LUKIJAN ARTIKKELI: Kaatuuko yksityinen pysäköinninvalvonta Henkilötietolain väärinkäyttöön?

Tässä on arvioitavaksenne tapaus, jonka helsinkiläinen lakiasiaintoimisto on saattanut tietosuojavaltuutetun käsiteltäväksi 7.3.2013. Kantelun tarkoitus on selvittää voiko yksityinen pysäköinninvalvonta jatkua nykyisellään sen rikkoessa tosiasiallisesti useissa tapauksissa henkilötietolakia. Osallisten yritysten, sekä asianomistajan nimet on vaihdettu yksityisyyden suojaamiseksi.

Tapahtumat lyhyesti

Yksityishenkilö A sai maksumuistutuksen yksityisoikeudellisen valvontamaksun maksamattajättämisestä, vaikka A ei ole kuljettanut autoa maksun määräämisajankohtana. A reklamoi B Oy:lle maksumuistutuksen vastaanottamista seuraavana päivänä todeten maksun olevan virheellinen, koska hän ei toiminut auton kuljettajana. Tähän B Oy vastasi uhkauksella jatkotoimista ja vaatimuksella osoittaa se henkilö, jonka kanssa B Oy on solminut kyseisen sopimuksen. A toisti ilmoituksensa siitä, että ei ole toiminut auton kuljettajana ja totesi B Oy:n toiminnan olevan henkilötietolain vastaista, sillä henkilörekisteriä ei voida perustaa ilman riittävää käyttötarkoitussidonnaisuutta, kuten asiakassuhdetta. A myös totesi hänestä perustetun henkilötietorekisterin virheelliseksi. B keskeytti perintätoimet A:ta kohtaan, sillä minkäänlaista yhteyttä A:n ja B Oy:n välillä ei voitu todistaa kyseisessä tapauksessa.

Henkilötietolain soveltuminen tapaukseen

C Oy ylläpitää pysäköinninvalvontaa suorittavan B Oy:n henkilötietorekisteriä. Henkilötietorekisteri perustetaan AKE:n haltija- tai omistajatietojen pohjalta, vaikka tällä ei ole mitään tekemistä ajoneuvoa kuljettaneen henkilön kanssa. Tässä kohtaa tapahtuu olennainen rikkomus, joka saattaa kaataa koko toimialan nykykäytännön ja vaikeuttaa ratkaisevasti toimialan toimintaedellytyksiä.

Henkilötietolain 5§ mukaan rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta. Tässä tapauksessa C Oy on rikkonut A:n yksityisyydensuojaa perustamalla henkilörekisterin A:sta ilman hänen yksiselitteistä suostumustaan. C Oy on myös rikkonut kolmannen osapuolen, eli autoa kuljettaneen henkilön yksityisyydensuojaa informoimalla A:ta tämän henkilön liikkeistä tiettynä ajankohtana (maksumuistutuksesta käy ilmi aika ja paikka, jolloin auto on ollut pysäköitynä). C Oy ei ole myöskään yrittänyt selvittää onko A oikea henkilö rekisteröintitarkoitukseen tai pyytää lupaa A:lta ennen virheellisen rekisterin perustamista. Henkilötietolain 8§ mukaan Henkilötietoja saa käsitellä ainoastaan mikäli seuraavat edellytykset täyttyvät (lain teksti kursivoitu selkeyden vuoksi):

1) rekisteröidyn yksiselitteisesti antamalla suostumuksella. A ei ole antanut suostumusta.

2) rekisteröidyn toimeksiannosta tai sellaisen sopimuksen täytäntöönpanemiseksi, jossa rekisteröity on osallisena, taikka sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. A ei ole antanut toimeksiantoa tai ollut osallisena mihinkään sopimukseen.

3) jos käsittely yksittäistapauksessa on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi. Kyseessä ei ole edun suojaaminen A:n kannalta.

4) jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta. Kyseessä ei ole rekisterinpitäjän velvoite.

5) jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan. A:lla ei ole minkäänlaista suhdetta rekisterinpitäjään.

6) jos kysymys on konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista ja näitä tietoja käsitellään kyseisen yhteenliittymän sisällä. Ei sovellu tapaukseen.

7) jos käsittely on tarpeen rekisterinpitäjän toimeksiannosta tapahtuvaa maksupalvelua, tietojenkäsittelyä tai muita niihin verrattavia tehtäviä varten. Kyseessä ei ole maksupalvelu tai muu verrattava tehtävä, vaan yksityisoikeudellinen sopimusasia, jossa sopimukseen vetoavan osapuolen tulee näyttää sopimuksen syntyneen.

8) jos kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista yleisesti saatavilla olevista tiedoista ja näitä tietoja käsitellään rekisterinpitäjän tai tiedot saavan sivullisen oikeuksien ja etujen turvaamiseksi. Ei sovellu tapaukseen.

9) jos tietosuojalautakunta on antanut käsittelyyn 43 §:n 1 momentissa tarkoitetun luvan. Tietosuojavaltuutettu on todennut 28.8.2007 päivätyssä lausunnossaan Dnro 1966/452/2006 millainen yksityiseen pysäköinninvalvontaan liittyvä toiminta mahdollistaa henkilörekisterin ylläpidon:

”On katsottava, että B Oy:n oikeus käsitellä henkilötietoja perustuu henkilötietolain 8§:n 1 momentin 5 kohtaan. Sen mukaan henkilötietoja saadaan käsitellä, jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muuhun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjään (yhteysvaatimus).”

A:lla ei ole tai ole ollut minkäänlaista suhdetta rekisterinpitäjään C Oy:öön tai valvontamaksun kirjoittaneeseen B Oy:öön.

"Henkilötietojen luovuttaminen voi tapahtua 1 momentin 5 kohdan nojalla vain, jos henkilötiedon luovuttaminen kuuluu tavanomaisena osana kysymyksessä olevan toiminnan harjoittamiseen edellyttäen, että tarkoitus, johon tiedot luovutetaan, ei ole yhteensopimaton henkilötietojen käsittelyn tarkoituksen kanssa ja että rekisteröidyn voidaan olettaa tietävän henkilötietojen tällaisesta luovuttamisesta. "

A:n ei voida olettaa tienneen henkilötietojensa luovuttamisesta ja toiminta on nimenomaisesti yhteensopimaton laissa määrätyn henkilötietojen käsittelyn tarkoituksen kanssa.

Tapaukseen ei sovellu myöskään Henkilötietolain 4. Luvun erityisiä tarkoituksia varten sallimat käyttötarkoitukset, kuten 14§ tutkimus, 15§ tilasto, 16§ viranomaisen suunnittelu- ja selvitystehtävät, 17§ henkilömatrikkeli 18§ sukututkimus, 19§ Suoramarkkinointi ja muut osoitteelliset lähetykset.

Voidaan siis kiistatta todeta, että henkilötietolain määräyksiä on yksiselitteisesti rikottu suostumuksen tai käyttötarkoitussidonnaisuuden puuttuessa.

Henkilötietolain esitöissä (HE 49/1986 s. 3) lausutaan, että yksityisyyden suojan tarkoituksena on antaa kansalaiselle oikeus yksityiselämään ilman perusteetonta ulkopuolista puuttumista ja että yksityisyyden suojaan kuuluu muun muassa oikeus vaikuttaa itseään koskevien tietojen käyttöön. A:lle ei annettu tätä mahdollisuutta, eikä sitä anneta kenellekään muullekaan, jotka joutuvat B ja C Oy:n mielivaltaisen yhteistoiminnan kohteeksi. Laittomaan henkilörekisteritietoon perustuvilla taloudellisilla seuraamuksilla uhkaaminen on lain esitöiden tarkoittamaa yksityiselämään perusteetonta ulkopuolista puuttumista.

Korkein oikeus on todennut ratkaisussaan KKO:1998:85:

"Henkilörekisterissä olevien henkilötietojen luovuttaminen vastoin rekisteröidyn suostumusta muuhun käyttötarkoitukseen kuin siihen, mihin tiedot oli rekisteröity, on tyypillisesti yksityisyyden suojan perustavoitteiden vastaista. Tällöin loukataan rekisteröidyn henkilön oikeutta tietää ja päättää itseään koskevien tietojen käytöstä. Tällainen tietojen luovuttaminen toteuttaa siten henkilörekisterilain tarkoitetun yksityisyyden suojan loukkaamisen tunnusmerkistön."

Vastaavasti henkilörekisterin perustaminen ilman henkilön suostumusta ja käyttötarkoitussidonnaisuutta soveltuu KKO:n tapaukseen ja täyttää yksityisyyden suojan loukkaamisen tunnusmerkistön.

On oletettava, että useimmat ihmiset pelästyvät jatkuvia oikeustoimilla uhkaavia kirjeitä, ja maksavat valvontamaksun, vaikka se on tullut heille virheellisesti. C Oy:n toiminta vaarantaa lain tarkoittamalla tavalla henkilön yksityisyydensuojan lisäksi heidän etuja, oikeuksiaan ja varallisuusaseman. Koska C Oy rikkoo lakia taloudellisen hyödyn tavoittelussa on toimintaan puuttuminen ja virheellisen käytännön korjaaminen ensiarvoisen tärkeää.

Asiasta on tehty 7.3.2013 tietosuojavaltuutetulle kantelu, jossa vaaditaan tietosuojavaltuutettua velvoittamaan yksityisellä pysäköintitoimialalla toimivat yritykset muuttamaan käytäntöjään niin, että he voivat varmistua rekisteröitävän henkilön henkilöllisyydestä tai vastaavasti pyytämään suostumusta rekisterin perustamiseksi. Käytännössä tämä tarkoittaa toiminnan vaikeutumista siinä määrin, että sen jatkaminen ei ole mahdollista. Lisäksi asiassa suunnitellaan rikosilmoituksen tekemistä. Mainitussa KKO:n tapauksessa henkilörekisteririkkomuksen tehnyt yritys tuomittiin menettämään rikoshyötynä rikkomuksen seurauksena saatu tulo. Valtion kassa kilisisi mukavasti.

Mitäs lukijat ovat mieltä?

oikeusjakohtuus.blogspot.com

Lisätietoja saa osoitteesta http://www.nordstromlaki.fi