suostumus - suoramarkkinointi

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	24.03.2023
Diaarinumero:	8086/182/2019

Tietosuojavaltuutetun päätös

Asia

Vapaaehtoinen suostumus suoramarkkinointiin arvontaan osallistumisen yhteydessä

Asian tausta

Tietosuojavaltuutetun toimistoon on 21.10.2019 saatettu vireille ilmianto koskien rekisterinpitäjän harjoittamaa henkilötietojen käsittelyä arvonnan yhteydessä. Asiassa on ollut kyse siitä, että arvontaan osallistumisen edellytys on ollut suostumuksen antaminen suoramarkkinointiin. Ilmiannossa kerrottu toimintatapa on edelleen rekisterinpitäjän vakiintuneessa käytössä.

Rekisterinpitäjältä saatu selvitys

Tietosuojavaltuutetun toimisto on lähettänyt rekisterinpitäjälle selvityspyynnön 22.3.2021, ja uudestaan 21.9.2021 sekä 5.9.2022, sillä rekisterinpitäjä ei ollut toimittanut vastausta tietosuojavaltuutetun toimiston selvityspyyntöön. Rekisterinpitäjä on 12.10.2022 toimittanut selvityksen. Rekisterinpitäjä on kertonut selvityksessään muun muassa seuraavaa.
Rekisterinpitäjän järjestämissä markkinointiarpajaisissa henkilötietojen käsittelyperusteena on suostumus. Ilmiannossa on ollut kyse rekisterinpitäjän 30-vuotisjuhlan arvonnasta, jonka säännöissä on todettu seuraavaa: ”Arvontaan osallistuminen edellyttää joko sitä, että osallistuja antaa rekisterinpitäjälle sähköisen markkinointiluvan arvontaan osallistumisen yhteydessä, tai sitä, että hän on jo aiemmin ennen arvontaan osallistumista antanut rekisterinpitäjälle sähköisen markkinointiluvan ja osallistuu tässä yhteydessä vain arvontaan”. Suostumus suoramarkkinointiin on annettu rastittamalla hyväksyntää ilmaiseva ruutu: ”Kyllä, osallistun arvontaan ja haluan liittyä rekisterinpitäjän sähköistä mainontaa saavien joukkoon tai olen jo rekisterinpitäjän sähköisen mainonnan tilaaja”.

Rekisterinpitäjä on kertonut, että sen arvontojen yhteydessä edellytetään edelleen suoramarkkinointiluvan antamista ehtona osallistumiselle. Edellä mainittu tapahtuu rastittamalla ruutu ”Tilaan rekisterinpitäjän sähköisen uutiskirjeen tai olen jo tilaaja”. Rekisterinpitäjä on kertonut, että rekisteröity voi perua uutiskirjeen tilaamisen milloin tahansa uutiskirjeen alaosan tekstilinkistä. Uutiskirjeen peruuttamisesta informoidaan arvontaan osallistumisen yhteydessä rekisterinpitäjän kertoman mukaan seuraavasti ”Uutiskirjeen tilauksen voi lopettaa kirjeen alaosan linkistä”.

Sovellettava lainsäädäntö

Yleisen tietosuoja-asetuksen 4 artiklan 11 kohdan mukaan rekisteröidyn suostumuksella tarkoitetaan mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen.

Yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan mukaan rekisteröidyllä on oikeus peruuttaa suostumuksensa milloin tahansa. Suostumuksen peruuttaminen ei vaikuta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Ennen suostumuksen antamista rekisteröidylle on ilmoitettava tästä. Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen.

Yleisen tietosuoja-asetuksen 7 artiklan 4 kohdan mukaan arvioitaessa suostumuksen vapaaehtoisuutta on otettava mahdollisimman kattavasti huomioon muun muassa se, onko palvelun tarjoamisen tai muun sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten.

Yleisen tietosuoja-asetuksen 95 artiklan mukaan yleisellä tietosuoja-asetuksella ei aseteta lisävelvoitteita sellaisen käsittelyn osalta, joka liittyy yleisesti saatavilla olevien sähköisten viestintäpalveluiden tarjoamiseen yleisissä viestintäverkoissa unionissa, suhteessa sellaisiin seikkoihin, joiden osalta on noudatettava henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annetussa Euroopan parlamentin ja neuvoston direktiivissä 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) säädettyjä erityisiä velvoitteita, joilla on sama tavoite. Yleisen tietosuoja-asetuksen johdanto-osan 173 kappaleessa puolestaan todetaan, että yleistä tietosuoja-asetusta olisi sovellettava kaikkiin sellaisiin perusoikeuksien ja -vapauksien suojelua henkilötietojen käsittelyssä koskeviin seikkoihin, joihin ei sovelleta sähköisen viestinnän tietosuojadirektiivissä säädettyjä erityisiä velvoitteita, joilla on sama tavoite, rekisterinpitäjää koskevat velvoitteet ja luonnollisten henkilöiden oikeudet mukaan lukien. Yleinen tietosuoja-asetus tulee siten lähtökohtaisesti sovellettavaksi niiltä osin kuin sähköisen viestinnän tietosuojadirektiivissä ei ole asiasta tarkemmin säädetty.

Sähköisestä suoramarkkinoinnista luonnolliselle henkilölle säädetään sähköisen viestinnän palveluista annetun lain 200 §:ssä. Kyseisen lain 200 §:n 1 momentin mukaan automatisoitujen soittojärjestelmien sekä telekopiolaitteiden, sähköpostiviestien, tekstiviestien, puheviestien, ääniviestien tai kuvaviestien avulla toteutettua suoramarkkinointia saa kohdistaa vain sellaisiin luonnollisiin henkilöihin, jotka ovat antaneet siihen ennalta suostumuksensa.
Sähköisen viestinnän tietosuojadirektiivin 2 artiklan 2 kohdan f alakohdassa määritellään käyttäjän tai tilaajan suostumus. Suostumuksella tarkoitetaan sähköisen viestinnän tietosuojadirektiivissä samaa kuin rekisteröidyn suostumuksella yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetussa Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY (henkilötietodirektiivi). Henkilötietodirektiivi on kumottu yleisellä tietosuoja-asetuksella, minkä vuoksi asetuksen 94 artiklan mukaan sitä sovelletaan henkilötietodirektiivin sijaan. Myös Euroopan unionin tuomioistuin on Planet49-asiassa antamansa tuomion kappaleessa 63 todennut, että sähköisen viestinnän tietosuojadirektiiviä ja yleisen tietosuoja-asetuksen suostumusta koskevia edellytyksiä on luettava yhdessä. Näin ollen asiassa tulee sovellettavaksi yleisen tietosuoja-asetuksen suostumusta koskeva sääntely.

Oikeudellinen kysymys

Tietosuojavaltuutettu arvioi ja ratkaisee asian yleisen tietosuoja-asetuksen (EU) 2016/679 pohjalta. Asiassa on ratkaistava

1. Onko rekisterinpitäjän pyytämä suostumus suoramarkkinointiin arvontaan osallistumisen yhteydessä ollut yleisen tietosuoja-asetuksen 4 artiklan 11 kohdan mukaisesti vapaaehtoinen, ja onko rekisterinpitäjä mahdollistanut rekisteröidyn oikeuden peruuttaa suostumus yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan mukaisesti.

Mikäli rekisterinpitäjän harjoittama henkilötietojen käsittely ei ole ollut yleisen tietosuoja-asetuksen säännösten mukaista, asiassa on ratkaistavana se, mikä yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan mukainen seuraamus toiminnasta on rekisterinpitäjälle määrättävä.

Tietosuojavaltuutetun päätös ja perustelut

Päätös

Ei määräystä.

Rekisterinpitäjän pyytämä suostumus suoramarkkinointiin arvontaan osallistumisen yhteydessä on ollut yleisen tietosuoja-asetuksen 4 artiklan 11 mukaisesti vapaaehtoinen, ja se on täyttänyt 7 artiklan 3 kohdassa säädetyn edellytyksen suostumuksen peruuttamisesta.

Perustelut

Rekisterinpitäjä edellyttää, että arvontaan osallistuva rekisteröity suostuu sähköiseen suoramarkkinointiin. Mikäli rekisteröity ei rastita ruutua, ja hyväksy näin suoramarkkinointia, rekisteröidyn ei ole mahdollista osallistua arvontaan. Arvontaan osallistumisen edellytys on siten suostumuksen antaminen suoramarkkinointiin.

Yleisen tietosuoja-asetuksen 4 artiklan 11 kohdassa säädetään yleisen tietosuoja-asetuksen mukaisesta suostumuksesta, jonka tulee olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu (Ks. suostumuksen edellytyksistä myös yleisen tietosuoja-asetuksen johdanto-osan kappale 42.). Pätevä suostumus siten pitää sisällään kaikki edellä mainitut elementit.
Osatekijä ”vapaaehtoinen” edellyttää rekisteröityjen todellista vapaan valinnan ja valvonnan mahdollisuutta. Yleisessä tietosuoja-asetuksessa säädetään yleisesti, ettei suostumus ole pätevä, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta, jos hän tuntee olevansa pakotettu antamaan suostumuksensa tai jos hänelle aiheutuu kielteisiä seurauksia siitä, ettei hän anna suostumusta. (Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020, versio 1.1, hyväksytty 4. toukokuuta 2020.)

Nyt kyseessä olevassa asiassa keskeisintä on arvioida suostumuksen vapaaehtoisuutta ehdollisuuden näkökulmasta. Ehdollisuus tarkoittaa sitä, että rekisteröidyllä on oltava todellinen vapaan valinnan mahdollisuus. Tähän liittyy keskeisesti sen arvioiminen, onko suostumus liitetty sellaiseksi sopimusehtojen osaksi, josta ei voida neuvotella. Jos suostumus on liitetty sellaisten ehtojen osaksi, joista ei voida neuvotella, olettamuksena on, että sitä ei ole annettu vapaaehtoisesti. Pakottamalla hyväksymään muiden kuin ehdottoman välttämättömien henkilötietojen käyttö, rajoitetaan rekisteröidyn valintamahdollisuuksia ja estetään vapaaehtoinen suostumus.

Yleisen tietosuoja-asetuksen 7 artiklan 4 kohdalla on tärkeä merkitys arvioitaessa, onko suostumus annettu vapaaehtoisesti. Euroopan tietosuojaneuvosto on katsonut yleisen tietosuoja-asetuksen 7 artiklan 4 kohdan osalta, että suostumuksen ”liittämistä” ehtojen hyväksymiseen, tai sopimuksen täytäntöönpanon tai palvelun tarjoamisen ”sitomista” pyyntöön saada suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa tai palvelun suorittamista varten, pidetään erittäin epätoivottavana.

Vapaaehtoisuudella tarkoitetaan edellä kerrotusti sitä, että rekisteröidyllä tulee olla todellinen vapaan valinnan mahdollisuus antaa tai olla antamatta suostumusta. Arvioinnissa tulee kuitenkin lisäksi ottaa huomioon yleisen tietosuoja-asetuksen 7 artiklan 4 kohdan sanamuoto ”arvioitaessa suostumuksen vapaaehtoisuutta olisi mahdollisimman kattavasti otettava huomioon”, joka viittaa siihen, että mainittu sanamuoto ei ole ehdoton. Euroopan tietosuojaneuvoston näkemyksen mukaan saattaa olla joitain harvoja tapauksia, joissa tämä ehdollisuus ei tekisi suostumuksesta epäpätevää.

Arvioitaessa sitä, voitaisiinko nyt kyseessä olevassa asiassa suostumus katsoa päteväksi ehdollisuudesta riippumatta, tietosuojavaltuutettu kiinnittää huomiota henkilötietojen käsittelyn tarkoitukseen. Nyt kyseessä olevassa asiassa on kyse vapaaehtoisesta arvontaan osallistumisesta. Tietosuojavaltuutettu korostaa suostumuksen vapaaehtoisuuden tärkeyttä, mutta toteaa, että nyt kyseessä olevassa asiassa ei ole kyse palvelusta, joka olisi välttämätön rekisteröidylle. Tietosuojavaltuutetun näkemyksen mukaan arvontaan osallistumatta jättäminen ei aiheuta kielteisiä seurauksia tai haittaa rekisteröidylle. Niin ikään arvontaan osallistuminen on vapaaehtoista ja luonnollinen henkilö voi vapaasti tehdä päätöksen arvontaan osallistumisesta. Edellä kerrotun perusteella tietosuojavaltuutettu katsoo, että arvontaan osallistumisen yhteydessä vaadittu suostumus suoramarkkinointiin on ollut yleisen tietosuoja-asetuksen 4 artiklan 11 kohdan mukaisesti vapaaehtoinen.

Lisäksi ollakseen pätevä, rekisteröidyllä on yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan mukaan oltava oikeus peruuttaa suostumus milloin tahansa. Perumisen on oltava yhtä helppoa kuin sen antaminen, ja oikeudesta peruuttaa suostumus on kerrottava rekisteröidylle ennen suostumuksen antamista. Tietosuojavaltuutettu katsoo rekisterinpitäjän toimintatavan täyttävän yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan mukaisen suostumuksen peruuttamista koskevan edellytyksen, sillä rekisterinpitäjä kertoo informoivansa uutiskirjeen peruuttamisesta arvontaan osallistumisen yhteydessä. Henkilötietojen käsittely suoramarkkinointiin on myös rekisterinpitäjän selvityksen mukaan mahdollista perua uutiskirjeessä olevan linkin avulla.
Tietosuojavaltuutettu ei päätöksessään muilta osin arvioi arvontaan osallistumisen ehtoja.

Sovellettavat lainkohdat

Euroopan parlamentin ja neuvoston yleinen tietosuoja-asetus (EU) 2016/679 (yleinen tietosuoja-asetus) 4 artikla 11 kohta, 7 artikla 3 ja 4 kohta.

Päätös ei ole lainvoimainen.