12.9.2023

Frågan gällde om den behandling av personuppgifter som Posti Ab utför i samband med den elektroniska adressändringstjänsten har varit klar och tydlig på det sätt som den allmänna dataskyddsförordningen förutsätter och om företaget i samband med att den elektroniska adressändringen görs har lämnat viss information åt den registrerade i rätt tid. Frågan gällde information om att de ändrade kontaktuppgifterna samtidigt uppdateras hos vissa organisationer och information om att den registrerade det vill säga den som gjort adressändringen har rätt förbjuda att nämnda kontaktuppgifter vidarelämnas.

Högsta förvaltningsdomstolen ansåg att art. 12.1 och art. 13.1 och 2 i den allmänna dataskyddsförordningen där uttrycken ”tillhandahålla” och ”lämna” information används, förutsätter aktiva åtgärder från den personuppgiftsansvariges sida att delge de registrerade den i nämnda bestämmelser avsedda informationen. Posti Ab kan inte under rådande omständigheter i det förevarande fallet anses ha delgett informationen om att kontaktuppgifterna på ovan nämnt sätt lämnas vidare till vissa organisationer och om rätten att förbjuda vidarelämningen med aktiva åtgärder och på ett tydligt sätt till de personer som gjort flyttanmälan utan att få produktvillkoren för postens vidaresändningstjänster för godkännande.

Högsta förvaltningsdomstolen ansåg ytterligare att påföljdskollegiet hade kunnat påföra Posti Ab en påföljdsavgift om 100 000 euro för försummelsen att iaktta den allmänna dataskyddsförordningen. Det centrala kriteriet i högsta förvaltningsdomstolens bedömning av förutsättningarna för att påföra avgiften var, att bolagets elektroniska adressändringstjänst, som samtidigt kan användas för att göra flyttanmälan till Myndigheten för digitalisering och befolkningsdata, har en synnerligen stor mängd användare och man kan anta att användarnas datatekniska kunskaper varierar.

Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) art. 5.1, art. 12.1, art. 13.1 e och 2 b, art. 58.2 i, art. 83.1, 2 och 5

Dataskyddslagen 24 § 1 mom.

Postlagen 38 §

Ärendet har avgjorts av justitieråden Riitta Mutikainen, Mika Seppälä, Taina Pyysaari, Jaakko Autio och Robert Utter. Föredragande Mikko Rautamaa.