rekisteröidyn tunnistaminen - tarkastusoikeus - turvakielto

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	16.12.2024
Diaarinumero:	TSV/121/2021

Apulaistietosuojavaltuutetun päätös

Asia

Rekisteröidyn henkilöllisyyden vahvistaminen ja rekisteröidyn oikeus saada tutustua tietoihin

Rekisterinpitäjä

Sähköyritys

Vireillesaattajan vaatimukset perusteluineen

Vireillesaattaja on pyytänyt rekisterinpitäjältä 15.7.2021 yleisen tietosuoja-asetuksen 15 artiklan nojalla saada tutustua omiin henkilötietoihinsa ja erityisesti pyytänyt rekisterinpitäjää yksilöimään keille kolmansille osapuolille vireillesaattajan henkilötietoja on luovutettu tai on tarkoitus luovuttaa. Vireillesaattaja on kertonut turvakiellostaan rekisterinpitäjälle. Vireillesaattajan mukaan, rekisterinpitäjä ei ole toteuttanut hänen pyyntöään, koska rekisterinpitäjä ei ole pystynyt vahvistamaan hänen henkilöllisyyttään. Vireillesaattaja ei ole kertomansa mukaan toimittanut rekisterinpitäjälle lisätietoja henkilöllisyytensä vahvistamiseksi.

Vireillesaattaja on pyytänyt arvioimaan, toimiiko rekisterinpitäjä yleisen tietosuoja-asetuksen mukaisesti, kun se on edellyttänyt vireillesaattajaa toimittamaan henkilöllisyyden vahvistamiseksi henkilöllisyystodistuksen, koska vireillesaattajalla ei ole ollut pankkitunnuksia käytössä vahvaa sähköistä tunnistautumista varten. Vireillesaattaja katsoo, että vaatimus toimittaa voimassa oleva henkilöllisyystodistus tai vastaava henkilöllisyyden tunnistamisasiakirja on perusteeton ja tietojen minimoinnin vastaista.

Rekisterinpitäjältä saatu selvitys

Rekisterinpitäjältä on pyydetty asiassa selvitystä 15.9.2022. Rekisterinpitäjä on toimittanut selvityspyyntöön vastauksen 11.10.2022.

Rekisterinpitäjä on todennut vastaanottaneensa vireillesaattajan pyynnön ja pyrkinyt yleisellä tasolla kuvaamaan henkilötietojen käsittelyä ja vastaamaan vireillesaattajan kysymyksiin. Rekisterinpitäjä ei ole kertomansa mukaan voinut toteuttaa rekisteröidyn pyyntöä saada tutustua omiin henkilötietoihinsa kokonaan, koska rekisteröity ei ole suostunut toimittamaan lisätietoja hänen henkilöllisyytensä vahvistamiseksi. Rekisterinpitäjän mukaan se on aktiivisesti puhelimitse ja sähköpostitse pyrkinyt saamaan rekisteröidyltä tarvittavat lisätiedot.

Rekisterinpitäjän mukaan tavanomaisesti henkilötietopyynnöt toteutetaan luomalla sähköpostitse linkki järjestelmästä, jonka kautta vahvalla sähköisellä tunnistautumisella todennetaan asiakkaan henkilöllisyys. Rekisterinpitäjän ensisijainen tunnistamistapa ei ole ollut mahdollinen vireillesaattajan tilanteessa, koska hänellä ei ollut pankkitunnuksia käytettävissään. Asiassa annetun selvityksen mukaan rekisterinpitäjän varavaihtoehto tunnistamiselle on ollut myös asiointi asiakaspalvelussa, mutta korona-ajan takia fyysinen asiakaspalvelupiste oli suljettu. Jos rekisteröity ei halua tai pysty käyttämään ensisijaista tunnistamistapaa rekisterinpitäjän mukaan, se arvioi aina tapauskohtaisesti mitä tietoja se tarvitsee tunnistamista varten.

Rekisterinpitäjä katsoo, ettei se ole pystynyt varmistumaan vireillesaattajan henkilöllisyydestä riittävän vahvasti, koska vireillesaattaja on antanut vain etu- ja sukunimensä, syntymäaikansa ja sähköpostiosoitteensa. Asiassa annetun selvityksen mukaan, vireillesaattajan sähköpostiosoite ei ole täsmännyt rekisterinpitäjän asiakasrekisteriin kirjattuun sähköpostiosoitteeseen. Koska vireillesaattaja on viitannut tarkastuspyynnön yhteydessä turvakieltoon, rekisterinpitäjä on kertomansa mukaan edellyttänyt erityistä huolellisuutta sekä riittävää varmuutta henkilöllisyyden varmistamiseksi kyseisessä asiassa. Rekisterinpitäjä toteaa, että se ei ole yllä mainittujen seikkojen ja väärinkäytösriskin vuoksi toimittanut vireillesaattajalle jäljennöstä hänen henkilötiedoistaan ennen lisätietojen saamista. Rekisterinpitäjä on pyytänyt vireillesaattajaa toimittamaan salattuna sähköpostina jäljennöksen voimassa olevasta passista tai kuvallisesta henkilökortista sekä vahvistamaan käyttöpaikkaosoitteensa.

Rekisterinpitäjän arvion mukaan pelkkä vireillesaattajan etu- ja sukunimi ja syntymäaika eivät ole vireillesaattajan osalta olleet riittäviä hänen henkilöllisyytensä tunnistamiseen, koska hän on viitannut turvakieltoon. Turvakieltoon viittaaminen on johtanut rekisterinpitäjän mukaan entistä huolellisempaan asian tarkasteluun, ja asian harkinnassa rekisterinpitäjä on antanut enemmän painoarvoa vireillesaattajan tunnistamiselle. Rekisterinpitäjän näkemyksen mukaan lisätietojen kysyminen on ollut oikeassa suhteessa, kun otetaan huomioon käsiteltävien henkilötietojen luonne. Rekisterinpitäjä on kertonut vireillesaattajalle sekä puhelimitse että sähköpostitse syyt, joiden vuoksi hänelle ei suoraan ole ollut mahdollista toimittaa jäljennöstä hänen henkilötiedoistaan. Rekisterinpitäjä on todennut vireillesaattajan kieltäytyneen antamasta pyydettyjä lisätietoja, koska vireillesaattajan mukaan rekisterinpitäjällä oli jo kaikki hänen yhteystietonsa.

Rekisterinpitäjän käsityksen mukaan se on toteuttanut vireillesaattajan yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdan mukaisen pyynnön koskien oikeutta saada tietää henkilötietojen vastaanottajat tai vastaanottajaryhmät. Rekisterinpitäjä on toimittanut selvityksensä mukaan vireillesaattajalle vastaanottajaryhmittäin kyseiset tiedot. Rekisterinpitäjä katsoo, että se on antanut tiedot riittävällä tasolla vastaanottajaryhmistä, koska tiedot on annettu siinä vaiheessa, kun Euroopan tietosuojaneuvoston (EDPB) ohjeesta 1/2022 (rekisteröityjen oikeuksista – oikeus tutustua tietoihin, versio 2.1, annettu 28. maaliskuuta 2023) ei ole ollut vielä lopullista versiota eikä asiasta ollut oikeuskäytäntöä.

Rekisterinpitäjä on selvityksessään kertonut, että se on parhaillaan suunnittelemassa vaihtoehtoista tunnistautumistapaa siten, että rekisteröidyt voivat pankkitunnuksien lisäksi myös itseasiointipalvelun kautta todistaa henkilöllisyytensä käyttäjänimellä ja salasanalla.

Vireillesaattajan vastine

Vireillesaattaja on antanut vastineensa 26.10.2022. Vireillesaattaja on esittänyt vastineessaan keskustelleensa puhelimitse muun muassa laskutustiedoistaan rekisterinpitäjän edustajan kanssa ja ilmoittanut samalla osoitteen henkilöllisyyden varmistamiseksi. Vireillesaattaja on kertomansa mukaan antanut riittävät tiedot rekisterinpitäjälle. Väite, ettei rekisterinpitäjällä olisi riittäviä tietoja, on vireillesaattajan mielestä paikkansa pitämätön. Vireillesaattaja lisää, että rekisterinpitäjä on edelleen vaatinut lisätietoina voimassa olevan henkilöllisyystodistuksen. Vireillesaattajan mukaan rekisterinpitäjä on tietoinen vireillesaattajan ilmoittamasta turvakiellosta.

Rekisterinpitäjältä saatu lisäselvitys

Rekisterinpitäjältä on pyydetty asiassa lisäselvitykset 16.2.2024 ja 12.4.2024. Rekisterinpitäjä on toimittanut lisäselvityspyyntöjen vastaukset 8.3.2024 ja 23.4.2024.

Rekisterinpitäjä on korostanut, että aiemman vastauksensa 11.10.2022 jälkeen yleisen tietosuoja-asetuksen 15 artiklan soveltaminen on selkiintynyt ja se on muuttanut toimintatapaansa uuden oikeuskäytännön ja Euroopan tietosuojaneuvoston ohjeen mukaisesti. Ennen Euroopan unionin tuomioistuimen antamaa ratkaisua 12.1.2023 (Österreichische Post) asiassa C‑154/21 oli rekisterinpitäjän mukaan epävarmaa, oliko 15 artiklan c kohdan mukaan riittävää ilmoittaa rekisteröidyille henkilötietojen vastaanottajat vain vastaanottajaryhmittäin. (Euroopan unionin tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C-154/21, EU:C:2023:3.) Vastauksessaan rekisterinpitäjää toteaa nyt, että rekisterinpitäjällä on velvollisuus toimittaa rekisteröidylle tietoa siitä, ketkä ovat todelliset vastaanottajat, joille rekisteröidyn tietoja on luovutettu tai tarkoitus luovuttaa. Euroopan tietosuojaneuvoston (EDPB) ohjeesta 1/2022 on myös tullut lopullinen versio 28.3.2023. (Euroopan tietosuojaneuvoston (EDPB) Ohjeet 1/2022 rekisteröityjen oikeuksista – oikeus tutustua tietoihin, versio 2.1, annettu 28. maaliskuuta 2023.)

Rekisterinpitäjä on vastannut vireillesaattajan pyyntöön saada tutustua tietoihin 8.3.2024 ilman henkilöllisyyttä koskevia lisätietoja. Vireillesaattaja on käyttänyt sähköpostiosoitettaan, kun hän on 19.3.2022 rekisteröitynyt rekisterinpitäjän itseasiointipalveluun. Kyseinen sähköpostiosoite on ollut sama, joka on rekisteröity rekisterinpitäjän asiakasrekisteriin. Tässä yhteydessä vireillesaattaja on myös vahvistanut henkilöllisyytensä vahvasti pankkitunnuksilla. Lisäksi rekisterinpitäjä toteaa, että syyskuussa 2020 vireillesaattajan puhelinnumero on rekisteröity rekisterinpitäjän asiakastietojärjestelmään.

Rekisterinpitäjä mainitsee, että vireillesaattaja teki alkuperäisen tarkastuspyyntönsä eri sähköpostiosoitteesta kuin siitä, joka oli kirjattu rekisterinpitäjän asiakastietojärjestelmään. Rekisterinpitäjän mukaan vireillesaattaja ei ole halunnut kertoa, että hän käyttää aktiivisesti myös tätä toista sähköpostiosoitetta. Rekisterinpitäjä toteaa, että tämä tieto olisi huomattavasti auttanut vireillesaattajan henkilöllisyyden vahvistamisessa.

Rekisterinpitäjän mukaan 8.3.2024 vireillesaattajalle on toimitettu henkilötietoraportti, joka on haettu 5.3.2024 rekisterinpitäjän asiakastietojärjestelmästä. Rekisterinpitäjä toteaa, ettei kyseinen raportti sisällä kaikkia henkilötietoja mitä henkilötietoraportissa olisi ollut, mikäli rekisterinpitäjä olisi toteuttanut pyynnön alkuperäisen tietopyynnön mukaisesti 15.7.2021. Rekisterinpitäjän toimittaman selvityksen mukaan osaa henkilötiedoista, esimerkiksi puhelintallenteita ja sähköistä viestintää asiakaspalvelun kanssa, ei ole voitu toimittaa vireillesaattajalle, sillä ne on jo poistettu rekisterinpitäjän säilytyskäytäntöjen mukaisesti. Tämän lisäksi rekisterinpitäjä toteaa, että se on toimittanut 8.3.2024 suojatussa sähköpostissa tiedot henkilötietojen vastaanottajista vireillesaattajalle.

Rekisterinpitäjän mukaan se noudattaa turvakiellon osalta toimialalle julkaistua ohjeistusta, joka on asianajotoimiston laatima. Ohjeistuksen mukaan asiakkaan turvakielto ei ulotu rekisterinpitäjän järjestelmiin automaattisesti, koska rekisterinpitäjän tietojärjestelmät eivät ole kytkettynä väestötietojärjestelmään. Rekisterinpitäjä saa tietoa mahdollisesta turvakiellosta vain, jos asiakas itse siitä heille ilmoittaa. Annetun selvityksen mukaan rekisterinpitäjä lisää merkinnän turvakiellosta asiakastietojärjestelmäänsä vasta sen jälkeen, kun asiakas ilmoittaa turvakiellosta heille sekä toimittaa todistuksen sen voimassaolosta. Vireillesaattajan tapauksessa rekisterinpitäjä toteaa, että rekisteröity on ainoastaan tarkastuspyynnön yhteydessä kertonut, että hänellä on turvakielto, mutta todistetta tästä rekisterinpitäjä ei ole saanut.

Vireillesaattajan vastine

Vireillesaattaja on vastineessaan 11.06.2024 esittänyt, että rekisterinpitäjä olisi ollut tietoinen turvakiellosta. Vireillesaattaja pitää moitittavana sitä, että rekisterinpitäjä ei ole oma-aloitteisesti pyrkinyt antamaan tietoja hänen henkilötietojensa vastaanottajista. Pyyntö on toteutettu vasta sitten, kun tietosuojavaltuutetun toimisto on tähän puuttunut ja tällöin alkuperäisestä pyynnöstä oli kulunut yli 2,5 vuotta. Tämän lisäksi vireillesaattaja huomauttaa, ettei rekisterinpitäjä ole toimittanut hänelle kaikkia häntä koskevia henkilötietoja, joita hän oli alun perin pyytänyt.

Sovellettava lainsäädäntö

Asiassa sovelletaan Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (yleinen tietosuoja-asetus). Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018).

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (”tietojen minimointi”).

Yleisen tietosuoja-asetuksen 12 artiklan 6 kohdan mukaan, jos rekisterinpitäjällä on perusteltua syytä epäillä 15–22 artiklan mukaisen pyynnön tehneen luonnollisen henkilön henkilöllisyyttä, rekisterinpitäjä voi pyytää toimittamaan lisätiedot, jotka ovat tarpeen rekisteröidyn henkilöllisyyden vahvistamiseksi.

Yleisen tietosuoja-asetuksen 15 artiklan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä 1 kohdan a – h alakohdan mukaiset tiedot. Artiklan 1 kohdan c alakohta mukaan rekisteröidyllä on oikeus saada tieto vastaanottajista tai vastaanottajaryhmistä, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa. Artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää.

Yleisen tietosuoja-asetuksen 58 artiklassa on säädetty valvontaviranomaisen toimivaltuuksista.

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee vireillesaattajan asian yleisen tietosuoja-asetuksen ja sitä täsmentävän tietosuojalain pohjalta. Asiassa on arvioitavana ja ratkaistavana seuraavat kysymykset:

1) onko rekisterinpitäjän toiminta vireillesaattajan henkilöllisyyden vahvistamiseksi ollut yleisen tietosuoja-asetuksen 12 artiklan 6 kohdan sekä 5 artiklan 1 kohdan c alakohdan mukainen;

2) onko rekisterinpitäjä toteuttanut vireillesaattajan oikeuden saada tutustua omiin tietoihinsa yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdan ja 15 artiklan 3 kohdan mukaisesti;

3) lisäksi on arvioitava, onko rekisterinpitäjälle annettava yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukainen huomautus.

Turvakiellosta

Vireillesaattaja on asiassaan esittänyt väitteitä turvakieltotiedon käsittelystä ja sen soveltamisesta rekisterinpitäjän toiminnassa. Turvakieltotiedon käsittelystä on säädetty väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetussa laissa (661/2009). Vireillesaattajan asiassa esittämät turvakieltoa koskevat väitteet eivät välittömästi liity yleisen tietosuoja-asetuksen soveltamisalaan vaan edellä mainittuun kansalliseen lainsäädäntöön. Näin ollen turvakieltoa koskevat väitteet on rajattu tämän päätöksen ulkopuolelle.

Apulaistietosuojavaltuutetun päätös

Rekisterinpitäjän toiminta vireillesaattajan henkilöllisyyden vahvistamisen osalta ei ole ollut vastoin yleisen tietosuoja-asetuksen 12 artiklan 6 kohdassa eikä 5 artiklan 1 kohdan c alakohdassa säädettyä.

Rekisterinpitäjä ei ole toiminut vastoin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdassa ja 15 artiklan 3 kohdassa säädettyä.

Rekisterinpitäjälle ei anneta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaista huomautusta.

Apulaistietosuojavaltuutetun perustelut

Rekisteröidyn tunnistaminen

Yleisen tietosuoja-asetuksen 12 artiklan 6 kohdan soveltaminen (perusteltu syy epäillä vireille saattajan henkilöllisyyttä)

Nyt päätöksen kohteena olevassa asiassa vireillesaattaja on esittänyt rekisterinpitäjälle yleisen tietosuoja-asetuksen 15 artiklan mukaisen pyynnön saada tutustua omiin henkilötietoihinsa.

Rekisterinpitäjä on pyytänyt vireillesaattajaa toimittamaan salatun sähköpostin välityksellä jäljennöksen voimassa olevasta henkilöllisyystodistuksesta sekä vahvistamaan käyttöpaikkaosoitteensa. Kyseinen toimintatapa on ollut vaihtoehtoinen toimintatapa rekisteröidyn henkilöllisyyden vahvistamiseksi, koska vireillesaattajalla ei ole ollut pankkitunnuksia käytössä vahvaa sähköistä tunnistautumista varten.

Rekisterinpitäjä on katsonut, että sillä on ollut syytä epäillä vireillesaattajan henkilöllisyyttä väärinkäytösriskin vuoksi. Tämä johtuu siitä, että vireillesaattaja on aluksi antanut vain etu- ja sukunimensä, syntymäaikansa ja sähköpostiosoitteensa, joka ei ole täsmännyt rekisterinpitäjän asiakasrekisterissä olevaan sähköpostiin. Näin ollen rekisterinpitäjä ei ole voinut käyttää hyödyksi samoja tunnisteita vireillesaattajan henkilöllisyyden vahvistamiseksi, joita sillä on rekisteröidystä hallussaan.

Yllä selostettu huomioon ottaen, apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjällä on ollut yleisen tietosuoja-asetuksen 12 artiklan 6 kohdassa tarkoitettu perusteltu syy epäillä vireillesaattajan henkilöllisyyttä. Tästä seuraa, että rekisterinpitäjä on voinut pyytää vireillesaattajaa toimittamaan lisätietoja, jotka ovat tarpeen henkilöllisyyden vahvistamiseksi.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan soveltaminen (minimoinnin periaate)

Yleisessä tietosuoja-asetuksessa ei ole nimenomaisia säännöksiä siitä, miten rekisteröidyn henkilöllisyys on todennettava siinä tilanteessa, jos rekisterinpitäjällä on perusteltua syytä epäillä yleisen tietosuoja-asetuksen 15 artiklan mukaisen pyynnön tehneen henkilön henkilöllisyyttä.

Kun otetaan huomioon yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädetty tietojen minimoinnin periaate, rekisterinpitäjän ei tule pyytää rekisteröidyltä enempää tietoja kuin on tarpeen ja olennaista henkilön ja pyydettyjen henkilötietojen välisen yhteyden todentamiseksi. Henkilötietoja, joita on käytetty kyseisen henkilön rekisteröintiin, voidaan käyttää myös hyödyksi henkilöllisyyden vahvistamiseksi rekisteröidyn käyttäessä oikeuksiaan. (Euroopan tietosuojaneuvoston (EDPB) Ohjeet 1/2022 rekisteröityjen oikeuksista – oikeus tutustua tietoihin, versio 2.1, annettu 28. maaliskuuta 2023, kohta 73.)

Jotta rekisterinpitäjä ei keräisi käsittelyn kannalta tarpeettomia tietoja, on rekisterinpitäjän tehtävä oikeasuhteisuuden arviointi, jossa voidaan ottaa huomioon esimerkiksi käsiteltävien henkilötietojen tyyppi, pyynnön luonne, asiayhteys, jossa pyyntö esitetään, sekä kaikki vahingot, joita epäasianmukaisesta luovuttamisesta voisi aiheutua. (Euroopan tietosuojaneuvoston (EDPB) Ohjeet 1/2022 rekisteröityjen oikeuksista – oikeus tutustua tietoihin, versio 2.1, annettu 28. maaliskuuta 2023, kohta 70.)

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjän arvio tarpeellisista lisätiedoista on ollut oikeasuhtainen vireillesaattajan henkilöllisyyden vahvistamiseksi nyt päätöksen kohteena olevassa asiassa. Rekisterinpitäjän menettely ei ole tässä yksittäistapauksessa johtanut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan vastaiseen menettelyyn. Arviossaan apulaistietosuojavaltuutettu on kiinnittänyt huomiota siihen, että kyseessä ei ole ollut rekisterinpitäjän ensisijaisesta eikä järjestelmällisestä toimintatavasta, kun se on pyytänyt henkilöllisyystodistuksesta kopion rekisteröidyn tunnistamiseksi.

Näin ollen rekisterinpitäjälle ei anneta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b mukaista huomautusta.

Vireillesaattajan yleisen tietosuoja-asetuksen 15 artiklan mukaisen oikeuden toteuttaminen

Oikeus saada jäljennös käsiteltävistä tiedoista

Asiassa on lisäksi kysymys siitä, onko rekisterinpitäjä toimittanut jäljennöksen käsiteltävistä henkilötiedoista yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaisesti.

Vireillesaattaja on 15.7.2021 esittänyt rekisterinpitäjälle yleisen tietosuoja-asetuksen 15 artiklassa tarkoitetun pyynnön. Rekisterinpitäjä on pyytänyt lisätietoja vireillesaattajan henkilöllisyyden vahvistamiseksi. Vireillesaattaja ei ole toimittanut näitä lisätietoja. Näin ollen rekisterinpitäjä ei ole voinut vahvistaa vireillsaattajan henkilöllisyyttä eikä tämän vuoksi ole toimittanut vireillesaattajalle jäljennöstä henkilötiedoista 15 artiklan 3 kohdan mukaisesti. Rekisterinpitäjä on kuitenkin 15.9.2021 toimittanut vireillesaattajalle yleisiä tietoja henkilötietojen käsittelystä yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaisesti.

Asiassa annetun selvityksen perusteella rekisterinpitäjä on 8.3.2024 toteuttanut vireillesaattajan pyynnön itseasiointipalvelussa. Tämä on ollut mahdollista, koska vireillesaattajan henkilöllisyys on pystytty vahvistamaan itseasiointipalvelun avulla. Kuitenkin vireillesaattaja on katsonut, että rekisterinpitäjä ei ole toteuttanut hänen pyyntöänsä kokonaan alkuperäisen pyynnön mukaisesti vaan toimittanut ainoastaan osan tiedoista. Rekisterinpitäjältä saadun selvityksen perusteella, se ei ole voinut toimittaa kaikkia henkilötietoja vireillesaattajalle alkuperäisen pyynnön mukaisesti, koska osa henkilötiedoista oli jo poistettu rekisterinpitäjän säilytyskäytäntöjen mukaisesti, eikä näin ollen tiedot ole olleet enää rekisterinpitäjän käytettävissä tarkastuspyynnön toteuttamisen hetkellä.

Arvioitaessa sitä, onko rekisterinpitäjä toimittanut jäljennöksen käsiteltävistä henkilötiedoista yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaisesti, on otettava huomioon, että tämän päätöksen mukaisesti rekisterinpitäjällä on ollut perusteltu syy epäillä vireillesaattajan henkilöllisyyttä ja pyytää yleisen tietosuoja-asetuksen 12 artiklan 6 kohdassa tarkoitetulla tavalla lisätietoja henkilöllisyyden vahvistamiseksi.

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä ei ole toiminut yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan vastaisesti, kun se ei ole toimittanut jäljennöstä käsiteltävistä tiedoista alkuperäisen pyynnön yhteydessä. Apulaistietosuojavaltuutettu katsoo, että oikeuden toteuttamatta jättäminen on johtunut siitä, että vireillesaattaja ei ole toimittanut pyydettyjä lisätietoja henkilöllisyyden vahvistamiseksi. Tästä on myös seurannut, että osa tiedoista oli poistettu rekisterinpitäjän määrittelemien säilytyskäytäntöjen mukaisesti.

Oikeus saada tiedot vastaanottajista tai vastaanottaja ryhmistä

Asiassa on ollut myös kyse siitä, onko rekisterinpitäjä toimittanut riittävän kattavat tiedot vastaanottajista yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdassa edellytetyllä tavalla.

Rekisterinpitäjä ei ole toimittanut 15.9.2021 vireillesaattajalle tietoja henkilötietojen vastaanottajista, vaan on toimittanut tällöin tiedot vastaanottajaryhmistä. Myöhemmin 8.3.2024 rekisterinpitäjä on kuitenkin lähettänyt vireillesaattajalle suojatulla sähköpostilla tiedot henkilötietojen vastaanottajista.

Euroopan unionin tuomioistuin on antanut ratkaisun 12.1.2023 (Österreichische Post) asiassa C‑154/21, koskien henkilötietojen vastaanottajatietoja. Ratkaisu on annettu noin 18 kuukautta rekisteröidyn tekemän alkuperäisen pyynnön jälkeen. Euroopan unionin tuomioistuimen ratkaisussa todetaan, että rekisteröidylle yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdassa säädetyn tiedonsaantioikeuden nojalla toimitettujen tietojen on oltava mahdollisimman tarkkoja. (Euroopan unionin tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C-154/21, EU:C:2023:3, 42 kohta.) Tämä tiedonsaantioikeus merkitsee erityisesti sitä, että rekisteröidyllä on mahdollisuus saada rekisterinpitäjältä tietoja niistä nimenomaisista vastaanottajista, joille tietoja on luovutettu tai on tarkoitus luovuttaa, tai vaihtoehtoisesti valita pyytää vain vastaanottajaryhmiä koskevia tietoja.

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjän menettelyä, jossa se on toimittanut tiedot tietojen vastaanottajista vastaanottajaryhmätasolla ei voida pitää tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdan vastaisena vireillesaattajan tilanteessa, koska sääntelyn tulkinta on täsmentynyt vasta myöhemmin ja rekisterinpitäjän toiminta on vastannut yleistä toimintatapaa pyynnön esittämisen hetkellä. On kiinnitettävä huomiota myös siihen, että rekisterinpitäjä on sittemmin toimittanut riittävällä tarkkuudella tiedon myös vastaanottajista.

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä ei ole toiminut tässä yksittäisessä tapauksessa vastoin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdassa säädettyä.

Näin ollen rekisterinpitäjälle ei anneta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b mukaista huomautusta.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen.

Valitusosoitus on liitteenä.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.

Asian on esitellyt ylitarkastaja Jenna Veera Asikainen.

Asian on ratkaissut apulaistietosuojavaltuutettu Heljä-Tuulia Pihamaa

Päätös on lainvoimainen.

Apulaistietosuojavaltuutetun ohjaus

Turvakiellosta on säädetty väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetussa laissa. Laki koskee lähtökohtaisesti vain viranomaiselta viranomaiselle luovutuksia. Kyseisen lain 36 §:n 1 momentin mukaan, jos henkilöllä on perusteltu ja ilmeinen syy epäillä itsensä tai perheensä terveyden tai turvallisuuden tulevan uhatuksi, väestötietojärjestelmään voidaan hakemuksesta tallettaa turvakielto. Sen henkilön, jota asia koskee, tai hänen laillisen edustajansa tulee hakea turvakieltoa Digi- ja väestötietovirastolta kirjallisesti tai muulla todistettavalla tavalla.

Turvakielto on poikkeuksellinen toimi, jolla rajoitetaan osoitetietojen luovuttamista väestötietojärjestelmästä. Kun henkilöä asettaa turvakiellon, tietoa esimerkiksi osoitteesta ja kotikunnasta voidaan luovuttaa vain sellaisille viranomaisille, jotka saavat käsitellä turvakiellon alaisia tietoja kyseisen lain 36 § 3 kohdan mukaisesti.

Kyseessä olevassa tapauksessa rekisterinpitäjä ei ole viranomainen eikä sen tietojärjestelmää ole kytketty Digi- ja väestötietoviraston väestötietojärjestelmään. Näin ollen väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetun lain 36 §:n 1 momentissa säädetty ei sellaisenaan velvoita rekisterinpitäjää.