EU-tuomioistuin: Jokaisella on oikeus saada tietää henkilötietoihinsa tehtyjen kyselyjen ajankohta ja syyt

Se seikka, että rekisterinpitäjä harjoittaa pankkitoimintaa, ei vaikuta tämän oikeuden laajuuteen

Pankki S:n työntekijä, joka oli myös saman pankin asiakas, sai vuonna 2014 tietoonsa, että muut pankin henkilökuntaan kuuluvat olivat tehneet kyselyjä hänen henkilötietoihinsa useita kertoja 1.11.2013 ja 31.12.2013 välisenä aikana. Kyseisellä työntekijällä, jonka Pankki S oli sittemmin irtisanonut, oli epäilyjä kyselyjen lainmukaisuudesta, minkä vuoksi hän (jäljempänä pyytäjä) pyysi pankkia ilmoittamaan hänelle hänen henkilötietoihinsa kyselyjä tehneiden henkilöiden henkilöllisyyden, kyselyjen tarkat päivämäärät sekä näiden tietojen käsittelyn tarkoitukset.

Pankki S kieltäytyi 30.8.2018 antamassaan vastauksessa ilmoittamasta kyselyt tehneiden työntekijöiden henkilöllisyyttä sillä perusteella, että nämä tiedot olivat kyseisten työntekijöiden henkilötietoja. Sen sijaan Pankki S antoi tarkentavia tietoja näistä kyselytoimista, jotka pankin sisäisen tarkastuksen yksikkö oli suorittanut, ja selitti, että eräs pankin asiakas, jonka asiakasvastaava pyytäjä oli, oli sellaisen henkilön velkoja, joka oli samanniminen kuin pyytäjä. Pankki halusi siksi selvittää, olivatko pyytäjä ja kyseessä oleva velallinen sama henkilö ja oliko siinä tapauksessa voinut olla olemassa mahdollinen epäasiallinen eturistiriitasuhde. Pankki S lisäsi, että asian selvittäminen edellytti kyseisten tietojen käsittelyä ja että jokainen näitä tietoja käsitellyt pankin  henkilöstöön kuuluva oli antanut sisäiselle tarkastukselle lausunnon tietojen käsittelyn syistä. Lisäksi pankki totesi, että näiden tietojen tarkastelujen avulla oli voitu sulkea pois kaikki epäilyt eturistiriidasta pyytäjän osalta.

Pyytäjä saattoi asian Suomen tietosuojavaltuutetun toimiston käsiteltäväksi, jotta Pankki S määrättäisiin luovuttamaan hänelle pyydetyt tiedot. Tämä pyyntö hylättiin, minkä jälkeen pyytäjä valitti Itä-Suomen hallinto-oikeuteen, joka pyytää unionin tuomioistuinta tulkitsemaan yleisen tietosuoja-asetuksen1 15 artiklaa. Unionin tuomioistuin huomauttaa tänään antamassaan tuomiossa aluksi, että yleistä tietosuoja-asetusta, jota on sovellettu 25.5.2018 alkaen, sovelletaan kyseisen päivän jälkeen tehtyyn pyyntöön, joka koskee henkilötietojen käsittelytoimia, jotka on suoritettu ennen yleisen tietosuoja-asetuksen soveltamisen alkamispäivää. Tämän jälkeen unionin tuomioistuin toteaa, että yleistä tietosuoja-asetusta on tulkittava siten, että henkilön henkilötietoihin tehtyihin kyselyihin liittyvät tiedot kyselyjen ajankohdista ja tarkoituksista ovat tietoja, jotka kyseisellä henkilöllä on oikeus saada rekisterinpitäjältä. Yleisessä tietosuoja-asetuksessa ei sen sijaan
vahvisteta tällaista oikeutta tietoihin, jotka koskevat rekisterinpitäjän niiden työntekijöiden henkilöllisyyttä, jotka ovat suorittaneet kyselytoimet rekisterinpitäjän alaisuudessa ja sen ohjeiden mukaisesti, paitsi jos nämä tiedot ovat välttämättömiä, jotta rekisteröity voi tosiasiallisesti käyttää kyseiseen asetukseen perustuvia oikeuksiaan, ja edellyttäen, että näiden työntekijöiden oikeudet ja vapaudet otetaan huomioon. Jos tiedonsaantioikeuden käyttäminen, jolla taataan rekisteröidylle yleisessä tietosuoja-asetuksessa annettujen oikeuksien tehokas vaikutus, ja muiden oikeudet tai vapaudet joutuvat keskenään ristiriitaan, kyseessä olevia oikeuksia ja vapauksia on punnittava keskenään. Mahdollisuuksien mukaan on valittava menettelytavat, joilla ei vaikuteta haitallisesti muiden oikeuksiin tai vapauksiin.

Lopuksi unionin tuomioistuin katsoo, että sillä seikalla, että rekisterinpitäjä harjoittaa pankkitoimintaa säännellyn tehtävän puitteissa ja että henkilö, jonka henkilötietoja rekisterinpitäjän asiakkaana on käsitelty, on ollut myös tämän rekisterinpitäjän työntekijä, ei lähtökohtaisesti ole merkitystä määritettäessä kyseisellä henkilöllä kyseisen säännöksen nojalla olevan  tiedonsaantioikeuden laajuutta.

Tiedote

Unionin tuomioistuimen tuomio asiassa C-579/21