03.02.2003 2/2003

Henkilötunnus - Väestötietojärjestelmä - Luovuttaminen - Luottotietotoiminta - Toimivalta

Tietosuojalautakunta hylkäsi luottotietotoimintaa harjoittavan yhtiön hakemuksen saada käsitellä väestötietojärjestelmästä THS-tunnistuskyselyn avulla saatavia henkilötietoja. Tietosuojalautakunta katsoi, että tietojen käsittely ei ollut saadun selvityksen perusteella tarpeen hakijan oikeutetun edun toteuttamiseksi, eivätkä muutkaan luvan myöntämiselle säädetyt edellytykset täyttyneet. Siltä osin kuin hakija oli pyytänyt lupaa henkilötunnuksen käsittelyyn ja tietojen saamiseen väestötietojärjestelmästä, hakemus jätettiin lautakunnan toimivaltaan kuulumattomana tutkimatta.

Ks. myös päätökset 5/27.3.2000, 6/25.4.2000, 2/25.3.2002 ja 1/13.1.2003

ASIA
Henkilötietojen luovuttamista väestötietojärjestelmästä koskeva hakemus ja hakemus saada käsitellä väestötietojärjestelmästä saatavia henkilötietoja

HAKIJA
Suomen Asiakastieto Oy

HAKEMUS
1. Hakija pyytää poikkeuslupaa (oik. lupaa) väestötietolain 29 §:n nojalla saada käyttää ensisijaisesti väestörekisterikeskuksen väestötietojärjestelmän tunnistusohjelmistoa eli THA-näyttöä (laajempi näyttö).

2. Mikäli tietosuojalautakunta ei myönnä poikkeuslupaa (oik. lupaa) THA-näyttöön, hakija pyytää toissijaisesti tietosuojalautakunnalta luvan käyttää väestörekisterikeskuksen väestötietojärjestelmän THS-näyttöä (suppeampi näyttö).

Hakemuksen perustelut

Väestörekisterikeskus on perunut 22.10.2002 hakijan oikeuden käyttää ns. henkilön laajaa tunnistusohjelmistoa eli THA-näyttöä. Perumisen perusteena on mainittu, ettei hakijalla ole henkilötietolain 8 §:n mukaista yhteysvaatimusta kaikkien väestötietojärjestelmään merkittyjen osalta. Ennen luvan perumista hakija on tarkistanut henkilötunnukset THA-näytöltä.

Suomen Asiakastieto Oy harjoittaa henkilö- ja yritysluottotietotoimintaa. Yhtiön henkilöluottotietorekisteriin tallennetaan tietoja henkilöistä, joilla on maksuhäiriöitä. Henkilöluottotietoja kerätään eri lähteistä. Henkilöistä tallennetaan nimi, henkilötunnus, osoite, maksuhäiriötyyppi, markkamäärä ja velkoja.

Tietoja kerättäessä suurimmassa osassa tapauksia saadaan asianomaisen henkilön henkilötunnus. Viimeisen kahden vuoden aikana muutama käräjäoikeus on kuitenkin yliviivannut Suomen Asiakastieto Oy:n keräämistä yksipuolisista tuomioista vastaajan koko henkilötunnuksen ilman mitään perusteluja. Tämän vuoksi maksuhäiriötä ei ole voitu rekisteröidä.

Suurin osa luottotietokyselyistä tapahtuu henkilötunnuksen perusteella. Luottoja myöntävillä asiakkailla on siis käytössä henkilötunnukset. Mikäli asiakas ei käytä luottotietokyselyssä henkilötunnusta, yhtiö ei luovuta asiakkaalle luottotietokyselyn vastauksena henkilötunnusta. Luottotietorekisteristä ei voi saada tietoonsa kenenkään henkilötunnusta.

Henkilötunnus on ainoa luotettava tapa yksilöidä henkilöt. Pelkän nimen tai syntymäajan perusteella ei henkilöä pystytä varmuudella yksilöimään. Jos asiakkaat joutuisivat tekemään luottotietokyselyn pelkän nimen ja syntymäajan perusteella, henkilöt voidaan sekoittaa toisiinsa. Tämä saattaa aiheuttaa sekä luottotietojen käyttäjille eli luotonmyöntäjille että luotonhakijoille oikeuden menetyksiä. Hakija katsoo, että henkilötunnuksen puuttuminen luottotietotoiminnassa vaarantaa henkilöiden yksityisyyden suojaa.

Koska tietyistä käräjäoikeuksista kerätyistä yksipuolisista tuomioista ja muutamista muista maksuhäiriöistä puuttuu henkilötunnus, hakija pyytää lupaa saada käsitellä myös niiden henkilöiden henkilötietoja, joista ei ole maksuhäiriömerkintöjä. Näin ollen hakija voisi lisätä henkilötunnuksen niiden henkilöiden henkilötietoihin, joilla on maksuhäiriö ja jotka hakijalla on oikeus tallettaa luottotietorekisteriin. Tällä hetkellä hakijalla on tarve selvittää noin 500 henkilötunnusta kuukausittain.

Niiden henkilöiden osalta, joilla ei ole maksuhäiriöitä, hakija tuhoaa katsotut tiedot välittömästi. Näitä tietoja ei talleteta mihinkään.

Hakemuksen mukaan hakijan tietojärjestelmät on suojattu asianmukaisesti ja henkilöstö on allekirjoittanut vaitiolositoumuksen. Hakija katsoo, että THA-näytön käyttäminen ei millään tavoin vaaranna henkilöiden yksityisyyden suojaa, vaan päinvastoin parantaisi sitä.

Vaikka hakija pyytää lupaa henkilötietojen käsittelyyn, se katsoo, että sillä on henkilötietolain 20 §:n sanamuodon mukaan oikeus tallettaa kaikkien henkilöiden nimet ja yhteystiedot eli myös niiden henkilöiden joilla ei ole maksuhäiriöitä. Hakija katsoo, että yhteystietoihin kuuluu myös henkilötunnus ja että henkilötunnuksen käsittely on henkilötietolain 13 §:n mukaan mahdollista.

Hakijalta saatu lisäselvitys

Hakijan edustajalta lakimies Jouni Muhoselta 28.1.2003 puhelimitse saadun lisäselvityksen mukaan hakemus koskee ainoastaan henkilöluottotietotoimintaa, ei sen sijaan yrityshenkilöiden luottotietojen käsittelyä.

Hakijan henkilöluottotietorekisteriin on rekisteröity hieman yli 300 000 henkilöä ja rekisterissä on hieman yli miljoona rekisterimerkintää.

Rekisteriin ei merkitä maksuhäiriötä, jos asianomaisen henkilön henkilötunnusta ei saada. Merkintä kuitenkin tehdään siinä tapauksessa, että henkilöllä on jo ennestään merkintä luottotietorekisterissä ja kaikki muut henkilön tiedot täsmäävät.

Henkilötunnuksen selvitystarvetta voi esiintyä myös silloin kun henkilötunnus on kirjoitettu käsin.

Muhosen mukaan hakijalla ei ole suurta tarvetta käyttää THS-näyttöä. THS-näyttöä käytettäisiin vain silloin tällöin olemassa olevien osoitteiden tarkistamiseen.

TIETOSUOJALAUTAKUNNAN PÄÄTÖS JA PERUSTELUT

Tietosuojalautakunta on tutkinut hakemuksen hakemuksena saada henkilötietoja väestötietojärjestelmästä ja hakemuksena saada käsitellä väestötietojärjestelmästä saatavia henkilötietoja.

THA- ja THS-tunnistusohjelmat

THA- ja THS-tunnistushaut mahdollistavat väestötietojärjestelmään merkittyjen henkilötietojen vapaan selailumahdollisuuden suorakäyttöyhteyden avulla. Tunnistushauilla haetaan henkilöitä väestötietojärjestelmästä nimen perusteella. Hakua tarkentavina tietoina voidaan antaa henkilön esimerkiksi henkilön syntymäaikatietoja, kotikunta, syntymäkotikunta tai edellinen kotikunta. Hakuja käytettäessä voidaan saada vastauksena usean henkilön tietoja. THA- ja THS-kyselyt poikkeavat toisistaan vastausten tietosisällön perusteella.

Kumpikin kysely antaa vastaustietona hakuehtojen perusteella löydetyistä kaikista henkilöistä seuraavat tiedot:

* syntymäaika
* etunimet
* sukunimi (nykyinen ja entinen)
* vakinainen osoite
* muuttopäivä
* mahdollinen nykyinen tai entinen tilapäinen osoite, sen alkamis- ja päättymispäivät
* kotikunta
* maistraatin koodi ja nimi

Laaja henkilötunnistus (THA) antaa vastaustietona edellisten tietojen lisäksi henkilöiden täydelliset henkilötunnukset.

Hakemus saada henkilötietoja väestötietojärjestelmästä ja tietosuojalautakunnan toimivalta

Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 2 §:n mukaan tietosuojalautakunnan tehtävänä on käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi.

Henkilötietolain 2 §:n 1 momentin mukaan henkilötietoja käsiteltäessä on noudatettava, mitä henkilötietolaissa säädetään, jollei muualla laissa toisin säädetä. Henkilötietojen käsittelyllä tarkoitetaan henkilötietolain 3 §:n 2 kohdan mukaan kaikkia henkilötietoihin kohdistuvia toimenpiteitä, mm henkilötietojen luovuttamista.

Henkilötiedoilla tarkoitetaan lain 3 §:n 1 kohdassa kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi.

Henkilötietolain 8 §:ssä säädetään henkilötietojen käsittelyn yleisistä edellytyksistä. Henkilötietolain 8 §:n 4 momentin mukaan oikeudesta saada tieto ja muusta henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä on voimassa, mitä
viranomaisten asiakirjojen julkisuudesta säädetään.

Henkilötietojen luovutuksessa väestötietojärjestelmästä on kysymys henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä.

Viranomaisten toiminnan julkisuudesta annetun lain 16 §:n 3 momentin mukaan viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen tai sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja.

Henkilötietojen luovuttamisesta väestötietojärjestelmästä on säädetty väestötietolaissa (507/1993). Tietojen luovuttamisesta päättää väestörekisterikeskus tai maistraatti sen mukaisesti kuin väestötietolain 31 §:ssä säädetään. Tietosuojalautakunnalla ei ole toimivaltaa myöntää lupaa henkilötietojen luovuttamiseen väestötietojärjestelmästä.

Tämän vuoksi tietosuojalautakunta jättää hakemuksen toimivaltaansa kuulumattomana tutkimatta.

Oikeus käsitellä väestötietojärjestelmästä saatavia henkilötietoja ja tietosuojalautakunnan toimivalta

Henkilötietojen käsittelyllä tarkoitetaan henkilötietolain 3 §:n 2 kohdassa henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä.

Kun hakija käyttää apunaan ja vertaa tunnistuskyselyillä saatavia henkilötietoja itsellään oleviin henkilötietoihin, hakija käsittelee näitä tietoja henkilötietolain 3 §:n 2 kohdassa tarkoitetulla tavalla.

Hakijalle voidaan väestötietolain 29 §:n perusteella luovuttaa tietoja teknisen käyttöyhteyden avulla vain jos hakijalla on henkilötietolain mukainen oikeus käsitellä kyseisiä tietoja eikä niiden luovutus ja käyttö vaaranna rekisteröidyn yksityisyyden suojaa, hänen etujaan tai oikeuksiaan taikka valtion turvallisuutta.

Väestötietolain 25 §:n mukaan henkilötunnus voidaan luovuttaa väestötietojärjestelmästä ainoastaan silloin, jos pyytäjällä on tai voi olla henkilötunnus henkilötietolain tai muun lain perusteella hallussaan.

Tietosuojalautakunta voi myöntää hakijalle henkilötietolain 8 §:n 1 momentin 9 kohdassa ja 43 §:ssä tarkoitetun luvan käsitellä luovutettavia tietoja, ellei hakijalla muutoin olisi lakiin perustuvaa oikeutta käsitellä niitä. Koska henkilötunnuksen
käsittelystä kuitenkin säädetään tyhjentävästi henkilötietolain 13 §:ssä, tietosuojalautakunnalla ei ole toimivaltaa myöntää lupaa henkilötunnuksen käsittelyyn.

THA-tunnistusohjelma antaa vastauksena mm. kaikkien hakuehdot täyttävien henkilöiden henkilötunnukset.

Tämän vuoksi tietosuojalautakunta jättää hakijan hakemuksen saada käsitellä THA-tunnistusohjelman avulla saatavia henkilötietoja tutkimatta.

Hakija on pyytänyt toissijaisesti lupaa THS-tunnistusohjelman käyttöön, mikäli tietosuojalautakunta ei voi myöntää lupaa THA-tunnistusohjelman käyttämiseen.

Henkilötietolain 8 §:n 3 momentin mukaan henkilötietojen käsittelystä erityisiä tarkoituksia varten säädetään 4 luvussa. Henkilötietolain 4 luvun 20 §:n 1 momentin mukaan luottotietotoiminnan harjoittaja saa tallettaa luottotietorekisteriin henkilön nimen ja yhteystietojen lisäksi tiedon sellaisesta maksun tai suorituksen laiminlyönnistä joka mainitaan 20 §:ssä.

Tietosuojalautakunta katsoo, että henkilötietolain 20 § oikeuttaa käsittelemään ainoastaan sellaisten henkilöiden tietoja, joilla on henkilötietolain 20 §:ssä tarkoitettuja maksun tai suorituksen laiminlyöntejä.

Koska THS-tunnistusohjelma mahdollistaa väestötietojärjestelmään merkittyjen henkilötietojen vapaan selailumahdollisuuden, antaa se vastauksena kaikkien hakuehdot täyttävien henkilöiden tiedot. Näin ollen väestörekisterikeskus luovuttaisi suorakäyttöyhteyden avulla hakijalle tietoja myös sellaisista henkilöistä, joilla ei ole henkilötietolain 20 §:ssä tarkoitettuja maksun tai suorituksen laiminlyöntejä ja joita koskevia tietoja hakijalla ei näin ollen ole henkilötietolain 20 §:n nojalla oikeutta käsitellä.

Siltä osin kuin kysymys on henkilöistä, joilla on henkilötietolain 20 §:ssä tarkoitettuja maksun tai suorituksen laiminlyöntejä, hakijalla on henkilötietolain 20 §:n nojalla oikeus käsitellä THS-tunnistusohjelman avulla saatavia ao henkilön nimi ja -yhteystietoja. Tämän vuoksi hakija ei tarvitse tietosuojalautakunnan lupaa näitä henkilöitä koskevien nimi- ja yhteystietojen käsittelyyn. Koska henkilötietolain 13 §:n 2 momentin mukaan henkilötunnusta saa käsitellä luottotietotoiminnassa, tietosuojalautakunta katsoo, että hakija ei tarvitse lupaa myöskään em. henkilöitä koskevien syntymäaikatietojen käsittelyyn.

Siltä osin kuin THS-tunnistusohjelma antaa vastauksena tietoja myös muista henkilöistä kuin henkilöistä, joilla on maksuhäiriöitä ja siltä osin kuin tunnistushaku antaa vastauksena muita tietoja kuin, nimi- ja yhteys- ja syntymäaikatietoja henkilöistä, joilla on 20 §:ssä tarkoitettuja maksuhäiriöitä, henkilötietolaissa säädetyt edellytykset henkilötietojen käsittelylle eivät täyty. Tämän vuoksi hakija tarvitsee näiden tietojen käsittelyyn tietosuojalautakunnan henkilötietolain 8 §:n 1 momentin 9 kohdassa tarkoitetun luvan.

Henkilötietolain 43 §:n 1 momentin mukaan tietosuojalautakunta voi antaa luvan henkilötietojen käsittelyyn, jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi muussa kuin yksittäistapauksessa taikka yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan. Lupa voidaan myöntää myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi edellyttäen, ettei tietojen tällainen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia.

Hakijan antaman lisäselvityksen mukaan hakijalla ei ole suurta tarvetta THS-tunnistusohjelman käytölle. Tämän vuoksi tietosuojalautakunta katsoo, että THS-tunnistusohjelman avulla saatavien tietojen käsittely ei ole tarpeen hakijan oikeutetun edun toteuttamiseksi, eivätkä muutkaan henkilötietolain 43 §:n 1 momentissa luvan myöntämiselle säädetyt edellytykset täyty.

Tämän vuoksi tietosuojalautakunta hylkää hakijan hakemuksen saada käsitellä THS-tunnistusohjelman avulla saatavia henkilötietoja.

SOVELLETUT SÄÄNNÖKSET

Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 2 §
Henkilötietolaki 2 § 1 mom
Henkilötietolaki 3 § 1 kohta
Henkilötietolaki 3 § 2 kohta
Henkilötietolaki 3 § 8 kohta
Henkilötietolaki 3 § 9 kohta
Henkilötietolaki 8 §
Henkilötietolaki 13 §
Henkilötietolaki 20 § 1 mom
Henkilötietolaki 20 § 2 mom
Henkilötietolaki 20 § 3 mom
Henkilötietolaki 43 §
Laki viranomaisten toiminnan julkisuudesta 16 § 3 mom
Väestötietolaki 25 §
Väestötietolaki 27 §
Väestötietolaki 29 §
Väestötietolaki 31 §

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.