28.5.2020

Viattoman tuntuiset tietosuoja-asetuksen tulkinnat toivat samana päivänä GDPR-sakot peräti kolmelle yritykselle. Tietosuojavaltuutetun toimiston seuraamuskollegio määräsi maksettavaksi 12 500 sekä 16 000 ja 100 000 euron seuraamukset. Kyseessä ovat Suomen ensimmäiset sakkorangaistukset tietosuoja-asetuksen rikkomisesta.

Postille langetetun 100 000 euron sakkomaksun taustalla olivat varsin viattoman tuntuiset puutteet rekisteröityjen informoinnissa. Muuttoilmoituksen juuri tehneet olivat alkaneet saada yhteydenottoja useilta eri suoramarkkinointiyrityksiltä. Posti ei ollut informoinut muuttoilmoitusta tekeviä asiakkaita, että heidän tietojaan tullaan luovuttamaan muille osapuolille ja että asiakkailla on laillinen oikeus kieltää tietojensa luovutus. Muuttoilmoitus -palvelun sivulla Posti oli unohtanut kertoa myös kaikki muut rekisteröityjen oikeudet, kuten oikeus omien tietojen tarkistamiseen, korjaamiseen ym.  Rikkomus koski tietosuojavaltuutetun toimiston mukaan 161 000 asiakasta pelkästään vuoden 2019 aikana.

Kymen Vesi Oy:n 16 000 euron sakon perustelu oli oli työntekijöiden sijainnin jatkuva seuraaminen ajotietojärjestelmän avulla. Ajoneuvojen sijaintitietoja käytettiin muun muassa työajan seuraamiseen. Tietosuojavaltuutetun toimiston päätöksen mukaan sakkojen perusteluna oli lisäksi se, että yritys ei ollut tehnyt EU:n yleisen tietosuoja-asetuksen mukaista vaikutustenarviointia ennen sijaintitietojen käsittelyn aloittamista.

Kolmannen yrityksen nimeä tietosuojavaltuutetun toimisto ei julkistanut. 12 500 euron sakot tulivat tarpeettomien henkilötietojen keräämisestä ja puutteista tietosuojakäytäntöjen dokumentoinnissa. Yritys oli kerännyt rekrytoitavilta ja työntekijöiltä terveydentilaa ja mahdollista raskautta, uskontoa ja perhesuhteita koskevia tietoja. Tämä rikkoo sekä EU:n tietosuoja-asetusta että Työelämän tietosuojalakia.

Sakkojen lisäksi tietosuojavaltuutettu määräsi yrityksen poistamaan tarpeettomat tiedot, ja korjaamaan puutteet tietosuojakäytäntöjen dokumentoinnissa. Yrityksen nimen julkaisematta jättäminen on melko harvinaista. Ovathan yritystoimintaa koskevat laiminlyönnit, rikkeet ja väärinkäytökset julkista tietoa eikä tietosuoja ole poikkeus.

Tietosuoja-asetus on laaja kokonaisuus. Vaikka organisaatioihin vaikuttavat useat lait ja säädökset, tietousojaa koskevat läpäisevät koko toiminnan. Siksi asetuksen noudattamisessa kannattaa olla tarkkana. Tarkista ja varmista, että organisaatiosi on

Asetuksessa on tiettyjä vaatimuksia julkisten selosteiden sisällölle ja muodolle, ja niin sisäinen kuin julkinen dokumentaatio on pidettävä ajan tasalla. Jos haluat pelata varman päälle, lue asiantuntijoidemme laatimat 19-kohdan ohjeet.