Tietosuojavaltuutettu antoi yritykselle huomautuksen tietosuoja-asetuksen vastaisesta henkilötietojen käsittelystä ja määräsi sen muuttamaan toimintatapansa tietosuojasäännösten mukaiseksi. Yritys oli välittänyt WhatsAppin kautta työntekijöiden henkilökohtaisiin puhelimiin asiakkaiden tietoja, kuten asiakkaiden nimiä, osoitteita, puhelinnumeroita ja ovikoodeja.
Tietosuojavaltuutetun mukaan, kun sovellusta käytetään henkilökohtaisessa puhelimessa, sopimussuhde on työntekijän ja Facebookin välillä. Näin yrityksellä ei ole rekisterinpitäjänä keinoja valvoa, miten henkilötietoja palvelussa käytetään. Lisäksi yritys ei ollut kertonut asiakkailleen WhatsAppin käytöstä henkilötietojen käsittelyssä. Siten yritys ei noudattanut velvoitteitaan huolehtia henkilötietojen käsittelyn tietosuoja-asetuksen mukaisesti.
WhatsAppin käytön myötä henkilötietoja siirtyy EU:n ulkopuolelle
Tietosuojavaltuutettu kiinnitti päätöksessään huomiota siihen, että WhatsAppin käyttö on todennäköisesti johtanut henkilötietojen siirtoon EU:n alueelta Yhdysvaltoihin. EU-tuomioistuin antoi merkittävän ratkaisun 16.7.2020, jossa se kumoaa komission päätöksen EU:n ja USA:n välisen Privacy Shield -järjestelyn tietosuojan tason riittävyydestä.
Euroopan komissio ja Yhdysvaltojen kauppaministeriö neuvottelevat Privacy Shield -järjestelyn tulevaisuudesta sekä mahdollisesta jatkosta. Toivottavaa on, että ratkaisu löytyy, mutta aikataulusta ja toteutumisesta ei ole takeita. Lue lisää aiheesta Jyrin blogista
Tietosuojavaltuutetun päätös on luettavissa kokonaisuudessaan tästä