henkilötietojen käsittely - puhelut - nauhoittaminen - informointi - oikeus saada pääsy tietoihin - tarkastusoikeus - rekisteröidyn oikeudet

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	20.02.2020
Diaarinumero:	3021/452/2017

ASIA

Hakija kertoo saaneensa myyntipuhelun, joka on koskenut sähköntoimitusta. Hakija kertoo lähettäneensä myyntipuhelun jälkeen rekisterinpitäjälle tiedustelun, jossa hakija on pyytänyt tietoja siitä, miten rekisterinpitäjällä on ollut tiedossa hakijan sähköntoimittaja ja mitä muita tietoja rekisterinpitäjällä on hakijasta. Tämän jälkeen rekisterinpitäjän palveluksessa toimiva myyntipäällikkö on ollut hakijaan puhelimitse yhteydessä. Tässä yhteydessä hakijalle on soitettu nauhoite aiemmasta myyjän ja hakijan välisestä myyntipuhelusta. Hakija kertoo kantelussaan, ettei ollut tietoinen siitä, että myyntipuhelu nauhoitettiin. Lisäksi hakija kertoo, että rekisterinpitäjä ei antanut tietoa siitä, mistä tieto sähköntoimittajasta, jonka kanssa hakijalla on olemassa oleva asiakkuus, on saatu. Hakijan kertoman mukaan häneen yhteydessä ollut myyntipäällikkö kertoi olevan yleisesti tunnettu tosiseikka, että hakijan postinumeron alueella sähkön toimittaa sähköyhtiö, jonka asiakas hakija on.

Hakija kertoo sopineensa myyntipäällikön kanssa, että hakijalle toimitetaan myyjän ja hakijan välinen myyntipuhelun nauhoite ja kaikki tiedot, joita rekisterinpitäjällä on hakijasta. Myöhemmin myyntipäällikkö on kuitenkin hakijan kertoman mukaan pyytänyt hakijaa tekemään virallisen pyynnön puhelutallenteen ja pyydettyjen tietojen saamiseksi. Rekisterinpitäjä on lähettänyt hakijalle rekisterinpitäjän rekisteriselosteen ja kertonut hakijalle mahdollisuudesta tulla kuuntelemaan nauhoite paikan päälle virallisen pyynnön esittämisen jälkeen. Hakija ei ole kertomansa perusteella tehnyt myyntipäällikön kehottamaa virallista pyyntöä pyydettyjen tietojen saamiseksi.

Hakija kokee, ettei rekisterinpitäjä ota henkilötietolain alaisia velvoitteita niiden edellyttämällä vakavuudella, sillä rekisterinpitäjä ei olisi ilmoittamatta saanut nauhoittaa hakijan ja rekisterinpitäjän välistä puhelua. Lisäksi hakija katsoo, ettei se ole saanut rekisterinpitäjältä pyytämiään tietoja.

Rekisterinpitäjän selvitykset

Rekisterinpitäjä kertoo antamassaan selvityksessä kuvaavansa verkkosivuillaan olevassa tietosuojaselosteessa henkilötietojen lähteet. Tietosuojaselosteessa kerrotaan henkilötietoja kerättävän julkisista lähteistä, kuten julkisista osoiterekistereistä, tai kolmansilta osapuolilta, joiden kanssa rekisterinpitäjä tekee yhteistyötä, kuten luottotietojen tarjoajat, perintäpalvelut ja markkinointikumppanit. Kuluttajan tiedustellessa henkilötietojen lähdettä ovat myyjät rekisterinpitäjän selvityksen mukaan kertoneet, että henkilötiedot on saatu Suomen Asiakastiedolta. Rekisterinpitäjä kertoo olevansa Suomen Asiakastiedon asiakas, minkä perusteella rekisterinpitäjä on saanut hakijan yhteystiedot.

Rekisterinpitäjä kertoo antamassaan lisäselvityksessä, ettei sillä ole aiemmin kerrottujen lähteiden lisäksi muita tietolähteitä, joista tieto hakijan nykyisestä sähkönmyyjästä olisi hankittu. Rekisterinpitäjä kertoo ennen myyntipuhelua yhdistävänsä kuluttajan julkisista lähteistä saatavan osoitetiedon Fingrid Oyj:n ylläpitämään rekisteriin, josta saadaan tieto kyseisen kuluttajan osoitteen sähköverkkoyhtiöstä. Tähän tietoon pohjautuen rekisterinpitäjän palveluksessa toimiva myyjä on kysynyt hakijalta, onko kuluttajan sähkönmyyntiyhtiö kenties sama kuin hänen paikallinen verkkoyhtiönsä. Rekisterinpitäjä kertoo, ettei se nykyään nosta esille myyntipuheluissa kuluttajan sähkönsiirtoyhtiötä, sillä kuluttajat eivät aina ymmärrä sähkönmyyntiyhtiön ja sähköverkkoyhtiön eroa.

Rekisterinpitäjä on kertonut suojaavansa työntekijöidensä yksityisyyttä puhelutallenteen luovuttamisen yhteydessä yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan mukaisesti. Kyseisen artiklan mukaan oikeus saada 15 artiklan 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin. Rekisterinpitäjän mukaan puhelutallenteet sisältävät työntekijöiden henkilötietoja, joten se ei lähetä tallenteita rekisteröidylle suojatakseen työntekijöiden yksityisyyttä puhelintallenteiden luovuttamisen yhteydessä.

Puhelutallenteiden osalta rekisterinpitäjä kertoo tarjoavansa tällä hetkellä kaksi tapaa rekisteröidyn tarkastusoikeuden toteuttamiseksi. Ensimmäinen tapa on antaa tunnistetun henkilön kuunnella tallenne rekisterinpitäjän toimipisteessä, ja toinen tapa on antaa tunnistetun henkilön kuunnella tallenne puhelimitse.

Rekisterinpitäjä kertoo antamassaan selvityksessä tallentavansa myynti- ja asiakaspalvelupuhelut osapuolten oikeuksien varmistamiseksi sekä koulutuskäyttöön. Rekisterinpitäjä kertoo myös tallentavansa myyntipuhelusta erillisen äänikuitin, joka jää todisteeksi liiketapahtumasta, mikäli kuluttaja solmii puhelimessa sähkösopimuksen. Hakijan tapauksessa rekisterinpitäjän ja hakijan välillä ei syntynyt sähkösopimusta, joten erillistä ilmoitusta äänikuitin nauhoittamisesta ei tehty. Rekisterinpitäjä kertoo lisäselvityksessään ilmoittavansa tallentamisesta. Rekisterinpitäjä on tarkentanut puheluiden tallentamista koskevaa käytäntöään lisäselvityksessä seuraavasti:

1) Rekisterinpitäjä soittaa ei-asiakkaana olevalle kuluttajalle: Jos puhelu johtaa sopimukseen, käy myyntineuvottelija läpi yhteenvedon sopimuksen yksityiskohdista (ns. äänikuitti). Sopimusyhteenvedon alussa rekisterinpitäjä kertoo asiakkaalle kerrottavan, että myyntipuhelu tallennetaan. Rekisterinpitäjä ei tallenna puheluita, mikäli myyntitilanne ei johda sopimukseen. Näissä puheluissa jo aloitettu tallennus keskeytetään ja jo tallennettu keskustelu hävitetään automaattisesti. Rekisterinpitäjän mukaan nämä tallenteet on hävitetty yleisen tietosuoja-asetuksen soveltamisen alkamisen yhteydessä.

2) Rekisterinpitäjä soittaa nykyiselle asiakkaalle: Jos rekisterinpitäjän aloitteesta tehtävässä puhelussa asiakkaan kanssa tehdään sopimus, puhelun lopussa asiakkaalle käydään läpi sopimuksen yksityiskohdat (äänikuitti). Sopimusyhteenvedon alussa asiakkaalle kerrotaan, että myyntipuhelu tallennetaan. Rekisterinpitäjä kertoo lisäksi, että kuluttajalle lähetetään sähkösopimuksen tilausvahvistuksen yhteydessä tietosuojaseloste, joka on myös saatavilla rekisterinpitäjän verkkosivuilla. Tietosuojaselosteessa kerrotaan asiakaspuhelun tallentamisesta asiakaspalvelun laadun kehittämiseksi sekä sopimusosapuolten oikeuksien turvaamiseksi.

3) Kuluttaja soittaa rekisterinpitäjälle: Puhelinnumeroon soitettaessa kuluttajalle kerrotaan ennen asiakasneuvojalle yhdistämistä, että asiakaspalveluun saapuvat puhelut nauhoitetaan. Tämän lisäksi rekisterinpitäjä kertoo, että nykyisille asiakkaille on lähetetty sähkösopimusta tehdessä tietosuojaseloste, jossa kerrotaan rekisterinpitäjän keräävän henkilötietoina myynti- ja asiakaspalvelun puhelutallenteet.

Hakijan vastine

Hakija kertoo tietosuojavaltuutetun toimiston pyytämässä vastineessa, että tieto hakijan sähköntarjoajasta ei löydy niistä lähteistä, jotka rekisterinpitäjä on kertonut lähteekseen. Lisäksi hakija kertoo, ettei missään vaiheessa keskustelua rekisterinpitäjän palveluksessa toimivan myyntipäällikön kanssa ole mainittu rekisteritietojen tarkastuspyyntölomakkeesta. Hakija mainitsee vielä vastineessaan, ettei rekisterinpitäjä kuitenkaan ole hakijan lähettämästä pyynnöstä huolimatta lähettänyt hakijan pyytämiä tietoja.

APULAISTIETOSUOJAVALTUUTETUN PÄÄTÖS

Asian käsittelyssä on otettava huomioon, että luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) on tullut voimaan 25.5.2016 ja sitä on sovellettu 25.5.2018 alkaen. Unionin tietosuojalainsäädännön uudistuksen myötä henkilötietojen suojaa koskenut yleislaki henkilötietolaki (523/1999) kumottiin tietosuojalailla (1050/2018), joka on tullut voimaan 1.1.2019.

OIKEUS SAADA PÄÄSY TIETOIHIN

Asia on saatettu vireille tietosuojavaltuutetun toimistossa henkilötietolain voimassaoloaikana. Asiassa on siten arvioitava tietosuojalain 38 §:n 3 momentin mukaisesti, voidaanko ratkaisuun soveltaa yleisen tietosuoja-asetuksen 12 ja 15 artiklaa.

Tämän jälkeen asiassa on ratkaistava, onko rekisterinpitäjä toteuttanut hakijan pyynnön saada pääsy tietoihin (tarkastusoikeus) sovellettavan lainsäädännön mukaisesti.

Sovellettavan lain valinta

Yleistä tietosuoja-asetusta on sovellettu 25.5.2018 alkaen. Säädös on EU:n asetuksena jäsenvaltioissa suoraan sovellettavaa oikeutta. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki, joka on tullut voimaan 1.1.2019 alkaen. Tietosuojalailla kumottiin henkilötietolaki (523/1999).

Hakija on esittänyt rekisterinpitäjälle oikeutta saada pääsy tietoihin koskevan pyynnön kumotun henkilötietolain voimassaoloaikana. Hakijan pyyntö on perustunut henkilötietolain 26 § ja 28 §:n mukaiseen oikeuteen.

Koska asiassa on arvioitavana rekisteröidyn oikeuden saada pääsy tietoihin (tarkastusoikeus) toteutuminen, tietosuojalain 38 §:n 3 momentin siirtymäsäännös on merkityksellinen ratkaisuun sovellettavan lain valinnan kannalta. Tietosuojalain 38 §:n 3 momentin mukaan tietosuojalain voimaan tullessa vireillä olevassa tarkastusoikeuden toteuttamista koskevassa asiassa ei sovelleta sellaisia yleisen tietosuoja-asetuksen 12 ja 15-18 artiklan säännöksiä, joissa asetetaan rekisterinpitäjälle laajempia velvollisuuksia kuin tietosuojalain voimaan tullessa voimassa olleet säännökset edellyttävät, jos mainittujen tietosuoja-asetuksen säännösten soveltaminen olisi rekisterinpitäjän kannalta kohtuutonta.

Yleisen tietosuoja-asetuksen 12 ja 15 artiklan soveltaminen

Henkilötietolain 26 §:n 1 momentin mukaan jokaisella on salassapitosäännösten estämättä oikeus tiedon etsimiseksi tarpeelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai ettei rekisterissä ole häntä koskevia tietoja. Rekisterinpitäjän on samalla ilmoitettava rekisteröidylle rekisterin säännönmukaiset tietolähteet sekä mihin rekisterin tietoja käytetään ja säännönmukaisesti luovutetaan.

Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin ja seuraavat tiedot: a) käsittelyn tarkoitus, b) kyseessä olevat henkilötietoryhmät, c) vastaanottajat tai vastaanottajaryhmät, d) mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit, e) rekisteröidyn oikeus pyytää rekisterinpitäjältä häntä itseään koskevien henkilötietojen oikaisemista tai poistamista taikka henkilötietojen käsittelyn rajoittamista tai vastustaa tällaista käsittelyä, f) oikeus tehdä valitus valvontaviranomaiselle, g) jos henkilötietoja ei kerätä rekisteröidyltä, kaikki tietojen alkuperästä käytettävissä olevat tiedot, ja h) automaattisen päätöksenteon, muun muassa 22 artiklan 1 ja 4 kohdassa tarkoitetun profiloinnin olemassaolo, sekä ainakin näissä tapauksissa merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle.

Oikeutta saada pääsy tietoihin koskevat henkilötietolain 26 §:n 1 momentin mukaiset säännökset ja yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a-h alakohtien säännökset ovat aineellisesti lähes saman sisältöisiä. Apulaistietosuojavaltuutettu kiinnittää kuitenkin huomiota siihen, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a-h alakohdissa on säädetty laajemmista tiedoista kuin henkilötietolain 26 §:n 1 momentissa, sillä kyseisen momentin perusteella rekisteröidyllä ei olisi ollut oikeutta saada yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan b, d, e ja f alakohtia vastaavia tietoja.

Kun käsillä olevassa asiassa sovellettava säännös asettaa rekisterinpitäjälle henkilötietolain säännöksiä laajempia velvollisuuksia, on asiassa arvioitava, onko niiden soveltaminen rekisterinpitäjän kannalta kohtuutonta. Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a-h alakohtien soveltamisen kohtuullisuutta arvioitaessa apulaistietosuojavaltuutettu kiinnittää huomiota siihen, että hakijalla olisi henkilötietolain mukaan ollut oikeus saada henkilötietoja kerätessä ja käsiteltäessä rekisterinpitäjältä yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan b ja e alakohtia vastaavat tiedot rekisterinpitäjältä myös henkilötietolain mukaisesti. Henkilötietolain mukaan rekisteröidyllä on ollut oikeus saada rekisterinpitäjältä edellä mainittua b alakohtaa vastaava tieto eli kuvaus rekisteröityjen ryhmästä tai ryhmistä ja näihin liittyvistä tiedoista tai tietoryhmistä (henkilötietolaki 10 § 1 mom. 3 kohta) ja edellä mainittua e alakohtaa vastaava tieto eli tiedot, jotka ovat tarpeen rekisteröidyn oikeuksien käyttämiseksi asianomaisessa henkilötietojen käsittelyssä (henkilötietolaki 24 § 1 mom.).

Apulaistietosuojavaltuutettu katsoo edellä esitetyn mukaisesti, että mikäli asiassa tulisi sovellettavaksi henkilötietolaki, olisi hakijalla oikeus saada ne tiedot, jotka vastaavat yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a, b, c, e, g ja h alakohtia. Näin ollen ainoastaan alakohtien d (tieto säilytysajasta) ja f (oikeus tehdä valitus valvontaviranomaiselle) olisivat tietoja, joita hakijalla ei olisi henkilötietolakia sovellettaessa ollut oikeutta saada rekisterinpitäjältä.

Säilytysaikaa ja valitusoikeutta koskevilla säännöksillä ei ole asian ratkaisun kannalta merkitystä. Apulaistietosuojavaltuutettu kuitenkin toteaa, että 15 artiklan 1 kohdan d ja f alakohtien mukaiset tiedot koskevat sellaisia rekisterinpitäjälle kuuluvia velvollisuuksia, joista on säädetty myös henkilötietolaissa. Rekisterinpitäjällä on henkilötietolakia sovellettaessa ollut velvollisuus noudattaa henkilötietolain 2 luvussa säädettyjä henkilötietojen käsittelyä kokevia yleisiä periaatteita kuten henkilötietojen käsittelyn suunnittelu ja tarpeellisuusvaatimus (henkilötietolaki 6 § ja 9 §). Lisäksi rekisteröidyllä on henkilötietolakia sovellettaessa ollut oikeus saattaa asian käsittely valvontaviranomaisen käsiteltäväksi (henkilötietolaki 28 § 2 mom.) Näin ollen apulaistietosuojavaltuutettu katsoo, ettei yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a-h alakohtien soveltaminen käsiteltävänä olevassa asiassa ole kohtuutonta ottaen huomioon rekisterinpitäjän henkilötietolain mukaiset velvoitteet.

Henkilötietolain 28 §:n 1 momentin mukaan sen, joka haluaa tarkastaa itseään koskevat tiedot 26 §:ssä tarkoitetulla tavalla, on esitettävä tätä tarkoittava pyyntö rekisterinpitäjälle omakätisesti allekirjoitetussa tai sitä vastaavalla tavalla varmennetussa asiakirjassa tai henkilökohtaisesti rekisterinpitäjän luona.

Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Asetuksen 11 artiklan 2 kohdassa tarkoitetuissa tapauksissa rekisterinpitäjä ei saa kieltäytyä toimimasta rekisteröidyn pyynnöstä tämän 15–22 artiklan mukaisten oikeuksien käyttämiseksi, ellei rekisterinpitäjä osoita, ettei se pysty tunnistamaan rekisteröityä. Yleisen tietosuoja-asetuksen 12 artiklan 6 kohdan mukaan, jos rekisterinpitäjällä on perusteltua syytä epäillä 15–21 artiklan mukaisen pyynnön tehneen luonnollisen henkilön henkilöllisyyttä, rekisterinpitäjä voi pyytää toimittamaan lisätiedot, jotka ovat tarpeen rekisteröidyn henkilöllisyyden vahvistamiseksi, sanotun kuitenkaan rajoittamatta 11 artiklan soveltamista.

Yleinen tietosuoja-asetus ei siis sisällä oikeutta saada pääsy tietoihin koskevan pyynnön osalta erityisiä muotovaatimuksia. Henkilötietolain mukaan pyyntö on pitänyt esittää rekisterinpitäjälle omakätisesti allekirjoitetussa tai sitä vastaavalla tavalla varmennetussa asiakirjassa tai henkilökohtaisesti rekisterinpitäjän luona. Tämän voidaan tulkita tarkoittavan rekisterinpitäjän osalta tietosuojalain 38 §:n 3 momentissa säädettyjä laajempia velvollisuuksia. Näin ollen asiassa on arvioitava yleisen tietosuoja-asetuksen sääntelyn soveltamisen kohtuullisuutta rekisterinpitäjän kannalta.

Kohtuutonta rekisterinpitäjän kannalta olisi moittia rekisterinpitäjää siitä, että se ei ole toteuttanut rekisteröidyn oikeutta, jos pyyntöä ei ole esitetty henkilötietolain 28 §:n 1 momentissa esitetyllä tavalla. Kyseisen säännöksen tarkoituksena on ollut mahdollistaa rekisterinpitäjä varmistumaan siitä, että pyynnön esittänyt henkilö on rekisteröity. Nyt päätöksen kohteena olevassa asiassa saadun selvityksen perusteella rekisterinpitäjällä ei ole ollut epäilystä hakijan asemasta rekisteröitynä. Asiassa saadun selvityksen perusteella rekisterinpitäjä on myös puhelimitse vastannut rekisteröidyn pyyntöön suullisesti. Rekisterinpitäjän kannalta lopputulos ei ole erilainen riippuen siitä, määräisikö apulaistietosuojavaltuutettu toimittamaan henkilötiedot rekisteröidylle vai esittäisikö hakija itse uuden pyynnön saada tiedot rekisterinpitäjältä. Näin ollen myös hakijan oikeusturva huomioon ottaen apulaistietosuojavaltuutettu katsoo, ettei ole rekisterinpitäjän kannalta kohtuutonta soveltaa pyynnön muodon osalta voimassa olevaa yleisen tietosuoja-asetuksen sääntelyä.

Henkilötietolain 28 §:n 2 momentin henkilötietojen toimittamistapaa koskevan säännöksen mukaan rekisterinpitäjän on ilman aiheetonta viivytystä varattava rekisteröidylle tilaisuus tutustua 26 §:ssä tarkoitettuihin tietoihin tai annettava tiedot pyydettäessä kirjallisesti. Tiedot on annettava ymmärrettävässä muodossa.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista.

Yleisen tietosuoja-asetuksen 12 artiklan mukaan henkilötiedot voidaan tapauksen mukaan toimittaa rekisteröidylle sähköisessä muodossa. Suullista taikka sähköistä tietojen toimittamistapaa ei ole nimenomaisesti mainittu vastaavassa henkilötietolain 28 §:n 2 momentin säännöksessä. Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan säännöksen voidaan tulkita asettavan rekisterinpitäjälle laajempia velvollisuuksia. Näin ollen asiassa on arvioitava säännöksen soveltamisen kohtuullisuus rekisterinpitäjän kannalta. Koska yleinen tietosuoja-asetus lisää tiettyjen edellytysten vallitessa rekisterinpitäjän valintamahdollisuuksia henkilötietojen asianmukaisen toimittamistavan muodon osalta suhteessa henkilötietolakiin, ei tätä voida pitää kohtuuttomana rekisterinpitäjän kannalta.

Edellä esitetyn perusteella apulaistietosuojavaltuutettu katsoo, että asiassa tulee soveltaa yleisen tietosuoja-asetuksen 12 ja 15 artiklaa.

Päätös

Rekisterinpitäjä ei ole toteuttanut hakijan yleisen tietosuoja-asetuksen 15 artiklan mukaista oikeutta saada pääsy tietoihin.

Apulaistietosuojavaltuutettu määrää rekisterinpitäjän yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan nojalla noudattamaan rekisteröidyn pyyntöä, joka koskee yleisen tietosuoja-asetukseen perustuvan 15 artiklan 1 kohdan a-h alakohtien mukaista rekisteröidyn oikeutta saada pääsy tietoihin ja toimittamaan hakijalle tätä koskevat tiedot yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa ja 15 artiklan 3 kohdassa säädetyllä tavalla.

Koska hakija ei ole esittänyt pyyntöä pyynnön esittämishetkellä voimassa olevan henkilötietolain 28 §:n 1 momentin mukaisesti, apulaistietosuojavaltuutettu katsoo tietojen toimittamista koskevan määräyksen riittäväksi toimenpiteeksi.

Perustelut

Saadun selvityksen ja vastineen perusteella rekisterinpitäjä ei ole toimittanut hakijalle hänen pyytämiänsä henkilötietoja.

Erityisesti puhelutallenteen toimittamisen osalta apulaistietosuojavaltuutettu kiinnittää huomiota seuraaviin seikkoihin.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15-22 artiklan mukaisten oikeuksien käyttämistä. Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista.

Hakija on kertonut sopineensa puhelimitse rekisterinpitäjän kanssa siitä, että hakijalle toimitettaisiin hakijan pyytämät itseään koskevat tiedot ja puhelutallenne. Rekisterinpitäjä ei kuitenkaan ole toimittanut puhelutallennetta hakijalle, vaan rekisterinpitäjä on myöhemmin ilmoittanut mahdollisuudesta tulla kuuntelemaan nauhoite paikan päälle virallisen tarkastusoikeutta koskevan pyynnön esittämisen jälkeen. Myöhemmin rekisterinpitäjä on perustellut tietosuojavaltuutetun toimistolle tätä käytäntöä yleisen tietosuoja-asetuksen 15 artiklan 4 kohdalla.

Kansallisesti henkilötietojen tarkastusoikeudesta ja tietojen toimittamisen muodosta on säädetty 1.1.2019 kumotussa henkilötietolaissa, jonka 28 §:n 2 momentin mukaan rekisterinpitäjän on varattava rekisteröidylle tilaisuus tutustua 26 §:ssä tarkoitettuihin tietoihin tai annettava tiedot pyydettäessä kirjallisesti. Tietosuojavaltuutettu on ratkaisukäytännöissään (10.5.2011 dnro 2680/41/2010 ja 12.9.2013 dnro 2240/523/2013) tulkinnut rekisteröidyn oikeutta saada asiakaspuhelutallenne henkilötietolain 28 §:n nojalla. Tietosuojavaltuutettu on katsonut, että henkilötietolain 26 §:n mukainen oikeus voidaan toteuttaa joko varaamalla rekisteröidylle puhelutallenteen kuuntelumahdollisuus (2680/41/2010) tai toimittamalla tallenne rekisteröidyn pyynnöstä hänelle kirjallisesti ja esimerkiksi auki kirjoitettuna tulosteena (2240/523/2013). Rekisteröidyn pyytäessä tiedot on tullut kuitenkin toimittaa kirjallisesti (12.9.2013 dnro 2240/523/2013). Vastaavasti yleisessä tietosuoja-asetuksessa on säädetty tietojen toimittamisen muodosta. Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan 15 artiklaa koskevat tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Lisäksi oikeuden saada pääsy tietoihin osalta on yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa säädetty rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle jäljennös käsiteltävistä henkilötiedoista.

Näin ollen apulaistietosuojavaltuutettu katsoo, ettei rekisterinpitäjä ole toteuttanut hakijan oikeutta saada pääsy tietoihin.

YLEISEN TIETOSUOJA-ASETUKSEN 12 JA 15 ARTIKLAN (OIKEUS SAADA PÄÄSY TIETOIHIN) SOVELTAMINEN PUHELUTALLENTEISIIN

Rekisterinpitäjän asiassa antaman selvityksen perusteella on käynyt ilmi, että rekisterinpitäjä ei ole yleisen tietosuoja-asetuksen soveltamisen alettua muuttanut toimintatapojaan oikeuden saada pääsy tietoihin (tarkastusoikeus) toteuttamiseksi puhelutallenteisiin.

Päätös

Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen muuttaa käsittelytoimet puhelutallenteiden oikeuden saada pääsy tietoihin toteuttamisen osalta yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan ja 15 artiklan 3 kohdan säännösten mukaisiksi.

Apulaistietosuojavaltuutettu jättää rekisterinpitäjän harkintaan asianmukaiset toimenpiteet, päätöksen perusteluista ilmenevin rajauksin, mutta määrää toimittamaan selvityksen tehdyistä toimenpiteistä tietosuojavaltuutetun toimistoon 30.3.2020 mennessä.

Perustelut

On kiistatonta, että puhelutallenne sisältää yleisen tietosuoja-asetuksen 4 artiklan 1 kohdassa tarkoitettuja henkilötietoja. Korkein hallinto-oikeus on ratkaisussaan 30.7.2010 (2094/1/09), katsonut nauhalle tallentuneen äänen henkilötiedoksi ja siten henkilötietolain 26 §:ssä säädetyn tarkastusoikeuden piiriin kuuluvaksi. Vastaavasti Euroopan yhteisöjen ensimmäisen asteen tuomioistuin on 11.3.2009 katsonut asiassa T-166/05, että henkilö voidaan tunnistaa äänen perusteella (kappale 39). Yleinen tietosuoja-asetus ei ole muuttanut henkilötietolain mukaista henkilötiedon määritelmää. Rekisteröidyillä on siten edelleen oikeus saada pääsy henkilötietoihin puheluntallenteen osalta.

Rekisterinpitäjä kertoo tarjoavansa puhelutallenteiden osalta rekisteröidylle mahdollisuutta kuunnella tallenne rekisterinpitäjän toimipisteessä tai vaihtoehtoisesti antaa rekisteröidylle mahdollisuuden kuunnella tallenne puhelimitse. Rekisterinpitäjä on selvityksessään esittänyt, ettei se voi toimittaa rekisteröidylle puhelutallennetta sellaisenaan yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan johdosta.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu. Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15-22 artiklan mukaisten oikeuksien käyttämistä. Lisäksi oikeuden saada pääsy tietoihin osalta on yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa säädetty rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle jäljennös käsiteltävistä henkilötiedoista.

Yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan, jonka mukaan oikeus saada jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin, joita tietosuoja-asetuksen johdanto-osan 63 kohdan mukaan ovat esimerkiksi liikesalaisuudet tai henkinen omaisuus ja erityisesti ohjelmistojen tekijänoikeudet, perusteella voidaan sinänsä kieltäytyä toimittamasta rekisteröidylle 15 artiklan 1 kohdan mukaisia tietoja. Kyseinen artiklan kohta ei kuitenkaan rajoita rekisterinpitäjää toteuttamasta rekisteröidyn tarkastusoikeutta tässä tarkoitetun tapauksen kaltaisessa tilanteessa.

Tietosuojavaltuutettu on ratkaisussaan (12.9.2013, dnro 2240/523/2013) katsonut, että puhelinkeskustelunauhoitteisiin sisältyy käytännössä aina myös toista henkilöä koskevia henkilötietoja, eikä tämän voida katsoa olevan esteenä tarkastusoikeuden toteuttamiselle. Päätöksen mukaan rekisterinpitäjän edustajaa koskevia henkilötietoja voi siis henkilötietolain estämättä päätyä tarkastusoikeuttaan käyttävälle rekisteröidylle. Rekisterinpitäjä on kertonut tallentavansa myynti- ja asiakaspalvelupuhelut osapuolten oikeuksien varmistamiseksi sekä koulutuskäyttöön. Puheluiden tallennus tapahtuu näin ollen rekisterinpitäjän määrittämiä tarkoituksia varten ja myyjän henkilötiedot tulevat näin ollen osaksi tallennetta.

Yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan lisäksi oikeutta saada pääsy tietoihin voidaan rajoittaa tietosuojalain 34 §:n mukaisilla perusteilla. Kyseisen lainkohdan mukaan oikeutta saada pääsy tietoihin ei ole esimerkiksi, jos tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille (34 §:n 1 mom. 2 kohta). Tässä tarkoitetun tapauksen kaltaisissa tilanteissa rekisteröidyn oikeutta ei voida rajoittaa kyseisen lainkohdan nojalla.

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjän kuvailema tapa toteuttaa yleisen tietosuoja-asetuksen 15 artiklan mukaista rekisteröidyn oikeutta puhelutallenteen toimittamisen osalta ei vastaa yleisen tietosuoja-asetuksen vaatimuksia, sillä yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös henkilötiedoista rekisteröidylle. Apulaistietosuojavaltuutettu kiinnittää tässä yhteydessä huomiota erityisesti siihen, että rajoituksia Euroopan unionin perusoikeuskirjan (2012/C 326/02) 8 artiklan 2 kohdan mukaiseen oikeuteen saada tutustua tietoihin tulee tulkita suppeasti.

Edellä selostetun perusteella apulaistietosuojavaltuutettu katsoo, ettei rekisterinpitäjän nykyinen toimintatapa 15 artiklan mukaisen oikeuden toteuttamisessa puhelutallenteiden osalta vastaa yleisen tietosuoja-asetuksen vaatimuksia.

Edellä selostetun mukaisesti henkilötietolaki olisi edellyttänyt rekisterinpitäjää toimittamaan rekisteröidyn pyytämät tiedot esimerkiksi litteroituna. Koska voimassa olevan yleisen tietosuoja-asetuksen nojalla rekisterinpitäjä voi toimittaa tiedot sähköisessä muodossa, voi rekisterinpitäjä kuitenkin harkintansa mukaan toimittaa jäljennöksen tiedoista myös muussa muodossa, kuten puhelinnauhoitteena.

INFORMOINTI PUHELUIDEN TALLENTAMISESTA

Asian käsittelyssä esille tulleiden seikkojen vuoksi apulaistietosuojavaltuutetun on arvioitava, onko rekisterinpitäjän toimintatapa puheluiden tallentamisen informoimisesta yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukainen.

Päätös

Rekisterinpitäjän nykyinen informointikäytäntö ei ole yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan riittävän läpinäkyvää, eikä se täytä siten edelleenkään yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan ja 13 artiklan mukaisia vaatimuksia.

Apulaistietosuojavaltuutettu määrää rekisterinpitäjän yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan nojalla muuttamaan käsittelytoimet puheluiden tallentamisen informoimisesta yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan säännösten mukaisiksi.

Apulaistietosuojavaltuutettu jättää rekisterinpitäjän harkintaan asianmukaiset toimenpiteet, mutta määrää toimittamaan selvityksen tehdyistä toimenpiteistä tietosuojavaltuutetun toimistoon 30.3.2020 mennessä.

Lisäksi apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaisen huomautuksen rekisterinpitäjän puheluiden tallentamista koskevan puutteellisen informoinnin johdosta.

Perustelut

Yleisen tietosuoja-asetuksen 13 artiklan mukaan rekisterinpitäjän on toimitettava rekisteröidylle 13 artiklan tarkoittamat tiedot silloin, kun henkilötietoja saadaan. Rekisteröidylle on muun muassa 13 artiklan 1 kohdan c alakohdan mukaan toimitettava tieto henkilötietojen käsittelyn tarkoituksista ja käsittelyn oikeusperusteesta.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan rekisterinpitäjän on käsiteltävä henkilötietoja lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Yleisen tietosuoja-asetuksen johdanto-osan 39 kappaleen mukaan luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa säädetään rekisterinpitäjän velvollisuudesta toteuttaa asianmukaiset toimenpiteet, jotta 13 artiklassa tarkoitetut tiedot toimitetaan rekisteröidyille muun muassa läpinäkyvässä ja helposti ymmärrettävässä muodossa.

Rekisterinpitäjä kertoo tallentavansa myyntipuhelusta erillisen äänikuitin, mikäli kuluttaja solmii sähkösopimuksen. Rekisterinpitäjän mukaan hakijalle ei ole kerrottu tallentamisen aloittamisesta, sillä hakija ei ollut solminut sähkösopimusta rekisterinpitäjän kanssa.

Saadun selvityksen perusteella apulaistietosuojavaltuutettu katsoo, ettei rekisterinpitäjä ole informoinut hakijaa puhelun tallentamisesta. Apulaistietosuojavaltuutettu kiinnittää asiaa koskevassa kokonaisarvioinnissaan huomiota siihen, että rekisterinpitäjä on tietosuojavaltuutetun toimiston selvityspyynnön jälkeen muuttanut puheluiden tallentamista koskevaa informointiaan verkkosivuillaan.

Rekisterinpitäjä on lisäselvityksessään selventänyt nykyistä toimintamalliaan ja kertonut ettei se tallenna myyntipuhelua, mikäli myyntitilanne ei johda sopimukseen. Näissä puheluissa jo aloitettu tallennus keskeytetään ja jo tallennettu keskustelu hävitetään automaattisesti. Näin ollen rekisterinpitäjä informoi rekisteröityä puhelun tallentamisesta ainoastaan, jos myyntipuhelu johtaa sopimukseen. Apulaistietosuojavaltuutettu huomauttaa, että puhelun tallentaminen on yleisessä tietosuoja-asetuksessa tarkoitettua henkilötietojen käsittelyä (kuten myös kumotussa henkilötietolaissa tarkoitettua henkilötietojen käsittelyä). Rekisterinpitäjän on siten informoitava rekisteröityä henkilötietojen keräämisestä.

Koska rekisterinpitäjä ei informoi rekisteröityä puhelun tallentamisen aloittamisen ajankohtana, sen menettely ei täytä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukaisia edellytyksiä. Näin ollen apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjän nykyinen informointikäytäntö ei ole yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan riittävän läpinäkyvää, eikä se täytä siten edelleenkään yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan ja 13 artiklan mukaisia vaatimuksia. Ottaen huomioon, että rekisterinpitäjä on jo ryhtynyt joihinkin toimenpiteiseen saattaakseen toimintansa yleisen tietosuoja-asetuksen mukaiseksi, apulaistietosuojavaltuutettu katsoo huomautuksen henkilötietojen käsittelyä koskevan määräyksen ohella riittäväksi seuraamukseksi asiassa.

SOVELLETUT LAINKOHDAT

EU:n yleinen tietosuoja-asetus (2016/679) 5 artikla 1 kohta a alakohta, 12 artikla 1, 2 ja 6 kohta, 13 artikla, 15 artikla 1 kohta a-h alakohdat, 3 ja 4 kohta, 58 artikla 2 kohta c ja d alakohdat

Tietosuojalaki (1050/2018) 34 § 1 mom. 2 kohta, 38 § 3 momentti

Henkilötietolaki (523/1999) 6 §, 9 §, 10 § 1 mom. 3 kohta, 24 § 1 mom. 26 § 1 mom., 28 §

Euroopan unionin perusoikeuskirja (2012/C 326/02) 8 artikla 2 kohta