Informoiminen asiakaspuheluiden tallentamisesta
- Ämnesord
- puhelun tallentaminen, informointi
- År för fallet
- 2025
- Meddelats
- Diarienummer
- TSV/220/2023
- Författningsgrund
- EU:n yleisen tietosuoja-asetuksen mukainen päätös
Apulaistietosuojavaltuutetun päätös
Asia
Informoiminen asiakaspuheluiden tallentamisesta
Rekisterinpitäjä
Teleoperaattori
Rekisteröidyn vaatimus perusteluineen
Tietosuojavaltuutetun toimiston tietoon on saatettu, että rekisterinpitäjä ei informoi asiakkaita puheluiden tallentamisesta silloin, kun rekisterinpitäjän alaisuudessa työskentelevät henkilöt soittavat asiakkaille.
Tietosuojavaltuutetun toimisto on ratkaissut asian ensimmäisen kerran 13.10.2023 saattamalla asian rekisterinpitäjän tietoon, jotta se voi tiedon saatuaan ryhtyä tarvittaviin toimenpiteisiin. Tietosuojavaltuutetun toimistolle annettujen tietojen perusteella rekisterinpitäjä on kuitenkin edelleen marraskuussa 2023 menetellyt siten, ettei asiakkaalle ole rekisterinpitäjän alaisuudessa työskentelevän henkilön soittaessa kerrottu asiakaspuhelun tallentamisesta, paitsi siinä vaiheessa, kun asiakas on itse kysynyt asiasta.
Apulaistietosuojavaltuutettu on tämän vuoksi selvittänyt tarkemmin, millä tavalla rekisterinpitäjä informoi puheluiden tallentamisesta.
Rekisterinpitäjältä saatu selvitys
Rekisterinpitäjältä on pyydetty asiassa selvitystä 30.4.2024. Rekisterinpitäjä on vastannut selvityspyyntöön 24.5.2024.
Rekisterinpitäjä on todennut selvityksessään, että asiakkaan soittaessa rekisterinpitäjälle tulee puhelun alussa automaattinen ilmoitus siitä, että puhelu tallennetaan. Rekisterinpitäjän mukaan kuitenkin silloin, kun rekisterinpitäjältä soitetaan myynti- tai asiakaspalvelupuhelu asiakkaalle, on informoinnin tapa voinut vaihdella. Rekisterinpitäjän mukaan sen alaisuudessa työskentelevät henkilöt saattavat informoida asiakasta puhelun tallentamisesta puhelun alussa, puhelun aikana tai asiakkaan kysyessä asiasta. Rekisterinpitäjän mukaan sen alaisuudessa työskenteleviä henkilöitä on ohjeistettu informoimaan asiakkaita puheluiden tallentamisesta ainakin asiakkaan sitä kysyessä.
Rekisterinpitäjän selvityksen mukaan tietosuojavaltuutetun toimiston 13.10.2023 rekisterinpitäjälle lähettämä kirje ei ole inhimillisen virheen vuoksi tullut asianmukaisesti huomioiduksi. Rekisterinpitäjä on kertomansa mukaan myös huomannut vasta selvityksen antamisen yhteydessä tietosuojavaltuutetun toimiston verkkosivuilla olevan ohjeistuksen siitä, millä tavalla ja missä vaiheessa rekisterinpitäjien on informoitava keskustelukumppaneita puheluiden tallentamisesta. Rekisterinpitäjä on kertomansa mukaan tämän jälkeen ryhtynyt välittömiin toimenpiteisiin sisäisen ohjeistuksensa päivittämiseksi, jotta rekisterinpitäjän alaisuudessa työskentelevät henkilöt informoivat jatkossa asiakkaita puheluiden tallentamisesta heti puhelun alussa.
Sovellettava lainsäädäntö
Henkilötietojen käsittelystä säädetään yleisessä tietosuoja-asetuksessa. Yleistä tietosuoja-asetusta täsmentää tietosuojalaki (1050/2018).
Yleisen tietosuoja-asetuksen 4 artiklan mukaan henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja. Henkilötietojen käsittelyllä puolestaan tarkoitetaan toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.
Yleisen tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan rekisterinpitäjän on käsiteltävä henkilötietoja lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Yleisen tietosuoja-asetuksen johdanto-osan 39 kappaleen mukaan luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään.
Yleisen tietosuoja-asetuksen 13 artiklan mukaan rekisterinpitäjän on toimitettava rekisteröidylle 13 artiklan mukaiset tiedot, kuten henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste, silloin kun henkilötietoja saadaan.
Yleisen tietosuoja-asetuksen 12 artiklassa säädetään muun muassa läpinäkyvästä informoinnista. Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 artiklan mukaiset tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä.
Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdassa säädetään valvontaviranomaisen korjaavista toimivaltuuksista. Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaan valvontaviranomaisella on toimivalta antaa huomautus rekisterinpitäjälle tai henkilötietojen käsittelijälle, jos käsittelytoimet ovat olleet yleisen tietosuoja-asetuksen säännösten vastaisia. Saman kohdan d alakohdan mukaan valvontaviranomaisella on toimivalta määrätä rekisterinpitäjä tai henkilötietojen käsittelijä saattamaan käsittelytoimet yleisen tietosuoja-asetuksen säännösten mukaisiksi, tarvittaessa tietyllä tavalla ja tietyn määräajan kuluessa.
Oikeudellinen kysymys
Apulaistietosuojavaltuutettu arvioi ja ratkaisee asian yleisen tietosuoja-asetuksen ja tietosuojalain pohjalta.
Asiassa on arvioitavana kysymys siitä, onko rekisterinpitäjän asiakaspuheluiden tallentamista koskeva informointi ollut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukainen.
Asiassa on arvioitavana lisäksi kysymys siitä, tuleeko apulaistietosuojavaltuutetun käyttää 58 artiklan 2 kohdassa säädettyjä korjaavia toimivaltuuksia.
Apulaistietosuojavaltuutetun päätös ja perustelut
Rekisterinpitäjän asiakaspuheluiden tallentamista koskeva informointi ei ole ollut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan, 12 artiklan 1 kohdan ja 13 artiklan mukainen. Rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukainen huomautus.
Rekisterinpitäjälle ei kuitenkaan anneta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaista määräystä muuttaa asiakaspuheluiden tallentamista koskevaa informointiaan yleisen tietosuoja-asetuksen säännösten mukaisiksi, koska rekisterinpitäjä on selvityksensä perusteella jo muuttanut menettelyään ja sisäistä ohjeistustaan siten, että puheluiden tallentamisesta informoidaan asiakkaita nykyään heti puhelun alussa.
Perustelut
Puhelutallenne sisältää yleisen tietosuoja-asetuksen 4 artiklan 1 kohdassa tarkoitettuja henkilötietoja, sillä ääni on katsottava henkilötiedoksi. (Korkein hallinto-oikeus on ratkaisussaan 30.7.2010 (2094/1/09) katsonut nauhalle tallentuneen äänen henkilötiedoksi. Vastaavasti Euroopan yhteisöjen ensimmäisen asteen tuomioistuin on 11.3.2009 katsonut asiassa T-166/05, että henkilö voidaan tunnistaa äänen perusteella (kappale 39).) Puhelun tallentaminen on siten yleisessä tietosuoja-asetuksessa tarkoitettua henkilötietojen käsittelyä. Rekisterinpitäjällä on näin ollen velvollisuus informoida keskustelukumppania puhelun tallentamisesta.
Jotta rekisteröity saa läpinäkyvästi tiedon henkilötietojen käsittelystä, on rekisterinpitäjän toimitettava tieto käsittelystä ennen tietojen käsittelyn aloittamista tai viimeistään silloin, kun henkilötietojen käsittely aloitetaan. Yleisessä tietosuoja-asetuksessa ei ole säädetty tietojen toimittamisen muodoista ja muista yksityiskohdista. On kuitenkin selvää, että rekisterinpitäjän on otettava huomioon kaikki henkilötietojen keräämisen ja käsittelyn olosuhteet valitessaan tietojen toimittamisen asianmukaista tapaa ja muotoa. Asianmukaisia toimenpiteitä on arvioitava erityisesti tuotteen tai palvelun käyttäjän kokemuksen kautta.
Rekisterinpitäjän selvityksen mukaan sen alaisuudessa työskentelevien henkilöiden soittaessa asiakkaalle ei rekisterinpitäjä säännönmukaisesti ilmoita asiakkaalle puhelun tallentamisesta ennen tallentamisen aloittamista. Rekisterinpitäjän mukaan sisäinen ohjeistus on ollut informoida asiakasta puhelun tallentamisesta vähintäänkin silloin, jos asiakas on itse kysynyt puhelun tallentamisesta. Rekisterinpitäjän selvityksen perusteella rekisterinpitäjän sisäinen ohjeistus on kuitenkin mahdollistanut tilanteita, joissa asiakkaita ei ole ollenkaan informoitu puhelun tallentamisesta tai informointi on annettu vasta keskustelun aikana eli puhelun tallentamisen aloittamisen jälkeen.
Rekisterinpitäjä on selvityksensä mukaan huomannut vasta selvitystä antaessaan, että tietosuojavaltuutetun toimisto on täydentänyt verkkosivuillaan olevaa ohjeistusta puheluiden tallentamisesta siltä osin, että puheluiden tallentamisesta tulee informoida keskustelukumppania jo ennen puhelun tallentamisen aloittamista. Apulaistietosuojavaltuutettu toteaa, että sääntely on kuitenkin selkeää siltä osin kun se edellyttää, että rekisteröityä tulee informoida henkilötietojen käsittelystä läpinäkyvästi viimeistään tietojen käsittelyn aloittamishetkellä. Yleisen tietosuoja-asetuksen 13 artiklan mukaan rekisterinpitäjän on toimitettava rekisteröidylle 13 artiklan tarkoittamat tiedot silloin, kun henkilötietoja saadaan. Myös tulkinta, että puhelun tallentaminen on henkilötietojen käsittelyä, on pitkään ollut vakiintunut. (Kts. myös apulaistietosuojavaltuutetun päätös päivämäärällä 20.2.2020 , jossa on todettu, että rekisterinpitäjän tulee informoida rekisteröityjä puheluiden tallentamisesta viimeistään puhelun tallentamisen aloittamishetkellä.)
Nyt tarkasteltavana olevassa tapauksessa on huomioitava, että rekisterinpitäjä ei välttämättä ole informoinut rekisteröityjä lainkaan puheluiden tallentamisesta. Saadun selvityksen mukaan informoinnin saaminen puhelun tallentamisesta on joissain tilanteissa edellyttänyt rekisteröidyn omaa aktiivisuutta, koska rekisterinpitäjän sisäisen ohjeistuksen mukaan informointi henkilötietojen käsittelystä on tullut antaa ainakin silloin, jos rekisteröity on itse kysynyt puhelun tallentamisesta.
Rekisterinpitäjän soittaessa rekisteröidylle se aloittaa puhelun tallentamisen, eli henkilötietojen käsittelyn, jo puhelun alussa. Saadun selvityksen perusteella apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä ei ole säännönmukaisesti informoinut rekisteröityjä yleisen tietosuoja-asetuksen edellyttämällä tavalla puheluiden tallentamisesta. Koska rekisterinpitäjä ei ole informoinut rekisteröityjä säännönmukaisesti puhelun tallentamisesta ennen kuin puhelun tallentaminen on aloitettu tai välttämättä ollenkaan, ei sen menettely ole täyttänyt yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaista henkilötietojen käsittelyn läpinäkyvyyden periaatetta. Rekisterinpitäjän puheluiden tallentamisen informointi ei ole myöskään täyttänyt yleisen tietosuoja-asetuksen 12 artiklan 1 kohtaa eikä 13 artiklaa, sillä rekisterinpitäjä ei toimita 13 artiklan mukaisia tietoja henkilötietojen käsittelystä rekisteröidylle läpinäkyvässä muodossa silloin kun henkilötietoja saadaan.
Edellä mainitun perusteella apulaistietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaisen huomautuksen. Apulaistietosuojavaltuutettu ei anna rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukaista määräystä muuttaa asiakaspuheluiden tallentamista koskevaa informointiaan yleisen tietosuoja-asetuksen säännösten mukaisiksi, koska rekisterinpitäjä on selvityksensä perusteella jo muuttanut menettelyään siten, rekisterinpitäjän alaisuudessa työskenteleviä henkilöitä on ohjeistettu informoimaan asiakkaita puhelun tallentamisesta heti puhelun alussa.
Muutoksenhaku
Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen.
Tiedoksianto
Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.
Lisätietoja tästä päätöksestä antaa asian esittelijä
Lotta Nyman, lotta.nyman(at)om.fi
Päätöksen on antanut apulaistietosuojavaltuutettu Heljä-Tuulia Pihamaa.
Päätös ei ole lainvoimainen.