9.6.2025

Rekisteröidyn informointi silloin, kun rekisterinpitäjä ei ole saanut suoramarkkinointitarkoituksissa käsittelemiään rekisteröidyn yhteystietoja rekisteröidyltä itseltään

Vireillesaattaja on rekisterinpitäjältä saamansa suoramarkkinointipuhelun jälkeen pyrkinyt selvittämään rekisterinpitäjältä, miten ja milloin hän on rekisteriin päätynyt, ja miksi hänen henkilötietojensa käsittely on tapahtunut hänen tietämättään. Vireillesaattaja ei kertomansa mukaan ole ollut rekisterinpitäjän asiakas.

Tietosuojavaltuutetun toimiston saaman selvityksen perusteella rekisterinpitäjä on hankkinut yhteystietoja kolmannelta taholta yksinomaan suoramarkkinointiyhteydenottoja varten. Selvityksen perusteella myös vireillesaattajan yhteystiedot on hankittu muualta kuin vireillesaattajalta itseltään. Rekisterinpitäjän suorittamassa suoramarkkinoinnissa on ollut kyse perinteisestä puhelinmarkkinoinnista, joka ei edellytä rekisteröidyltä etukäteen hankittua suostumusta. Rekisteröityä on kuitenkin myös tällöin informoitava henkilötietojen käsittelystä.

Yleisen tietosuoja-asetuksen 14 artiklassa säädetään rekisteröityjen informoinnista tilanteissa, joissa henkilötietoja ei ole saatu rekisteröidyltä. Sanotun artiklan 3 kohdan b alakohdan mukaan silloin, jos henkilötietoja käytetään viestintään asianomaisen rekisteröidyn kanssa, henkilötietojen käsittelyä koskeva informaatio on toimitettava rekisteröidylle viimeistään, kun rekisteröityyn ollaan yhteydessä ensimmäisen kerran. Rekisteröidylle on tällöin annettava esimerkiksi rekisterinpitäjän ja tämän mahdollisen edustajan identiteetti- ja yhteystiedot, mahdollisen tietosuojavastaavan yhteystiedot, henkilötietojen käsittelyn tarkoitukset ja käsittelyn oikeusperuste, henkilötietojen säilytysaika sekä tieto siitä, mistä henkilötiedot on saatu. ¹

Rekisterinpitäjä on esittänyt antaneensa henkilötietojen käsittelyä koskevan informaation rekisteröidyille siten, että se on yleisesti informoinut rekisteröityjä eri asiointitilanteissa rekisteriselosteensa avulla sekä kertonut henkilötietojen käsittelystä, jos rekisteröidyt ovat esittäneet tätä koskevia kysymyksiä. Rekisteröityjen asianmukaiseksi informoimiseksi ei kuitenkaan tässä tapauksessa riitä, että henkilötietojen käsittelyä koskevaa informaatiota on löydettävissä rekisterinpitäjän verkkosivuston tietosuojaselosteesta tai että rekisteröity ohjataan tutustumaan tietosuojaselosteeseen. Riittävää ei myöskään ole, että rekisterinpitäjä vastaa rekisteröityjen esittämiin kysymyksiin, vaan rekisterinpitäjällä itsellään on yleisen tietosuoja-asetuksen 14 artiklan mukainen velvollisuus toimittaa rekisteröidylle henkilötietojen käsittelyä koskevat tiedot. Edellä esitetysti tiedot on toimitettava rekisteröidylle viimeistään silloin, kun rekisteröityyn ollaan yhteydessä ensimmäisen kerran.

Silloin, kun rekisteröidyn yhteystiedot on hankittu puhelinmarkkinointia varten muualta kuin rekisteröidyltä itseltään, keskeisimmät henkilötietojen käsittelyä koskevat tiedot voidaan antaa rekisteröidylle markkinointipuhelun aikana. Rekisteröityyn ei siten ole tässä tapauksessa välttämätöntä olla ensin yhteydessä yksinomaan henkilötietojen käsittelystä informoimiseksi. Puhelun aikana rekisteröidylle on tällöin annettava kaikkein keskeisimmät henkilötietojen käsittelyä koskevat tiedot, eli hänelle on kerrottava rekisterinpitäjän ja tämän mahdollisen edustajan identiteetti- ja yhteystiedot, hänen henkilötietojensa käsittelyn tarkoitukset sekä tiedot rekisteröidyn oikeuksista. ² On korostettava, että rekisteröidylle on oltava selvää, minkä nimisen rekisterinpitäjän tuotteiden tai palveluiden markkinoinnista on kyse, eikä esimerkiksi tieto markkinointia rekisterinpitäjän lukuun suorittavan toimijan identiteetistä ole riittävä. ³   Kun kyse on muualta kuin rekisteröidyltä itseltään hankituista henkilötiedoista, erityisen tärkeänä, markkinointipuhelun aikana rekisteröidylle annettavana tietona on pidettävä myös tietoa siitä, mistä kyseisen rekisteröidyn henkilötiedot on saatu. Rekisteröidyn on tärkeää saada tässä yhteydessä tieto henkilötietojensa lähteestä esimerkiksi sen vuoksi, että hän pystyy halutessaan esittämään henkilötietojensa käsittelyn vastustamista tai poistamista koskevan pyynnön myös kyseiselle toimijalle, jotta hänen tietonsa eivät päädy aina uudelleen tätä kautta suoramarkkinointikäyttöön. Todettakoon selvyyden vuoksi, että rekisterinpitäjä, jonka tuotteita tai palveluita suoramarkkinointipuhelussa markkinoidaan, ei aina ole henkilötietojen lähde, vaan suoramarkkinoinnissa käytettävät henkilötiedot on saatettu hankkia muualta.

Muut yleisen tietosuoja-asetuksen 14 artiklassa mainituista tiedoista voidaan antaa rekisteröidylle muiden keinojen avulla, kuten lähettämällä rekisteröidylle tietosuojainformaatio maa- tai sähköpostitse, riippuen siitä, mitä rekisteröidyn yhteystietoja rekisterinpitäjä jo käsittelee. Rekisteröity voidaan vaihtoehtoisesti ohjata tutustumaan näiden tietojen osalta rekisterinpitäjän verkkosivuilta löytyvään tietosuojainformaatioon. Jos rekisteröity ei esimerkiksi halua tai pysty vierailemaan rekisterinpitäjän verkkosivuilla, yleisen tietosuoja-asetuksen 14 artiklan mukaiset tiedot henkilötietojen käsittelystä on annettava muulla keinoin, ja rekisterinpitäjällä on oltava valmius antaa sanotut tiedot suoramarkkinointipuhelussa. Myös suoramarkkinointikiellon voi esittää suoramarkkinointipuhelun aikana, ja kielto on käsiteltävä.

Asiassa saadun selvityksen perusteella kyse on nyt arvioitavan informointikäytännön osalta ollut rekisterinpitäjän yleisestä toimintatavasta, eikä menettely ole rajoittunut yksinomaan tämän asian vireillesaattajaan. Asiassa edellä arvioidun menettelyn osalta määrättävät seuraamukset koskevat näin ollen rekisterinpitäjän yleistä toimintatapaa. Rekisterinpitäjän yleinen toimintatapa ei tässä päätöksessä edellä esitetysti ole ollut yleisen tietosuoja-asetuksen 14 artiklan mukainen, ja rekisterinpitäjä ei ole informoinut asianmukaisesti niitä rekisteröityjä, joiden yhteystiedot se on hankkinut muualta kuin rekisteröidyiltä itseltään. 

Rekisteröidyn ohjaaminen esittämään rekisteröidyn oikeuksia koskeva pyyntö uudelleen

Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamassaan selvityksessä kertonut, että se ohjaa asiakaspalveluun rekisteröidyn oikeuksia koskevan pyynnön esittäneitä esittämään pyyntönsä uudelleen rekisterinpitäjän tietosuojavastaavan sähköpostiosoitteeseen.

Rekisteröidyn oikeuksia koskevassa sääntelyssä ei edellytetä, että rekisteröity esittää rekisteröidyn oikeuksia koskevan pyyntönsä tietylle taholle rekisterinpitäjäorganisaation sisällä. ⁴

Euroopan tietosuojaneuvosto on lausuntokäytännössään ottanut kantaa tilanteeseen, jossa rekisteröidyn oikeuksia koskeva pyyntö on esitetty muun kuin ensisijaisen yhteydenottokanavan kautta: ”Jos rekisteröity kuitenkin esittää pyynnön käyttäen rekisterinpitäjän tarjoamaa viestintäkanavaa, joka poikkeaa ensisijaiseksi ilmoitetusta kanavasta, tällaista pyyntöä pidetään yleisesti ottaen asianmukaisena ja rekisterinpitäjän olisi käsiteltävä pyyntö sen mukaisesti”. ⁵   Pyynnön esittäminen muun kuin ensisijaiseksi ilmoitetun yhteydenottokanavan kautta ei siten ole itsessään peruste jättää pyyntö käsittelemättä.

Rekisteröidyn oikeuksia koskevassa sääntelyssä rekisterinpitäjältä edellytetään myöskin rekisteröidyn oikeuksien käytön helpottamista (yleisen tietosuoja-asetuksen 12(2) artikla). Käsillä olevassa asiassa on kyse tilanteista, joissa rekisteröity on esittänyt rekisteröidyn oikeuksia koskevan pyynnön rekisterinpitäjän asiakaspalveluun. Tällöin pyynnön esittäminen uudelleen edellyttää rekisteröidyltä ylimääräistä vaivannäköä. Rekisterinpitäjän asiakaspalveluun toimitettu pyyntö on niin ikään jo toimitettu rekisterinpitäjälle. Asiakaspalvelu on asiakkaiden yleinen yhteydenottokanava, ja asiakaspalveluun esitettyjen pyyntöjen käsitellyksi tuleminen on rekisteröityjen kohtuullisten odotusten mukaista.

Rekisterinpitäjän tulee siten huolehtia omatoimisesti siitä, että asiakaspalvelusta pyyntö välitetään rekisterinpitäjäorganisaation sisällä sen käsittelevälle taholle. Rekisterinpitäjä ei voi esimerkiksi jättää pyyntöä toteuttamatta sillä perustella, että pyyntö on esitetty rekisterinpitäjän asiakaspalvelulle.

Euroopan tietosuojaneuvoston mukaan ”rekisterinpitäjä ei ole velvollinen vastaamaan pyyntöön, joka on lähetetty satunnaiseen tai virheelliseen sähköpostiosoitteeseen (tai postiosoitteeseen), jota rekisterinpitäjä ei ole suoraan ilmoittanut, tai viestintäkanavaan, jota ei selvästikään ole tarkoitettu rekisteröidyn oikeuksia koskevien pyyntöjen vastaanottamiseen, jos rekisterinpitäjä on tarjonnut tarkoituksenmukaisen viestintäkanavan, jota rekisteröity voi käyttää”. ⁶   Nyt arvioitavassa asiassa ei kuitenkaan ole kyse tällaisesta tilanteesta, vaan kyse on rekisteröidyn oikeuksia koskevien pyyntöjen esittämisestä rekisterinpitäjän pääasialliseen yhteydenottokanavaan.

Rekisterinpitäjän olisi siten edellä esitetysti tullut käsitellä rekisteröityjen asiakaspalvelulle esittämät pyynnöt, eikä rekisteröityjä olisi tullut ohjata esittämään pyyntönsä uudelleen rekisterinpitäjän tietosuojavastaavalle. Rekisterinpitäjä on menettelyllään vaikeuttanut rekisteröidyn oikeuksien käyttöä ja toiminut siten yleisen tietosuoja-asetuksen 12(2) artiklan vastaisesti.

Vaatimus toimittaa jäljennös henkilöllisyystodistuksesta

Rekisterinpitäjä on yleisenä toimintatapanaan edellyttänyt toimittamaan jäljennöksen henkilöllisyystodistuksesta rekisteröidyn tunnistamiseksi tilanteissa, joissa rekisteröidyn oikeuksia koskeva pyyntö on esitetty muulla tavoin kuin rekisterinpitäjän hallussa olevasta puhelinnumerosta tai sähköpostiosoitteesta. Esimerkiksi rekisterinpitäjän verkkosivuston yhteydenottolomakkeen kautta pyynnön esittäneiltä on edellytetty henkilöllisyystodistusjäljennöksen toimittamista.

Yleisen tietosuoja-asetuksen mukainen tietojen minimointivaatimus (yleisen tietosuoja-asetuksen 5(1)(c) ja 25(2) artikla) edellyttää, että rekisterinpitäjän käsittelemät henkilötiedot ovat asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Minimointivaatimus edellyttää siten esimerkiksi, että rekisterinpitäjä ei pyydä rekisteröidyltä enempää tietoja kuin tämän riittävää tunnistamista varten on tarpeen. Yleisen tietosuoja-asetuksen 12(6) artiklan mukaan silloin, jos rekisterinpitäjällä on perusteltua syytä epäillä 15–21 artiklan mukaisen pyynnön tehneen luonnollisen henkilön henkilöllisyyttä, rekisterinpitäjä voi pyytää toimittamaan lisätiedot, jotka ovat tarpeen rekisteröidyn henkilöllisyyden vahvistamiseksi.

Rekisterinpitäjän tulisi näin ollen ensisijaisesti pyrkiä tunnistamaan rekisteröidyn oikeuksia koskevan pyynnön esittänyt sellaisten tietojen avulla, joita rekisterinpitäjä jo käsittelee. 

Käsillä olevassa asiassa rekisterinpitäjä on edellyttänyt toimittamaan jäljennöksen henkilöllisyystodistuksesta rekisteröidyn tunnistamista varten. Luontaistuotteiden vähittäiskauppaa harjoittava rekisterinpitäjä ei asiassa saadun selvityksen perusteella käsittele toiminnassaan tavanomaisesti kaikkia henkilöllisyystodistuksiin sisältyviä tietoja, kuten esimerkiksi rekisteröityjen syntymäaikoja, henkilötunnuksia tai valokuvia. Näin erityisesti, kun kyse on sellaisista rekisteröidyistä, joiden osalta rekisterinpitäjä käsittelee vain yhteystietoja suoramarkkinointia varten. Rekisterinpitäjän menettelyssä on siten ollut kyse sellaisten lisätietojen keräämisestä rekisteröidyn tunnistamistarkoituksessa, joita rekisterinpitäjä ei entuudestaan käsittele. ⁷

Silloin, kun rekisteröity ei suoraan esitä pyyntöään rekisterinpitäjän hallussa olevasta puhelinnumerosta tai sähköpostiosoitteesta, ei sellaisenaan voida katsoa olevan käsillä tilanne, jossa rekisteröidyltä olisi mahdollista pyytää lisätietoja, joita rekisterinpitäjä ei ennestään käsittele. Rekisterinpitäjällä on sen sijaan käytettävissään muita keinoja, joiden avulla se voi pyrkiä tunnistamaan rekisteröidyn riittävällä tavoin.

Rekisterinpitäjä ei asiassa saadun selvityksen perusteella ole kertonut niille rekisteröidyille, jotka ovat esittäneet pyyntönsä muulla tavoin kuin rekisterinpitäjän hallussa olevasta puhelinnumerosta tai sähköpostiosoitteesta, että tunnistautumisen voi tehdä ottamalla yhteyttä rekisterinpitäjän hallussa olevasta puhelinnumerosta tai sähköpostiosoitteesta. Rekisterinpitäjä ei ole myöskään esittänyt rekisteröidyille muita tunnistautumistapoja, vaan se on selvityksen perusteella tavanomaisena toimintatapanaan edellyttänyt näiltä rekisteröidyiltä henkilöllisyystodistusjäljennöksen toimittamista. Kyse ei siten ole ollut siitä, että rekisterinpitäjällä olisi ollut yleisen tietosuoja-asetuksen 12(6) artiklassa tarkoitettu perusteltu syy epäillä yksittäisen pyynnön esittäjän henkilöllisyyttä. Rekisterinpitäjä ei asiassa saadun selvityksen perusteella ole ylipäätään arvioinut asianmukaisesti, ovatko perusteet tällaisten lisätietojen keräämiselle käsillä.

Rekisterinpitäjä ei ole myöskään ottanut huomioon asianmukaisella tavalla sitä, että rekisterinpitäjän tulee helpottaa rekisteröidyn oikeuksien käyttämistä (yleisen tietosuoja-asetuksen 12(2) artikla). Henkilöllisyystodistusjäljennöksen hankkimisesta ja toimittamisesta voi aiheutua rekisteröidylle merkittävää lisävaivaa, mikä rekisterinpitäjän olisi tullut ottaa huomioon, kun se on määrittänyt tunnistamismenettelyään. 

Asiassa saadun selvityksen perusteella rekisterinpitäjä ei ole arvioinut asianmukaisella tavalla sen käytettävissä olevia, lievempiä keinoja rekisteröidyn riittäväksi tunnistamiseksi. Rekisterinpitäjä ei niin ikään ole toimintatapaansa määritellessään huomioinut, että sanottu menettelytapa lähtökohtaisesti johtaa tarpeettomien henkilötietojen käsittelyyn. Euroopan tietosuojaneuvosto on lausuntokäytännössään todennut henkilöllisyystodistusjäljennöksen käyttämisestä tunnistamistarkoituksessa seuraavaa: ”[…] henkilötodistuksen jäljennöksen käyttäminen osana todentamisprosessia aiheuttaa riskin henkilötietojen turvallisuudelle ja voi johtaa luvattomaan tai lainvastaiseen käsittelyyn. Tämän vuoksi sitä olisi pidettävä epäasiallisena, ellei se ole välttämätöntä, sopivaa ja kansallisen lainsäädännön mukaista”.  Rekisterinpitäjän olisi ennen käsittelytoimiin ryhtymistä tullut tehdä asianmukainen arvio siitä, millaisten tietojen pyytäminen tunnistamistarkoituksessa on tarpeellista ja oikeasuhtaista.

On korostettava, että esimerkiksi asian vireille saattaneen henkilön esittämän tietojen poistopyynnön kohdalla kyse on ollut rekisteröidyn yhteystiedoista, jotka ovat olleet yksinomaan suoramarkkinointikäytössä. Rekisterinpitäjän olisi tullut huomioida, että henkilöllisyystodistusjäljennöstä edellyttäessään se asettaa erityisesti käsittelyn laajuus ja luonne huomioon ottaen kohtuuttoman kynnyksen sanottujen tietojen poistamispyynnön toteuttamiselle.  Henkilöllisyystodistusjäljennöksen pyytäminen on ollut tässä tilanteessa selkeästi ylimitoitettua riippumatta siitä, onko pyyntö esitetty rekisterinpitäjän hallussa olevasta puhelinnumerosta vai ei.

Rekisterinpitäjä ei edellä esitetysti ole noudattanut yleisen tietosuoja-asetuksen 5(1)(c), 12(2), 12(6) ja 25(2) artiklan mukaisia velvoitteitaan. Rekisterinpitäjä on henkilöllisyystodistusjäljennöksen toimittamista järjestelmälliseen tapaan edellyttämällä kerännyt rekisteröityjen tunnistamistarkoituksessa henkilötietoja, joita se ei ole ennestään käsitellyt. Rekisterinpitäjällä olisi ollut käytettävissään muita, lievempiä keinoja rekisteröityjen tunnistamiseksi. Rekisterinpitäjä on edellä todetusti menettelyllään niin ikään hankaloittanut rekisteröidyn oikeuksien käyttämistä.