Tietosuojavaltuutetun toimisto (Dataombudsmannen) har gett Oy Suomen Henkilötieto en anmärkning om behandling av personuppgifter i strid dataskyddsförordningen (GDPR).
Av beslutet framgår att Oy Suomen Henkilötieto genom webbplatsen Henkilötieto.fi tillhandahållit en tjänst via vilken en person kan göra begäranden gällande sina dataskyddsrättigheter till olika personuppgiftsansvariga. Under år 2018 tog Dataombudsmannen emot sju klagomål om verksamheten på webbplatsen henkilötieto.fi. Flera företag som anfört klagomål hade fått ett meddelande från tjänsten Henkilötieto.fi om begäran om tillgång som en registrerad gjort via tjänsten. För att företagen skulle få de registrerades begäran behövde de betala en årsavgift på 300 euro. Under åren 2018–2021 förmedlade tjänsten sammanlagt sex begäran från registrerade som gällde rätten till tillgång till olika personuppgiftsansvariga.
På webbplatsen Henkilötieto.fi har Oy Suomen Henkilötieto enligt Dataombudsmannen gett skenet av att tjänsten används av närmare 300 000 företag. Över 99 procent av de företag som syns på webbplatsen har dock inte ingått avtal om att förmedla registrerades begäran via tjänsten. Webbplatsens användare informeras inte heller om huruvida företagen har ett avtal med tjänstens administratör eller inte. Därför har webbplatsens användare felaktigt kunnat tro att de företag som syns på webbplatsen har avtalat om att förmedla begäran med tjänsten Henkilötieto.fi.
Oy Suomen Henkilötieto har enligt Dataombudsmannen uppgett att de behandlat personuppgifterna om tjänstens användare på basis av samtycke. Dataombudsmannen anser dock att tjänstens användare inte har vetat vilken typ av behandling de i verkligheten gett sitt samtycke till, och att samtycket därför inte var giltigt. På registreringsblanketten till tjänsten krävdes dessutom enligt Dataombudsmannen automatiskt samtycke till direktmarknadsföring. Dataombudsmannen konstaterar att ett sådant samtycke inte stämmer överens med reglerna i dataskyddsförordningen. Samtycke ska enligt Dataombudsmannen begäras för varje enskilt ändamål och det ska vara frivilligt.
Dataombudsmannen anser mot bakgrund av ovanstående att Oy Suomen Henkilötietos verksamhet är särskilt klandervärd, eftersom företaget i sin verksamhet utnyttjat den grundläggande rättigheten avseende dataskydd utan att rättigheterna i verkligheten har kunnat utövas. Dataombudsmannen gav därför företaget en anmärkning om behandling av personuppgifter i strid med dataskyddsförordningen och ålade företaget att ändra sina rutiner så att de stämmer överens med förordningen, om de avser fortsätta med motsvarande verksamhet. Beslutet har ännu inte vunnit laga kraft.