Anmärkning till Meteorologiska institutet för överföring av personuppgifter till det amerikanska företaget Google

Biträdande dataombudsmannen har gett Meteorologiska institutet en anmärkning på grund av överföring utan giltig orsak av personuppgifter till USA genom övervakningsteknologier. Dessutom hade Meteorologiska institutet underlåtit att göra en konsekvensbedömning för dataskydd av internationella dataöverföringar.

Meteorologiska institutet meddelade dataombudsmannens byrå att institutet använde Googles tjänster reCAPTCHA och Google Analytics på sin webbplats. Vid användningen av tjänsterna behandlas personuppgifter av besökarna på webbplatsen. Med reCAPTCHA-identifiering utskiljs datorprogram (så kallade bottar) från människor. ReCAPTCHA användes i anslutning till en responsblankett på webbplatsen. Google Analytics användes för att följa antalet besökare på webbplatsen.

Biträdande dataombudsmannen konstaterar att Meteorologiska institutet inte hade fastställt eller tillämpat en laglig grund för överföringen av personuppgifter vad gäller användningen av reCAPTCHA och Google Analytics. Institutet hade inte heller utan dröjsmål slutat överföra uppgifter efter EU-domstolens Schrems II-avgörande (C-311/18) trots att det inte längre fanns någon giltig grund för dataöverföringarna. EU-domstolens avgörande upphävde Privacy Shield-avtalet mellan EU och USA på basis av vilket uppgifter tidigare kunde överföras.

Biträdande dataombudsmannen vill påminna om att till exempel den registrerades samtycke till användningen av cookies kan inte användas som grund för dataöverföringar till områden utanför EU och EES.

Meteorologiska institutet hade inte heller gjort en konsekvensbedömning som förutsätts av dataskyddsförordningen. Konsekvensbedömning för dataskydd borde ha gjorts av internationella dataöverföringar i samband med användning av övervakningsteknologier.

Meteorologiska institutet har meddelat att institutet har vidtagit åtgärder för att ta bort tjänsterna reCAPTCHA och Google Analytics från sin webbplats. Biträdande dataombudsmannen beordrade Meteorologiska institutet att radera de personuppgifter som överförts till USA utan laglig grund.

Beslutet har inte vunnit laga kraft. Ändring i beslutet kan sökas genom besvär hos förvaltningsdomstolen.

Beslut av biträdande dataombudsmannen i Finlex (på finska)

Mer information:

Biträdande dataombudsman Annina Hautala, annina.hautala(at)om.fi, tfn 029 566 6776

Läs mer om överföringar av personuppgifter till tredjeländer 

Uppdatering 1.6.2023 kl 12.47: Biträdande dataombudsmannens beslut har korrigerats genom att ta bort anmärkningen till Meteorologiska institutet om underlåtelsen att genomföra en konsekvensbedömning avseende dataskydd. Mer information om korrigeringen finns i meddelandet : ​​​​​​​Rättelse till beslutet om Meteorologiska institutet: anmärkningen om underlåtelse att genomföra en konsekvensbedömning raderades