Tietosuojavaltuutetun toimisto sekä Alankomaiden ja Norjan tietosuojaviranomaiset ovat selvittäneet Yango-taksipalvelun toimintaa sekä sopineet käsittelyn seuraavista vaiheista. Koska Venäjän taksilainsäädäntöä ei uusien selvitysten perusteella sovelleta Yangon toimintaan Suomessa, tietosuojavaltuutettu on poistanut elokuussa antamansa määräaikaisen kiellon siirtää henkilötietoja Venäjälle. Yango-taksipalvelun tiedonsiirtojen valvonta jatkuu tietosuojaviranomaisten yhteistyössä.
Tietosuojavaltuutettu antoi elokuussa Yandex LLC:lle ja Ridetech International B.V.:lle kiireellisesti väliaikaisen määräyksen keskeyttää Yango-taksipalvelussa kerättyjen henkilötietojen siirron Venäjälle. Määräyksen täytäntöönpanoa siirrettiin elokuun lopussa lisäselvitysten arviointia varten. Kielto ei siis tullut voimaan.
Tietosuojavaltuutetun väliaikainen määräys perustui Venäjän uuden taksilainsäädännön voimaantuloon. Tietosuojavaltuutetun silloisen tiedon mukaan lainsäädäntö olisi laajentanut merkittävästi Venäjän turvallisuuspalvelu FSB:n oikeutta saada taksitoiminnassa käsiteltäviä tietoja ja sitä olisi sovellettu myös Yangon asiakkaiden tietoihin Suomessa. Saatujen selvitysten perusteella Venäjän uutta taksilainsäädäntöä ei kuitenkaan sovelleta taksien välitystoimintaan Suomessa, joten tietosuojavaltuutettu on poistanut antamansa määräyksen.
Alankomaiden tietosuojaviranomainen johtaa Yango-taksipalvelun henkilötietojen käsittelyn valvontaa
Alankomaiden tietosuojaviranomainen toimii johtavana valvontaviranomaisena Yango-taksipalvelun henkilötietojen käsittelyn valvonnassa, koska henkilötietojen käsittelystä vastaavan Ridetech International B.V.:n päätoimipaikka sijaitsee Alankomaissa. Tietosuojavaltuutetun toimisto ja Norjan tietosuojaviranomainen jatkavat tiivistä yhteistyötä Alankomaiden tietosuojaviranomaisen kanssa ja osallistuvat Yangoa koskevien asioiden tutkintaan. Yango-taksipalvelu toimii Euroopan talousalueella Suomessa ja Norjassa.
Tietosuojavaltuutetulla ei ole toimivaltaa puuttua Ridetech International B.V.:n toimintaan Suomessa muuten kuin määräaikaisesti. Sen sijaan Alankomaiden tietosuojaviranomainen voi johtavana valvontaviranomaisena tehdä pysyviä päätöksiä Ridetech B.V:n henkilötietojen käsittelystä.
Taksiliitto huolissaan Yangon tietojen päätymisestä Venäjälle
Taksiliitto hämmästelee taksinkäyttäjien ja rehellisten taksiyrittäjien puolesta. Yangon tietojen siirto saa viranomaiselta lapsenuskoisen hyväksynnän tilanteessa, jossa maamme omilla viranomaisilla ei ole riittäviä valtuuksia valvoa Suomessa taksimatkasta kerättäviä tietoja.
Tietosuojavaltuutettu totesi, että sillä ei ole perusteita kieltää Yangon asiakastietojen Venäjälle siirtämistä. Suomen Taksiliitto hämmästelee tätä viranomaisten sinisilmäistä lapsenuskoa Venäjän lainsäädännön toimivuuteen ja avoimuuteen.
–Tietosuojavaltuutetun selvityksen perusteella väitetään, etteivät venäläiset käytä kerättyjä tietoja väärin ja me Suomessa uskomme tätä. Voiko tämä edes olla totta, Taksiliiton puheenjohtaja Tuomo Heino ihmettelee.
Tietoturva-asiantuntijat ovat julkisuudessa kantaneet huolta tietoturvauhasta, kun Suomessa liiketoimintaa harjoittava venäläinen toimija saa valtavan määrän henkilöihin liittyvää tietoa täysin vapaasti vallitsevassa turvallisuustilanteessa. Erilaiset sovellukset ja alustat keräävät usein laajasti erilaisia sijaintitietoja, joiden joutuminen vääriin käsiin on huolestuttavaa.
–Valitettavasti sama sinisilmäisyys näkyy liikennepalvelulakiin liittyvässä taksimatkojen tietojen keräämisessä laajemminkin. Taksialan luottamus on kärsinyt viime vuosina kovia kolauksia, ja jälleen koko alan luottamusta horjutetaan mahdollistamalla tietojen välittäminen ulkomaille. Samaan aikaan maamme omilla viranomaisilla ei ole riittäviä valtuuksia valvoa taksimatkasta kerättäviä tietoja, Tuomo Heino toteaa.
Laki pikaisesti kuntoon
Pääministeri Orpon hallitusohjelmassa linjataan, että kuluttajien luottamusta taksiliikenteeseen tullaan vahvistamaan lainsäädäntöhankkeella. Nyt on kiire huolehtia tältä osin laki vihdoin kuntoon.
Jokaisesta taksimatkasta tulee jo nykyisen lainsäädännön perusteella kerätä määrätyt tiedot. Mikäli taksimatkasta on etukäteen sovittu kiinteä hinta, taksamittarin sijaan on riittävää käyttää taksimatkan tietojen keräämiseen ”muuta vastaavaa laitetta tai järjestelmää”. Tämän muun laitteen tai järjestelmän vaatimukset on määritelty Traficomin antamassa määräyksessä. Määräyksessä mainitaan nimenomaisesti: ”Tietoja kerättäessä ja käsiteltäessä on toteutettava asianmukaiset tietoturvaan liittyvät järjestelyt, joilla varmistetaan kerättävien ja käsiteltävien tietojen luottamuksellisuus, eheys, jäljitettävyys ja saatavuus. Henkilötietoja kerättäessä ja käsiteltäessä on otettava huomioon yksityisyyden suojaan liittyvät tarvittavat toimenpiteet, joilla estetään henkilötietojen oikeudeton käsittely.”
Vaikka laitteelle on määritelty kriteerejä muun muassa tietojen säilyttämisen osalta, niin tosiasiallisesti kukaan ei mitenkään valvo laitteita tai sitä, että täyttävätkö laitteet määräyksen mukaiset kriteerit. Taksimatkasta kerätyt tiedot tulee siirtää automaattisesti ja säilyttää niin sanotun kolmannen osapuolen hallinnoimassa tietokannassa. Tällaista kolmatta osapuolta ei ole kuitenkaan määritelty tarkemmin niin laissa kuin määräyksessäkään. Muuhun laitteeseen tai järjestelmään liittyvä sääntely ja valvonta eivät ole merkittäviä vain taksialan tieturvan, vaan myös laajemmin verovalvonnan ja harmaan talouden kitkemisen kannalta.
–Olemme pyrkineet jo pitkään vaikuttamaan tiedonkeruun tehostamiseen alan tervehdyttämiseksi, mihin yhtenä vaatimuksena kuuluu, että taksamittarille vaihtoehtoinen laite tai järjestelmä saa erillisen viranomaishyväksynnän. Lisäksi taksimatkoista tietoja keräävät ja säilyttävät ns. kolmannet osapuolien toiminta tulee määrittää luvanvaraiseksi, toteaa puheenjohtaja Heino.
–Emme voi hyväksyä mahdollisuutta kiertää taksitoimialalle asettuja yhteiskunnan velvoitteita ja vaatimuksia harjoittamalla yritystoimintaa maamme rajojen ulkopuolelta ja näin vääristää kilpailua. Esimerkiksi arvonlisäverotuksen vaatimusten hoitaminen jää varsin helposti hoitamatta näiltä kansainvälisesti toimivilta välitystoimintaa harjoittavilta yrityksiltä ja niiden Suomessa toimivilta palveluntuottajilta.