Henkilötunnus - Tietojen minimointi - Tarkastusoikeus

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	24.05.2021
Diaarinumero:	7089/152/19

Apulaistietosuojavaltuutetun päätös rekisteröidyn tarkastusoikeuden toteuttamista ja tietojen minimointia koskevassa asiassa

Asia

Lasten henkilötunnusten kerääminen vuokraus- ja isännöintitoiminnas-sa, rekisteröidyn tekemän tietopyynnön toteuttaminen

Rekisterinpitäjä

Sivakka-yhtymä Oy

Ilmoittajalta saatu selvitys

Vireillesaattaja on kertonut 18.9.2019 tietosuojavaltuutetun toimistolle, ettei rekisterinpitäjä ole toteuttanut hänen 9.11.2015 sähköpostitse tekemäänsä tietopyyntöä, vaan häntä on vaadittu lähettämään pyyntö allekirjoitettuna kirjeenä tai tulemaan paikan päälle tekemään pyyntö. Vireillesaattaja on tämän jälkeen toimittanut pyynnön postitse.

Vireillesaattajan mukaan rekisterinpitäjä on myös kerännyt hänen lastensa henkilötunnukset kertomatta niiden käyttötarkoitusta. Rekisterinpitäjän ja vireillesaattajan välinen vuokrasuhde on päättynyt 2013.

Rekisterinpitäjältä saatu selvitys

Rekisterinpitäjän mukaan vireillesaattajan aikaisemmista pyynnöistä johtuen hänen kanssaan on haluttu toimia erityisen huolellisesti, ja tämän vuoksi häntä on pyydetty tulemaan asiakaspalveluun henkilökohtaisesti kuvallisen henkilöllisyystodistuksen kanssa. Vireillesaattajalle on kerrottu syyksi se, ettei hänen yhteydenottonsa perusteella ole ollut mahdollista todentaa hänen henkilöllisyyttään. Vaihtoehdoksi vireillesaattajalle on tarjottu mahdollisuutta toimittaa pyyntö allekirjoitettuna kirjeenä. Rekisterinpitäjän mukaan tietopyyntöohjeistus on annettu vireillesaattajalle marraskuussa 2015, eikä vireillesaattajalta ole tämän jälkeen saatu yhteydenottoja ennen vuotta 2018.

Lasten henkilötunnusten keräämisen osalta rekisterinpitäjä toteaa, että henkilötunnukset ovat välttämättömiä asiakassuhteen ylläpitämiseen, ja tietosuojaselosteessa rekisteröityjä informoidaan tästä toimintatavasta. Tietoa henkilötunnuksesta tarvitaan lapsen henkilöllisyyden ja asunnon tarpeen toteamiseen, asiakkaan hakiessa Kelalta asumistukea, avainten hukkaamistilanteissa, sekä Huoli-ilmoitusten tekemisessä sosiaalitoimelle (ilmoituksia tehdään noin 20 kertaa vuodessa). Lisäksi lasten henkilötunnuksen kerääminen perustuu soveltuvilta osin ympäristöministeriön asetukseen arava- ja korkotukivuokra-asuntojen hakemuslomakkeesta ja sen liitteistä 904/2006, jonka 1 §:n mukaan arava- ja korkotukivuokra-asuntoja on haettava kirjallisesti asuntohakemuslomakkeella, ja hakemuksessa on mainittava asumaan tulevien nimet ja henkilötunnukset. Asiakas täyttää saman hakemuksen riippumatta siitä, minkä rahoitusmuodon asuntoja hän hakee, mutta vapaarahoitteisten kohteiden kohdalla liitteitä ei tarvita. Vireillesaattajan muuttoajankohtaa koskevia asiointitietoja ei rekisterinpitäjän mukaan ole tallessa, joten tiedossa ei ole, missä tarkoituksessa vireillesaattajan lasten henkilötunnukset on alun perin viety vuokranantajan tietojärjestelmään.

Sovellettavasta lainsäädännöstä

Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 (tietosuoja-asetus) on sovellettu 25.5.2018 alkaen. Säädös on asetuksena jäsenvaltioissa välittömästi sovellettavaa oikeutta. Tietosuoja-asetus sisältää kansallista liikkumavaraa, minkä perusteella kansallisella lainsäädännöllä voidaan täydentää ja täsmentää asetuksessa nimenomaan mää-riteltyjä seikkoja. Yleistä tietosuoja-asetusta täsmentää kansallinen tietosuojalaki (1050/2018), jota on sovellettu 1.1.2019 alkaen. Tietosuojalailla kumottiin aiemmin voimassa ollut henkilö-tietolaki (523/1999).

Tarkastusoikeutta koskeva pyyntö on esitetty rekisterinpitäjälle henkilötietolain voimassaoloai-kana. Henkilötietolain voimassa ollessa rekisteritietojen tarkastamista koskevaan asiaan so-vellettiin henkilötietolain 26–28 §:iä. Rekisterinpitäjälle esitetty alkuperäinen pyyntö on näin ol-len perustunut henkilötietolain mukaiseen tarkastusoikeuteen.

Tietosuojalain 38 § sisältää siirtymäsäännöksen, jonka 3 momentin mukaan tietosuojalain voimaan tullessa vireillä olevassa tarkastusoikeuden toteuttamista koskevassa asiassa ei so-velleta sellaisia tietosuoja-asetuksen 12 ja 15–18 artiklan säännöksiä, joissa asetetaan rekis-erinpitäjälle laajempia velvollisuuksia kuin tietosuojalain voimaan tullessa voimassa olleet säännökset edellyttävät, jos mainittujen tietosuoja-asetuksen säännösten soveltaminen olisi rekisterinpitäjän kannalta kohtuutonta.

Tietosuojalain 38 § 3 momentin mukainen arviointi

Henkilötietolain 26 §:ssä säädettiin henkilörekisteriin talletetun tiedon tarkastamisesta. Lain-kohdan mukaan jokaisella oli salassapitosäännösten estämättä oikeus tiedon etsimiseksi tar-peelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin oli tal-letettu tai, että rekisterissä ei ollut häntä koskevia tietoja. Saman lain 27 §:ssä säädettiin tar-kastusoikeuden rajoituksista. Kyseisen lain 28 §:ssä säädettiin tarkastusoikeuden toteuttami-sesta. Viimeksi mainitun pykälän 2 momentin mukaan rekisterinpitäjän oli ilman aiheetonta vii-vytystä varattava rekisteröidylle tilaisuus tutustua 26 §:ssä tarkoitettuihin tietoihin tai annetta-va tiedot pyydettäessä kirjallisesti. Tiedot oli annettava ymmärrettävässä muodossa. Saman lain 3 §:n 5 kohdan mukaan rekisteröidyllä tarkoitettiin henkilöä, jota henkilötieto koski.

Oikeudesta saada pääsy tietoihin

Yleisen tietosuoja-asetuksen 15 artiklassa säädetään rekisteröidyn oikeudesta saada pääsy tietoihin. Säännöksen mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus sii-tä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilö-tietoja käsitellään, oikeus saada pääsy tietoihin sekä muut artiklassa mainitut tiedot. Saman artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötie-doista. Saman artiklan 4 kohdan mukaan oikeus saada 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin. Rekisteröidyn oikeuksien käyttämisessä ja toteuttamisessa noudatettavista menettelytavoista säädetään yleisen tietosuoja-asetuksen 12 artiklassa. Yleisen tietosuoja-asetuksen 4 artiklan 1 kohdan mukaan ”henkilötiedoilla” tar-koitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ”rekisteröity” liittyviä tietoja.

Edellä kuvatut tietojen tarkastamista koskevat henkilötietolain säännökset ja tietosuoja-asetuksen säännökset rekisteröidyn oikeudesta saada pääsy tietoihin ovat keskenään pääl-lekkäisiä ja aineellisesti lähes saman sisältöisiä. Näin ollen lähtökohtaisesti ei voida katsoa, et-tä yleisen tietosuoja-asetuksen 15 artiklassa asetettaisiin rekisterinpitäjälle käsillä olevassa asiassa laajempia velvollisuuksia kuin mitä henkilötietolain 26–28 § olisi edellyttänyt. Sen vuoksi asiassa sovelletaan tietosuojalain 38 § 3 momentin mukaisesti yleisen tietosuoja-asetuksen 15 artiklaa ja siihen liittyviä säännöksiä.

Henkilötunnuksen käsittelystä

Henkilötietojen, mukaan lukien henkilötunnuksen, keräämistä on koskenut jo henkilötietolain aikana tarpeellisuusvaatimus (henkilötietolain 9 §). Yleisessä tietosuoja-asetuksessa tarpeelli-suusvaatimus sisältyy minimointiperiaatetta koskevaan 5(1)(c) artiklaan. Yleisen tietosuoja-asetuksen 87 artiklassa on puolestaan säädetty nimenomaisesti kansallisen henkilötunnuksen käsittelystä. Artiklan mukaan kansallista henkilönumeroa tai muuta yleistä tunnistetta on käy-tettävä ainoastaan noudattaen rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia tietosuoja-asetuksen mukaisesti, ja jäsenvaltiot voivat määritellä tarkemmin erityi-set kansallisen henkilönumeron tai muun yleisen tunnisteen käsittelyn edellytykset. Asetuk-sessa säädettyä täydentää tietosuojalain 29 §, ja tämä säännös vastaa sisällöltään aiemmin sovellettua henkilötietolain 13 §:ää (tietosuojalakia on sovellettu 1.1.2019 alkaen).

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee hakijan asian edellä mainitusti yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta. Apulaistietosuojavaltuutetun tulee ratkaista, onko rekisteröidyn tekemä tarkastuspyyntö toteutettu yleisessä tietosuoja-asetuksessa säädetyllä tavalla ja onko rekisterinpitäjän tapa käsitellä henkilötunnusta lainmukainen.

Apulaistietosuojavaltuutetun on ratkaistava, tuleeko rekisterinpitäjälle antaa yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukainen huomautus asetuksen säännösten vastaisista käsittelytoimista ja yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukainen määräys saattaa käsittelytoimet asetuksen säännösten mukaisiksi.

Apulaistietosuojavaltuutetun on lisäksi ratkaistava, tuleeko rekisterinpitäjälle antaa yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukainen määräys noudattaa rekisteröidyn pyyntöä saada pääsy tietoihin.

Apulaistietosuojavaltuutetun päätös

Rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukainen huomautus asetuksen vastaisista käsittelytoimista koskien lasten henkilötunnusten käsittelyä sekä rekisteröidyn tunnistamistoimenpiteitä tarkastuspyyntöasiassa.

Rekisterinpitäjälle annetaan myös yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan d alakohdan mukainen määräys saattaa käsittelytoimet lasten henkilötunnusten keräämisen osalta asetuksen säännösten mukaisiksi sekä poistaa kerätyt henkilötunnustiedot siltä osin, kuin niiden keräämiselle ei ole ollut asianmukaisia perusteita.

Lisäksi rekisterinpitäjälle annetaan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukainen määräys noudattaa rekisteröidyn vuonna 2015 esittämää pyyntöä saada pääsy tietoihin, ja rekisterinpitäjän tulee tämän myötä käsitellä rekisteröidyn esittämä pyyntö ja toteuttaa se niiltä osin kuin kyse on sellaisista TSA 15 artiklan piiriin kuuluvista tiedoista, joihin ei tule sovellettavaksi rajoitusperusteita.

Perustelut

Vireillesaattaja on tehnyt rekisterinpitäjälle tietopyynnön sähköisesti, jolloin rekisterinpitäjä on vireillesaattajan aikaisemmista pyynnöistä johtuen kehottanut vireillesaattajaa tekemään tarkastuspyynnön asiakaspalvelupisteessä ja todistamaan siinä yhteydessä henkilöllisyytensä. Vaihtoehtoisesti pyynnön on voinut toimittaa rekisterinpitäjälle allekirjoitettuna kirjeenä. Yleisen tietosuoja-asetuksen 12(2) artiklan mukaan rekisterinpitäjällä on kuitenkin velvollisuus helpottaa rekisteröidyn oikeuksien käyttämistä, eikä rekisterinpitäjä saa kieltäytyä toimimasta rekisteröidyn pyynnöstä tarkastusoikeuden käyttämiseksi, ellei rekisterinpitäjä osoita, ettei rekisteröityä pystytä tunnistamaan. Asiassa saadun selvityksen perusteella rekisterinpitäjälle ei ole jäänyt epäselvyyttä siitä, kuka henkilö pyyntöjen takana on ollut. Aiemmat pyynnöt eivät myöskään ole peruste hankaloittaa rekisteröidylle kuuluvan tarkastusoikeuden käyttämistä, vaan lainmukaisena kieltäytymisperusteena voidaan esimerkiksi tilanteessa, jossa rekisteröity esittää usein samoihin tietoihin kohdistuvia pyyntöjä, käyttää pyynnön perusteettomuutta (ks. TSA 12(5) artikla). Korostettakoon, että tarkastuspyynnön epäämisen on aina perustuttava lakiin.

Lasten henkilötunnusten keräämisen osalta voidaan todeta puolestaan seuraavaa: Henkilötietojen keräämisen tulee tapahtua tarpeellisuusvaatimusta noudattaen, eikä rekisterinpitäjän ole lainmukaista kerätä rekisteröidyiltä sellaisia henkilötietoja, joiden tarpeellisuudelle ei ole esitettävissä asianmukaisia perusteita (TSA 5(1)(c) artikla, aiemmin henkilötietolain 9 §). Nyt tarkasteltavana olevassa tapauksessa rekisterinpitäjä on kerännyt järjestelmällisesti lasten henkilötunnuksia vedoten lapsen henkilöllisyyden ja asunnon tarpeen toteamiseen, asumistuen hakuprosessiin, avainten hukkaamistilanteisiin, sekä Huoli-ilmoitusten tekemiseen sosiaalitoimelle. Lisäksi lasten henkilötunnusten kerääminen on perustunut osittain ympäristöministeriön asetukseen arava- ja korkotukivuokra-asuntojen hakemuslomakkeesta ja sen liitteistä (904/2006).

Perusteiden olemassaoloa tulisi kuitenkin arvioida tapauskohtaisesti, eikä henkilötietoja voida esimerkiksi kerätä ja säilyttää pelkästään varmuuden vuoksi, tulevaisuuden varalle. Rekisterinpitäjän esittämien yksittäisten perustelujen osalta voidaan myös todeta, ettei lastensuojeluilmoitukseen ole välttämätöntä sisällyttää lapsen henkilötunnusta, eikä rekisterinpitäjä voi tällä perusteella kerätä etukäteen tätä tietoa mahdollista tulevaa käyttötarvetta silmällä pitäen. Myöskään avaintenhukkaamistilanteilla ei ole mahdollista perustella lasten henkilötunnusten keräämistä, eikä avaimen kadottaneella lapsella ole edes pääsääntöisesti esittää henkilöllisyystodistusta, johon rekisterinpitäjän hallussa olevaa henkilötunnustietoa olisi mahdollista verrata. Kansaneläkelaitos ei puolestaan pyydä asumistukiasiassa vuokranantajaa keräämään lasten henkilötunnuksia, eikä vuokranantaja tai isännöitsijä voi ylipäänsä hakea asumistukea asukkaan puolesta. Ympäristöministeriön asetuksen osalta voidaan sen sijaan huomioida, ettei siinä ole tehty rajausta asukkaan iän perusteella, vaan 1 §:n mukaan henkilötunnustieto kerätään arava- ja korkotukivuokra-asuntoon asumaan tulevilta. Tämä ei kuitenkaan oikeuta lasten henkilötunnustiedon järjestelmälliseen keräämiseen vuokraus- ja isännöintitoiminnassa, vaan tarpeellisuusarviointi tulee suorittaa tapauskohtaisesti, ja ympäristöministeriön asetusta sovellettaessa rekisterinpitäjän tulee varmistua siitä, että henkilö kuuluu asetuksen piiriin.

Asiassa saadun selvityksen osalta huomioitakoon lisäksi, että vireillesaattaja on esittänyt tietosuojavaltuutetun toimistolle antamassaan vastineessaan laajan, lokakuulle 2020 ulottuvan henkilötietojen tarkastus- ja poistopyynnön. Kyseinen pyyntö tulee kuitenkin kohdistaa valvontaviranomaisen sijasta suoraan rekisterinpitäjään.

Vireillesaattaja on sisällyttänyt vastineeseensa myös vahingonkorvausvaatimukseksi tulkittavissa olevan osion. Mikäli vireillesaattajan on tässä kohtaa ollut tarkoitus vaatia vahingonkorvausta tietosuojavaltuutetun toimiston kautta, todettakoon, ettei tietosuojavaltuutettu voi toimia vahingonkorvausasiassa asiamiehenä tai vaatia vahingonkorvausta rekisteröidyn puolesta. Yksityisoikeudelliset vaatimukset tulee esittää suoraan tuomioistuimille silloinkin, jos kyse on yleisen tietosuoja-asetuksen 82 artiklaan perustuvasta vahingonkorvausvaateesta.

Sovelletut lainkohdat

Perusteluissa mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään hallinto-oikeuteen.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 §:n mukaisesti postitse saantitodistusta vastaan.

Lisätietoja tästä päätöksestä antaa asian esittelijä

Ylitarkastaja Niina Miettinen, niina.miettinen@om.fi, puh. 029 566 6774

Päätöksen on tehnyt apulaistietosuojavaltuutettu Heljä-Tuulia Pihamaa.

Päätös on lainvoimainen.