Henkilötietojen luovutus yhteistyökumppanille suoramarkkinointia varten

2004

Asian kuvaus:
Vireillepanija kertoi tietosuojavaltuutetulle, että yritys XX tai sen yhteistyöyritys ylläpitää henkilörekisteriä, jonka rekisteriseloste ei ole saatavilla verkkopalvelun yhteydessä. Yritys xx on käyttänyt verkkopalveluunsa rekisteröityjen tietoja yhteistyökumppanin tekstiviestitse tapahtuvan mainoskampanjan toteuttamiseksi. Tässä yhteydessä yhteistyökumppanuus merkitsi sitä, että yritys xx on käyttänyt oman henkilörekisterin tietoja yhteistyöyrityksen suoramarkkinointitekstiviestien lähettämiseen.

XX ilmoitti ylläpitävänsä yhtä henkilörekisteriä, joka koostuu tekstiviestillä verkkopalveluun rekisteröityneistä käyttäjistä. Henkilörekisterin rekisteriseloste oli ollut kaikkien nähtävissä siitä asti, kun verkkopalvelu aloitti rekisteröintikäytännön. XX ilmoitti käyttävänsä suoramarkkinointiin vain niiden henkilöiden yhteystietoja, jotka olivat antaneet siihen luvan. Xx:n käsityksen mukaan käyttäjä on rekisteröityessään antanut luvan kaikkeen suoramarkkinointiin tai erikseen sähköpostitse tai tekstiviestitse tapahtuvaan suoramarkkinointiin. Kun käyttäjä rekisteröityy palveluun, hän hyväksyy palvelun käyttöehdot, jotka tulee lukea ennen rekisteröitymistä. Käyttöehdot ja rekisteriseloste ovat luettavissa rekisteröintitapahtumassa linkin kautta.

Tietosuojavaltuutetun vastaus:

Informointi tietojen käsittelystä
Tietosuojavaltuutettu totesi yritys XX:lle ohjauksena, että henkilörekisterille on annettava nimi, joka erottaa sen muista rekisterinpitäjän henkilörekistereistä ja ilmaisee rekisterin käyttötarkoituksen. Samaan henkilörekisteriin luetaan kuuluviksi teknisesti erikseen pidetyt henkilörekisterit, jos niitä käytetään saman tehtävän hoitamiseksi.

Rekisterin käyttötarkoitus kohtaan merkitään yksiselitteisesti, mitä rekisterinpitäjän tehtävää varten rekisteri on perustettu. Mikäli henkilörekisterissä oleva henkilötietojen käsittely perustuu siihen, että rekisteröity on suostumuksellaan rekisteröitynyt verkkopalveluun, on verkkopalveluun kuuluva henkilötietojen käsittely yksiselitteisesti merkittävä rekisteriselosteeseen. XX:n rekisteriselosteessa tulee mainita, tapahtuuko tilastointi ja henkilötietojen analysointi ilman henkilötietoja sekä millä tavoin henkilötietoja käytetään palvelun tuottamiseen, tarjoamiseen ja kehittämiseen. Lisäksi tulisi mainita se, keiden yhteistyökumppaneiden suoramarkkinointi- ja markkinatutkimukseen sekä millaisiin suoramarkkinointi- ja markkinatutkimustarkoituksiin yritys luovuttaa henkilörekisteritietojansa. Lisäksi tulee kertoa se, mihin tällainen henkilötietojen käsittely perustuu.

Säännönmukaiset tietolähteet kohtaan tulee merkitä, mitä henkilötietoja voidaan kerätä ja päivittää väestörekisteristä ja Suomen Suoramarkkinointiliiton ylläpitämästä kieltorekisteristä. Kohtaan tulee yksilöidä, mitä muut vastaavat rekisterit ovat.

Henkilötietojen luovutus yhteistyökumppanille suoramarkkinointia varten
Henkilötietorekisterin tietojen käsittely yhteistyökumppanin suoramarkkinointitarkoituksia varten katsotaan henkilötietolain mukaiseksi henkilörekisterin luovutukseksi yhteistyökumppanille, jolloin myös yhteistyökumppanista tulee henkilötietolain mukainen rekisterinpitäjä. Yritys XX:llä tulee olla luovuttajana sekä yhteistyökumppanilla luovutuksensaajana henkilötietolain mukainen peruste toiminnalleen. Yhteistyökumppanin tulee rekisterinpitäjänä ottaa toiminnassaan huomioon henkilötietolain velvoitteet. XX:n ja sen yhteistyökumppanin tulisi sopia yhteistyösopimuksessaan rekisterinpitäjästä ja siitä, miten sopimusosapuolien vastuut jakautuvat henkilötietolain velvoitteiden noudattamisen osalta.

Henkilöltä pyydettävä suostumus henkilötietojensa käsittelystä yhteistyökumppanin suoramarkkinointitarkoituksiin
Henkilötietolain mukaan yritys XX voi luovuttaa rekisteröidyn henkilötietoja tämän suostumuksella yhteistyökumppaninsa suoramarkkinointitarkoituksiin. Sähköisen viestinnän tietosuojalain mukaan tekstiviestien avulla toteutettua suoramarkkinointia saa kohdistaa vain sellaisiin luonnollisiin henkilöihin, jotka ovat antaneet siihen ennalta suostumuksensa, joten yhteistyökumppanilla on oikeus käsitellä XX:ltä saamiaan henkilötietoja tekstiviestien avulla tapahtuvaan suoramarkkinointiin rekisteröidyn suostumuksella.

Jotta henkilö voi antaa XX:n yhteisyritykselle pätevän etukäteisen suostumuksensa tekstiviestien avulla tapahtuvaan suoramarkkinointiin, tulee häntä olla informoitu yhteistyökumppanista ja sen henkilötietojen käsittelystä henkilötietoja kerättäessä.

Sovelletut säännökset:
Henkilötietolaki: 3 § 7 k., 5 §, 24 § ja 30 §
Sähköisen viestinnän tietosuojalaki 7 luku 26 § ja 27 §

 
Julkaistu 27.1.2014