X Oy on valituksessaan vaatinut, että korkein hallinto-oikeus kumoaa Helsingin hallinto-oikeuden päätöksen ja vahvistaa tietosuojalautakunnan lupatoimivallan henkilöluottotietojen käsittelyä koskien sekä myöntää henkilötietolain 43 §:n nojalla X Oy:lle luvan kysymyksessä olevaan henkilötietojen käsittelyyn.

Vaatimusten perusteluina on esitetty muun ohella seuraavaa:

Tietosuojalautakunnan lupatoimivalta

X Oy:n käsityksen mukaan tietosuojalautakunnalla on ja tulee olla henkilötietolain perusteella toimivalta myöntää lupa henkilöluottotietojen käsittelyyn.

Luottotietolaissa mainitut henkilöluottotiedot ovat samalla myös henkilötietolain 3 §:n tarkoittamia henkilötietoja eli luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Luottotietolain 1 §:n 2 momentin nojalla luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan henkilötietolakia, jollei luottotietolaissa toisin säädetä. Samoin henkilötietolain 2 §:n 1 momentissa on säädetty, että henkilötietoja käsiteltäessä on noudatettava, mitä henkilötietolaissa säädetään, jollei muualla laissa toisin säädetä. Henkilötietolaki onkin yleislaki, joka soveltuu henkilötietojen käsittelyyn, jollei erityislaeissa muuta ole säädetty.

Luottotietolaissa ei erikseen säädetä lupatoimivallasta, jolloin sovellettavaksi tulevat henkilötietolain säännökset asiasta. Se, että luottotietolaissa ei ole nimenomaista säännöstä tietosuojalautakunnan lupatoimivallasta, ei poista lautakunnan toimivaltaa.

Hallinto-oikeuden laintulkinta ei vastaa suomalaista laintulkintaoppia, jonka mukaan erityislaki syrjäyttää ristiriitatilanteessa yleislain. Mikäli erityislaissa ei ole jostain asiasta säädetty, normien välistä ristiriitaa ei synny ja yleislaki, tässä tapauksessa henkilötietolaki, soveltuu asian käsittelyyn.

Henkilöluottotiedot ovat myös henkilötietoja. Kuten hallinto-oikeuden päätöksessä todetaan, tietosuojalautakunta voi henkilötietolain 43 §:n mukaan myöntää luvan henkilötietojen käsittelyyn. Vailla merkitystä on se, että sanotussa pykälässä ei viitata luottotietolakiin. Henkilötietolaissa (2 §) ja luottotietolaissa (1 §) todetaan yksiselitteisesti, että henkilötietolaki soveltuu henkilötietojen käsittelyyn, jollei muuta ole luottotietolaissa säädetty.

Hallinto-oikeuden tulkinta luottotietolain ja henkilötietolain välisestä suhteesta on virheellinen. Luottotietolaissa ei ole erikseen säädetty lupatoimivallasta, jolloin henkilötietolain lupatoimivaltaa koskeva säännös soveltuu. On selvää, että lainsäädäntöteknisesti tämän kaltaisen lupatoimivallan säätäminen luottotietolakiin ei ole ollut tarpeen, koska asiasta on jo säädetty henkilötietolaissa. Kysymys ei ole tietosuojalautakunnan toimivallan laajentamisesta, vaan sen toimivaltaan kuuluvasta asiasta.

Luottopäätössuosituksia koskevan toiminnan kuvaus

X Oy:n luottopäätöspalvelu tekee luotonantajille luottopäätössuosituksia yhteistyössä luotonantajien kanssa. Luottopäätössuosituksia voidaan tehdä yksityishenkilöistä. Itse luottopäätöksen tekee kaikissa tilanteissa luotonantaja.

Palvelu perustuu luotonsaajan ja luotonantajan nimenomaiseen toimeksiantoon. Luotonhakija antaa X Oy:lle toimeksiannon luovuttaa itseään koskevat perintätiedot yhtiön rekistereistä luotonantajalle luottohakemuksen käsittelyä varten. Tiedot voidaan luovuttaa vain pisteiden muodossa eikä yksittäisinä velkatietoina. Pisteet muodostuvat julkisista maksuhäiriötiedoista, luotonhakijan luottohakemuksesta ilmenevistä tiedoista ja X Oy:n perintärekistereissä olevista tiedoista. Jos luottohakemus hylätään X Oy:ltä saatujen pistetietojen vuoksi, luotonhakijalla on oikeus saada tietää hylkäyksen syy.

X Oy ylläpitää perintärekistereitä päämiestensä lukuun. Oleellista on, että pisteitä muodostettaessa yllä kuvattujen tietojen hyödyntäminen perustuu luotonhakijan toimeksiantoon eli nimenomaiseen, toimeksiantokohtaiseen suostumukseen. Perintärekisteritietojen pisteytys perustuu siihen, onko luotonhakijalla omia avoimia perintätoimeksiantoja X Oy:ssä vai ei. Pistetieto ei sisällä tietoa perintätoimeksiannon sisällöstä. Pistetietoon vaikuttavat myös X Oy:ssä viimeisen kuuden kuukauden aikana lopetetut asiat. Lopetettu asia vaikuttaa pisteisiin vain positiivisesti eli helpottaa luotonsaantia. Luotonhakija voi saada luottoa, vaikka hänellä olisi julkisia maksuhäiriöitä hoidetuista vastuista.

Tiedon kulku luottopäätöspalvelussa on itse asiassa sama kuin jos rekisteröity valtuuttaisi edustajansa hakemaan perintärekisteristä itseään koskevan tiedon ja luovuttamaan sen luottolaitokselle otettavaksi huomioon luottopäätöstä harkittaessa. Tällainen menettely ei rikkoisi mitään lakia.

Perintätietojen hyödyntäminen ei voi rikkoa luotonhakijan yksityisyyden suojaa. Henkilö, joka ei syystä tai toisesta halua, että perintätietoja hyödynnetään, ei anna toimeksiantoa niiden hyödyntämiseen. Luottopäätössuositus voidaan tällöin antaa julkisten maksuhäiriötietojen ja luotonhakijan antamien tietojen nojalla. Vaikka henkilöllä olisi maksuhäiriöitä, luottopäätössuositus voi johtaa luoton myöntämiseen.

Luottotietolain ja henkilötietolain välisestä suhteesta

Luottotietolain valmistelussa lähtökohta oli se, että esimerkiksi perintätietoja ei sisällytetä yhtenäisesti ylläpidettävään luottotietorekisteriin, mutta luotonantajalla on mahdollisuus selvittää luotonhakijan taloudellinen tilanne tämän suostumuksella eri lähteistä. Juuri tästä X Oy:n luottopäätöspalvelussa on kysymys. Siltä osin kuin henkilötietolaki asettaisi esteitä toiminnalle, sille on yhtiön käsityksen mukaan myönnettävissä henkilötietolain 43 §:n mukainen lupa.

Myös luottotietolaki tunnistaa sen, että tietolähteitä voi olla monia. Mainitun lain 6 §:n nojalla luottotietoina käytettävät henkilötiedot on hankittava rekisteröidyltä itseltään, luottotietorekisteristä tai niistä viranomaisten rekistereistä, joihin kyseisiä tietoja talletetaan yleistä käyttöä varten, jollei oikeudesta tietojen käyttöön säädetä laissa tai määrätä lain nojalla tehdyssä päätöksessä. Rekisteröidyn suostumuksella tietoja saadaan hankkia myös muista tietolähteistä, jos tietojen tällainen käsittely luovuttamista varten on sallittua henkilötietolain ja muun henkilötietojen käsittelyä koskevan lain nojalla.

X Oy:n käsityksen mukaan luottotietolain 1 ja 6 § sekä lakia koskevan hallituksen esityksen HE 241/2006 vp lausuma ilmentävät selvästi, että rekisteröidyn suostumuksella (toimeksiannosta) luottopäätöspalvelussa saa käsitellä myös muita kuin luottotietolain 4 luvussa lueteltuja tietoja. Edellytyksenä on, että tällainen käsittely on henkilötietolain nojalla sallittua. Lainkohta ilmentääkin henkilötietolain asemaa yleislakina, joka tulee ottaa huomioon erityislakina säädetyn luottotietolain lisäksi.

Tietosuojalautakunnan olisi tullut antaa lupa rekisteröidyn suostumuksella tapahtuvaan tietojen käsittelyyn, joka tapahtuu henkilötietolain 43 §:ssä tarkoitetulla tavalla rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi.

X Oy:n luvan tarve

Kuten edeltä ilmenee, X Oy:n luottopäätöspalvelussa annettavat pisteet muodostuvat seuraavista tekijöistä: 1) julkiset maksuhäiriötiedot, 2) luotonhakijan luottohakemuksesta ilmenevät tiedot ja 3) X Oy:n perintärekistereissä olevat tiedot.

Kohdan 1 tiedot ovat ainoastaan luottotietolain 4 luvun 13 §:n 3 kohdan mukaisia tietoja. Yhtiö ei tarvitse erillistä lupaa tältä osin.

Kohdan 2 tiedot yhtiö saa luotonhakijalta itseltään. Mikäli näiden tietojen käyttämiseen liittyisi henkilötietolain soveltamista koskeva ongelma, yhtiö pyytää, että tietojen käsittelyyn myönnetään lupa henkilötietolain 43 §:n nojalla. Luottotietolakiongelmaa tähän kysymykseen ei pitäisi liittyä ottaen huomioon hallituksen esityksen lausuma siitä, että luotonantaja voi joka tapauksessa selvittää luotonhakijan taloudellisen tilanteen tämän suostumuksella eri lähteistä.

Kohdan 3 tietojen osalta tietosuojavaltuutettu on kannanotossaan 29.9.2006 katsonut, että henkilötietolain käyttötarkoitussidonnaisuus estää tietojen käytön edes suostumuksella. Yhtiö pyytää, että lupa myönnetään henkilötietolain 43 §:n nojalla. Luottotietolakiongelmaa tähänkään kysymykseen ei pitäisi liittyä ottaen huomioon hallituksen esityksen lausuma.

X Oy:n toiminnassa ei ole kysymys siitä, että yhtiön "luottotietorekisteriin" rekisteröitäisiin luottotietoja laajemmin kuin mitä luottotietolaki sallii. Luottotietolain 2 §:stä ilmenee, että lain lähtökohtana on muun muassa turvata luotonhakijan oikeus tulla arvioiduksi oikeiden ja asianmukaisten tietojen perusteella. Luotonhakijan toimeksiannosta tapahtuva perintätietojen käsittely turvaa juuri tätä periaatetta ja luottotietolakia tulee tulkita tämän lähtökohdan mukaisesti. Lain tulkinta ei voi johtaa tilanteeseen, jossa edes luotonhakijan suostumuksella luottopäätöspalvelussa ei voitaisi ottaa huomioon tietoja luotonhakijan veloista ja niiden hoitamisesta (niin sanotut positiiviset luottotiedot).

X Oy:n käsityksen mukaan luottopäätöspalvelutoiminta ei riko henkilötietolakia tai luottotietolakia, koska perintätietojen hyödyntäminen perustuu kaikissa tilanteissa luotonhakijan nimenomaiseen toimeksiantoon. Tietoja ei hyödynnetä automaattisesti eikä niitä missään olosuhteissa luovuteta ilman, että nimenomainen toimeksianto on annettu. X Oy turvaa rekisteröidyn yksityisyyden suojan.

Hallinto-oikeus on päätöksessään 20.3.2008 vahvistanut, että toimeksiantoa ei voida katsoa epäaidoksi. Hallinto-oikeus on samoin vahvistanut, että toimeksiannon antaminen perustuu luotonhakijan itsemääräämisoikeuteen. Hallinto-oikeus on edelleen katsonut, että X Oy:n toiminta ei ole ristiriidassa käyttötarkoitussidonnaisuuden periaatteen kanssa.

Asian pitkä käsittelyhistoria ja tarve saada pääasiaan korkeimman hallinto-oikeuden päätös

X Oy:n luottopäätöspalveluun liittyvää asiaa on käsitelty vuodesta 2006 alkaen tietosuojavaltuutetun toimistossa, tietosuojalautakunnassa ja Helsingin hallinto-oikeudessa. Asian käsittelyn aikana myös sovellettava lainsäädäntö on osittain ehtinyt muuttua, kun henkilötietolaki on muuttunut ja luottotietolaki on tullut voimaan 1.11.2007.

X Oy vaatii, että korkein hallinto-oikeus paitsi kumoaa hallinto-oikeuden päätöksen myös ratkaisee pääasian eli myöntää yhtiölle luvan käyttää luotonhakijoiden suostumuksella heitä itseään koskevia perintätietoja yhtiön luottopäätöspalvelun yhteydessä. Hallintotuomioistuin voi korvata valituksenalaisen päätöksen omallaan. Koska kysymyksessä on yhtiön liiketoimintaan huomattavasti vaikuttava asia, on sen oikeusturvan kannalta tärkeää, että asiassa saadaan lopullinen ratkaisu eikä asiaa käsitellä tietosuojalautakunnassa ja hallinto-oikeudessa enää kolmatta kertaa.

Asiassa on kysymys luotonhakijan ja rekisteröidyn itsemääräämisoikeuden käyttämisestä. Hallinto-oikeuden päätöksessä 20.3.2008 on todettu, että henkilötietolain ja tietosuojadirektiivin 95/46/EY keskeisiä lähtökohtia ovat rekisteröidyn yksityisyyden suoja ja itsemääräämisoikeus. Luotonhakija voi itsemääräämisoikeutensa puitteissa antaa toimeksiannon, jolla X Oy oikeutetaan hyödyntämään rekisteröityä koskevia tietoja luottopäätössuosituksia tehtäessä. Korkeimman hallinto-oikeuden tulee myöntää tähän edellä kuvattuun toimintaan lupa.

Tietosuojalautakunta on lausunnossaan esittänyt, että valitus hylätään. Lautakunta on lausunut muun ohella seuraavaa:

Toimivaltaansa koskevan kysymyksen osalta lautakunta viittaa asiassa aiemmin lausumaansa. Tämän lisäksi lautakunta toteaa, että luottotietolaissa mainitut henkilöluottotiedot ovat, kuten X Oy huomauttaa, myös henkilötietolain 3 §:ssä tarkoitettuja henkilötietoja. Tällä seikalla ei kuitenkaan ole merkitystä arvioitaessa tietosuojalautakunnan toimivaltaa, vaan olennaista on se, että luottotietolaissa on säädetty tyhjentävästi siitä, mitä luottotietoja luottotietorekisteriin voidaan luonnollisista henkilöistä tallettaa. Tämän vuoksi lautakunnalla ei ole toimivaltaa myöntää X Oy:lle lupaa henkilöluottotietojen käsittelyyn. Rekisteröidyn suostumuksella ei voida poiketa tästä.

Luottotietolaissa ei ole säädetty avoimia perintätoimeksiantoja koskevien tietojen käsittelystä henkilöluottotietoina. Hoidettuja maksuja koskevien tietojen ei voida kaikissa tapauksissa katsoa olevan luottotietolain 13 §:n 8 kohdassa tarkoitettuja suorituksen maksutietoja.

X Oy on vastaselityksessään esittänyt muun ohella seuraavaa:

X Oy on osoittanut, että tietosuojalautakunnalla on henkilötietolain 43 §:n perusteella toimivalta myöntää lupa rekisteröidyn suostumuksella tapahtuvaan henkilötietojen käyttöön luottopäätöspalvelun yhteydessä. Yhtiö vaatii, että korkein hallinto-oikeus vahvistaa tämän lupatoimivallan.

X Oy on osoittanut myös, että tietojen käsittelyyn tarvittavat luvan myöntämisen edellytykset täyttyvät rekisteröidyn itsemääräämisoikeuteen perustuen. Luotonhakija voi antaa henkilötietolain nojalla toimeksiannon tai suostumuksen, jolla yhtiö oikeutetaan luovuttamaan luotonmyöntäjälle luotonhakijaa koskevaa maksutietoa. Tällä menettelyllä sellainenkin luotonhakija, jolla on maksuhäiriöitä, voi saada uutta luottoa. Yhtiö vaatii, että korkein hallinto-oikeus myöntää luvan rekisteröidyn suostumuksella tapahtuvaan henkilötietojen käyttöön luottopäätöspalvelun yhteydessä.