Biträdande dataombudsmannen: uppgifter från delägarförteckningen får inte utlämnas via telefontjänsten

Den biträdande dataombudsmannen har bestämt att Euroclear Finland Oy ska ändra sin verksamhet som gäller utlämning av uppgifter ur delägarförteckningar så att verksamheten överensstämmer med dataskyddsbestämmelserna. Utlämning av uppgifter ur delägarförteckningen via telefontjänsten anses inte vara lagenligt. Företaget har inte heller iakttagit den registeransvarigas skyldigheter eller möjliggjort tillgodoseendet av den registrerades rättigheter när uppgifter ur delägarförteckningen utlämnats till direktmarknadsföring.

I den klagan som inkommit till dataombudsmannens byrå berättade den person som inlett ärendet om sina misstankar att inte Euroclear Finland Oy:s verksamhet vid utlämning av delägaruppgifter uppfyller kraven i dataskyddsbestämmelserna.  Företaget har erbjudit telefontjänst genom vilken det har utlämnat uppgifter ur delägarförteckningen för aktiebolag och andelslag.

Utlämning av uppgifter i telefontjänsten är inte legitimt

Företaget har angett att det förvaltar de offentliga delägarförteckningar som krävs enligt lag och ansett att telefontjänsten är likvärdig med att hålla delägarförteckningarna framlagda för offentligheten på verksamhetsställena.

Bestämmelser om de sätt på vilka offentligheten för delägarförteckningar för aktiebolag och andelslag ska förverkligas finns dock uttryckligt i lagen och telefontjänsten är inte ett sådant sätt för utlämning av uppgifter.

Företagets sätt att behandla personuppgifter har inte överensstämt med de krav som ställs på rimlig databehandling i EU:s allmänna dataskyddsförordning. Företaget har inte heller förstått att det verkat som registeransvarig.

Företaget har inte gjort en korrekt bedömning av sin roll enligt dataskyddsförordningen

Euroclear har ansett att företaget helt och hållet verkat som behandlare av personuppgifter och enligt Euroclear är aktiebolaget eller andelslaget i sin tur registeransvarig. Euroclear har emellertid fattat sådana beslut om behandling av personuppgifter som hör till den registeransvariga.

Utlämning av uppgifter ur delägarförteckningen till direktmarknadsföring har enligt Euroclear varit möjlig, eftersom kopior av delägarförteckningen eller en del av den kan utlämnas enligt aktiebolagslagen och i lagen finns det inga begränsningar för vilka syften uppgifterna kan utlämnas.

Den som behandlar personuppgifterna kan dock inte på egen hand besluta om utlämning av uppgifter, utan ska behandla personuppgifterna enligt de anvisningar som den registeransvariga har gett. Behandlaren har på det här viset i detta skede genom sitt agerande blivit registeransvarig och borde ha börjat fullfölja sina skyldigheter som registeransvarig i enlighet med EU:s allmänna dataskyddsförordning.

Den registrerade ska informeras om utlämning av uppgifter till direktmarknadsföring

Euroclear har inte ansett sig vara skyldigt att informera de registrerade om utlämning av uppgifter till direktmarknadsföring, trots att företaget i sin roll som registeransvarig hade informeringsskyldighet. 

Enligt Euroclear hade informeringen om direktmarknadsföring hanterats genom att berätta om förbud mot direktmarknadsföring på sin webbplats och i registerbeskrivningen för värdeandelsregistret. Enbart att direktmarknadsföring nämns på webbplatsen räcker i princip dock inte, om denna information inte förts fram i samband med att personuppgifterna samlades in. Eftersom ändamålsenlig information saknades har de registrerade inte kunnat utöva sin rätt att motsätta sig behandlingen av personuppgifter.

Biträdande dataombudsmannen gav företaget en anmärkning för överträdelse mot dataskyddsförordningen och förordnande företaget att se till att behandlingen av personuppgifter är lagenlig.

Beslutet kan överklagas hos förvaltningsdomstolen, så det har inte vunnit laga kraft.

Beslut av biträdande dataombudsmannen i Finlex (på finska)

Mer information:
biträdande dataombudsman Jari Råman, jari.raman(at)om.fi, tfn 029 566 6757