01.03.1993 12/1993

Luovuttaminen ulkomaille - Tietosuojasopimus

Tietosuojalautakunta myönsi Mailer Oy:lle määräaikaisen luvan luovuttaa henkilötietoja ulkomaille. Lupa ei ollut tarpeen siltä osin kuin oli kysymys luovutuksesta Tanskaan, joka oli liittynyt yksilöiden suojelua henkilötietojen automaattisessa tietojenkäsittelyssä koskevaan yleissopimukseen (Euroopan neuvoston tietosuojasopimus).

Ks. myös 13/22.5.1989.

ASIA
Henkilötietojen ulkomaille luovuttamista koskeva lupahakemus.

HAKIJA
Mailer Oy

HAKEMUS
Hakija pyytää lupaa toistuvasti luovuttaa tietoja ulkomaille ylläpitämästään H-rekisteri nimisestä henkilörekisteristä suoramarkkinointitarkoitukseen.

Luovutettavat tiedot:

* Ammatti tai titteli,
* etu- ja sukunimi sekä
* lähi-ja postiosoite.

Muut rekisterissä olevat tiedot voivat olla tulostuksen valintaperusteina, mutta ne eivät sisälly tulostettavaan aineistoon.

Luovutuksen muoto:

osoitelipukkeet, osoitetarrat , magneettinen tietoväline.

Luovutuksen kohdemaat:

Belgia, Hollanti, Italia, Kanada, Sveitsi, Tanska ja
Yhdysvallat.

Luovutuksen edellytyksenä on saajan allekirjoituksella vahvistettu sitoumus noudattaa luovutukseen liittyviä ohjeita.

Rekisterissä tai sen käyttötavassa ei ole tapahtunut muutoksia edellisen luvan (13/22.5.1989) myöntämisen jälkeen.

KUULEMINEN

Tietosuojalautakunta on pyytänyt asiasta tietosuojavaltuutetun lausunnon, joka on saatu 20.1.1993. Lausunnossaan tietosuojavaltuutettu on puoltanut hakemuksen mukaisen luvan myöntämistä eräin lupaehtoja koskevin täsmennyksin.

TIETOSUOJALAUTAKUNNAN PÄÄTÖS JA PERUSTELUT

Henkilötietojen luovuttamisesta ulkomaille on säädetty henkilörekisterilain 22 §:ssä ja henkilörekisteriasetuksen 13 §:ssä. Näiden pykälien perusteella henkilörekisterissä olevien tai sitä varten kerättyjen tietojen luovuttaminen hakemuksessa tarkoitettuihin valtioihin voi edellyttää tietosuojalautakunnan lupaa.

Henkilörekisterilain 22 §:n 1 momentin mukaan henkilörekisterissä olevia tai sitä varten kerättyjä henkilötietoja saa massaluovutuksena tai arkaluonteisena otantana luovuttaa ilman tietosuojalautakunna lupaa tai rekisteröidyn suostumusta taikka toimeksiantoa sellaiseen maahan, jonka lainsäädäntö vastaa tämän lain säännöksiä. Näistä maista säädetään tarkemmin asetuksella. Henkilörekisterilain 13 §:n maaluettelossa ei ole mainittu hakemuksessa lueteltuja maita.

Euroopan Neuvoston yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (SopS:36/1992) on tullut Suomen osalta voimaan 1.4.92 (laki 269/1992 ja asetus 270/1992). Tanskan osalta mainittu tietosuojasopimus on tullut voimaan 1.2.1990. Kyseisen sopimuksen 12 artiklan 2. kohdan mukaan yksinomaan yksityisyyden suojelemiseksi ei saa kieltää henkilötietojen luovuttamista toisen sopimuspuolen alueelle tai vaatia erityistä lupaa tähän. Saman artiklan 3. kohta kuitenkin sallii poikkeamisen edellä sanotusta määräyksestä, jos tietoja luovuttavan sopimuspuolen lainsäädäntö sisältää erityissäännöksiä tietyistä henkilötietojen tai automaattisesti käsiteltävien henkilörekisterien ryhmistä. Tällaista oikeutta poikkeamiseen ei kuitenkaan ole, jos vastaanottajamaan lainsäädäntö tarjoaa vastaavan suojan. Sekä Suomen että Tanskan lainsäädäntö sisältää erityissäännöksiä suoramarkkinointiin käytettävistä rekistereistä. Tanskan lainsäädäntö tarjoaa tältäkin osin vastaavan suojan kuin Suomen lainsäädäntö, joten mainitusta 12 artiklasta johtuen henkilötietojen luovutukselle Suomesta Tanskaan ei voida vaatia lupaa. Näin ollen tietosuojalautakunta hylkää hakemuksen tarpeettomana siltä osin kuin on kysymys luovutuksesta Tanskaan.

Henkilörekisterilain 22 §:n 2 momentissa on säädetty, että lupa voidaan myöntää, jos on ilmeistä, että luovutus ei luovutettavien henkilötietojen määrä, laatu ja käyttötarkoitus sekä suoritettavat suojaustoimet huomioon ottaen vaaranna rekisteröidyn yksityisyyden suojaa tai loukkaa hänen etujaan tai oikeuksiaan taikka vaaranna valtion turvallisuutta.

Tietosuojalautakunta katsoo, että hakemuksessa tarkoitetut luovutukset ovat laadultaan henkilörekisterilaissa tarkoitettuja massaluovutuksia ja edellyttävät muutoin kuin Tanskan osalta siten tietosuojalautakunnan lupaa.

Tietosuojalautakunta myöntää Mailer Oy:lle luvan hakemuksen mukaiseen henkilötietojen luovuttamiseen seuraavin rekisteröityjen henkilöiden tietosuojan varmistamiseksi asetettavin lupaehdoin:

1. Luvansaajan tulee tiedottaa kullekin rekisteröidylle
kirjallisesti tai muulla tietosuojavaltuutetun
hyväksymällä tavalla siitä, että rekisteröityä
koskevia tietoja aiotaan luovuttaa ulkomaille.
Luvansaajan tulee ilmoittaa tietosuojavaltuutetulle,
miten se on tämän velvollisuutensa
täyttänyt.

2. Luvansaajan tulee ennen tietojen luovuttamista
hankkia luovutuksensaajilta kirjalliset sitoumukset
olla luovuttamatta henkilötietoja edelleen.

3. Luvansaajan tulee ennen tietojen luovuttamista
hankkia luovutuksensaajilta kirjalliset sitoumukset
siitä, että suoramarkkinoinnissa, jota
varten henkilötietoja on luovutettu, ilmoitetaan
tiedonhankinnassa käytetyn suomalaisen henkilörekisterin
nimi, rekisterinpitäjä ja tämän osoite.

4. Luvansaajan tulee ilmoittaa kustakin luovutuksesta
ennakolta tietosuojavaltuutetulle. Ilmoitus
on tehtävä vähintään viikkoa ennen tietojen
luovuttamista.

Lupaehtojen perustelut:

1. Henkilörekisterilain 18 §:n 2 momentissa on säädetty,
että mm. suoramainontaa varten saa luovuttaa
henkilötietoja, jollei rekisteröity ole
kieltänyt tietojen luovuttamista ja jos on ilmeistä,
että rekisteröity tietää henkilötietojen
tällaisesta luovuttamisesta. Tietosuojalautakunta
täsmentää asettamallaan lupaehdolla kyseisen
pykälän säätämää velvollisuutta.

2. Lupaehdolla pyritään siihen, ettei ulkomaille
luovutettuja henkilötietoja luovuteta edelleen,
eikä sellaiseen tarkoitukseen, jota varten lupaa
ei ole myönnetty.

3. Henkilörekisterilain 24 §:n 2 momentissa on säädetty,
että mm. suoramarkkinoinnissa, jota varten
henkilön nimi- ja osoitetiedot on hankittu
henkilörekisteristä, on ilmoitettava tiedonhankinnassa
käytetyn henkilörekisterin nimi, rekisterinpitäjä
ja tämän osoite. Lupaehdon tarkoituksena
on turvata tämän säännöksen toteutuminen
myös ulkomailta Suomeen kohdistuvassa suoramarkkinoinnissa.

4. Lupaehdon tarkoituksena on turvata tietosuojaviranomaisten
mahdollisuus valvoa lupaehtojen noudattamista.

Asetetut lupaehdot huomioon ottaen tietosuojalautakunta katsoo, että on ilmeistä, että luovutus ei luovutettavien henkilötietojen määrä, laatu ja käyttötarkoitus sekä suoritettavat suojaustoimet huomioon ottaen vaaranna rekisteröidyn yksityisyyden suojaa tai loukkaa hänen etujaan tai oikeuksiaan taikka vaaranna valtion turvallisuutta.

LUVAN MÄÄRÄAIKAISUUS

Lupa myönnetään määräaikaisena olemaan voimassa vuoden 1996 loppuun.

Lupa myönnetään määräaikaisena, jotta voidaan seurata lupaehtojen riittävyyttä ja tarpeellisuutta.

SOVELLETUT SÄÄNNÖKSET

Suomen Hallitusmuoto 92 § 2 mom
Henkilörekisterilaki 22 §
Henkilörekisterilaki 18 § 2 mom
Henkilörekisterilaki 24 § 2 mom
Henkilörekisteriasetus 12 §
Henkilörekisteriasetus 13 §
Laki yksilöiden suojelua henkilötietojen automaattisessa
tietojenkäsittelyssä koskevan yleissopimuksen eräiden
määräysten hyväksymisestä
Asetus yksilöiden suojelua henkilötietojen automaattisessa
tietojenkäsittelyssä koskevan yleissopimuksen voimaansaattamisesta
sekä yleissopimuksen eräiden määräysten hyväksymisestä
annetun lain voimaantulosta
Yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa
tietojenkäsittelyssä 12 artikla

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.