Administrative court dismissed appeal against GDPR fine for employee location tracking without data protection impact assessment.
Finland (FI)
Legislator summary
AI generatedThe administrative court dismissed the company's appeal against a fine imposed by the disciplinary collegium for failing to conduct a Data Protection Impact Assessment (DPIA) under GDPR Article 35. The company used a telematics system to track employee locations for work time monitoring, which the Data Protection Authority deemed a high-risk processing activity requiring a DPIA. The court upheld the fine because the company failed to implement adequate technical and organizational measures and did not demonstrate compliance with GDPR Articles 24 and 25.
Legislator headnote
AI generatedGDPR Art. 35; GDPR Art. 58(2)(1)(a) and 83(4)(a): A data controller must conduct a Data Protection Impact Assessment for high-risk processing; failure to do so justifies an administrative fine even if a prior warning was issued.
Keywords
AI generatedCited Legislation
AI generatedRelated Decisions
AI generatedFull text
Tietosuojavaltuutetun toimisto oli saanut yhteydenoton, jonka mukaan valittajayhtiössä oli käytössä ajotietojärjestelmä, josta saatavia sijaintitietoja käytettiin työntekijöiden työajan seurannassa. Asiassa oli hallinto-oikeudessa ensinnäkin ratkaistavana kysymys siitä, oliko työntekijöiden sijaintiin liittyvien käsittelytoimien osalta tullut tehdä yleisen tietosuoja-asetuksen 35 artiklan mukainen vaikutustenarviointi. Toiseksi oli kysymys siitä, oliko tietosuojavaltuutetun toimiston määräämistä hallinnollisista sakoista
(hallinnollinen seuraamusmaksu)
päättävä elin, seuraamuskollegio, voinut tietosuojavaltuutetun antaman huomautuksen lisäksi määrätä vaikutustenarvioinnin laiminlyömisestä tietosuoja-asetuksen 58 artiklan 2 kohdan 1 alakohdan sekä 83 artiklan 4 kohdan a alakohdan nojalla hallinnollisen seuraamusmaksun.
Tietosuojavaltuutettu oli antanut valittajayhtiölle huomautuksen, koska se ei ollut suorittanut työntekijöiden sijaintiin liittyvien käsittelytoimien osalta tietosuoja-asetuksen 35 artiklan mukaista vaikutustenarviointia. Tämän lisäksi yhtiö ei tietosuojavaltuutetun mukaan ollut ajopäiväkirjan avulla saatavien sijaintitietojen käsittelytapojen määrittelyn ja itse käsittelyn yhteydessä toteuttanut tietosuoja-asetuksen 24 ja 25 artikloiden mukaisia riittäviä organisatorisia tai teknisiä toimenpiteitä tai osoittanut ja varmistanut, että tietosuoja-asetusta noudatetaan. Seuraamuskollegio oli edelleen päätöksessään katsonut, että tietosuojavaltuutetun toteamat yhtiön tietosuoja-asetusta koskevat rikkomukset olivat rikkomusten luonne ja vakavuus, tuottamuksellisuus ja rekisteröityjen heikompi asema suhteessa rekisterinpitäjään huomioon ottaen sellaisia, että tietosuojavaltuutetun antaman huomautuksen lisäksi tuli määrätä 16 000 euron suuruinen hallinnollinen seuraamusmaksu.
Hallinto-oikeus hylkäsi päätöksellään valittajayhtiön tekemän valituksen. Päätöksen perusteluiden mukaan valittajayhtiö oli käyttänyt sähköisestä ajotietojärjestelmästä saatavia sijaintitietoja työntekijöidensä työajan seurantaan. Seurannan kohteena olivat olleet kaikki ne työntekijät, jotka olivat käyttäneet yhtiön autoja työtehtäviensä hoitamiseen ja jotka työnantajan ohjeistuksen mukaisesti olivat tällöin kirjautuneet järjestelmään.
Sovelletut oikeusohjeet
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) 5 artikla, 24 artikla 1 ja 2 kohta, 25 artikla 1 ja 2 kohta, 32 artikla 1 kohta, 35 artikla 1, 3, 4, 7 ja 11 kohta, 58 artikla 2 kohta ja 83 artikla 1, 2 ja 4 kohta
Tietosuojalaki 24 § 1 momentti
Päätöksen ovat tehneet hallinto-oikeuden jäsenet ylituomari Petri Saukko sekä hallinto-oikeustuomarit Elina Ranz ja Olli Rautsi, joka on myös esitellyt asian.
Lainvoimainen.