Tietosuoja-asetuksen noudattaminen postituspalvelun hankintasopimuksessa

Apulaisoikeuskansleri kiinnitti sosiaaliturva-asioiden muutoksenhakulautakunnan huomiota tietosuoja-asetuksen noudattamiseen hankintasopimuksen laadinnassa ja soveltamisessa sekä siihen, että lautakunnan tietosuojavastaavan tulee olla riippumaton. 

Muutoksenhakulautakuntaan tehdyllä apulaisoikeuskanslerin laillisuusvalvontakäynnillä jäi avoimeksi, mihin toimiin lautakunnassa oli ryhdytty tietosuojan vaikutustenarvioinnin yhteydessä esitettyjen toimenpidesuositusten seurauksena. Apulaisoikeuskansleri otti asian omana aloitteenaan tutkittavaksi.

Muutoksenhakulautakunta ei selvityksessään osoittanut, että se olisi tehnyt Posti Messaging Oy:n kanssa tietosuoja-asetuksen edellytykset täyttävän sopimuksen, jolla se olisi määrittänyt, että henkilötietoja käsitellään sen rekisterinpitäjänä antamien dokumentoitujen ohjeiden mukaisesti. Muutoksenhakulautakunnan selvityksestä ei ilmennyt, että se olisi selvittänyt olisiko sen mahdollista vaatia tietoa käsittelevien joukon tarkempaa määrittelemistä, henkilötietojen lyhyempää säilyttämistä tai suojaamista teknisin toimin. Näitä oli suositeltu tietosuojan vaikutustenarvioinnin yhteydessä.

Laillisuusvalvontakäynnin yhteydessä kävi myös ilmi, että lautakunnan tietosuojavastaavana toimii sen hallintopäällikkö, joka johtaa hallinto-osastoa ja on myös osa lautakunnan johtoryhmää. Apulaisoikeuskanslerin mukaan tietosuojavastaavan tehtävässä toimiva hallintopäällikkö ei vaikuta täyttävän tietosuoja-asetuksessa tarkoitettuja riippumattomuuden turvaavia kriteereitä.

Apulaisoikeuskansleri totesi, että tietojen säilytysajoista tulee sopia rekisterinpitäjän henkilötietojen käsittelijän kanssa tekemässä sopimuksessa. Hän pyysi lautakuntaa ilmoittamaan viimeistään 31.10.2025 mahdollisista toimenpiteistään. Apulaisoikeuskansleri lähetti päätöksensä tiedoksi myös työeläkeasioiden muutoksenhakulautakunnalle ja tapaturma-asioiden muutoksenhakulautakunnalle, jotka hänen tietojensa mukaan käyttävät samaa palvelua.