äänitteet - nauhoitus - tarkastusoikeus - informointi

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	24.02.2021
Diaarinumero:	3343/163/20

Asia

Rekisteröidyn oikeus saada pääsy tietoihin ja informoiminen keskusteluiden tallentamisesta

Hakijoiden vaatimukset perusteluineen

Kaksi hakijaa ovat 30.4.2020 saattaneet tietosuojavaltuutetun toimistossa vireille asian, joka on koskenut rekisterinpitäjän nauhoittaman asunnon luovutuspalaveria koskevan tallenteen tarkastamista.

Toinen hakijoista on 26.3.2020 pyytänyt saada tutustua äänitteisiin, joita rekisterinpitäjällä on. Toinen hakijoista on ollut rekisterinpitäjälle osoitetun sähköpostiviestin kopionsaajana. Rekisterinpitäjä on 27.3.2020 vastannut hakijoille nauhoitteiden olevan osa todistusaineistoa. Toinen hakijoista on kertonut tietosuojavaltuutetun toimistolle tallentaneensa puhelunsa rekisterinpitäjän kanssa.

Rekisterinpitäjältä saatu selvitys

Asiassa on 11.1.2021 pyydetty selvitystä rekisterinpitäjältä. Rekisterinpitäjä on vastannut selvityspyyntöön 19.1.2021.

Annetussa selvityksessä rekisterinpitäjä on todennut tallentaneensa puhelimen ääninauhurilla hakijoiden urakan loppukatselmuksen, koska selvityksen mukaan oli syytä epäillä, että asiakas tulee esittämään perusteettomia vaatimuksia urakkaan liittyen. Rekisterinpitäjä on kertonut nauhurin olleen koko ajan rekisterinpitäjän toimitusjohtajan taskussa ja toimitusjohtajan olleen yksi nauhoitetun keskustelun osapuolista. Annetun selvityksessä on kerrottu, miten tallennetta säilytettään ja että tallenne on poistettu puhelimesta.

Annetussa selvityksessä on todettu tallenteen olevan tärkeä osa todistusaineistoa edelleen keskeneräisen riitatapauksen käsittelyssä, eikä rekisterinpitäjä luovuta tallennetta ennen käsittelyn päättymistä. Selvityksen päätteeksi on todettu, että tallenne tuhotaan, kun riita-asian käsittely on päättynyt ja että rekisterinpitäjä haluaisi vastaavat tiedot toisen hakijan äänittämän puhelutallenteen käsittelystä.

Hakijoiden vastine

Tietosuojavaltuutetun toimisto on 22.1.2021 varannut mahdollisuuden antaa vastine. Hakijat ovat 2.2.2021 saapuneessa vastineessaan todenneet, että hakijoille ei kerrottu missään vaiheessa äänittämisestä, äänitteiden käyttötarkoituksista eikä säilytysprosessista. Hakijoille on epäselvää, kuinka paljon nauhoitteita on. Hakijat ovat todenneet haluavansa tarkastaa äänitteet ja kyseenalaistavansa rekisterinpitäjän perustelut äänittää salaa tapaamisia ja keskusteluja.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleinen tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan määriteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Oikeudellinen kysymys

Tietosuojavaltuutettu arvioi ja ratkaisee hakijoiden asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain pohjalta. Asiassa on ratkaistava

1. onko rekisterinpitäjä toteuttanut pyynnön esittäneen hakijan esittämän yleisen tietosuoja-asetuksen 15 artiklan mukaisen pyynnön saada pääsy tietoihin; ja

2. onko rekisterinpitäjän asiakastapaamisten tallentamista koskeva informaatio ollut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukainen.

Lisäksi asiassa on ratkaistava, tuleeko asiassa käyttää tietosuojavaltuutetulle kuuluvia muita yleisen tietosuoja-asetuksen 58 artiklan mukaisia toimivaltuuksia.

Tietosuojavaltuutetun päätös ja perustelut

Oikeus saada pääsy tietoihin

Päätös

Rekisterinpitäjä ei ole toteuttanut pyynnön esittäneen hakijan yleisen tietosuoja-asetuksen 15 artiklan mukaista oikeutta saada pääsy tietoihin.

Määräys

Tietosuojavaltuutettu määrää rekisterinpitäjän yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan nojalla noudattamaan rekisteröidyn pyyntöä, joka koskee yleisen tietosuoja-asetukseen perustuvan 15 artiklan 1 kohdan mukaista rekisteröidyn oikeutta saada pääsy tietoihin ja toimittamaan pyynnön esittäneelle hakijalle tätä koskevat tiedot yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa ja 15 artiklan 3 kohdassa säädetyllä tavalla.

Perustelut

Tietosuojavaltuutettu toteaa ensinnäkin, että kysymyksenasettelua, joka koskee rekisteröidyn oikeutta saada pääsy tietoihin, on tallenteiden osalta arvioitu apulaistietosuojavaltuutetun 20.2.2020 antamassa päätöksessä asiassa 3021/452/2017.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten oikeuksien käyttämistä.

Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan, jonka mukaan oikeus saada jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin, joita tietosuoja-asetuksen johdanto-osan perustelukappaleen 63 mukaan ovat esimerkiksi liikesalaisuudet tai henkinen omaisuus ja erityisesti ohjelmistojen tekijänoikeudet, perusteella voidaan sinänsä kieltäytyä toimittamasta rekisteröidylle 15 artiklan 1 kohdan mukaisia tietoja. Kyseinen artiklan kohta ei kuitenkaan saisi johtaa yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleen nojalla siihen, ettei rekisteröidylle anneta minkäänlaista tietoa.

Yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan lisäksi oikeutta saada pääsy tietoihin voidaan rajoittaa tietosuojalain 34 §:n mukaisilla perusteilla. Kyseisen lainkohdan mukaan oikeutta saada pääsy tietoihin ei ole esimerkiksi,jos tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille (34 §:n 1 mom. 2 kohta). Tietosuojavaltuutettu kiinnittää tässä yhteydessä huomiota erityisesti siihen, että rajoituksia Euroopan unionin perusoikeuskirjan (2012/C 326/02) 8 artiklan 2 kohdan mukaiseen oikeuteen saada tutustua tietoihin tulee tulkita suppeasti.

Tietosuojavaltuutettu toteaa olevan kiistatonta, että tallenne asiakastapaamisesta sisältää yleisen tietosuoja-asetuksen 4 artiklan 1 kohdassa tarkoitettuja henkilötietoja. Korkein hallinto-oikeus on ratkaisussaan 30.7.2010 (2094/1/09) katsonut nauhalle tallentuneen äänen henkilötiedoksi. Vastaavasti Euroopan yhteisöjen ensimmäisen asteen tuomioistuin on 11.3.2009 katsonut asiassa T-166/05, että henkilö voidaan tunnistaa äänen perusteella (kohta 39), jolloin ääni katsotaan henkilötiedoksi. Yleisen tietosuoja-asetuksen voimaantulo ja soveltaminen ei ole muuttanut henkilötiedon määritelmää siten, että nauhalle tallentunutta ääntä henkilötietona tulisi arvioida toisin. Asiakastapaamisten tallentaminen on siten yleisessä tietosuoja-asetuksessa tarkoitettua henkilötietojen käsittelyä.

Rekisterinpitäjä on kertonut tallentaneensa keskustelun todistusaineistoksi keskeneräisen riitatapauksen käsittelyä varten, eikä rekisterinpitäjä luovuta tallennetta ennen käsittelyn päättymistä. Tietosuojavaltuutettu katsoo, että tallenteen toimittaminen jäljennöksenä ei vaikuta haitallisesti muiden oikeuksiin ja vapauksiin, kuten liikesalaisuuksiin. Annetun selvityksen perusteella rekisterinpitäjän toimitusjohtajan henkilötiedot ovat osa tallennetta. Tietosuojavaltuutettu on kumotun henkilötietolain mukaisessa ratkaisussaan (12.9.2013 dnro 2240/523/2013) katsonut, että puhelinkeskustelunauhoitteisiin sisältyy käytännössä aina myös toista henkilöä koskevia henkilötietoja, eikä tämän voida katsoa olevan esteenä tarkastusoikeuden toteuttamiselle. Tietosuojavaltuutettu katsoo siten, että asiassa ei ole tietosuojalain 34 §:n mukaisia perusteita rajoittaa oikeutta saada pääsy tietoihin esimerkiksi siksi, että tiedon antamisesta saattaisi aiheutua vakavaa vaaraa jonkun muun oikeuksille.

Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös henkilötiedoista rekisteröidylle. Kumottu henkilötietolaki olisi edellyttänyt rekisterinpitäjää toimittamaan rekisteröidyn pyytämät tiedot esimerkiksi litteroituna. Koska yleisen tietosuoja-asetuksen nojalla rekisterinpitäjä voi toimittaa tiedot sähköisessä muodossa, voi rekisterinpitäjä kuitenkin harkintansa mukaan toimittaa jäljennöksen tiedoista myös muussa muodossa, kuten nauhoitteena.

Asiassa on riidatonta, että tallennetta ei ole toimitettu pyynnön esittäneelle hakijalle tämän pyynnöstä huolimatta. Tietosuojavaltuutettu katsoo edellä todetusti, että pyynnöstä kieltäytymiselle ei ole esitetty yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan taikka tietosuojalain 34 §:n mukaisia perusteita. Näin ollen tietosuojavaltuutettu katsoo, ettei rekisterinpitäjä ole toteuttanut pyynnön esittäneen hakijan oikeutta saada pääsy tietoihin.

Informoiminen asiakastapaamisten tallentamisesta

Päätös

Rekisterinpitäjän asiakastapaamisten tallentamista koskeva informointi ei ole yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukainen.

Huomautus

Tietosuojavaltuutettu antaa rekisterinpitäjän yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan nojalla huomautuksen.

Perustelut

Tietosuojavaltuutettu toteaa, että tallentamisesta informoimista koskevaa kysymyksenasettelua on arvioitu apulaistietosuojavaltuutetun 9.9.2020 antamassa päätöksessä asiassa 4930/163/2020 sekä edellä mainitussa apulaistietosuojavaltuutetun 2.2.2020 antamassa päätöksessä asiassa 3021/452/2017.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan rekisterinpitäjän on käsiteltävä henkilötietoja lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 artiklan mukaiset tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä

muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.

Yleisen tietosuoja-asetuksen 13 artiklan mukaan silloin kun henkilötietoja kerätään rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle 13 artiklan tarkoittamat tiedot. Euroopan tietosuojaneuvoston läpinäkyvyyttä koskevassa ohjeessa (WP260 rev. 01) todetaan, että 13 artiklan mukaiset tiedot on toimitettava ”silloin kun henkilötietoja saadaan”. Tietojen antaminen nopeasti ja ajoissa on tärkeä osa läpinäkyvyyttä koskevaa velvoitetta.

Läpinäkyvyyttä ei ole määritelty yleisessä tietosuoja-asetuksessa. Yleisen tietosuoja-asetuksen johdanto-osan 39 perustelukappaleessa on kuitenkin todettu, että luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin sekä selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä.

Yleisessä tietosuoja-asetuksessa ei säädetä tietojen toimittamisen muodoista ja muista yksityiskohdista. On kuitenkin selvää, että rekisterinpitäjän on otettava huomioon kaikki henkilötietojen keräämisen ja käsittelyn olosuhteet valitessaan tietojen toimittamisen asianmukaista tapaa ja muotoa. Asianmukaisia toimenpiteitä on arvioitava erityisesti tuotteen tai palvelun käyttäjän kokemuksen kautta.

Yleisen tietosuoja-asetuksen läpinäkyvyysvaatimuksia sovelletaan tietojen käsittelyn koko elinkaaren ajan käsittelyn oikeusperusteesta riippumatta. Läpinäkyvyyden periaatetta sovelletaan ennen tietojen käsittelyn aloittamista tai aloittamishetkellä eli silloin, kun henkilötietoja kerätään.

Hakijat ovat kertoneet saaneensa rekisterinpitäjältä lähettämän sähköpostiviestin yhteydessä tiedon, että asunnon luovutuspalaveri hakijoiden kotona on äänitetty. Annetun selvityksen perusteella hakijoille ei ole palaverin yhteydessä ennen tallennuksen aloittamista kerrottu, että keskustelu nauhoitetaan.

Yleisen tietosuoja-asetuksen 13 artiklan mukaan henkilötietojen käsittelystä on kerrottava rekisteröidylle silloin kun henkilötietoja saadaan. Yleisen tietosuoja-asetuksen 12 artiklan mukaan 13 artiklan mukaiset tiedot on toimitettava muun muassa läpinäkyvästi. Jotta rekisteröity saisi läpinäkyvästi tietoa henkilötietojen käsittelystä, on rekisterinpitäjän toimitettava tieto käsittelystä ennen tietojen käsittelyn aloittamista tai aloittamishetkellä.

Asetuksen 2016/679 mukaista läpinäkyvyyttä koskevat suuntaviivat (annettu 29.11.2017, viimeksi tarkistettu ja hyväksytty 11.4.2018, Euroopan tietosuojaneuvoston 25.5.2018 hyväksymä).

Koska rekisterinpitäjä ei ole informoinut rekisteröityä asiakastapaamisten tallentamisen aloittamishetkellä, sen menettely ei täytä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaista henkilötietojen käsittelyn läpinäkyvyyden periaatetta. Rekisterinpitäjän asiakastapaamisten tallentamisen informointi ei täytä yleisen tietosuoja-asetuksen 12 artiklan 1 kohtaa eikä 13 artiklaa, sillä rekisterinpitäjä ei toimita 13 artiklan mukaisia tietoja henkilötietojen käsittelystä rekisteröidylle läpinäkyvässä muodossa.

Rekisterinpitäjä on 10.2.2021 puhelimitse tietosuojavaltuutetun toimistolle vahvistanut, että äänitteitä on ainoastaan yksi, joten asiakastapaamisten nauhoittaminen ei vaikuta olevan asiassa annetun selvityksen perusteella rekisterinpitäjän yleisesti käytössä oleva käsittelytoimi. Edellä todetun nojalla tietosuojavaltuutettu katsoo huomautuksen riittäväksi seuraamukseksi asiassa.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään hallinto-oikeuteen.

Päätös ei ole vielä lainvoimainen.

Tietosuojavaltuutetun ohjaus

Rekisterinpitäjä on antamassaan selvityksessä todennut haluavansa hakijoiden toimittavan vastaavat tiedot nauhoittamastaan puhelusta. Todettakoon, että yleisen tietosuoja-asetuksen 4 artiklan 7 kohdan mukaan ’rekisterinpitäjällä’ tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.

Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan c alakohdan mukaan tätä asetusta ei sovelleta henkilötietojen käsittelyyn, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.

Yksityishenkilö saa nauhoittaa sellaiset puhelut, joihin itse osallistuu joko soittajana tai vastaajana. Oman viestinnän taltioiminen on Suomen perustuslain mukaan mahdollista, eikä sitä ole kriminalisoitu myöskään viestinnän suojaa koskevissa rikoslain (39/1889) säännöksissä. Eri asia kuitenkin on, miten nauhoitteita aikoo jatkossa käyttää. Lisää tietoa puheluita koskevista yleisistä kysymyksistä on koottu tietosuojavaltuutetun toimiston kotisivuille: https://tietosuoja.fi/usein-kysyttya-puhelut.

Tähän tietosuojavaltuutetun ohjaukseen ei saa hakea muutosta valittamalla.