Administrative court dismissed appeal; Data Protection Act overrides Commercial Register Act for correcting false personal data.

Hallinto-oikeuden ratkaistavana oli kysymys siitä, oliko Patentti- ja rekisterihallituksella velvollisuus tietosuojavaltuutetun päätöksen johdosta poistaa kaupparekisterissä oleva virheellinen henkilötietoa koskeva merkintä.

Tietosuojavaltuutettu oli päätöksellään 17.11.2004 hyväksynyt A:n pyynnön ja velvoittanut Patentti- ja rekisterihallituksen henkilötietolain 29 ja 40 §:ien nojalla poistamaan kaupparekisteristä virheellisen merkinnän, jonka mukaan A olisi ollut X Oy:n toimitusjohtajana 26.6.2003-25.3.2004.

Patentti- ja rekisterihallitus vaati hallinto-oikeudessa tietosuojavaltuutetun päätöksen kumoamista sillä perusteella, että tapaukseen on sovellettava kaupparekisterilain 22 ja 23 §:iä, joiden mukaan virheellisen merkinnän poistamiseen tarvitaan yleisen tuomioistuimen ratkaisu. Patentti- ja rekisterihallitus on vedonnut siihen, että kaupparekisterilaki on henkilötietolakiin verrattuna erityislaki.

Hallinto-oikeus hylkäsi valituksen.

Hallinto-oikeus totesi päätöksessään, että kaupparekisterilaki on säädetty noin 20 vuotta ennen henkilötietolakia. Kaupparekisterin säädös- ja toimintaympäristö on tuona aikana muuttunut siten, että tietosuoja on tullut olennaiseksi elementiksi henkilötietojen käsittelyyn perusoikeuksien, Euroopan neuvoston ihmisoikeus- ja tietosuojasopimusten sekä Euroopan parlamentin ja neuvoston yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta antaman direktiivin myötä.

Henkilötietolain perustelujen (HE 96/1998) mukaan henkilötietolain tarkoituksena on saattaa voimassa oleva henkilötietojen keräämistä, tallettamista, käyttöä ja luovuttamista koskeva lainsäädäntö vastaamaan tietosuojadirektiiviä. Hallituksen esitystä valmisteltaessa on otettu huomioon myös vuonna 1995 voimaan tullut perusoikeussäännöksiä koskeva uudistus, jonka mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Tietosuojadirektiivin tarkoituksena on muun muassa turvata yksilön perusoikeudet ja vapaudet tietojenkäsittelyssä. Henkilötietolain perusteluissa ei ole mainittu kaupparekisterilain olevan erityisessä asemassa tietosuojan ja yksityisyyden kannalta.

Kaupparekisterilain 22 § ja 23 § koskevat kaikkia mahdollisia kaupparekisterin merkintöjä toiminimeä lukuun ottamatta. Nyt kysymyksessä olevan ilmeisen väärän henkilötiedon oikaiseminen olisi hallinto-oikeuden käsityksen mukaan mahdollista kaupparekisterilaissa säädetyn menettelyn mukaisesti.

Kaupparekisterilain säätämisaikaan ei ole ollut olemassa nykyisen kaltaista henkilötietojen suojaa koskevaa lainsäädäntöä. Yksityiselämän suojan erityisvaatimuksia ei oltu jouduttu pohtimaan kaupparekisterilakia säädettäessä.

Perusoikeusuudistuksella ja sen pohjalta säädetyllä henkilötietolailla on korostettu yksityiselämän, muunmuassa henkilötietojen suojaa perusoikeutena.

Henkilötietolain 29 §:n mukaisessa menettelyssä on kyseessä kaupparekisterilain säännöksiin nähden uusi menettely, jonka tarkoituksena on oikaista ainoastaan virheellinen henkilötietoa koskeva rekisterissä oleva merkintä.

Henkilötietolain 29 §:llä on luotu perusoikeuksien pohjalta menettely, jolla rekisterinpitäjä poistaa oma-aloitteisesti tai rekisteröidyn henkilön vaatimuksesta muunmuassa rekisterissä olevan virheellisen henkilötiedon. Poistaminen edellyttää luonnollisesti, että rekisterinpitäjä riittävällä varmuudella pystyy toteamaan henkilötiedon virheellisyyden. Jollei rekisterinpitäjä hyväksy rekisteröidyn vaatimusta, hänen on annettava asiasta kirjallinen todistus, jossa on mainittava ne syyt, joiden vuoksi vaatimusta ei ole hyväksytty. Rekisteröity voi saattaa asian tietosuojavaltuutetun käsiteltäväksi.

Patentti- ja rekisterihallitus ei ole kiistänyt, etteikö nyt esillä olevassa asiassa olisi sinänsä luotettavasti selvitetty, että kaupparekisterissä oleva henkilöä koskeva merkintä on väärä. Riita on ollut varsinaisesti siitä, että rekisterinpitäjä on katsonut, ettei se voi korjata kyseessä olevaa virhettä muutoin kuin kaupparekisterilain säännösten mukaisesti yleisen tuomioistuimen lainvoiman saaneella ratkaisun perusteella.

Koska lähtökohdat henkilötietolain 29 §:n säätämiselle ovat edellä kerrotulla tavalla olleet erilaiset kuin aikanaan kaupparekisterilain 22 ja 23 §:ien säätämiselle, on tässä tapauksessa, vaikkakin rekisteröidyn henkilön käytettävissä olisi ollut myös kaupparekisterilain mukainen menettely, Patentti- ja rekisterihallituksen kaupparekisterin pitäjänä tullut henkilötietolain 29 §:n nojalla poistaa rekisterissä oleva väärä henkilötieto.

Tietosuojavaltuutetun päätöstä ei ollut syytä muuttaa.

Suomen perustuslaki 10 § 1 mom

Henkilötietolaki 1 §

Henkilötietolaki 2 § 1 mom

Henkilötietolaki 29 §

Kaupparekisterilaki 22 § 2 mom

Kaupparekisterilaki 23 §

KHO:n päätös 13.11.2008 taltion numero 2861. KHO ei muuttanut hallinto-oikeuden päätöksen lopputulosta, vaan katsoi, että tässä tapauksessa oli voitu soveltaa henkilötietolain 29 §:n ja 40 §:n 2 momentin säännöksiä kaupparekisterilakia täydentävästi.