Henkilötietojen luominen päättelemällä ja olettamalla sähköisessä suoramarkkinoinnissa käytettäväksi

Tietosuojavaltuutetun kannanotto, 29.12.2006

Ratkaistava ongelma/kuvaus asiasta:
Voidaanko työsähköpostiosoitteita luoda yksinomaan päättelemällä ja olettamalla? Henkilötietolain (523/1999) 19 §:n mukaisissa tarkoituksissa (suoramarkkinointi ja muut osoitteelliset lähetykset) käsiteltävän henkilörekisterin tietosisältöä luotiin niin, että julkisista yritysrekistereistä hankittiin ensin yrityksen ja siellä tietyissä tehtävissä työskentelevän henkilön nimitiedot. Nämä perustiedot yhdistettiin yrityksen www-osoitteeseen ja muodostettiin työntekijän sähköpostiosoite olettamalla sen olevan muotoa etunimi.sukunimi@yritys.fi.

Kannanotto:
Henkilötietolain 19 §:ssä säädetään mm. edellytyksistä, joilla voidaan muodostaa suoramainontaan tai muihin siihen rinnastettaviin osoitteellisiin lähetyksiin käytettävä henkilörekisteri ilman rekisteröidyn suostumusta.

Henkilötietolain 19 §:n mukaan suoramainontaan, etämyyntiin tai muuhun suoramarkkinointiin taikka muihin näihin rinnastettaviin osoitteellisiin lähetyksiin käytettävään henkilörekisteriin saa muilla kuin 8 §:n 1 momentissa säädetyillä perusteilla kerätä ja tallettaa henkilötietoja, 1) jollei rekisteröity ole kieltänyt henkilötietojen tällaista keräämistä ja tallettamista ja 2) jos henkilörekisteri sisältää tietoja, jotka koskevat rekisteröidyn tehtäviä ja asemaa elinkeinoelämässä tai julkisessa tehtävässä ja sitä käytetään hänen työtehtäviinsä liittyvän informaation lähettämiseen.

Koska henkilötietolaki edellyttää luotettavien tietolähteiden käyttämistä ja virheettömien henkilötietojen käsittelyä, tulee käsiteltävän henkilötiedon (esim. henkilön työsähköpostiosoitteen) olla julkaistu eli henkilötietoja ei voida luoda henkilötietolain 19 §:n mukaiseen rekisteriin yksinomaan päättelemällä ja olettamalla.

Jos osoitetietoja luodaan yksinomaan päättelemällä ja olettamalla, tällöin ei pystytä varmistumaan tietojen virheettömyydestä, henkilön kielto-oikeuden toteutumisesta eikä henkilön oikeudesta tietää itseään koskevien tietojen käsittelystä. Toisaalta koska olemassa on myös toimintatapoja, jotka turvaavat rekisteröidyn oikeudet (esim. osoitetietoja on muutenkin saatavilla ja yhteisöt ilmoittavat niitä itse haluamallaan tavalla), ei yksinomaan päättelemällä ja olettamalla tapahtuvaa henkilötietojen luomista voida pitää asiallisesti perusteltuna. Henkilörekisterin tietosisältöä ei siis tule muodostaa yksinomaan päättelemällä ja olettamalla.

Sähköisen viestinnän tietosuojalain (516/2004) 26 §:ssä ja 27 §:ssä säädetään edellytyksistä, joilla sähköistä suoramarkkinointia voidaan kohdistaa luonnolliselle henkilölle ja yhteisölle. Sähköisen suoramarkkinoinnin kohdistamiseen luonnolliselle henkilölle tarvitaan pääsääntöisesti hänen siihen ennalta antamansa suostumus. Lähetettäessä sähköistä suoramarkkinointia työsähköpostiosoitteeseen, vastaanottajaa pidetään luonnollisena henkilönä ellei suoramarkkinointia ole kohdennettu henkilölle hänen työtehtäviensä perusteella. Yksittäisen työntekijän työsähköpostiosoite on siis lähtökohtaisesti luonnollisen henkilön osoite.

Sähköisen viestinnän tietosuojalain suoramarkkinointisäännöksiä ei sovelleta sähköpostiviesteihin, jotka eivät ole sisällöltään suoramarkkinointia.

Sovelletut säännökset:
Henkilötietolaki: 3 §, 6 §, 9 §, 19 §, 24 §
Sähköisen viestinnän tietosuojalaki: 26 §, 27 §