Påföljdsavgift till högskola för dataskyddsbrott i anknytning till behandlingen av positionsuppgifter från arbetstidsuppföljningen

Påföljdskollegiet vid dataombudsmannens byrå har påfört en yrkeshögskola en administrativ påföljdsavgift för dataskyddsbrott i anknytning till behandlingen av de anställdas positionsuppgifter. Den registeransvariga behandlade de anställdas positionsuppgifter utan fog och utan rättslig grund med en mobilapplikation som är avsedd för stämpling av arbetstid. Biträdande dataombudsmannen beordrade den registeransvariga också att sluta behandla positionsuppgifterna

Den registeransvariga hade börjat använda en mobilapplikation som anställda som utför distansarbete har kunnat använda för stämpling av sin arbetstid. Användningen av applikationen i en mobil enhet förutsatte att man tillåter positionering. Insamlingen av positionsuppgifterna vid stämplingstidpunkten har varit en av applikationens egenskaper som är nödvändig för att kunna stämpla arbetstiden med applikationen.

Den registeransvariga har berättat att hen behandlar uppgifterna på basis av de anställdas samtycke. Det har varit frivilligt att använda applikationen.

Det fanns ingen rättslig grund för behandlingen av de anställdas positionsuppgifter

Enligt den registeransvarigas utredning har den registeransvariga inte aktivt använt eller nyttjat positionsuppgifterna, utan positionsuppgifterna vid stämplingstidpunkten har endast behandlats av systemtekniska skäl. Enbart det faktum att stämpling av arbetstider med applikationer inte är möjlig utan behandling av positionsuppgifterna gör emellertid inte behandlingen av dessa uppgifter nödvändig. Därför anser biträdande dataombudsmannen att behandlingen av uppgifter som hänför sig till positionen av den registeransvarigas anställda inte har följt relevanskravet i lagen om integritetsskydd i arbetslivet.

Det har inte heller funnits någon rättslig grund enligt den allmänna dataskyddsförordningen för behandlingen av positionsuppgifterna. Biträdande dataombudsmannen påpekar att samtycke inte åsidosätter relevanskravet i lagen om integritetsskydd i arbetslivet, och de registrerades samtycke kan därmed inte utgöra rättslig grund för onödig behandling av personuppgifter. Genom att samla in onödiga positionsuppgifter av sina anställda har den registeransvariga också förfarit i strid med principen om uppgiftsminimering i dataskyddsförordningen.

Dessutom konstaterar biträdande dataombudsmannen att man inte bör använda sådana tjänster eller system som inte gör det möjligt att följa dataskyddsbestämmelserna eller inte uppfyller den registeransvarigas behov.

Den registeransvariga påfördes en påföljdsavgift och behandlingsförbud

Påföljdskollegiet vid dataombudsmannens byrå påförde den registeransvariga en påföljdsavgift på 25 000 euro för dataskyddsbrott. Dessutom meddelade biträdande dataombudsmannen den registeransvariga ett behandlingsförbud som omfattar all behandling av positionsuppgifter som samlas in och redan har samlats in med applikationen.

Som en omständighet som medför en betydande sänkning av påföljdsavgiften beaktades det faktum att huvudsyftet av yrkeshögskolans verksamhet inte är att generera vinst, utan att erbjuda lagstadgad högskoleundervisning.

Besluten har ännu inte vunnit laga kraft.

Påföljdskollegiets och biträdande dataombudsmannens beslut i Finlex (på finska) 

Mer information:

Dataombudsman Anu Talus, anu.talus(at)om.fi, puh. 029 566 6766

Från 2.8. biträdande dataombudsman Heljä-Tuulia Pihamaa, helja-tuulia.pihamaa(at)om.fi, puh. 029 56 66787

Bestämmelser om påföljdskollegiets beslutsfattande och de personuppgiftsansvarigas rättsskydd finns i den nationella dataskyddslagen. Påföljdskollegiet bildas av dataombudsmannen och två biträdande dataombudsmän. Kollegiet är behörigt att påföra administrativa påföljdsavgifter för brott mot dataskyddslagstiftningen. Påföljdsavgifternas maximala belopp får vara fyra procent av företagets omsättning eller 20 miljoner euro.