27.4.2020

ASIA

Hakijan vaatimukset perusteluineen

Hakija on 5.7.2019 ollut yhteydessä tietosuojavaltuutetun toimistoon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 7 artiklan mukaisen sähköisen viestinnän palveluista annetun lain (917/2014; myöhemmin viestintäpalvelulaki) 200 §:n edellyttämän suostumuksen puuttumisen johdosta.

Lisäksi hakija katsoo, ettei rekisterinpitäjä ole toimittanut sille tietoa siitä, mistä hakijan tiedot on saatu.

Hakijalta saatu selvitys

Hakija on saanut rekisterinpitäjältä 20.6.2019 sähköpostiinsa xx rekisterinpitäjän lähettämän Elämysmatkojen Manchesteriin tarjoamaa fanimatkaa koskevan sähköisen suoramarkkinointiviestin. Suoramarkkinointiviestin johdosta hakija on ollut yhteydessä rekisterinpitäjään 24.6.2019 ja tiedustellut, millä perusteella hakija kuuluu rekisterinpitäjän asiakasrekisteriin ja milloin hakija on antanut suostumuksensa suoramarkkinointiin. Rekisterinpitäjä on vastannut hakijalle 24.6.2019 ja kertonut, että se ei kerää mitään tietoja asiakkaistaan, ja että uutiskirjeen tilaajien joukosta löytyy ainoastaan hakijan sähköpostiosoite, joka on lisätty uutiskirjeen listalle 13.6.2019. Lisäksi rekisterinpitäjä on hakijan toimittaman kirjeenvaihdon mukaan kertonut hakijalle, että todennäköisin syy siihen, miksi hakija on lisätty listalle, on että hakija on ilmoitettu uudeksi yhteyshenkilöksi yritys X:ltä hakijan kollegan siirryttyä lomille tai uusiin tehtäviin. Samalla rekisterinpitäjä on ilmoittanut lisänneensä hakijan suoramarkkinointia koskevalle kieltolistalle.

Hakija on tietosuojavaltuutetulle 5.7.2019 vireille saattamassaan kantelussa kertonut, ettei ole rekisterinpitäjän asiakas eikä ole antanut viestintäpalvelulain mukaisesti suostumusta suoramarkkinointiin. Rekisterinpitäjä ei myöskään hakijan kantelun mukaan ole pystynyt kertomaan mistä hakijan yhteystiedot on saatu.

Rekisterinpitäjältä saatu selvitys

Tietosuojavaltuutetun toimisto on vireille saatetun asian johdosta pyytänyt rekisterinpitäjältä 2.10.2019 päivätyllä selvityspyynnöllä selvitystä asian käsittelemiseksi. Rekisterinpitäjä on antanut selvityksen 25.10.2019.

Selvityksessä rekisterinpitäjä kertoo seuraavaa. Rekisterinpitäjän ymmärryksen mukaan asiakkaan suostumusta ei uusasiakashankinnan ja ensimmäisten kontaktien osalta tarvita silloin, kun asiakas on 1) yhteisö / yritys 2) henkilön aseman perusteella voidaan olettaa, että hän toimii yhteisössä tehtävissä, joihin suoramarkkinoinnilla tarjottavat hyödykkeet ja palvelut olennaisesti liittyvät ja 3) henkilöllä on mahdollisuus helposti ja ilman erillistä maksua kieltää yhteystietojensa käyttö jokaisen suoramarkkinointitarkoituksessa lähetetyn viestin yhteydessä.

Rekisterinpitäjän selvityksen mukaan hakija työskentelee yrityksessä X, joka on rekisterinpitäjän asiakasyritys. Rekisterinpitäjä on alun perin lähettänyt yritys X:ssä työskentelevälle yhteyshenkilölleen xx uutiskirjeen ja saanut automaattisen sähköpostivastausviestin, jossa yhteyshenkilö on kertonut olevansa poissa ja samalla kertonut, että hakija toimii hänen sijaisena poissaolon ajan. Rekisterinpitäjä kertoo, että se on siten lähettänyt uutiskirjeen hakijalle sen johdosta, että hakija on ilmoitettu uudeksi yhteyshenkilöksi yritys X:ssä työskentelevän yhteyshenkilön toimesta. Tällöin rekisterinpitäjällä on sen kertoman mukaan ollut peruste olettaa, että hakija vastaa myös tulevista tapahtumista.

Rekisterinpitäjä katsoo, ettei hakija ole tässä tapauksessa luonnollinen henkilö, vaan hakijaan on kohdistettu suoramarkkinointia yrityksensä / yhteisönsä edustajana, joka on päätöksentekijänä rekisterinpitäjän tuotteiden ja palveluiden hankintojen osalta.

Lopuksi rekisterinpitäjä kertoo lisänneensä hakijan osoitteen estolistalle eikä hakija ole vastaanottanut enää suoramarkkinointia rekisterinpitäjän toimesta.

Hakijan vastine

Tietosuojavaltuutetun toimisto on varannut hakijalle mahdollisuuden antaa vastine rekisterinpitäjän antaman selvityksen johdosta. Hakija ei ole antanut vastinettaan määräpäivään 17.1.2020 mennessä.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleinen tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan määriteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee hakijan asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 pohjalta. Asiassa on ratkaistava

1. Onko rekisterinpitäjän hakijaan kohdistama suoramarkkinointi ollut viestintäpalvelulain 202 §:n mukaista yhteisölle kohdistettua suoramarkkinointia; ja

2. Onko rekisterinpitäjä toteuttanut yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaisesti hakijan yleisen tietosuoja-asetuksen 14 artiklan 2 kohdan f alakohdan mukaisen oikeuden saada tieto siitä, mistä hakijan henkilötiedot on saatu.

TIETOSUOJAVALTUUTETUN PÄÄTÖS JA PERUSTELUT

Viestintäpalvelulain mukainen suoramarkkinointi yhteisölle

Päätös

Rekisterinpitäjän hakijaan kohdistama sähköinen suoramarkkinointi on ollut viestintäpalvelulain 202 §:n mukaista yhteisölle kohdistettua suoramarkkinointia, johon ei vaadita ennalta annettua suostumusta.

Perustelut

Viestintäpalvelulain 200 §:n 1 momentin mukaan automatisoitujen soittojärjestelmien sekä telekopiolaitteiden, sähköpostiviestien, tekstiviestien, puheviestien, ääniviestien tai kuvaviestien avulla toteutettua suoramarkkinointia saa kohdistaa vain sellaisiin luonnollisiin henkilöihin, jotka ovat antaneet siihen ennalta suostumuksensa. Saman lain 202 §:n 1 momentin mukaan suoramarkkinointia yhteisölle saa harjoittaa, jollei tämä ole sitä nimenomaisesti kieltänyt. Pykälän 2 momentin mukaan yhteisölle on annettava mahdollisuus helposti ja ilman erillistä maksua kieltää yhteystietojensa käyttö jokaisen suoramarkkinointitarkoituksessa lähetetyn sähköpostiviestin, tekstiviestin, puheviestin, ääniviestin ja kuvaviestin yhteydessä. Suoramarkkinointia harjoittavan on selkeästi tiedotettava kieltomahdollisuudesta.

Viestintäpalvelulain 202 § vastaa sähköisen viestinnän tietosuojalain (kumottu lailla sähköisen viestinnän palveluista 917/2014) 27 §:ää. Kyseisen lain hallituksen esityksessä (HE 125/2003 vp, s. 80) todetaan seuraavaa ”Luonnolliselta henkilöltä tulee aina pyytää etukäteinen suostumus. Epäselvissä tapauksissa tulee asetettua velvoitetta etukäteisestä suostumuksesta pitää pääsääntönä. Jos esimerkiksi työnantaja on osoittanut työntekijälleen henkilökohtaisen sähköpostiosoitteen muodossa etunimi.sukunimi@yritys.fi, on lähtökohtaisesti osoitetta pidettävä luonnollisen henkilön osoitteena ja etukäteinen suostumus suoramarkkinointiin on saatava. Henkilön asemavaltuuden perusteella voidaan katsoa, että hän toimii yhteisössä tietyissä tehtävissä, joihin suoramarkkinoinnilla tarjottavat hyödykkeet ja palvelut olennaisesti liittyvät, ja tällöin osoitteen voidaan katsoa kuuluvan ehdotetun pykälän mukaisesti yritykselle tai muulle yhteisölle. Tällöin etukäteissuostumusta ei tarvita, vaan kyseisellä henkilöllä on ehdotetun 27 §:n mukainen kielto-oikeus.”

Rekisterinpitäjä on kohdistanut yhteyshenkilölleen sähköistä suoramarkkinointia uutiskirjeen muodossa. Rekisterinpitäjältä saadun selvityksen perusteella yhteyshenkilölle kohdistettu suoramarkkinointi on ollut viestintäpalvelulain 202 §:n mukaista yhteisölle kohdistettua suoramarkkinointia. Apulaistietosuojavaltuutettu katsoo, että tapauksen arvioinnissa tulee kiinnittää huomiota siihen, että hakija on nimetty yritys X:ssä työskentelevän rekisterinpitäjän yhteyshenkilön sijaiseksi tämän yhteyshenkilön poissaolon ajaksi. Lisäksi arvioinnissa tulee ottaa huomioon se, että rekisterinpitäjä on kohdistanut hakijaan suoramarkkinointia vain sinä aikana, jolloin hakija on ollut nimettynä yhteyshenkilön sijaiseksi.

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjällä on tässä tapauksessa ollut syytä olettaa hakijan toimivan rekisterinpitäjän yhteyshenkilön sijaisena sellaisessa asemassa, että hakijaan voidaan kohdistaa suoramarkkinointia hallituksen esityksen HE 125/2003 vp. mukaisen asemavaltuuden perusteella. Näin ollen apulaistietosuojavaltuutettu katsoo hakijaan kohdistetun suoramarkkinoinnin olleen viestintäpalvelulain 202 §:n mukaista yhteisölle kohdistettua suoramarkkinointia, johon ei vaadita ennalta annettua suostumusta.

Viestintäpalvelulain 202 §:n 2 momentin mukaan yhteisölle kohdistetussa suoramarkkinoinnissa yhteisölle on annettava mahdollisuus helposti ja ilman erillistä maksua kieltää yhteystietojensa käyttö jokaisen suoramarkkinointitarkoituksessa lähetetyn sähköpostiviestin, tekstiviestin, puheviestin, ääniviestin ja kuvaviestin yhteydessä. Suoramarkkinointia harjoittavan on selkeästi tiedotettava kieltomahdollisuudesta. Asiassa saadun selvityksen perusteella rekisterinpitäjän uutiskirjeessä on ollut ”poistu postituslistalta” – linkki. Näin ollen apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä on tarjonnut hakijalle mahdollisuutta kieltää suoramarkkinointi viestintäpalvelulain 202 §:n 2 momentin mukaisesti.

Lopuksi apulaistietosuojavaltuutettu toteaa, että rekisterinpitäjällä on yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaisesti velvollisuus pystyä osoittamaan, että se on käsitellyt henkilötietoja yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan tietosuojaperiaatteiden mukaisesti. Ei siis riitä, että rekisterinpitäjä toimii yleisen tietosuoja-asetuksen 5 artiklan 1 kohdassa säädettyjen tietosuojaperiaatteiden mukaisesti, vaan sen on myös pystyttävä osoittamaan, että sen henkilötietojen käsittely on henkilötietojen käsittelyä koskevien periaatteiden mukaista. Rekisterinpitäjä on selvityksessään tuonut esiin, että se on tehnyt arviota hakijan asemasta työyhteisössä ja hakijan asemavaltuudesta ennen kuin se on kohdistanut hakijaan sähköistä suoramarkkinointia, sillä rekisterinpitäjä on toimittanut sähköpostiviestin, jonka perusteella se on katsonut hakijan toimivan yhteyshenkilön sijaisena. Rekisterinpitäjä on näin ollen myös osoittanut käsitelleensä henkilötietoja lainmukaisesti.

Oikeus saada tietää mistä henkilötiedot on saatu

Päätös

Rekisterinpitäjä ei ole toimittanut hakijalle yleisen tietosuoja-asetuksen 14 artiklan 2 kohdan f alakohdan mukaista tietoa siitä, mistä hakijan henkilötiedot on saatu yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaisesti läpinäkyvällä tavalla.

Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaisen määräyksen noudattaa rekisteröidyn pyyntöä ja määrää rekisterinpitäjän toimittamaan hakijalle yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaisesti tiedon siitä, mistä hakijan henkilötiedot on saatu.

Perustelut

Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 14 artiklan mukaiset tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä.

Saadun selvityksen mukaan hakija on esittänyt rekisterinpitäjälle pyynnön saada tietää, millä perusteella hakija kuuluu rekisterinpitäjän asiakasrekisteriin. Rekisterinpitäjä on hakijan toimittaman kirjeenvaihdon mukaan kertonut hakijalle, että hakija on todennäköisesti lisätty postituslistalle uutena yritys X:n yhteyshenkilönä. Rekisterinpitäjä on kuitenkin tietosuojavaltuutetulle toimittamassaan selvityspyynnössä pystynyt yksilöimään lähteen, josta hakijan henkilötiedot on saatu, sillä rekisterinpitäjä on kertonut saaneensa yritys X:ssä työskentelevältä yhteyshenkilöltään tiedon, että hakija toimii yhteyshenkilön sijaisena.

Näin ollen apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä ei ole toimittanut hakijalle yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaisesti riittävän läpinäkyvällä tavalla yleisen tietosuoja-asetuksen 14 artiklan 2 kohdan f alakohdan mukaista tietoa siitä, mistä tiedot on saatu.

Sovelletut lainkohdat

EU:n yleinen tietosuoja-asetus 5 artikla, 12 artikla 1 kohta, 14 artikla 2 kohta f alakohta, 58 artikla 2 kohta c alakohta

Laki sähköisen viestinnän palveluista 202 §

Päätös on lainvoimainen.