02.06.1997 14/1997

Tarpeellisuusvaatimus - Yhteysvaatimus - Arkaluonteinen tieto - Yhdistäminen - Toimeksiantoluovutus - Massaluovutus

Videokauppiasliiton jäsenyrityksillä oli oikeus ilman poikkeuslupaa kerätä ja tallettaa asiakasrekistereihin sellaisten asiakkaiden henkilötunnukset, joilla oli vuokralla video tai muu vuokrattava tuote. Poikkeuslupahakemus muiden asiakkaiden henkilötunnusten keräämiseen ja tallettamiseen hylättiin. Videovuokraamoille myönnettiin poikkeuslupa kerätä ja tallettaa tietoja kunkin videovuokraamon pitämälle omalle sulkulistalle. Hakemus videovuokraamojen sulkulistojen yhdistämisestä ja sulkulistojen luovuttamisesta muille videokauppiasliiton jäsenille hylättiin.

ASIA
Henkilötietojen keräämistä, tallettamista,
yhdistämistä ja luovuttamista koskeva
poikkeuslupahakemus

HAKIJA
Videokauppiasliitto

HAKEMUS
Hakija pyytää jäsenyritystensä puolesta lupaa

1) saada käyttää henkilötunnusta liittoon kuuluvien
videovuokraamoiden asiakasrekistereissä,

2) luovuttaa asiakasrekisterien tietoja High Tech
Credit Service Oy:lle (myöhemmin HTC Oy) saatavien
perintää ja sulkulistan pitämistä varten, ja

3) luovuttaa sulkulista liiton jäsenille, joko
telekopioimalla tai postitse.

Hakija on antanut tietosuojalautakunnalle suullista
lisäselvitystä ja 27.5.197 päivätyn kirjallisen
lisäselvityksen.

Hakija katsoo, että henkilötunnuksen käyttö on
äärimmäisen tärkeää asiakasrekisterin ylläpidossa,
koska samannimisiä henkilöitä on vuokraamoiden
asiakkaina kymmeniä, ellei satoja. Epärehellisten
vuokraajien löytäminen kadonneen tavaran
poissaamiseksi helpottuu huomattavasti, jos esim.
rikosilmoitusta tehtäessä on nimen ja osoitteen
lisäksi tiedossa henkilötunnus. Henkilötunnuksen
käyttö rikosilmoituksen ja mahdollisen
ulosmittauksen yhteydessä on välttämätöntä, ettei
vahinkoja pääsisi tapahtumaan saman nimisten
henkilöiden kohdalla.

Hakemuksen mukaan liiton jäsenyrityksillä on
vuokraamotuotteita kateissa satojen tuhansien
markkojen arvosta. Lisäksi sakkoja ja vuokria on
jäänyt saamatta satoja tuhansia markkoja. Myös
videovuokraamoiden tietokoneohjelmat perustuvat
pitkälti henkilötunnuksen käyttöön.

Asiakasrekistereihin sisältyy vuokraustapahtumien
lisäksi seuraavat tiedot: nimi, osoite,
puhelinnumero ja henkilötunnus. Asiakasrekistereitä
pidetään sekä atk:n avulla että manuaalisesti.
Videoiden lisäksi videovuokraamot vuokraavat
Nintendo- ja Segapelejä.

HTC Oy:lle halutaan luovuttaa perintää ja
sulkulistan pitämistä varten kaikki
asiakasrekisteriin merkityt tiedot asianomaisesta
henkilöstä. Kukin videovuokraamo pitää myös omaa
sulkulistaansa. Sulkulistoille kerätään tietoja
henkilöistä, jotka eivät ole lainkaan palauttaneet
lainaamiaan vuokraamotuotteita. Asiakas joutuu
sulkulistalle vasta poliisille menevän
tutkintapyynnön yhteydessä.

Hakijan antaman selvityksen mukaan
Videokauppaliitolla on pitkälti toista sataa
jäsentä jakaantuneena pääosin Etelä-Suomen
alueelle.

TIETOSUOJALAUTAKUNNAN PÄÄTÖS JA PERUSTELUT

1. Henkilötunnusten kerääminen ja tallettaminen videovuokraamoiden asiakasrekistereihin

Asiakasrekisterin tietosisältö

Videovuokraamoiden asiakasrekistereihin talletetaan
vuokraustapahtumien lisäksi vuokraajien nimi-,
osoite-, puhelinnumero- ja henkilötunnustiedot.
Mainittujen rekisterien tietosisältöä ei ole
säännelty erikseen, joten rekisterin tietosisällön
lainmukaisuus määräytyy henkilörekisterilakiin
sisältyvien tietojen keräämistä ja tallettamista
koskevien yleisten säännösten perusteella.

Tarpeellisuusvaatimus

Henkilörekisterilain 5 §:n 2 momentin mukaan
henkilörekisteriin saa tallettaa vain sellaisia
henkilötietoja, jotka ovat rekisterin
käyttötarkoituksen kannalta tarpeellisia.

Tarpeellisuusvaatimus määrittelee sen, millaisia
tietoja rekisteriin saa tallettaa. Rekisteriin
otettavien henkilötietojen tulee olla rekisterinpitäjän
hallinnon ja toiminnan kannalta asiallisesti perusteltuja
yleisen mittapuun mukaan arvioituna.

Lisäksi tulee ottaa huomioon, että
henkilörekisterilain 1 §:n mukaan lain
tarkoituksena on suojella rekisteröidyn henkilön
yksityisyyttä sekä hänen etujaan ja oikeuksiaan.
Merkitystä on myös henkilörekisterilain 3 §:llä,
jonka mukaan rekisterinpitäjän on henkilötietoja
kerättäessä, talletettaessa, käytettäessä ja
luovutettaessa noudatettava huolellisuutta ja hyvää
rekisteritapaa sekä toimittava muutoinkin niin,
ettei rekisteröidyn yksityisyyden suojaa taikka
hänen etujaan ja oikeuksiaan perusteettomasti loukata.

Henkilötunnuksen käyttötarkoitus

Videovuokraamoiden asiakasrekisterien
käyttötarkoitukseksi on katsottava vuokrauksen
valvonnan hoitaminen. Saadun selvityksen mukaan
henkilötunnustietoa käytetään asiakkaan luotettavan
yksilöinnin varmistamiseksi tilanteissa, joissa asiakas
jättää palauttamatta vuokraamansa videon tai laitteen.

Päätös

Hakijoiden toiminta perustuu videoiden ja muiden
laitteiden vuokraukseen, jossa vuokrattavien
esineiden palauttamatta jättäminen on saadun
selvityksen mukaan suhteellisen yleistä.
Tietosuojalautakunta katsoo, että henkilötunnusten
keräämistä ja tallettamista hakijoiden
asiakasrekistereihin voidaan pitää tarpeellisena
perimistoimenpiteiden kohdentamiseksi. Tämän vuoksi
hakijat eivät tarvitse poikkeuslupaa sellaisten
asiakkaiden henkilötunnusten keräämiseen ja
tallettamiseen, joilla on vuokralla video tai muu
vuokrattava tuote.

Tietosuojalautakunta hylkää hakemuksen tältä osin
tarpeettomana.

Sen sijaan tietosuojalautakunta katsoo, että
henkilötunnusten keräämistä ja tallettamista ei
voida pitää henkilörekisterilain 5 §:n 2 momentin
tarkoittamalla tavalla tarpeellisena siltä osin,
kuin kysymys on asiakkaista, joilla ei ole mitään
tuotetta vuokralla. Tämän vuoksi hakijat
tarvitsevat henkilörekisterilain 37 §:ssä
tarkoitetun poikkeusluvan näiden henkilöiden
henkilötunnusten keräämiseen ja tallettamiseen.

Henkilörekisterilain 37 §:ssä tarkoitettu
poikkeuslupa voidaan myöntää vain painavasta syystä
ja edellyttäen, että rekisteröidyn yksityisyyden
sekä hänen etujensa ja oikeuksiensa ja valtion
turvallisuuden vaarantuminen voidaan estää.

Tietosuojalautakunta katsoo, ettei ole painavaa
syytä myöntää hakijalle poikkeuslupaa kerätä ja
tallettaa sellaisten asiakkaiden henkilötunnuksia,
joilla ei ole vuokralla mitään tuotetta.

Tämän vuoksi tietosuojalautakunta hylkää hakemuksen
tältä osin.

2. Henkilötietojen kerääminen ja tallettaminen sulkulistaa varten

Rekisterinpitäjä

Rekisterinpitäjällä tarkoitetaan henkilörekisterilain
2 §:ssä henkilöä, yhteisöä tai säätiötä, jonka käyttöä
varten henkilörekisteri perustetaan ja jolla on oikeus
määrätä henkilörekisterin käytöstä.

Tietosuojalautakunta katsoo, että kukin videovuokraamo
olisi oman sulkulistansa henkilörekisterilain 2 §:n
3 kohdassa tarkoitettu rekisterinpitäjä.

Yhteysvaatimus

Henkilörekisterilain 5 §:n 1 momentin mukaan
henkilörekisteriin merkittäviksi saa kerätä ja
rekisteriin tallettaa ilman rekisteröidyn
suostumusta tai tietosuojalautakunnan lupaa tietoja
vain sellaisista henkilöistä, joilla asiakas- tai
palvelussuhteen, jäsenyyden tai muun niihin
verrattavan suhteen vuoksi on asiallinen yhteys
rekisterinpitäjän toimintaan, jollei rekisterin
pitäminen johdu rekisterinpitäjälle säädetystä
taikka lain tai asetuksen nojalla määrätystä
tehtävästä (yhteysvaatimus).

Tietosuojalautakunta katsoo, että henkilörekisterilain
5 §:n 1 momentissa tarkoitettu yhteysvaatimus toteutuu
videovuokraamon ja rekisteröitävän välillä, koska
videovuokraamon palveluihin kohdistuneeseen väärinkäytökseen
epäillyn ja videovuokraamon välillä vallitsee
lainkohdassa tarkoitettu muu asiallinen yhteys, vaikkei
asiakassuhdetta enää olisikaan olemassa.
Yhteysvaatimus voi kuitenkin katketa esimerkiksi
sen jälkeen kun asia on ratkaistu tuomioistuimen
lainvoimaisella päätöksellä ja mahdollinen saatava
on suoritettu.

Henkilötietojen kerääminen ja tallettaminen
videovuokraamon sulkulistalle ei johdu
videovuokraamolle säädetystä taikka lain tai
asetuksen nojalla määrätystä tehtävästä. Koska
rekisteröitävät eivät myöskään ole antaneet
suostumustaan tietojensa tallettamiseen
videovuokraamon sulkulistalle, tarvitsevat hakijat
henkilörekisterilain 37 §:ssä tarkoitetun
poikkeusluvan yhteysvaatimuksesta siltä osin kuin
tietoja talletettaisiin henkilörekisterilain 5 §:n
1 momentissa tarkoitetun asiallisen yhteyden
katkeamisen jälkeen.

Arkaluonteiset tiedot

Arkaluonteisilla tiedoilla tarkoitetaan
henkilörekisterilain 6 §:n 2 momentin 3 kohdassa
henkilötietoja, jotka on tarkoitettu kuvaamaan muun
muassa rikollista tekoa. Rikollisella teolla
tarkoitetaan sellaista lainvastaista menettelyä,
josta on säädetty rangaistus.

Videovuokraamoiden sulkulistoille on tarkoitus
tallettaa asiakasrekisteriin sisältyvät tiedot
sellaisista henkilöistä, jotka eivät ole
palauttaneet vuokraamiaan videotuotteita
tapauksissa, joissa asiasta on tehty tutkintapyyntö
poliisille. Sulkulistalla oleva tieto kertoo siis,
että rekisteröity on videovuokraamon käsityksen
mukaan syyllistynyt rikolliseen tekoon.
Sulkulistalle kerättävät tiedot ovat näin ollen
rikollista tekoa koskevia eli arkaluonteisia
tietoja.

Arkaluonteisia henkilötietoja ei pääsääntöisesti
saa kerätä ja tallettaa ilman rekisteröidyn
kirjallista suostumusta tai tietosuojalautakunnan
poikkeuslupaa. Arkaluonteisten tietojen
rekisteröintikiellon poikkeuksista on säädetty
henkilörekisterilain 7 §:ssä. Koska hakijoilla ei
ole rekisteröitävien kirjallista suostumusta
tietojen keräämiseen ja tallettamiseen ja koska
muutkaan henkilörekisterilain 7 §:ssä säädetyt
edellytykset eivät täyty, tarvitsevat hakijat
henkilörekisterilain 37 §:ssä tarkoitetun
poikkeusluvan arkaluonteisten henkilötietojen
keräämiseen ja tallettamiseen.

Päätös

Tietosuojalautakunta katsoo, että sulkulistalle
kerättävillä tiedoilla voidaan jossain määrin
ennalta ehkäistä väärinkäytöksiä jo
vuokraussopimuksen tekovaiheessa.
Tietosuojalautakunta katsoo, että poikkeusluvan
myöntämiselle henkilötietojen keräämiseen ja
tallettamiseen kunkin videovuokraamon omalle
sulkulistalle on lain edellyttämä painava syy.

Tietosuojalautakunta myöntää hakijoille luvan
kerätä ja tallettaa hakemuksessa tarkoitettuja
tietoja kunkin videovuokraamon pitämälle omalle
sulkulistalle.

Lupamääräys

Rekisteröidyn yksityisyyden suojan sekä hänen
etujensa ja oikeuksiensa turvaamiseksi
tietosuojalautakunta määrää, että sulkulistalle
talletettu tieto on poistettava viimeistään 5
vuoden kuluttua rekisteröintihetkestä.

3. Asiakasrekisterin tietojen luovuttaminen HTC:lle perintää ja sulkulistan pitämistä varten

Toimeksiantoluovutus

Henkilörekisterilain 18 §:n 5 momentin mukaan
henkilötietojen luovuttamisena ei pidetä
henkilötietojen antamista rekisterinpitäjän
toimeksiannosta tapahtuvaa maksupalvelua,
tietojenkäsittelyä, postitusta tai muita niihin
verrattavia tehtäviä varten.

Tietojen antaminen toimeksiannosta tapahtuvaa
maksujen perimistä tai sulkulistan teknistä
ylläpitoa varten on siten sallittua, eivätkä
henkilörekisterilain luovutusta koskevat säännökset
tule sovellettaviksi. Tämän vuoksi hakijat eivät
tarvitse poikkeuslupaa asiakasrekisterin tietojen
luovuttamiseen HTC Oy:lle perintää ja sulkulistan
ylläpitoa varten.

Päätös

Tietosuojalautakunta hylkää hakemuksen tältä osin
tarpeettomana.

4. Sulkulistojen yhdistäminen ja videovuokraamon sulkulistan tietojen luovuttaminen muille Videokauppiasliiton jäsenille

Hakijoiden tarkoituksena on luovuttaa HTC Oy:lle
asiakasrekisterin tietoja sulkulistan perustamista
ja jatkuvaa ylläpitoa varten. Lisäksi pyydetään
lupaa perustettavan sulkulistan luovuttamiseen
liiton jäsenille, joko telekopioimalla tai
postitse. Kysymyksessä on henkilötietojen
(sulkulistojen) yhdistäminen ja videovuokraamoiden
sulkulistojen luovuttaminen muille liiton jäsenille.

Henkilörekisterien yhdistäminen

Henkilörekistereitä saa henkilörekisterilain 20 §:n
1 momentin mukaan yhdistää vain:

1) jos rekisteröity on antanut siihen
suostumuksensa tai tietosuojalautakunta luvan;
2) jos yhdistäminen johtuu välittömästi laissa
säädetystä tehtävästä ja rekisterinpitäjällä on
tätä tarkoitusta varten oikeus saada ja käyttää
yhdisteltäviä tietoja;
3) jos yhdistäminen tapahtuu osoitetietojen
tavanomaiseksi päivittämiseksi tai
moninkertaisten postilähetysten välttämiseksi;
tai
4) jos on ilmeistä, että yhdistäminen ei
vaaranna rekisteröidyn yksityisyyden suojaa tai
hänen etujaan tai oikeuksiaan.

Tietosuojalautakunta katsoo, että 20 §:n 1 momentissa
yhdistämiselle säädetyt edellytykset eivät täyty. Tämän
vuoksi hakija tarvitsee poikkeusluvan henkilötietojen
yhdistämiseen.

Henkilötietojen luovuttaminen

Henkilörekisterilain 18 §:n mukaan henkilörekisterissä
olevia henkilötietoja saa luovuttaa

1) rekisteröidyn suostumuksella tai rekisteröidyn
toimeksiannosta;

2) lain tai asetuksen taikka niiden nojalla annetun
määräyksen mukaisesti;

3) sellaisissa olosuhteissa, joissa henkilötiedon
luovuttaminen kuuluu tavanomaisena osana
sellaisen toiminnan harjoittamiseen; luovuttamisen
edellytyksenä on tällöin kuitenkin, että
rekisteröidyn voidaan olettaa tietävän
henkilötietojen tällaisesta luovuttamisesta ja
että kysymys ei ole arkaluonteisista tiedoista; tai

4) tieteellistä tutkimusta tai tilastointia varten.

Henkilörekisterilain 18 §:n 1 momentin edellytykset eivät
täyty hakemuksessa tarkoitetuissa luovutuksissa. Hakijat
tarvitsevat näin ollen henkilörekisterilain 37 §:ssä
tarkoitetun poikkeusluvan sulkulistoihin sisältyvien
henkilötietojen luovutukseen muille Videokauppiasliiton
jäsenille.

Sulkulistan luovutuksissa muille Videokauppiasliiton
jäsenille on kysymys henkilötietojen henkilörekisterilain
2 §:n 8 kohdassa tarkoitetusta massaluovutuksesta.

Henkilörekisterissä olevia tai sitä varten kerättyjä
henkilötietoja saa henkilörekisterilain 19 §:n 1 momentin
mukaan luovuttaa massaluovutuksena vain:

1) jos rekisteröity on antanut siihen suostumuksensa
tai jos se tapahtuu rekisteröidyn toimeksiannosta;

2) jos tietojen tällainen luovuttaminen tapahtuu
henkilörekisterilain 18 §:n 3 momentin taikka muun
lain tai asetuksen taikka tietosuojalautakunnan
antaman luvan mukaisesti; tai

3) jos luovutuksensaajalla on tämän lain mukainen
oikeus tallettaa luovutettavat henkilötiedot henkilörekisteriin
eikä henkilötietojen luovutus ja
käyttö vaaranna rekisteröidyn yksityisyyden suojaa
tai hänen etujaan tai oikeuksiaan taikka valtion
turvallisuutta.

Henkilötunnuksen saa 19 §:n 2 momentin mukaan luovuttaa
1 momentissa tarkoitetuissa tapauksissa vain, jos
luovutuksensaajalla on se jo käytettävissään tai jos
hänellä on oikeus saada se rekisteröidyltä itseltään
tai väestörekisteristä taikka jos luovutus tapahtuu
tieteellistä tutkimusta tai tilastointia tai luottotietotoimintaa
varten.

Henkilörekisterilain 19 §:ssä tarkoitetut edellytykset
henkilötietojen massaluovutukselle eivät täyty hakemuksen
mukaisissa luovutuksissa. Tämän vuoksi hakijat tarvitsisivat
poikkeusluvan myös henkilötietojen massaluovutusta
koskevista henkilörekisterilain 19 §:n säännöksistä.

Päätös

Rikollista tekoa kuvaavien sulkulistalle kerättävien
ja talletettavien tietojen rekisteröiminen sisältää
tavanomaista suuremman riskin kansalaisten yksityisyydelle
ja oikeusturvalle. Tietosuojalautakunta katsoo, että
tällaisten sulkulistoilla olevien tietojen yhdistäminen
ja niiden luovuttaminen henkilötunnuksineen kaikkien
hakijoina olevien videovuokraamoiden käytettäväksi
lisäisi mainittua riskiä etenkin, kun suuri osa
sulkulistalle kerättävistä tiedoista koskisi tekoja,
joista lopullista tuomiota ei ole annettu.

Tietosuojalautakunta katsoo, ettei poikkeusluvan myöntämiseen
ole painavaa syytä ja hylkää tietojen yhdistämistä
ja luovuttamista koskevan hakemuksen.

SOVELLETUT SÄÄNNÖKSET

Henkilörekisterilaki 2 §
Henkilörekisterilaki 3 §
Henkilörekisterilaki 5 § 1 mom
Henkilörekisterilaki 5 § 2 mom
Henkilörekisterilaki 6 § 2 mom 3 kohta
Henkilörekisterilaki 18 § 1 mom
Henkilörekisterilaki 18 § 5 mom
Henkilörekisterilaki 19 §
Henkilörekisterilaki 20 § 1 mom
Henkilörekisterilaki 37 §

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.