Artikkelit
- Markkinaoikeudelta linjaus sidosyksikköaseman määräysvaltakriteerin täyttymisestä
- Turnover Thresholds in the Finnish merger control regulations
- Katsaus korkeimman oikeuden ratkaisukäytäntöön 2023
- Käytännön vinkkejä sopimussakkoehdon muotoiluun
- Työnantaja – muistitko kaikki loppuvuoden deadlinet?
- Oikeuttaako ennakoimaton inflaatio muuttamaan sovittua hintaa?
- Yhteistoimintalain kokonaisuudistus – uusi laki voimaan 1.1.2022
- Tietosuojakatsaus 2021
- Kilpailukieltosopimuksia koskeva lakimuutos hyväksytty eduskunnassa
- Tietosuoja-update – komissiolta uusi tietosuojasopimusmalli sekä päätös uusista vakiosopimuslausekkeista henkilötietojen kansainvälisiin siirtoihin
- KKO 2021:9: Työntekijän kuulemisen viivästyminen otettiin huomioon arvioitaessa kohtuullista aikaa irtisanomisen toimittamiseksi
- Katsaus korkeimman oikeuden ratkaisukäytäntöön vuonna 2020
- Justice denied is justice delayed
- Hallituksen esitys: Jatkossa työnantajan tulisi maksaa työntekijälle korvausta kilpailukiellosta kiellon pituudesta riippumatta
- Apulaistietosuojavaltuutetun ratkaisu vaatii muuttamaan evästekäytäntöjä: suostumusta ei voi antaa selainasetuksissa
- Koronavirus force majeure -esteenä
- Komissiolta tiedonanto koskien suorahankintojen oikeutusta koronakriisissä
- Voidaanko julkisia hankintasopimuksia muuttaa koronavirusepidemian takia?
- GDPR-sakkoja satelee – Suomessa selvitty toistaiseksi huomautuksilla
- Katsaus korkeimman oikeuden ratkaisukäytäntöön vuonna 2019
- Incoterms 2020
- Työntekijän kuuleminen ja irtisanomisen toimittaminen kohtuullisessa ajassa
- Yksityisten osakeyhtiöiden osakepääomavaatimus poistui heinäkuun alussa
- Tosiasiallisten edunsaajien rekisteröintivelvollisuus alkaa 1.7.2019
- Välimiesmenettelylainsäädännön uudistaminen käynnistyi vuoden 2019 alussa – elinkeinoelämä toivoo uuden hallituksen vievän uudistuksen loppuun
- In-house-järjestelyt hankintalainsäädännössä – onko sidosyksikkö aina sidosyksikkö?
- Uutta tietosuojalainsäädäntöä tulossa voimaan
- EU:n tuomioistuimen ennakkoratkaisu vahingonkorvausvelvollisten määrittämisestä asfalttikartellissa
- Brexit vaikuttaa lukuisiin sopimuksiin – toimi nyt
- Lakiuudistus mahdollistaa 3D-kiinteistöt kaupunkikeskustojen kehittämisessä
- Ensimmäisiä sakkoja GDPR:n perusteella annettu Euroopassa
- Tietosuojalait hyväksytty eduskunnassa
- Finanssivalvonnalta tuore linjaus: GDPR:n hallinnollisten sakkojen vakuuttaminen on jatkossa kiellettyä
- Välimiesmenettelylaki kaipaa päivittämistä
- Tekoäly haastaa juridiikan
- Osakeyhtiöiden perustamista ja hallinnointia esitetään kevennettäväksi
- EU:n tuomioistuimelta merkittävä ratkaisu liittyen rekisterinpitäjän määritelmään
- Uusi liikesalaisuuslaki
- Koneoppiminen ja EU:n yleisen tietosuoja-asetuksen vaatimus lainmukaisesta, kohtuullisesta ja läpinäkyvästä käsittelystä
- Application of the good faith principle under the CISG
- Edunvalvonnan kilpailuoikeudelliset rajat – markkinaoikeuden päätös bussiasiassa
- Korkeimman oikeuden linjaus välillisen vahingon korvattavuudesta – KKO 2017:74
- Korkein oikeus linjasi: miten konserniavustusta on osakeyhtiöoikeudellisesti arvioitava?
Artikkelit eivät ole oikeudellisia neuvoja ja niissä on tiettyjä yksinkertaistuksia. Merkurius ei ota vastuuta miltään osin, mikäli artikkelien perusteella tehdään joitakin toimenpiteitä tai jätetään tekemättä joitakin toimenpiteitä. Kirjoittajat antavat mielellään tarkempia tietoja artikkeleissa käsitellyistä asioista
EU:n tuomioistuimelta merkittävä ratkaisu liittyen rekisterinpitäjän määritelmään
Euroopan unionin tuomioistuin antoi kesäkuun alussa ennakkoratkaisun (C-210/16) Facebookiin perustetun fanisivun hallinnoijan vastuusta sivulla kävijöiden henkilötietojen keräämiseen ja käsittelyyn liittyen. Ratkaisussa oli kysymys unionin vanhan tietosuojadirektiivin tulkinnasta, joka on nyttemmin korvattu uudella EU:n yleisellä tietosuoja-asetuksella (679/2016). Ratkaisun kannalta keskeisen rekisterinpitäjän määritelmä on kuitenkin sekä vanhassa direktiivissä että uudessa asetuksessa identtinen, joten ennakkoratkaisua voitaneen soveltaa myös uuden tietosuoja-asetuksen aikakaudella.
Tapauksessa oli kysymys Saksan tietosuojaviranomaisen tekemästä päätöksestä, jolla yksityinen koulutusalan yhtiö määrättiin poistamaan Facebookiin perustamansa fanisivu, koska Facebook tai yhtiö eivät informoineet sivulla kävijöitä siitä, että Facebook keräsi ja käsitteli heidän henkilötietojaan. Yhtiö valitti kyseisestä päätöksestä ja katsoi, ettei se ole vastuussa Facebookin suorittamasta henkilötietojen käsittelystä, vaan mahdolliset toimenpiteet tulisi kohdistaa suoraan Facebookia vastaan. Tähän riidanalaiseen päätökseen liittyen Saksan liittovaltion ylin tuomioistuin pyysi unionin tuomioistuimelta ennakkoratkaisua.
Saksalaisen tuomioistuimen esittämä ennakkoratkaisukysymys perustui siihen olettamaan, ettei yhtiötä pidettäisi direktiivin (ja tietosuoja-asetuksen) mukaisena rekisterinpitäjänä. Unionin tuomioistuin katsoi kuitenkin tarpeelliseksi kyseenalaistaa tämän olettaman ja päätyi ennakkoratkaisutuomiossaan siihen lopputulokseen, että sekä Facebookia että Facebookin fanisivun hallinnoijaa on pidettävä rekisterinpitäjänä suhteessa fanisivujen kävijöiden henkilötietoihin.
Tapauksessa oli kyse tilanteesta, jossa Facebook keräsi fanisivulla vierailevien henkilöiden tietoja evästeiden avulla. Fanisivun hallinnoija taas sai Facebookilta käyttöönsä evästeiden avulla kerättyjen tietojen perusteella luotuja anonymisoituja kävijätilastoja, joiden avulla hallinnoija pystyi kohdistamaan markkinointiaan entistä tehokkaammin. Unionin tuomioistuin totesi, että tämän henkilötietojen käsittelyn tarkoituksena on toisaalta esimerkiksi Facebookin mainonnan parantaminen, mutta toisaalta myös fanisivun hallinnoijan toiminnan edistäminen helpottamalla esimerkiksi fanisivun sisällön kehittämistä. Fanisivun hallinnoijan on lisäksi mahdollista määritellä erilaisten Facebookin tarjoamien suodattimien avulla, millaisten henkilötietojen (esimerkiksi iän, sukupuolen, parisuhteen tai ammatin) pohjalta kävijätilastot laaditaan.
Anonymisoidut tiedot on pääsääntöisesti rajattu sekä vanhan tietosuojadirektiivin että nykyisen tietosuoja-asetuksen soveltamisalan ulkopuolelle, eikä siten lähtökohtaisesti anonyymien tietojen käsittelyyn sovelleta kyseisiä säännöksiä. Unionin tuomioistuin kuitenkin totesi, että tässä tapauksessa kyseisten tilastojen laadinta perustui fanisivun käyttäjien laitteille asentuneiden evästeiden kautta aikaisemmin tapahtuneeseen tietojen keräämiseen ja tietoja käsiteltiin kävijätilastoja varten. Unionin tuomioistuin painotti sitä, että tietosuojadirektiivi ei missään tapauksessa edellytä, että silloin, kun useampi toimija vastaa yhdessä samasta henkilötietojen käsittelystä, kaikilla niistä olisi oltava myös pääsy kyseisiin henkilötietoihin.
Edellä esitetyn perusteella unionin tuomioistuin katsoi, että osallistumalla kyseisten suodattimien ja parametrien valintaan, hallinnoija osallistuu fanisivulla kävijöiden henkilötietojen käsittelyn tarkoituksien ja keinojen määrittämiseen, ja sitä on siten pidettävä rekisterinpitäjänä yhdessä Facebookin kanssa. Se, että fanisivu on luotu Facebookin tarjoamalle alustalle, ei tuomioistuimen mukaan vapauta fanisivun hallinnoijaa henkilötietojen suojaa koskevien velvollisuuksien noudattamisesta. Unionin tuomioistuin kuitenkin totesi, että usean toimijan yhteinen vastuu henkilötietojen keräämisestä ja käsittelystä ei välttämättä merkitse eri toimijoiden samanlaista ja samantasoista vastuuta. Toimijat voivat osallistua henkilötietojen käsittelyyn eri vaiheissa ja eriasteisesti, jolloin kunkin toimijan vastuun taso on arvioitava tapauskohtaisesti.
Unionin tuomioistuimen ratkaisu rekisterinpitäjän käsitteestä on merkittävä. Tietosuoja-asetuksen näkökulmasta ratkaisussa määritellään nimenomaan yhteisrekisterinpitäjän käsitettä, joka on yksi tietosuoja-asetuksen tuoma uudistus. Ratkaisu on merkittävä myös siinä mielessä, että tuomioistuimen linjaus koskettaa Facebookin lisäksi myös muita verkkoalustoja ja tällaisille alustoille luotujen sivujen hallinnoijia. Tällaiselle verkkoalustalle luodun sivun hallinnoija ei kaikissa tapauksissa voi vyöryttää vastuuta henkilötietojen käsittelyn laillisuudesta ainoastaan verkkoalustan tarjoajalle, vaan velvollisuus huolehtia asianmukaisesta sivun kävijöiden henkilötietojen käsittelystä ulottuu myös sivun hallinnoijaan. Unionin tuomioistuimen tuomiossaan korostama yhteisrekisterinpitäjien erilainen vastuu tarkoittanee kuitenkin, että myös jatkossa verkkoalustan tarjoajalla on pääasiallinen vastuu henkilötietojen käsittelystä ja riittävästä suojasta. Joka tapauksessa vastuupiirin laajentamisen useammalle toimijalle voidaan katsoa parantavan henkilötietojen asianmukaisen käsittelyn varmistamista.
Tommi Härmä, Counsel
Ida Koskinen, Lawyer
Artikkelit
- Markkinaoikeudelta linjaus sidosyksikköaseman määräysvaltakriteerin täyttymisestä
- Turnover Thresholds in the Finnish merger control regulations
- Katsaus korkeimman oikeuden ratkaisukäytäntöön 2023
- Käytännön vinkkejä sopimussakkoehdon muotoiluun
- Työnantaja – muistitko kaikki loppuvuoden deadlinet?
- Oikeuttaako ennakoimaton inflaatio muuttamaan sovittua hintaa?
- Yhteistoimintalain kokonaisuudistus – uusi laki voimaan 1.1.2022
- Tietosuojakatsaus 2021
- Kilpailukieltosopimuksia koskeva lakimuutos hyväksytty eduskunnassa
- Tietosuoja-update – komissiolta uusi tietosuojasopimusmalli sekä päätös uusista vakiosopimuslausekkeista henkilötietojen kansainvälisiin siirtoihin
- KKO 2021:9: Työntekijän kuulemisen viivästyminen otettiin huomioon arvioitaessa kohtuullista aikaa irtisanomisen toimittamiseksi
- Katsaus korkeimman oikeuden ratkaisukäytäntöön vuonna 2020
- Justice denied is justice delayed
- Hallituksen esitys: Jatkossa työnantajan tulisi maksaa työntekijälle korvausta kilpailukiellosta kiellon pituudesta riippumatta
- Apulaistietosuojavaltuutetun ratkaisu vaatii muuttamaan evästekäytäntöjä: suostumusta ei voi antaa selainasetuksissa
- Koronavirus force majeure -esteenä
- Komissiolta tiedonanto koskien suorahankintojen oikeutusta koronakriisissä
- Voidaanko julkisia hankintasopimuksia muuttaa koronavirusepidemian takia?
- GDPR-sakkoja satelee – Suomessa selvitty toistaiseksi huomautuksilla
- Katsaus korkeimman oikeuden ratkaisukäytäntöön vuonna 2019
- Incoterms 2020
- Työntekijän kuuleminen ja irtisanomisen toimittaminen kohtuullisessa ajassa
- Yksityisten osakeyhtiöiden osakepääomavaatimus poistui heinäkuun alussa
- Tosiasiallisten edunsaajien rekisteröintivelvollisuus alkaa 1.7.2019
- Välimiesmenettelylainsäädännön uudistaminen käynnistyi vuoden 2019 alussa – elinkeinoelämä toivoo uuden hallituksen vievän uudistuksen loppuun
- In-house-järjestelyt hankintalainsäädännössä – onko sidosyksikkö aina sidosyksikkö?
- Uutta tietosuojalainsäädäntöä tulossa voimaan
- EU:n tuomioistuimen ennakkoratkaisu vahingonkorvausvelvollisten määrittämisestä asfalttikartellissa
- Brexit vaikuttaa lukuisiin sopimuksiin – toimi nyt
- Lakiuudistus mahdollistaa 3D-kiinteistöt kaupunkikeskustojen kehittämisessä
- Ensimmäisiä sakkoja GDPR:n perusteella annettu Euroopassa
- Tietosuojalait hyväksytty eduskunnassa
- Finanssivalvonnalta tuore linjaus: GDPR:n hallinnollisten sakkojen vakuuttaminen on jatkossa kiellettyä
- Välimiesmenettelylaki kaipaa päivittämistä
- Tekoäly haastaa juridiikan
- Osakeyhtiöiden perustamista ja hallinnointia esitetään kevennettäväksi
- EU:n tuomioistuimelta merkittävä ratkaisu liittyen rekisterinpitäjän määritelmään
- Uusi liikesalaisuuslaki
- Koneoppiminen ja EU:n yleisen tietosuoja-asetuksen vaatimus lainmukaisesta, kohtuullisesta ja läpinäkyvästä käsittelystä
- Application of the good faith principle under the CISG
- Edunvalvonnan kilpailuoikeudelliset rajat – markkinaoikeuden päätös bussiasiassa
- Korkeimman oikeuden linjaus välillisen vahingon korvattavuudesta – KKO 2017:74
- Korkein oikeus linjasi: miten konserniavustusta on osakeyhtiöoikeudellisesti arvioitava?
Artikkelit eivät ole oikeudellisia neuvoja ja niissä on tiettyjä yksinkertaistuksia. Merkurius ei ota vastuuta miltään osin, mikäli artikkelien perusteella tehdään joitakin toimenpiteitä tai jätetään tekemättä joitakin toimenpiteitä. Kirjoittajat antavat mielellään tarkempia tietoja artikkeleissa käsitellyistä asioista
Asianajotoimisto Merkurius Oy | Keskustori 5 | 33100 Tampere