30.8.2024

Henkilötietojen tarkastuspyynnön käsittely

Vireillesaattaja on esittänyt sähköpostilla rekisterinpitäjälle yleisen tietosuoja-asetuksen 15 artiklan mukaisen henkilötietojen tarkastuspyynnön ja pyytänyt saada Verohallinnon käsittelemät omat henkilötietonsa. Vireillesaattaja on kertonut oleskelevansa ulkomailla, ja hän on pyytänyt, että tiedot toimitetaan hänelle joko suojatun sähköpostiyhteyden kautta tai hänen asiamiehensä suomalaiseen postiosoitteeseen.

Rekisterinpitäjä on esittänyt vireillesaattajalle seuraavat vaihtoehdot henkilötietojen tarkastuspyynnön käsittelemiseksi:

1) Vireillesaattaja kirjautuu OmaVero-palveluun ja katsoo omat henkilötietonsa siellä olevasta palvelusta
2) Vireillesaattaja lähettää Verohallinnolle omakätisesti allekirjoitetun pyynnön (lomake 8235) (loppuviite 1) ja Verohallinto lähettää vastauksen Verohallinnossa olevaan vireillesaattajan postiosoitteeseen
3) Vireillesaattaja pyytää tietojaan julkisuuslain nojalla

Jäljennöstä koskevan pyynnön toteuttaminen ohjaamalla rekisteröity tarkastamaan tietonsa etäpalvelussa

Vireillesaattaja on pyytänyt rekisterinpitäjää lähettämään tiedot hänen henkilötiedoistaan joko sähkö- tai kirjepostitse. Pyyntö on tarkoittanut, että vireillesaattaja on halunnut saada henkilötiedoistaan yleisen tietosuoja-asetuksen 15(3) artiklassa tarkoitetun jäljennöksen. Rekisterinpitäjä on esittänyt vireillesaattajalle yhtenä tarkastuspyynnön toteutusvaihtoehtona, että vireillesaattaja voi esimerkiksi kirjautua rekisterinpitäjän etäpalveluun ja katsoa sieltä omat henkilötietonsa.

Yleisen tietosuoja-asetuksen johdantokappaleessa 63 todetaan, että mikäli mahdollista, rekisterinpitäjän olisi voitava tarjota etäpääsy suojattuun järjestelmään, jossa rekisteröity saa suoran pääsyn henkilötietoihinsa. Asiassa saadun selvityksen perusteella rekisterinpitäjän sähköisessä palvelussa on kyse tällaisesta etäpääsystä.

Asiassa saadun selvityksen mukaan vireillesaattaja ei ole halunnut käyttää rekisterinpitäjän tarjoamaa etäpääsyä, vaan hän on halunnut tiedoistaan jäljennökset joko sähköpostitse tai kirjepostina. Yleisen tietosuoja-asetuksen 15(3) artiklan mukaan rekisterinpitäjän on toimitettava rekisteröidylle jäljennös käsiteltävistä henkilötiedoista. Samaisen artiklankohdan mukaan, jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää. Euroopan tietosuojaneuvoston lausuntokäytännön mukaan ”Pääsyn antaminen muulla tavoin kuin toimittamalla jäljennös ei sulje pois rekisteröidyn oikeutta saada myös jäljennös, ellei hän päätä olla pyytämättä sitä”. (loppuviite 2)

Rekisterinpitäjä on sinänsä voinut kertoa rekisteröidylle myös vaihtoehdosta tarkastaa omat henkilötiedot etäpalvelun kautta. Mikäli rekisteröity kuitenkin haluaa tiedoistaan jäljennöksen, rekisterinpitäjän tulee sellainen rekisteröidylle antaa. Etäpääsyn mahdollistamisella ei voi korvata jäljennöksen antamista.

Vireillesaattajan esittämä pyyntö ei ole ollut nyt arvioitavassa asiassa asianmukaisesti toteutettavissa ohjaamalla vireillesaattaja katsomaan omat henkilötietonsa rekisterinpitäjän sähköisestä palvelusta, vaan rekisterinpitäjän on tullut toimittaa vireillesaattajalle yleisen tietosuoja-asetuksen 15(3) artiklassa tarkoitettu jäljennös. Asiassa on siten arvioitava, onko rekisterinpitäjä toteuttanut vireillesaattajan tarkastuspyynnön muulla tavoin asianmukaisesti.

Rekisterinpitäjän asettamat vaatimukset henkilötietojen tarkastuspyynnön käsittelylle

Rekisterinpitäjä on esittänyt vireillesaattajalle vaihtoehtona mahdollisuuden lähettää rekisterinpitäjälle omakätisesti allekirjoitettu, Verohallinnon lomakkeelle laadittu henkilötietojen tarkastuspyyntö. Pyyntö on tullut toimittaa joko Verohallinnon toimipisteeseen tai kirjepostina. Rekisterinpitäjä on kertonut lähettävänsä vastauksensa pyyntöön Verohallinnossa olevaan vireillesaattajan postiosoitteeseen.

Menettelytavan osalta todettakoon, että henkilötietolain (523/1999) 28 §:ssä säädettiin seuraavasti: ”Sen, joka haluaa tarkastaa itseään koskevat tiedot 26 §:ssä tarkoitetulla tavalla, on esitettävä tätä tarkoittava pyyntö rekisterinpitäjälle omakätisesti allekirjoitetussa tai sitä vastaavalla tavalla varmennetussa asiakirjassa tai henkilökohtaisesti rekisterinpitäjän luona”. Henkilötietolaki on kumottu tietosuojalailla (1050/2018), joka on tullut voimaan 1.1.2019.

Yleistä tietosuoja-asetusta on ryhdytty soveltamaan 25.5.2018. Yleisessä tietosuoja-asetuksessa ei aseteta vastaavia lähtökohtaisia vaatimuksia henkilötietojen tarkastuspyynnön esittämiselle. Yleisen tietosuoja-asetuksen 12(2) artiklassa edellytetään sen sijaan nimenomaisesti, että rekisterinpitäjä helpottaa rekisteröidyn oikeuksien käyttämistä. (loppuviite 3)

Rekisterinpitäjä ei edellä todettu huomioon ottaen ole voinut asettaa rekisteröidyn oikeuksien käyttöä koskevan pyynnön käsiteltäväksi ottamisen edellytykseksi, että pyyntö allekirjoitetaan tai esitetään henkilökohtaisesti rekisterinpitäjän luona, tai että se toimitetaan postitse. Tällaiset lähtökohtaiset vaatimukset pyynnön esittämiselle eivät helpota rekisteröidyn oikeuksien käyttöä yleisen tietosuoja-asetuksen 12(2) artiklan edellyttämällä tavalla, vaan ne päinvastoin tekevät pyynnön esittämisestä tarpeettoman hankalaa.

Rekisterinpitäjällä ei ole myöskään ollut oikeutta edellyttää pyyntöä esitettävän tietylle lomakkeelle laadittuna. Rekisteröidyn oikeuksia koskeville pyynnöille ei ole yleisessä tietosuoja-asetuksessa asetettu muotoa koskevia vaatimuksia. (loppuviite 4)

Yleisen tietosuoja-asetuksen johdantokappaleessa 59 todetaan, että rekisterinpitäjän olisi tarjottava keinot esittää rekisteröidyn oikeuksia koskevat pyynnöt sähköisesti erityisesti silloin, kun henkilötietoja käsitellään sähköisesti. Rekisterinpitäjä ei siten ole voinut tämäkään huomioon ottaen edellyttää, että pyynnön sähköpostitse esittänyt vireillesaattaja esittää pyyntönsä esimerkiksi uudelleen muussa sähköisessä muodossa tai paperilla.

Apulaistietosuojavaltuutettu määrää rekisterinpitäjän saattamaan käsittelytoimet yleisen tietosuoja-asetuksen säännösten mukaisiksi henkilötietojen tarkastuspyyntöjen käsittelyssä. Rekisterinpitäjän tulee tämän määräyksen nojalla käsitellä myös vireillesaattajan 8.4.2020 esittämä henkilötietojen tarkastuspyyntö. Selvyydeksi todettakoon, että tämä määräys ei sisällä kannanottoa siihen, mikä tarkastuspyynnön käsittelyn lopputuloksen tässä yksittäistapauksessa tulee olla.

Asiamiehen käyttäminen tarkastusoikeuden toteuttamisessa

Vireillesaattaja on pyytänyt rekisterinpitäjää toimittamaan jäljennökset henkilötiedoistaan joko sähköpostitse vireillesaattajalle tai vireillesaattajan asiamiehen suomalaiseen postiosoitteeseen. Rekisterinpitäjä on todennut, että jäljennöksiä ei voida toimittaa sähköpostitse ja että jäljennökset voidaan toimittaa vain vireillesaattajalle itselleen.

Tietosuojavaltuutettu on henkilötietolain (523/1999) aikaisessa ratkaisukäytännössään todennut, että henkilötietojen tarkastusoikeus on korostetun henkilökohtainen oikeus ja että tarkastuspyyntöä ei voi tehdä asianajajan tai muun asiamiehen välityksellä, vaan se on tehtävä itse henkilökohtaisesti. Asiassa on huomioitava, että yleistä tietosuoja-asetusta on ryhdytty soveltamaan 25.5.2018. Tietosuojavaltuutetun aiempi kannanotto on yleisen tietosuoja-asetuksen johdosta kumotun henkilötietolain ajalta.

Yleinen tietosuoja-asetus ei estä asiamiehen käyttämistä tietojen tarkastusoikeusasiassa eli esimerkiksi henkilötietojen tarkastusoikeutta koskevaan pyyntöön liittyvien asiakirjajäljennösten vastaanottamisessa. Vireillesaattajan pyyntöä ei siten ole tullut yksinomaan tällä perusteella torjua.

Euroopan tietosuojaneuvosto on todennut yleisen tietosuoja-asetuksen tarkastusoikeussääntelyn soveltamisen osalta vastaavasti seuraavaa: ”Vaikka rekisteröidyt voivat yleensä käyttää tiedonsaantioikeutta itseään koskevissa asioissa, on mahdollista, että kolmas osapuoli esittää pyynnön rekisteröidyn puolesta. […] Tällöin olisi otettava huomioon laillista edustamista (esimerkiksi valtakirjoja) koskevat kansalliset lait, joissa voi olla erityisiä vaatimuksia, jotka koskevat valtuutuksen osoittamista pyynnön esittämiseen rekisteröidyn puolesta, sillä yleisessä tietosuoja-asetuksessa ei säännellä tätä kysymystä”. (loppuviite 5)

Apulaistietosuojavaltuutettu määrää rekisterinpitäjän saattamaan käsittelytoimet yleisen tietosuoja-asetuksen säännösten mukaisiksi myös tämän menettelytavan osalta.

Tietojen pyytäminen julkisuuslain nojalla

Rekisterinpitäjän ja vireillesaattajan välisessä viestinvaihdossa on saadun selvityksen perusteella keskusteltu myös viranomaisen toiminnan julkisuudesta annettuun lakiin (621/1999, ”julkisuuslaki”) perustuvasta tiedonsaantioikeudesta. Sen osalta todettakoon, että apulaistietosuojavaltuutetulla ei ole toimivaltaa ohjata julkisuuslain soveltamista, eikä apulaistietosuojavaltuutettu siten ota päätöksessään kantaa vireillesaattajan mahdollisuuksiin saada pääsy tietoihin julkisuuslain nojalla.

Pyyntö saada tieto yrityksen tietoihin kirjatusta puhelinnumerosta

Vireillesaattaja on pyrkinyt selvittämään, mikä puhelinnumero Verohallinnon käsittelemiin yrityksen tietoihin on kirjattu, sekä tarpeen vaatiessa saamaan puhelinnumeronsa yrityksen tiedoista poistetuksi.

Asiassa saadun selvityksen perusteella vireillesaattajalla ei ole ollut varmuutta siitä, onko hänen puhelinnumeronsa yrityksen tiedoissa, joita Verohallinto käsittelee. Vireillesaattaja on pitänyt mahdollisena, että hänen puhelinnumeronsa on päätynyt yrityksen tietoihin, koska hän on saanut yritystä koskevan puhelun rekisterinpitäjältä. Asiassa saadun selvityksen mukaan rekisterinpitäjä on soittanut vireillesaattajalle ja tavoitellut henkilöä, joka on soittanut vireillesaattajan numerosta Verohallintoon joitakin päiviä aiemmin.

Rekisterinpitäjä on kertonut tietosuojavaltuutetun toimistolle antamassaan selvityksessä, että silloin, kun asiakas soittaa Verohallintoon, puhelinnumeroa ei tallenneta asiakkaan yhteystietoihin, vaan kyseisen asiointitapahtuman yhteyteen. Rekisterinpitäjä ei katso, että vireillesaattajan puhelinnumero olisi voinut päätyä vireillesaattajan ystävän aviomiehen yrityksen yhteystietoihin tätä kautta. Rekisterinpitäjä on kertonut vastanneensa vireillesaattajalle 8.4.2020 seuraavasti:

”Asiakkaalla on oikeus soittaa Verohallintoon mistä puhelinnumerosta tahansa, jolloin asiakkaan käyttämä puhelinnumero on joko hänen omansa tai jonkun muun numero. Asiakkaan käyttämä puhelinnumero näkyy virkailijalle ja tallentuu tässä asiointitilanteessa. Puhelinnumeroa ei kuitenkaan tallenneta asiakkaan yhteystietoihin. Näin ollen Teidän puhelinnumeronne ei pitäisi olla ystävänne tai ystävänne edustaman yrityksen asiakastiedoissa.

Kuvaamassanne tilanteessa Teihin on voitu olla yhteydessä sen johdosta, että ystävänne asiaan (yrityksen perustaminen) on liittynyt selvittämis- tai ohjaamistarvetta. Tuossa asiointitilanteessa ei ole ilmeisesti ilmennyt, että ystävänne käyttämä numero ei ole hänen tai hänen yrityksensä ja te olette tästä kärsineet. Pahoittelemme kärsimäänne haittaa.”

Rekisterinpitäjän toimittaman selvityksen perusteella yrityksen edustaja on soittanut rekisterinpitäjälle vireillesaattajan matkapuhelimesta. Rekisterinpitäjä on soittanut takaisin tähän numeroon ja tavoitellut yrityksen edustajaa. Vireillesaattajan matkapuhelin vaikuttaisi näin ollen olleen käytössä toisella henkilöllä.

Asiassa saadun selvityksen perusteella rekisterinpitäjä on pyrkinyt selvittämään vireillesaattajan kanssa yritystä koskeviin tietoihin kirjatun puhelinnumeron oikaisutarvetta. Vireillesaattaja ei selvityksen perusteella ole kuitenkaan jatkanut asian selvittämistä näiltä osin rekisterinpitäjän kanssa, vaan asian käsittely on saadun selvityksen perusteella jäänyt tästä syystä osapuolten välillä kesken. Apulaistietosuojavaltuutettu ohjaa rekisterinpitäjää selvittämään mahdollisuuksien mukaan, onko tietojen oikaisu aiheellista. Tämä edellyttää yhteistyötä myös vireillesaattajalta. Oikaisutarpeen arvioinnissa on merkityksellistä ottaa huomioon muun lisäksi myös oikaistavaksi pyydetyn tiedon käyttötarkoitus.

Todettakoon, että rekisterinpitäjällä on esimerkiksi yleisen tietosuoja-asetuksen 5(1)(d) artiklan mukainen velvollisuus toteuttaa kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Tarvittaessa rekisteröidyn on myös mahdollista tehdä yleisen tietosuoja-asetuksen 16 tai 17 artiklan mukainen henkilötietojen oikaisu- tai poistopyyntö. Rekisterinpitäjän on arvioitava, onko yksittäistapauksessa esitetty pyyntö sellainen, että se on mahdollista toteuttaa. Rekisterinpitäjän on niin ikään ymmärrettävä ryhtyä toimenpiteisiin, jos sen tietoon tulee, että sen käsittelemissä henkilötiedoissa voi tietyiltä osin olla oikaisutarve.

Tietojen korjausmahdollisuuden osalta voidaan lisäksi todeta, että tieto siitä että tietty henkilö on soittanut rekisterinpitäjälle tietystä puhelinnumerosta, ei ole virheellinen yksinomaan sillä perusteella, että soittaja ei omista kyseistä matkapuhelinta. Tieto ei myöskään välttämättä ole sellainen, johon puhelimen omistajalla olisi tietosuojasääntelyn mukainen rekisteröidyn korjausoikeus, vaan rekisterinpitäjän tulee arvioida tätä tapauskohtaisesti. Rekisterinpitäjän tulee kuitenkin joka tapauksessa, yleisen tietosuoja-asetuksen 5(1)(d) artiklan mukaisen velvoitteensa nojalla tarkastella, onko sen esimerkiksi aiheellista oikaista tieto ottaen huomioon käsittelyn tarkoitukset.