henkilötietojen käsittely - puhelut - puheluiden tallentaminen - informointi

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	09.09.2020
Diaarinumero:	4930/163/2020

ASIA

Hakija on 18.6.2020 pyytänyt tietosuojavaltuutettua ryhtymään toimenpiteisiin luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) 13 artiklan mukaisen henkilötietojen käsittelyä koskevan oikeuden saada tietoa henkilötietojen käsittelystä toteuttamiseksi. Hakija kertoo, ettei rekisterinpitäjä informoi puheluiden tallentamisesta asiakaspuhelun alussa.

Hakijalta saatu selvitys

Hakija on saanut rekisterinpitäjältä puhelun, jonka alussa hakijalle ei ole kerrottu puhelun nauhoittamisesta. Hakija on tämän johdosta ollut yhteydessä rekisterinpitäjään ja tiedustellut rekisterinpitäjältä tallentaako se asiakaspuhelut, joita rekisterinpitäjä soittaa asiakkailleen. Hakijan toimittaman rekisterinpitäjän vastauksen mukaan rekisterinpitäjä tallentaa osan puheluistaan. Rekisterinpitäjä on vastauksessaan viitannut toimivansa sen verkkosivuilta löytyvän rekisteriselosteen mukaisesti ja tallentavansa puheluita koulutus- ja laadunvalvontatarkoitukseen. Rekisterinpitäjä ei tallenna jokaista puhelua ja poistaa tallenteet 3-6 kuukauden kuluessa.

Hakijan mukaan rekisterinpitäjän toimintatapa tallentamisen informoimisesta ei ole lainmukainen sillä rekisterinpitäjä ei kerro puhelun alussa puheluiden tallentamisesta.

Rekisterinpitäjältä saatu selvitys

Tietosuojavaltuutetun toimisto on pyytänyt rekisterinpitäjältä selvitystä 7.7.2020 päivätyllä selvityspyynnöllä. Rekisterinpitäjä on antanut selvityksensä 14.8.2020. Selvityksessään rekisterinpitäjä kertoo seuraavaa. Rekisterinpitäjä tallentaa puhelinmarkkinoinnissa käytyjä puheluita asiakkaiden oikeuksien suojaamiseksi sekä rekisterinpitäjän sekä asiakkaiden oikeuksien ja velvollisuuksien toteuttamiseksi. Rekisterinpitäjän puheluiden tallentaminen on lisäksi tarpeen sellaisten sopimusten täytäntöön panemiseksi, jossa rekisteröity on osapuolena, sekä rekisterinpitäjän ja asiakkaan oikeutettujen etujen toteuttamiseksi.

Rekisterinpitäjä säilyttää tallenteet 6 kuukauden ajan, minkä jälkeen ne tuhotaan automaattisesti. Tarvittaessa tallenteet voidaan merkitä arkistoiduksi, poistaa aktiivisista tiedoista tai poistaa järjestelmästä kokonaan jo aiemmin. Rekisterinpitäjän selvityksen mukaan puhelutallenteiden käsittely on oikeutettu vain selvittäessä asiakkaan kanssa tehdyn sopimuksen sisältöä tai mahdollisia epäselvyyksiä, selvitettäessä vastauksia reklamaatioon, selvitettäessä noudattaako työntekijä työtehtäviinsä kuuluvissa puheluissa säädöksiä ja työnantajan ohjeita, koulutettaessa ja opastettaessa henkilöstöä ja markkinoinitapahtuman laadun varmistamiseksi. Tallenteita saavat rekisterinpitäjän mukaan käsitellä vain ne henkilöt, joiden nimettyihin tehtäviin tallenteiden käsittely kuuluu.

Rekisterinpitäjä informoi asiakkaitaan puheluiden tallentamisesta puheluiden yhteydessä, verkkosivuilla sekä asiakaspalvelussaan noudattaen ASML:n puheluiden tallentamista koskevan ohjeistuksen suosituksia. Kun asiakas soittaa rekisterinpitäjälle, järjestelmä ilmoittaa asiakkaalle automaattisesti jo ennen puhelun yhdistämistä asiakaspalvelijalle, että puhelu tallennetaan. Kun rekisterinpitäjän henkilöstö soittaa asiakkaalle, ei soittaja aktiivisesti ilmoita puhelun tallentamisesta. Tieto tallennuksesta löytyy rekisterinpitäjän verkkosivuilta ja siitä ilmoitetaan keskustelun aikana sekä tiedusteltaessa että myös tilanteessa, jossa aihe nousee esiin ilman suoraa tiedustelua.

Hakijan vastine

Hakijalle ei ole varattu mahdollisuutta antaa vastine rekisterinpitäjän selvityksen johdosta, sillä vastineen antaminen olisi ollut hallintolain (434/2003) 34 §:n 1 momentin 5 kohdan mukaan asian käsittelyn kannalta ilmeisen tarpeetonta.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleinen tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan määriteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee hakijan asian yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta. Asiassa on kyse siitä, onko rekisterinpitäjän puheluiden tallentamista koskeva informaatio ollut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukainen.

APULAISTIETOSUOJAVALTUUTETUN PÄÄTÖS JA PERUSTELUT

Päätös

Rekisterinpitäjän asiakaspuheluiden tallentamista koskeva informointi ei ole yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukainen.

Määräys

Apulaistietosuojavaltuutettu määrää rekisterinpitäjän yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan nojalla saattamaan käsittelytoimet puheluiden tallentamista koskevasta informaatiosta yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukaiseksi.

Apulaistietosuojavaltuutettu jättää rekisterinpitäjän harkintaan asianmukaiset toimenpiteet, mutta määrää toimittamaan selvityksen tehdyistä toimenpiteistä tietosuojavaltuutetun toimistoon 27.10.2020 mennessä.

Perustelut

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan rekisterinpitäjän on käsiteltävä henkilötietoja lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 artiklan mukaiset tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.

Yleisen tietosuoja-asetuksen 13 artiklan mukaan silloin kun henkilötietoja kerätään rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle 13 artiklan tarkoittamat tiedot. Euroopan tietosuojaneuvoston läpinäkyvyyttä koskevassa ohjeessa (WP260 rev. 01, Asetuksen 2016/679 mukaista läpinäkyvyyttä koskevat suuntaviivat) todetaan, että 13 artiklan mukaiset tiedot on toimitettava ”silloin kun henkilötietoja saadaan”. Tietojen antaminen nopeasti ja ajoissa on tärkeä osa läpinäkyvyyttä koskevaa velvoitetta. (Asetuksen 2016/679 mukaista läpinäkyvyyttä koskevat suuntaviivat, s.16)

Läpinäkyvyyttä ei ole määritelty yleisessä tietosuoja-asetuksessa. Yleisen tietosuoja-asetuksen johdanto-osan 39 kappaleessa on kuitenkin todettu, että luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin sekä selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä.”

Yleisessä tietosuoja-asetuksessa ei ole säädetty tietojen toimittamisen muodoista ja muista yksityiskohdista. On kuitenkin selvää, että rekisterinpitäjän on otettava huomioon kaikki henkilötietojen keräämisen ja käsittelyn olosuhteet valitessaan tietojen toimittamisen asianmukaista tapaa ja muotoa. Asianmukaisia toimenpiteitä on arvioitava erityisesti tuotteen tai palvelun käyttäjän kokemuksen kautta. (Asetuksen 2016/679 mukaista läpinäkyvyyttä koskevat suuntaviivat, s. 15)

Yleisen tietosuoja-asetuksen läpinäkyvyysvaatimuksia sovelletaan tietojen käsittelyn koko elinkaaren ajan käsittelyn oikeusperusteesta riippumatta. Läpinäkyvyyden periaatetta sovelletaan ennen tietojen käsittelyn aloittamista tai aloittamishetkellä eli silloin, kun henkilötietoja kerätään. (Asetuksen 2016/679 mukaista läpinäkyvyyttä koskevat suuntaviivat, s. 6)

Hakija on kertonut saaneensa rekisterinpitäjältä puhelun, jonka alussa hakijalle ei ole kerrottu siitä, että puhelu nauhoitetaan. Rekisterinpitäjän selvityksen mukaan henkilöstön soittaessa rekisteröidylle, rekisterinpitäjä ei aktiivisesti ilmoita puhelun tallentamisesta. Rekisterinpitäjä ilmoittaa puhelun tallentamisesta kuitenkin keskustelun aikana.

Apulaistietosuojavaltuutettu toteaa olevan kiistatonta, että puhelutallenne sisältää yleisen tietosuoja-asetuksen 4 artiklan 1 kohdassa tarkoitettuja henkilötietoja. Korkein hallinto-oikeus on ratkaisussaan 30.7.2010 (2094/1/09), katsonut nauhalle tallentuneen äänen henkilötiedoksi. Vastaavasti Euroopan yhteisöjen ensimmäisen asteen tuomioistuin on 11.3.2009 katsonut asiassa T-166/05, että henkilö voidaan tunnistaa äänen perusteella (kappale 39), jolloin ääni katsotaan henkilötiedoksi. Yleisen tietosuoja-asetuksen voimaantulo ja soveltaminen ei ole muuttanut henkilötiedon määritelmää siten, että nauhalle tallentunutta ääntä henkilötietona tulisi arvioida toisin. Puhelun tallentaminen on siten yleisessä tietosuoja-asetuksessa tarkoitettua henkilötietojen käsittelyä.

Yleisen tietosuoja-asetuksen 13 artiklan mukaan henkilötietojen käsittelystä on kerrottava rekisteröidylle silloin kun henkilötietoja saadaan. Yleisen tietosuoja-asetuksen 12 artiklan mukaan 13 artiklan mukaiset tiedot on toimitettava muun muassa läpinäkyvästi. Jotta rekisteröity saisi läpinäkyvästi tietoa henkilötietojen käsittelystä, on rekisterinpitäjän toimitettava tieto käsittelystä ennen tietojen käsittelyn aloittamista tai aloittamishetkellä.

Rekisterinpitäjän soittaessa rekisteröidylle se aloittaa puhelun tallentamisen eli henkilötietojen käsittelyn jo puhelun alussa. Koska rekisterinpitäjä ei informoi rekisteröityä puhelun tallentamisen aloittamishetkellä vaan vasta keskustelun aikana, sen menettely ei täytä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaista henkilötietojen käsittelyn läpinäkyvän periaatetta. Rekisterinpitäjän puheluiden tallentamisen informointi ei täytä yleisen tietosuoja-asetuksen 12 artiklan 1 kohtaa eikä 13 artiklaa, sillä rekisterinpitäjä ei toimita 13 artiklan mukaisia tietoja henkilötietojen käsittelystä rekisteröidylle läpinäkyvässä muodossa.

Sovelletut lainkohdat

EU:n yleinen tietosuoja-asetus (2016/679) 4 artikla 1 kohta, 5 artikla 1 kohta a alakohta, 12 artikla 1 kohta, 13 artikla, 58 artikla 2 kohta d alakohta

Päätös on lainvoimainen.