tietojen minimointi - henkilötunnus - kiinteistönvälitys - vuokrasopimus

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	13.08.2020
Diaarinumero:	7221/163/2018

ASIA

Hakijan vaatimukset perusteluineen

Hakija on 16.10.2018 saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on ollut kysymys siitä, että hänen vuokrasopimuksestaan, jossa on ollut hakijan yhteystiedot ja henkilötunnus, on näytetty asuntonäytöllä ostotarjousta pohtivalle henkilölle. Hakija on saanut sähköpostiviestin ostotarjousta pohtivalta henkilöltä ilman hakijan suostumusta yhteystietojensa luovuttamiseen.

Rekisterinpitäjältä saatu selvitys

Rekisterinpitäjä on antanut selvityksensä 7.11.2018.

Rekisterinpitäjä on kertonut, että se on franchising-ketju, jossa rekisterinpitäjä toimii franchising -antajana ja jokainen ketjuun kuuluva franchising-yritys on itsenäinen osakeyhtiö ja vastaa itse toimistaan. Selvityspyyntö koskee ketjuun kuuluvan [..] -nimisen yhtiön toimintaa, jolta rekisterinpitäjä on pyytänyt selvityksen selvityspyyntöön vastaamiseksi.

Annetussa selvityksessä on todettu kohteessa 2.10.2018 järjestetyssä esittelyssä välittäjän lisäksi olleen pariskunta, joka osti asunnon sekä henkilö, joka ilmoitti harkitsevansa kohteesta tarjouksen tekemistä. Edelleen selvityksen mukaan jälkimmäiselle henkilölle oli annettu nähtäväksi vuokrasopimus välittäjän salkusta, ja välittäjä oli saanut kuulla muutama päivä esittelyn jälkeen asunnon myyjältä, että kyseinen henkilö oli ollut yhteydessä hakijaan selvittääkseen, onko tämä viihtynyt asunnossa ja haluaako jatkaa vuokralaisena. Selvityksen mukaan välittäjällä ei ollut tiedossa, että henkilö tulisi toimimaan tällä tavalla.

Rekisterinpitäjä on vedonnut siihen, että kiinteistönvälitysliikkeitä koskevien lakien (laki kiinteistöjen ja vuokrahuoneistojen välityksestä (1074/2000) ja laki kiinteistönvälitysliikkeistä ja vuokrahuoneiston välitysliikkeistä (1075/2000)) mukaan välitysliikkeiden tulee noudattaa toiminnassaan hyvää välitystapaa. Hyvän välitystavan ohjeen (www.hyvavalitystapa.fi) mukaan myytäessä vuokrattua huoneistoa, tulee välitysliikkeen pyytää vuokrasopimus toimeksiantajalta ja antaa ostajalle tieto sen sisällöstä. Kiinteistönvälitysalalla on käytössä kuluttajaviranomaisen hyväksymät lomakkeet. Ostotarjouslomakkeissa on yhtenä Liite-vaihtoehtona vuokrasopimus. Kyseessä olevaan kohtaan on tarkoitus rastittaa asiakirjat, jotka on annettu ostotarjouksen tekijälle ja joihin hän on tutustunut ennen ostopäätöksen tekemistä.

Rekisterinpitäjän näkemyksen mukaan on ehdottoman perusteltua, että ostotarjousta tekevä henkilö voi varmistua vuokrasopimuksen olemassaolosta, asianmukaisuudesta sekä vuokralaisen henkilöllisyydestä ja luotettavuudesta tehdessään ostotarjouksen vuokralla olevasta kohteesta. Tarjouksen tekijä sitoutuu jo tarjousta tehdessään siihen, että hän tulee vuokrasopimuksen osapuoleksi ja vuokrasopimus siirtyy hänen vastuulleen, mikäli hänen tarjouksensa hyväksytään. Edellä mainittujen asioiden varmistaminen on selvityksen mukaan keskeistä, jotta ostajaehdokas voi harkita, haluaako hän tehdä tarjouksen. Asunnon ostamisessa on lisäksi yleensä kyse taloudellisesti isosta sitoumuksesta, joten on selvää, että ostajaehdokkaalla pitää olla kaikki relevantti tieto saatavilla ostopäätöstä tehdessään.

Rekisterinpitäjä on todennut, että se on saanut myyjän ja vuokralaisen välisen vuokrasopimuksen kohteen myyjältä, toimeksiantajaltaan, eikä rekisterinpitäjällä ole mitään sopimussuhdetta vuokralaiseen. Selvityksessä on huomautettu, että vuokrasopimuksen siirtymiseen uuden omistajan nimiin ei tarvita vuokralaisen lupaa. Näin ollen selvityksen mukaan vuokralaisen lupaa ei tarvita vuokrasopimuksen tai sen tietojen luovuttamiseen ostotarjouksen tekemistä harkitseville.

Rekisterinpitäjän mukaan solmiessaan vuokrasopimuksen vuokranantajan kanssa vuokralaisen on tullut ottaa huomioon, että vuokranantaja saattaa myydä kohteen, jolloin hänen tietonsa päätyvät muidenkin henkilöiden tietoon.

Annetussa selvityksessä on todettu, että vuokrasopimusta tai sen tietoja ei ole luovutettu sähköpostilla. Jos olisi, olisi selvityksen mukaan luovutuksessa rekisterinpitäjän ohjeistuksen mukaisesti käytetty suojattua sähköpostia, jos luovutettavissa tiedoissa olisi ollut arkaluonteisia tietoja, kuten henkilötunnus.

Annetussa selvityksessä on lisäksi todettu, että luovutuksen peruste on ollut lain ja hyvän välitystavan noudattaminen. Välitysliikkeen tulee huolehtia, että ostotarjouksen tekijällä on ostotarjouksen tekohetkellä tiedossa kaikki, mikä voi vaikuttaa hänen ostopäätökseensä. Edellä esitetyin perustein rekisterinpitäjä on katsonut, että kun kohde myydään vuokrattuna, ostotarjousta tekevällä tulee olla mahdollisuus tutustua kohteen vuokrasopimukseen, koska tarjouksen tekijä sitoutuu jo tarjousta tehdessään siihen, että hän tulee vuokrasopimuksen osapuoleksi ja vuokrasopimus siirtyy hänen vastuulleen, mikäli hänen tarjouksensa hyväksytään.

Rekisterinpitäjä on 26.6.2020 vahvistanut, että selvityksessä esitetyt tiedot pitävät edelleen paikkansa.

Hakijan vastine

Hakijalta on 25.6.2020 pyydetty vastinetta. Hakija ei ole antanut vastinetta.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilötietolaki (523/1999).

Oikeudellinen kysymys

Tietosuojavaltuutettu arvioi ja ratkaisee hakijan asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta.

Asiassa on ratkaistava:

1) onko rekisterinpitäjä vuokrattuna myytävän asunnon esittelyssä suorittamansa vuokralaisen henkilötietojen käsittelyn yhteydessä noudattanut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin periaatetta ja 25 artiklan 2 kohdassa säädettyä sekä tietosuojalain 29 §:n 4 momentissa säädettyä; ja

2) onko rekisterinpitäjälle annettava yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukainen määräys saattaa käsittelytoimensa yleisen tietosuoja-asetuksen säännösten mukaisiksi. Lisäksi tietosuojavaltuutettu arvioi, tuleeko asiassa käyttää tietosuojavaltuutetulle kuuluvia muita toimivaltuuksia.

TIETOSUOJAVALTUUTETUN PÄÄTÖS

Tietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukaisen huomautuksen. Rekisterinpitäjä ei ole vuokrattuna myytävän asunnon esittelyssä suorittamassaan vuokralaisen henkilötietojen käsittelyssä noudattanut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä tietojen minimoinnin periaatetta, yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa säädettyä eikä tietosuojalain 29 §:n 4 momentissa säädettyä.

Perustelut

Tietojen minimoinnin periaatteesta

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa on säädetty tietojen minimoinnin periaatteesta. Henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.

Käsiteltävien henkilötietojen on edellä mainitusti oltava määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia. Todettakoon, että jo henkilötietolakia koskeneessa hallituksen esityksessä oli täsmennetty niin sanotun tarpeellisuusvaatimuksen sisältöä. Henkilötietoja voidaan pitää käsittelyn tarkoituksen kannalta tarpeellisina silloin, kun ne ovat asianmukaisia ja olennaisia, eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja mihin niitä myöhemmin käsitellään (HE 96/1998 vp, s.42). Yleisen tietosuoja-asetuksen johdanto-osan perustelukappaleessa 39 on niin ikään todettu, että henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Näin ollen voidaan todeta, että henkilötietoja saa käsitellä ainoastaan, jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin.

Asiassa on edellä mainitusti kysymys tietojen minimoinnin periaatteesta, mistä periaatteesta Euroopan tietosuojaneuvosto on myös antanut käytännön ohjeita antamiensa suuntaviivojen yhteydessä (Guidelines 4/2019 on Article 25 Data Protection by Design and by Default (annettu 13.11.2019)). Näiden ohjeiden mukaan ensi alkuun olisi selvitettävä, onko henkilötietojen käsittely ylipäänsä tarpeellista. Henkilötietojen käsittelyä kehotetaan nimenomaisesti välttämään silloin, kun se vain on mahdollista. Lisäksi erikseen on korostettu, että käsiteltävien henkilötietojen on oltava oleellisia kysymyksessä olevan käsittelyn tarkoituksen kannalta. Kaikkien käsiteltävien henkilötietojen olisi niin ikään oltava tarpeellisia erikseen määritellyn tarkoituksen saavuttamiseksi. Tietyn henkilötiedon käsittely olisi sallittua vain, jos käsittelyn tarkoitusta ei ole mahdollista saavuttaa muilla tavoin. (Guidelines 4/2019 on Article 25 Data Protection by Design and by Default (annettu 13.11.2019), s. 19.) Käytännössä kussakin tilanteessa tulisi näin ollen kerätä mahdollisimman vähän henkilötietoja.

Merkitystä on lisäksi yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa säädetyllä. Rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.

Käsittelyn lainmukaisuudesta

Henkilötietojen ’käsittelyllä’ tarkoitetaan yleisen tietosuoja-asetuksen 4 artiklan 2 kohdan mukaan toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.

Jotta henkilötietoja voidaan käsitellä, on käsittelyn oltava lainmukaista, mistä säädetään yleisen tietosuoja-asetuksen 6 artiklassa. Esimerkiksi 6 artiklan 1 kohdan a alakohdan mukaan käsittely on lainmukaista, jos rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Henkilötietojen käsittely on niin ikään lainmukaista 6 artiklan 1 kohdan c alakohdan mukaan jos käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi ja f alakohdan mukaan jos käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

Henkilötunnuksen käsittelystä

Tietosuoja-asetuksen 87 artiklan nojalla jäsenvaltiot voivat määritellä tarkemmin erityiset kansallisen henkilönumeron tai muun yleisen tunnisteen käsittelyn edellytykset. Tässä tapauksessa kansallista henkilönumeroa tai muuta yleistä tunnistetta on käytettävä ainoastaan noudattaen rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia tämän asetuksen mukaisesti.

Tietosuojalain (1050/2018) 29 §:n 1 momentin mukaisesti henkilötunnusta saa käsitellä rekisteröidyn suostumuksella tai, jos käsittelystä säädetään laissa. Edelleen tietosuojalain 29 §:n 2 momentin nojalla henkilötunnusta saa käsitellä muun muassa vuokraustoiminnassa. Tietosuojalain 29 §:n 4 momentin mukaan henkilötunnusta ei tule merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin.

Käsillä olevasta tapauksesta

Asuinhuoneiston vuokrauksesta annetun lain (481/1995) 22 §:n 2 momentin nojalla jos huoneisto on tarkoitus myydä tai se on uudelleen vuokrattavissa, vuokranantajalla on oikeus näyttää huoneistoa vuokranantajalle ja vuokralaiselle sopivana aikana. Annetussa selvityksessä on todettu, että vuokrasopimusta on näytetty ostotarjousta vakavissaan pohtivalle henkilölle ja että kohteen ostajasta tulisi voimassa olevan vuokrasopimuksen vuokranantaja. Asiassa on siten käsitelty vuokralaisen henkilötietoja näyttämällä vuokrasopimusta ostotarjousta pohtivalle henkilölle asuntonäytön yhteydessä. Lisäksi rekisterinpitäjä on todennut, että välittäjän tulee huolehtia, että ostotarjouksen tekijällä on ostotarjouksen tekohetkellä tiedossa kaikki, mikä voi vaikuttaa hänen ostopäätökseensä asunnonoston ollessa iso taloudellinen päätös. Asiassa on niin ikään todettu, että hakijan ja rekisterinpitäjän välillä ei ole ollut sopimussuhdetta, eikä hakija ole antanut suostumustaan esimerkiksi sähköpostiosoitteensa välittämiseen ostotarjousta pohtivalle henkilölle.

Tietosuojavaltuutettu toteaa, että asiassa ei ole esitetty mitään sellaista, joka osoittaisi vuokralaisen henkilötunnuksen välittämisen asuntonäytön yhteydessä ostotarjousta pohtivalle henkilölle olevan välttämätöntä sen varmistamiseksi, että tuleva vuokranantaja voisi ostotarjousta pohtiessaan varmistua vuokralaisen luotettavuudesta. Asiassa ei ole myöskään perusteltu, miksi vuokralaisen sähköpostiosoitteen välittäminen näyttämällä voimassa olevaa vuokrasopimusta ostotarjousta pohtivalle mahdolliselle tulevalle vuokranantajalle ilman vuokralaisen suostumusta asuntonäytön yhteydessä olisi perusteltua. Rekisterinpitäjä ei ole selvityksessään täsmentänyt lainkohtaa, jonka nojalla vuokralaisen henkilötiedot on annettava asuntonäytön yhteydessä myytäessä vuokrattua kohdetta.

Rekisterinpitäjä ei liioin ole täsmentänyt, miten hyvää välitystapaa koskeva ohjeessa edellytettäisiin vuokralaisen henkilötietojen välittämistä asuntonäytön yhteydessä potentiaaliselle ostajaehdokkaalle ilman vuokralaisen suostumusta. Hyvää välitystapaa koskevassa 2.10.2019 päivätyssä ohjeessa todetaan, että: ”Jos huoneisto on vuokrattu, tulee välitysliikkeen pyytää vuokrasopimus ja antaa ostajalle tieto sen sisällöstä sekä selvittää vuokravakuuden sijainti. Välitysliikkeen tulee tiedustella toimeksiantajalta, onko vuokralainen maksanut vuokrat ajallaan ja mahdollisista muista ongelmista vuokrasuhteeseen liittyen. Välitysliikkeen on selvitettävä myös, onko vuokralainen irtisanottu vuokratusta huoneistosta huoneenvuokralain edellyttämällä tavalla ja milloin vuokrasopimus päättyy. Välitysliikkeen on syytä muistaa, että tehdystä irtisanomisesta huolimatta on mahdollista, että huoneisto ei vapaudu irtisanomisajan päättyessä.” (Kiinteistönvälitysalan Keskusliitto. Ohje hyvästä välitystavasta. 2.10.2019, s. 27.) Näin ollen välitysliikkeen olisi tullut voida informoida ostajaehdokasta esimerkiksi mahdollisista vuokrasuhteeseen liittyvistä ongelmista ilman vuokralaisen henkilötietojen käsittelemistä näytön yhteydessä.

Todettakoon, että myytäessä vuokrattua kohdetta ostajan on hyvä muun muassa varmistua siitä, että vuokrasopimus on kunnossa ja että esimerkiksi vuokran määrä on markkinahinnan mukainen. Mikäli ostotarjouksen tekijä haluaa itse muuttaa kohteeseen, on myös tärkeää, että ostaja saa käsityksen vuokrasopimuksessa noudatettavasta irtisanomisajasta. Tietosuojavaltuutettu on kuitenkin toimivaltainen ottamaan kantaa vain henkilötietojen käsittelyä koskeviin kysymyksiin.

Annetussa selvityksessä on vedottu siihen, että ostotarjouksen tekijälle tulee kuluttajaviranomaisen hyväksymien lomakkeiden mukaisesti muun muassa antaa tutustuttavaksi vuokrasopimus. Tietosuojavaltuutettu katsoo, että vuokrasopimuksen näyttäminen on mahdollista ostotarjouksen tekemisen yhteydessä. Asiassa annetun selvityksen perusteella näytölle osallistunut ja hakijaa lähestynyt henkilö ei kuitenkaan lopulta ole tehnyt ostotarjousta, vaan kyseinen henkilö oli ainoastaan ilmoittanut harkitsevansa ostotarjouksen tekemistä, kun hänelle annettiin tutustuttavakseen vuokrasopimus asuntonäytön yhteydessä.

Tietosuojavaltuutettu toteaa, että vaikka solmiessaan vuokrasopimuksen vuokranantajan kanssa vuokralaisen on tullut ottaa huomioon, että vuokranantaja saattaa myydä kohteen, ei ole perusteltua, että vuokralaisen olisi tullut olettaa, että hänen yhteystietonsa tai henkilötunnuksensa välittyvät näytön yhteydessä ostotarjousta pohtivalle ilman vuokralaisen suostumusta. Selvyyden vuoksi todettakoon, että vuokralaisen sähköpostiosoitteen lisäksi tämä koskee tietosuojavaltuutetun mielestä esimerkiksi myös vuokralaisen puhelinnumeroa.

Tietosuojavaltuutettu toteaa, että Euroopan tietosuojaneuvoston antamien suuntaviivojen mukaan henkilötietojen käsittelyä on pyrittävä välttämään ja rekisterinpitäjän on noudatettava yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa on säädettyä tietojen minimoinnin periaatetta. Lisäksi tietosuojavaltuutettu toteaa, että tietosuojalain 29 §:n 4 momentin nojalla henkilötunnusta ei tule merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin asiakirjoihin.

Edellä esitetyillä perusteilla tietosuojavaltuutettu antaa rekisterinpitäjälle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdassa tarkoitetun huomautuksen saattaa vuokrattuna myytävän asunnon esittelyssä suorittamansa vuokralaisen henkilötietojen käsittely yleisessä tietosuoja-asetuksessa säädetyn mukaiseksi.

Koska asiassa on kyse sopimusosapuolten oikeuksista ja velvollisuuksista, eikä kuluttajaviranomaisten hyväksymissä lomakkeissa ole arvioitu asiaa henkilötietojen käsittelyn kannalta, tietosuojavaltuutettu katsoo, että ohjeistusta tulisi arvioida sopimusosapuolten oikeuksien ja velvollisuuksien näkökulmasta.

Sovelletut lainkohdat

Perusteluissa mainitut.

Päätös ei ole lainvoimainen.