EU-tuomioistuin: tarkastusoikeuden nojalla on oikeus saada tietää henkilötietojen tarkastelun ajankohta ja tarkoitukset
Euroopan unionin tuomioistuin on 22. kesäkuuta antanut asiassa C 579/21 ratkaisun, jossa arvioitiin rekisteröidyn oikeutta saada lokitiedot yleisen tietosuoja-asetuksen mukaisen tarkastusoikeuden perusteella. EU-tuomioistuin toteaa, että jokaisella on oikeus saada tietää henkilötietoihinsa tehtyjen kyselyjen ajankohta ja syyt. Tarkastusoikeuden perusteella ei kuitenkaan lähtökohtaisesti ole oikeutta saada tietoja henkilöistä, jotka ovat tarkastelleet tietoja työnantajansa alaisuudessa. Jos työntekijöiden henkilöllisyyden ilmoittaminen on välttämätöntä rekisteröidyn oikeuden toteuttamiseksi, rekisterinpitäjän on huomioitava kyseisten työntekijöiden oikeudet ja vapaudet.
Pankin työntekijä, joka oli myös pankin asiakas, oli pyytänyt saada tiedot niistä henkilöistä, jotka olivat tarkastelleet hänen asiakastietojaan sisäisen tarkastuksen yhteydessä. Pankki oli kieltäytynyt ilmoittamasta tietoja tarkastelleiden työntekijöiden henkilöllisyyttä sillä perusteella, että tiedot olivat kyseisten työntekijöiden henkilötietoja. Pankki kertoi työntekijälle kuitenkin tietojen käsittelyn syyt ja muita tarkentavia tietoja.
Työntekijä teki asiasta kantelun tietosuojavaltuutetun toimistolle. Apulaistietosuojavaltuutettu hylkäsi kantelijan pyynnön ja katsoi, että pankilla ei ollut velvollisuutta toimittaa tietoja niiden työtekijöiden henkilöllisyydestä, jotka olivat tarkastelleet henkilötietoja. Pankin työntekijä valitti apulaistietosuojavaltuutetun päätöksestä hallinto-oikeuteen. Itä-Suomen hallinto-oikeus pyysi Euroopan unionin tuomioistuimelta ennakkoratkaisua tarkastusoikeuteen liittyvästä tulkinnasta.
EU-tuomioistuin toteaa ratkaisussaan, että henkilöllä on oikeus saada henkilötietoihin tehtyihin kyselyihin liittyvät tiedot kyselyjen ajankohdista ja tarkoituksista, eli tietyt lokitiedoista ilmenevät tiedot. Lokitiedoista ilmenevät myös esimerkiksi tietojen tarkastelun toistuvuus ja tiheys sekä tieto siitä, että henkilötietoja on käsitelty.
Rekisteröidyllä ei sen sijaan lähtökohtaisesti ole oikeutta saada tietoa hänen tietojaan käsitelleiden työntekijöiden henkilöllisyydestä, kun työntekijät ovat käsitelleet henkilötietoja rekisterinpitäjän alaisuudessa ja sen ohjeiden mukaisesti. Jos tiedot kuitenkin ovat välttämättömiä rekisteröidyn oikeuden käyttämiseksi, voidaan tästä lähtökohdasta poiketa. Tällöin on huomioitava myös työntekijöiden oikeudet ja vapaudet, ja ristiriitatilanteissa työntekijän ja rekisteröidyn oikeuksia ja vapauksia on punnittava keskenään.
Lisätietoja:
Euroopan unionin tuomioistuimen tuomio ja tiivistelmä tuomioistuimen verkkosivuilla
Euroopan unionin tuomioistuimen tiedote: Jokaisella on oikeus saada tietää henkilötietoihinsa tehtyjen kyselyjen ajankohta ja syyt (22.6.2023)