Lasten koulukuvien lisääminen laskuihin pienoiskoossa ei ollut yleisen tietosuoja-asetuksen mukaista

Apulaistietosuojavaltuutettu on määrännyt koulukuvayrityksen muuttamaan käytäntöään, jossa se on lisännyt laskuille mustavalkoiset pienoiskuvat lasten koulukuvista. Rekisterinpitäjän mukaan sen henkilökunta pystyy pienoiskuvien perusteella varmistamaan, että lähetettävät kuvat ja lasku täsmäävät. Apulaistietosuojavaltuutettu katsoo, että lisäämällä lasten kuvat laskuihin rekisterinpitäjä on käsitellyt henkilötietoja tarpeettoman laajasti.

Asian vireillesaattaja on kertonut tietosuojavaltuutetun toimistolle tekemässään kantelussa, että hänen lastensa kuvat näkyvät pienoiskoossa koulukuvauksia tekevän yrityksen laskulla. Asiakas oli saanut alkuperäisen laskun nähtäväkseen perintätoimistolta. Kantelussaan vireillesaattaja huomautti erityisesti, että laskulla olevat lasten kuvat olivat myös perintätoimiston nähtävissä.

Koulukuvayritys on perustellut mustavalkoisten pienoiskuvien lisäämistä asiakkaiden laskuille toimitusvarmuudella. Rekisterinpitäjän mukaan laskut ovat toimineet samalla pakkausluetteloina, ja käytännön on tarkoitus varmistaa, ettei valokuvia lähetetä virheellisiin osoitteisiin.

Rekisterinpitäjän antaman selvityksen mukaan kuvia ei lisätä perintälaskulle, mutta asiakas saattaa haluta nähdä alkuperäisen laskun asioidessaan perintätoimiston kanssa. Tällöin rekisterinpitäjä toimittaa alkuperäisen laskun pdf-kopion perintätoimistolle.

Henkilötietojen käsittely on minimoitava

Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä ei ole henkilötietojen käsittelyssään laskujen yhteydessä noudattanut yleisessä tietosuoja-asetuksessa määriteltyä tietojen minimoinnin periaatetta. Yleisen tietosuoja-asetuksen mukaan henkilötietoja saa käsitellä ainoastaan, jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Henkilötietoja tulisi kerätä kussakin tilanteessa mahdollisimman vähän.

Apulaistietosuojavaltuutettu kiinnittää huomiota siihen, että kyse on ollut lasten henkilötietojen käsittelystä ja korostaa, että lasten henkilötietoja on pyrittävä suojaamaan erityisen huolellisesti.

Selvityksen perusteella ei käynyt ilmi, että laskulla olevat pienoiskuvat olisivat välttämättömiä valokuvien toimittamiseksi oikeaan osoitteeseen. Rekisterinpitäjän on jatkossa varmistettava, että laskuista ei ilmene tarpeettomia henkilötietoja.

Päätöksestä voi valittaa hallinto-oikeuteen, joten se ei ole lainvoimainen.

Apulaistietosuojavaltuutetun päätös Finlexissä

Lisätietoja:

Apulaistietosuojavaltuutettu Jari Råman, jari.raman(at)om.fi, puh. 029 566 6757