Finlex ®

Toimivalta - Perintä - Luottotietotoiminta - Luottotiedot

Diaarinumero:	6/932/2006
Antopäivä:	27.08.2008
Taltio:	4/2008

Luottopäätössuosituksia koskevassa toiminnassa käytettäviin tietoihin sovellettiin luottotietolain säännöksiä luottotietorekisterin tietosisällöstä. Tietosuojalautakunta katsoi, että luottotietolaissa on säädetty tyhjentävästi siitä, mitä luottotietoja luottotietorekisteriin voidaan luonnollisesta henkilöstä tallettaa. Tämän vuoksi tietosuojalautakunnalla ei ollut toimivaltaa myöntää lupaa perintätoiminnassa kerättyjen tietojen käsittelemiseen henkilöluottotietoina.

Päätöksestä on valitettu Helsingin hallinto-oikeuteen. Ks. myös T:4/07 ja Helsingin hallinto-oikeuden päätös 20.3.2008, 04478/07/1204.

ASIA
Luotonhakijan perintätietojen käyttäminen luottopäätössuosituksia koskevassa toiminnassa

HAKIJA
Intrum Justitia Oy
Hitsaajankatu
00811 Helsinki

VAATIMUKSET

Intrum Justitia Oy ("Intrum Justitia") vaatii, että tietosuojalautakunta vahvistaa, ettei Intrum Justitian jäljempänä kuvattu luottopäätössuosituksia koskeva palvelu riko henkilötietolakia tai toissijaisesti myöntää luvan kyseiseen henkilötietojen käsittelyyn.

VAATIMUSTEN PERUSTEET

1. Intrum Justitian luottopäätössuosituksia koskeva toiminta

Intrum Justitian luottopäätöspalvelu tekee luotonantajille luottopäätössuosituksia yhteistyössä luotonantajien kanssa (ns. "luottopäätöspalvelu"). Luottopäätössuosituksia voidaan tehdä yksityishenkilöistä. Itse luottopäätöksen tekee kaikissa tilanteissa luotonantaja.

Luottopäätöspalvelu on katsottu tarpeelliseksi, koska palvelun avulla myös sellainen luotonhakija, jolla on maksuhäiriöitä, voi saada luottoa edellyttäen, että luotot on hoidettu tai niitä hoidetaan maksusopimuksen mukaan. Kyse on ns. positiivisten luottotietojen hyödyntämisestä.

Palvelu perustuu luotonsaajan ja luotonantajan nimenomaiseen toimeksiantoon. Luotonhakija antaa Intrum Justitialle toimeksiannon luovuttaa luotonhakijaa koskevat perintätiedot Intrum Justitia Oy:n rekistereistä luotonantajalle luottohakemuksen käsittelyä varten. Tiedot voidaan luovuttaa vain pisteiden muodossa eikä yksittäisinä velkatietoina. Jos luottohakemus hylätään Intrum Justitialta saatujen pistetietojen vuoksi, luotonhakijalla on oikeus saada tietää luovutettujen pistetietojen sisältö ja syyt, miksi luottoa ei myönnetty.

Pisteet muodostuvat seuraavista tekijöistä:

Julkiset maksuhäiriötiedot (Suomen Asiakastieto Oy:n rekisteritiedot)
Luotonhakijan luottohakemuksesta ilmenevät tiedot ja
Intrum Justitian perintärekisterissä olevat tiedot.

Intrum Justitia ylläpitää perintärekisteriä päämiestensä lukuun.

Intrum Justitian perintärekisteritietojen osalta pisteytys muodostuu siitä, onko luotonhakijalla omia avoimia perintätoimeksiantoja Intrum Justitia Oy:ssä vai ei. Pistetieto ei sisällä tietoa perintätoimeksiannon sisällöstä. Pistetietoon vaikuttavat myös Intrum Justitiassa viimeisen kuuden kuukauden aikana lopetetut asiat. Lopetettu asia vaikuttaa pisteisiin vain positiivisesti eli helpottaa luotonhakijan luotonsaantia. Luotonhakija voi saada luottoa, vaikka hänellä olisi julkisia maksuhäiriöitä hoidetuista vastuista. Intrum Justitian perintärekistereissä olevilla tiedoilla lopetetuista perintätoimekisannoista eli hoidetuista maksuista voidaan käytännössä neutraloida julkinen maksuhäiriö luottopäätössuositusta tehtäessä luotonhakijan eduksi.

Luottopäätöspalvelun toimintaperiaatteet on kuvattu hakemuksen liitteessä.

Niissä tilanteissa, joissa luotonhakijalla on perinnässä olevia asioita, mutta ei julkisia maksuhäiriöitä, perintätietoja ei lainkaan hyödynnetä, mikäli rekisteröity niin haluaa. Rekisteröity voi valita, hyödynnetäänkö suositusta tehtäessä perintärekisterin tietoja. Luottopäätössuositus voidaan tehdä rekisteröidyn niin pyytäessä vain edellä kohdassa 1 ja 2 mainittujen tietojen perusteella.

2. Tietosuojavaltuutetun kannanotto

Tietosuojavaltuutettu on 29.9.2006 ottanut kielteisen kannan Intrum Justitian harjoittamaan luottopäätöspalveluun. Tietosuojavaltuutetun kannanotto on hakemuksen liitteenä.

Kannanotossaan tietosuojavaltuutettu toteaa, että toimeksiantotilanteessa tyypillistä on, että toimeksianto syntyy toimeksiantajan vapaaehtoisesta aloitteesta. Tilanne, jossa luotonantaja edellyttää luotonhakijaa antamaan kirjallisen toimeksiannon Intrum Justitialle, ei tietosuojavaltuutetun käsityksen mukaan ole aito toimeksiantotilanne, eikä luottopäätöspalvelussa henkilötietojen käsittely siten voi perustua henkilötietolain 8.1 §:n 2 kohtaan. Tietosuojavaltuutettu katsoo, ettei luotonantajan luotonhakijalta edellyttämä toimeksianto Intrum Justitialle todellisuudessa eroa tilanteesta, jossa luotonhakijalta pyydettäisiin suostumus luovuttaa itseään koskevat perintätiedot luottohakemuksen käsittelyä varten.

Tietosuojavaltuutettu on suhtautunut palvelun toteuttamiseen luotonhakijan suostumuksen perusteella kielteisesti. Tietosuojavaltuutettu katsoo, ettei henkilön suostumus täytä lain edellyttämää nimenomaisuusvaatimusta. Tietosuojavaltuutettu myös toteaa, ettei henkilön suostumus syrjäytä henkilötietolain 9 §:n tarpeellisuusvaatimusta.

Tietosuojavaltuutettu toteaa, että perintätoiminnasta säädetään perintälaissa (laki saatavien perinnästä 513/1999). Perintätoiminnassa kertyviä henkilötietoja voidaan käyttää vain perintätoiminnan edellyttämissä tilanteissa. Silloin kun perintätoiminnassa kertyneitä henkilötietoja käsitellään yksityisen luonnollisen henkilön taloudelliseen aseman, sitoumusten hoitokyvyn tai luotettavuuden arvioimisessa, on toimintaa arvioitava luottotietotoimintana. Tällaisessa tarkoituksessa henkilötietojen käsittelystä on tyhjentävästi säädetty henkilötietolain 4 luvun 20 §:ssä. Säännöstä on tulkittu siten, ettei henkilön suostumuksellakaan voida laajentaa sitä, mitä tietoja henkilöluottotietoina voidaan käsitellä. Näin ollen perintätoiminnassa saatuja tietoja ei tietosuojavaltuutetun käsityksen mukaan voida laillisesti käyttää Intrum Justitian tarjoamassa luottopäätöspalvelussa.

Tietosuojavaltuutettu toteaa, että kuluttaja-asiamies on lokakuulta 2005 olevissa hyvästä perintätavasta antamissaan ohjeissa katsonut, ettei velallista voi asettaa perintälain säännöksiin verrattuna huonompaan asemaan edes hänen suostumuksellaan, koska perintälaki on pakottava velallisen hyväksi.

Tietosuojavaltuutettu katsoo, että Intrum Justitia käyttää luottopäätöspalvelua harjoittaessaan perintätarkoituksessa syntynyttä tietoa perintärekisterin käyttötarkoituksen vastaisesti henkilötietolain tarkoittaman luottotietotoiminnan harjoittamiseen. Koska tietosuojavaltuutetun lääninhallitukselta saaman tiedon mukaan Intrum Justitia Oy harjoittaa perintätoimintaa eikä luottotietotoimintaa, tietosuojavaltuutettu kehottaa Intrum Justitia Oy:tä lopettamaan luottopäätöspalvelua koskevan toiminnan henkilötietolain 7 §:n ja 20 §:n vastaisena.

3. Intrum Justitian kanta tietosuojavaltuutetun kannanottoon

Tietosuojavaltuutetun kannanoton johdosta hakija Intrum Justitia keskeytti luottopäätöspalvelun tarjoamisen. Hakijan käsitys on kuitenkin, että toiminta on täysin lain mukaista.

Hakija toteaa, että tietosuojavaltuutetun kannanotosta ilmenee, että hakija tiedusteli jo vuonna 2000 vastaavan palvelun toteuttamismahdollisuutta luotonhakijan suostumukseen perustuen. Tähän saatiin kielteinen kanta. Tämän jälkeen järjestelmään tehtiin kuitenkin olennaisia muutoksia ja tietosuojavaltuutetulta pyydettiin uutta kannanottoa luottopäätöstoimintaan, joka perustuu vain luotonhakijan antamaan nimenomaiseen toimeksiantoon.

Hakija on saamansa kannanoton jälkeen edelleen täsmentänyt toimintamallia siten, että luottopäätössuositusta koskeva toimeksianto voidaan rajata kattamaan vain julkiset maksuhäiriötiedot (Suomen Asiakastieto Oy:n rekisteritiedot) ja luotonhakijan luottohakemuksesta ilmenevät tiedot. Perintätietoja ei tässä mallissa käytettäisi lainkaan, ellei tästä nimenomaan anneta toimeksiantoa. Tällä estettäisiin tilanne, jossa julkista maksuhäiriötä ei olisi, mutta perintärekisteristä ilmenisi kuitenkin negatiivinen perintätieto. Luotonhakijan päätettäväksi jäisi kaikissa olosuhteissa se, miten hän haluaa perintätietojaan hyödynnettävän luottopäätössuosituksen yhteydessä.

Hakijan käsityksen mukaan hakijan toiminta on henkilötietolain mukaista, koska se perustuu luotonhakijan nimenomaiseen ja erikseen tätä tarkoitusta varten annettuun toimeksiantoon ja palvelee luotonhakijan intressejä. Tietoja ei hyödynnetä automaattisesti eikä niitä missään olosuhteissa luovuteta ilman, että nimenomainen toimeksianto on annettu.

Toiminta ei hakijan mukaan riko myöskään lakia saatavan perinnästä. Perinnässä ei kyseisen lain 4 §:n nojalla saa vaarantaa velallisen yksityisyyden suojaa. Hakija toteaa, että rekisteröidyllä on kuitenkin oikeus saada itseään koskevat tiedot perintärekisteristä (henkilötietolain 26 §; tarkastusoikeus) ja käyttää niitä haluamallaan tavalla.

Hakija katsoo, että sen luottopäätöspalvelussa on kyse siitä, että hakija valtuutetaan toimimaan rekisteröidyn asiamiehenä, joka luovuttaa nimenomaisesta toimeksiannosta rekisteröityä koskevat tiedot pistemuodossa rekisteröidylle itselleen ja luoton myöntäjälle.

Hakija katsoo, että se ei harjoita henkilötietolain mukaista luottotietotoimintaa, vaikka puheena olevaa palvelua on markkinoitu luottopäätöspalvelun nimellä. Kyse ei ole siitä, että hakija rekisteröisi luottotietorekisteriin henkilön sitoumusten hoitokyvyn arvioimiseksi käytettäviksi tarkoitettuja henkilötietoja. Kyse on ainoastaan siitä, että perintärekisterin tietoja käytetään rekisteröidyn toimeksiannosta hyödyksi ns. pistetietona luottopäätössuosituksia annettaessa. Tämä ei hakijan mukaan ole lain tarkoittamaa luottotietotoimintaa.

Hakija katsoo, että perintätietojen hyödyntäminen ei voi rikkoa luotonhakijan yksityisyyden suojaa. Henkilö, joka ei syystä tai toisesta halua, että perintätietoja hyödynnetään, ei anna toimeksiantoa niiden hyödyntämiseen. Siinäkin tilanteessa, että palvelun hyödyntäminen ei johtaisi luoton myöntämiseen, yksityisyyden suoja toteutuu mm. siinä muodossa, ettei perintätiedoista anneta mitään yksityiskohtaisia tietoja, vaan tieto annetaan vain pistemuodossa.

Hakija katsoo, että tietosuojavaltuutetun kanta, jonka mukaan rekisterin käyttötarkoitussidonnaisuudesta ei voida poiketa edes rekisteröidyn nimenomaisella toimeksiannolla, johtaa kohtuuttoman tiukkaan lain soveltamiseen ja rekisteröidyn aseman heikkenemiseen. Rekisteröity, jolla on kiistatta oikeus saada tiedot perintärekisteristä, ei saisikaan käyttää tietoja edukseen luottoa hakiessaan. Syy tähän olisi vain se, että tiedot olisi rekisteröity perintää eikä luottotietotoimintaa varten. Hakija katsoo, että tämä ei voi olla lain tarkoitus. Rekisteröidyn nimenomaisen ja jokaista kertaa varten erikseen antaman toimeksiannon tulee syrjäyttää käyttötarkoitussidonnaisuus.

Vaikka tieto on kerätty perintätoiminnassa, rekisteröidyllä tulee hakijan mielestä olla oikeus hyödyntää tätä rekisteröityä tietoa myös luottoa hakiessaan. Tätä tarkoitusta varten rekisteröidyn täytyy myös voida antaa toimeksianto tiedon hyödyntämiseen.

Hakija katsoo ensisijaisesti, ettei erillistä lupaa käsittelyyn tarvita, koska toiminta on jo sinänsä henkilötietolain mukaista. Toissijaisesti hakija katsoo, että lupa voidaan myöntää Intrum Justitian oikeutetun edun toteuttamiseksi.

INTRUM JUSTITIALTA SAATU LISÄSELVITYS

Intrum Justitia on toimittanut 30.5.2007 pyynnöstä tietosuojalautakunnalle Intrum Justitian 25.5.2007 päivätyn kaupparekisteriotteen sekä perintärekisterin ja luottopäätöspalvelu -nimisen rekisterin henkilötietolain 10 §:n mukaiset rekisteriselosteet.

Kaupparekisteriotteen mukaan Intrum Justitian toimialaan kuuluvat myös luottotietotoiminta ja luottotietopalvelujen myynti. Rekisteriselosteiden mukaan perintärekisterin käyttötarkoitus on perintätoimeksiantojen käsittely ja luottopäätöspalvelu -nimisen rekisterin käyttötarkoitus luottopäätösten teko.

KUULEMINEN

Tietosuojalautakunta on pyytänyt 16.5.2007 päivätyllä kirjeellä tietosuojavaltuutetun lausuntoa Intrum Justitia Oy:n hakemuksesta. Lausuntoa on pyydetty erityisesti siltä osin, kuin toimintamallia on muutettu.

Tietosuojavaltuutettu on antanut tietosuojalautakunnalle 30.5.2007 päivätyn lausunnon Intrum Justitian hakemuksesta. Lausunnossaan tietosuojavaltuutettu pitää edelleen hakijan toimintaa lainvastaisena ja katsoo, että tietosuojalautakunnan ei tulisi myöntää lupaa hakijan esittämään käsittelyyn.

TIETOSUOJALAUTAKUNNAN PÄÄTÖS JA PERUSTELUT

Vaatimus toiminnan lainmukaisuuden vahvistamisesta

Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 2 §:n 1 kohdan mukaan tietosuojalautakunnan tehtävänä on käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi.

Henkilötietolain 38 §:n 2 momentin mukaan tietosuojalautakunta käsittelee henkilötietojen käsittelyyn liittyviä lain soveltamisalan kannalta periaatteellisesti tärkeitä kysymyksiä ja käyttää päätösvaltaa tietosuoja-asioissa siten kuin henkilötietolaissa säädetään. Henkilötietolain 43 §:ssä säädetään tietosuojalautakunnan lupatoimivallasta ja 44 §:ssä tietosuojalautakunnan oikeudesta antaa henkilötietojen käsittelyä koskevia määräyksiä.

Tietosuojalautakunta toteaa, että sen toimivaltaan ei kuulu ohjauksen antaminen yksittäisissä henkilötietojen käsittelyä koskevissa asioissa, mikä vuoksi tietosuojalautakunta on tutkinut asian hakemuksena saada käsitellä luotonhakijan perintätietoja luottopäätössuosituksia koskevassa toiminnassa.

Hakemus saada käsitellä luotonhakijan perintätietoja luottopäätössuosituksia koskevassa toiminnassa

Hakija katsoo, että hakijan luottopäätöspalvelua koskevassa toiminnassa ei ole kysymys luottotietotoiminnasta, vaan siitä, että rekisteröity valtuuttaa Intrum Justitian käyttämään rekisteröidyn puolesta hänelle kuuluvaa henkilötietolain 26 §:ssä säädettyä tarkastusoikeutta ja antaa Intrum Justitialle toimeksiannon luovuttaa itseään koskevat tiedot pistemuodossa hänelle itselleen ja luoton myöntäjälle.

Luottotietotoiminta

Henkilöluottotiedoilla tarkoitetaan henkilötietolain 3 §:n 8 kohdassa yksityisen luonnollisen henkilön taloudellisen aseman, sitoumusten hoitokyvyn tai luotettavuuden arvioimisessa käytettäväksi tarkoitettuja henkilötietoja. Luottotietorekisterillä tarkoitetaan lain 3 §:n 9 kohdassa henkilöluottotietoja sisältävää rekisteriä. Henkilötietolain 20 § sisältää määräykset siitä, mitä henkilöluottotietoja luottotietotoiminnassa saa käsitellä.

Tietosuojalautakunta katsoo, että hakija käsittelee luottopäätössuosituksia koskevassa toiminnassaan henkilötietolain 3 §:n 8 kohdassa tarkoitettuja henkilöluottotietoja ja hakijan luottopäätöspalvelurekisteri, jonka tarkoituksena on luottopäätösten teko, on henkilötietolain 3 §:n 9 kohdassa tarkoitettu luottotietorekisteri. Tämän vuoksi Intrum Justitian toimintaa on pidettävä henkilötietolaissa tarkoitettuna luottotietotoimintana.

Rekisteröidyn tarkastusoikeus

Henkilötietolain 26 §:n nojalla rekisteröidyllä on oikeus saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja. Tietosuojalautakunta toteaa, että tietojen antamisessa luottopäätössuositusten muodossa ei ole kysymys rekisteröidyn tarkastusoikeuden toteuttamisesta.

Käyttötarkoitussidonnaisuus ja rekisteröidyn toimeksianto
Henkilötietolain 6 §:n mukaan henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Henkilötietojen käsittelyn tarkoitukset sekä se, mistä henkilötiedot säännönmukaisesti hankitaan ja mihin niitä säännönmukaisesti luovutetaan, on määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään.
Hakijan perintärekisterin 2.5.2007 päivätyn rekisteriselosteen mukaan perintärekisterin käyttötarkoitus on perintätoimeksiantojen käsittely. Järjestelmän tietoja käytetään vapaaehtoisessa ja oikeudellisessa perinnässä.
Henkilötietolain 7 §:n mukaan henkilötietoja saa käyttää tai muutoin käsitellä vain tavalla, joka ei ole yhteensopimaton 6 §:ssä tarkoitettujen käsittelyn tarkoitusten kanssa. Myöhempää henkilötietojen käsittelyä historiallista tutkimusta taikka tieteellistä tai tilastotarkoitusta varten ei pidetä yhteensopimattomana alkuperäisten käsittelyn tarkoitusten kanssa.
Henkilötietolain 7 §:n sääntely perustuu yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun Euroopan parlamentin ja neuvoston direktiivin 95/46 EY 6 artiklan 1 kohdan b alakohtaan. Mainitussa kohdassa velvoitetaan jäsenvaltiot säätämään siitä, että henkilötiedot kerätään tiettyjä määriteltyjä ja laillisia tarkoituksia varten, eikä niitä saa myöhemmin käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla.

Henkilötietolain 7 §:n käyttötarkoitussidonnaisuuden periaatteesta seuraa, että hakija ei voi käsitellä perintätarkoituksia varten keräämiään tietoja luottotietotoiminnassaan.

Rekisteröidyn mahdollisesti antama toimeksianto ei oikeuta poikkeamaan henkilötietolaissa säädetystä käyttötarkoitussidonnaisuuden periaatteesta. Myöskään tietosuojalautakunnalla ei ole henkilötietolain 43 §:n nojalla toimivaltaa myöntää poikkeusta mainitusta periaatteesta.

Sallitut henkilöluottotiedot

Henkilöluottotietojen käsittelystä säädetään henkilötietolain 20 §:ssä. Pykälässä säädetään tyhjentävästi siitä, mitä tietoja luottotietotoiminnan harjoittaja saa tallettaa luottotietorekisteriin. Käyttäessään perintärekisterinsä tietoja luottopäätössuosituksia koskevassa toiminnassaan hakija käsittelee myös muita kuin henkilötietolain 20 §:ssä tarkoitettuja henkilöluottotietoja.

Tietosuojalautakunnalla ei ole henkilötietolain 43 §:n nojalla toimivaltaa myöntää lupaa muiden kuin henkilötietolain 20 §:ssä tarkoitettujen henkilöluottotietojen käsittelyyn.

Päätös
Edellä mainituista syistä tietosuojalautakunta hylkää Intrum Justitian lupahakemuksen.

SOVELLETUT SÄÄNNÖKSET

Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 2 § 1 kohta
Henkilötietolaki 3 § 8 kohta
Henkilötietolaki 3 § 9 kohta
Henkilötietolaki 5 §
Henkilötietolaki 6 §
Henkilötietolaki 7 §
Henkilötietolaki 20 §
Henkilötietolaki 26 §
Henkilötietolaki 38 § 2 mom
Henkilötietolaki 43 §