Taloyhtiö asensi kiinteistöönsä sähkölukkojärjestelmän, mutta sivuutti epähuomiossa tietosuojasääntelyn asettamat vaatimukset.
Taloyhtiö vaihtoi vanhan avainlukituksen sähkölukkojärjestelmään. Pian tietosuojavaltuutetulle kiiri epäilys siitä, ettei uusi systeemi ja sen käyttöönottomenettely täytä tietosuojasääntelyn vaatimuksia. Valituksen vireillesaattajan mukaan asukkaita ei informoitu tarpeeksi järjestelmän yksityiskohdista eikä esimerkiksi vuokralaisia lähestytty sen käyttöönottoon liittyen mitenkään.
EU: tietosuoja-asetus astui voimaan keväällä 2018, ja se on teettänyt ponnistuksia kaikilta henkilötietoja käsitteleviltä yrityksiltä ja yhteisöiltä – myös taloyhtiöiltä.
Lukitusjärjestelmä vaihtui yhtiökokouksen enemmistöpäätöksellä
Yhtiöltä saadun selvityksen mukaan kyseessä on erittäin yleinen lukitusjärjestelmä, joka on asennettu porraskäytävien ulko-oviin ja rakennuksen ulkovaipan muiden sisäänkäyntien yhteyteen.
Taloyhtiöstä sanottiin, että sillä ei ole mahdollisuuksia saada tietoja lukkorungosta, ja järjestelmää hallinnoiva lukkoliike lukee avaustietoja ainoastaan poliisin pyynnöstä. Avaimia luovutetaan 3–5 per asunto ja loppukäyttäjää ei rekisteröidä.
Se miksi tuliterään lukkojärjestelmään päädyttiin, selittyi vanhan lukitussysteemin korkealla iällä, vuosien mittaan hukkaan joutuneilla avaimilla sekä asukkaiden runsaalla vaihtuvuudella. Loppusysäyksenä uudistukseen oli jatkuva ilkivalta, kellarimurrot ja saunaosastolla tapahtuva majailu. Asiasta päätettiin taloyhtiön yhtiökokouksessa enemmistöpäätöksellä.
Asiantuntijoitakin konsultoitiin
Taloyhtiö eli rekisterinpitäjä kertoi informoineensa osakkaita lukkojärjestelmän käyttöönotosta yhtiökokouksen kutsussa, varsinaisessa kokouksessa sekä yhtiökokoustiedotteessa. Kokoukseen oli kutsuttu kaikki osakkeenomistajat asunto-osakeyhtiölain mukaisesti. Lisäksi taloyhtiö oli konsultoinut asiassa asiantuntijoita. He olivat olleet sitä mieltä, etteivät lukitusjärjestelmät edellytä jokaisen osakkaan kirjallista suostumusta, vaan niistä päätetään normaalin menettelyn mukaisesti.
Taloyhtiössä ajateltiin, ettei ovenavaustiedoista muodostu henkilörekisteriä, sillä oven avaukseen liittyy ainoastaan avaimen yksilöintitieto.
Oven avauksessa kertyy henkilötietoja
Apulaistietosuojavaltuutettu katsoi päätöksessään, ettei ovenavauksista kerättyjen tietojen tarvitse olla suoraan yhdistettävissä rekisteröityyn ollakseen henkilötietoja. Tässä tapauksessa ovenavaaja oli mahdollista selvittää yhdistämällä avaimen yksilöintitieto tiettyyn asuntoon – etenkin yksinasuvien henkilöiden kohdalla. Näin ollen kyseessä on henkilötietojen keruu, jota on käsiteltävä tietosuoja-asetuksen mukaisesti.
Mitä tulee päätöksentekoon, yhtiökokouksessa saavutettu enemmistökannatus ei tietosuojavaltuutetun mukaan ollut tässä tapauksessa riittävää. Asunto-osakeyhtiölain nojalla tehty päätös ei voi olla lainvastainen, ja muualta lainsäädännöstä tuleva sääntely oli sivuutettu.
Ratkaisussaan tietosuojavaltuutettu otti myös kantaa mahdollisten suostumusten keräämiseen. Ongelmana on kyseisen käsittelyperusteen mahdollisesti hyvinkin lyhyt elinkaari väen vaihtuessa talossa taajaan. Muuttotilanteessa uuden asukkaan voisi käytännössä olla välttämätöntä suostua henkilötietojensa keräämiseen lukkojärjestelmän kautta. Tämä taas ei täytä vapaaehtoisesti annetun suostumuksen edellytyksiä, joka rekisteröidyllä henkilöillä täytyy olla. Suostumuksen tulee myös olla peruutettavissa.
Henkilötietojen säilytysaika asettaa haasteita
Tietosuojavaltuutettu nosti tutkinnassa esiin sen, että rekisterinpitäjän valitseman sähkölukkojärjestelmän suunnittelussa ei huomioitu sitä, miten ovenavauskertojen perusteella määrittyvistä henkilötietojen säilytysajoista saattaa muodostua hyvinkin eri mittaisia eri asukkaiden kohdalla. Tietosuoja-asetuksessa määritellään, että säilytysajan on oltava mahdollisimman lyhyt, eikä tietoja saa säilyttää pidempään kuin on tarpeellista. Tarvittava säilytysaika taas on arvioitava suhteessa käsittelyperusteeseen. Säilyttämisajasta tai sen määrittämiskriteereistä tulee kertoa rekisteröidyille. Tässä tapauksessa näin ei tehty. Rekisteröityjen informointi oli muutenkin laiminlyöty kautta linjan tietosuoja-asetuksesta tuleviin vaatimuksiin nähden.
Päätös
Rekisterinpitäjälle annettiin määräys saattaa käsittelytoimet yleisen tietosuoja-asetuksen mukaisiksi. Päätös ei ole lainvoimainen.
Tietosuoja-asetus on huomioitava päätösten valmisteluvaiheessa
Kuhanen, Asikainen & Kanerva Oy:n lakimies Tommi Leppänen uskoo, että päätös selkeyttää niitä odotuksia, joita tietosuoja-asetuksen noudattamiselle taloyhtiöissä asetetaan.
– Asetus velvoittaa taloyhtiöitä arvioimaan omaa toimintaansa henkilötietojen käsittelyn näkökulmasta. Rima onkin tällä päätöksellä asetettu korkealle. Henkilötietoja käsitellään taloyhtiöissä huomattavia määriä ja asumisen teknologian kehittyminen tulee lisäämään järjestelmiä entisestään, Leppänen sanoo.
Leppänen muistuttaa, että viimeistään nyt taloyhtiöissä on kiinnitettävä huomio henkilötietojen käsittelyyn asioiden valmisteluvaiheessa.
– Taloyhtiöillä on Suomessa keskeinen rooli ihmisten asumisessa eikä tietosuoja-asetuksen tuomia velvoitteita voi jättää huomioimatta, Leppänen korostaa.
Herättääkö GDPR kysymyksiä taloyhtiössänne?
Tietosuoja taloyhtiössä -oppaassa käsitellään käytännönläheisesti ja tiiviisti tietosuoja-asetuksen (GDPR) vaikutuksia taloyhtiöiden ja isännöintiyritysten toimintaan. Oppaan ovat kirjoittaneet toimitusjohtaja, lakimies, OTM Kai Haarma ja lakimies Tommi Leppänen Asianajotoimisto Kuhanen, Asikainen & Kanerva Oy:stä. Tilaa tästä.
