Tietosuojavaltuutetun toimisto (Dataombudsmannens byrå) har utfärdat en sanktionsavgift på 750 000 euro mot inkassobolaget Alektum Oy för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att Dataombudsmannens byrå inlett en utredning efter att ha mottagit tre klagomål av privatpersoner. Enligt två av klagomålen hade Alektum inte besvarat de registrerades begäranden om att få tillgång deras egna uppgifter. En av de klagande hade enligt klagomålet fått ett svar av Alektum, men inte en kopia av sina personuppgifter.
Enligt biträdande dataombudsmannen vid Dataombudsmannens byrå är rätten att granska sina egna personuppgifter en central dataskyddsrättighet. Om en person inte har tillgång till sina egna uppgifter kan denne inte till exempel korrigera felaktiga uppgifter eller kontrollera lagligheten av behandlingen av personuppgifter.
Under utredningen kom det fram att Alektum i regel låtit bli att besvara begäranden som handlar om den registrerades dataskyddsrättigheter. Den som behandlar personuppgifter är skyldig att besvara begäranden som handlar om den registrerades rättigheten inom en månad. Om det har inkommit ett stort antal begäranden eller om begärandena är komplicerade kan den personuppgiftsansvarige ange att de behöver mer tid, dock högst två månader.
Vad gäller en av de klagande förklarade Alektum att begäran inte besvarades i och med att företaget enligt egen utsago inte längre behandlade den registrerades personuppgifter. Även i detta fall borde företaget ha besvarat begäran och berätta att företaget inte längre behandlar den registrerades personuppgifter. Enligt påföljdskollegiet vid Dataombudsmannens byrå har Alektum inte satt sig in i gällande krav i dataskyddslagstiftningen och företagets förfaringssätt vittnar om likgiltighet för lagstiftningen.
Under utredningen försökte Dataombudsmannens byrå på olika sätt att få kontakt med Alektum. Påföljdskollegiet vid Dataombudsmannens byrå anser att Alektum varit ovillig att lämna en redogörelse om sitt förfarande och samarbeta med myndigheten. Enligt dataskyddsförordningen ska personuppgiftsansvariga samarbeta med tillsynsmyndigheten och lämna in de uppgifter som myndigheten ber om.
Mot bakgrund av ovanstående beslutade påföljdskollegiet vid Dataombudsmannens byrå att utfärda en sanktionsavgift på 750 000 euro mot Alektum. I sin bedömning beaktade påföljdskollegiet vid Dataombudsmannens byrå det faktum att ärendet också handlar om personers rättsskydd. Inkassoavgifterna kan i sista hand tas ut genom myndighetens tvångsmedel, och gäldenären har rätt att få veta om risken för rättslig indrivning.