Ilmatieteen laitokselle huomautus henkilötietojen siirroista yhdysvaltalaisyritys Googlelle
Apulaistietosuojavaltuutettu on antanut Ilmatieteen laitokselle huomautuksen henkilötietojen siirtämisestä Yhdysvaltoihin verkkosivujen seurantateknologioiden kautta ilman pätevää siirtoperustetta. Lisäksi Ilmatieteen laitos oli jättänyt tekemättä tietosuojaa koskevan vaikutustenarvioinnin kansainvälisistä tiedonsiirroista.
Ilmatieteen laitos ilmoitti tietosuojavaltuutetun toimistolle, että sillä oli verkkosivuillaan käytössä Googlen reCAPTCHA ja Google Analytics -palvelut, joiden käyttöön liittyy verkkosivukävijöiden henkilötietojen käsittelyä. ReCAPTCHA-tunnistuksella erotetaan tietokoneohjelmat (ns. botit) ihmisistä, ja sitä käytettiin verkkosivujen palautelomakkeen yhteydessä. Google Analytics -palvelua käytettiin verkkosivujen kävijätilastojen seurantaan.
Apulaistietosuojavaltuutettu toteaa, että Ilmatieteen laitos ei ollut määritellyt tai soveltanut lainmukaista henkilötietojen siirtoperustetta reCAPTCHA ja Google Analytics -palveluiden käytössä. Se ei myöskään ollut keskeyttänyt tiedonsiirtoja viipymättä EU-tuomioistuimen Schrems II-ratkaisun (C-311/18) jälkeen, vaikka sillä ei ollut tietojen siirtämiselle enää pätevää siirtoperustetta. EU-tuomioistuimen ratkaisussa kumottiin EU:n ja Yhdysvaltojen välinen Privacy Shield -järjestely, jonka perusteella tietoja voitiin aiemmin siirtää.
Apulaistietosuojavaltuutettu muistuttaa, että EU- ja ETA-alueen ulkopuolelle tehtävien tiedonsiirtojen perusteena ei voida käyttää esimerkiksi rekisteröidyltä evästeiden käyttöön hankittavaa suostumusta.
Ilmatieteen laitos ei myöskään ollut tehnyt tietosuoja-asetuksen edellyttämää vaikutustenarviointia. Tietosuojan vaikutustenarviointi olisi pitänyt tehdä seurantateknologioiden käyttöön liittyvästä kansainvälisestä henkilötietojen siirrosta.
Ilmatieteen laitos on ilmoittanut ryhtyneensä toimenpiteisiin reCAPTCHA- ja Google Analytics -palveluiden poistamiseksi verkkosivuiltaan. Apulaistietosuojavaltuutettu määräsi Ilmatieteen laitoksen poistamaan henkilötiedot, jotka oli siirretty Yhdysvaltoihin ilman asianmukaista siirtoperustetta.
Päätös ei ole vielä lainvoimainen. Siihen voi hakea muutosta valittamalla hallinto-oikeuteen.
Apulaistietosuojavaltuutetun päätös Finlexissä
Lisätietoja:
Apulaistietosuojavaltuutettu Annina Hautala, annina.hautala(at)om.fi, puh. 029 566 6776
Lue lisää henkilötietojen siirroista kolmansiin maihin
Päivitys 1.6.2023 klo 12.47: Apulaistietosuojavaltuutetun päätöstä on oikaistu poistamalla Ilmatieteen laitokselle annettu huomautus tietosuojan vaikutustenarvioinnin tekemättä jättämisestä. Lisätietoa oikaisusta 1.6.2023 julkaistussa tiedotteessa: Oikaisu Ilmatieteen laitokselle annettuun päätökseen: huomautus vaikutustenarvioinnin tekemättä jättämisestä poistettiin
Apulaistietosuojavaltuutetun oikaistu päätös Finlexissä