Ilmatieteen laitos ei ollut noudattanut henkilötietojen siirtoperustetta reCAPTCHA ja Google Analytics -palveluiden käytössä

Ks. oheisesta linkistä Tietosuojatyöryhmän ohje 17/FI WP 248 rev.01 (WP 248) ”Ohjeet tietosuojaa koskevasta vaikutustenarvioinnista ja keinoista selvittää ”liittyykö käsittelyyn todennäköisesti” asetuksessa (EU) 2016/679 tarkoitettu ”korkea riski”, annettu 4.4.2017.

• Rekisterinpitäjän tehtävänä on varmistaa, että tietosuojaa koskeva vaikutustenarviointi on tehty (35 artiklan 2 kohta). Tietosuojaa koskevan vaikutustenarvioinnin voi tehdä joku muu organisaation sisällä tai sen ulkopuolella, mutta viime kädessä siitä vastaa rekisterinpitäjä.

Lähde

—

Ks. Alma Talentin 22.5.2023 tiedote: Ilmatieteen laitos ei ollut määritellyt tai soveltanut lainmukaista henkilötietojen siirtoperustetta reCAPTCHA ja Google Analytics -palveluiden käytössä.

– – ”Apulaistietosuojavaltuutettu toteaa, että Ilmatieteen laitos ei ollut määritellyt tai soveltanut lainmukaista henkilötietojen siirtoperustetta reCAPTCHA ja Google Analytics -palveluiden käytössä. Se ei myöskään ollut keskeyttänyt tiedonsiirtoja viipymättä EU-tuomioistuimen Schrems II-ratkaisun (C-311/18) jälkeen, vaikka sillä ei ollut tietojen siirtämiselle enää pätevää siirtoperustetta. EU-tuomioistuimen ratkaisussa kumottiin EU:n ja Yhdysvaltojen välinen Privacy Shield -järjestely, jonka perusteella tietoja voitiin aiemmin siirtää.

Apulaistietosuojavaltuutettu muistuttaa, että EU- ja ETA-alueen ulkopuolelle tehtävien tiedonsiirtojen perusteena ei voida käyttää esimerkiksi rekisteröidyltä evästeiden käyttöön hankittavaa suostumusta.” – –

27.4.2023

Dnro 7684/171/22

”Apulaistietosuojavaltuutetun päätös henkilötietojen siirtoa kolmansiin maihin koskevassa asiassa”

– – ”Tiedonsiirtoja koskeva vaikutustenarviointi

Yleisen tietosuoja-asetuksen 35 artikla edellyttää, että rekisterinpitäjä tekee ennen käsittelytoimenpiteisiin ryhtymistä arvioinnin suunniteltujen käsittelytoimien vaikutuksista henkilötietojen suojalle silloin, kun käsittely todennäköisesti aiheuttaa luonnollisen henkilön oikeuksien ja vapauksien kannalta korkean riskin.

Tietosuojaa koskevan vaikutustenarvioinnin avulla on tarkoitus kuvata henkilötietojen käsittelyä, arvioida sen tarpeellisuutta ja oikeasuhteisuutta sekä tukea luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvien henkilötietojen käsittelystä aiheutuvien riskien hallintaa arvioimalla riskit ja määrittelemällä toimenpiteet, joilla niihin puututaan. Tietosuojaa koskeva vaikutustenarviointi on osoitusvelvollisuuden kannalta tärkeä työkalu, koska se auttaa rekisterinpitäjiä paitsi noudattamaan yleisen tietosuoja-asetuksen vaatimuksia, myös osoittamaan, että asetuksen noudattaminen on varmistettu asianmukaisin toimenpitein. Tietosuojaa koskeva vaikutustenarviointi on toisin sanoen menettely, jolla parannetaan vaatimusten noudattamista ja osoitetaan niiden noudattaminen.8

Nyt arvioitavassa asiassa rekisterinpitäjä on todennut tietosuojavaltuutetun toimistolle antamassaan selvityksessä, ettei se ole tehnyt vaikutustenarviointia henkilötietojen käsittelyyn liittyvien tiedonsiirtojen osalta. Apulaistietosuojavaltuutettu toteaa, että rekisterinpitäjän olisi tullut noudattaa henkilötietojen käsittelyssä rekisterinpitäjältä edellytettyä riskiperusteista lähestymistapaa ja huomioida, että menettelyyn liittyy yleisen tietosuoja-asetuksen 35 artiklan 1 kohdassa tarkoitettu todennäköinen korkea riski ja että 7 Google Analytics Opt-out Browser Add-on. 8

Ks. tietosuojatyöryhmän ohje WP 248: Ohjeet tietosuojaa koskevasta vaikutustenarvioinnista ja keinoista selvittää ”liittyykö käsittelyyn todennäköisesti” asetuksessa (EU) 2016/679 tarkoitettu ”korkea riski”, annettu 4.4.2017, s. 4. erityisesti yhdysvaltalaisviranomaisen pääsymahdollisuus seurantateknologioiden kautta kerättyihin henkilötietoihin muodostaa korkean riskin luonnollisen henkilön oikeuksien ja vapauksien kannalta.

Täsmennettäköön edellä todettuun, että vaikutustenarviointi tulee laatia myös tilanteessa, jossa henkilötietojen käsittelyyn ei alun perin ole liittynyt todennäköistä korkeaa riskiä, mutta tällainen riski on sittemmin aktualisoitunut.

Rekisterinpitäjän olisi edellä todetusti tullut laatia tiedonsiirtoja koskeva vaikutustenarviointi, jossa rekisterinpitäjä olisi arvioinut esimerkiksi kansainvälisiin henkilötietojen siirtoihin liittyviä suojatoimiaan. Rekisterinpitäjä on nyt tarkasteltavassa asiassa laiminlyönyt tämän keskeisen velvollisuutensa, ja rekisterinpitäjälle annetaan tämän menettelyn osalta huomautus.

Lähde

—

Ks. edellä viitattu Schrems II-ratkaisu (C-311/18):

UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)

16 päivänä heinäkuuta 2020 (*)

Ennakkoratkaisupyyntö – Yksilöiden suojelu henkilötietojen käsittelyssä – Euroopan unionin perusoikeuskirja – 7, 8 ja 47 artikla – Asetus (EU) 2016/679 – 2 artiklan 2 kohta – Soveltamisala – Henkilötietojen siirto kolmanteen maahan kaupallisissa tarkoituksissa – 45 artikla – Tietosuojan riittävyyttä koskeva komission päätös – 46 artikla – Siirrot asianmukaisia suojatoimia soveltaen – 58 artikla – Valvontaviranomaisten toimivaltuudet – Kolmannen maan viranomaisten toteuttama siirrettyjen tietojen käsittely kansallista turvallisuutta varten – Kolmannen maan tietosuojan riittävyyden arviointi – Päätös 2010/87/EU – Tietosuojaa koskevat vakiolausekkeet henkilötietojen kolmanteen maahan siirtoa varten – Rekisterinpitäjän tarjoamat asianmukaiset suojatoimet – Pätevyys – Täytäntöönpanopäätös (EU) 2016/1250 – EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn tarjoaman tietosuojan tason riittävyys – Pätevyys – Luonnollisen henkilön, jonka tiedot on siirretty Euroopan unionista Yhdysvaltoihin, tekemä kantelu” – –

– – ”Asetuksen 2016/679 46 artiklan 1 kohtaa ja 2 kohdan c alakohtaa on tulkittava siten, että näissä säännöksissä vaadituilla asianmukaisilla suojatoimenpiteillä, täytäntöönpanokelpoisilla oikeuksilla ja tehokkailla oikeussuojakeinoilla on varmistettava, että henkilöiden, joiden henkilötietoja siirretään kolmanteen maahan tietosuojaa koskevien vakiolausekkeiden perusteella, saavat sellaisen suojan tason, joka pääosiltaan vastaa tasoa, joka taataan Euroopan unionissa tämän asetuksen, luettuna Euroopan unionin perusoikeuskirjan valossa, nojalla.

Tätä varten tällaisen siirron yhteydessä varmistetun suojan tason arvioinnissa on muun muassa otettava huomioon yhtäältä unioniin sijoittautuneen rekisterinpitäjän tai sen henkilötietojen käsittelijän ja asianomaiseen kolmanteen maahan sijoittautuneen siirron vastaanottajan välillä sovitut sopimusmääräykset ja toisaalta, siltä osin kuin kyse on tämän kolmannen maan viranomaisten mahdollisesta pääsystä näin siirrettyihin henkilötietoihin, tämän maan oikeusjärjestelmään liittyvät merkitykselliset tekijät, erityisesti mainitun asetuksen 45 artiklan 2 kohdassa mainitut tekijät.” – –

Lähde

Ks. edellä viitattu

ASETUKSET
EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2016/679,

annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus)

(ETA:n kannalta merkityksellinen teksti)

Lähde

–

Ks. myös ”35 artikla GDPR. Tietosuojaa koskeva vaikutustenarviointi”