Tuoreessa, 26.11.2020 annetussa päätöksessä,¹ Itävallan liittovaltion hallintotuomioistuin (Bundesverwaltungsgericht, BVwG) kumosi Itävallan tietosuojaviranomaisen Itävallan Postille (APS) määräämän 18 miljoonan euron sakon. Tapauksessa on kyse samoista tosiseikoista, joita BVwG tarkasteli erillisessä päätöksessä.² Tuomioistuin piti voimassa tietosuojaviranomaisen hallinnollisen seuraamuksen APS:lle, jota oli syytetty asiakkaiden henkilötietojen, kuten yksityisten osoitteiden ja oletetun poliittisen suuntautumisen, laittomasta käsittelystä ja myynnistä kolmansille osapuolille markkinointitarkoituksiin.

Käsiteltävänä olevassa päätöksessä BVwG myönsi APS:n toiminnan lainvastaisuuden, mutta kumosi DPA:n seuraamuksen, koska se ei ollut osoittanut, että sekä oikeushenkilöt että luonnolliset henkilöt, jotka olivat toimineet APS:n puolesta, olivat vastuussa kyseisestä syyllisyydestä.

Faktat

Tapauksen tosiasialliset lähtökohdat juontavat juurensa Addendum-journalismialustan tammikuussa 2019 julkaisemaan raporttiin,³ jonka mukaan APS oli kerännyt yksityisosoitteita, sukupuolta ja ikää, koulutusta sekä sijoituksia ja lahjoituksia koskevien tietojen lisäksi tietoja myös noin 3 miljoonan asiakkaan poliittisista suuntauksista.⁴

Viran puolesta suoritetun tutkimuksen jälkeen DPA:

• totesi, että sosiodemografisten tekijöiden tiedustelu ja tietojen käsittely, jotka koskevat henkilön poliittisia mieltymyksiä ilman oikeudellista perustetta, on yleisen tietosuoja-asetuksen (asetus (EU) 2016/679) 9 artiklan 1 kohdassa tarkoitettu erityinen henkilötietoryhmä, mikä edellyttää asianomaisen tahon nimenomaista ennakkohyväksyntää (yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a alakohta; 151 §:n 4 momentti). Gewerbeordnung, GewO);

• Määräsi, että tietojen käsittely on lopetettava ja että jo kerätyt tiedot on poistettava kahden viikon kuluessa;

• katsoi, että APS ei tehnyt asianmukaista tietosuojaa koskevaa vaikutustenarviointia (ennen 25.5.2018), koska se jätti virheellisesti huomioimatta poliittisen vakaumuksen erityisenä henkilötietoryhmänä.

APS vastasi valituksella ja väitti, että yksityishenkilön poliittista mieltymystä koskevia tietoja ei voida pitää henkilötietoina, koska tällaiset tiedot kerätään anonymisoitujen kyselytutkimusten avulla, jotka tuottavat yleisiä ennusteita. Koska näitä todennäköisyyslaskelmia ei voida oikaista (tietosuoja-asetuksen 16 artikla), niitä pidetään markkinointitietoina ja ne luokitellaan GewO:n 151 §:n 6 momentin mukaisesti. Kuitenkin lisättiin, että vaikka niitä pidettäisiinkin henkilötietoina, niitä ei voida luokitella erityiseen luokkaan.

Vasta marraskuussa BVwG vahvisti tietosuojavaltuutetun päätöksen ja katsoi, että poliittista puoluetta kohtaan tunnettua kiintymystä koskevien tietojen käsittelyä voidaan pitää tietosuoja-asetuksen 4 artiklan 1 kohdan mukaisena henkilötietona. Koska saadut tiedot voidaan osoittaa erityisesti yksilöitävissä olevaan yksityishenkilöön, jonka poliittinen vakaumus on suojattava syrjinnältä yleisen tietosuoja-asetuksen 9 artiklan mukaisesti, niitä on käsiteltävä erityisenä henkilötietoryhmänä, joten ne edellyttävät ennakkosuostumusta. Tämä osa päätöksestä on nyt vireillä Euroopan yhteisöjen tuomioistuimessa. Itävallan korkein hallinto-oikeus (Verwaltungsgerichtshof, VwGH).

Tässä artikkelissa käsiteltävä asia koskee kuitenkin saman tapauksen eri oikeudellista näkökohtaa.

Edellä kuvattujen tosiseikkojen perusteella asiassa keskitytään siihen, että APS:n väitetään rikkoneen yleisen tietosuoja-asetuksen 5 artiklan 1 kohtaa, 6 artiklan 2 kohtaa, 6 artiklan 4 kohtaa, 9, 14, 30, 35 ja 36 artiklaa. Asia on seurausta APS:n valituksesta, joka perustui väitteeseen, jonka mukaan sakko oli määrätty ilman, että sen puolesta toimivien luonnollisten henkilöiden syyllisyyttä oli osoitettu (tietosuoja-asetuksen 4 artiklan 7 kohta).

Seuraavassa keskitytään BVwG:n äskettäiseen päätökseen kumota DPA:n sakko VwGH:n aiempien päätelmien perusteella. Tuomioistuin katsoi, että väitetyn tosiasiallisen, lainvastaisen ja syyllisen toiminnan on oltava myös luonnollisen henkilön vastuulla (VStG:n 44 a §), jotta oikeushenkilö voidaan saattaa vastuuseen.⁵

Asia

Koska tietosuoja-asetuksen tarkoituksena on ja siinä säädetäänkin oikeushenkilöiden suorasta vastuusta ilman, että yksityishenkilön on todistettava yksittäistä rikkomusta, BVwG:n oli otettava huomioon seuraavat seikat:

1. Oliko tietosuojaviranomaisella oikeus määrätä sakko yleisen tietosuoja-asetuksen 83 artiklan nojalla oikeushenkilölle, koska oikeushenkilön puolesta toimivan luonnollisen henkilön syyllistävää toimintaa ei ole osoitettu;

2. Sovelletaanko kansallisia hallintorikosoikeudellisia sääntöjä vai onko käsiteltävänä olevaa asiaa tarkasteltava tietosuoja-asetuksen sääntöjen valossa.

Päätös

Tuomioistuin katsoi, että tietosuoja-asetuksen 83 artiklan säännösten perusteella määrätty tietosuojasakko kuuluu Itävallan hallintorangaistuslain (Verwaltungsstrafgesetz, VStG) sekä Itävallan tietosuojalaki (Datenschutzgesetz, DSG). Kansallisia menettelysääntöjä sovelletaan tietosuoja-asetuksen rikkomisen vuoksi määrättyihin sakkoihin, sillä 83 artiklan 8 kohdassa todetaan seuraavaa: "Valvontaviranomaisen käyttäessä toimivaltaansa [...] on noudatettava asianmukaisia menettelyllisiä takeita unionin ja jäsenvaltion lainsäädännön mukaisesti, mukaan lukien tehokkaat oikeussuojakeinot ja asianmukainen oikeudenkäynti".⁶

Lisäksi se totesi, että tietosuojaviranomainen ei ollut toiminut VStG:n 44 a ja 45 §:n sekä DSG:n 30 §:n mukaisesti, koska se oli laiminlyönyt osoittaa, että APS:n puolesta toimineet luonnolliset henkilöt, kuten APS:ää edustavat, siinä määräysvaltaa käyttävät tai sen puolesta päätöksiä tekevät henkilöt, olivat syyllisiä.

Kommentti

Vaikka BVwG saattoi kumota APS:lle määrätyn rangaistuksen, sen päätös perustui tietosuojaviranomaisen tekemään muotovirheeseen. Näin ollen sitä on käsiteltävä erikseen, eikä se ole ristiriidassa BVwG:n aiemman päätöksen kanssa, jossa todettiin, että poliittista puoluetta kohtaan tunnettua henkilökohtaista kiintymystä koskevien tietojen käsittely johtaa vastuuseen.

Alaviitteet

1 Docket-numero: Docket Number W258 2217446-1/14E. Saatavilla seuraavasta osoitteesta: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=c4b7610d-5502-49f6-af50-791b9361c9f1&Position=1&SkipToDocumentPage=
True&Abfrage=Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=
&VonDatum=&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum
=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2227269_1_00.

2 Docket-numero: Docket Number W258 2217446-1/35E. Saatavilla seuraavasta osoitteesta: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=e9b780cb-e5e0-4be8-81e7-7a49b08cc25b&Position=1&SkipToDocumentPage=True&Abfrage=
Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=
&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum=
&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2217446_1_00.

3 "Wenn Die Post Partei Ergreift." Lisäys, 28. heinäkuuta 2020, www.addendum.org/datenhandel/parteiaffinitaet/ [luettu 10.12.2020].

4 Lisätietoja on sekä Itävallan postin lehdistötiedotteessa "Milestones and outlook for 2019 and 2020" (29.10.2019) että Euroopan tietosuojaneuvoston lehdistötiedotteessa "Administrative criminal proceedings of the Austrian data protection authority against Österreichische Post AG (23.10.2019), saatavilla osoitteessa: https://edpb.europa.eu/news/national-news/2019/administrative-criminal-proceedings-austrian-data-protection-authority_fr.

5 Docket-numero R2019/04/0229. Available via: https://www.ris.bka.gv.at/Dokumente/Vwgh/JWT_2019040229_20200512J00/JWT_2019040229_20200512J00.html.

6 "Yleisen tietosuoja-asetuksen 83 artikla - Yleiset edellytykset hallinnollisten sakkojen määräämiselle"." Yleinen tietosuoja-asetus (GDPR), 29.3.2018, gdpr-info.eu/art-83-gdpr/ [viitattu 14.12.2020].

Tämän artikkelin sisältö on tarkoitettu yleiseksi oppaaksi aiheesta. Omiin erityisiin olosuhteisiisi liittyvissä kysymyksissä olisi pyydettävä asiantuntija-apua.