Tietosuojavaltuutetun toimisto (Dataombudsmannens byrå) ger Helsingfors stad en reprimand för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att Dataombudsmannens byrå underrättades om att det via sökfunktionen i en webbtjänst som drivs av Helsingfors stad var möjligt att se namnen på alla personer som var registrerade i tjänsten. Dataombudsmannens byrå bad därefter Helsingfors stad förklara hur denne vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten i behandlingen.
Som svar på begäran klargjorde Helsingfors stad att tjänsten i fråga var en plattform för deltagande budgetering där stadens invånare kunde diskutera stadens utveckling och föreslå saker som de skulle vilja se i sitt eget bostadsområde. Efter Dataombudsmannens byrås begäran har Helsingfors stad upptäckt en personuppgiftsincident i samband med användningen av plattformen.
Helsingfors stad uppgav att användarprofilerna för samtliga 124 000 personer som var registrerade på plattformen varit allmänt sökbara och som standard tillgängliga via plattformens egen sökfunktion. Profilerna har också varit sökbara via Google Search och hade visat åtminstone användarnas för- och efternamn. Helsingfors stad noterade också att alla profiler raderats och att möjligheten att registrera sig på tjänsten stängts. Helsingfors stad har dessutom inaktiverat tjänstens sökfunktion och begärt att Google skulle ta bort sökresultaten från Google Search.
På grundval av den information som lämnats av Helsingfors stad ansåg Dataombudsmannens byrå att det, med tanke på tjänstens karaktär, inte kunde anses nödvändigt att användarprofilerna varit offentligt sökbara och synliga för alla genom plattformens egen sökfunktion. Dataombudsmannens byrå konstaterade därmed att Helsingfors stad inte vidtagit några tekniska eller organisatoriska åtgärder för att förhindra att tredje part fick tillgång till uppgifter som de inte borde ha tillgång till.
På grundval av den information som samlats in ansåg Dataombudsmannens byrå att Helsingfors stad brutit mot kravet på dataskydd som standard (Privacy by Default) enligt artikel 25.2 GDPR och kravet på lämpliga säkerhetsåtgärder enligt artikel 32.1 GDPR genom att göra användarprofilerna och relaterade personuppgifter sökbara och synliga för vem som helst. Dataombudsmannens byrå utfärdade därför en reprimand mot Helsingfors stad i enlighet med artikel 58.2 (b) GDPR.