Mahdollisuus luottokorttilaskun e-laskutilaukseen pelkän viitenumeron perusteella ei ollut tietosuojalainsäädännön mukaista

Pankin luottokorttilaskun e-laskutilaus on ollut mahdollista tehdä pelkästään laskun viitenumerotiedolla, minkä vuoksi sivullinen on voinut tilata itselleen toisen henkilön e-laskun esimerkiksi näppäilyvirheen seurauksena. Tietosuojavaltuutettu katsoo, ettei pankki ollut huolehtinut henkilötietojen riittävästä suojaamisesta e-laskutuksen yhteydessä.

Tietosuojavaltuutetun toimistolle kannellut pankin asiakas kertoi, että luottokorttilaskun tilaamiseen e-laskuna vaikuttaisi riittävän pelkkä viitenumerotieto. Luottokorttilaskusta oli mahdollista nähdä henkilötietoja, kuten osittain peitetty korttinumero sekä tiedot luottokortin luottorajasta, luoton velkasaldosta ja ostotapahtumista.

Pankin antaman selvityksen mukaan luottokorttilaskun tilaamiseen e-laskuna riittää viitenumerotieto. Pankki on ilmoittanut tietosuojavaltuutetun toimistolle lisäksi erillisestä tietoturvaloukkauksesta, jossa asiakas oli e-laskutilausta tehdessään näppäillyt oman luottolaskunsa viitenumeron väärin ja tämän seurauksena tilannut toisen henkilön e-laskun.

Tietosuojavaltuutettu ei pidä asianmukaisena sitä, että sivullinen voi näppäilyvirheen vuoksi päästä toisen henkilön henkilötietoihin. Tietosuoja-asetus muun muassa edellyttää, että rekisterinpitäjä huolehtii toimenpiteistä, joilla estetään asiattomien pääsy henkilötietoihin. Tietosuojavaltuutettu toteaa, että esimerkiksi ostotapahtumista voi käydä ilmi arkaluonteisia tietoja, kuten tietoja terveydenhuoltopalvelujen käytöstä.

Tietosuojavaltuutettu määräsi pankin muuttamaan käytäntönsä tietosuojasäännösten mukaisiksi ja antoi sille huomautuksen yleisen tietosuoja-asetuksen vastaisesta henkilötietojen käsittelystä. Pankki on kertonut ryhtyneensä toimenpiteisiin tilanteen korjaamiseksi ja kehittävänsä esimerkiksi toista yksilöintitietoa luottolaskun e-laskutilaukseen pelkän viitenumeron lisäksi.

Tietosuojavaltuutetun päätös Finlexissä

Lisätietoja:

Tietosuojavaltuutettu Anu Talus, anu.talus(at)om.fi, puh. 029 566 6766