Tietosuojavaltuutetun toimisto (Dataombudsmannens byrå) har beslutat att Yandex LLC och Ridetech International B.V. ska avbryta överföringen av personuppgifter om kunder som samlats in genom taxitjänsten Yango till Ryssland och att sluta behandla de insamlade personuppgifterna. Det interimistiska beslutet träder i kraft den 1 september 2023 och gäller i princip till och med den 30 november 2023.
Av beslutet framgår att Dataombudsmannens byrå fått kännedom om en lagstiftningsreform i Ryssland som träder i kraft i början av september och som ger den ryska säkerhetstjänsten tillgång till uppgifter som behandlas inom taxibranschen. De uppgifter som samlas in i taxiappen Yango kan till exempel omfatta kundens lokaliseringsuppgifter och taxichaufförens adress.
Dataombudsmannens byrå anser att det inte är möjligt för Yango att skydda personuppgifter på det sätt som krävs enligt dataskyddsförordningen (GDPR), särskilt efter den ryska lagstiftningsreformen. Därför behövs ett beslut om att avbryta överföringen av uppgifter och förbjuda behandlingen av personuppgifter.
Yango taxitjänst är verksam i Finland och Norge. Enligt företaget utförs taxitjänstens behandling av personuppgifter av Ridetech International B.V., ett företag baserat i Nederländerna, som är tjänsteleverantör för Yango-appen i EU. Enligt de förklaringar som Yango lämnat överför företaget uppgifter till Ryssland.
Dataombudsmannens byrås beslut har fattas i ett brådskande förfarande, vilket är möjligt under exceptionella omständigheter enligt GDPR. En tillsynsmyndighet får omedelbart anta interimistiska åtgärder om det är nödvändigt för att skydda enskildas rättigheter och friheter. Sådana åtgärder får vara i kraft under en period på högst tre månader. Dataombudsmannens byrås beslut gäller Yangos verksamhet i Finland.
Yango ska före september 2023 lämna in all information som de anser vara relevant för bedömningen av ärendet. Dessutom måste Yango informera Dataombudsmannens byrå om vilka åtgärder man kommer att vidta på grundval av beslutet.
Dataombudsmannens byrå kan också be Europeiska dataskyddsstyrelsen (EDPS) att utfärda ett bindande beslut mot Yango om att stoppa överföringen av uppgifter om företaget inte ändrar sin praxis.