Henkilötieto.fi -palvelulle huomautus useista tietosuojarikkomuksista

Henkilötieto.fi-sivusto on tarjonnut palvelua, jonka kautta henkilö voi tehdä tietosuojaoikeuksiaan koskevia pyyntöjä eri rekisterinpitäjille. Tietosuojavaltuutetun toimisto sai vuonna 2018 seitsemän kantelua henkilötieto.fi -sivuston toiminnasta. Tietosuojavaltuutetun mukaan palvelussa on muun muassa käsitelty henkilötietoja ilman laillista perustetta.

Useat kantelun tehneet yritykset olivat saaneet Henkilötieto.fi-palvelusta ilmoituksen tietojen tarkastuspyynnöstä, jonka rekisteröity oli tehnyt palvelun kautta. Jotta yritykset olisivat saaneet pyynnöt nähtäväkseen, niiden olisi pitänyt rekisteröityä palvelun asiakkaiksi 300 euron vuosimaksua vastaan. Vuosina 2018–2021 palvelu välitti rekisterinpitäjille yhteensä kuusi tarkastusoikeutta koskevaa pyyntöä.

Henkilötieto.fi-sivustolla on annettu ymmärtää, että palvelua käyttää lähes 300 000 yritystä. Yli 99 prosenttia sivustolla näkyvistä yrityksistä ei kuitenkaan ollut tehnyt sopimusta rekisteröidyn pyyntöjen välittämisestä palvelun kautta. Sivuston käyttäjälle ei myöskään kerrottu, onko yrityksillä sopimus palvelun ylläpitäjän kanssa vai ei. Sivuston käyttäjä on siksi voinut virheellisesti luulla, että sivustolla näkyvät yritykset olisivat sopineet pyyntöjen välittämisestä Henkilötieto.fi-palvelun kanssa.

Käyttäjiltä pyydetty suostumus ei ollut pätevä

Palvelua ylläpitänyt yhtiö kertoi käsitelleensä palvelua käyttäneiden henkilötietoja suostumuksen perusteella. Tietosuojavaltuutettu kuitenkin katsoo, ettei palvelun käyttäjä ei ole tiennyt, millaiseen tietojen käsittelyyn tosiasiassa antaa suostumuksensa, eikä suostumus siksi ole ollut pätevä.

Palvelun rekisteröitymislomakkeella on lisäksi vaadittu automaattista suostumusta sähköiseen suoramarkkinointiin. Tietosuojavaltuutettu toteaa, että tällainen suostumus ei ole yleisen tietosuoja-asetuksen mukainen. Suostumus tulee pyytää erikseen jokaista henkilötietojen käyttötarkoitusta varten, ja sen tulee olla vapaaehtoinen.

Tietosuojavaltuutettu pitää yhtiön toimintaa erityisen moitittavana, sillä se on hyödyntänyt liiketoiminnassaan tietosuojaa koskevaa perusoikeutta ilman, että oikeuksia olisi tosiasiassa pystytty toteuttamaan.

Tietosuojavaltuutettu antoi yhtiölle huomautuksen yleisen tietosuoja-asetuksen vastaisesta henkilötietojen käsittelystä ja määräsi sen muuttamaan käytäntönsä lainmukaisiksi, jos se aikoo edelleen jatkaa vastaavaa toimintaa. Päätös ei ole vielä lainvoimainen.

Tietosuojavaltuutetun päätös Finlexissä

Lisätietoja:

​​​​​​​Apulaistietosuojavaltuutettu Jari Råman, jari.raman(at)om.fi, puh. 029 566 6757