Korkein hallinto-oikeus piti voimassa Verkkokauppa.comille määrätyn seuraamusmaksun tietosuojarikkomuksista

Korkein hallinto-oikeus on saattanut voimaan tietosuojavaltuutetun ja tietosuojavaltuutetun toimiston seuraamuskollegion päätöksen Verkkokauppa.com Oyj:n toiminnasta. Yhtiö oli rikkonut tietosuojalainsäädäntöä, kun se oli jättänyt määrittelemättä säilytysajat asiakastilien tiedoille.

Tietosuojavaltuutetun toimiston seuraamuskollegio määräsi maaliskuussa 2024 Verkkokauppa.comille 856 000 euron suuruisen hallinnollisen seuraamusmaksun, sillä yhtiö ei ollut määritellyt, kuinka kauan verkkokauppa-asiakkaiden asiakastilien tietoja säilytetään. Asiakastietoja säilytettiin yhtiön mukaan niin kauan, kunnes asiakas itse oli pyytänyt tietojen poistamista. 

Verkko-ostosten tekeminen ei ollut mahdollista ilman asiakastilin luomista, mikä oli johtanut siihen, että myös tietoja yksittäisistä verkko-ostoksista säilytettiin pidempään kuin oli tarpeen.  

Hallinto-oikeus alensi aiemmin seuraamusmaksun määrän 792 639 euroon yrityksen viimeisimmän liikevaihdon perusteella. Muilta osin Hallinto-oikeus hylkäsi Verkkokauppa.comin valituksen. Korkein hallinto-oikeus ei muuttanut hallinto-oikeuden ratkaisua. 

Henkilötietojen säilytysaikaa ja poistamista ei voi jättää asiakkaan vastuulle 

Korkein hallinto-oikeus katsoo, että yhtiöllä on ollut velvollisuus määrittää keräämilleen henkilötiedoille säilytysajat, eikä säilytysaikaa voida perustaa yksinomaan henkilön omien toimenpiteiden varaan. Yhtiö ei siis voinut jättää henkilötietojen säilytysaikaa määrittämättä sen perusteella, että asiakas voi itse pyytää tietojen poistamista tai tehdä toimenpiteitä niiden poistamiseksi. 

Toimintatapa oli korkeimman hallinto-oikeuden mukaan johtanut siihen, että tietoja on säilytetty pidempään kuin niiden käyttötarkoitus olisi edellyttänyt.

Korkein hallinto-oikeus toteaa myös, että tietosuojavaltuutettu on puuttunut päätöksellään henkilötietojen säilyttämistä koskeviin rikkomuksiin, eikä päätös rajoittanut yhtiön elinkeinovapautta.