Rekisteröidyn oikeus saada pääsy tietoihin ja oikeuden rajoittaminen
- Keywords
- tarkastusoikeus, harmaan talouden torjunta, rekisteröidyn oikeuksien rajoittaminen, rekisteröidyn oikeuksien helpottaminen
- Year of case
- 2024
- Date of Issue
- Register number
- TSV/7003/2024
- Legal basis
- EU:n yleisen tietosuoja-asetuksen mukainen päätös
Apulaistietosuojavaltuutetun päätös rekisteröidyn oikeudesta saada pääsy tietoihin
Asia
Rekisteröidyn pyyntö saada pääsy tietoihin
Rekisterinpitäjä
Verohallinto
Rekisteröidyn vaatimukset perusteluineen
Vireillesaattaja (myöhemmin myös ”rekisteröity”) on pyytänyt Verohallinnon Harmaan talouden selvitysyksiköltä (myöhemmin myös ”rekisterinpitäjä”) saada pääsy omiin tietoihinsa, joita selvitysyksikkö on käsitellyt ja saada tietoa omien henkilötietojensa käsittelystä.
Verohallinnon Harmaan talouden selvitysyksikkö on antanut 26.6.2024 päätöksen (VH/4434/07.01.04/2024) jossa se kieltäytyi vireillesaattajan pyynnöstä eikä antanut tietoa siitä, onko tietoja käsitelty velvoitteidenhoitoselvityksellä.
Vireillesaattaja on tämän jälkeen 3.7.2024 saattanut asian vireille tietosuojavaltuutetun toimistoon 15 artiklan nojalla.
Rekisterinpitäjän vastaus rekisteröidyn pyyntöön
Verohallinnon Harmaan talouden selvitysyksikkö on päätöksessään 26.6.2024 (VH/4434/07.01.04/2024) todennut, että se kieltäytyy vireillesaattajan pyynnöstä eikä anna tietoa siitä, onko tietoja käsitelty velvoitteidenhoitoselvityksellä.
Rekisterinpitäjä on todennut päätöksessään ensinnäkin, että yleistä tietosuoja-asetusta (EU) 2016/679 täsmentävän kansallisen tietosuojalain (1050/2018) 34 §:ssä on säädetty poikkeuksista tietosuoja-asetuksen 15 artiklassa tarkoitettuun oikeuteen päästä omiin tietoihinsa.
Rekisterinpitäjä on antamassaan päätöksessään katsonut, että Harmaan talouden selvitysyksiköllä ei ole oikeutta eikä mahdollisuutta arvioida, sitä milloin velvoitteidenhoitoselvityksellä on annettu tietoja sellaista tarkoitusta varten tai sellaisessa tilanteessa, jossa tiedot vastaanottanut viranomainen kieltäytyisi antamasta tietoja tietosuojalain 34 §:n mukaisella perusteella. Rekisterinpitäjä on todennut päätöksessä, että Harmaan talouden selvitysyksikkö ei näin ollen voi täyttää pyyntöä.
Rekisteröityä on ohjattu päätöksessä osoittamaan omien tietojen tarkastusta koskevan pyynnön sellaiselle viranomaiselle, jolla on Harmaan talouden selvitysyksikköä koskevan lain 6 §:n perusteella oikeus pyytää velvoitteidenhoitoselvitys. Rekisterinpitäjä on liittänyt päätökseensä luettelon näistä viranomaisista yhteystietoineen.
Rekisterinpitäjän asiassa antama selvitys
Verohallinnon Harmaan talouden selvitysyksiköltä on pyydetty asiassa selvitystä tietosuojavaltuutetun toimiston toimesta 28.10.2024. Rekisterinpitäjä on vastannut selvityspyyntöön 18.11.2024.
Rekisterinpitäjä on selvityksessään vahvistanut, että selvitysyksikkö on antanut rekisteröidylle häntä koskevan päätöksen, joka on koskenut pyyntöä saada häntä itseään tai sellaisia yhtiöitä, joissa hän on ollut vastuuasemassa ajalla 1.1.2026-6.6.2024, koskevat velvoitteidenhoitoselvitykset ja tiedon niistä viranomaisista, jotka ovat kyseisiä tietoja pyytäneet käyttöönsä (VH/4434/07.01.04/2024) 26.6.2024.
Rekisterinpitäjä on viitannut selvityksessään hallintolain (434/2003) 8 §:ään, jonka mukaisesti viranomaisen on toimivaltansa rajoissa annettava asiakkailleen tarpeen mukaan hallintoasian hoitamiseen liittyvää neuvontaa sekä vastattava asiointia koskeviin kysymyksiin ja tiedusteluihin. Jos asia ei kuulu viranomaisen toimivaltaan, sen on pyrittävä opastamaan asiakas toimivaltaiseen viranomaiseen.
Rekisterinpitäjä on viitannut selvityksessään yleiseen tietosuoja-asetukseen ja sen 15 artiklaan, jonka mukaisesti rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin.
Rekisterinpitäjä on viitannut selvityksessään myös tietosuojalakiin ja että siinä on täsmennetty yleisen tietosuoja-asetuksen säännöksiä siltä osin kuin asetuksessa on annettu kansallista liikkumavaraa. Rekisterinpitäjän toteaa, että lain 34 §:ssä on säädetty rajoituksista rekisteröidyn oikeuteen tutustua hänestä kerättyihin tietoihin ja että sen mukaisesti rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin mm. silloin, kun tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä, taikka silloin, kun henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi.
Rekisterinpitäjä on viitannut selvityksessään myös lakiin Harmaan talouden selvitysyksiköstä (1207/2010). Selvityksessä todetaan, että Harmaan talouden selvitysyksiköstä annetun lain 1 §:n mukaan selvitysyksikön tehtävänä on edistää harmaan talouden torjuntaa tuottamalla ja jakamalla tietoa harmaasta taloudesta ja sen torjunnasta sekä laatia viranomaiselle velvoitteidenhoitoselvityksiä organisaatioista ja organisaatiohenkilöistä 6 §:ssä säädettyihin käyttötarkoituksiin.
Selvityksessä todetaan lisäksi, että Harmaan talouden selvitysyksiköstä annetun lain 5 §:ssä säädetään velvoitteidenhoitoselvityksestä ja että selvitysyksikkö laatii velvoitteidenhoitoselvityksen pyynnöstä lain 6 §:n mukaisiin käyttötarkoituksiin. Selvityksen mukaan lain 6 §:ssä on lueteltu yksityiskohtaisesti ne käyttötarkoitukset, joita varten selvitysyksikkö voi laatia velvoitteidenhoitoselvityksiä niille viranomaisille, joiden toimivallassa on käsitellä tietoja lain 6 §:ssä säädetyissä tarkoituksissa. Selvityksen mukaan lain 9 §:n mukaisesti selvitystietojärjestelmä on selvitysyksikön käyttöön tarkoitettu pysyvä automaattisen tietojenkäsittelyn avulla ylläpidettävä henkilörekisteri. Selvitystietojärjestelmä voi sisältää sellaisia tietoja, joita on tarpeen käsitellä 1 §:ssä säädettyjen tehtävien suorittamisessa. Rekisterinpitäjä on Verohallinto.
Selvityksen mukaan Harmaan talouden selvitysyksiköstä annetun lain 11 §:n mukaisesti selvitysyksikkö saa luovuttaa velvoitteidenhoitoselvityksen vain selvitystä pyytäneelle viranomaiselle pyynnössä esitettyyn käyttöön. Saman pykälän mukaan tiedon antamisesta velvoitteidenhoitoselvityksestä päättää selvityksen pyytänyt viranomainen. Selvityksen mukaan lain 12 §:n mukaisesti henkilötietojen käsittelystä säädetään tietosuojalaissa ja yleisessä tietosuoja-asetuksessa. Selvityksen mukaan lain 13 §:n mukaan velvoitteidenhoitoselvitykset ja niiden laatimiseksi saadut tiedot velvoitteidenhoitoselvityksiä koskevat pyynnöt ovat selvitysyksikössä salassa pidettäviä.
Rekisterinpitäjä on todennut antamassaan selvityksessään myös, että velvoitteidenhoitoselvitys on sisällöllisesti ennalta viranomaisten kanssa sovittu kooste eri viranomaisrekistereissä olevasta, pyynnön kohdetta koskevasta tiedosta. Rekisterinpitäjän mukaan se antaa kokonaiskuvan siitä, miten pyynnön kohteena oleva on hoitanut veroihin ja sosiaalivakuutusmaksuihin sekä Tullin perimiin maksuihin liittyvät velvoitteensa. Kun viranomainen pyytää velvoitteidenhoitoselvitystä ja ilmoittaa käyttötarkoituksen, selvitysyksikkö hankkii sitä varten tarvittavat tiedot eri viranomaisrekistereistä rajapintojen avulla ja koostaa niistä velvoitteidenhoitoselvitysraportin, joka palautetaan tyypillisesti rajapinnan avulla pyytäjälle.
Rekisterinpitäjä on todennut selvityksessään lisäksi, että velvoitteidenhoitoselvitys muodostuu selvitysyksikön järjestelmässä automaattisesti, eikä se sisällä muita kuin kyseisen viranomaisen kanssa ennalta sovittuja tietoja sellaisena kuin ne ovat alkuperäisessä rekisterissä. Se ei myöskään sisällä selvitysyksikön itse tekemiä arvioita taikka analyysejä. Rekisterinpitäjä kertoo selvityksessään, että selvitysyksikkö toimii tässä tehtävässään tiedon välittäjänä viranomaisrekisterien ja niitä pyytävien viranomaisten välillä ilman muuta omaa käyttötarkoitusta tiedolle.
Rekisterinpitäjä on todennut selvityksessään myös, että selvitysyksikkö on lakisääteisten tehtäviensä mukaisesti viranomaisrekistereissä olevien tietojen välittäjä, eikä sillä ole mitään muuta käyttötarkoitusta velvoitteidenhoitoselvityksen sisältämälle tiedolle. Selvityksen mukaan se vastaa siitä, että velvoitteidenhoitoselvitys laaditaan lain ja sitä pyytävän viranomaisen kanssa sovitun mukaisesti ja luovutetaan sitä pyytäneelle taholle. Se ei vastaa tai voi vaikuttaa sellaisiin virheisiin, joita tiedoissa on niissä rekistereissä, joista tieto hankitaan. Selvityksen mukaan selvitysyksikkö ei myöskään vastaa velvoitteidenhoitoselvityksen käyttämisestä siihen tarkoitukseen, johon se on pyynnön mukaisesti laadittu ja luovutettu. Varsinainen käyttötarkoitus tiedolle on aina velvoitteidenhoitoselvitystä pyytävällä viranomaisella, jolla myös on ainoana mahdollisuus harkita, perustella ja tehdä päätös tietosuojalain 34 §:n edellytyksien täyttymisestä. Selvityksen mukaan näin ollen selvitysyksiköllä ei ole tosiasiassa mahdollisuutta harkita kyseisten esteperusteiden täyttymistä eikä sillä ole välttämättä edes oikeutta saada kaikkia päätöksen tekemiseksi tarvittavia tietoja sen asiakasviranomaiselta.
Rekisterinpitäjä toteaa selvityksessään, että selvitysyksikön asiassa tekemässä päätöksessä on viitattu Harmaan talouden selvitysyksiköstä annetun lain 11 ja 12 §:ssä säädettyyn. Selvityksessä todetaan, että lain 11 §:n 1 momentin mukaan selvitysyksikkö saa luovuttaa velvoitteidenhoitoselvityksen vain selvitystä pyytäneelle viranomaiselle pyynnössä esitettyyn käyttöön ja että pykälän 3 momentissa todetaan, että tiedon antamisesta selvityksestä muuhun tarkoitukseen päättää selvitystä pyytänyt viranomainen. Selvityksessä todetaan, että Harmaan talouden selvitysyksiköstä annetun lain 1.1.2019 voimaan tulleessa 12 §:n 1 momentissa on viittaus yleiseen tietosuoja-asetukseen sekä tietosuojalakiin, joita sovelletaan myös selvitysyksikön suorittamaan henkilötietojen käsittelyyn. Selvityksessä todetaan vielä, että Harmaan talouden selvitysyksiköstä annetun lain 13 §:n mukaan velvoitteidenhoitoselvitykset ovat selvitysyksikön toiminnassa salassa pidettäviä. Selvitysyksikkö toteaa kokoavasti, että se on päätöksessään ottanut huomioon sekä Harmaan talouden selvitysyksiköstä annetun lain että tietosuojalain ja yleisen tietosuoja-asetuksen määräykset.
Rekisterinpitäjä on selvityksessä lisäksi todennut, että selvitysyksikölle tehdään vuosittain yhteensä yli 800 000 velvoitteidenhoitoselvityspyyntöä 38 eri käyttötarkoitukseen (tilanne vuonna 2024 ja kasvussa). Rekisterinpitäjän mukaan velvoitteidenhoitoselvitystä käyttää useita satoja virkamiehiä ja julkista tehtävää hoitavaa henkilöä.
Rekisterinpitäjä toteaa selvityksessään, että selvitysyksikkö on soveltaen edellä kuvattua lainsäädäntöä ja yhdessä velvoitteidenhoitoselvityksen pyytämiseen oikeutettujen viranomaisten kanssa päätynyt ratkaisuun, jossa se ei anna tietoja laadituista velvoitteidenhoitoselvityksistä taikka tahoista, jotka ovat velvoitteidenhoitoselvitystä pyytäneet. Selvityksen mukaan ratkaisu ei vaaranna henkilön oikeutta saada tietoa itseään koskevasta tietojenkäsittelystä, sillä hänellä on aina oikeus esittää pyyntö velvoitteidenhoitoselvitystä Harmaan talouden selvitysyksiköstä annetun lain 6 §:ssä kuvattuun tarkoitukseen käyttävälle taholle. Selvityksen mukaan selvitysyksikön ja sen asiakasviranomaisten yhteinen käsitys on, että muunlainen ratkaisu voisi vaarantaa tietosuojalain 34 §:n mukaisten kieltäytymisperusteiden käytön sekä selvitysyksikön tehtävän viranomaisten välisen tiedonvaihdon tukemisessa. Selvitysyksiköstä ei saisi tulla kiertotietä hankkia tietoja viranomaisten välisestä tietojenvaihdosta tai viranomaisissa vireillä olevista asioista.
Rekisteröidyn vastine
Asiassa ei ole pyydetty selvitystä rekisteröidyltä hallintolain (434/2003) 34 § 2 momentin 5 kohdan perusteella. Asianosaisten kuuleminen on hallintolain 34 § 2 momentin 5 kohdan mukaisesti ilmeisen tarpeetonta, sillä selvitysten hankkiminen ei muuttaisi asian ratkaisutapaa. Asia voidaan ratkaista sovellettavan lainsäädännön, vakiintuneen käytännön sekä tietosuojavaltuutetun toimiston tietoon saatetun rekisteröidyn vaatimuksen sekä rekisterinpitäjän selvityksen perusteella.
Sovellettava lainsäädäntö
Asiassa sovelletaan Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (yleinen tietosuoja-asetus). Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleistä tietosuoja-asetusta täsmentää ja täydentää kansallinen tietosuojalaki (1050/2018).
Euroopan unionin perusoikeuskirjan (2000/C 364/01, EU:n perusoikeuskirja) 52 artiklassa säädetään turvattujen oikeuksien kattavuudesta. Mainitun 52 artiklan 1 kohdan mukaan tässä perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla, ja kyseisten oikeuksien ja vapauksien olennaista sisältöä noudattaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan tehdä ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.
Hallintolain 8 §:n 1 momentin mukaan viranomaisen on toimivaltansa rajoissa annettava asiakkailleen tarpeen mukaan hallintoasian hoitamiseen liittyvää neuvontaa sekä vastattava asiointia koskeviin kysymyksiin ja tiedusteluihin. Neuvonta on maksutonta.
Hallintolain 8 §:n 2 momentin mukaan, jos asia ei kuulu viranomaisen toimivaltaan, sen on pyrittävä opastamaan asiakas toimivaltaiseen viranomaiseen.
Yleisen tietosuoja-asetuksen 5 a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (”lainmukaisuus, kohtuullisuus ja läpinäkyvyys”); b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa (”käyttötarkoitussidonnaisuus”); c) henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (”tietojen minimointi”); d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä (”täsmällisyys”); e) ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi (”säilytyksen rajoittaminen”); f) niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia (”eheys ja luottamuksellisuus”).
Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (”osoitusvelvollisuus”).
Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.
Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä.
Yleisen tietosuoja-asetuksen 12 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty 15 artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti mahdollisuuksien mukaan, paitsi jos rekisteröity toisin pyytää.
Yleisen tietosuoja-asetuksen 12 artiklan 4 kohdan mukaan jos rekisterinpitäjä ei toteuta toimenpiteitä rekisteröidyn pyynnön perusteella, rekisterinpitäjän on ilmoitettava viipymättä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta rekisteröidylle syyt siihen ja kerrottava mahdollisuudesta tehdä valitus valvontaviranomaiselle ja käyttää muita oikeussuojakeinoja.
Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä 1 kohdassa määritellyt tiedot.
Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista.
Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan mukaan rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata a) kansallinen turvallisuus; b) puolustus; c) yleinen turvallisuus; d) rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy; e) muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva; f) oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu; g) säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytteeseenpano; h) valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a–e ja g alakohdassa tarkoitetuissa tapauksissa; i) rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet; j) yksityisoikeudellisten kanteiden täytäntöönpano.
Yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan mukaan edellä 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin a) käsittelytarkoitusta tai käsittelyn ryhmiä; b) henkilötietoryhmiä; c) käyttöön otettujen rajoitusten soveltamisalaa; d) suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen; e) rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämistä; f) tietojen säilytysaikoja ja sovellettavia suojatoimia ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset; g) rekisteröidyn oikeuksiin ja vapauksiin kohdistuvia riskejä; ja h) rekisteröityjen oikeutta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen.
Yleisen tietosuoja-asetuksen 58 artiklassa säädetään valvontaviranomaisen valtuuksista ja sen 2 kohdassa korjaavista toimivaltuuksista. Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaan jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet: antaa huomautus rekisterinpitäjälle tai henkilötietojen käsittelijälle, jos käsittelytoimet ovat olleet tämän asetuksen vastaisia. Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaan jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet: määrätä rekisterinpitäjä tai henkilötietojen käsittelijä noudattamaan rekisteröidyn pyyntöjä, jotka koskevat tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttöä.
Tietosuojalain 34 §:n 1 momentin mukaan rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin, jos: 1) tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä; 2) tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille; tai 3) henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi.
Tietosuojalain 34 §:n 2 momentin mukaan, jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne 1 momentin mukaan jäävät tietosuoja-asetuksen 15 artiklassa tarkoitetun oikeuden ulkopuolelle, rekisteröidyllä on oikeus saada tietää muut häntä koskevat tiedot.
Tietosuojalain 34 §:n 3 momentin mukaan rekisteröidylle on ilmoitettava rajoituksen syyt, ellei tämä vaaranna rajoituksen tarkoitusta.
Harmaan talouden selvitysyksiköstä (1207/2010) annetun lain 1 §:n 1 momentin mukaan Verohallinnossa on Harmaan talouden selvitysyksikkö, jäljempänä selvitysyksikkö.
Harmaan talouden selvitysyksiköstä annetun lain 1 §:n 2 momentin mukaan selvitysyksikön tehtävänä on: 1) edistää harmaan talouden torjuntaa tuottamalla ja jakamalla tietoa harmaasta taloudesta ja sen torjunnasta; 2) laatia viranomaiselle velvoitteidenhoitoselvityksiä organisaatioista ja organisaatiohenkilöistä 6 §:ssä säädettyihin käyttötarkoituksiin.
Harmaan talouden selvitysyksiköstä annetun lain 5 §:ssä säädetään, että selvitysyksikkö laatii pyynnöstä velvoitteidenhoitoselvityksen 6 §:ssä säädettyihin käyttötarkoituksiin.
Harmaan talouden selvitysyksiköstä annetun lain 6 §:ssä säädetään velvoitteidenhoitoselvityksen käyttötarkoituksista.
Harmaan talouden selvitysyksiköstä annetun lain 7 §:n 1 momentin mukaan selvitysyksiköllä on oikeus saada salassapitovelvollisuuden estämättä viranomaiselta ne velvoitteidenhoitoselvityksen laatimiseksi välttämättömät tiedot, jotka velvoitteidenhoitoselvitystä pyytävä viranomainen on oikeutettu saamaan selvityspyynnössä kuvattua käyttötarkoitusta varten.
Harmaan talouden selvitysyksiköstä annetun lain 9 §:n 1 momentin mukaan selvitystietojärjestelmä on selvitysyksikön käyttöön tarkoitettu pysyvä automaattisen tietojenkäsittelyn avulla ylläpidettävä henkilörekisteri. Selvitystietojärjestelmä voi sisältää sellaisia tietoja, joita on tarpeen käsitellä 1 §:ssä säädettyjen tehtävien suorittamisessa. Rekisterinpitäjä on Verohallinto.
Harmaan talouden selvitysyksiköstä annetun lain 9 §:n 2 momentin mukaan selvitystietojärjestelmän osarekistereitä ovat velvoitteidenhoitoselvitysrekisteri ja ilmiöselvitysrekisteri. Velvoitteidenhoitoselvitysrekisteriin saa tallentaa velvoitteidenhoitoselvityksen laatimiseksi saatuja tietoja sekä näiden tietojen perusteella laadittuja velvoitteidenhoitoselvityksiä. Ilmiöselvitysrekisteriin saa tallentaa ilmiöselvitysten laatimiseksi saatuja tietoja sekä näiden tietojen perusteella laadittuja ilmiöselvityksiä.
Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 1 momentin mukaan selvitysyksikkö saa luovuttaa velvoitteidenhoitoselvityksen vain selvitystä pyytäneelle viranomaiselle pyynnössä esitettyyn käyttöön.
Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 3 momentin mukaan tiedon antamisesta selvityksestä muuhun tarkoitukseen päättää selvitystä pyytänyt viranomainen.
Harmaan talouden selvitysyksiköstä annetun lain 12 §:n 1 momentin mukaan henkilötietojen käsittelystä säädetään tietosuojalaissa (1050/2018) ja luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679. (5.12.2018/1053).
Harmaan talouden selvitysyksiköstä annetun lain 13 §:n 1 momentin mukaan asiakirjojen ja tietojen julkisuudesta säädetään viranomaisten toiminnan julkisuudesta annetussa laissa.
Harmaan talouden selvitysyksiköstä annetun lain 13 §:n 2 momentin mukaan ilmiöselvitysten laatimiseksi saadut tiedot, velvoitteidenhoitoselvitykset ja niiden laatimiseksi saadut tiedot sekä ilmiöselvityksiä ja velvoitteidenhoitoselvityksiä koskevat pyynnöt ovat selvitysyksikössä salassa pidettäviä.
Oikeudellinen kysymys
Apulaistietosuojavaltuutettu ratkaisee asian EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) nojalla. Asiassa on ratkaistavana:
i) onko rekisterinpitäjä tässä tarkasteltavana olevassa asiassa voinut kieltäytyä yleisen tietosuoja-asetuksen 15 artiklan mukaisesta rekisteröidyn oikeudesta saada pääsy tietoihin tietosuojalain 34 §:n 1 momentin sekä Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 1 ja 3 momenttien perusteella?
ii) onko rekisterinpitäjä voinut ohjata rekisteröidyn pyytämään saada pääsy omiin tietoihinsa niiltä viranomaisilta, joilla on Harmaan talouden selvitysyksiköstä annetun lain 6 §:n perusteella oikeus pyytää velvoitteidenhoitoselvitys, ja jotka se on luetellut rekisteröidylle antamassaan päätöksessä?
iii) Mikäli rekisterinpitäjän harjoittama henkilötietojen käsittely ei ole ollut yleisen tietosuoja-asetuksen säännösten mukaista, asiassa on ratkaistava, onko rekisterinpitäjälle määrättävä yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan mukainen seuraamus.
Apulaistietosuojavaltuutetun päätös ja perustelut
Päätös
Apulaistietosuojavaltuutettu katsoo päätöksessään seuraavaa:
i) Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjällä on ollut oikeus kieltäytyä yleisen tietosuoja-asetuksen 15 artiklan mukaisesta rekisteröidyn oikeudesta saada pääsy tietoihin tietosuojalain 34 §:n 1 momentin sekä Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 1 ja 3 momenttien perusteella.
ii) Apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä on voinut ohjata rekisteröidyn pyytämään saada pääsy omiin tietoihinsa niiltä viranomaisilta, joilla on Harmaan talouden selvitysyksiköstä annetun lain 6 §:n perusteella oikeus pyytää velvoitteidenhoitoselvitys, ja jotka se on luetellut rekisteröidylle antamassaan päätöksessä.
iii) Rekisterinpitäjälle ei anneta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaista määräystä noudattaa rekisteröidyn pyyntöä.
Perustelut
Rekisteröidyn oikeuden rajoittaminen
Tietosuojaa koskevan perusoikeuden rajoittamisessa on noudatettava Euroopan unionin perusoikeuskirjan 52 artiklan 1 kohdassa säädettyä, jonka mukaan perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla, ja kyseisten oikeuksien ja vapauksien olennaista sisältöä noudattaen.
Yleisen tietosuoja-asetuksen johdanto-osan kappaleen 4 mukaisesti oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin.
Yleisen tietosuoja-asetuksen johdanto-osan kappaleen 73 mukaisesti tietoihin pääsyä koskevien rajoituksien hyväksyttävyydestä todetaan, että rajoituksia voidaan asettaa unionin oikeudessa tai jäsenvaltion lainsäädännössä siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia. Rajoitusten olisi oltava perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisia.
Huomioitaessa erityisesti EU:n perusoikeuskirjan 52 artiklan 1 kohdassa sekä yleisen tietosuoja-asetuksen johdanto-osan kappaleissa 4 ja 73 todettu, oikeus henkilötietojen suojaan ei ole ehdoton oikeus ja siten myös pääsyä tietoihin on välttämättömyyttä ja oikeasuhteisuutta koskevan periaatteen mukaisesti punnittava suhteessa muihin perusoikeuksiin.
Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä 1 kohdassa määritellyt tiedot. Oikeus saada pääsy tietoihin on siten pääsääntö.
Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan mukaisesti ja siinä asetettujen tarkoitusten toteuttamiseksi rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä voidaan kuitenkin lainsäädäntötoimenpiteellä rajoittaa 15 artiklassa, siltä osin kuin sen säännökset vastaavat 15 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide.
Yleisen tietosuoja-asetuksen 23 artiklan 1 kohta ei itsessään oikeuta rekisterinpitäjää kieltäytymään toteuttamasta rekisteröidyn oikeuksia ja siten myös pääsyä tietoihin, vaan kyseinen lainkohta mahdollistaa vain asiasta säätämisen kansallisella jäsenvaltion lainsäädäntötoimenpiteellä.
Yllä todettuun viitaten Suomen kansallisessa tietosuojalaissa on tarkennettu yleisen tietosuoja-asetuksen säännöksiä siltä osin kuin asetuksessa on annettu kansallista liikkumavaraa.
Tietosuojalain 34 §:n 1 momentissa on säädetty rajoitusperusteista niitä tilanteita varten, jolloin rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin. Tietosuojalain 34 §:n 1 momentin mukaan rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin, jos: 1) tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä; 2) tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille; tai 3) henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi.
Hallituksen esityksessä eduskunnalle EU:n yleistä tietosuoja-asetusta täydentäväksi lainsäädännöksi (HE 9/2018 vp, s. 118) todetaan tietosuojalain 34 §:ää koskien, että pykälässä säädettäisiin niistä edellytyksistä, joilla rekisteröidyn oikeutta tutustua hänestä kerättyihin tietoihin voitaisiin rajoittaa. Kyseisen hallituksen esityksen mukaan 34 §:n 1 momentissa säädettäisiin niistä tilanteista, joissa rekisteröidyllä ei olisi 15 artiklassa tarkoitettua oikeutta tutustua tietoihin, joita hänestä on kerätty. Rekisterinpitäjä on antamassaan päätöksessä sekä toimittamassaan selvityksessä selkeästi viitannut perusteluissaan tietosuojalain 34 §:ään ja sen mahdollistamiin rajoitusperusteisiin tietoihin pääsyä koskien.
Rekisterinpitäjä tuo selvityksessään esille, että Harmaan talouden selvitysyksiköstä ja sen tehtävistä säädetään Harmaan talouden selvitysyksiköstä annetussa laissa. Rekisterinpitäjä tuo vastauksessaan myös esille, että Harmaan talouden selvitysyksiköstä annetun lain 1 §:n mukaan selvitysyksikön tehtävänä on edistää harmaan talouden torjuntaa tuottamalla ja jakamalla tietoa harmaasta taloudesta ja sen torjunnasta sekä laatia viranomaiselle velvoitteidenhoitoselvityksiä organisaatioista ja organisaatiohenkilöistä 6 §:ssä säädettyihin käyttötarkoituksiin. Rekisterinpitäjä laatii velvoitteidenhoitoselvityksen pyynnöstä lain 6 §:ssä säädettyihin käyttötarkoituksiin.
Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 1 momentin mukaan selvitysyksikkö saa luovuttaa velvoitteidenhoitoselvityksen vain selvitystä pyytäneelle viranomaiselle pyynnössä esitettyyn käyttöön. Hallituksen esityksessä eduskunnalle laeiksi Harmaan talouden selvitysyksiköstä sekä Verohallinnosta annetun lain 4 §:n muuttamisesta (HE 163/2010 vp, s. 25) todetaan 11 §:n 1 momenttia koskien seuraavaa:
”Velvoitteidenhoitoselvityksen luovutus ja käyttäminen. Pykälässä säädettäisiin selvitysyksikön oikeudesta ja velvollisuudesta luovuttaa laadittu velvoitteidenhoitoselvitys.
Pykälän 1 momentin mukaan selvitysyksikkö olisi oikeutettu luovuttamaan velvoitteidenhoitoselvityksen vain sitä pyytäneelle viranomaiselle siihen käyttöön, johon sitä on pyydetty. Selvitystä ei saisi luovuttaa muuhun käyttöön.”
Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 3 momentin mukaan tiedon antamisesta selvityksestä muuhun tarkoitukseen päättää selvitystä pyytänyt viranomainen. Hallituksen esityksessä eduskunnalle laeiksi Harmaan talouden selvitysyksiköstä sekä Verohallinnosta annetun lain 4 §:n muuttamisesta (HE 163/2010 vp, s. 26) todetaan 11 §:n 3 momenttia koskien seuraavaa:
”Pykälän 3 momentin mukaan selvitysyksikkö ei olisi oikeutettu arvioimaan ja luovuttamaan selvitystä tai siinä olevia tietoja muuhun tarkoitukseen, vaan tiedon antamisesta päättäisi selvitystä pyytänyt viranomainen. Selvitys on saatettu pyytää ja laatia esimerkiksi tukipäätöksen arviointia varten, jolloin tukea myöntävä viranomainen arvioi velvoitteidenhoitoselvityksessä olevan tiedon antamisesta muuhun käyttöön asiaan liittyvien salassapitosäännösten mukaisesti. Selvitystä pyytänyt viranomainen arvioi selvityksen toimittamista selvityksen kohteena olevalle organisaatiolle tai organisaatiohenkilölle. Myös näissä tilanteissa on huomioitava voimassa olevat salassapitosäännökset, joita ei ehdoteta tässä esityksessä muutettaviksi. Selvitystä pyytäneen viranomaisen hallussa olevan velvoitteidenhoitoselvityksen julkisuuteen sovellettaisiin voimassa olevia säännöksiä. Jos tieto olisi selvitystä pyytäneellä viranomaisella julkinen, olisi se selvitysyksikön laatimassa selvityksessä samojen säännösten perusteella julkinen. Vastaavasti, jos tieto ei ole salassapitosäännösten perusteella julkinen, ei tieto tule julkiseksi selvitystä pyytäneellä viranomaisella selvitysyksikön laatiman selvityksen perusteella.”
Harmaan talouden selvitysyksiköstä annetun lain 11 §:n § 1 ja 3 momentit ovat pysyneet muuttumattomina lain soveltamisesta alkaen.
Harmaan talouden selvitysyksiköstä annetun lain 13 §:n 1 momentin mukaan asiakirjojen ja tietojen julkisuudesta säädetään viranomaisten toiminnan julkisuudesta annetussa laissa. Lain 13 §:n 2 momentin mukaan ilmiöselvitysten laatimiseksi saadut tiedot, velvoitteidenhoitoselvitykset ja niiden laatimiseksi saadut tiedot sekä ilmiöselvityksiä ja velvoitteidenhoitoselvityksiä koskevat pyynnöt ovat selvitysyksikössä salassa pidettäviä. Hallituksen esityksessä eduskunnalle laeiksi Harmaan talouden selvitysyksiköstä sekä Verohallinnosta annetun lain 4 §:n muuttamisesta (HE 163/2010 vp, s. 26–27) todetaan 13 §:ää koskien seuraavaa:
” Asiakirjojen ja tietojen julkisuus. Pykälän 1 momentin mukaan selvitysyksikön tietoihin ja asiakirjoihin sovellettaisiin lähtökohtaisesti viranomaistoiminnan julkisuudesta annettua lakia. Tällä perusteella pääsääntönä pidettäisiin asiakirjojen julkisuutta. Vastaavasti lain salassapitovelvoitteet koskisivat selvitysyksikössä olevia asiakirjoja.
Pykälän 2 momentissa säädettäisiin poikkeuksesta 1 momentissa säädettyyn. Viranomaistoiminnan julkisuudesta annetusta laista poiketen selvitysyksikön ilmiöselvityksen laatimiseksi hankkimat tiedot olisivat selvitysyksikössä selvitysyksikön tietoina aina salassa pidettäviä. Ainoastaan tietojen perusteella laadittu ilmiöselvitys olisi 1 momentin pääsäännön mukaan julkinen viranomaistoiminnan julkisuudesta annetun lain perusteella.
Vastaavasti velvoitteidenhoitoselvitykset ja niiden laatimiseksi saadut tiedot säädettäisiin salassa pidettäviksi. Säännöksen mukaan selvitysyksikön velvoitteidenhoitoselvityksen laatimiseksi saamat tiedot ja velvoitteidenhoitoselvitys olisivat selvitysyksikön asiakirjoina aina salassa pidettäviä. Selvitysyksikkö voisi luovuttaa ainoastaan 11 §:n mukaisesti velvoitteidenhoitoselvityksen ja sen perusteena olevat tiedot selvitystä pyytäneelle viranomaiselle. Tässä luovutettavat tiedot olisivat sellaisia tietoja, joita selvitystä pyytänyt viranomainen olisi oikeutettu saamaan suoraan omien tiedonsaantivaltuuksiensa perusteella. Selvitystä pyytänyt viranomainen arvioisi omien salassapitosäännöstensä nojalla velvoitteidenhoitoselvityksessä olevien tietojen antamista muuhun käyttöön 11 §:n mukaisesti. Näin tiedonsaantioikeus määräytyisi velvoitteidenhoitoselvitystä pyytänyttä viranomaista koskevien säännösten perusteella.”
Rekisterinpitäjä on selvityksessään kertonut, että velvoitteidenhoitoselvitys muodostuu selvitysyksikön järjestelmässä automaattisesti, eikä se sisällä muita kuin kyseisen viranomaisen kanssa ennalta sovittuja tietoja sellaisena kuin ne ovat alkuperäisessä rekisterissä. Rekisterinpitäjä on selvityksessään kertonut, ettei se myöskään sisällä mitään selvitysyksikön itse tekemiä arvioita taikka analyysejä. Rekisterinpitäjä on selvityksessään vedonnut suoraan soveltuvaan kansalliseen lakiin ja on kertonut vastauksessaan omaksi rooliksi tiedon välittäjänä toimisen viranomaisrekisterien ja niitä pyytävien viranomaisten välillä ilman muuta omaa käyttötarkoitusta tiedolle. Rekisterinpitäjän vastauksesta käy apulaistietosuojavaltuutetun näkemyksen mukaan selvästi ilmi Harmaan talouden selvitysyksiköstä annetussa laissa ja kyseistä lakia koskevassa hallituksen esityksessä (HE 163/2010 vp) todettu rekisterinpitäjän rajattu rooli sekä rekisterinpitäjän tietojen rajattu käsittelytarkoitus lakisääteisten tehtävien hoidon osalta.
Rekisterinpitäjän selvityksen perusteella rekisteröidylle ei voi antaa edes osaa tiedoista, koska tietojen antaminen voisi vaarantaa Harmaan talouden selvitysyksiköstä annetussa laissa sille lain 1 §:ssä säädetyt tehtävät. Rekisteröidyn oikeuksien ja rekisterinpitäjän lakisääteisten velvoitteiden yhteensovittaminen ei ole rekisterinpitäjän selvityksen perusteella mukaan mahdollista. Apulaistietosuojavaltuutetun näkemyksen mukaan rekisterinpitäjä tuo selvityksessään riittävästi esille, että tietojen antamisella saattaisi aiheutua riski, jonka johdosta rekisterinpitäjä ei anna rekisteröidylle pääsyä omiin tietoihin.
Kuten edellä on todettu, rekisterinpitäjä on ilmaissut selvityksessään, ettei sillä ole ollut oikeutta eikä mahdollisuutta arvioida sitä, milloin velvoitteidenhoitoselvityksellä on annettu tietoja sellaista tarkoitusta varten tai sellaisessa tilanteessa, jossa tiedot vastaanottanut viranomainen kieltäytyisi antamasta tietoja tietosuojalain 34 §:n mukaisella perusteella.
Tämä todettu rekisterinpitäjän näkemys on myös apulaistietosuojavaltuutetun näkemyksen mukaan johdettavissa suoraan Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 1 ja 3 momentista. Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 1 momentin mukainen rajoitus velvoitteidenhoitoselvityksen luovuttamisesta vain selvitystä pyytäneelle viranomaiselle pyynnössä esitettyyn käyttöön sekä 11 §:n 3 momentin kirjaus siitä, että tiedon antamisesta selvityksestä muuhun tarkoitukseen päättää selvitystä pyytänyt viranomainen, on yleisen tietosuoja-asetuksen 23 artiklan sekä tietosuojalain 34 §:n mahdollistama kansallisesti säädetty poikkeus yleisen tietosuoja-asetuksen 15 artiklan mukaisen oikeuden toteutumisen osalta. Apulaistietosuojavaltuutetun näkemyksen mukaan rekisterinpitäjä on rekisteröidylle antamassaan päätöksessä siten myös perustellut kieltäytymisensä syyt yleisen tietosuoja-asetuksen 12 artiklan 4 kohdan edellyttämällä tavalla.
Apulaistietosuojavaltuutettu toteaa, että asiaan sovellettavan edellä todetun lainsäädännön perusteella muunlainen toiminta, kuin se, että rekisterinpitäjä ohjaa rekisteröidyn olemaan yhteydessä Harmaan talouden selvitysyksiköstä annetun lain 6 §:ssä määriteltyihin viranomaisiin, vaarantaisi tai voisi vaarantaa Harmaan talouden selvitysyksiköstä annetun lain 1 §:n mukaisen tehtävän ja lisäksi edellä lain 6 §:ssä tarkoitettujen viranomaisten lakisääteiset tehtävät. Pelkkä tieto käsitellyistä tiedoista ja käyttötarkoituksesta tai tieto, ettei rekisteröidyn tietoja ole käsitelty voisi vaarantaa lakisääteisten tehtävien toteutumisen. Apulaistietosuojavaltuutetun näkemyksen mukaan muunlainen toimintatapa voisi tosiasiassa vaarantaa viranomaisten välisen tiedonvaihdon tukemisen. Rekisterinpitäjän toimintatavalla varmistetaan se, että tietoihin pääsyä koskeva riskiarviointi säilyy sillä viranomaisella, jolla on tosiasiallinen valmius ja lakisää-teinen velvollisuus sekä kyky arvioida rekisteröidylle mahdollisesti annettavan tiedon tai antamatta jätettävän tiedon vaikutusta.
Rekisterinpitäjä on niin ikään todennut, että selvitysyksikkö on yhdessä velvoitteidenhoitoselvityksen pyytämiseen oikeutettujen viranomaisten kanssa päätynyt ratkaisuun, jossa se ei anna tietoja laadituista velvoitteidenhoitoselvityksistä taikka tahoista, jotka ovat velvoitteidenhoitoselvitystä pyytäneet. Rekisterinpitäjä on todennut, ettei sillä ole oikeutta eikä mahdollisuutta arvioida sitä, milloin velvoitteidenhoitoselvityksellä on annettu tietoja sellaista tarkoitusta varten tai sellaisessa tilanteessa, jossa tiedot vastaanottanut viranomainen kieltäytyisi antamasta tietoja tietosuojalain 34 §:n mukaisella perusteella. Apulaistietosuojavaltuutetun näkemyksen mukaan yleisen tietosuoja-asetuksen 15 artiklan mukaisen rekisteröidyn oikeuden (pääsy tietoihin) käsittely on siten mahdollista toteuttaa rekisterinpitäjän esittämän mukaisesti. Selvyydeksi apulaistietosuojavaltuutettu toteaa, että kahdenvälisillä sopimuksilla tai viranomaisten keskenään sopimilla toimintatavoilla ei voida pätevästi rajoittaa yleisen tietosuoja-asetuksen mukaisia rekisteröidyn oikeuksia, vaan rajoittamisen tulee aina perustua vähintään lakitasoiseen säädökseen.
Yllä todetun perusteella apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjällä on ollut oikeus kieltäytyä yleisen tietosuoja-asetuksen 15 artiklan mukaisesta rekisteröidyn oikeudesta saada pääsy tietoihin tietosuojalain 34 §:n 1 momentin sekä Harmaan talouden selvitysyksiköstä annetun lain 11 §:n 1 ja 3 momenttien perusteella.
Rekisteröidyn oikeuksien helpottaminen
Tietosuojalain 34 §:n 3 momentin mukaan rekisteröidylle on ilmoitettava rajoituksen syyt, ellei tämä vaaranna rajoituksen tarkoitusta. Hallituksen esityksessä eduskunnalle EU:n yleistä tietosuoja-asetusta täydentäväksi lainsäädännöksi (HE 9/2018 vp, s. 119) todetun mukaisesti tietosuojalain 34 §:n 3 momentin mukaan:
”Tämä vastaisi yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan h alakohtaa. Tällä varmistettaisiin henkilötietojen läpinäkyvä käsittely ja rekisteröidyn oikeus saada yleisellä tasolla tietoa hänestä kerättyihin tietoihin koskevasta rajoituksesta. On kuitenkin mahdollista, että toisinaan jo pelkän yleisemmän tason tiedon antaminen voisi vaarantaa rajoituksen tarkoituksen. Tällaisessa tilanteessa rekisterinpitäjällä ei olisi velvollisuutta kertoa rajoituksen syistä.”
Tässä tarkasteltavassa asiassa rekisterinpitäjä on selvityksessään ja rekisteröidylle antamassaan päätöksessä katsonut, ettei sillä ole ollut oikeutta eikä mahdollisuutta arvioida, milloin velvoitteidenhoitoselvityksellä on annettu tietoja sellaista tarkoitusta varten tai sellaisessa tilanteessa, jossa tiedot vastaanottanut viranomainen kieltäytyisi antamasta tietoja tietosuojalain 34 §:n mukaisella perusteella. Rekisterinpitäjä on päätöksessä ohjannut rekisteröityä esittämään omien tietojen tarkastusta koskevan pyynnön sellaiselle viranomaiselle, jolla on harmaan talouden selvitysyksiköstä annetun lain 6 §:n perusteella oikeus pyytää velvoitteidenhoitoselvitys.
Yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaan rekisterinpitäjän on helpotettava 15 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Tässä tarkasteltavassa asiassa rekisterinpitäjä on luetellut rekisteröidylle antamassaan päätöksessä velvoitteidenhoitoselvityksen pyytämiseen oikeutetut viranomaiset yhteystietoineen, jotta rekisteröity voi olla itse yhteydessä nimettyihin viranomaisiin pyytääkseen yleisen tietosuoja-asetuksen 15 artiklan mukaista pääsyä tietoihin. Apulaistietosuojavaltuutettu toteaa asiassa sovellettava lainsäädäntö huomioiden näkemyksenään pitävänsä kyseistä rekisterinpitäjän toimintatapaa yleisen tietosuoja-asetuksen 12 artiklan 2 kohdan mukaisena. Apulaistietosuojavaltuutetun näkemyksen mukaan tässä tarkasteltavassa asiassa rekisterinpitäjän kyseinen toimintatapa on hyväksyttävä keino helpottaa yleisen tietosuoja-asetuksen 15 artiklan mukaisen oikeuden toteutumista.
Yllä todetun perusteella apulaistietosuojavaltuutettu katsoo, että rekisterinpitäjä on voinut ohjata rekisteröidyn pyytämään saada pääsy omiin tietoihinsa niiltä viranomaisilta, joilla on Harmaan talouden selvitysyksiköstä annetun lain 6 §:n perusteella oikeus pyytää velvoitteidenhoitoselvitys, ja jotka se on luetellut rekisteröidylle antamassaan päätöksessä.
Muutoksenhaku
Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään valitusosoituksessa mainittuun hallinto-oikeuteen.
Tiedoksianto
Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.
Asian on esitellyt ylitarkastaja Jussi Vaanola.
Asian on ratkaissut apulaistietosuojavaltuutettu Annina Hautala.
Päätös on lainvoimainen.