Henkilötietoja sisältävän auton huoltotositekuvan laittaminen verkkoon auton myynnin yhteydessä
- Ämnesord
- Tietojen minimointi, Myynti-ilmoitukset, Omistajatiedot
- År för fallet
- 2021
- Meddelats
- Diarienummer
- 1206/163/21
- Författningsgrund
- EU:n yleisen tietosuoja-asetuksen mukainen päätös
Tietosuojavaltuutetun päätös tietojen minimointia ja sisäänrakennettua ja oletusarvoista tietosuojaa koskevassa asiassa
Kantelijan vaatimukset perusteluineen
Kantelija on kertonut 9.2.2021 tietosuojavaltuutetun toimistolle myyneensä autonsa autoliikkeelle, joka oli tämän jälkeen laittanut verkkoon myynti-ilmoituksen yhteyteen kuvan auton huoltotositteesta henkilötietoineen. Autoliike oli suostunut poistamaan vireillesaattajan henkilötiedot kuvista vain osittain.
Kantelija pyytää henkilötietojensa poistamista kuvista kokonaisuudessaan ja huomauttaa, ettei hänellä ole Suomessa nimikaimaa.
Rekisterinpitäjältä saatu selvitys
Rekisterinpitäjältä on pyydetty asiassa selvitystä 15.3.2021 päivätyllä selvityspyynnöllä. Rekisterinpitäjä on antanut asiassa kirjallisen selvityksen 15.3.2021, ja asian esittelijä on samana päivänä keskustellut rekisterinpitäjän kanssa asiasta myös puhelimitse.
Rekisterinpitäjän mukaan toimintatapa on alalla erittäin yleinen ja huoltotositteen kuvan lisääminen verkkoon on käytännössä välttämätöntä. Rekisterinpitäjä katsoo, että henkilötietojen näkymisestä ei ole rekisteröidyille haittaa. Lisäksi rekisterinpitäjä on esittänyt, että tapauksessa kyse on ollut vain nimitiedosta, jonka perusteella ihmistä ei yleisesti ottaenkaan ole mahdollista tunnistaa.
Sovellettavasta lainsäädännöstä
Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan määriteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999). Henkilötietojen käsittelyä koskevista periaatteista on säädetty yleisen tietosuoja-asetuksen 5 artiklassa.
Yleisen tietosuoja-asetuksen 5(1)(b) artiklassa säädetään käyttötarkoitussidonnaisuuden periaatteesta, jonka mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla.
Yleisen tietosuoja-asetuksen 5(1)(c) artiklassa säädetään tietojen minimointiperiaatteesta, jonka mukaan henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.
Yleisen tietosuoja-asetuksen 25 artiklassa säädetään sisäänrakennetusta ja oletusarvoisesta tietosuojasta. Artiklan 1 kohdan mukaan ottaen huomioon uusimman tekniikan ja toteuttamiskustannukset sekä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä käsittelyn aiheuttamat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit luonnollisten henkilöiden oikeuksille ja vapauksille rekisterinpitäjän on käsittelytapojen määrittämisen ja itse käsittelyn yhteydessä toteutettava tehokkaasti tietosuojaperiaatteiden, kuten tietojen minimoinnin, täytäntöönpanoa varten asianmukaiset tekniset ja organisatoriset toimenpiteet. Artiklan 2 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja.
Oikeudellinen kysymys
Tietosuojavaltuutettu arvioi ja ratkaisee kantelijan asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta.
Tietosuojavaltuutetun tulee ratkaista, onko rekisteröidyn henkilötietojen laittaminen verkkoon ollut tietojen minimointiperiaatteen (yleisen tietosuoja-asetuksen 5(1)(c) artikla) mukaista, ja onko rekisterinpitäjä näin toimiessaan noudattanut sisäänrakennettua ja oletusarvoista tietosuojaa koskevaa velvoitetta (yleisen tietosuoja-asetuksen 25 artikla).
Tietosuojavaltuutetun päätös ja perustelut
Päätös
Rekisterinpitäjä ei ole noudattanut toiminnassaan yleisen tietosuoja-asetuksen 5(1)(c) artiklaa (tietojen minimointi) ja 25 artiklaa (sisäänrakennettu ja oletusarvoinen tietosuoja), eikä rekisterinpitäjän menettely koskien henkilötietojen laittamista verkkoon ole näin ollen ollut yleisen tietosuoja-asetuksen mukainen.
Rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58(2)(d) artiklan mukainen määräys noudattaa tietojen minimointiperiaatetta sekä sisäänrakennettua ja oletusarvoista tietosuojaa koskevaa velvoitetta, ja saattaa käsittelytoimet tietosuojasääntelyn mukaisiksi.
Rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58(2)(b) artiklan mukainen huomautus tietojen minimointiperiaatteen (yleisen tietosuoja-asetuksen 5(1)(c) artikla) ja sisäänrakennettua ja oletusarvoista tietosuojaa koskevan velvoitteen (yleisen tietosuoja-asetuksen 25 artikla) rikkomisesta.
Perustelut
Huoltotositteen julkaisu verkossa
Yleisen tietosuoja-asetuksen 5(1)(c) artiklan (tietojen minimointi) mukaan henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Tietojen minimointiperiaate on osa yleisen tietosuoja-asetuksen lähtökohtana olevaa sisäänrakennetun ja oletusarvoisen tietosuojan vaatimusta (yleisen tietosuoja-asetuksen 25 artikla), jota noudattaakseen rekisterinpitäjän tulee ottaa tietosuoja huomioon toiminnassaan alusta alkaen. Sisäänrakennetun ja oletusarvoisen tietosuojan toteutuminen edellyttää, että rekisterinpitäjä panee tietosuojaperiaatteet, kuten tietojen minimointiperiaatteen, täytäntöön tehokkaasti.
Nyt tarkasteltavana olevassa tapauksessa rekisterinpitäjä on liittänyt auton verkkoon laitetun myynti-ilmoituksen yhteyteen kuvan auton huoltotositteesta. Huoltotositteella on ollut tarkoitus osoittaa, että autoa on huollettu asianmukaisesti. Tyypillisesti huoltotositteesta ilmenee huoltotietojen lisäksi auton entisen tai entisten omistajien nimi- ja osoitetiedot, ja tällaiset tiedot rekisterinpitäjä on myös jättänyt järjestelmällisesti kuviin näkyviin.
Tietojen minimointivaatimuksen osalta voidaan nyt tarkasteltavana olevassa tapauksessa ensinnäkin todeta, että auton huoltohistorian esittäminen verkkoon laitetulla kuvalla ei edellytä, että kuvasta ilmenee myös auton entisen omistajan henkilötietoja, kuten nimi ja osoite. Lisäksi asiassa on huomioitava, että henkilötietojen laittaminen verkkoon tarkoittaa käytännössä niiden luovuttamista ennalta määrittelemättömälle vastaanottajajoukolle.
Tietosuojavaltuutettu katsoo, että auton huoltotietojen ilmoittaminen netissä ei edellytä auton omistajatietojen viemistä nettiin. Omistajatiedot olisi tullut minimointiperiaatteen ja yleisen tietosuoja-asetuksen 25 artiklan mukaisesti jättää pois esimerkiksi peittämällä ne verkkoon laitettavista kuvista. Rekisterinpitäjän tulee aina arvioida henkilötietojen käsittelyn tarvetta asiayhteyden ja käyttötarkoituksen kannalta. Tässä tapauksessa tarpeellisuusvaatimus ei ole täyttynyt, vaan rekisterinpitäjä on perustellut menettelyään lähinnä sillä, että katsoo ettei siitä seuraa haittaa rekisteröidylle.
Vireillesaattamisasiakirjasta ilmi käyvien henkilötietojen käsittely
Tietosuojavaltuutettu toteaa vielä lopuksi, että vireillesaattamisasiakirjoista ilmenevien henkilötietojen käsittely esimerkiksi rekisterinpitäjän liiketoimintaan liittyviin käyttötarkoituksiin ei ole yhteensopivaa tietojen alkuperäisen käyttötarkoituksen kanssa. Yleisen tietosuoja-asetuksen 5(1)(b) artiklan mukainen käyttötarkoitussidonnaisuuden periaate rajoittaa henkilötietojen käyttötarkoituksia ja edellyttää, että henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista käyttötarkoitusta varten, eikä henkilötietoja saa käsitellä myöhemmin näiden käyttötarkoitusten kanssa yhteensopimattomalla tavalla.
Sovelletut lainkohdat
Perusteluissa mainitut.
Muutoksenhaku
Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään hallinto-oikeuteen.
Tiedoksianto
Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.
Lisätietoja tästä päätöksestä antaa asian esittelijä
Ylitarkastaja Niina Miettinen, puh. 029 566 6774
Päätös on lainvoimainen.