Dataskyddsombudsmannen har gett sitt första avgörande i egenskap av ledande tillsynsmyndighet i ett gränsöverskridande ärende – rätten att få tillgång till uppgifter hade inte tillgodosetts i enlighet med dataskyddsbestämmelserna

Dataskyddsombudsmannen har beordrat Nissan Nordic Europe Ab att rätta till sin praxis angående den registrerades rätt att få tillgång till uppgifter. Den registeransvariga lämnade inte uppgifter inom den tidsfrist som fastställts i den allmänna dataskyddsordningen till en kund som hade begärt tillgång till sina egna personuppgifter. Det är fråga om dataskyddsombudsmannens första avgörande i ett gränsöverskridande ärende där behandlingen av personuppgifter gäller registrerade som är bosatta i olika EU-länder.

Den registeransvariga hade sagt att de begärda uppgifterna skulle lämnas till den person som varit kund hos bilfirman inom den tidsfrist som fastställts i den allmänna dataskyddsordningen. Uppgifterna hade emellertid inte lämnats ut, varför kunden hade klagat hos den danska tillsynsmyndigheten. Efter kontakt med den danska tillsynsmyndigheten hade den personuppgiftsansvariga sagt att uppgifterna kommer att lämna till kunden. Kunden meddelade emellertid efter två månader att hen fortfarande inte hade fått de uppgifter som hen begärt.

Bolaget Nissan Automotive Europe S.A.S. har det faktiska sätet för sin huvudsakliga förvaltning i Frankrike, men beslut om behandling av personuppgifter som klagomålet gäller fattas hos Nissan Nordic Europe Ab. Nissan Nordic Europe Ab har sitt huvuddriftsställe i Finland. Bolaget är verksamt i flera av de nordiska länderna samt i Baltikum. Eftersom driftsstället i Finland ansvarar för behandlingen av de personuppgifter som ärendet gäller, var den finska tillsynsmyndigheten, alltså dataombudsmannens byrå, den ledande tillsynsmyndigheten i ärendet.

Rätten till tillgång till uppgifter gäller även samtalsinspelningar

Enligt den personuppgiftsansvarigas utredning hade uppgifterna inte lämnats till kunden inom den uppsatta tidsfristen på grund av den mänskliga faktorn. Kunden hade senare fått de uppgifter hen begärde förutom samtalsinspelningarna. Uppgifterna lämnades till kunden dock nästan två år efter begäran.

Den personuppgiftsansvariga hade enligt sin egen utsago inte lämnat ut samtalsinspelningarna eftersom tredje part kunde identifieras från dem. Den personuppgiftsansvariga hade dock berett kunden tillfälle att besöka verksamhetsstället för att lyssna på de samtalsinspelningar som ännu fanns där. Dataskyddsombudsmannen anser emellertid att den personuppgiftsansvarigas förfaringssätt för att tillgodose granskningsrätten inte följde bestämmelserna i den allmänna dataskyddsförordningen till den del som gäller samtalsinspelningarna.

Den personuppgiftsansvariga ska lämna en kopia av de personuppgifter som behandlas till den registrerade. En kopia av samtalsinspelningarna kan lämnas i skriftlig form till exempel som en transkription eller elektroniskt som en inspelning beroende på omständigheterna i varje enskilt fall. Den personuppgiftsansvariga kan om hen så önskar erbjuda den registrerade en möjlighet att lyssna på samtalsinspelningen, men det kan inte vara det enda sättet att tillgodose rätten till uppgifterna.

Dessutom påpekar dataombudsmannen att samtalsinspelningar så gott som alltid innehåller även en annan persons personuppgifter, och detta kan inte anses utgöra ett hinder för tillgodoseendet av den registrerades rätt till uppgifter.

Dataskyddsombudsmannen gav den personuppgiftsansvariga en anmärkning om behandling av personuppgifter i strid med den allmänna dataskyddsförordningen samt beordrade den personuppgiftsansvariga att korrigera sitt förfaringssätt för att tillgodose den registrerades rätt till uppgifter så att det uppfyller kraven i dataskyddsförordningen. Den personuppgiftsansvariga har sagt att orsakerna till misstaget kommer att utredas samt att förfaringssättet och anvisningarna har uppdaterats för att tillgodose rätten till uppgifter.

Beslutet har inte ännu vunnit laga kraft. 

Dataombudsmannens beslut i Finlex (på finska)

Mer information:

Dataombudsman Anu Talus, anu.talus(at)om.fi, tfn 029 566 6766