Rekisteröidyn oikeudet - Oikeus saada pääsy tietoihin

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	24.06.2021
Diaarinumero:	4182/146/2019

Rekisterinpitäjä

Nissan Nordic Europe Oy

Asia

Hakija on 4.3.2019 saattanut Tanskan valvontaviranomaisessa (Datatilsynet) vireille asian koskien rekisteröidyn oikeutta saada pääsy tietoihin. Hakija on kertonut pyytäneensä rekisterinpitäjältä pääsyä tietoihinsa. Rekisterinpitäjä oli samana päivänä 12.11.2018 vahvistanut vastaanottaneensa hakijan pyynnön. Sittemmin 12.12.2018 rekisterinpitäjä oli ilmoittanut toimittavansa pyydetyt tiedot yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa tarkoitetun 60 päivän sisällä. Näin ei kuitenkaan ollut tapahtunut. Tanskan valvontaviranomainen oli sittemmin ollut yhteydessä rekisterinpitäjään, joka oli 27.3.2019 ilmoittanut Tanskan valvontaviranomaiselle, että se toimittaa hakijalle tämän pyytämät tiedot. Hakija oli kuitenkin 20.5.2019 puhelimitse Tanskan valvontaviranomaiselle ilmoittanut, että tietoja ei edelleenkään ollut hänelle toimitettu.

Tanskan valvontaviranomainen on suorittanut asiassa esiselvityksen selvittäen muun muassa käsillä olevan asian rajatylittävää luonnetta. Tässä yhteydessä rekisterinpitäjä on ilmoittanut, että Nissan Automotive Europe S.A.S. -nimisen yhtiön keskushallinnon sijaintipaikka on Ranskassa. Tämä keskushallinnon sijaintipaikan toimipaikka ei kuitenkaan annetun esiselvityksen mukaan tee päätöksiä nyt kantelun kohteena olevasta henkilötietojen käsittelystä eikä sillä ole toimivaltaa panna tähän liittyviä päätöksiä täytäntöön. Tällaiset päätökset sen sijaan tekee ja panee täytäntöön Nissan Nordic Europe Oy, joka toimii Suomessa, Ruotsissa, Norjassa ja Tanskassa sekä Virossa, Latviassa ja Liettuassa. Yhtiön päätoimipaikka sijaitsee Suomessa. Tanskan valvontaviranomaiselle annetussa esiselvityksessä on niin ikään todettu, että kaikissa edellä mainituissa toimipaikoissa käsitellään henkilötietoja. Koska nyt kantelun kohteena olevaa henkilötietojen käsittelyä koskevat päätökset tehdään ja pannaan täytäntöön kuitenkin Suomessa, on Suomen valvontaviranomainen katsottu toimivaltaiseksi toimimaan asiassa johtavana valvontaviranomaisena.

Rekisterinpitäjältä saatu selvitys

Tietosuojavaltuutetun toimisto on pyytänyt rekisterinpitäjältä selvitystä asiasta. Rekisterinpitäjä on antanut selvityksensä 12.5.2020.

Annetussa selvityksessä on vahvistettu, että hakija oli pyytänyt saada pääsyä tietoihinsa 12.11.2018. Annetussa selvityksessä on edelleen todettu, että rekisterinpitäjä on määritellyt tarkat menettelytavat, joilla pyritään varmistamaan, että tällaiset rekisteröityjen pyynnöt sekä tunnistetaan että käsitellään asianmukaisesti niin, että pyydetyt tiedot toimitetaan tietojaan pyytäneille rekisteröidyille säädettyjen aikarajojen puitteissa. Rekisterinpitäjä on ilmoittanut, että se ei ole tietoisesti jättänyt tietoja hakijalle toimittamatta.

Annetussa selvityksessä on edelleen todettu, että pyydetyt tiedot oli kerätty ja valmisteltu hakijalle lähettämistä varten. Tässä yhteydessä rekisterinpitäjä on ilmoittanut eritelleensä kirjalliset tiedot ja puhelutallenteet. Rekisterinpitäjä on ilmoittanut, että se ei ollut luovuttanut puhelutallenteita, sillä kolmas osapuoli oli ollut tallenteilta tunnistettavissa. Rekisterinpitäjä on kuitenkin ilmoittanut, että tallenteet ovat jatkossa rekisteröityjen kuunneltavissa.

Kirjallisten tietojen osalta rekisterinpitäjä on ilmoittanut, että tietoja ei ollut hakijalle toimitettu inhimillisestä erehdyksestä johtuen. Rekisterinpitäjä on ilmoittanut selvittävänsä, miten tällainen erehdys oli päässyt tapahtumaan. Covid-19-tilanteesta johtuen useampi rekisterinpitäjän palveluksessa oleva henkilö on asiaa selvitettäessä ollut lomautettuna, mikä on vaikeuttanut asian selvittämistä. Rekisterinpitäjä on ilmoittanut päivittäneensä tarkastusoikeuden käyttämistä koskevat menettelytapansa ja ohjeensa. Rekisterinpitäjä on ilmoittanut luottavansa sekä siihen, että jatkossa tällaiset inhimilliset virheet voidaan minimoida että siihen, että jatkossa tiedot toimitetaan säädettyjen aikarajojen puitteissa.

Rekisterinpitäjältä saatu lisäselvitys

Tietosuojavaltuutetun toimisto on pyytänyt rekisterinpitäjältä lisäselvitystä asiasta. Rekisterinpitäjä on antanut lisäselvityksensä 20.8.2020.

Rekisterinpitäjä on ilmoittanut sittemmin toimittaneensa hakijalle tämän pyytämät tiedot puhelutallenteita lukuun ottamatta. Puhelutallenteita ei ollut hakijalle toimitettu, sillä rekisterinpitäjä oli halunnut varmistaa, että tallenteilta tunnistettavissa olevan kolmannen osapuolen oikeudet ja tietosuoja eivät vaarantuisi. Rekisterinpitäjä on kuitenkin ilmoittanut ryhtyneensä toimiin toimiakseen jatkossa apulaistietosuojavaltuutetun päätöksessä 3021/452/2017 todetun mukaisesti. Rekisterinpitäjä on ehdottanut, että jatkossa se litteroisi puhelutallenteet sillä tavoin, että kolmas osapuoli ei olisi niiltä tunnistettavissa ja toimittaisi tällä tavoin litteroidut tallenteet tietojaan pyytäneille rekisteröidylle. Rekisterinpitäjä on selvyyden vuoksi todennut, että sillä ei tällä hetkellä ole hallussaan hakijaa koskevia puhelutallenteita. Puhelutallenteet poistuvat rekisterinpitäjän järjestelmistä kuusi kuukautta puhelun jälkeen.

Hakijan vastine

Hakija on antanut asiassa vastineensa 14.10.2020.

Hakija on vahvistanut, että rekisterinpitäjä oli toimittanut hänelle kysymyksessä olevat tiedot. Rekisterinpitäjä oli lisäksi varannut hakijalle mahdollisuuden käydä rekisterinpitäjän toimipisteessä kuuntelemassa ne puhelutallenteet, jotka vielä tuolloin olivat rekisterinpitäjän hallussa.

Hakija ei ole tyytyväinen rekisterinpitäjän toimintaan. Hakija on kertonut, että rekisterinpitäjän viivyttely oli aiheuttanut hänelle oikeudenmenetyksiä. Hakijalla oli ollut lukuisia ongelmia ostamansa ajoneuvon kanssa. Rekisterinpitäjän viivyttely oli johtanut hakijan mukaan siihen, että lopulta hakija oli joutunut myymään ajoneuvonsa. Hakija oli kertomansa mukaan hävinnyt kaupassa noin 75 000 Tanskan kruunua (≈ 10 000 euroa (hakijan arvio)). Hakijalla ei ollut ollut mahdollisuutta pitää ajoneuvoa, jota oli ollut jatkuvasti korjattava. Koska hakijalle ei ollut annettu tietoja, hakija ei ollut voinut saattaa asiaa toimivaltaisen elimen arvioitavaksi. Rekisterinpitäjä ei ole suostunut korvaamaan hakijalle aiheutuneita kuluja. Hakija ei pidä asianmukaisena eikä reiluna, että hän oli joutunut odottamaan tietojaan yli 1,5 vuotta.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Rajatylittävyyden arvioinnista

Yleisessä tietosuoja-asetuksessa on erikseen säädetty sellaisten asioiden käsittelystä, jotka ovat yleisen tietosuoja-asetuksen 4 artiklan 23 kohdassa määritellyllä tavalla rajatylittäviä. Tällaiset asiat on käsiteltävä yleisen tietosuoja-asetuksen 56 artiklassa ja VII luvussa säädetyllä tavalla toimivaltaisen valvontaviranomaisen toimesta.

Rekisterinpitäjä on antamassaan esiselvityksessä ilmoittanut, että Nissan Automotive Europe S.A.S. -nimisen yhtiön keskushallinnon sijaintipaikka on Ranskassa. Tämä keskushallinnon sijaintipaikan toimipaikka ei kuitenkaan annetun esiselvityksen mukaan tee päätöksiä nyt kantelun kohteena olevasta henkilötietojen käsittelystä eikä sillä ole toimivaltaa panna tähän liittyviä päätöksiä täytäntöön. Tällaiset päätökset sen sijaan tekee ja panee täytäntöön Nissan Nordic Europe Oy, joka toimii Suomessa, Ruotsissa, Norjassa ja Tanskassa sekä Virossa, Latviassa ja Liettuassa. Yhtiön päätoimipaikka sijaitsee Suomessa. Tanskan valvontaviranomaiselle annetussa esiselvityksessä on niin ikään todettu, että kaikissa edellä mainituissa toimipaikoissa käsitellään henkilötietoja. Näistä seikoista johtuen tietosuojavaltuutettu katsoo olevansa yleisen tietosuoja-asetuksen 56 artiklan mukaisesti toimivaltainen toimimaan asiassa johtavana valvontaviranomaisena.

Oikeudellinen kysymys

Tietosuojavaltuutettu arvioi ja ratkaisee asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta.

Hakijan asiassa on arvioitava, onko rekisterinpitäjä toteuttanut hakijan oikeuden saada pääsy tietoihin yleisen tietosuoja-asetuksen 12 artiklan 1 ja 3 kohdan ja 15 artiklan 3 kohdan mukaisesti. Lisäksi tietosuojavaltuutettu arvioi, onko sen käytettävä sille yleisen tietosuoja-asetuksen 58 artiklan 2 kohdassa määriteltyjä korjaavia toimivaltuuksia.

Tietosuojavaltuutetun päätös

Rekisterinpitäjä ei ole toteuttanut hakijan oikeutta saada pääsy tietoihin yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädetyn mukaisesti.

Rekisterinpitäjä ei ole toimittanut hakijalle kysymyksessä olevia puhelutallenteita yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa ja 15 artiklan 3 kohdassa säädetyn mukaisesti.

Tietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaisen huomautuksen. Rekisterinpitäjä ei ole ilman aiheetonta viivytystä eikä yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädetyn aikarajan kuluessa toimittanut hakijalle yleisen tietosuoja-asetuksen 15 artiklassa tarkoitettuja tietoja. Rekisterinpitäjä ei puhelutallenteiden osalta ole toteuttanut hakijan yleisen tietosuoja-asetuksen 15 artiklan mukaista oikeutta saada pääsy tietoihin.

Tietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen muuttaa käsittelytoimensa siten, että jatkossa rekisterinpitäjä toteuttaa rekisteröityjen oikeuden saada pääsy tietoihin yleisen tietosuoja-asetuksen 12 artiklan 1 ja 3 kohdassa ja 15 artiklan 3 kohdassa säädetyn mukaisesti.

Perustelut

Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä saada 15 artiklan 1 kohdan alakohdissa tarkoitetut tiedot. Edelleen yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista.

Yleisen tietosuoja-asetuksen 12 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty 15–22 artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt.

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten oikeuksien käyttämistä.

Yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan, jonka mukaan oikeus saada jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin, joita tietosuoja-asetuksen johdanto-osan perustelukappaleen 63 mukaan ovat esimerkiksi liikesalaisuudet tai henkinen omaisuus ja erityisesti ohjelmistojen tekijänoikeudet, perusteella voidaan sinänsä kieltäytyä toimittamasta rekisteröidylle 15 artiklan 1 kohdan mukaisia tietoja. Yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan perusteella voidaan joissakin tapauksissa kieltäytyä toimittamasta rekisteröidylle 15 artiklan 1 kohdan mukaisia tietoja jäljennöksenä. Edellä mainitussa lainkohdassa säädetty ei kuitenkaan lähtökohtaisesti muodosta hyväksyttävää perustetta olla toteuttamatta rekisteröidyn oikeutta saada pääsy tietoihin.

Käsillä olevasta asiasta

Hakija on vahvistanut, että rekisterinpitäjä on puhelutallenteita lukuun ottamatta toimittanut hänelle hänen pyytämänsä tiedot. Tietoja ei kuitenkaan ollut toimitettu ilman aiheetonta viivytystä eikä yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädetyn aikarajan kuluessa.

Hakija oli pyytänyt tietojaan ensimmäisen kerran 12.11.2018, minkä jälkeen 12.12.2018 rekisterinpitäjä oli ilmoittanut hakijalle toimittavansa pyydetyt tiedot yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa tarkoitetun 60 päivän sisällä. Näin ei kuitenkaan ollut tapahtunut, mistä johtuen hakija oli ollut yhteydessä Tanskan valvontaviranomaiseen, joka sittemmin oli myös ollut yhteydessä rekisterinpitäjään. Rekisterinpitäjä oli 27.3.2019 ilmoittanut Tanskan valvontaviranomaiselle, että se toimittaa hakijalle tämän pyytämät tiedot. Hakija oli kuitenkin 20.5.2019 puhelimitse Tanskan valvontaviranomaiselle ilmoittanut, että tietoja ei edelleenkään ollut hänelle toimitettu.

Tietosuojavaltuutetun toimisto on puolestaan lähettänyt rekisterinpitäjälle selvityspyynnön 16.5.2020. Rekisterinpitäjä on antanut selvityksensä 12.5.2020. Annetussa selvityksessä on esitetty, että inhimillisestä erehdyksestä johtuen tietoja ei ollut hakijalle toimitettu. Tietosuojavaltuutettu kiinnittää huomiota siihen, että rekisterinpitäjä ei tässä yhteydessä kuitenkaan luvannut korjata tilannetta. Rekisterinpitäjä ei luvannut toteuttaa hakijan oikeutta saada pääsy tietoihin. Rekisterinpitäjältä on edelleen pyydetty lisäselvitystä 7.8.2020, ja rekisterinpitäjä on antanut lisäselvityksensä 21.8.2020. Annetussa lisäselvityksessä on todettu, että tiedot puhelutallenteita lukuun ottamatta oli nyt toimitettu hakijalle. Todettakoon, että hakija oli pyytänyt tietoja marraskuussa 2018, ja tiedot oli lopulta toimitettu hänelle vasta elokuussa 2020. Näin ollen oikeuden toteuttamisessa oli kestänyt yksi vuosi ja yhdeksän kuukautta. Voidaan todeta, että hakijan pyynnöstä ja tietosuojaviranomaisten yhteydenotoista huolimatta rekisterinpitäjä ei ollut huolehtinut siitä, että hakijan oikeus olisi asianmukaisesti toteutettu. Rekisterinpitäjä on toiminut vastoin yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädettyä.

Puhelutallenteista

Rekisterinpitäjä ei ollut toimittanut hakijalle puhelutallenteita, sillä rekisterinpitäjä oli halunnut varmistaa, että tallenteilta tunnistettavissa olevan kolmannen osapuolen oikeudet ja tietosuoja eivät vaarantuisi.

Selvyyden vuoksi todettakoon, että puhelutallenne sisältää yleisen tietosuoja-asetuksen 4 artiklan 1 kohdassa tarkoitettuja henkilötietoja. Korkein hallinto-oikeus on ratkaisussaan 30.7.2010 (2094/1/09) katsonut nauhalle tallentuneen äänen henkilötiedoksi, ja siten 1.1.2019 kumotun henkilötietolain (523/1999) 26 §:ssä säädetyn tarkastusoikeuden piiriin kuuluvaksi. Vastaavasti Euroopan yhteisöjen ensimmäisen asteen tuomioistuin on 11.3.2009 katsonut asiassa T-166/05, että henkilö voidaan tunnistaa äänen perusteella (kappale 39). Näin ollen ääni katsotaan henkilötiedoksi. Yleinen tietosuoja-asetus ei ole muuttanut henkilötietolain mukaista henkilötiedon määritelmää.

Yleisen tietosuoja-asetuksen voimaantulo ja soveltaminen ei ole muuttanut henkilötiedon määritelmää siten, että nauhalle tallentunutta ääntä henkilötietona tulisi arvioida toisin. Rekisteröidyillä on siten edelleen oikeus saada pääsy henkilötietoihin myös puheluntallenteen osalta. Todettakoon, että apulaistietosuojavaltuutettu on päätöksellään 3021/452/2017 (annettu 20.2.2020) vahvistanut edellä mainitussa ratkaisukäytännössä todetun myös omaksi tulkinnakseen.

Todettakoon, että yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan mukaan rekisterinpitäjä voi kieltäytyä toimittamasta tietoja jäljennöksenä, jos oikeuden toteuttaminen tässä muodossa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin. Rekisteröidyn oikeuksien rajoittaminen edellä mainitun kohdan perusteella kuitenkin edellyttää, että rekisterinpitäjä osoittaa, että rekisteröidyn oikeuden toteuttaminen yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaisesti vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin. Selvyyden vuoksi on todettava, että yksinomaan työtehtävää hoitavan henkilön äänen tallentumista nauhalle ei ole pidettävä tällaisena syynä.

Todettakoon, että myös tietosuojavaltuutettu on kumotun henkilötietolain mukaisessa ratkaisussaan (annettu 12.9.2013, dnro 2240/523/2013) katsonut, että puhelinkeskustelunauhoitteisiin sisältyy käytännössä aina myös toista henkilöä koskevia henkilötietoja, eikä tämän voida katsoa olevan esteenä tarkastusoikeuden toteuttamiselle. Päätöksen mukaan rekisterinpitäjän edustajaa koskevia henkilötietoja oli siis voinut henkilötietolain estämättä päätyä tarkastusoikeuttaan käyttävälle rekisteröidylle.

Vaikka rekisterinpitäjä ei ollut toimittanut puhelutallenteita hakijalle, oli rekisterinpitäjä varannut hakijalle mahdollisuuden puhelutallenteiden kuuntelemiseen rekisterinpitäjän toimipisteessä.

Edelleen tietosuojavaltuutettu on kumotun henkilötietolain mukaisissa ratkaisuissaan (annettu 10.5.2011, dnro 2680/41/2010 ja annettu 12.9.2013, dnro 2240/523/2013) tulkinnut rekisteröidyn oikeutta saada asiakaspuhelutallenne henkilötietolain 28 §:n nojalla. Tietosuojavaltuutettu on katsonut, että henkilötietolain 26 §:n mukainen oikeus voitiin toteuttaa joko varaamalla rekisteröidylle puhelutallenteen kuuntelumahdollisuus (2680/41/2010) tai toimittamalla tallenne rekisteröidyn pyynnöstä hänelle kirjallisesti ja esimerkiksi auki kirjoitettuna tulosteena (2240/523/2013). Rekisteröidyn pyytäessä tiedot oli kuitenkin toimitettava kirjallisesti (12.9.2013 dnro 2240/523/2013). Voidaan todeta, että apulaistietosuojavaltuutettu on päätöksellään 3021/452/2017 (annettu 20.2.2020) vahvistanut edellä mainitussa ratkaisukäytännössä todetun myös omaksi tulkinnakseen.

Vastaavasti yleisessä tietosuoja-asetuksessa on säädetty tietojen toimittamisen muodosta. Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan 15 artiklaa koskevat tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Lisäksi oikeuden saada pääsy tietoihin osalta on yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa säädetty rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle jäljennös käsiteltävistä henkilötiedoista.

Tietosuojavaltuutettu katsoo, että puhelutallenteen kuuntelumahdollisuuden tarjoaminen ei vastaa yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa ja 15 artiklan 3 kohdassa säädettyä. Yleisen tietosuoja-asetuksen 12 artiklan 1 mukaan tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Edelleen yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Tietosuojavaltuutettu kiinnittää tässä yhteydessä huomiota erityisesti siihen, että rajoituksia Euroopan unionin perusoikeuskirjan (2012/C 326/02) 8 artiklan 2 kohdan mukaiseen oikeuteen saada tutustua tietoihin tulee tulkita suppeasti.

Tietosuojavaltuutettu katsoo, että rekisterinpitäjä voi kuitenkin halutessaan tarjota rekisteröidylle puhelutallenteen kuuntelumahdollisuuden rekisterinpitäjän toimipisteessä, mutta tämä ei kuitenkaan voi olla ainoa tapa toteuttaa rekisteröidyn oikeus.

Kumottu henkilötietolaki olisi edellyttänyt rekisterinpitäjää toimittamaan rekisteröidyn pyytämät tiedot esimerkiksi litteroituna. Koska yleisen tietosuoja-asetuksen nojalla rekisterinpitäjä voi toimittaa tiedot sähköisessä muodossa, voi rekisterinpitäjä kuitenkin harkintansa mukaan toimittaa jäljennöksen tiedoista myös muussa muodossa, kuten nauhoitteena.

Annetussa lisäselvityksessä on todettu, että rekisterinpitäjällä ei enää ole hallussaan hakijaan liittyviä puhelutallenteita. Annetussa lisäselvityksessä on niin ikään todettu, että puhelutallenteet poistuvat rekisterinpitäjän järjestelmistä kuusi kuukautta kunkin puhelun jälkeen. Tässä yhteydessä on syytä todeta, että tietosuojavaltuutettu ei voi antaa määräystä rekisteröidyn oikeudesta saada pääsy sellaisiin tietoihin, joita rekisterinpitäjällä ei ole hallussaan (ks. esimerkiksi Helsingin hallinto-oikeuden päätös 19/0154/5, annettu 7.3.2019).

Edellä selostetun perusteella tietosuojavaltuutettu katsoo, että rekisterinpitäjä ei ole toteuttanut hakijan yleisen tietosuoja-asetuksen 15 artiklan mukaista oikeutta saada pääsy tietoihin yleisessä tietosuoja-asetuksessa säädetyn mukaisesti, eikä rekisterinpitäjän toimintatapa 15 artiklan mukaisen oikeuden toteuttamisessa puhelutallenteiden osalta yleisestikään vastaa yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa ja 15 artiklan 3 kohdassa säädettyä.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.

Päätös on lainvoimainen.