Yango sai 100 miljoonan euron sakot — riski Suomelle

Venäläiseen Yandex-konserniin liittyvä taksipalvelu Yango on tuomittu valtavasta tietosuojaloukkauksesta: Alankomaihin rekisteröity MLU B.V., joka hoiti Yango-asiakkaiden henkilötietojen käsittelyä Euroopassa, sai yhteisistä päätöksistä 100 miljoonan euron seuraamusmaksun. Päätöksen tekivät yhdessä Suomen tietosuojavaltuutetun toimisto sekä Norjan ja Alankomaiden tietosuojaviranomaiset.

Mistä rikkomuksessa oli kyse?

Tutkinta, joka käynnistyi jo vuonna 2023, paljasti, että Yango-asiakkaiden henkilötietoja siirrettiin Venäjälle ilman GDPR:n edellyttämiä suojatoimia. MLU ei pystynyt osoittamaan, että Venäjän viranomaisilla ei olisi pääsyä siirrettyihin henkilötietoihin, mikä rikkoo EU:n periaatteita henkilötietojen siirroista kolmansiin maihin.

Seuraamukset ja määräykset

Viranomaiset määräsivät MLU:lle välittömän kiellon siirtää tietoja Venäjälle ja 100 miljoonan euron seuraamusmaksun. Yhtiöllä on oikeus valittaa päätöksestä, mutta tietojen siirrot on keskeytettävä välittömästi. Tietosuojavaltuutettu Anu Talus korosti, että EU-alueella toimivien yritysten on taattava henkilötietojen vahva suoja noudattamalla tietosuojasääntöjä.

Miksi asia koskee Suomea ja suomalaisia käyttäjiä?

Yango on toiminut myös Suomessa, joten suomalaiskäyttäjien sijainti-, maksutieto- ja tilitiedot ovat saattaneet olla mukana siirroissa. Tämä tapaus muistuttaa suomalaiskuluttajia ja yrityksiä datan paikallistamisen ja palveluntarjoajien läpinäkyvyyden tärkeydestä. Yritykset, jotka käyttävät kansainvälisiä mobiilipalveluita tai pilvipalveluita, joutuvat yhä useammin arvioimaan toimittajiensa EU:n vaatimustenmukaisuutta.

Palveluominaisuudet ja vertailu

Yango ja vastaavat taksisovellukset tarjoavat tyypillisesti reaaliaikaisen sijaintiseurannan, in-app-maksut, hinnanennusteet ja käyttäjäprofiilit. Erot syntyvät datan käsittelypaikan, läpinäkyvyyden ja sen mukaan, tehdäänkö kaikki henkilötietojen prosessointi EU-alueella vai siirretäänkö dataa kolmansiin maihin. Suomessa suosittujen palveluiden kilpailuetu voi olla kotimainen tai EU-alueella tapahtuva tietojenkäsittely.

Mitä yritykset ja kuluttajat voivat tehdä?

Suomalaisyritysten kannattaa tarkistaa sopimukset alihankkijoiden kanssa, varmistaa sopimuksissa riittävät tietosuojamekanismit (SCC:t, datan sijainti) ja suosia EU-pohjaisia pilvipalveluita, kun henkilötietoja käsitellään. Kuluttajille suositellaan tarkistamaan sovellusten tietosuojakäytännöt ja rajoittamaan jakamiaan tietoja, jos suojaus ei ole selkeä.

Markkinavaikutus

Päätös voi lisätä painetta palveluntarjoajiin tarjota selkeästi EU:hun sijoittuvaa datankäsittelyä. Suomessa tämä voi edistää kotimaisten tai eurooppalaisten kilpailijoiden asemaa ja kasvattaa kysyntää tietoturva- ja yksityisyyslähtöisille ratkaisuillle.