Data Protection Board lacked authority to grant exceptions for credit agency recommendation services under Credit Information Act.

Tietosuojalautakunnalla ei ollut luottotietolain nojalla toimivaltaa myöntää poikkeusta perintäyhtiön toimeksiantoihin perustuvalle luottopäätössuositustoiminnalle. Tällaista toimintaa koskevassa asiassa tietosuojalautakunnan toimivalta ei myöskään voinut perustua henkilötietojen käsittelyä koskeviin henkilötietolain säännöksiin.

Henkilötietolaki 40 §, 43 § 1 momentti ja 44 §

Luottotietolaki 1 §, 33 §, 35 §, 36 §, 38 § ja 41 §

Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 2 § ja 5 §

Kort referat på svenska

Päätös, josta valitetaan

Helsingin hallinto-oikeuden päätös 4.6.2009 nro 09/0481/2

Asian aikaisemmat vaiheet

Tietosuojavaltuutettu

oli kannanotossaan 29.9.2006 X Oy:n harjoittamasta luottopäätöspalvelusta katsonut, että yhtiö käyttää luottopäätöspalvelua harjoittaessaan perintätarkoituksessa syntynyttä tietoa perintärekisterin käyttötarkoituksen vastaisesti henkilötietolaissa tarkoitetun luottotietotoiminnan harjoittamiseen. Tietosuojavaltuutettu oli kehottanut yhtiötä lopettamaan luottopäätöspalvelua koskevan toiminnan henkilötietolain 7 ja 20 §:n vastaisena.

X Oy

oli tietosuojalautakunnalle 24.11.2006 saapuneessa hakemuksessaan vaatinut, että lautakunta vahvistaa, että yhtiön kuvaama luottopäätössuosituksia koskeva palvelu ei riko henkilötietolakia tai toissijaisesti myöntää luvan kysymyksessä olevaan henkilötietojen käsittelyyn.

Tietosuojalautakunta

oli päätöksessään 18.6.2007 todennut, että lautakunnan toimivaltaan ei kuulu ohjauksen antaminen yksittäisissä henkilötietojen käsittelyä koskevissa asioissa, minkä vuoksi lautakunta oli tutkinut asian hakemuksena saada käsitellä luotonhakijan perintätietoja luottopäätössuosituksia koskevassa toiminnassa.

Lautakunta oli hylännyt X Oy:n lupahakemuksen. Lautakunta oli todennut, että rekisteröidyn mahdollisesti antama toimeksianto ei oikeuttanut poikkeamaan henkilötietolaissa säädetystä käyttötarkoitussidonnaisuuden periaatteesta ja että tietosuojalautakunnalla ei myöskään ollut henkilötietolain 43 §:n nojalla toimivaltaa myöntää poikkeusta mainitusta periaatteesta. Tietosuojalautakunta oli myös todennut, että sillä ei ollut henkilötietolain 43 §:n nojalla toimivaltaa myöntää lupaa muiden kuin henkilötietolain 20 §:ssä tarkoitettujen henkilöluottotietojen käsittelyyn.

Helsingin hallinto-oikeus

oli päätöksellään 20.3.2008 jättänyt hallintolainkäyttölain 5 §:n 1 momenttiin viitaten tutkimatta X Oy:n vaatimuksen siitä, että hallinto-oikeus ottaisi kantaa tietosuojavaltuutetun tämän asian yhteydessä antamien kannanottojen oikeellisuuteen.

Hallinto-oikeus oli hylännyt X Oy:n valituksen tietosuojalautakunnan päätöksestä siltä osin kuin lautakunnan päätöksessä oli lautakunnan ratkaisutoimivaltaan kuulumattomana hylätty, oikeastaan jätetty tutkimatta, yhtiön vaatimus sen vahvistamisesta, että yhtiön hakemuksessaan kuvaama palvelu ei yleisesti ottaen riko henkilötietolakia.

Hallinto-oikeus oli päätöksensä perusteluissa muun ohella lausunut, että siltä osin kuin henkilötietolaki oli muuttunut ja luottotietolaki (527/2007) tullut voimaan 1.11.2007 oli huomioon tässä vaiheessa otettava asian luonteen johdosta lainsäädäntö asianomaisilta kohdiltaan sekä sellaisena kuin se oli ollut voimassa olevaa valituksenalaista päätöstä tehtäessä että sanottujen lainmuutosten jälkeen.

Hallinto-oikeus oli sen päätöksestä ilmenevin perustein kumonnut tietosuojalautakunnan päätöksen siltä osin kuin lautakunta oli hylännyt X Oy:n hakemuksen saada lupa yhtiön kuvaamaan luottopäätössuosituksia koskevaan palveluun ja palauttanut asian tältä osin tietosuojalautakunnalle uudelleen käsiteltäväksi.

Tietosuojalautakunnan uusi päätös

Tietosuojalautakunta

on päätöksessään 27.8.2008 lausunut, että se on hallinto-oikeuden palautuspäätöksen mukaisesti käsitellyt asian siltä osin kuin X Oy:n lupahakemuksessa on kysymys luottopäätössuosituksia koskevassa palvelussa käytettävistä henkilöluottotiedoista, jotka ovat peräisin hakijan perintärekisteristä.

Tietosuojalautakunnan päätöksenä on lausuttu seuraavaa:

Tietosuojalautakunta katsoo, että X Oy:n luottopäätössuosituksia koskevassa toiminnassa on kysymys luottotietolain (527/2007) 4 §:n 1 momentissa tarkoitetusta toiminnasta ja että kyseisessä toiminnassa käytettäviin tietoihin sovelletaan luottotietolain säännöksiä luottotietorekisterin tietosisällöstä.

X Oy on ilmoittanut käyttävänsä luottopäätössuosituksia tehdessään perintärekisteriinsä sisältyviä tietoja ainakin siitä, onko luotonhakijalla omia avoimia perintätoimeksiantoja X Oy:ssä vai ei ja tietoja X Oy:ssä viimeisen kuuden kuukauden aikana lopetetuista perintätoimeksiannoista eli hoidetuista maksuista. Tietosuojalautakunta toteaa, että luottotietolaissa ei ole säädetty avoimia perintätoimeksiantoja koskevien tietojen käsittelystä henkilöluottotietoina ja katsonut, että hoidettuja maksuja koskevien tietojen ei voida kaikissa tapauksissa katsoa olevan luottotietolain 13 §:n 8 kohdassa tarkoitettuja suorituksen maksamistietoja.

Tietosuojalautakunta katsoo, että luottotietolaissa on säädetty tyhjentävästi siitä, mitä luottotietoja luottotietorekisteriin voidaan luonnollisesta henkilöstä tallettaa eikä tietosuojalautakunnalla ole tämän vuoksi toimivaltaa myöntää X Oy:lle lupaa henkilöluottotietojen käsittelyyn. Tästä syystä tietosuojalautakunta jättää lupahakemuksen toimivaltaansa kuulumattomana tutkimatta.

Valitus Helsingin hallinto-oikeudessa ja hallinto-oikeuden valituksenalainen ratkaisu

X Oy

on valittanut tietosuojalautakunnan päätöksestä 27.8.2008 Helsingin hallinto-oikeuteen ja vaatinut, että hallinto-oikeus kumoaa tietosuojalautakunnan päätöksen sekä myöntää henkilötietolain 43 §:n nojalla luvan kyseiseen henkilötietojen käsittelyyn.

Helsingin hallinto-oikeus

on valituksenalaisella päätöksellään 4.6.2009 hylännyt X Oy:n valituksen tietosuojalautakunnan päätöksestä. Hallinto-oikeuden päätöksen perusteluina on lausuttu seuraavaa:

Sovellettavat oikeusohjeet

Henkilötietolain 43 §:n 1 momentin mukaan tietosuojalautakunta voi antaa 8 §:n 1 momentin 9 kohdassa tarkoitetun luvan henkilötietojen käsittelyyn, jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi muussa kuin yksittäistapauksessa taikka yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan. Lupa voidaan myöntää myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi edellyttäen, ettei tietojen tällainen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia. Pykälän 2 momentin mukaan tietosuojalautakunta voi antaa 12 §:n 13 kohdassa tarkoitetun luvan arkaluonteisten henkilötietojen käsittelyyn tärkeää yleistä etua koskevasta syystä.

Luottotietolain (527/2007) 1 §:n 1 momentin mukaan mainittua lakia sovelletaan luottotietojen keräämiseen, tuottamiseen, tallettamiseen, luovuttamiseen, käyttöön ja muuhun käsittelyyn. Pykälän 2 momentin mukaan luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan henkilötietolakia (523/1999), jollei luottotietolaissa toisin säädetä.

Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 2 §:n 1 kohdan mukaan tietosuojalautakunnan tehtävänä on käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi.

Oikeudellinen arvio ja johtopäätös

X Oy oli asian käsittelyn aikaisemmassa vaiheessa esittänyt henkilötietolain 43 §:ssä tarkoitetun lupahakemuksensa henkilöluottotietojen käsittelemisestä tietosuojalautakunnalle ja lautakunta teki hakemuksen johdosta päätöksensä 18.6.2007 tuolloin henkilöluottotietojen osalta voimassa olleisiin henkilötietolain säännöksiin perustuen. Tietosuojalautakunta totesi päätöksessään tutkivansa asian hakemuksena saada käsitellä luotonhakijan perintätietoja luottopäätössuosituksia koskevassa toiminnassa. Hallinto-oikeus kumosi 20.3.2008 X Oy:n valituksen johdosta tietosuojalautakunnan edellä mainitun päätöksen lupaharkinnan osalta ja palautti asian tietosuojalautakunnalle uudelleen käsiteltäväksi.

Henkilötietolain henkilöluottotietoja koskeva säännökset on kumottu lailla 528/2007 ja niistä on säädetty 1.11.2007 voimaan tulleessa luottotietolaissa. Koska hallinto-oikeus on kumonnut tietosuojalautakunnan puheena olevassa asiassa 18.6.2007 tekemän päätöksen, asia on samalla lainmuutoksen vuoksi tullut uuteen tilaan ja tietosuojalautakunta on tehnyt valituksenalaisen päätöksensä uusiin säännöksiin perustuen.

Tietosuojalautakunnan lupatoimivallasta on säädetty henkilötietolain 43 §:ssä, jonka mukaan lautakunta voi myöntää luvan henkilötietojen ja arkaluontoisten henkilötietojen käsittelyyn. Sanotussa pykälässä ei viitata luottotietolakiin eikä siellä nyttemmin säänneltyjen henkilöluottotietojen käsittelyyn.

Vaikka luottotietolain 1 §:n 2 momentissa säädetään, että luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan henkilötietolakia, jollei luottotietolaissa toisin säädetä, ei tämä merkitse sitä, että tietosuojalautakunnan toimivaltaa voitaisiin edellä tarkoitetuista lainkohdista poikkeavasti laajentaa.

Luottotietolain 33 §:n mukaan sanotun lain valvonta kuuluu tietosuojavaltuutetulle, jolla on lain 35 §:n mukainen oikeus antaa määräyksiä luottotietotoiminnan harjoittajalle. Tietosuojavaltuutetun päätöksestä voi luottotietolain 41 §:n mukaan valittaa siten kuin hallintolainkäyttölaissa säädetään. Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 1 ja 5 §:ää on muutettu samassa yhteydessä, kun luottotietolaki on tullut voimaan, koska tietosuojavaltuutetulle annettiin luottotietolailla uusia tehtäviä ja valtuutetun tehtäviä laajennettiin. Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 2 §:ää ei ole muutettu, vaan pykälän 1 kohdan mukaan tietosuojalautakunnan tehtävänä on käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi.

Edellä mainitut tietosuojalautakunnan lupatoimivallasta ja tehtävistä annetut säännökset huomioon ottaen tietosuojalautakunnalla ei ole toimivaltaa myöntää X Oy:n vaatimaa lupaa henkilöluottotietojen käsittelylle. Tietosuojalautakunnan päätöstä ei siten ole syytä muuttaa.

Käsittely korkeimmassa hallinto-oikeudessa

X Oy

on valituksessaan vaatinut, että korkein hallinto-oikeus kumoaa Helsingin hallinto-oikeuden päätöksen ja vahvistaa tietosuojalautakunnan lupatoimivallan henkilöluottotietojen käsittelyä koskien sekä myöntää henkilötietolain 43 §:n nojalla X Oy:lle luvan kysymyksessä olevaan henkilötietojen käsittelyyn.

Vaatimusten perusteluina on esitetty muun ohella seuraavaa:

Tietosuojalautakunnan lupatoimivalta

X Oy:n käsityksen mukaan tietosuojalautakunnalla on ja tulee olla henkilötietolain perusteella toimivalta myöntää lupa henkilöluottotietojen käsittelyyn.

Luottotietolaissa mainitut henkilöluottotiedot ovat samalla myös henkilötietolain 3 §:n tarkoittamia henkilötietoja eli luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Luottotietolain 1 §:n 2 momentin nojalla luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan henkilötietolakia, jollei luottotietolaissa toisin säädetä. Samoin henkilötietolain 2 §:n 1 momentissa on säädetty, että henkilötietoja käsiteltäessä on noudatettava, mitä henkilötietolaissa säädetään, jollei muualla laissa toisin säädetä. Henkilötietolaki onkin yleislaki, joka soveltuu henkilötietojen käsittelyyn, jollei erityislaeissa muuta ole säädetty.

Luottotietolaissa ei erikseen säädetä lupatoimivallasta, jolloin sovellettavaksi tulevat henkilötietolain säännökset asiasta. Se, että luottotietolaissa ei ole nimenomaista säännöstä tietosuojalautakunnan lupatoimivallasta, ei poista lautakunnan toimivaltaa.

Hallinto-oikeuden laintulkinta ei vastaa suomalaista laintulkintaoppia, jonka mukaan erityislaki syrjäyttää ristiriitatilanteessa yleislain. Mikäli erityislaissa ei ole jostain asiasta säädetty, normien välistä ristiriitaa ei synny ja yleislaki, tässä tapauksessa henkilötietolaki, soveltuu asian käsittelyyn.

Henkilöluottotiedot ovat myös henkilötietoja. Kuten hallinto-oikeuden päätöksessä todetaan, tietosuojalautakunta voi henkilötietolain 43 §:n mukaan myöntää luvan henkilötietojen käsittelyyn. Vailla merkitystä on se, että sanotussa pykälässä ei viitata luottotietolakiin. Henkilötietolaissa (2 §) ja luottotietolaissa (1 §) todetaan yksiselitteisesti, että henkilötietolaki soveltuu henkilötietojen käsittelyyn, jollei muuta ole luottotietolaissa säädetty.

Hallinto-oikeuden tulkinta luottotietolain ja henkilötietolain välisestä suhteesta on virheellinen. Luottotietolaissa ei ole erikseen säädetty lupatoimivallasta, jolloin henkilötietolain lupatoimivaltaa koskeva säännös soveltuu. On selvää, että lainsäädäntöteknisesti tämän kaltaisen lupatoimivallan säätäminen luottotietolakiin ei ole ollut tarpeen, koska asiasta on jo säädetty henkilötietolaissa. Kysymys ei ole tietosuojalautakunnan toimivallan laajentamisesta, vaan sen toimivaltaan kuuluvasta asiasta.

Luottopäätössuosituksia koskevan toiminnan kuvaus

X Oy:n luottopäätöspalvelu tekee luotonantajille luottopäätössuosituksia yhteistyössä luotonantajien kanssa. Luottopäätössuosituksia voidaan tehdä yksityishenkilöistä. Itse luottopäätöksen tekee kaikissa tilanteissa luotonantaja.

Palvelu perustuu luotonsaajan ja luotonantajan nimenomaiseen toimeksiantoon. Luotonhakija antaa X Oy:lle toimeksiannon luovuttaa itseään koskevat perintätiedot yhtiön rekistereistä luotonantajalle luottohakemuksen käsittelyä varten. Tiedot voidaan luovuttaa vain pisteiden muodossa eikä yksittäisinä velkatietoina. Pisteet muodostuvat julkisista maksuhäiriötiedoista, luotonhakijan luottohakemuksesta ilmenevistä tiedoista ja X Oy:n perintärekistereissä olevista tiedoista. Jos luottohakemus hylätään X Oy:ltä saatujen pistetietojen vuoksi, luotonhakijalla on oikeus saada tietää hylkäyksen syy.

X Oy ylläpitää perintärekistereitä päämiestensä lukuun. Oleellista on, että pisteitä muodostettaessa yllä kuvattujen tietojen hyödyntäminen perustuu luotonhakijan toimeksiantoon eli nimenomaiseen, toimeksiantokohtaiseen suostumukseen. Perintärekisteritietojen pisteytys perustuu siihen, onko luotonhakijalla omia avoimia perintätoimeksiantoja X Oy:ssä vai ei. Pistetieto ei sisällä tietoa perintätoimeksiannon sisällöstä. Pistetietoon vaikuttavat myös X Oy:ssä viimeisen kuuden kuukauden aikana lopetetut asiat. Lopetettu asia vaikuttaa pisteisiin vain positiivisesti eli helpottaa luotonsaantia. Luotonhakija voi saada luottoa, vaikka hänellä olisi julkisia maksuhäiriöitä hoidetuista vastuista.

Tiedon kulku luottopäätöspalvelussa on itse asiassa sama kuin jos rekisteröity valtuuttaisi edustajansa hakemaan perintärekisteristä itseään koskevan tiedon ja luovuttamaan sen luottolaitokselle otettavaksi huomioon luottopäätöstä harkittaessa. Tällainen menettely ei rikkoisi mitään lakia.

Perintätietojen hyödyntäminen ei voi rikkoa luotonhakijan yksityisyyden suojaa. Henkilö, joka ei syystä tai toisesta halua, että perintätietoja hyödynnetään, ei anna toimeksiantoa niiden hyödyntämiseen. Luottopäätössuositus voidaan tällöin antaa julkisten maksuhäiriötietojen ja luotonhakijan antamien tietojen nojalla. Vaikka henkilöllä olisi maksuhäiriöitä, luottopäätössuositus voi johtaa luoton myöntämiseen.

Luottotietolain ja henkilötietolain välisestä suhteesta

Luottotietolain valmistelussa lähtökohta oli se, että esimerkiksi perintätietoja ei sisällytetä yhtenäisesti ylläpidettävään luottotietorekisteriin, mutta luotonantajalla on mahdollisuus selvittää luotonhakijan taloudellinen tilanne tämän suostumuksella eri lähteistä. Juuri tästä X Oy:n luottopäätöspalvelussa on kysymys. Siltä osin kuin henkilötietolaki asettaisi esteitä toiminnalle, sille on yhtiön käsityksen mukaan myönnettävissä henkilötietolain 43 §:n mukainen lupa.

Myös luottotietolaki tunnistaa sen, että tietolähteitä voi olla monia. Mainitun lain 6 §:n nojalla luottotietoina käytettävät henkilötiedot on hankittava rekisteröidyltä itseltään, luottotietorekisteristä tai niistä viranomaisten rekistereistä, joihin kyseisiä tietoja talletetaan yleistä käyttöä varten, jollei oikeudesta tietojen käyttöön säädetä laissa tai määrätä lain nojalla tehdyssä päätöksessä. Rekisteröidyn suostumuksella tietoja saadaan hankkia myös muista tietolähteistä, jos tietojen tällainen käsittely luovuttamista varten on sallittua henkilötietolain ja muun henkilötietojen käsittelyä koskevan lain nojalla.

X Oy:n käsityksen mukaan luottotietolain 1 ja 6 § sekä lakia koskevan hallituksen esityksen HE 241/2006 vp lausuma ilmentävät selvästi, että rekisteröidyn suostumuksella (toimeksiannosta) luottopäätöspalvelussa saa käsitellä myös muita kuin luottotietolain 4 luvussa lueteltuja tietoja. Edellytyksenä on, että tällainen käsittely on henkilötietolain nojalla sallittua. Lainkohta ilmentääkin henkilötietolain asemaa yleislakina, joka tulee ottaa huomioon erityislakina säädetyn luottotietolain lisäksi.

Tietosuojalautakunnan olisi tullut antaa lupa rekisteröidyn suostumuksella tapahtuvaan tietojen käsittelyyn, joka tapahtuu henkilötietolain 43 §:ssä tarkoitetulla tavalla rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi.

X Oy:n luvan tarve

Kuten edeltä ilmenee, X Oy:n luottopäätöspalvelussa annettavat pisteet muodostuvat seuraavista tekijöistä: 1) julkiset maksuhäiriötiedot, 2) luotonhakijan luottohakemuksesta ilmenevät tiedot ja 3) X Oy:n perintärekistereissä olevat tiedot.

Kohdan 1 tiedot ovat ainoastaan luottotietolain 4 luvun 13 §:n 3 kohdan mukaisia tietoja. Yhtiö ei tarvitse erillistä lupaa tältä osin.

Kohdan 2 tiedot yhtiö saa luotonhakijalta itseltään. Mikäli näiden tietojen käyttämiseen liittyisi henkilötietolain soveltamista koskeva ongelma, yhtiö pyytää, että tietojen käsittelyyn myönnetään lupa henkilötietolain 43 §:n nojalla. Luottotietolakiongelmaa tähän kysymykseen ei pitäisi liittyä ottaen huomioon hallituksen esityksen lausuma siitä, että luotonantaja voi joka tapauksessa selvittää luotonhakijan taloudellisen tilanteen tämän suostumuksella eri lähteistä.

Kohdan 3 tietojen osalta tietosuojavaltuutettu on kannanotossaan 29.9.2006 katsonut, että henkilötietolain käyttötarkoitussidonnaisuus estää tietojen käytön edes suostumuksella. Yhtiö pyytää, että lupa myönnetään henkilötietolain 43 §:n nojalla. Luottotietolakiongelmaa tähänkään kysymykseen ei pitäisi liittyä ottaen huomioon hallituksen esityksen lausuma.

X Oy:n toiminnassa ei ole kysymys siitä, että yhtiön "luottotietorekisteriin" rekisteröitäisiin luottotietoja laajemmin kuin mitä luottotietolaki sallii. Luottotietolain 2 §:stä ilmenee, että lain lähtökohtana on muun muassa turvata luotonhakijan oikeus tulla arvioiduksi oikeiden ja asianmukaisten tietojen perusteella. Luotonhakijan toimeksiannosta tapahtuva perintätietojen käsittely turvaa juuri tätä periaatetta ja luottotietolakia tulee tulkita tämän lähtökohdan mukaisesti. Lain tulkinta ei voi johtaa tilanteeseen, jossa edes luotonhakijan suostumuksella luottopäätöspalvelussa ei voitaisi ottaa huomioon tietoja luotonhakijan veloista ja niiden hoitamisesta (niin sanotut positiiviset luottotiedot).

X Oy:n käsityksen mukaan luottopäätöspalvelutoiminta ei riko henkilötietolakia tai luottotietolakia, koska perintätietojen hyödyntäminen perustuu kaikissa tilanteissa luotonhakijan nimenomaiseen toimeksiantoon. Tietoja ei hyödynnetä automaattisesti eikä niitä missään olosuhteissa luovuteta ilman, että nimenomainen toimeksianto on annettu. X Oy turvaa rekisteröidyn yksityisyyden suojan.

Hallinto-oikeus on päätöksessään 20.3.2008 vahvistanut, että toimeksiantoa ei voida katsoa epäaidoksi. Hallinto-oikeus on samoin vahvistanut, että toimeksiannon antaminen perustuu luotonhakijan itsemääräämisoikeuteen. Hallinto-oikeus on edelleen katsonut, että X Oy:n toiminta ei ole ristiriidassa käyttötarkoitussidonnaisuuden periaatteen kanssa.

Asian pitkä käsittelyhistoria ja tarve saada pääasiaan korkeimman hallinto-oikeuden päätös

X Oy:n luottopäätöspalveluun liittyvää asiaa on käsitelty vuodesta 2006 alkaen tietosuojavaltuutetun toimistossa, tietosuojalautakunnassa ja Helsingin hallinto-oikeudessa. Asian käsittelyn aikana myös sovellettava lainsäädäntö on osittain ehtinyt muuttua, kun henkilötietolaki on muuttunut ja luottotietolaki on tullut voimaan 1.11.2007.

X Oy vaatii, että korkein hallinto-oikeus paitsi kumoaa hallinto-oikeuden päätöksen myös ratkaisee pääasian eli myöntää yhtiölle luvan käyttää luotonhakijoiden suostumuksella heitä itseään koskevia perintätietoja yhtiön luottopäätöspalvelun yhteydessä. Hallintotuomioistuin voi korvata valituksenalaisen päätöksen omallaan. Koska kysymyksessä on yhtiön liiketoimintaan huomattavasti vaikuttava asia, on sen oikeusturvan kannalta tärkeää, että asiassa saadaan lopullinen ratkaisu eikä asiaa käsitellä tietosuojalautakunnassa ja hallinto-oikeudessa enää kolmatta kertaa.

Asiassa on kysymys luotonhakijan ja rekisteröidyn itsemääräämisoikeuden käyttämisestä. Hallinto-oikeuden päätöksessä 20.3.2008 on todettu, että henkilötietolain ja tietosuojadirektiivin 95/46/EY keskeisiä lähtökohtia ovat rekisteröidyn yksityisyyden suoja ja itsemääräämisoikeus. Luotonhakija voi itsemääräämisoikeutensa puitteissa antaa toimeksiannon, jolla X Oy oikeutetaan hyödyntämään rekisteröityä koskevia tietoja luottopäätössuosituksia tehtäessä. Korkeimman hallinto-oikeuden tulee myöntää tähän edellä kuvattuun toimintaan lupa.

Tietosuojalautakunta

on lausunnossaan esittänyt, että valitus hylätään. Lautakunta on lausunut muun ohella seuraavaa:

Toimivaltaansa koskevan kysymyksen osalta lautakunta viittaa asiassa aiemmin lausumaansa. Tämän lisäksi lautakunta toteaa, että luottotietolaissa mainitut henkilöluottotiedot ovat, kuten X Oy huomauttaa, myös henkilötietolain 3 §:ssä tarkoitettuja henkilötietoja. Tällä seikalla ei kuitenkaan ole merkitystä arvioitaessa tietosuojalautakunnan toimivaltaa, vaan olennaista on se, että luottotietolaissa on säädetty tyhjentävästi siitä, mitä luottotietoja luottotietorekisteriin voidaan luonnollisista henkilöistä tallettaa. Tämän vuoksi lautakunnalla ei ole toimivaltaa myöntää X Oy:lle lupaa henkilöluottotietojen käsittelyyn. Rekisteröidyn suostumuksella ei voida poiketa tästä.

Luottotietolaissa ei ole säädetty avoimia perintätoimeksiantoja koskevien tietojen käsittelystä henkilöluottotietoina. Hoidettuja maksuja koskevien tietojen ei voida kaikissa tapauksissa katsoa olevan luottotietolain 13 §:n 8 kohdassa tarkoitettuja suorituksen maksutietoja.

X Oy

on vastaselityksessään esittänyt muun ohella seuraavaa:

X Oy on osoittanut, että tietosuojalautakunnalla on henkilötietolain 43 §:n perusteella toimivalta myöntää lupa rekisteröidyn suostumuksella tapahtuvaan henkilötietojen käyttöön luottopäätöspalvelun yhteydessä. Yhtiö vaatii, että korkein hallinto-oikeus vahvistaa tämän lupatoimivallan.

X Oy on osoittanut myös, että tietojen käsittelyyn tarvittavat luvan myöntämisen edellytykset täyttyvät rekisteröidyn itsemääräämisoikeuteen perustuen. Luotonhakija voi antaa henkilötietolain nojalla toimeksiannon tai suostumuksen, jolla yhtiö oikeutetaan luovuttamaan luotonmyöntäjälle luotonhakijaa koskevaa maksutietoa. Tällä menettelyllä sellainenkin luotonhakija, jolla on maksuhäiriöitä, voi saada uutta luottoa. Yhtiö vaatii, että korkein hallinto-oikeus myöntää luvan rekisteröidyn suostumuksella tapahtuvaan henkilötietojen käyttöön luottopäätöspalvelun yhteydessä.

Korkeimman hallinto-oikeuden ratkaisu

Korkein hallinto-oikeus on tutkinut asian.

Valitus hylätään. Helsingin hallinto-oikeuden päätöksen lopputulosta ei muuteta.

Perustelut

Sovellettavat ja asiaan muutoin liittyvät oikeusohjeet

Luottotietolain säännökset

Marraskuun 1. päivänä 2007 voimaan tulleen luottotietolain (527/2007) 1 §:n 1 momentin mukaan mainittua lakia sovelletaan luottotietojen keräämiseen, tuottamiseen, tallettamiseen, luovuttamiseen, käyttöön ja muuhun käsittelyyn. Pykälän 2 momentin mukaan luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan henkilötietolakia (523/1999), jollei luottotietolaissa toisin säädetä.

Luottotietolain 33 §:n mukaan mainitun lain yleinen valvonta kuuluu tietosuojavaltuutetulle.

Luottotietolain 35 §:n mukaan tietosuojavaltuutetulla on oikeus: 1) antaa rekisterinpitäjälle rekisteröidyn hakemuksesta määräys rekisteröidyn tarkastusoikeuden toteuttamisesta tai virheellisen tiedon oikaisemisesta; 2) velvoittaa luottotietotoiminnan harjoittaja määräajassa oikaisemaan, mitä yritysluottotietojen käsittelyssä on oikeudettomasti tehty tai laiminlyöty; ja 3) velvoittaa luottotietotoiminnan harjoittaja ryhtymään toimenpiteisiin 3 luvussa säädettyjen velvollisuuksiensa hoitamiseksi.

Luottotietolain 36 §:n mukaan tietosuojavaltuutettu voi asettaa muun ohella saman lain 35 §:n nojalla tekemänsä päätöksen tehosteeksi uhkasakon siten kuin uhkasakkolaissa (1113/1990) säädetään.

Luottotietolain 41 §:n mukaan tietosuojavaltuutetun saman lain 35 §:n nojalla tekemään päätökseen haetaan muutosta valittamalla noudattaen, mitä hallintolainkäyttölaissa (586/1996) säädetään.

Henkilötietolain säännökset

Henkilötietolain (523/1999) 40 §:n 1 momentin mukaan tietosuojavaltuutetun on edistettävä hyvää tietojenkäsittelytapaa sekä ohjein ja neuvoin pyrittävä siihen, että lainvastaista menettelyä ei jatketa tai uusita. Tarvittaessa tietosuojavaltuutetun on saatettava asia tietosuojalautakunnan päätettäväksi taikka ilmoitettava se syytteeseen panoa varten. Pykälän 2 momentin mukaan tietosuojavaltuutetun on ratkaistava asia, jonka rekisteröity on saattanut henkilötietolain 28 ja 29 §:n nojalla hänen käsiteltäväkseen. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden toteuttamisesta tai tiedon korjaamisesta. Pykälän 3 momentin mukaan tietosuojavaltuutettu voi antaa tarkempia ohjeita siitä, miten henkilötiedot on suojattava henkilötietojen laittomalta käsittelyltä.

Henkilötietolain 43 §:n 1 momentin mukaan tietosuojalautakunta voi antaa 8 §:n 1 momentin 9 kohdassa tarkoitetun luvan henkilötietojen käsittelyyn, jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi muussa kuin yksittäistapauksessa taikka yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan. Lupa voidaan myöntää myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi edellyttäen, ettei tietojen tällainen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia.

Henkilötietolain 44 §:n mukaan tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta: 1) kieltää mainitun lain tai sen nojalla annettujen säännösten ja määräysten vastaisen henkilötietojen käsittelyn; 2) velvoittaa muissa kuin mainitun lain 40 §:n 2 momentissa tarkoitetuissa asioissa asianomaisen määräajassa oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty; 3) määrätä rekisteritoiminnan lopetettavaksi, jos lainvastaiset toimet tai laiminlyönnit huomattavasti vaarantavat rekisteröidyn yksityisyyden suojaa tai hänen etujaan tai oikeuksiaan, jollei rekisteristä ole laissa säädetty; sekä 4) peruuttaa mainitun lain 43 §:ssä tarkoitetun luvan, kun edellytyksiä luvan myöntämiselle ei enää ole tai kun rekisterinpitäjä toimii luvan tai siihen liitettyjen määräysten vastaisesti.

Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain säännökset

Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain (389/1994) 2 §:n (524/1999) mukaan tietosuojalautakunnan tehtävänä on: 1) käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi; sekä 2) seurata henkilötietojen käsittelyä koskevan lainsäädännön kehittämistarvetta ja tehdä tarpeelliseksi katsomiaan aloitteita.

Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 5 §:n mukaan tietosuojavaltuutetun tehtävänä on: 1) käsitellä ja ratkaista henkilötietojen ja luottotietojen käsittelyä koskevat asiat siten kuin henkilötietolaissa ja luottotietolaissa säädetään sekä hoitaa muut mainituista laeista johtuvat tehtävät (529/2007); 2) seurata henkilötietojen ja luottotietojen käsittelyn yleistä kehitystä ja tehdä tarpeelliseksi katsomiaan aloitteita (529/2007); 3) huolehtia toimialaansa kuuluvasta tiedotustoiminnasta; sekä 4) huolehtia henkilötietojen käsittelyyn liittyvästä kansainvälisestä yhteistyöstä.

Korkeimmasta hallinto-oikeudesta annetun lain säännökset

Korkeimmasta hallinto-oikeudesta annetun lain 2 §:n 1 momentin mukaan lainkäyttöasioina korkein hallinto-oikeus käsittelee ne muutoksenhakua ja ylimääräistä muutoksenhakua koskevat asiat, jotka sen mukaan kuin siitä muualla laissa säädetään kuuluvat korkeimman hallinto-oikeuden toimivaltaan.

Oikeudellinen arviointi ja lopputulos

Edellä lausutun vuoksi ja kun lisäksi otetaan huomioon edellä ilmenevät Helsingin hallinto-oikeuden päätöksen perustelut ja päätöksessä mainitut oikeusohjeet sekä korkeimmassa hallinto-oikeudessa esitetyt vaatimukset ja asiassa saatu selvitys, ei ole perusteita muuttaa lopputulokseltaan hallinto-oikeuden päätöstä, jolla on katsottu, että tietosuojalautakunnalla ei ole toimivaltaa myöntää X Oy:n vaatimaa lupaa henkilöluottotietojen käsittelylle.

Tietosuojalautakunnan oli siten tullut jättää X Oy:n henkilötietolain 43 §:ssä tarkoitettu poikkeuslupahakemus tutkimatta. Sen toimivaltaan ei toisaalta myöskään ole kuulunut sisällyttää päätökseensä lausumia ja käsityksiä siitä, onko yhtiön tarkoittama toiminta luottotietolain mukaista.

Yhtiön vaatiman luvan myöntäminen ei liioin kuulu korkeimman hallinto-oikeuden toimivaltaan.

Asian ovat ratkaisseet hallintoneuvokset Pekka Vihervuori, Sakari Vanhala, Hannu Ranta, Eija Siitari-Vanne ja Heikki Harjula. Asian esittelijä Mikko Rautamaa.

---

[SV]

Bestämmelserna i kreditupplysningslagen medförde inte behörighet för datasekretessnämnden att medge undantag för verksamhet som innebar att ett bolag på uppdrag av ett inkassoföretag gav rekommendationer för kreditbeslut. Behörigheten kunde inte heller härledas ur personuppgiftslagens bestämmelser om behandling av personuppgifter, när det var frågan om en verksamhet som denna.

Personuppgiftslagen 40 §, 43 § 1 mom. och 44 §

Kreditupplysningslagen 1 §, 33 §, 35 §, 36 §, 38 §, 41 §

Lagen om datasekretessnämnden och dataombudsmannen 2 § och 5 §