Rekisteröidyn oikeudet - Seuraamukset - Tunnistaminen - Tarkastusoikeus - Oikeus tietojen poistamiseen - Säilytysaika

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	21.4.2021
Diaarinumero:	2477/161/21

Asia

Tietosuojavaltuutetun toimistossa on ajalla 27.3.2017–20.5.2020 saatettu vireille useita asioita, joissa on ollut kysymys rekisterinpitäjän suorittamasta henkilötietojen käsittelystä. Suuressa osassa asioita hakija on pyytänyt saada pääsyä tietoihin (ns. tarkastusoikeus) ja/tai pyytänyt, että hänen henkilötietonsa poistetaan. Asiassa on lisäksi ollut kysymys siitä, mitä tietoja rekisterinpitäjä voi pyytää rekisteröidyltä näiden oikeuksien toteuttamiseksi. Rekisteröidyn on tullut toimittaa rekisterinpitäjälle tiedot muun muassa henkilötunnuksestaan ja osoitteestaan. Lisäksi asiassa on ollut kysymys siitä, voiko rekisterinpitäjä edellyttää rekisteröityä käyttämään tiettyä lomaketta oikeuksiensa toteuttamiseksi. Niin ikään kyseenalaistettu on se, että rekisterinpitäjä ei ole suostunut käsittelemään tehtyjä reklamaatioita ilman tietoa reklamaation tekijän osoitteesta. Kysymys on ollut myös siitä, että rekisterinpitäjä ei joidenkin hakijoiden mukaan ollut toimittanut hakijoille tietoa siitä, mistä heidän tietonsa oli hankittu. Rekisterinpitäjä ei liioin ollut lainkaan vastannut yhteen sille rekisterinpitäjän ohjeiden mukaisesti tehtyyn rekisteröidyn oikeutta koskevaan pyyntöön. Lisäksi asiassa on ollut kysymys siitä, että rekisterinpitäjä on kieltäytynyt poistamasta hakijoiden tietoja.

Seuraamuskollegion päätöksen kohteena olevat asiat

1077/452/2017

Hakija on 27.3.2017 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys sekä rekisteröidyn oikeudesta saada pääsy tietoihin että oikeudesta tietojen poistamiseen. Hakijan kertoman mukaan rekisterinpitäjä on jättänyt vastaamatta edellä tarkoitettuihin pyyntöihin.

3361/182/2018

Hakija on 18.6.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys sekä rekisteröidyn oikeudesta saada pääsy tietoihin että oikeudesta tietojen poistamiseen. Hakijan kertoman mukaan hän oli sittemmin saanut paperijäljennökset hänen ja rekisterinpitäjän välisestä sähköpostikirjeenvaihdosta sekä kuvat tuolloin tuoreimpiin tapauksiin liittyen. Lopulta hakija oli kertomansa mukaan saanut tiedot myös sähköisinä. Hakija ei kuitenkaan kertomansa mukaan ollut saanut vanhimpia tietojaan. Hakija ei kertomansa mukaan ollut saanut vahvistusta tietojen poistamisesta. Hakija on lisäksi kyseenalaistanut sen, että rekisteröidyn on täytettävä tietty lomake oikeuksiensa käyttämiseksi. Lomakkeella pyydetään hakijan mukaan tietoja, joita rekisterinpitäjällä ei ennestään ole.

3609/154/2018

Hakija on 25.6.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys rekisteröidyn oikeudesta tietojen poistamiseen. Rekisterinpitäjä ei ollut toteuttanut hakijan pyyntöä. Hakija on lisäksi kyseenalaistanut sen, että rekisteröidyn on toimitettava rekisterinpitäjälle tieto henkilötunnuksestaan edellä mainitun oikeutensa käyttämiseksi.

4959/182/2018

Hakija on 14.8.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys sekä rekisteröidyn oikeudesta saada pääsy tietoihin että oikeudesta tietojen poistamiseen. Hakija on lisäksi kyseenalaistanut sen, että rekisterinpitäjä oli kieltäytynyt käsittelemästä hakijan tekemää reklamaatiota ja rekisteröidyn oikeutta koskevia pyyntöjä, mikäli hakija ei toimittaisi rekisterinpitäjälle osoite- ja henkilötunnustietojaan.

5373/182/2018

Hakija on 27.8.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys siitä, että rekisterinpitäjä oli kieltäytynyt käsittelemästä hakijan tekemää reklamaatiota, mikäli hakija ei toimittaisi rekisterinpitäjälle tietoa osoitteestaan.

6175/154/2018

Hakija on 17.9.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys muun muassa rekisteröidyn oikeudesta saada pääsy tietoihin. Hakija oli pyytänyt rekisterinpitäjältä tietoa siitä, mistä hänen henkilötietonsa oli hankittu. Hakijan kertoman mukaan rekisterinpitäjä ei ollut vastannut hänen 11.6.2018 esittämäänsä pyyntöön saada pääsy tietoihin. Hakija oli tehnyt pyynnön rekisterinpitäjän verkkosivuilla olevalla lomakkeella. Koska hakija ei ollut saanut vastausta pyyntöönsä, oli hän soittanut rekisterinpitäjän asiakaspalveluun 3.8.2018, mistä huolimatta hakijalle ei ollut annettu tietoa siitä, mistä hänen tietonsa oli hankittu.

6569/182/2018

Hakija on 26.9.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys sekä rekisteröidyn oikeudesta saada pääsy tietoihin että oikeudesta tietojen poistamiseen. Hakija on lisäksi kyseenalaistanut sen, että rekisteröidyn on toimitettava rekisterinpitäjälle tieto henkilötunnuksestaan edellä mainittujen oikeuksiensa käyttämiseksi.

8321/154/2018

Hakija on 21.11.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys rekisteröidyn oikeudesta tietojen poistamiseen. Rekisterinpitäjä ei ollut käsitellyt hakijan pyyntöä. Rekisterinpitäjä oli vaatinut, että hakija täyttää verkkosivuiltaan löytyvän vakiomuotoisen lomakkeen, jossa pakollisena tietona vaaditaan henkilötunnustieto. Rekisterinpitäjä ei ollut perustellut vaatimustaan.

2669/154/2019

Hakija on 28.3.2019 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys rekisteröidyn oikeudesta tietojen poistamiseen. Rekisterinpitäjä ei ollut toteuttanut hakijan pyyntöä.

5390/152/2019

Hakija on 10.7.2019 saattanut asiamiehensä välityksellä tietosuojavaltuutetun toimistossa vireille asian, jossa on muun muassa ollut kysymys sekä rekisteröidyn oikeudesta saada pääsy tietoihin että oikeudesta tietojen poistamiseen. Hakija on kertonut, että rekisterinpitäjä ei ollut antanut hänelle pääsyä pyydettyihin tietoihin. Siitä huolimatta, että hakija oli jo toimittanut rekisterinpitäjälle kaikki asiassa tarvittavat tiedot, oli rekisterinpitäjä vaatinut, että hakija täyttää lomakkeen. Hakija oli pyytänyt rekisterinpitäjältä tietoa siitä, mistä hänen henkilötietonsa oli hankittu. Rekisterinpitäjä ei ollut vastannut hakijan esittämään kysymykseen.

4035/182/2020

Hakija on 20.5.2020 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys rekisteröidyn oikeudesta tietojen poistamiseen. Rekisterinpitäjä ei ollut toteuttanut hakijan pyyntöä. Hakija oli myös pyytänyt rekisterinpitäjältä tietoa siitä, mistä hänen henkilötietonsa oli hankittu. Hakijan sähköpostitse tehtyä reklamaatiota ei hakijan kertoman mukaan ollut hyväksytty. Hakija on kyseenalaistanut sen, että reklamointilomakkeella oli pyydetty tietoa hänen osoitteestaan.

Rekisterinpitäjältä saatu selvitys

Rekisterinpitäjältä on pyydetty selvitystä kustakin edellä luetellusta asiasta. Rekisterinpitäjä on antanut selvityksensä ajalla 28.4.2020–9.6.2020.

Hakijoiden pyynnöistä saada pääsy tietoihin

Annetuissa selvityksissä on todettu, että rekisterinpitäjä ei ole toteuttanut kaikkien hakijoiden pyyntöjä saada pääsy tietoihin. Perusteluna on esitetty, että rekisterinpitäjällä on oikeus kieltäytyä toimittamasta tietoja, jos se ei riittävällä tavalla pysty tunnistamaan rekisteröityä. Pyynnön epäämisen perusteena oli ollut pyynnön esittäjän riittämätön yksilöinti. Tehdyistä pyynnöistä oli useimmiten käynyt ilmi ainoastaan rekisteröidyn nimi sekä valvontamaksun asianumero. Rekisterinpitäjä ei ole pitänyt näitä tietoja riittävinä pyynnön esittäjän tunnistamiseksi.

Edelleen on todettu, että jos rekisterinpitäjällä on syytä epäillä pyynnön esittäjän henkilöllisyyttä, se voi pyytää tarkastuspyynnön esittäjää toimittamaan yksilöinnin kannalta tarpeelliset lisätiedot. Rekisterinpitäjä on pyytänyt hakijoita toimittamaan lisätietoja. Rekisterinpitäjällä on käytössään vakiomuotoinen lomake, joka rekisteröityä pyydetään täyttämään tietoihinsa päästäkseen. Lomakkeella rekisteröityä pyydetään ilmoittamaan kaikki ne tiedot, joiden rekisterinpitäjä on katsonut olevan tarpeen riittävän yksilöinnin kannalta. Hakijat eivät valtaosassa tapauksissa ole rekisterinpitäjän pyynnöstä huolimatta täyttäneet lomaketta tai antaneet yksilöinnin kannalta tarvittavia tietoja muillakaan tavoin. Lisätiedot voi tarvittaessa toimittaa myös postitse. Rekisterinpitäjä on todennut, että se voi toteuttaa hakijoiden pyynnöt nyt, mikäli hakijat asianmukaisesti täyttävät edellä mainitun lomakkeen tai muulla tavoin toimittavat asianmukaiset tiedot rekisterinpitäjälle.

Rekisterinpitäjän vaatimat tiedot

Annetussa selvityksessä on todettu, että rekisterinpitäjällä on käytössään vakiomuotoinen lomake sekä reklamaatioita että rekisteritietojen tarkastuspyyntöä varten. Lomakkeella pyydetään ilmoittamaan kaikki ne tiedot, joiden rekisterinpitäjä on katsonut olevan tarpeen riittävän yksilöinnin kannalta. Osoitetiedot on katsottu riittävän yksilöinnin kannalta tarpeellisiksi. Rekisterinpitäjä on ilmoittanut katsovansa olevan erittäin tärkeää, että se voi varmistua pyynnön esittäjän henkilöllisyydestä ja näin välttää tietojen päätymisen ulkopuolisten osapuolten käsiin. Osoitetiedot (sähköpostiosoite sekä postiosoite) ovat rekisterinpitäjän esittämän mukaan tarpeen, jotta rekisterinpitäjä voi toimittaa vastauksensa rekisteröidyn pyyntöön.

Annetuissa selvityksissä on niin ikään todettu, että rekisterinpitäjä pyytää rekisteritietojen tarkastuspyynnön esittäjältä tietoa tämän henkilötunnuksesta, jotta se voi riittävällä tavalla varmistua pyynnön esittäjän henkilöllisyydestä. Rekisterinpitäjällä on oikeus kieltäytyä toimittamasta tietoja, jos se ei riittävällä tavalla pysty tunnistamaan rekisteröityä. Jos rekisterinpitäjällä on syytä epäillä pyynnön esittäjän henkilöllisyyttä, se voi pyytää tarkastuspyynnön esittäjää toimittamaan yksilöinnin kannalta tarpeelliset lisätiedot.

Lomakkeella pyydetään seuraavia tietoja tarkastuspyynnön esittäjältä: valvontamaksun asianumero, etunimi, sukunimi, henkilötunnus, osoite (lähiosoite, postinumero ja postitoimipaikka) ja sähköpostiosoite. Lomakkeella pyydetään ilmoittamaan kaikki ne tiedot, joiden rekisterinpitäjä on katsonut olevan tarpeen riittävän yksilöinnin kannalta. Osoitetiedot (sähköpostiosoite sekä postiosoite) ovat tarpeen, jotta rekisterinpitäjä voi toimittaa vastauksensa rekisteröidyn pyyntöön.

Reklamaation yhteydessä reklamaation tekijän on ilmoitettava myös sen ajoneuvon rekisterinumero, jota reklamaatio koskee. Tämä on tarpeen, jotta rekisterinpitäjä voi varmistua siitä, että reklamaatio kohdistetaan oikeaan valvontamaksuun. Rekisterinpitäjä on katsonut, että se ei voisi riittävällä tavalla tunnistaa, mistä valvontamaksusta on kysymys pelkän asianumeron perusteella (seitsemän tai kymmenen numeroa pitkä sarja). Rekisterinumero on sellainen tieto, joka rekisterinpitäjällä on jo entuudestaan hallussaan. Rekisterinpitäjä saa pysäköinninvalvontaa suorittaessaan tiedon virheellisesti pysäköidyn ajoneuvon rekisterinumerosta. Tietyllä yksityisellä alueella virheellisesti pysäköidyt ajoneuvot valokuvataan.

Rekisteritietojen tarkastuspyynnön yhteydessä rekisterinpitäjä saa haltuunsa mahdollisesti myös sellaisia tietoja, joita sillä ei ennestään ole hallussa. Rekisterinpitäjä ei hanki käyttöönsä ajoneuvon omistajatietoja. Omistajatietojen selvittäminen on ulkoistettu kolmannelle (perintätoimintaa harjoittavalle XX Oy:lle). Henkilötietoja voi tulla rekisterinpitäjän tietoon myös mahdollisen reklamaatiokäsittelyn kautta, mikäli reklamaation tekevä taho tällaisia tietoja rekisterinpitäjälle luovuttaa. Rekisterinpitäjä tarvitsee edellä mainitut tiedot laillisten (lähinnä KKO:2010:23) saataviensa kotiuttamiseksi ja reklamaatiokäsittelyn asianmukaisen toteuttamisen turvaamiseksi. Rekisterinpitäjä on katsonut, että nämä tiedot ovat tarpeellisia, jotta se voi tunnistaa pyynnön esittäjän riittävällä tavalla sekä varmistaa oikeuksien toteutumisen.

Sekä rekisteritietojen tarkastuspyyntöä että reklamaatiota koskevat tiedot voi toimittaa tarvittaessa myös postitse. Rekisterinpitäjä on ilmoittanut katsovansa, että vaatimalla tietojen toimitusta lomakkeella se voi varmistua siitä, että kaikki reklamaation tai rekisteritietojen tarkastuspyynnön käsittelyn kannalta tarvittavat tiedot toimitetaan sille.

Mikäli valvontaviranomainen katsoo, että olisi tehokkaampi tapa todentaa yhteydenottajan henkilöllisyys, on rekisterinpitäjä antamassaan selvityksessä pyytänyt tätä asiaa koskevaa ohjeistusta, jotta se voi täsmentää nykyisiä käytäntöjään paremmin tieto-suojasääntelyä vastaavaksi.

Tietojen alkuperä ja käsittely

Annetuissa selvityksissä on todettu, että tietojen käsittelyn taustalla on pääasiallisesti ollut suorittamaton niin sanottu yksityisoikeudellinen valvontamaksu. Henkilötietojen käsittelyn on kerrottu perustuvan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan alakohtaan b ja f.

Rekisterinpitäjä saa pysäköinninvalvontaa suorittaessaan tiedon virheellisesti pysäköidyn ajoneuvon rekisterinumerosta. Tietyllä yksityisellä alueella virheellisesti pysäköidyt ajoneuvot valokuvataan. Rekisterinpitäjän asiakkaiden henkilötietoja voi tulla rekisterinpitäjän tietoon myös mahdollisen reklamaatiokäsittelyn kautta, mikäli reklamaation tekevä taho tällaisia tietoja rekisterinpitäjälle luovuttaa. Rekisterinpitäjä tarvitsee tiedot edellä mainittujen laillisten (lähinnä KKO:2010:23) saataviensa kotiuttamiseksi ja reklamaatiokäsittelyn asianmukaisen toteuttamisen turvaamiseksi.

Rekisterinpitäjä ei hanki käyttöönsä ajoneuvon omistajatietoja, vaan omistajatietojen selvittäminen on ulkoistettu kolmannelle (perintätoimintaa harjoittavalle XX Oy:lle). Rekisterinpitäjällä ei ole käytössään tällaisia tietoja. Rekisterinpitäjä luovuttaa virheellisesti pysäköityjen ajoneuvojen (so. ne ajoneuvot, joiden osalta valvontamaksua ei ole suoritettu) rekisterinumerotiedot XX Oy:lle. Muutoin rekisterinpitäjä luovuttaa asiakkaidensa henkilötietoja vain voimassa olevan oikeuden erikseen määrittelemissä tilanteissa.

Annetuissa selvityksissä on niin ikään todettu, että tietojen käsittelyn perusteena on pääasiallisesti yrityksen oikeutettujen etujen toteuttaminen, tarkemmin tarve oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Annetuissa selvityksissä on edelleen todettu, että rekisteröidyllä ei ole oikeutta saada tietojaan poistetuksi. Tietojen käsittelyn on todettu perustuvan myös rekisterinpitäjän lakisääteisten kirjanpitovelvoitteiden täyttämiseen.

Annetuissa selvityksissä on edelleen todettu, että tietojen alkuperä on julkisesti saata-villa rekisteripitäjän tietosuojaselosteella, johon rekisteröidyillä on mahdollisuus tutustua rekisterinpitäjän verkkosivuilla. Tietosuojaselosteen kohdassa 5 (Säännönmukaiset tietolähteet) on todettu seuraavasti: ”Rekisteriin merkitään ParkkiPate Oy:n henkilökuntaan kuuluvilta pysäköinninvalvojilta saadut yksityisoikeudellista valvontamaksua koskevat tiedot (mukaan lukien digitaaliset ajoneuvoista otetut kuvat). Lisäksi tietoja saadaan rekisteröidyiksi ilmoittautuvilta reklamaatioiden tekijöiltä”.

Tietojen säilyttäminen

Hakijoiden pyyntöjä tietojen poistamisesta ei ole toteutettu sillä rekisterinpitäjä on katsonut, että 1) rekisterinpitäjän lakisääteiset velvoitteet (kuten kirjanpitolaki) ja/tai mahdolliset oikeudelliset jatkotoimet ovat estäneet tietojen poistamisen. Hakijoiden tietoja on kerrottu säilytettävän niin kauan kuin se suinkin on mahdollista ja oikeasuhtaista (ks. etenkin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohta).

Hakijoiden tiedot tullaan säilyttämään valvontamaksujen osalta hakijoiden tietojen poistamista koskevasta pyynnöstä huolimatta kirjanpitolakiin perustuen (ks. yleisen tietosuoja-asetuksen 17 artikla 3 kohdan b alakohta). Kirjanpitolain 10 §:n 2 momentin mukaan kirjanpitoaineisto on säilytettävä vähintään kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi on päättynyt. Saatavien luonne ns. reaalisopimukseen perustuvina yksityisinä valvontamaksuina johtaa siihen, että rekisterinpitäjä säilyttää itsellään kirjanpitotarkoituksiin vastaajan ajoneuvosta otetut valvontakuvat sekä jäljennökset rekisteröidyille toimitetuista valvontamaksulomakkeista.

Edellä mainitun lisäksi osassa asioista on mahdollista, että rekisterinpitäjä tulee saattamaan kulloinkin kysymyksessä olevan valvontamaksusaatavan alioikeuden käsittelyyn (yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan e alakohta). Tällaisissa asioissa rekisterinpitäjä pitää kysymyksessä olevaa hakijaa maksuvelvollisena kysymyksessä olevaan valvontamaksuun vakiintuneen oikeuskäytännön perusteella, eikä hakijan reklamaatioillaan esiin tuomat seikat muuta rekisterinpitäjän käsitystä. Rekisterinpitäjä on todennut, että myöskään se, että valvontamaksu on suoritettu kolmannen toimesta, ei muuta rekisterinpitäjän käsitystä. Tuomioistuinkäsittelyyn rekisterinpitäjä tulee turvautumaan, kun se katsoo tällaisen käsittelyn ajankäytöllisesti ja kulukysymyksen näkökulmasta aiheelliseksi (huomaa ns. Access to Court -periaatteen negatiivinen puoli). Rekisterinpitäjä on ilmoittanut, että saatavan vanhentuminen tullaan estämään.

Kuuleminen

Rekisterinpitäjälle on 26.6.2020 varattu hallintolain (434/2003) 34 §:ssä tarkoitettu tilaisuus tulla kuulluksi sekä lausua mielipiteensä asiasta sekä antaa selityksensä sellaisista vaatimuksista ja selvityksistä, jotka saattavat vaikuttaa asian ratkaisuun. Rekisterinpitäjälle on samalla varattu mahdollisuus tuoda esiin sellaisia yleisen tietosuoja-asetuksen 83 artiklan 2 kohdassa tarkoitettuja seikkoja, jotka rekisterinpitäjän näkemyksen mukaan olisi otettava huomioon ratkaisua tehtäessä. Rekisterinpitäjä on antanut vastauksensa 28.7.2020. Seuraavassa esitetään rekisterinpitäjälle kuulemispyynnössä esitetyt kysymykset ja rekisterinpitäjän niihin antamat vastaukset. Selvyyden vuoksi on todettava, että kuulemispyynnön kohteena oli yhteensä 11 tietosuojavaltuutetun toimistolle tehtyä kantelua ajalla 27.3.2017–20.5.2020. Kaikissa kanteluissa ei ole ollut kysymys samoista oikeudellisista kysymyksistä. Asiat on kuitenkin hallintolain 5 luvun 25 §:ssä säädetysti valmisteltu yhdessä ja ratkaistu samalla kertaa.

Millä tavalla rekisterinpitäjä toimittaa rekisteröidyille yleisen tietosuoja-asetuksen 14 artiklassa tarkoitetut tiedot?

Kun virheellinen pysäköintitapahtuma havaitaan ja niin sanottu yksityisoikeudellinen valvontamaksu maksutietoineen jätetään virheellisesti pysäköidyn ajoneuvon tuulilasinpyyhkijän alle, rekisterinpitäjän edustaja valokuvaa virheellisesti pysäköidyn ajoneuvon, jolloin rekisterinpitäjä saa haltuunsa ainoana rekisteröityä koskevana henkilötietona rekisteröidyn ajoneuvon rekisteritunnuksen. Valokuvauksen hetkellä jokaiselle yksittäiselle virhepysäköintitapaukselle annetaan myös oma erillinen valvontamaksunumeronsa.

Laskutus- ja perintäpalvelua rekisterinpitäjän puolesta toteuttava XX Oy selvittää Liikenne- ja viestintävirasto Traficomilta kysymyksessä olevien rekisteritunnusten omaavien ajoneuvojen haltijat / ja tai omistajat, joihin suorittamattomien valvontamaksuasioiden perintätoimet kohdistetaan. Kuulemispyyntöön annetussa vastauksessa on todettu, että rekisterinpitäjä ei saa haltuunsa tällaisia haltijatietoja, jolloin sen hallussa on ainoastaan kutakin virheellisesti pysäköityä ajoneuvoa koskevat valvontavalokuvat (ml. ajoneuvon rekisteritunnus) sekä mahdollisesti myöhemmän reklamaatiokäsittelyn / tietosuojatiedusteluiden yhteydessä rekisterinpitäjälle toimitetut henkilötiedot.

Kuulemispyyntöön annetussa vastauksessa on todettu, että rekisterinpitäjä toimittaa yleisen tietosuoja-asetuksen 14 artiklassa edellytetyt tiedot seuraavasti: 1) ajoneuvon tuulilasinpyyhkijän alle jätettävällä valvontamaksulomakkeella (kuulemispyyntöön annetun vastauksen liite 1), 2) rekisterinpitäjän verkkosivuilla nähtävillä olevien tiedoin (muun muassa tietosuojasivusto, tietosuojaseloste ja yhteystiedot) ja 3) suorittamatta olevien valvontamaksujen kohdalla XX Oy:n toimittamin kirjein (kuulemispyyntöön annetun vastauksen liite 2).

Kuulemispyyntöön annetussa vastauksessa on edelleen todettu, että rekisteröidyksi ilmoittautuvan henkilön kääntyessä rekisterinpitäjän puoleen liittyen yleiseen tietosuoja-asetukseen perustuviin oikeuksiinsa taikka reklamoidakseen saamastaan valvontamaksusta, rekisterinpitäjä on keskittänyt käsittelyn verkkosivuiltaan löytyvään reklamaatiojärjestelmään sekä tietosuojatiedustelulomakkeeseen. Annetussa vastauksessa on esitetty reklamaatiojärjestelmän mahdollistavan sen, että reklamaatiota harkitseva henkilö saa reklamaatiojärjestelmän kautta pääsyn kaikkiin tiettyä valvontamaksua koskeviin tietoihin, mikäli hänellä on hallussaan valvontamaksunumero ja ajoneuvon rekisteritunnus.

Lopuksi tähän liittyen on todettu olevan yleistä, että henkilöt väittävät, että he eivät olisi pysäköineet tiettyä ajoneuvoa taikka vastaavasti joku toinen henkilö ilmoittaa olevansa vastuussa toisen henkilön ajoneuvon pysäköimisestä. Rekisterinpitäjä on esittänyt tämän tuovan tavanomaista suurempia haasteita tietosuoja-asioiden sekä reklamaatioiden asianmukaiseen hoitoon.

Mikäli edellä tarkoitetut tiedot toimitetaan rekisteröidyille verkkosivuiltanne löytyvän tietosuojaselosteen välityksellä, miten ja milloin rekisteröidyille annetaan tieto selosteesta?

Kuulemispyyntöön annetussa vastauksessa on kerrottu, että rekisteröidyksi itsensä esittävä henkilö saa tiedon rekisteriselosteesta, kun tämä henkilö vetoaa yleisellä tietosuoja-asetuksella säädettyihin oikeuksiinsa. Tällöin rekisterinpitäjä toimittaa tiedustelijalle niin sanotun tietosuojavastauksen, jossa annetaan tietoa rekisteröidyn oikeuksista sekä mainitaan muun muassa tietosuojaseloste (kuulemispyyntöön annetun vastauksen liite 3). Vastauksessa on lisäksi todettu, että maininta tietosuojaan liittyvistä oikeuksista voidaan sisällyttää valvontamaksulomakkeeseen ja / tai XX Oy:n perintäkirjeisiin, mikäli tietosuojavaltuutettu katsoo sen tarkoituksenmukaiseksi.

Kuinka moni rekisteröity on ilmaissut halukkuutensa saada pääsy omiin tietoihinsa henkilötunnustaan tai jotakin muuta vaadittua tietoa teille kuitenkaan luovuttamatta. Toisin sanoen, kuinka moni rekisteröity ei ole saanut pääsyä omiin tietoihinsa sen vuoksi, että ette ole suostunut käsittelemään tehtyä pyyntöä ilman vaadittuja tietoja (ajalla 25.5.2018→)?

Rekisterinpitäjä on vastauksenaan ilmoittanut tällaisia tapauksia olevan kaikkiaan 11 kappaletta.

Kuinka monta tarkastusoikeutta koskevaa pyyntöä olette suostuneet käsittelemään ajalla 25.5.2018 →?

Rekisterinpitäjä on vastauksenaan ilmoittanut tällaisia tapauksia olevan kaikkiaan 236 kappaletta.

Kuinka monta tietojen poistoa koskevaa pyyntöä olette jättäneet käsittelemättä sillä perusteella, että teille ei ole annettu vaatimianne tietoja?

Rekisterinpitäjä on vastauksenaan ilmoittanut tällaisia tapauksia olevan kaikkiaan 28 kappaletta.

Kuinka monta reklamaatiota olette jättäneet käsittelemättä sillä perusteella, että teille ei ole annettu vaatimianne tietoja (25.5.2018 →)?

Annetussa vastauksessa on todettu, että käytettävissä olevat keinot eivät mahdollista kysymykseen vastaamista.

Kuinka moni sellainen reklamoitu yksityisoikeudellinen pysäköinninvalvontamaksu on lopulta maksettu, jota koskevaa reklamaatiota ette ole suostuneet käsittelemään (25.5.2018 →)?

Annetussa vastauksessa on todettu, että käytettävissä olevat keinot eivät mahdollista kysymykseen vastaamista. Rekisterinpitäjä on lisäksi esittänyt näkemyksenään, että tietosuojaa koskeviin oikeuksiin vetoaminen ei vapauta sen mahdollisia velallistahoja ratkaisuun KKO:2010:23 perustuvasta velvollisuudesta suorittaa rekisterinpitäjän avoin saatava.

Kuinka monelle eri henkilölle olette antaneet yksityisoikeudellisen pysäköinninvalvontamaksun 25.5.2018 lukien?

Annetussa vastauksessa on todettu, että käytettävissä olevat keinot eivät mahdollista kysymykseen vastaamista. Rekisterinpitäjä ei ilmoittamansa mukaan tilastoi kulloinkin valvontamaksujen kohteena olevia henkilöitä, vaan valvontamaksujen kappalemääriä. Tietyille ajoneuvoille saatetaan määrätä useampia valvontamaksuja ja tietyt henkilöt saavat valvontamaksuja useammille eri ajoneuvoille. Rekisterinpitäjällä ei kertomansa mukaan ole hallussaan kuin ajoneuvojen rekisteritunnukset eikä pyydetyn kaltaista tilastointia ole tehty.

Rekisterinpitäjälle on varattu myös mahdollisuus kertoa kuulemispyynnössä arvioiduista yleisen tietosuoja-asetuksen rikkomisista suoraan tai välillisesti saaduista mahdollisista taloudellisista eduista tai rikkomisilla vältetyistä tappioista.

Rekisterinpitäjä ei näkemyksensä mukaan ole rikkonut yleistä tietosuoja-asetusta. Mikäli kuitenkin valvontaviranomainen katsoisi näin tehdyn, on rekisterinpitäjä ilmoittanut olevansa vakaasti sitä mieltä, että mahdollisesta rikkomuksesta ei ole saatu minkäänlaista taloudellista etua. Kuulemispyyntöön annetussa vastauksessa on edelleen todettu, että yleisen tietosuoja-asetuksen tarkka noudattaminen on pikemminkin sitonut resursseja ja aiheuttanut yhtiölle merkittäviä kustannuksia.

Rekisterinpitäjä on ilmoittanut katsovansa, että kaikki sen saatavat ovat perusteltuja ja perustuslailla taatun omaisuuden suojan turvaamia. Rekisterinpitäjä on edelleen esittänyt näkemyksenään, että niin sanotun tarkastusoikeuden käyttäminen taikka tietojen poistaminen ei tavalla eikä toisella mitätöi rekisterinpitäjän avoimia saatavia.

Tieto ParkkiPate Oy:n kanssa samaan konserniin kuuluvien yhtiöiden yhteenlasketusta vuotuisesta liikevaihdosta vuodelta 2019 (jos vuoden 2019 tietoa ei ole saatavilla, arvio tällaisesta tiedosta sekä tieto vuoden 2018 vastaavasta luvusta).

ParkkiPate Oy:n (2707938-8) kanssa samaan konserniin kuuluvat APV Alueellinen Pysäköintivalvonta Oy (2333789-6) ja Suomen Aluevalvonta Oy (2328319-7). Mainittujen yhtiöiden yhteen-laskettu vuotuinen liikevaihto vuodelta 2019 on kokonaisuudessaan 12.367.668,07 euroa.

Rekisterinpitäjän muu vastaus kuulemispyyntöön

Kuulemispyyntöön antamassaan vastauksessa rekisterinpitäjä on ilmoittanut, että sillä ei ole minkäänlaista intressiä toimia vastoin tietosuojalainsäädäntöä. Mikäli valvontaviranomainen katsoo, että olisi olemassa rekisteröityjen tietosuojaa paremmin turvaava tapa todentaa kunkin rekisterinpitäjään yhteyttä ottaneen henkilön henkilöllisyys, on rekisterinpitäjä ilmoittanut pyytävänsä valvontaviranomaiselta asiaa koskevaa ohjeistusta täsmentääkseen nykyisiä käytäntöjään.

Selvyyden vuoksi rekisterinpitäjä on korostanut sillä olevan lähtökohtaisesti hallussaan vain ajoneuvonsa väärin pysäköineiden henkilöiden ajoneuvojen rekisteritunnukset. Rekisterinpitäjä on edelleen korostanut saavansa muita henkilötietoja haltuunsa reklamaatioiden ja tietosuojapyyntöjen kautta. Rekisterinpitäjä on lisäksi todennut, että tällaisten yhteydenottajien suhde rekisterinpitäjän ja sen asiakkaan väliseen sopimussuhteeseen on epävarma. Rekisterinpitäjä on viitannut korkeimman oikeuden ratkaisuun KKO:2010:23 ja todennut, että tämän ratkaisun mukaan rekisterinpitäjän sopimuskumppani on tietyn ajoneuvon virheellisesti pysäköinyt henkilö.

Rekisterinpitäjä on esittänyt näkemyksenään, että se on menetellyt nyt kysymyksessä olevissa asioissa asianmukaisesti ja voimassa olevan tietosuojalainsäädännön edellyttämällä tavalla. Rekisterinpitäjä on kertonut reagoineensa kaikkiin sille asianmukaisesti tehtyihin tietosuojapyyntöihin.

Oikeudesta saada pääsy tietoihin

Kuulemispyyntöön annetussa vastauksessa on viitattu yleisen tietosuoja-asetuksen 12 artiklan 2 kohtaan, jossa on säädetty, että rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Edelleen on säädetty, että 11 artiklan 2 kohdassa tarkoitetuissa tapauksissa rekisterinpitäjä ei saa kieltäytyä toimimasta rekisteröidyn pyynnöstä tämän 15–22 artiklan mukaisten oikeuksien käyttämiseksi ellei rekisterinpitäjä osoita, ettei se pysty tunnistamaan rekisteröityä. Saman artiklan 6 kohdan mukaan puolestaan, jos rekisterinpitäjällä on perusteltua syytä epäillä 15–21 artiklan mukaisen pyynnön tehneen luonnollisen henkilön henkilöllisyyttä, rekisterinpitäjä voi pyytää toimittamaan lisätiedot, jotka ovat tarpeen rekisteröidyn henkilöllisyyden vahvistamiseksi, sanotun kuitenkaan rajoittamatta 11 artiklan soveltamista. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan mukaan taas henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (”tietojen minimointi”).

Rekisterinpitäjä on esittänyt näkemyksenään, että sillä on oikeus kieltäytyä toimittamasta tietoja, jos se ei pysty riittävällä tavalla tunnistamaan rekisteröityä. Rekisterinpitäjä on ilmoittanut, että tarkastusoikeutta koskevan pyynnön epäämisen perusteena on kussakin tapauksessa ollut pyynnön esittäjän riittämätön yksilöinti. Asioissa, joissa pääsyä tietoihin ei ole sallittu, rekisteröidyn esittämästä pyynnöstä on käynyt ilmi ainoastaan rekisteröidyn nimi sekä valvontamaksun asianumero. Rekisterinpitäjä ei ole pitänyt näitä tietoja riittävinä pyynnön esittäjän tunnistamiseksi. Tietosuojalomakkeella on pyydetty muun muassa henkilötunnusta ja osoitetietoa. Rekisterinpitäjän esittämän näkemyksen mukaan pyydetyt tiedot vastaavat aiemmin voimassa olleen henkilötietolain aikaista käytäntöä. Reklamaatiojärjestelmässä on pyydetty valvontamaksun numeroa sekä ajoneuvon rekisteritunnusta, eikä henkilötunnusta ole edellytetty. Tämä on johtunut siitä, että tietoturvan kannalta ei ole varsinaista merkitystä sillä, kuka rekisterinpitäjälle kulloinkin reklamoi, mutta ulkopuolisille ei voida tietosuojakyselyiden kautta antaa kolmansien henkilötietoja. Rekisterinpitäjä on esittänyt, että henkilötunnuksen pyytämisellä on pyritty varmistamaan se, että pyynnöt ovat aitoja, ja että niiden asianmukaisuus voidaan ainakin jälkikäteen selvittää ilmoitettua henkilötunnusta käyttäen, mikäli esimerkiksi valvontaviranomainen selvittäisi tietojen joutumista mahdollisesti vääriin käsiin.

Valvontamaksuasioita on kerrottu olevan tuhansia, mistä johtuen pelkkä ilmoitettu nimi ja valvontamaksun asianumero eivät rekisterinpitäjän näkemyksen mukaan takaa sitä, että rekisteröidyn oikeuksia koskeva pyyntö voidaan kohdistaa oikeaan ja riittävästi yksilöityyn rekisterinpitäjän sopimusosapuoleen. Edelleen on esitetty, että rekisteröidyksi itseään väittävän nimi voi olla luonteeltaan hyvin yleinen (”Matti Virtanen”) ja asianumeron sisältämän valvontamaksulomakkeen on voinut saada tietyn ajoneuvon tuulilasinpyyhkijän alta ilkivaltatarkoituksissa. Rekisterinpitäjä on todennut olevansa sopimussuhteessa nimenomaan tietyn ajoneuvon pysäköineen henkilön kanssa (ks. KKO:2010:23), jolloin rekisterinpitäjän on asioitava juuri tämän henkilön kanssa. Mitään valmista sopimusdokumentaatiota tai muuta vastaavaa ei ole olemassa, jonka perusteella rekisterinpitäjä voisi yhdistää tietosuojapyynnön tehneen henkilön ajoneuvon pysäköinnistä vastaavaan (lähes aina tuntematon) henkilöön. Kun tämä osapuolten välisen sopimussuhteen erityisluonne otetaan huomioon, rekisterinpitäjän tietosuoja-asioiden käsittelyssä pyytämiä tietoja voidaan rekisterinpitäjän esittämän näkemyksen mukaan pitää oikeasuhteisina ja tarpeellisina, jotta yleisen tietosuoja-asetuksen tarkoitusperät eivät vaarannu, ja että tietoja ei luovuteta muille kuin niihin oikeutetuille.

Rekisterinpitäjä on pitänyt menettelyään ainoana mahdollisena, jolla se voi varmistaa myös oman oikeusturvansa. Rekisterinpitäjä on esittänyt näkemyksenään, että verkkolomakkeen tulee olla tietosisällöltään siinä määrin laaja, että vain ja ainoastaan todelliseen oikeussuhteeseen perustuvat tietosuojapyynnöt tulevat käsiteltäviksi, eikä rekisterinpitäjä anna valheellisiin pyyntöihin liittyen tai epähuomiossa ulos henkilötietoja muille kuin rekisteröidyille sopimusosapuolilleen. Rekisterinpitäjä on edelleen esittänyt pitävänsä osoitetietoja (sähköpostiosoite sekä postiosoite) tarpeellisina, jotta se voi tarvittaessa toimittaa vastauksensa postitse rekisteröidyn tietosuojaa koskevaan pyyntöön.

Reklamaation yhteydessä on ilmoitettava myös sen ajoneuvon rekisteritunnus, jota reklamaatio koskee. Rekisterinpitäjä on pitänyt tätä tarpeellisena kohdistaakseen reklamaation oikeaan valvontamaksuun. Rekisterinpitäjä on katsonut, että se ei voisi riittävällä tavalla tunnistaa, mistä valvontamaksusta on kysymys pelkän asianumeron perusteella. Tieto rekisteritunnuksesta on sellainen tieto, joka rekisterinpitäjällä on jo entuudestaan hallussaan. Rekisterinpitäjä on ilmoittanut myös reklamaatiokäsittelyssä vaativansa osoitetiedon ilmoittamista, jotta se voi riittävällä tavalla varmistua reklamaation tekijän henkilöllisyydestä. Reklamaatiovastaus voi rekisterinpitäjän mukaan olla tarpeen toimittaa asiakkaalle myös postitse.

Lopuksi rekisterinpitäjä on ilmoittanut, että reklamaatiokäsittelyssä se ei vaadi tietoa henkilötunnuksesta. Rekisterinpitäjä on ilmoittanut nyt luopuvansa edellyttämästä henkilötunnusta tietosuojalomakkeellaan. Rekisterinpitäjä on tässä yhteydessä ilmaissut huolensa siitä, saadaanko tiedot kussakin yksittäistapauksessa aina toimitettua vain ja ainoastaan niihin oikeutetuille.

Tietojen säilytyksen rajoittaminen ja tietojen poistaminen

Kuulemispyyntöön annetussa vastauksessa on edelleen todettu, että rekisteröityjen pyyntöä henkilötietojen rajoittamisesta tai poistamisesta ei ole toteutettu, sillä rekisterinpitäjän esittämän näkemyksen mukaan sen velvoitteet (kuten kirjanpitolaki) sekä mahdolliset oikeudelliset jatkotoimet ovat estäneet tietojen poiston. Rekisterinpitäjä on ilmoittanut säilyttävänsä rekisteröityjen henkilötietoja niin kauan kuin se suinkin on mahdollista ja oikeasuhtaista. Tässä yhteydessä rekisterinpitäjä on viitannut erityisesti yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohtaan.

Annetussa vastauksessa on lisäksi todettu, että rekisteröityjen tiedot tullaan säilyttämään valvontamaksun osalta rekisteröityjen esittämistä pyynnöistä huolimatta kirjanpitolakiin perustuen. Tässä yhteydessä rekisterinpitäjä on viitannut yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan b alakohtaan. Rekisterinpitäjä on viitannut myös kirjanpitolain 2 luvun 10 §:n 2 momenttiin. Saatavien luonne niin sanottuina reaalisopimukseen perustuvina yksityisinä valvontamaksuina johtaa siihen, että rekisterinpitäjä säilyttää kirjanpitotarkoituksiin rekisteröityjen ajoneuvoista otetut valvontakuvat sekä jäljennökset rekisteröidyille toimitetuista valvontamaksulomakkeista. Rekisterinpitäjä on ilmoittanut, että säilytetyt tiedot poistetaan, kun kirjanpidollisia perusteita tietojen säilyttämiseen ei ole.

Rekisterinpitäjä on niin ikään ilmoittanut olevan mahdollista, että se tulee saattamaan po. valvontamaksusaatavat alioikeuden käsiteltäväksi. Tässä yhteydessä on viitattu yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan e alakohtaan. Edelleen on todettu, että vakiintuneen oikeuskäytännön perusteella rekisterinpitäjä pitää hakijoita maksuvelvollisina kysymyksessä oleviin valvontamaksusaataviin nähden. Hakijoiden reklamaatioillaan esiin tuomat seikat eivät rekisterinpitäjän mukaan muuta sen edellä mainittua käsitystä. Rekisterinpitäjä on ilmoittanut turvautuvansa tuomioistuinmenettelyyn silloin, kun se katsoo tällaisen käsittelyn ajankäytöllisesti ja kulukysymyksen näkökulmasta aiheelliseksi. Rekisterinpitäjä on ilmoittanut viime vuosina saattaneensa tuhansia asioita alioikeuksien käsiteltäväksi. Edelleen on kerrottu, että käytännön realiteetit ja aiemmin vallinneen oikeustilan epäselvyys ovat johtaneet siihen, että kaikkia suorittamattomia saatavia ei vielä ole saatettu oikeudelliseen perintään, mutta rekisterinpitäjän mukaan niitä saatetaan kulloinkin käytettävissä olevien resurssien puitteissa jatkuvasti vireille.

Rekisterinpitäjä on esittänyt näkemyksenään, että Access to Court -periaate ja tehokkaiden oikeussuojakeinojen olemassaolon vaatimus takaavat sen, että rekisterinpitäjää ei voi sitoa minkäänlainen määräaika sen suhteen, missä ajassa sen on saatettava saatavaansa koskeva asia tuomioistuinkäsittelyyn (kunhan saatava ei ole vanhentunut). Rekisterinpitäjä on edelleen esittänyt näkemyksenään, että sillä on täysin perusteltu oikeus olla poistamatta tiettyyn valvontamaksuun liittyviä rekisteröityjen tietoja, mikäli tällaisia tietoja tullaan käyttämään osana riita-asian oikeudenkäyntiä, muun muassa tiettyä ajoneuvoa kuljettaneen henkilön identiteettiä selvitettäessä. Rekisterinpitäjä on edelleen esittänyt näkemyksenään, että tietojen käsittelyn rajoittaminen ei myöskään tule kysymykseen tällaisissa tapauksissa. Lopuksi on vielä todettu, että tietoja tarvitaan rekisterinpitäjän käyttämien oikeudenkäyntiasiamiesten toimintaan.

Tietojen minimoinnin periaate

Rekisterinpitäjä on korostanut käsittelevänsä vain ja ainoastaan toimintansa kannalta tarpeellisia ja olennaisia tietoja. Rekisterinpitäjä on lisäksi huomauttanut, että virheelliseksi arvioitu rekisterinpitäjän toimintamalli koskee rekisterinpitäjän esittämän näkemyksen mukaan hyvin rajallista rekisteröityjen joukkoa.

Seuraamuskannanotto

Kuulemispyyntöön antamassaan vastauksessa rekisterinpitäjä on ilmoittanut ilman aiheetonta viivästystä saattavansa nykyiset menettelytapansa voimassa olevan tietosuojasääntelyn mukaisiksi, mikäli tällaisten menettelytapojen katsotaan tavalla tai toisella olevan tietosuojalainsäädännön vastaisia. Rekisterinpitäjä on todennut, että sillä ei ole minkäänlaista taloudellista tai muutakaan intressiä olla noudattamatta voimassa olevaa lainsäädäntöä. Rekisterinpitäjä on ollut siinä uskossa, että se noudattaa voimassa olevaa sääntelyä, ja se on kertomansa mukaan pyrkinyt olemaan huolellinen tietosuojaa koskevissa asioissa.

Rekisterinpitäjä on ilmoittanut vastustavansa siihen kohdistuvien korjaavien toimivaltuuksien käyttämistä, ja etenkin niin sanotun hallinnollisen sakon määräämistä. Annetussa vastauksessa on todettu rekisterinpitäjän olevan suomalainen pienyritys, jonka hallussa on lähinnä sen ydintoiminnassa tarvittavia väärin pysäköityjen ajoneuvojen rekisteritunnuksia. Rekisterinpitäjä on esittänyt näkemyksenään, että edellä mainittuihin mahdollisesti liittyviä oikeuksia ei voida pitää tietosuojalainsäädännön ydinalueelle kuuluvana asiana. Edelleen on esitetty, että reklamaatiokäsittelyn yhteydessä taikka tietosuojalainsäädännön tarjoamien oikeuksien muodossa kerättävät henkilötiedot eivät liity rekisterinpitäjän ydinliiketoimintaan. Rekisterinpitäjä on katsonut tällaisten tietojen nykyisessä muodossaan kuitenkin olevan tarpeellisia sekä rekisterinpitäjän oman, että siihen yhteydessä olevien yksityishenkilöiden ja kolmansien oikeusturvan kannalta.

Lopuksi rekisterinpitäjä on esittänyt näkemyksenään olevan yleisesti tunnettua, että valvontaviranomainen aluksi lähestyy rekisterinpitäjiä ohjaten ja mahdollisissa rikkomustilanteissakin lievemmästä päästä olevien sanktioiden muodossa. Rekisterinpitäjä on todennut nyt käsillä olevan asian olevan ensimmäinen yleisen tietosuoja-asetuksen aikainen sitä koskeva valvonta-asia, mistä johtuen rekisterinpitäjä pitää hallinnollisen seuraamusmaksun uhkaa kohtuuttomana ja ennalta arvaamattomana.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan määriteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Oikeudelliset kysymykset tietosuojavaltuutetun päätöksissä

Tietosuojavaltuutettu on arvioinut ja ratkaissut hakijoiden edellä mainitut asiat yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta.

Hakijoiden asioissa ratkaistavana ovat olleet seuraavat oikeudelliset kysymykset:

1) onko rekisterinpitäjä reklamaatioiden yhteydessä suorittamansa henkilötietojen käsittelyn yhteydessä noudattanut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin periaatetta ja 25 artiklan 2 kohdassa säädettyä;

2) ovatko rekisterinpitäjän rekisteröidyn tunnistamista koskevat toimintatavat rekisteröidyn oikeuksien toteuttamisessa yleisen tietosuoja-asetuksen 12 artiklan 2 ja 6 kohdassa, 5 artiklan 1 kohdan c alakohdassa sekä 25 artiklan 2 kohdassa säädetyn mukaisia;

3) onko rekisterinpitäjällä ollut hyväksyttävä peruste evätä hakijoiden tekemät pyynnöt saada pääsy tietoihin ja/tai onko rekisterinpitäjä toteuttanut hakijoiden oikeuden saada pääsy tietoihin yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa ja 15 artiklassa säädetyn mukaisesti;

4) onko rekisterinpitäjällä ollut yleisen tietosuoja-asetuksen 17 artiklan 3 kohdassa säädetty peruste evätä hakijoiden pyynnöt oikeudesta tietojen poistamiseen; ja

5) onko rekisterinpitäjä toimittanut hakijoille yleisen tietosuoja-asetuksen 14 artiklassa tarkoitetut tiedot yleisen tietosuoja-asetuksen 14 artiklan 3 kohdassa säädetyn mukaisesti.

Tietosuojavaltuutettu on lisäksi arvioinut, onko rekisterinpitäjälle tullut antaa yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukainen määräys saattaa käsittelytoimensa yleisen tietosuoja-asetuksen säännösten mukaisiksi. Tietosuojavaltuutetun on ollut niin ikään arvioitava, onko asiassa tullut käyttää muita yleisen tietosuoja-asetuksen 58 artiklassa säädettyjä korjaavia toimivaltuuksia.

Tietosuojavaltuutetun päätökset

Rekisterinpitäjä ei ole noudattanut reklamaatioiden yhteydessä suorittamassaan henkilötietojen käsittelyssä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin vaatimusta eikä yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa säädettyä.

Rekisterinpitäjä ei ole noudattanut seuraavia yleisen tietosuoja-asetuksen kohtia: 1) 12 artiklan 3, 4 ja 6 kohta; 2) 5 artiklan 1 kohdan c alakohta ja 25 artiklan 2 kohta; 3) 15 artikla; 4) 5 artiklan 1 kohdan e alakohta ja 14 artiklan 2 kohdan a alakohta; 5) 14 artiklan 3 kohta; ja 6) 17 artiklan 1 kohdan a alakohta.

Määräys

1) Tietosuojavaltuutettu on antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen saattaa reklamaatioiden yhteydessä suorittamansa henkilötietojen käsittely yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa ja 25 artiklan 2 kohdassa säädetyn mukaiseksi.

2) Tietosuojavaltuutettu on antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen muuttaa rekisteröidyn tunnistamista koskevan käytäntönsä yleisessä tietosuoja-asetuksessa säädetyn mukaiseksi.

3) Tietosuojavaltuutettu on antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaisen määräyksen noudattaa hakijan pyyntöä oikeudesta saada pääsy tietoihin (asiat 5390/152/19, 4959/182/2018 ja 1077/452/17)

4) Tietosuojavaltuutettu on antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaisen määräyksen noudattaa hakijan pyyntöä saada sellaiset suoritettuihin yksityisoikeudellisiin pysäköinninvalvontamaksuihin liittyvät henkilötietonsa poistetuiksi, joiden perusteella ei ole tehty rekisterinpitäjän kirjanpitovelvoitteiden mukaisia kirjauksia. Mikäli tällaisia kirjauksia on tehty, tiedot on poistettava kuuden vuoden kuluttua sen vuoden lopusta, jonka aikana tilikausi on päättynyt (asia 3609/154/18, 6175/154/18 ja 8321/154/18 ja 4035/182/20)

Tietosuojavaltuutettu on antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaisen määräyksen noudattaa hakijan pyyntöä saada henkilötietonsa poistetuiksi (asiat 6569/182/18 ja 2669/154/19).

Tietosuojavaltuutettu on lisäksi antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen muuttaa tietojen säilyttämistä koskevat käytäntönsä yleisessä tietosuoja-asetuksessa säädetyn mukaisiksi.

5) Tietosuojavaltuutettu on antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen muuttaa tietojen toimittamista koskevat käytäntönsä yleisen tietosuoja-asetuksen 14 artiklan 1–3 kohdissa säädetyn mukaisiksi.

Tietosuojavaltuutettu on jättänyt rekisterinpitäjän harkintaan asianmukaiset toimenpiteet, mutta määrännyt toimittamaan selvityksen tehdyistä toimenpiteistä tietosuojavaltuutetun toimistoon 17.5.2021 [korjaus 30.6.2021] mennessä.

Huomautus

Tietosuojavaltuutettu on antanut rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaisen huomautuksen. Tietosuojavaltuutettu on katsonut, että huomautuksen lisäksi on arvioitava hallinnollisen seuraamusmaksun määräämistä rekisterinpitäjälle. Kysymys on ollut säännönmukaisesta yleisen tietosuoja-asetuksen rikkomisesta.

Seuraamuskollegion päätös

Ottaen kokonaisuutena huomioon tietosuojavaltuutetun päätökset asioissa 1077/452/2017, 3361/182/2018, 3609/154/2018, 4959/182/2018, 5373/182/2018, 6175/154/2018, 6569/182/2018, 8321/154/2018, 2669/154/2019, 5390/152/2019 ja 4035/182/2020, on tietosuojavaltuutetun toimiston seuraamuskollegio katsonut, että käsillä olevassa asiassa on määrättävä hallinnollinen seuraamusmaksu. Rekisterinpitäjä ei ole noudattanut seuraavia yleisen tietosuoja-asetuksen 83 artiklan 5 kohdan mukaisia säännöksiä, joiden rikkomisesta määrätään hallinnollinen seuraamusmaksu: 1) 12 artiklan 3, 4 ja 6 kohta; 2) 5 artiklan 1 kohdan c alakohta ja 25 artiklan 2 kohta; 3) 15 artikla; 4) 5 artiklan 1 kohdan e alakohta ja 14 artiklan 2 kohdan a alakohta; 5) 14 artiklan 3 kohta; ja 6) 17 artiklan 1 kohdan a alakohta. Seuraamusmaksun määräämistä tukee osaltaan myös valvontaviranomaiselle tehtyjen kanteluiden määrä ja laatu. Kyse ei ole yksittäisistä kanteluista ja niihin liittyvistä erimielisyyksistä vaan vakiintuneesta toimintatavasta.

Tehokkuuden, oikeasuhtaisuuden ja varoittavuuden osalta on todettava, että nyt käsiteltävänä olevassa asiakokonaisuudessa tietosuojavaltuutetun yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b, c ja d alakohtien mukaiset määräykset eivät ole riittävä seuraamus ottaen huomioon yleisen tietosuoja-asetuksen 83 artiklan 2 kohdassa säädetty.

Seuraamuskollegio määrää edellä mainittujen korjaavien toimivaltuuksien ja toimenpiteiden lisäksi yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan i alakohdan ja 83 artiklan 5 kohdan a ja b alakohtien nojalla rekisterinpitäjän maksamaan valtiolle määrältään 75 000 (seitsemänkymmentäviisituhatta) euron suuruisen hallinnollisen seuraamusmaksun. Hallinnollisen seuraamusmaksun määrää arvioitaessa on otettu huomioon edellä mainitut tietosuojavaltuutetun päätökset kokonaisuutena ja yleisen tietosuoja-asetuksen 83 artiklan 2 kohdan mukaiset ankaroittavat ja lieventävät seikat.

Perustelut hallinnollisen seuraamusmaksun määräämiselle

Yleisen tietosuoja-asetuksen 83 artiklassa on säädetty hallinnollisten sakkojen määräämisen yleisistä edellytyksistä. Hallinnollisten sakkojen määräämisen on ensinnäkin oltava kussakin yksittäisessä tapauksessa tehokasta, oikeasuhteista ja varoittavaa. Toisekseen hallinnolliset sakot määrätään kunkin yksittäisen tapauksen olosuhteiden mukaisesti 58 artiklassa säädettyjen korjaavien toimivaltuuksien lisäksi tai niiden sijasta. Hallinnollisen sakon määräämisestä ja hallinnollisen sakon määrästä päätettäessä on kussakin yksittäisessä tapauksessa otettava huomioon yleisen tietosuoja-asetuksen 83 artiklan 2 kohdassa luetellut seikat.

Asiaa arvioitaessa on otettu huomioon myös 29 artiklan mukaisen tietosuojatyöryhmän ohjeet hallinnollisten sakkojen soveltamisesta ja määräämisestä.

Rikkomisen luonne, vakavuus ja kesto, kyseisen tietojenkäsittelyn luonne, laajuus tai tarkoitus huomioon ottaen, sekä niiden rekisteröityjen lukumäärä, joihin rikkominen vaikuttaa, ja heille aiheutuneen vahingon suuruus

Rikkomisen luonnetta arvioitaessa on otettava huomioon yleisen tietosuoja-asetuksen 83 artiklan 4 ja 5 kohdat. Yleisessä tietosuoja-asetuksessa on vahvistettu hallinnollisen seuraamusmaksun kaksi enimmäismäärää, mikä ilmentää sitä, että asetuksen joidenkin säännösten rikkominen voi olla vakavampaa kuin toisten. Nyt käsillä olevassa asiassa rekisterinpitäjän rikkomukset ovat tietosuojavaltuutetun päätöksistä ilmenevällä tavalla kohdistuneet yleisen tietosuoja-asetuksen 5 artiklassa säädettyihin perusperiaatteisiin sekä rekisteröidyn 12–22 mukaisten oikeuksien toteuttamatta jättämisiin ja laiminlyönteihin. Koska rekisterinpitäjän rikkominen on koskenut nimenomaisesti 83 artiklan 5 kohdan a ja b alakohdassa säädettyä, on rekisterinpitäjän rikkomusten katsottava olleen luonteiltaan vakavaa.

Rekisterinpitäjä on kuulemisessa kertonut, että se ei ole toteuttanut 11 sellaisen rekisteröidyn oikeutta saada pääsy tietoihin, jotka rekisteröidyt eivät ole toimittaneet rekisterinpitäjälle kaikkia tämän vaatimia tietoja. Rekisterinpitäjä on edelleen kertonut jättäneensä käsittelemättä 28 sellaisen rekisteröidyn tietojen poistoa koskevan pyynnön, jotka rekisteröidyt eivät ole toimittaneet rekisterinpitäjälle kaikkia tämän vaatimia tietoja. Rekisterinpitäjä on lisäksi säännönmukaisesti käsitellyt tietoja yleisen tietosuoja-asetuksen 12 artiklan 6 kohdassa säädetyn vastaisesti (ks. tietosuojavaltuutetun ratkaisut 1077/452/2017, 3361/182/2018, 3609/154/2018, 4959/182/2018, 6569/182/2018, 8321/154/2018 ja 5390/152/2019). Edellä mainituista ratkaisuista ilmi käyvin tavoin rekisterinpitäjä on muun muassa säännönmukaisesti vaatinut tietoa henkilötunnuksesta rekisteröidyn tunnistamiseksi. Kysymys ei siis ole ollut siitä, että rekisterinpitäjä olisi vaatinut tietoa henkilötunnuksesta tapauskohtaisen harkinnan perusteella. Tieto on vaadittu kaikilta rekisteröidyiltä, jotka ovat halunneet käyttää edellä tarkoitettuja oikeuksiaan. Rekisterinpitäjä on lisäksi käsitellyt rekisteröidyn tunnistamiseksi laajempaa joukkoa henkilötietoja kuin rekisteröidyn tunnistamiseksi on tai olisi tarpeen ja on näin toiminut vastoin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin periaatetta. Rekisterinpitäjä on edelleen laiminlyönyt asettaa sellaiset tietojen säilyttämistä koskevat säilytysajat taikka tällaisten aikojen määrittämiskriteerit, joiden nojalla rekisteröidyn olisi mahdollista ymmärtää, kuinka kauan tiettyjä henkilötietoja säilytetään. Rekisterinpitäjä on lisäksi laiminlyönyt toimittaa rekisteröidyille yleisen tietosuoja-asetuksen 14 artiklassa tarkoitetut tiedot lainkohdassa edellytetyllä tavalla.

Seuraamuskollegio kiinnittää huomiota siihen, että mikäli rekisteröity suorittaa annetun yksityisoikeudellisen pysäköinninvalvontamaksun, ei hänelle rekisterinpitäjän identiteettiä ja yhteystietoja lukuun ottamatta lainkaan toimiteta yleisen tietosuoja-asetuksen 14 artiklassa tarkoitettuja tietoja. Rekisterinpitäjä on näin laiminlyönyt toimittaa kysymyksessä olevat tiedot näille rekisteröidyille. Voidaan edelleen korostaa, että arvioidakseen esimerkiksi sitä, onko henkilötietojen käsittely asianmukaista, on henkilöllä oltava 14 artiklassa tarkoitetut tiedot. Kysymys on näin ollen tiedollisesta oikeudesta, joka mahdollistaa esimerkiksi asetuksessa säädettyjen rekisteröidyn oikeuksien käytön.

Rikkomuksia on tapahtunut toistuvasti useamman vuoden ajan. Hakijat ovat vireillesaattamisasiakirjoista ja tietosuojavaltuutetun päätöksistä ilmenevästi olleet yhteydessä rekisterinpitäjään ja tuoneet rekisterinpitäjän tietoon sen, että rekisterinpitäjä ei ole joko toteuttanut heidän tiettyjä oikeuksiaan ja sen, että rekisterinpitäjän toiminta ei ole ollut kaikilta osin yleisessä tietosuoja-asetuksessa säädetyn mukaista. Saatujen selvitysten ja hakijoiden tietosuojavaltuutetun toimistolle toimittamien asiakirjojen perusteella on selvää, että hakijoiden yhteydenotoista huolimatta rekisterinpitäjä on edelleen jatkanut tietosuojavaltuutetun päätöksissä kuvattua toimintaansa ja menettelytapojaan. Ottaen huomioon hakijoiden lukuisat yhteydenotot, rekisterinpitäjän olisi tullut tunnistaa sen suorittamaan henkilötietojen käsittelyyn liittyvät ongelmakohdat ja korjata toimintaansa. Rekisterinpitäjä ei ole selvityksissään tuonut esiin toimenpiteitä, joilla se olisi millään tavoin pyrkinyt korjaamaan puutteellisia ja yleisen tietosuoja-asetuksen vastaisia toimintatapojaan rekisteröidyn oikeuksien toteuttamiseksi. Tällainen välinpitämättömyys ilmentää rekisterinpitäjän toiminnan tahallisuutta. Seuraamuskollegio katsoo, että rekisterinpitäjän harjoittama, yleisen tietosuoja-asetuksen säännösten rikkominen ei ole ollut hetkellistä tai inhimillisestä virheestä johtuvaa.

Seuraamuskollegio kiinnittää huomiota siihen, että vasta kuulemisen yhteydessä 28.7.2020 rekisterinpitäjä on ilmoittanut luopuvansa edellyttämästä henkilötunnusta tietosuojalomakkeellaan. Muita konkreettisia muutoksia rekisterinpitäjä ei edelleenkään tietosuojavaltuutetun toimiston selvityspyynnöistä huolimatta ole esittänyt.

Rikkomisen keston osalta viitattakoon lisäksi asiassa 1077/452/2017 annettuun ratkaisuun, jossa on todettu, että tietojen tarkastamista koskevat henkilötietolain säännökset ja yleisen tietosuoja-asetuksen säännökset rekisteröidyn oikeudesta saada pääsy tietoihin ovat keskenään päällekkäisiä ja aineellisesti lähes saman sisältöisiä. Seuraamuskollegio toteaa myös, että 29 artiklan mukainen tietosuojatyöryhmä on antanut käytännön ohjeita (”läpinäkyvyyttä koskevat ohjeet) esimerkiksi läpinäkyvyyden periaatteesta. Näissä ohjeissa on muun muassa tarkemmin selostettu säilytyksen rajoittamisen vaatimusta. Nämä ohjeet on viimeksi tarkistettu ja hyväksytty 11.4.2018. Käytännön ohjeita yleisen tietosuoja-asetuksen mukaisesta läpinäkyvyyden periaatteesta on näin ollen annettu jo ennen yleisen tietosuoja-asetuksen soveltamisen aloittamista. Vaikka saatavilla on ollut viranomaisohjeistusta, rekisterinpitäjä ei ole tätä ohjeistusta toiminnassaan noudattanut.

Kuten edellä on todettu, tietosuojavaltuutetun ratkaistavana olleissa asioissa on ollut kysymys myös tietojen minimoinnin periaatteesta. Euroopan tietosuojaneuvosto on antanut mainitusta periaatteesta käytännön ohjeita sisään rakennettua tietosuojaa koskevissa suuntaviivoissa. Nämä ohjeet on annettu 13.11.2019. Pääasioissa on edellä mainitusti kysymys niin ikään rekisteröidyn tunnistamisesta, mitä kysymystä Euroopan tietosuojaneuvoston edeltäjä, 29 artiklan mukainen tietosuojatyöryhmä on käsitellyt tietojen siirrettävyydestä antamiensa suuntaviivojen yhteydessä. Nämä ohjeet on viimeksi tarkistettu ja hyväksytty 5.12.2017. Tätäkin kysymystä koskevaa ohjeistusta on annettu jo ennen yleisen tietosuoja-asetuksen soveltamisen aloittamista. Vaikka saatavilla on ollut viranomaisohjeistusta, rekisterinpitäjä ei ole tätäkään ohjeistusta toiminnassaan noudattanut.

Yhteenvetona todettakoon, että kysymyksessä olevia rikkomuksia ei voida pitää kestoltaan lyhytaikaisina. Rekisterinpitäjän olisi tullut saattaa suorittamansa henkilötietojen käsittely yleisessä tietosuoja-asetuksessa säädetyn mukaiseksi 25.5.2018 mennessä.

Henkilötietojen käsittely on keskeinen edellytys rekisterinpitäjän harjoittamalle liiketoiminnalle, mistä huolimatta rekisterinpitäjä on menetellyt yleisessä tietosuoja-asetuksessa säädetyn vastaisesti. Toisin kuin rekisterinpitäjä on katsonut, asiassa kysymyksessä olevat yleisessä tietosuoja-asetuksessa säädetyt oikeudet nimenomaisesti kuuluvat tietosuojalainsäädännön ydinalueelle.

Merkitystä on niin ikään sillä rekisteröityjen lukumäärällä, joihin rikkominen on vaikuttanut. Rekisterinpitäjä on kuulemiseen antamassaan vastauksessa esittänyt, että rekisterinpitäjän ei ole mahdollista ilmoittaa, kuinka monelle henkilölle se on antanut yksityisoikeudellisen pysäköinninvalvontamaksun 25.5.2018 lukien. Seuraamuskollegiolla ei siten ole tarkkaa lukumäärää arviointinsa perusteeksi. Voidaan kuitenkin todeta, että ainakin tietojen säilyttämistä koskeva rikkomus on vaikuttanut kaikkiin niihin rekisteröityihin, joille rekisterinpitäjä on antanut yksityisoikeudellisen pysäköinninvalvontamaksun. Rekisterinpitäjältä saadun tiedon mukaan valvontamaksuasioita on joka tapauksessa tuhansia. Näin ollen rikkomuksen voitaneen todeta varovastikin arvioiden vaikuttaneen ainakin tuhansiin rekisteröityihin. Lisäksi on otettava huomioon, että rekisterinpitäjä käsittelee suuria määriä henkilötietoja. Kysymys ei ole ollut yksittäisestä tai yksittäisistä tapahtumista.

Rikkominen ei myöskään ole seurausta inhimillisestä virheestä, vaan järjestelmällisestä yleisen tietosuoja-asetuksen rikkomisesta. Kuten edellä on todettu, rikkomuksia on tapahtunut toistuvasti useamman vuoden ajan. Hakijat ovat vireillesaattamisasiakirjoista ja tietosuojavaltuutetun päätöksistä ilmenevästi olleet yhteydessä rekisterinpitäjään ja tuoneet rekisterinpitäjän tietoon sen, että rekisterinpitäjä ei ole joko toteuttanut heidän tiettyjä oikeuksiaan ja sen, että rekisterinpitäjän toiminta ei ole ollut kaikilta osin yleisessä tietosuoja-asetuksessa säädetyn mukaista. Tässä yhteydessä voidaan todeta, että tietosuojavaltuutetun toimistossa on lisäksi ajalla 9.7.2018–20.8.2019 saatettu vireille yhdeksän nyt kysymyksessä olevaa kantelua vastaavaa asiaa. Näissä asioissa hakijat ovat kuitenkin sittemmin ilmoittaneet, että heidän asiaansa ei tarvitse enemmälti tutkia. Edelleen ajalla 13.12.2019–27.1.2021 on saatettu vireille seitsemän nyt kysymyksessä olevaa kantelua vastaavaa asiaa. Lisäksi ajalla 26.9.2018–30.12.2019 on saatettu vireille kaksi nyt kysymyksessä olevaa kantelua vastaavaa asiaa, jotka koskevat YY Oy:tä, joka kuuluu ParkkiPate Oy:n kanssa samaan konserniin. Lisäksi ajalla 27.11.2019–31.12.2020 on saatettu vireille neljä nyt kysymyksessä olevaa kantelua vastaavaa asiaa, jotka sinänsä koskevat perintätoimia rekisterinpitäjän lukuun harjoittavaa XX Oy:tä, mutta joissa on kuitenkin pääasiallisesti kysymys ParkkiPate Oy:n antamista yksityisoikeudellisista pysäköinninvalvontamaksuista.

Aiheutuneen vahingon suuruuden osalta on otettava huomioon myös se, että osa yksityisoikeudellisesta pysäköinninvalvontamaksusta reklamoineista rekisteröidyistä todennäköisesti lopulta kuitenkin suorittaa saatavan välttääkseen mahdollisen maksuhäiriömerkinnän. Rekisterinpitäjä ei kuitenkaan ole pystynyt ilmoittamaan tällaisten tapausten lukumäärää. Rekisterinpitäjä on sen sijaan esittänyt näkemyksenään, että tietosuojaa koskeviin oikeuksiin vetoaminen ei vapauta sen mahdollisia velallistahoja ratkaisuun KKO:2010:23 perustuvasta velvollisuudesta suorittaa rekisterinpitäjän avoin saatava. Tämän osalta voidaan todeta, että asiassa ei ole kysymys rekisterinpitäjän mahdollisen saatavan oikeellisuudesta tai olemassaolosta. Tietosuojavaltuutettu eikä tietosuojavaltuutetun toimiston seuraamuskollegio ole toimivaltainen ratkaisemaan kysymystä siitä, onko henkilöllä ollut velvollisuus suorittaa jokin saatava vai ei. Notorista lienee kuitenkin se, että jotkut henkilöt saattavat saatavan maksamatta jättämisen aiheuttamien seuraamusten pelossa herkästi suorittaa perusteettomankin saatavan. Todettakoon, että rikkomuksen luonnetta, kestoa ja niiden rekisteröityjen lukumäärää, joihin rikkominen on vaikuttanut, on pidettävä asiassa hallinnollisen sakon määräämistä puoltavina seikkoina.

Arvioinnissa on otettava huomioon myös rekisteröidyille aiheutuneiden vahinkojen suuruus. Kuten edellä on todettu, rekisterinpitäjä ei ole noudattanut reklamaatioiden yhteydessä suorittamassaan henkilötietojen käsittelyssä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin vaatimusta eikä yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa säädettyä. Niissä tapauksissa, joissa 1) rekisteröity ei ole suostunut toimittamaan rekisterinpitäjälle sellaisia tietoja, joita ei tarvita sen selvittämiseksi, onko jokin yksityisoikeudellinen pysäköinninvalvontamaksu annettu virheellisin perustein, ja joissa 2) rekisterinpitäjä ei ole suostunut reklamaatiota käsittelemään, ja joissa 3) rekisteröity on lopulta suorittanut perusteettoman saatavan, on kysymyksessä olevalle rekisteröidylle aiheutunut yksityisoikeudellisen pysäköinninvalvontamaksun suuruinen vahinko (60 euroa). Tällaisissa tilanteissa mahdollisia kuluja ovat myös maksumuistutuksesta ja mahdollisista viivästyskoroista aiheutuvat kustannukset. Tällainen joillekin rekisteröidyille mahdollisesti aiheutunut konkreettinen taloudellinen vahinko otetaan asian arvioinnissa huomioon.

Arvioinnissa on otettava myös huomioon korkeimman oikeuden ratkaisu KKO:1998:85, jossa on korostettu tiedollista itsemääräämistä ja todettu, että sittemmin kumotun henkilörekisterilain (471/1987) 43 §:ssä tarkoitetun henkilörekisteririkoksen sanamuoto osoitti, että yksityisyyden suojan loukkaaminen tiedollisen itsemääräämisvallan vastaisena menettelynä merkitsi laissa edellytetyn vahingon tai haitan aiheuttamista. Tämä pätee edelleen. Pelkkä yksityisyyden suojan loukkaus merkitsee vahingon tai haitan aiheuttamista. Edellytyksenä ei ole taloudellisen tai muun aineellisen vahingon aiheutuminen per se, joskin edellä todetusti tällaisten vahinkojen aiheutuminen otetaan yleisen tietosuoja-asetuksen 83 artiklan 2 kohdan a alakohdassa säädetyn mukaisesti huomioon hallinnollista seuraamusmaksua määrättäessä ja sen määrästä päätettäessä. Kyseisessä artiklan kohdassa ei nimenomaisesti ole kysymys taloudellisesta tai muusta aineellisesta vahingosta.

Rekisterinpitäjä on rikkonut hakijoiden yleisen tietosuoja-asetuksen mukaisia oikeuksia, jolloin hakijoille on aiheutunut vahinkoa.

Rikkomisen tahallisuus tai tuottamuksellisuus

Rekisterinpitäjä on tietosuojavaltuutetulle toimittamassaan vastauksessa kertonut, että sillä ei ole minkäänlaista intressiä toimia vastoin tietosuojalainsäädäntöä. Rekisterinpitäjä on esittänyt näkemyksenään, että se on menetellyt nyt kysymyksessä olevissa asioissa asianmukaisesti ja voimassa olevan tietosuojalainsäädännön edellyttämällä tavalla. Rekisterinpitäjä on kertonut reagoineensa kaikkiin sille asianmukaisesti tehtyihin tietosuojapyyntöihin. Mikäli valvontaviranomainen katsoo, että olisi olemassa rekisteröityjen henkilötietojen suojaa paremmin turvaava tapa todentaa kunkin rekisterinpitäjään yhteyttä ottaneen henkilön henkilöllisyys, on rekisterinpitäjä ilmoittanut pyytävänsä valvontaviranomaiselta asiaa koskevaa ohjeistusta täsmentääkseen nykyisiä käytäntöjään.

Kuten edellä on todettu, hakijoiden yhteydenotoista ja tietosuojavaltuutetun toimiston selvityspyynnöistä huolimatta rekisterinpitäjä on jatkanut ja pääasiallisesti edelleenkin jatkaa tietosuojavaltuutetun päätöksissä kuvattua henkilötietojen käsittelyä. Huolimatta rekisteröityjen lukuisista yhteydenotoista ja tietosuojavaltuutetun toimiston selvitys- ja kuulemispyynnöistä, rekisterinpitäjä ei juuri ole esittänyt muuttavansa suorittamaansa henkilötietojen käsittelyä. Rekisterinpitäjä onkin ilmoittanut näkemyksenään, että se on menetellyt nyt kysymyksessä olevissa asioissa asianmukaisesti ja voimassa olevan tietosuojalainsäädännön edellyttämällä tavalla. Tältä osin rekisterinpitäjän toiminta ilmentää ensinnäkin sitä, että rekisterinpitäjän toiminnassa ei ole riittävästi perehdytty voimassa olevaan lainsäädäntöön ja siitä johtuviin vaatimuksiin. Tämä puolestaan ilmentää piittaamattomuutta lainsäädännöstä. Esimerkiksi asiassa 8321/154/18 hakija oli pyytänyt rekisterinpitäjältä tietojensa poistoa. Hakija oli viestissään nimenomaisesti pyytänyt ohjeita siitä, miten hän voisi pyytää tietojensa poistoa toimittamatta rekisterinpitäjälle tietoja, joita rekisterinpitäjällä ei ennestään ollut ollut hallussaan. Rekisterinpitäjä oli ainoastaan ohjeistanut hakijaa täyttämään verkkosivuiltaan löytyvän lomakkeen. Rekisterinpitäjä oli vastauksessaan sivuuttanut täysin hakijan nimenomaisesti esiin tuomat seikat. Rekisterinpitäjä ei ollut myöskään perustellut, miksi se oli vaatinut tiettyjä tietoja. Niin ikään asiassa 6569/182/18 hakija oli pyytänyt tietojensa poistoa ja nimenomaisesti kiinnittänyt huomiota siihen, että rekisterinpitäjällä ei ennestään ollut ollut tietoa hänen henkilötunnuksestaan. Tässäkään tapauksessa rekisterinpitäjä ei ollut perustellut sitä, miksi tieto hakijan henkilötunnuksesta oli pyydetty. Rekisterinpitäjä oli ainoastaan vain ilmoittanut jättävänsä käsittelemättä sellaiset pyynnöt, joita ei ole tehty verkkosivulomakkeella. Asiassa 4959/182/18 hakija oli pyytänyt saada pääsyä tietoihinsa sekä tietojensa poistamista. Rekisterinpitäjä oli jälleen ilmoittanut, että rekisteröidyn oikeuksia koskevia pyyntöjä ei käsitellä, mikäli rekisteröity ei toimita sille vaadittuja tietoja. Lisäksi hakijalle annetussa vastauksessa on vedottu yleiseen tietosuoja-asetukseen. Rekisterinpitäjän hakijalle antamasta vastauksesta saa sellaisen kuvan, että yleinen tietosuoja-asetus nimenomaisesti velvoittaisi pyydettyjen tietojen antamiseen. Asiassa 5373/182/18 rekisterinpitäjä on ilmoittanut hakijalle, että vain osoitetietonsa antavien reklamaationtekijöiden reklamaatiot käsitellään. Rekisterinpitäjä on vedonnut asiassa yleiseen tietosuoja-asetukseen. Rekisterinpitäjän hakijalle antamasta vastauksesta saa sellaisen kuvan, että yleinen tietosuoja-asetus nimenomaisesti velvoittaisi osoitetiedon antamiseen. Seuraamuskollegio pitää erittäin raskauttavana sitä, että yleisen tietosuoja-asetuksen vastaista toimintaa on perusteltu rekisteröidylle yleisellä tietosuoja-asetuksella. Tästä muodostuu rekisteröidylle helposti väärä kuva omista oikeuksistaan.

Asiassa 6175/154/18 hakija oli 11.6.2018 pyytänyt rekisterinpitäjältä pääsyä tietoihinsa ja tiedustellut samalla sitä, mistä tiedot oli hankittu. Koska hakija ei ollut saanut minkäänlaista vastausta pyyntöönsä, oli hakija soittanut yhtiön asiakaspalveluun 3.8.2018 ja kertonut tekemästään pyynnöstä. Tiedot oli hakijan muistikuvien mukaan toimitettu hänelle vasta syyskuussa 2018. Hakijalle ei ollut toimitettu tietoa siitä, mistä tiedot oli hankittu. Antamassaan selvityksessä 30.4.2020 rekisterinpitäjä on ilmoittanut toimittavansa tiedot hakijalle välittömästi. Rekisterinpitäjä ei kuitenkaan hakijan kertoman mukaan vieläkään ole noudattanut antamaansa lupausta (per 9.1.2021).

Asiassa 5390/152/19 hakija on asiamiehensä välityksellä paitsi pyytänyt rekisterinpitäjältä pääsyä tietoihinsa, ja tietojensa poistoa myös esittänyt tälle erinäisiä tietosuojaan liittyviä kysymyksiä. Jälleen rekisterinpitäjä oli vastannut hakijalle viittaamalla verkkosivuiltaan löytyvään lomakkeeseen. Hakija oli asiamiehensä välityksellä vastannut rekisterinpitäjältä saamaansa viestiin. Vastauksessaan hakija oli muun muassa ilmoittanut, että rekisterinpitäjällä oli jo hallussaan kaikki asiassa tarvittavat tiedot. Rekisterinpitäjä ei ollut enää vastannut hakijan viimeiseen viestiin.

Asiassa 1077/452/17 hakija oli ensin reklamoinut hänelle annetusta yksityisoikeudellisesta pysäköinninvalvontamaksusta. Rekisterinpitäjä oli vastannut hakijan reklamaatioon. Tämän jälkeen hakija oli muun muassa esittänyt rekisterinpitäjälle henkilötietolain (523/1999) 26 §:ssä tarkoitettua tarkastusoikeutta koskevan pyynnön, minkä jälkeen rekisterinpitäjä oli ainoastaan vastannut hakijalle, että hänen ilmoituksensa asian riitauttamisesta oli vastaanotettu. Rekisterinpitäjä ei siis ollut millään tavalla reagoinut hakijan esittämään pyyntöön.

Selvää on, että rekisterinpitäjä on ollut tietoinen toimintaansa liittyvistä epäkohdista, sillä useammat rekisteröidyt olivat kiinnittäneet rekisterinpitäjän huomiota muun muassa tietojen minimointia koskevaan vaatimukseen sekä rekisteröidyn tunnistamista koskeviin kysymyksiin. Huolellisesti toimivan toimijan olisi voinut olettaa tässä tilanteessa tutustuvan paremmin sekä voimassa olevaan lainsäädäntöön että asiaa koskevaan viranomaisohjeistukseen. Rekisterinpitäjä ei ollut ryhtynyt minkäänlaisiin korjaaviin toimenpiteisiin, mikä osoittaa, että rekisterinpitäjä on tahallisesti laiminlyönyt velvollisuuksiensa noudattamisen.

Ottaen huomioon nyt kysymyksessä olevassa asiassa sovellettavat yleisen tietosuoja-asetuksen artiklat sekä myös annettu viranomaisohjeistus, ei esimerkiksi säilytyksen rajoittamiseen ja tietojen minimointiin liittyviä vaatimuksia voida pitää vaikeasti tulkittavina. Tämä pätee myös rekisteröidyn oikeuteen saada pääsy tietoihin ja saada tietonsa poistetuiksi. Todettakoon lisäksi, että rekisterinpitäjän itsensä vastuulla on huolehtia, että se noudattaa toiminnassaan laissa säädettyä. Asiassa annettujen selvitysten ja vastausten perusteella voidaan katsoa, että rekisterinpitäjä ei ole riittävällä tavalla perehtynyt voimassa olevaan lainsäädäntöön ja sitä koskeviin tulkintaohjeisiin, mikä osaltaan osoittaa rikkomusten tarkoituksellisuutta.

Todettakoon lisäksi, että yleisen tietosuoja-asetuksen taustalla vaikuttaa periaate riskiperusteisesta lähestymistavasta. Rekisterinpitäjän on itse oma-aloitteisesti arvioitava, liittyykö sen toimintaan henkilötietojen käsittelyä koskevia riskejä. Rekisterinpitäjä vastaa siitä, että sen toiminta on yleisessä tietosuoja-asetuksessa säädetyn mukaista.

Rekisterinpitäjän toteuttamat toimet rekisteröidyille aiheutuneen vahingon lieventämiseksi, yhteistyön aste valvontaviranomaisen kanssa rikkomisen korjaamiseksi ja sen mahdollisten haittavaikutusten lieventämiseksi

Kuulemisen yhteydessä antamassaan vastauksessa 28.7.2020 rekisterinpitäjä on ilmoittanut luopuvansa edellyttämästä henkilötunnusta tietosuojalomakkeellaan. Rekisterinpitäjä ei ole asian selvittämisen yhteydessä esittänyt mitään muita toimenpiteitä, joihin se olisi ryhtynyt rikkomusten ja laiminlyöntien korjaamiseksi. Rekisteröidyn tunnistamisen osalta rekisterinpitäjä on kuitenkin pyytänyt, että valvontaviranomainen antaisi sille ohjeistusta, mikäli tunnistaminen olisi valvontaviranomaisen näkemyksen mukaan toteutettavissa rekisteröityjen tietosuojaa paremmin turvaavalla tavalla. Ohjeistuksen pyytämisen voidaan katsoa osoittavan avoimuutta valvontaviranomaisen kanssa tehtävälle yhteistyölle. Todettakoon kuitenkin, että rekisterinpitäjä on pyytänyt ohjeistusta vain tästä yhdestä kysymyksenasettelusta.

Rekisterinpitäjä on ilmoittanut, että maininta tietosuojaan liittyvistä oikeuksista voidaan sisällyttää valvontamaksulomakkeeseen ja / tai XX Oy:n perintäkirjeisiin, mikäli valvontaviranomainen katsoo sen tarkoituksenmukaiseksi. Tämä on sinänsä katsottava rekisterinpitäjän eduksi. On kuitenkin otettava huomioon, että rekisterinpitäjä ei voi ulkoistaa suorittamaansa henkilötietojen käsittelyä koskevaa päätöksentekoa valvontaviranomaiselle. Kuten edellä on todettu, rekisterinpitäjä itse vastaa siitä, että sen toiminta on yleisessä tietosuoja-asetuksessa säädetyn mukaista.

Rekisterinpitäjä on edelleen ilmoittanut ilman aiheetonta viivästystä saattavansa nykyiset menettelytapansa voimassa olevan tietosuojasääntelyn mukaisiksi, mikäli tällaisten menettelytapojen katsotaan tavalla tai toisella olevan tietosuojalainsäädännön vastaisia. Tämän voidaan myös sinänsä katsoa osoittavan avoimuutta valvontaviranomaisen kanssa tehtävälle yhteistyölle.

Todettakoon, että rekisterinpitäjä on sittemmin (15.2.2021) päivittänyt tietosuojaselostettaan. Tässä yhteydessä selostetta on päivitetty ainakin henkilötietojen säilytyksen osalta. Pääasioiden ratkaisuissa selostettu, tehty muutos ei kuitenkaan ole riittävä. Säilytyksestä kerrottu ei täytä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa ja 14 artiklan 2 kohdan a alakohdassa säädettyä. Henkilötietojen säilytyksen osalta todettakoon lisäksi, että rekisterinpitäjä on 28.7.2020 antamassaan vastauksessa nimenomaisesti esittänyt näkemyksenään, että Access to Court -periaate ja tehokkaiden oikeussuojakeinojen olemassaolon vaatimus takaisivat sen, että rekisterinpitäjää ei voi sitoa minkäänlainen määräaika sen suhteen, missä ajassa sen on saatettava saatavaansa koskeva asia tuomioistuinkäsittelyyn (kunhan saatava ei ole vanhentunut). Korostettakoon, että rekisterinpitäjän on noudatettava yleistä tietosuoja-asetusta. Yleisen tietosuoja-asetuksen 14 artiklan 2 kohdan a alakohdassa on selvästi ilmaistu, että rekisterinpitäjän on toimitettava rekisteröidyille henkilötietojen säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit. Selvyyden vuoksi on todettava, että asiassa ei, per se, ole kysymys siitä, että tietosuojavaltuutettu tai tietosuojavaltuutetun toimiston seuraamuskollegio olisi määräämässä rekisterinpitäjää saattamaan jokin saatavaa koskeva asia tuomioistuimen käsiteltäväksi jossakin tietyssä määräajassa. Kysymys on sen sijaan siitä, että rekisterinpitäjän on määriteltävä tietojen säilytysaika sillä tavalla, että rekisteröity pystyy oman tilanteensa perusteella arvioimaan, kuinka kauan tiettyjä henkilötietoja säilytetään tiettyä käsittelytarkoitusta varten.

Kuten edellä on mainittu, asiaa arvioitaessa on otettava huomioon 29 artiklan mukaisen tietosuojatyöryhmän ohjeet hallinnollisten sakkojen soveltamisesta ja määräämisestä. Näiden ohjeiden mukaan rekisterinpitäjän olisi tehtävä kaikki voitavansa lieventääkseen rikkomuksesta rekisteröidyille aiheutuvia seurauksia. Valvontaviranomainen voi näiden ohjeiden mukaan ottaa seuraamusmaksua laskiessaan huomioon tällaisen rekisterinpitäjän vastuullisen toiminnan tai tällaisen vastuullisen toiminnan puuttumisen. Käsillä olevassa asiassa rekisterinpitäjän sittemmin toteuttamilla toimilla ei ole ollut vaikutusta ennen tehtyjä muutoksia suoritettuun henkilötietojen käsittelyyn. Sen sijaan henkilötunnuksen vaatimisesta luopumisen vaikutus tulevaisuudessa esitettäviin rekisteröidyn oikeuksia koskeviin pyyntöihin ja niiden yhteydessä suoritettavaan henkilötietojen käsittelyyn on selvä askel parempaan.

Seuraamuskollegio toteaa, että yleisen tietosuoja-asetuksen 83 artiklan 2 kohdan f alakohdan mukaan hallinnollisen sakon määräämistä ja sen määrää arvioitaessa voidaan ottaa huomioon myös yhteistyön aste. Tähän liittyen valvontaviranomainen on kohtuullista seuraamusta punnitessaan ottanut huomioon sen, että rekisterinpitäjä on vastannut viranomaisen selvityspyyntöihin määräajassa. Sanotusta huolimatta ei kuitenkaan ole tarkoituksenmukaista korostaa jo lainsäädännössä edellytettyä yhteistyötä. Rekisterinpitäjällä on ollut yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan ja tietosuojalain 18 §:n nojalla velvollisuus toimittaa pyydetyt tiedot valvontaviranomaiselle, eikä tällaisen laissa säädetyn velvollisuuden täyttämistä edellä mainitusti ole tarkoituksenmukaista korostaa.

Rekisterinpitäjän vastuun aste, ottaen huomioon heidän 25 ja 32 artiklan nojalla toteuttamansa tekniset ja organisatoriset toimet

Rekisterinpitäjä ei asiaa selvitettäessä ole tuonut esiin seikkoja, jotka puoltaisivat sitä, että se olisi toteuttanut sellaisia organisatorisia toimenpiteitä, jotka vastaavat yleisen tietosuoja-asetuksen 25 artiklassa säädettyjä sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. Yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa on nimenomaisesti säädetty, että rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa.

Edellä mainituissa 29 artiklan mukaisen tietosuojatyöryhmän ohjeissa on tämän kohdan osalta nimenomaisesti mainittu myös yleisen tietosuoja-asetuksen 24 artiklassa säädetty. Rekisterinpitäjän on pantava täytäntöön asianmukaiset tietosuojaa koskevat toimintaperiaatteet. Rekisterinpitäjän onkin huolehdittava tarpeellisista arvioinneista ja tehtävä asianmukaiset päätelmät. Useammista samaa asiaa koskevista yhteydenotoista huolimatta rekisterinpitäjä ei ole katsonut tarpeelliseksi arvioida tulisiko sen ryhtyä toimenpiteisiin yhteydenotoissa esitettyjen epäkohtien korjaamiseksi. Seuraamuskollegio katsoo, että tällainen menettelytapa ilmentää osaltaan rekisterinpitäjän tahallisuutta.

Henkilötietoryhmät, joihin rikkominen vaikuttaa

Asiassa on ollut kysymys yleisen tietosuoja-asetuksen 4 artiklan 1 kohdan mukaisista henkilötiedoista, joista luonnollinen henkilö on tunnistettavissa. Kysymys on ollut lähinnä rekisteröityjen yksilöinti- ja yhteystiedoista, sekä heidän ajoneuvoaan ja välillisesti mahdollisesti myös asiointiaan koskevista tiedoista. Asiassa ei ole esitetty, että käsittelyn kohteena olisi ollut yleisen tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin kuuluvia henkilötietoja. On kuitenkin todettava, että ei voida poissulkea sitä, etteikö pysäköidyistä ajoneuvoista otetut valokuvat joissakin tilanteissa voisi välillisesti voisi tarkoittaa myös tällaisten tietojen käsittelyä.

Tapa, jolla rikkominen tuli valvontaviranomaisen tietoon

Asiaa on alun perin ryhdytty tutkimaan yhdentoista eri rekisteröidyn yhteydenoton pohjalta. Myöhemminkin tietosuojavaltuutetun toimisto on saanut ainakin seitsemän uutta yhteydenottoa, jotka vastaavat nyt käsiteltävänä olevaa asiaa. Rekisterinpitäjä itse ei ole ilmoittanut rikkomuksista valvontaviranomaiselle.

Mahdolliset muut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät, kuten rikkomisesta suoraan tai välillisesti saadut mahdolliset taloudelliset edut tai rikkomisella vältetyt tappiot

Rekisterinpitäjä on esittänyt näkemyksenään, että se ei ole rikkonut yleistä tietosuoja-asetusta. Mikäli valvontaviranomainen kuitenkin katsoisi näin tehdyn, on rekisterinpitäjä ilmoittanut olevansa vakaasti sitä mieltä, että mahdollisesta rikkomuksesta ei ole saatu minkäänlaista taloudellista etua. Rekisterinpitäjä on sen sijaan todennut, että yleisen tietosuoja-asetuksen tarkka noudattaminen on pikemminkin sitonut sen resursseja ja aiheuttanut yhtiölle merkittäviä kustannuksia.

Voidaan todeta, että rekisterinpitäjän taloudellinen hyöty on sitä suurempi, mitä useampi annettu yksityisoikeudellinen pysäköinninvalvontamaksu suoritetaan. Tässä yhteydessä voidaan viitata ainakin edellä kuvattuun esimerkkiin sellaisista lopulta suoritettavista yksityisoikeudellisista pysäköinninvalvontamaksuista, joita koskevia reklamaatioita rekisterinpitäjä ei ole suostunut käsittelemään. Mikäli näissä tilanteissa yksityisoikeudellinen pysäköinninvalvontamaksu on tosiasiallisesti annettu virheellisesti, mutta lopulta kuitenkin suoritetaan, saa rekisterinpitäjä tällaisissa tilanteissa perusteetonta taloudellista hyötyä. Tämä otetaan huomioon asiaa arvioitaessa.

Yhteenveto ja hallinnollisen seuraamusmaksun rahamäärä

Yleisen tietosuoja-asetuksen 83 artiklan 1 kohdassa on säädetty, että asetuksen rikkomisesta määrättävien hallinnollisten seuraamusmaksujen määräämisen on kussakin yksittäisessä tapauksessa oltava tehokasta, oikeasuhteista ja varoittavaa. Käsillä olevassa asiassa erityisesti rikkomisten luonne, sen kesto sekä niiden rekisteröityjen määrä, joihin rikkominen on vaikuttanut kuten myös rikkomusten tarkoituksellisuus ilmentävät rikkomisen vakavuutta.

Merkitystä on niin ikään yleisen tietosuoja-asetuksen 83 artiklan kohdissa 4 ja 5 säädetyllä. Mainituissa lainkohdissa rikkomukset on jaettu vakavuusluokiltaan kahteen eri kategoriaan. Käsillä olevat rikkomukset pääasiallisesti lukeutuvat mainituista kategorioista vakavampaan.

Seuraamuskollegio katsoo edellä esitetyin perustein, että rekisterinpitäjä on perusteettomasti ja säännönmukaisesti jättänyt noudattamatta asetuksen 15 artiklassa säädettyä rekisteröidyn oikeutta saada pääsy tietoihin. Pääsyn ehdoksi rekisterinpitäjä on asettanut vaatimuksen henkilötietojen antamisesta, mitä ei käsittelyperuste huomioon ottaen voida perustella tunnistamisvaatimuksella eikä täsmällisyysperiaatteella, ja siten rikkonut henkilötietojen käsittelyä koskevaa minimoinnin, laillisuuden sekä kohtuullisuuden periaatetta.

Kun näiden käsittelytoimien tai niiden laiminlyönnin voidaan katsoa yleisen tietosuoja-asetuksen 83 artiklan 3 kohdan perusteella liittyvän toisiinsa, ei asetettavan seuraamusmaksun kokonaismäärä saa ylittää vakavimmasta rikkomuksesta määrättyä seuraamusmaksua.

Yleisen tietosuoja-asetuksen 15 artikla ja 5 artiklan 1 kohdassa säädetyt periaatteet on mainittu seuraamusmaksuperusteena yleisen tietosuoja-asetuksen 83 artiklan 5 kohdassa, jossa säädetään korkeammasta seuraamusmaksun määrästä.

Käsillä olevassa asiassa seuraamuskollegio katsoo vakavimmaksi rikkomukseksi 15 artiklan rikkomisen katsoen, että rikkominen on tarkoituksellista pääsyn estämistä tietoihin, jotka voivat olla maksajaksi merkityn henkilön oikeusturvan kannalta olennaisia.

Yleisen tietosuoja-asetuksen 83 artiklan 5 kohdan a alakohdan mukaan 5 artiklassa tarkoitettujen käsittelyn perusperiaatteiden ja b alakohdan mukaan rekisteröityjen 12–22 artiklan mukaisten oikeuksien rikkomisesta määrätään 2 kohdan mukaisesti hallinnollinen sakko, joka on enintään 20 000 000 euroa, tai jos kyseessä on yritys, neljä prosenttia sen edeltävän tilikauden vuotoisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi.

ParkkiPate Oy:n kanssa samaan konserniin kuuluvien yhtiöiden yhteenlaskettu vuotuinen liikevaihto vuodelta 2019 oli kokonaisuudessaan 12.367.668,07 euroa, josta laskettuna neljä prosenttia on 494.706,723 euroa.

Oikeus saada pääsy tietoihin on Euroopan perusoikeuskirjalla suojattu oikeus. Euroopan unionin perusoikeuskirjan 8 artiklan 2 kohdassa on säädetty, että jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty. Oikeus saada pääsy omiin henkilötietoihinsa onkin eurooppalaisen tietosuojalainsäädännön keskeisiä elementtejä. Seuraamuskollegio korostaakin, että päätettäessä hallinnollisen seuraamusmaksun rahamäärästä, on painoarvoa annetta myös sille, että kysymys on ollut perusoikeuskirjalla suojatun oikeuden rikkomisesta. Todettakoon, että asiassa on muutoinkin kysymys yleisen tietosuoja-asetuksen III luvussa säädetyistä rekisteröityjen oikeuksista, joiden lujittaminen on ollut yksi yleisen tietosuoja-asetuksen tavoitteista.

Seuraamuskollegio katsoo, että seuraamusharkinnassa lieventävinä tekijöinä voidaan ainoastaan ottaa huomioon kolme seikkaa: 1) tavanomaisesti henkilötietojen käsittelyn kohteena olevien henkilötietoryhmien rajallisuus; 2) rekisterinpitäjän osoittama avoimuus valvontaviranomaisen kanssa tehtävälle yhteistyölle; ja 3) se, että rekisterinpitäjä on ilmoittanut luopuvansa edellyttämästä henkilötunnusta tietosuojalomakkeellaan. Ottaen huomioon rikkomusten vakavuuden (sekä yleisesti että yksilötasolla) ja sen, että rekisterinpitäjä on vasta asiaa tietosuojavaltuutetun toimiston toimesta selvitettäessä ilmoittanut olevansa yhteistyölle avoin, ei seuraamuskollegio voi kuitenkaan antaa merkittävää painoarvoa kahdelle ensimmäisenä mainitulle.

Rekisterinpitäjän toiminnan on ensinnäkin katsottu olevan tarkoituksellista. Tarkoituksellisuutta ilmentävät rikkomusten luonne, kesto ja niiden rekisteröityjen lukumäärää, joihin rikkominen on vaikuttanut. Hakijoiden yhteydenotoista ja tietosuojavaltuutetun toimiston selvityspyynnöistä huolimatta rekisterinpitäjä on edelleen jatkanut ja pääasiallisesti edelleenkin jatkaa tietosuojavaltuutetun päätöksissä kuvattua henkilötietojen käsittelyä. Tältä osin rekisterinpitäjän toiminta ilmentää, että rekisterinpitäjän toiminnassa ei ole riittävästi perehdytty voimassa olevaan lainsäädäntöön ja siitä johtuviin vaatimuksiin, mikä puolestaan ilmentää piittaamattomuutta laissa säädetystä. Kysymys ei ole ollut yksittäisestä tai yksittäisistä tapahtumista, vaan järjestelmällisestä yleisen tietosuoja-asetuksen rikkomisesta.

Arvioinnissa on otettu huomioon myös kysymyksessä olevan liiketoiminnan laatu. Kysymys on yksityisestä pysäköinninvalvontatoiminnasta, jota toimialaa koskevaa erityislainsäädäntöä ei ole. Tälle liiketoiminnalle on luonteenomaista, että yksityisellä alueella havaitusta luvattomasta ja/tai virheellisestä pysäköinnistä asetetaan valvontamaksu ajoneuvon pysäköineelle henkilölle. Tällaiseen toimintaan on katsottu liittyvän perustuslain (731/1999) 124 §:ssä tarkoitetun julkisen hallintotehtävän piirteitä. Tämä huomioon ottaen rekisterinpitäjältä voidaan odottaa erityistä huolellisuutta. Tässä yhteydessä on vielä viitattava rekisterinpitäjän esittämään näkemykseen siitä, että valvontaviranomainen aluksi lähestyisi rekisterinpitäjiä ensin ohjaten ja mahdollisissa rikkomustilanteissakin lievemmästä päästä olevien sanktioiden muodossa. On todettava, että tämä rekisterinpitäjän käsitys on virheellinen.

Seuraamuskollegio kiinnittää huomiota siihen, että tulisi tehdä selvä ero hallinnollinen seuraamusmaksun ja uhkasakon välillä. Uhkasakko on jo ennen yleistä tietosuoja-asetusta tietosuojavaltuutetun käytettävissä ollut keino, joka nimenomaisesti asetetaan päätöksen tehosteeksi ja edellyttää siten edeltävää päätöstä tai määräystä. Hallinnollinen seuraamusmaksu on taas luonteeltaan erilainen ja uhkasakosta erillinen seuraamus, jonka määrääminen ei edellytä, että rekisterinpitäjälle olisi esimerkiksi osoitettu aiempia, samaa asiaa koskevia päätöksiä. Valittajan näkemys siitä, että valvontaviranomaisen tulisi ennen hallinnollisen seuraamusmaksun määräämistä antaa yksityiskohtaista ohjausta taikka muu hallinnollista seuraamusmaksua lievempi seuraamus johtaisi käytännössä siihen, että hallinnolliselle seuraamusmaksulle muodostuisi uhkasakon kaltainen vaikutus. Hallinnollinen seuraamusmaksu on luotu nimenomaan uhkasakosta erilliseksi seuraamukseksi.

Seuraamuskollegio kiinnittää tältä osin huomiota lisäksi siihen, että tietosuoja-asetuksen 83 artiklan 2 kohdan mukaan hallinnolliset sakot määrätään kunkin yksittäisen tapauksen olosuhteiden mukaisesti 58 artiklan 2 kohdan a–h ja j alakohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden sijasta. Edelleen saman artiklan 6 kohdan mukaan 58 artiklan 2 kohdassa tarkoitetun valvontaviranomaisen määräyksen noudattamatta jättämisestä määrätään tämän artiklan 2 kohdan mukaisesti hallinnollinen sakko, joka on enintään 20 000 000 euroa, tai jos kyseessä on yritys, neljä prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi. Toisin sanoen edellä mainitussa artiklan kohdassa on erikseen sanktioitu valvontaviranomaisen määräyksen noudattamatta jättäminen. Koska kysymys on yleisen tietosuoja-asetuksen vakavasta rikkomisesta, johtaa viranomaisen päätöksen noudattamatta jättäminen korkeamman sakkoluokan soveltamiseen. Yleisen tietosuoja-asetuksen 83 artiklan sanamuotojen perusteella on näin selvää, että hallinnollinen seuraamusmaksu voidaan määrätä ilman sitä edeltävää muuta määräystä tai huomautusta.

Seuraamuskollegio toteaa, että yleisen tietosuoja-asetuksen säännökset eivät edellytä, että valvontaviranomainen olisi ennen hallinnollisen seuraamusmaksun määräämistä ohjannut rekisterinpitäjää muuttamaan toimintaansa, eikä tällaista velvoitetta voida johtaa muustakaan lainsäädännöstä. Seuraamuskollegion aiemmassa ratkaisukäytännössä ei ole myöskään katsottu, että hallinnollisen seuraamusmaksun määrääminen edellyttäisi, että rekisterinpitäjä olisi ensin tietosuojavaltuutetun toimesta ohjattu muuttamaan toimintaansa. Seuraamuskollegio viittaa tässä yhteydessä hallinnollisesta seuraamusmaksusta ja uhkasakosta edellä todettuun. Ennen yleisen tietosuoja-asetuksen soveltamisen alkamista hallinnollisen seuraamusmaksun määrääminen ei ollut mahdollista, mistä johtuen valvontaviranomaisen aiempi valvontakäytäntö on ollut lähinnä ohjaavaa. Todettakoon vielä, että hallinnollisen seuraamusmaksun tulee olla luonteeltaan varoittava. Rahamäärältään tällaisen seuraamusmaksun tulee siten olla sellainen, että sen taloudellinen vaikutus ei ole yhdentekevä rekisterinpitäjän liiketoiminnan kannalta.

Se, että rekisterinpitäjä on ilmoittanut luopuvansa edellyttämästä henkilötunnusta tietosuojalomakkeellaan, on arvioinnissa otettu huomioon hallinnollisen seuraamusmaksun määrää alentavana seikkana.

Seuraamuskollegio katsoo tehokkaaksi, oikeasuhteiseksi ja varoittavaksi määrältään 75 000 (seitsemänkymmentäviisituhatta) euron suuruisen hallinnollisen seuraamusmaksun.

Hallinnollisen sakon määräämistä koskevan päätöksen ovat tehneet tietosuojavaltuutetun seuraamuskollegion jäsenet.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen.

Lisätietoja tästä päätöksestä antaa asian esittelijä

Laura Varjokari, puhelin 029 56 66771