Apulaistietosuojavaltuutettu on antanut Ilmatieteen laitokselle huomautuksen henkilötietojen siirtämisestä Yhdysvaltoihin verkkosivujen seurantateknologioiden kautta ilman pätevää siirtoperustetta. Lisäksi Ilmatieteen laitos oli jättänyt tekemättä tietosuojaa koskevan vaikutustenarvioinnin kansainvälisistä tiedonsiirroista.
Asia ilmenee apulaistietosuojavaltuutetun antamasta päätöksestä. Tiedot oli siirretty Google-yhtiölle, jonka palvelimet sijaitsevat Yhdysvalloissa.
Ilmatieteen laitos ilmoitti tietosuojavaltuutetun toimistolle, että sillä oli verkkosivuillaan käytössä Googlen reCAPTCHA ja Google Analytics -palvelut, joiden käyttöön liittyy verkkosivukävijöiden henkilötietojen käsittelyä.
ReCAPTCHA-tunnistuksella erotetaan tietokoneohjelmat (niin sanotut botit) ihmisistä, ja sitä käytettiin verkkosivujen palautelomakkeen yhteydessä. Google Analytics -palvelua käytettiin verkkosivujen kävijätilastojen seurantaan.
Apulaistietosuojavaltuutettu toteaa, että Ilmatieteen laitos ei ollut määritellyt tai soveltanut lainmukaista henkilötietojen siirtoperustetta reCAPTCHA ja Google Analytics -palveluiden käytössä. Se ei myöskään ollut keskeyttänyt tiedonsiirtoja viipymättä EU-tuomioistuimen Schrems II-ratkaisun (C-311/18) jälkeen, vaikka sillä ei ollut tietojen siirtämiselle enää pätevää siirtoperustetta. EU-tuomioistuimen ratkaisussa kumottiin EU:n ja Yhdysvaltojen välinen Privacy Shield -järjestely, jonka perusteella tietoja voitiin aiemmin siirtää.
Päätöksessään apulaistietosuojavaltuutettu muistuttaa, että EU- ja ETA-alueen ulkopuolelle tehtävien tiedonsiirtojen perusteena ei voida käyttää esimerkiksi rekisteröidyltä evästeiden käyttöön hankittavaa suostumusta.
Ilmatieteen laitos ei myöskään ollut tehnyt tietosuoja-asetuksen edellyttämää vaikutustenarviointia. Tietosuojan vaikutustenarviointi olisi pitänyt tehdä seurantateknologioiden käyttöön liittyvästä kansainvälisestä henkilötietojen siirrosta.
Ilmatieteen laitos on ilmoittanut ryhtyneensä toimenpiteisiin reCAPTCHA- ja Google Analytics -palveluiden poistamiseksi verkkosivuiltaan. Apulaistietosuojavaltuutettu määräsi Ilmatieteen laitoksen poistamaan henkilötiedot, jotka oli siirretty Yhdysvaltoihin ilman asianmukaista siirtoperustetta.
Päätös ei ole vielä lainvoimainen, joten siihen voi hakea muutosta valittamalla hallinto-oikeuteen.
