KHO jätti Verkkokauppa.comin lähes 793 000 euron tietosuojaseuraamusmaksun voimaan

Korkein hallinto-oikeus on jättänyt voimaan Verkkokauppa.com Oyj:lle määrätyn 792 639 euron hallinnollisen seuraamusmaksun asiakastilien henkilötietojen säilyttämistä koskevassa asiassa.

KHO antoi ratkaisunsa 12. kesäkuuta 2026. Asiassa oli kyse Verkkokauppa.comin valituslupahakemuksesta ja valituksesta Helsingin hallinto-oikeuden 18. helmikuuta 2025 antamaan päätökseen. KHO myönsi valitusluvan ja tutki asian, mutta hylkäsi yhtiön valituksen henkilötietojen säilyttämistä ja seuraamusmaksua koskevilta osin.

KHO:n ratkaisun mukaan Verkkokauppa.com ei ollut määritellyt asiakastileilleen keräämiensä verkkokauppa-asiakkaiden henkilötietojen säilytysaikoja. Tietoja oli ratkaisun mukaan säilytetty määräämättömän ajan, ellei rekisteröity itse pyytänyt niiden poistamista.

KHO totesi, että yhtiöllä oli ennen käsittelyn aloittamista velvollisuus määrittää henkilötiedoille säilytysajat tai niiden määrittämiskriteerit. Niillä on varmistettava, ettei tietoja säilytetä pidempään kuin käsittelyn tarkoitus edellyttää.

Tuomioistuimen mukaan asiakastileille kerättyjen henkilötietojen säilyttäminen ei ollut perustunut tietosuoja-asetuksen edellyttämällä tavalla rekisterinpitäjän arvioon siitä, mikä oli tietojen käsittelyn tarkoituksen kannalta välttämätöntä. KHO:n mukaan henkilötietojen säilyttämisaikaa ei voitu tietojen minimoinnin, käyttötarkoitussidonnaisuuden ja säilytyksen rajoittamisen vaatimusten vuoksi perustaa yksinomaan rekisteröidyn omaan toimimisvelvoitteeseen.

Tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen muodostama seuraamuskollegio oli alun perin määrännyt Verkkokauppa.comille 856 000 euron hallinnollisen seuraamusmaksun verkkokauppa-asiakkaiden henkilötietojen säilytysajan asianmukaisen määrittelyn laiminlyönnistä. Helsingin hallinto-oikeus alensi maksun 792 639 euroon päätöksellään 18. helmikuuta 2025. KHO ei muuttanut hallinto-oikeuden päätöstä seuraamusmaksun osalta.

KHO rajasi asiassa ratkaistavaksi kysymykseksi sen, oliko Verkkokauppa.comin menettely ollut tietosuoja-asetuksen vastaista asiakastileille kerättyjen henkilötietojen säilyttämisen osalta. Ratkaisussa todetaan, ettei tietosuojavaltuutetun päätöksestä ilmennyt, että asiakkaaksi rekisteröitymisen vaatimus yksittäisostoksen tekemiseksi olisi katsottu sellaisenaan tietosuoja-asetuksen tai muun tietosuojasääntelyn vastaiseksi.

Yleisen tietosuoja-asetuksen mukaan henkilötiedot on säilytettävä tunnistettavassa muodossa vain niin kauan kuin se on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Rekisterinpitäjän on myös henkilötietoja saadessaan kerrottava rekisteröidylle henkilötietojen säilytysaika tai, jos se ei ole mahdollista, säilytysajan määrittämiskriteerit.

Tietosuojavaltuutetun määräyksen mukaan rekisterinpitäjän tulee määritellä verkkokauppa-asiakkaiden henkilötiedoille tietosuoja-asetuksen edellytykset täyttävä säilytysaika sekä poistaa tai anonymisoida näitä säilytysaikoja vanhemmat henkilötiedot ilman aiheetonta viivytystä.