöin yleisen tietosuoja-asetuksen säännösten mukaisesti huomioitava sille kuuluva rekisterinpitäjän vastuu, kuten rekisteröidyn oikeuksien toteuttaminen.

Apulaistietosuojavaltuutettu katsoo saadun selvityksen perusteella, että rekisterinpitäjä on saamansa palautteen perusteella oma-aloitteisesti ryhtynyt toimenpiteisiin yleisen tietosuoja-asetuksen säännösten noudattamiseksi ja muuttanut puheluiden tallentamista koskevan informoinnin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan ja 13 artiklan mukaiseksi.

Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen muuttaa rekisteröidyn tunnistamista koskevan käytäntönsä yleisen tietosuoja-asetuksen säännösten mukaiseksi silloin kun rekisteröity asioi englanniksi.

Apulaistietosuojavaltuutettu jättää rekisterinpitäjän harkintaan asianmukaiset toimenpiteet, mutta määrää toimittamaan selvityksen tehdyistä toimenpiteistä tietosuojavaltuutetun toimistoon 31.1.2020 mennessä.

Apulaistietosuojavaltuutettu antaa yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaisen huomautuksen rekisterinpitäjälle. Rekisterinpitäjän rekisteröidyn tunnistamiskäytäntö ei täytä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan ja 12 artiklan 2 ja 6 kohdan mukaisia edellytyksiä. Rekisterinpitäjä ei ole informoinut rekisteröityjä puheluiden tallentamisesta. Rekisterinpitäjä on siten käsitellyt henkilötietoja yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan ja 13 artiklan vastaisesti.

SOVELLETUT LAINKOHDAT

EU:n yleisen tietosuoja-asetuksen (2016/679) 5 artikla, 12 artiklan 2 ja 6 kohta, 13 artikla, 25 artikla, 30 artikla ja 58 artiklan 2 kohdan b ja d alakohta