Tietosuojavaltuutettu on 4.8.2023 antanut Ridetech International B.V.:lle ja Yandex LLC:lle määräyksen keskeyttää Yango-taksipalvelussa kerättyjen henkilötietojen siirtäminen Venäjälle ja lopettaa kerättyjen henkilötietojen käsittely. Tietosuojavaltuutetun antama väliaikainen määräys tulee voimaan 1.9.2023 ja on lähtökohtaisesti voimassa 30.11.2023 saakka. Tietosuojavaltuutetun toimiston mukaan Venäjällä 1.9.2023 alkaen voimaan tuleva lainsäädäntöuudistus heikentää merkittävästi Yango-taksipalvelua käyttävien henkilötietojen suojaa.
Ridetech International B.V. ja Yandex LLC ovat valittaneet tietosuojavaltuutetun päätöksestä hallinto-oikeuteen ja vaatineet päätöksen täytäntöönpanon kieltämistä, kunnes asiaa koskevat valitukset on hallinto-oikeudessa ratkaistu. Hallinto-oikeus on tänään antamallaan välipäätöksellä hylännyt Ridetech International B.V.:n ja Yandex LLC:n vaatimukset tietosuojavaltuutetun päätöksen täytäntöönpanon kieltämisestä.
Hallinto-oikeuden antamaan välipäätökseen saa hakea muutosta pääasian yhteydessä. Hallinto-oikeus antaa pääasiaa koskevan ratkaisun myöhemmin.
Tietosuojaviranomaiset jatkavat Yango-taksipalvelun tietojen siirron tutkintaa
Tietosuojavaltuutetun toimisto sekä Alankomaiden ja Norjan tietosuojaviranomaiset ovat tutkineet Yango-taksipalvelun toimintaa Euroopan talousalueella. Tietosuojaviranomaisten vastaanottamassa selvityksessä esitetään, että Venäjällä syyskuun alussa voimaan astuvaa taksilainsäädäntöä ei sovelleta Yangon toimintaan Euroopan talousalueella. Tietosuojavaltuutettu arvioi selvityksen vaikutuksia asian jatkokäsittelyyn.
Tietosuojavaltuutettu antoi 4. elokuuta Yandex LLC:lle ja Ridetech International B.V.:lle väliaikaisen määräyksen keskeyttää Yango-taksipalvelussa kerättyjen henkilötietojen siirtämisen Venäjälle ja lopettamaan kerättyjen henkilötietojen käsittelyn 1. syyskuuta alkaen. Tietosuojavaltuutettu siirtää väliaikaisen määräyksen täytäntöönpanoa 26. syyskuuta asti asian jatkotutkintaa varten.
Tietosuojavaltuutetun 4. elokuuta tekemä päätös tietojen siirron keskeyttämisestä tehtiin kiireellisessä menettelyssä, koska tietosuojavaltuutettu sai tiedon Venäjän lainsäädäntöuudistuksesta, joka tietosuojavaltuutetun silloisen arvion mukaan laajentaisi merkittävästi Venäjän turvallisuuspalvelu FSB:n oikeutta saada taksitoiminnassa käsiteltäviä tietoja. Tällöin saadun tiedon perusteella tietosuojavaltuutettu piti todennäköisenä, että lainsäädäntöä sovelletaan myös Yangon Suomessa olevien asiakkaiden tietoihin.
Myöhemmin ilmi tulleiden tietojen perusteella tietosuojaviranomaisten on välttämätöntä jatkoselvittää Venäjän taksilainsäädännön tosiasiallista soveltumista Yango-taksipalvelun toimintaan. Vaikka uutta taksilainsäädäntöä ei sovellettaisikaan Yangon toimintaan, tietosuojavaltuutetun toimisto jatkaa taksipalvelun tiedonsiirtojen tutkintaa aktiivisesti yhteistyössä Alankomaiden ja Norjan tietosuojaviranomaisten kanssa. Osana tutkintaa arvioidaan myös yritysten toimittamaa selvitystä niiden toteuttamista ja suunnittelemista muutoksista henkilötietojen käsittelyyn.
Tietosuojaviranomaiset tutkivat Yangon henkilötietojen siirron lainmukaisuutta kokonaisuudessaan
Suomen, Alankomaiden ja Norjan tietosuojaviranomaiset ovat selvittäneet Yangon tiedonsiirtojen lainmukaisuutta jo ennen tietosuojavaltuutetun kiireellisen menettelyn alkamista. Tietosuojaviranomaisten tutkinnassa on käynyt ilmi, että Yango-taksipalvelun henkilötietoja on siirtynyt Venäjälle.
On mahdollista, että Venäjän turvallisuuspalvelu FSB:llä on pääsy Venäjälle siirtyviin tietoihin taksilainsäädännön soveltamisalasta riippumatta, mutta tutkinta on kesken. Tällä hetkellä tietosuojaviranomaisten pääasiallisena tutkinnan kohteena on Yango-taksipalvelun henkilötietojen siirron lainmukaisuus kokonaisuudessaan.
Tietosuojavaltuutetulla ei ole toimivaltaa kieltää Yango-taksipalvelun toimintaa Suomessa, ainoastaan puuttua henkilötietojen käsittelyyn määräaikaisesti. Yhtiön mukaan taksipalvelun henkilötietojen käsittelystä vastaa Alankomaissa sijaitseva Ridetech International B.V., jolloin pysyvän henkilötietojen käsittelyä koskevan päätöksen voisivat tehdä ainoastaan Alankomaiden tietosuojaviranomainen tai Euroopan tietosuojaneuvosto.