Henkilötietolain mukaisen tarkastusoikeuden toteuttaminen Oy A:n asiakaspuhelutaltioihin

Dnro 2680/41/2010
10.05.2011

Asian kuvaus:

Hakija B on saattanut tietosuojavaltuutetun toimistossa vireille asian, joka koskee hänen tarkastusoikeuttaan. Hakija kertoo esittäneensä rekisterinpitäjälle Oy A:lle kirjeitse tarkastusoikeutensa toteuttamiseen liittyvän pyynnön, jossa hän pyysi saada mm. mahdolliset
asiakaspuhelunauhoitteet.

Hakija kertoo, että rekisterinpitäjä otti tämän jälkeen häneen yhteyttä ja edellytti hänen yksilöivän puhelut ja lähettävän niistä tarkemmat tiedot paperipostissa. Hakija lähetti nämä tiedot, minkä jälkeen rekisterinpitäjä hakijan kertoman mukaan ilmoitti puhelimitse, että hakijalla on mahdollisuus tulla kuuntelemaan puhelunauhoitteet seuraavana aamuna klo 8 rekisterinpitäjän toimipaikkaan (mikä olisi ainoa kuuntelumahdollisuus). Hakija ei kertomansa mukaan mennyt kuuntelemaan nauhoitteita, vaan ilmoitti työesteistään kyseiselle ajankohdalle.

Hakija on pyytänyt tietosuojavaltuutettua toimimaan asiassaan niin, että hän saa tiedot toimistonsa sopimusten sisällöstä ja laskutusperusteista sekä ainakin 12.7.2010 ja 12.8.2010 käymistään puhelinkeskusteluista. Hän on myös kysynyt, onko hänelle annettu puhelunauhoitteiden tarkastusmahdollisuus, kun rekisterinpitäjä ilmoitti mahdollisuudesta ja järjesti sen niin, ettei hakijalla ollut tosiasiallista mahdollisuutta käyttää tarkastusoikeuttaan.

Tapauksen taustalla on, että hakija on asioinut Oy:n kanssa puhelimitse oman toimistonsa Oy B:n sopimuksiin ja laskutukseen liittyvissä asioissa.

Rekisterinpitäjältä saatu selvitys:

Tietosuojavaltuutetun Oy A:lle esittämään selvityspyyntöön yhtiö vastasi, että:

  • Henkilötietolain mukainen henkilörekisterin sisällön tarkastusoikeus ei koske sen hallussa olevia puhelutallenteita. Puhelunauhoitteet eivät kuulu samaan rekisteriin kuin henkilöyrityksistä löytyvät henkilötietorekisteritiedot. Puhelutiedot eivät ole osa yhtiön henkilötietorekisteriä, vaan täysin erillisessä paikassa sijaitseva, laajuudeltaan satojatuhansia yksittäisiä puhelutallenteita kattava sähköinen tallennekokonaisuus, josta yksittäisen puhelutallenteen etsiminen ei ole nopeaa eikä vaivatonta.

  • Kaikki puhelutallenteet koskevat aina vain yhtiön ja sen asiakasyrityksen väliseen sopimussuhteeseen liittyvää kommunikointia, ei koskaan yksityisen henkilön ja yhtiön välistä kommunikointia, koska yritys ei tarjoa mitään palveluita yksityishenkilöille.

  • Hakijalle ei ole sanottu, ettei toista tilaisuutta puhelutallenteen kuunteluun olisi mahdollista saada. Kysymys on ollut siitä, onko tällainen toinen tilaisuus ollut järjestettävissä samalla viikolla.

  • Kyseisessä tapauksessa yhtiöllä ei olisi mitään lainmukaista velvoitetta tarjota kyseiselle asiakasyritykselle mahdollisuutta tutustua hänen kanssaan käydyistä keskusteluista yhtiön hallussa oleviin puhelutallenteisiin. Yhtiö on kuitenkin tällaisen mahdollisuuden kyseessä olevalle asiakasyritykselle tarjonnut, mutta B ei ole tätä mahdollisuutta käyttänyt. Asiakas ei myöskään ole ollut myöhemmin yhteydessä sopiakseen uutta aikaa, johon asiakkaalla olisi ollut mahdollisuus.

  • Kuuntelumahdollisuus on edelleen olemassa. Yhtiö ei sitoudu tarjoamaan kyseiselle asiakkaalle kuuntelumahdollisuutta ilman eri veloitusta ja tulee ilmoittamaan asiakkaalle hänen tällaista mahdollisuutta pyytäessä uuden tarkan ajankohdan, jolloin kuuntelumahdollisuus järjestyy.

  • Yhtiö ei missään olosuhteissa toimita puhelutallenteita asiakasyritysten haltuun, mutta varaa heille oman harkintansa mukaan kuuntelumahdollisuuden sovittuna aikana sovitussa paikassa, lähtökohtaisesti yhtiön toimitiloissa Helsingissä.

Hakijan vastine:

Hakijalle ei varattu mahdollisuutta antaa vastinetta rekisterinpitäjän vastaukseen 16.3.2011, koska sitä asian lopputuloksen kannalta pidettiin hallintolain (434/2003) 34.2.5. §:n mukaisesti ilmeisen tarpeettomana.

Oikeudellinen kysymys:

Asiassa oli kysymys siitä, tulisiko tietosuojavaltuutetun antaa henkilötietolain (523/1999) 40 §:n mukainen määräys rekisteröidyn tarkastusoikeuden toteuttamisesta yhtiön asiakaspuhelutaltioita koskien.

Tietosuojavaltuutetun päätös ja perustelut:

Tietosuojavaltuutettu määräsi henkilötietolain 40.2. §:n nojalla yhtiön eli rekisterinpitäjän toteuttamaan hakijan henkilötietolain 26 §:n mukaisen tarkastusoikeuden olemassa oleviin asiakaspuhelutaltioihin. Yhtiön taltioimat, hakijan kanssa käydyt puhelinkeskustelut ovat hakijan henkilötietoja. Yhtiö on taltioiden osalta henkilötietolain 3 §:n tarkoittama rekisterinpitäjä, koska se on suorittanut taltiointia omaa käyttöään varten ja sillä on määräysvalta taltioihin. Hakijalla on henkilötietolain 26 §:n säätämä tarkastusoikeus häntä koskeviin asiakaspuhelutaltioihin, ja rekisterinpitäjän on toteutettava tämä oikeus henkilötietolain 28.2. §:n edellyttämällä tavalla.

Henkilötietolain 26.1. §:n mukaan jokaisella on salassapitosäännösten estämättä oikeus tiedon etsimiseksi tarpeelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja. Rekisterinpitäjän on samalla ilmoitettava rekisteröidylle rekisterin säännönmukaiset tietolähteet sekä, mihin rekisterin tietoja käytetään ja säännönmukaisesti luovutetaan.

Henkilötietolain 3.1.1. §:n mukaan henkilötiedolla tarkoitetaan kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi.

Ääni, josta luonnollinen henkilö on tunnistettavissa, on henkilötieto. Myös korkein hallinto-oikeus on katsonut näin päätöksessään 30.7.2010 (dnro 2094/1/09), kun se ei muuttanut Kuopion hallinto-oikeuden päätöstä 25.5.2009 (dnro 09/0330/2). Kyseisessä hallinto-oikeuden päätöksessä henkilön ääni katsotaan nauhalle tallentuessaan henkilötietolain tarkoittamaksi henkilötiedoksi ja henkilötietolain säätämän tarkastusoikeuden piiriin kuuluvaksi.

Henkilötiedon käsitettä on määritelty myös Euroopan unionin tasolla, kun tietosuojadirektiivin (95/46/EC) artiklan 29 nojalla perustettu tietosuojatyöryhmä antoi asiasta lausunnon 20.6.2007 ("Lausunto 4/2007 henkilötietojen käsitteestä"). Lausunnon tavoitteena on mm. luoda yhteinen tulkinta henkilötietojen käsitteestä sekä tilanteista, joissa kansallista, tietosuojadirektiivin implementoivaa lainsäädäntöä sovelletaan. Myös tässä lausunnossa asiakkaan ääni todetaan nauhalle tallentuessaan henkilötiedoksi (ks. http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/2007_ en.htm).

Vaikka käytyjen puhelinkeskustelujen sisältö on nyt ratkaistavassa tapauksessa liittynyt kahden osakeyhtiön välisiin asioihin, rekisterinpitäjän taltioimat keskustelut ovat kuitenkin henkilötietoa. Puhelinkeskusteluissa viestinnän osapuolina (eli viestinnän käyttäjinä) ovat aina yksittäiset luonnolliset henkilöt, joiden äänet ovat tulleet taltioiduiksi. Näin ollen taltioitu ääni on luonnolliseen henkilöön yhdistettävissä oleva, häntä koskeva henkilötieto.

Rekisterinpitäjä on esittänyt vastauksessaan 16.3.2011, että puhelutiedot eivät ole osa sen henkilötietorekisteriä, vaan täysin erillisessä paikassa sijaitseva, laajuudeltaan satojatuhansia yksittäisiä puhelutallenteita kattava sähköinen tallennekokonaisuus, josta yksittäisen puhelutallenteen etsiminen ei ole nopeaa eikä vaivatonta. Henkilötietolain 3 §:n kannalta arvioituna henkilörekisteri muodostuu samaa käyttötarkoitusta (kuten asiakassuhteen hoitoa) varten käsiteltävistä henkilötiedoista riippumatta siitä, mihin tiedot on talletettu. Lisäksi on huomioitava, että henkilötietolakia sovelletaan henkilörekistereiden ohella myös henkilötietojen automaattiseen käsittelyyn (vrt. lain 2.1. §). Se, että asiakaspuhelutaltiot sijaitsevat rekisterinpitäjän kertomalla tavalla erillisessä paikassa, ei siis merkitse, etteivät taltiot kuuluisi henkilötietolain säätämän tarkastusoikeuden piiriin.

Henkilötietolain 26.1. §:n mukaan rekisteröidyn on tarvittaessa ilmoitettava tarkastuspyyntönsä yhteydessä sellaisia yksilöiviä tietoja, jotka ovat tarpeellisia tietojen etsimiseksi. Nyt puheena olevassa tapauksessa rekisterinpitäjä on tietosuojavaltuutetun käytettävissä olevien tietojen mukaan pyytänyt hakijaa yksilöimään puhelut, minkä hakija on tehnyt kirjeellään 19.8.2010. Rekisterinpitäjä on tämän jälkeen tarjonnut hakijalle tallenteiden kuuntelumahdollisuutta (ja tarjosi sitä edelleen vastauksessaan 16.3.2011), mikä osoittaa, että rekisterinpitäjä on löytänyt sähköisestä tallennekokonaisuudestaan hakijaa koskevia taltioita. Rekisterinpitäjä ei siis voi evätä hakijan tarkastusoikeutta silläkään perusteella, että hakijan henkilötiedot eivät olisi löydettävissä sähköisestä tallennekokonaisuudesta.

Olemassa olevat asiakaspuhelutaltiot kuuluvat hakijan henkilötietolain 26 §:n mukaisen tarkastusoikeuden piiriin, ellei olemassa ole henkilötietolain 27 §:ssä säädettyä perustetta rajoittaa tarkastusoikeutta. Rekisterinpitäjä ei ole 16.3.2011 antamassaan selvityksessä esittänyt, että olemassa olisi henkilötietolain 27 §:ssä säädetty peruste rajoittaa hakijan tarkastusoikeutta kyseisten taltioiden osalta. Näin ollen kyseiset tiedot oli annettava hakijalle henkilötietolain 28.2. §:n edellyttämällä tavalla.

Rekisterinpitäjän on varattava hakijalle puhelutaltioiden kuuntelumahdollisuus tai annettava hakijan pyynnöstä tieto taltioiden sisällöstä kirjallisesti. Tiedot on annettava ymmärrettävässä muodossa. Rekisterinpitäjän on samalla ilmoitettava hakijalle rekisterin säännönmukaiset tietolähteet sekä, mihin rekisterin tietoja käytetään ja säännönmukaisesti luovutetaan. Rekisterinpitäjä saa periä tietojen antamisesta korvauksen vain, jos siitä, kun asianomainen edellisen kerran sai tarkastettavakseen rekisterin tiedot, on kulunut vähemmän kuin yksi vuosi. (Vrt. henkilötietolain 26.1. § ja 28.2. §.)

Sovelletut lainkohdat:

Henkilötietolaki (523/1999) 3 §, 26 §, 27 §, 28 § ja 40 §
Henkilötietolaki Finlex -säädöstietopankissa: www.finlex.fi/fi/laki/ajantasa/1999/19990523

Muutoksenhaku:

Henkilötietolain 45 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla noudattaen mitä hallintolainkäyttölaissa (586/1996) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen. Valitusosoitus on liitteenä.

 
Julkaistu 27.1.2014