Asiakkaan henkilötietojen liittäminen kanta-asiakasjärjestelmään ilman suostumusta

Asian kuvaus:
Asiakas oli ostanut pesukoneen ja kotiinkuljetuksesta sovittaessa antanut yhtiölle yhteystietonsa. Pian sen jälkeen hän oli saanut kanta-asiakaskortin sisältäneen kirjeen ja ”megatarjouksen”, vaikka ei ollut missään vaiheessa liittynyt kanta-asiakasjärjestelmään. Osoitetietojensa luovuttamisen yhteydessä häntä ei oltu informoitu niiden käytöstä mihinkään muuhun kuin sovittuun tarkoitukseen.

Yhtiö ilmoitti, että oli tapahtunut inhimillinen virhe myyjän liittäessä asiakkaan kanta-asiakasjärjestelmään kysymättä suostumusta. Henkilötiedot oli kuitenkin virheen havaitsemisen jälkeen heti poistettu järjestelmästä. Kanta-asiakasjärjestelmään liittyminen oli jäsenille vapaaehtoista ja maksutonta. Henkilökunnalle oli annettu ohjeet henkilötietojen keräämisestä.

Tietosuojavaltuutetun vastaus:
Tietosuojavaltuutettu totesi, että yhtiön vastauksessaan ilmoittamat kanta-asiakasjärjestelmänsä käyttöä koskevat periaatteet ovat henkilötietolain mukaiset. Myös järjestelmän rekisteriseloste oli laadittu henkilötietolain mukaisesti.

Yhtiö oli kuitenkin rikkonut henkilötietolain säännöksiä liittäessään asiakkaan kanta-asiakasjärjestelmäänsä suostumuksetta. Viitaten henkilötietojen käsittelyn perustana olevaan asianmukaisuusvaatimukseen ja kuluttaja-asiamiehen ohjeeseen kanta-asiakasmarkkinoinnista (1997) tietosuojavaltuutettu totesi, ettei yksittäistä ostotapahtumaa voida pitää sellaisena asiakassuhteen aikaansaavana perusteena, joka täyttäisi henkilötietolain tarkoittaman asiallisen
yhteyden vaatimuksen ja mahdollistaisi asiakkaan henkilötietojen liittämisen kanta-asiakasjärjestelmään ilman asiakkaalta pyydettyä nimenomaista suostumusta.

Tapaukseen liittyvässä suoramarkkinoinnissa oli hyödynnetty suoraan kanta-asiakasjärjestelmän muodostavaa henkilörekisteriä, joten kyseessä ei ollut suoramarkkinointitarkoitukseen liittyvä henkilötietojen erityinen käsittely.

Tietosuojavaltuutettu katsoi, että yhtiön menettely oli ollut henkilötietolain vastaista, mutta ei kuitenkaan niin moitittavaa, että se antaisi syyn ryhtyä lisätoimenpiteisiin. Koska kyseessä oli ollut poikkeama yrityksen yleiseksi ilmoittamasta henkilötietojen käsittelyä koskevasta linjasta, valtuutettu katsoi riittäväksi antaa yhtiölle moitteen asiakkaan henkilötietojen liittämisestä kanta-asiakasjärjestelmään suostumuksetta sekä kehotti yhtiötä vastedes huolehtimaan siitä, että henkilökunta ei enää menettele kyseisellä tavalla.

Sovelletut säännökset:
Henkilötietolaki 3 § 7 kohta, 5 §, 6§, 8,1 §, 9 §, 10 §, 19 §, 24,1 §, 25,3 § ja 30 §.