22.01.2008 1/2008

Huolellisuusvelvoite - Suunnitteluvelvoite - Virheettömyysvaatimus

Tietosuojalautakunta määräsi tekstiviestin välityksellä pikaluottoja myöntävän yrityksen välittömästi muuttamaan luotonhakijoiden tunnistamiseen liittyvän toimintatapansa sellaiseksi, että voidaan varmistaa, että väärää henkilöä ei rekisteröidä luotonhakijaksi.

Päätöksestä on valitettu Helsingin hallinto-oikeuteen.

ASIA
Henkilötietolain 44 §:n mukainen hakemus

HAKIJA
Tietosuojavaltuutettu
PL 315
00181 Helsinki

REKISTERINPITÄJÄ

Tammi Rahoitus Oy

HAKEMUS

Tietosuojavaltuutettu pyytää, että tietosuojalautakunta henkilötietolain 44 §:n 2 kohdan nojalla velvoittaa sopivaksi katsomaansa määräaikaan mennessä ja tarvittaessa uhkasakon nojalla Tammi Rahoitus Oy -nimistä yritystä (jälj. Tammi Rahoitus) muuttamaan luotonhakijoiden tunnistamiseen liittyvää toimintatapaansa siten, ettei puutteellisen tunnistamisen seurauksena väärien henkilöiden henkilötietojen käsittely luottohakemuksien käsittelyn yhteydessä olisi mahdollista.

Asian tausta

Tietosuojavaltuutetun toimisto on selvittänyt vuoden 2006 aikana tekstiviestin välityksellä lainoja (ns. pikavippejä) myöntävien yritysten suorittamaa henkilötietojen käsittelyä. Tietosuojavaltuutettu lähetti kolmelletoista tekstiviestilainoja tarjoavalle yritykselle selvityspyynnön, jossa yksi keskeisimmistä kysymyksistä oli lainan hakijan tunnistaminen.

Selvityksen perusteella tietosuojavaltuutettu näkee henkilötietolain kannalta keskeisimmäksi ongelmaksi, että lainan hakijan tunnistaminen tekstiviestilainoja tarjottaessa on puutteellista. Tämän vuoksi asiakkaaksi (velalliseksi) saatetaan rekisteröidä henkilöitä, jotka eivät todellisuudessa ole hakeneet lainaa.

Tietosuojavaltuutetun käsityksen mukaan tunnistaminen perustuu matkapuhelimen hallintaan, eli olettamaan siitä, että puhelimenkäyttäjä on lainanhaun hetkellä ko. liittymän tilaaja. Lainan hakijan tunnistamisessa käytettävät tiedot ovat monissa tapauksissa henkilötunnus sekä nimi, puhelinnumero ja osoite. Näitä ilmoitettuja tietoja verrataan luottotietorekisteriin sekä väestörekisterikeskuksen ja numerotiedotuspalvelun tietoihin.

Toimialalta saamiensa vastauksien pohjalta tietosuojavaltuutettu laati 13.11.2006 päivätyn, hakemukseen liitetyn muistion, josta käyvät ilmi tietosuojavaltuutetun tekemät johtopäätökset toimintaan liittyvistä puutteista henkilötietolain kannalta arvioituna. Tietosuojavaltuutettu antoi 17.11.2006 Tammi Rahoitukselle kehotuksen ottaa huomioon muistiossa esitetyt johtopäätökset ja ilmoittaa vuoden loppuun mennessä, mihin toimenpiteisiin yritys ryhtyy muistion johdosta. Tammi Rahoitus ilmoitti vastauksessaan 27.12.2006, että sen toiminta on tietosuojalain mukaista, eikä tarvetta toiminnan uudelleen arvioon tässä vaiheessa ole.

Hakemuksen perustelut

Tietosuojavaltuutetun ns. pikavippejä koskeva toimialaselvitys kohdistui mm. Tammi Rahoitukseen. Tietosuojavaltuutetun selvityspyyntöön antamassaan vastauksessa yhtiö ilmoitti tunnistavansa asiakkaan pääsääntöisesti niin, että asiakas lähettää hakemuksen jättämisen yhteydessä annetun yksilöllisen tunnuksen omassa omistuksessaan olevalla matkapuhelimella, jonka numeron hän hakemusta jättäessään ilmoitti Tammi Rahoitukselle. Tammi Rahoituksen tietosuojavaltuutetulle lähettämästä asiakasrekisterin rekisteriselosteesta käy ilmi, että käsiteltäviä asiakkaan henkilötietoja ovat nimi, henkilötunnus, yhteystiedot, pankkiyhteys sekä myyntihistoria- ja maksusaatavatiedot. Tammi Rahoituksen ilmoittamien tietojen perusteella tietosuojavaltuutettu katsoo lainan hakijoiden tunnistamisen perustuvan henkilötunnukseen sekä nimi ja yhteystietojen vertailuun.

Tietosuojavaltuutettu katsoo, että siltä osin kuin lainan hakijan tunnistamisessa käytetään vain henkilötunnusta ja/tai nimi- ja yhteystietojen vertailua eri rekistereissä, tunnistaminen on toteutettu puutteellisesti.

Tietosuojavaltuutettu toteaa, että henkilötietolain 6 § edellyttää, että rekisterinpitäjä suunnittelee etukäteen henkilötietojen käsittelyn. Ottaen huomioon, että henkilötietolain 5 § edellyttää henkilötietojen käsittelyn olevan huolellista ja että lain 9 §:n mukaan käsiteltävien henkilötietojen tulee olla virheettömiä, tulee rekisterinpitäjän suunnitella ja toteuttaa henkilötietojen käsittelyprosessit sellaisiksi että em. velvoitteet täyttyvät.

Tietosuojavaltuutettu katsoo, että henkilötietolain 5 §, 6 § ja 9 § velvoittavat Tammi Rahoituksen tunnistamaan lainan hakijan huolellisesti. Tietosuojavaltuutettu toteaa, että Turun käräjäoikeus on toisessa yhteydessä, mutta pikavippipalvelua koskevassa päätöksessään (Tuomio 3259, Dnro 06/79), todennut, ettei velallisen tunnistaminen ole tapahtunut luotettavalla tavalla kun se on perustunut vain sen varmistamiseen, että lainan hakijaksi ilmoittautuneen antama nimi, henkilötunnus ja osoite ovat samat kuin sen liittymän haltijan vastaavat tiedot, jonka puhelimesta laina-anomus on tehty tekstiviestinä.

Tietosuojavaltuutettu perustelee hakemustaan myös sillä, että liikenne- ja viestintäministeriön Luoti-kehittämisohjelman julkaisemassa tietoturvaoppaassa katsotaan, että vahvaa tunnistamista tulisi vaatia sähköisissä palveluissa kun käyttäjä voi tehdä sellaisia asioita, joilla on taloudellista tai oikeudellista merkitystä. Tietosuojavaltuutettu arvioi ns. pikavippipalveluiden olevan sellaisia joissa ns. vahvaa tunnistamista tulee edellyttää. Mainitun oppaan mukaan vahvan tunnistamisen menetelmiä ovat mm. käyttäjätunnus ja salasana yhdessä vaihtuvan tai kertakäyttöisen salasanan kanssa, käyttäjätunnus ja salasana yhdessä puhelinsoiton kanssa sekä varmenteellinen sirukortti tai mobiilivarmenne yhdessä PIN-koodin kanssa.

Tietosuojavaltuutettu katsoo, että lainanhakijoiden riittävän tunnistamisen laiminlyönti, joka samalla ilmentää laiminlyöntejä huolellisuus- ja suunnitteluvelvoitteen noudattamisessa sekä aiheuttaa tiedon laadullisia puutteita, vaarantaa rekisteröityjen yksityisyyden suojaa.

ASIAN KÄSITTELYVAIHEET

Tietosuojavaltuutettu on liittänyt hakemukseen Tammi Rahoitus Oy:n kanssa käymänsä kirjeenvaihdon ajalta 15.2.2006 - 27.12.2006

Tammi Rahoitus teki 15.2.2006 tietosuojavaltuutetulle henkilötietolain 36 §:n 1 momentissa tarkoitetun ilmoituksen automaattisella tietojenkäsittelyllä tapahtuvasta henkilötietojen käsittelystä, joka perustuu henkilötietolain 31 §:ssä tarkoitetun automatisoidun päätöksentekojärjestelmän käyttöön. Ilmoitukseen oli liitetty Tammi Rahoituksen asiakasrekisterin rekisteriseloste.

Tietosuojavaltuutetun ja Tammi Rahoituksen käytyä asiasta kirjeenvaihtoa, tietosuojavaltuutettu antoi 17.11.2006 Tammi Rahoitukselle edellä mainitun kehotuksen. Kehotukseen liittämässään muistiossa tietosuojavaltuutettu on mm. arvioinut, että puutteellinen tunnistaminen muodostaa keskeisimmän ongelman henkilötietolain kannalta tekstiviestilainoja tarjottaessa. Sähköisessä rajapinnassa tuotettu palvelu edellyttää asianmukaista sähköistä tunnistamista tekstiviestilainoja myöntäviltä yrityksiltä. Olemassa on erilaisia mobiileja ja ei-mobiileja tapoja tunnistaa henkilö. Mobiileina tunnistamisjärjestelminä on käytössä esimerkiksi TUPAS ja HST. Tekstiviestilainoja tarjoava yritys on velvollinen tunnistamaan lainan hakijan huolellisesti. Muistion mukaan yleisesti voidaan todeta, ettei pikaluottotoimiala käytä niitä mahdollisuuksia, joita jo nyt olemassa olevat tunnistuskeinot tarjoavat.

Tammi Rahoitus totesi tietosuojavaltuutetun kehotukseen antamassaan selvityksessä ja vastineessa 27.12.2006, että yrityksessä oli selvitetty mahdollisuutta ottaa käyttöön TUPAS ja/tai HST järjestelmiin pohjautuva asiakkaan tunnistaminen. Koska ainakin yksi TUPAS palvelua tarjoava taho oli kieltäytynyt antamasta palvelua Tammi Rahoituksen käyttöön, olisi palvelun käyttäminen ollut ns. tynkäratkaisu, joka olisi saattanut osan Tammi Rahoituksen asiakkaista eriarvoiseen asemaan toisiin nähden. Tästä syystä TUPAS järjestelmän käyttöönotosta oli luovuttu ainakin siihen asti kun kaikki palvelua tarjoavat tahot olivat valmiita luovuttamaan palvelun yrityksen käyttöön. HST palvelun käytön osalta selvityksessä todettiin mm., että koska pikaluottopalvelut on tarkoitettu lähinnä pienen ja tilapäisen rahan tarpeen tyydyttämiseen, ei asiakkailta voitu edellyttää sellaisten kalliiden teknisten laitteiden hankintaa, joita he eivät muuten normaalisti tarvitsisi.

Tammi Rahoitus ilmoitti, että se on katsonut, että ainakaan toistaiseksi TUPAS ja HST palvelut eivät sovi sen toimintaan.

Tammi Rahoitus totesi, että tarkasteltaessa kokonaisvaltaisesti identiteettivarkauksia pikaluottoalalla, tulee ottaa huomioon, että koska luotto maksetaan aina suomalaiselle pankkitilille, luoton todellinen saaja voidaan aina helposti ja aukottomasti selvittää jälkikäteenkin. Pankkitilillä on aina nimetty henkilö, joka on oikeutettu käyttämään tiliä ja tilin varojen käyttämisestä ja/tai nostamisesta jää pankkiin aina tieto siitä, kuka toiminnon suoritti. Lisäksi tulee huomioida se, että mahdollisessa väärinkäyttötapauksessa riskin kantaa luotonantaja ja se että mahdollisesti epärehellisesti toiminut henkilö syyllistyy toimiessaan rikokseen.

Tammi Rahoitus ei nähnyt toiminnassaan erityistä ongelmaa identiteettivarkauksien osalta suhteessa samankaltaista tunnistamista vaativiin muihin palveluihin (esim. postimyynti yleensä).

Tämän jälkeen tietosuojavaltuutettu saattoi 20.3.2007 asian tietosuojalautakunnan käsiteltäväksi 15.3.2007 päivätyllä henkilötietolain 44 §:n 2 kohdan mukaisella hakemuksella.

KUULEMINEN

Tammi Rahoituksen selitys 30.5.2007

Tietosuojalautakunta on varannut Tammi Rahoitukselle tilaisuuden selityksen antamiseen tietosuojavaltuutetun hakemuksen johdosta.

Tammi Rahoitus katsoo selityksessään 30.5.2007, että hakemuksen kohde on yksilöimättä. Hakemuksessa jää epäselväksi mikä on se "tunnistamiseen liittyvä" toimintatapa, joka pitää muuttaa ja mikä on se laki, säännös taikka viranomaisohje, joka määrittelee sen tavan taikka ne käytettävissä olevat tavat, joita käyttämällä päästään tietosuojavaltuutetun edellyttämään tavoitteeseen, ja joksi po. tapa nyt pitäisi muuttaa.

Tammi Rahoitus katsoo, että tietosuojavaltuutetun ja tietosuojalautakunnan velvollisuus on seurata alan kehitystä ja tehdä tarpeelliset esitykset ja aloitteet mahdollisesti havaittujen puutteiden ja säännöstason korjaamiseksi. Tähän liittyy mm. jo voimassaolevien hyväksyttyjen tunnistemenetelmien käytön varmistaminen tasapuolisesti kaikille toimijoille.

Selityksessä todetaan, että tietosuojavaltuutetun suositteleman TUPAS-järjestelmän käyttämisestä huolimatta väärien henkilöiden henkilötietojen käsittely on mahdollista ja että pankit eivät suostu tekemään sitä koskevia käyttösopimuksia kaikille sitä haluaville.

Tammi Rahoitus katsoo, että yritysten ja eri toimijoiden asiakkaidensa tunnistamisasiassa kaikkia toimijoita on kohdeltava tasapuolisesti. Tammi Rahoitus on liittänyt selitykseensä selvityksen tunnistautumisesta eri toimialoittain. Selvityksessä selostetaan tunnistautumista seuraavilla toimialoilla: etäviestimellä tilattavat kulutusluotot, matkapuhelimen sisältöpalvelut, interaktiiviset pelit, soittoäänet yms., pankkikortin ja luottokortin käyttö, perinteinen postimyynti, verkkokaupat, joissa maksu tapahtuu luottokortilla, luottokortin tilaaminen ja osoitteenmuutos maistraattiin ja pikalaina Tammi Rahoitus Oy:stä.

Tammi Rahoitus toteaa, että selvityksestä käy ilmi, että väärien henkilöiden henkilötietojen käsittely monien eri toimialojen, jopa valtion virastojen ja laitosten, asiakkaiden tunnistamisprosessissa on mahdollista. Tammi Rahoitus toteaa, että asialla on hyvin laajakantoinen vaikutus myös lukuisten muiden laillista liiketoimintaa harjoittavien toimijoiden toimintaan.

Tammi Rahoitus toteaa, että mikään tunnistamiseen liittyvä olemassa oleva toimintatapa ei ole aukoton siten, että se estäisi väärien henkilöiden henkilötietojen käsittelyn palvelutapahtuman yhteydessä. Tammi Rahoitus katsoo, että sellaista on mahdotonta käytännössä edes luoda. Missään selityksen liitteessä mainituissa tapauksissa tunnistamismenetelmä ei ole aukoton, yksikään niistä ei ole vahvempi kuin Tammi Rahoitus Oy:n käyttää menetelmä. Myöskään TUPAS varmennepalvelu ei ole aukoton.

Edellä mainitusta syystä tietosuojavaltuutetun esittämä vaatimus on mahdoton ja siten myös kohtuuton. Vaatimus voisi olla perusteltu sen jälkeen kun viranomainen olisi ensin osoittanut, mikä on se laki, säännös taikka viranomaisohje, joka määrittelee sen oikeusohjeen ja konkreettisen toimintatavan, jota käyttämällä väärien henkilöiden henkilötietojen käsittely luottohakemuksien yhteydessä estyy.

Asialla on myös kilpailuoikeudellinen vaikutus mikäli toisten yritysten samaan aikaan sallitaan jatkaa omia tunnistamismenetelmiään, joiden seurauksena väärien henkilöiden henkilötietojen käsittely on myös mahdollista.

Tammi Rahoitus toteaa, että mikään laki taikka viranomaisohje ei voi estää rikollista toimintaa.

Mahdollisessa väärinkäyttötilanteessa vahingon kärsinyt asiakas ei joudu kärsimään mitään haitallisia taloudellisia seuraamuksia, sillä Tammi Rahoitus ottaa tuolloin asiassa heti kokonaisvastuun. Merkittävää on myös, että väärinkäyttötapaukset ovat faktisesti lähes olemattomia, Tammi Rahoituksen osalta vain 8 kpl vuonna 2006, mikä on 0,4 promillea myönnetyistä lainoista ko. aikajaksolta.

Hakemuksen yksilöimättömyyden ja alan normiston puuttuessa Tammi Rahoitus vaatii, että tietosuojavaltuutetun hakemus on hylättävä. Tammi Rahoitus katsoo, että se noudattaa toiminnassaan tällä hetkellä olemassa olevia säännöksiä ja lakeja, henkilötietolaki mukaan lukien, minkä vuoksi hakemus on perusteettomana ja lakiin perustumattomana hylättävä.

Tietosuojavaltuutetun selitys 13.7.2007

Tietosuojalautakunta on varannut tietosuojavaltuutetulle tilaisuuden selityksen antamiseen Tammi Rahoitus Oy:n selityksestä.

Selityksessään 13.7.2007 tietosuojavaltuutettu ilmoittaa, että toimialan yritykset itsekin ovat tunnistaneet nyt käsiteltävänä olevan ongelman. Saatuaan tietosuojavaltuutetun ohjausta, jossa tietosuojavaltuutettu osoitti, missä kohdin niiden toimintaa oli pidettävä henkilötietolain vastaisena, ilmoittivat toimialan muut yritykset ryhtyvänsä toimenpiteisiin käytäntöjensä muuttamiseksi. Vain Tammi Rahoitus Oy ilmoitti käsityksensä, että sen käyttämä tunnistusmenetelmä oli lain mukainen.

Tietosuojavaltuutettu toteaa, että laki, joka määrittelee sen tavan taikka ne käytettävissä olevat tavat, joita käyttämällä päästään tietosuojavaltuutetun edellyttämään tavoitteeseen, ja joksi po. tapa nyt pitäisi muuttaa on henkilötietolaki (523/1999).

Lainvalvontaviranomaisena tietosuojavaltuutetun on ryhdyttävä toimiin voimassa olevan lain vastaisten toimien oikaisemiseksi tai tarvittaessa lopettamiseksi, kuten tässä tilanteessa on tehty. Tietosuojavaltuutettu ei sen sijaan osallistu lainvalvontaviranomaisen roolissaan liiketoiminnan kehittämiseen siten kuin Tammi Rahoitus näyttäisi edellyttävän.

Tunnistamisen tasot vaihtelevat eri toimialoilla ja toiminnoissa. Tietosuojavaltuutettu katsoo, että tästä seuraa, ettei Tammi Rahoitus Oy:n selvityksen liitteessä esitetyillä seikoilla ole tässä asiassa merkitystä laillisuusarvioinnin kannalta.

Resurssien puitteissa ja yhteistyössä muiden viranomaisten kanssa tietosuojavaltuutettu tulee jatkamaan tunnistamiskäytäntöihin liittyvien kysymysten selvittelyä. Tietosuojavaltuutettu kuitenkin korostaa, että hyväksyttävän tunnistamisen taso vaihtelee palvelukohtaisesti, eikä kaikkia toimialoja tästä syystä ole tarpeen arvioida samojen kriteerien mukaisesti.

TIETOSUOJALAUTAKUNNAN PÄÄTÖS JA PERUSTELUT

Pikalainan haku- ja myöntämisprosessi Tammi Rahoitus Oy:ssä

Tietosuojalautakunnan asiassa saamien ja hankkimien selvitysten mukaan pikalainan haku- ja myöntämisprosessi Tammi Rahoituksessa on seuraavanlainen:

Laina tilataan verkkohakemuksella, jolla lainanhakija ilmoittaa seuraavat tiedot: etunimi, sukunimi, henkilötunnus, puhelinnumero, osoite, postinumero, postitoimipaikka, tilinumero ja takaisinmaksuaika.
Tammi Rahoitus lähettää tekstiviestinä nelinumeroisen koodin lainahakemuksessa ilmoitettuun puhelinnumeroon.
Lainanhakija soittaa Tammi Rahoituksen palvelunumeroon ja näppäilee Tammi Rahoituksen ilmoittaman koodin.
Tammi Rahoitus tarkistaa, että palvelunumeroon soitettu koodi on soitettu lainahakemuksessa ilmoitetusta puhelinnumerosta.
Tammi Rahoitus tarkistaa, että puhelinnumero on rekisteröity lainanhakijan nimiin Suomen Numeropalvelu Oy:n ylläpitämään, operaattoreiden päivittämään valtakunnalliseen numeropalveluun.
Tammi Rahoitus tarkistaa lainahakemuksessa ilmoitetun lainanhakijan henkilötiedot ja vertaa niitä Suomen Asiakastieto Oy:n rekistereihin ja Väestötietojärjestelmään.
Lainanhakijalle ilmoitetaan myönnetystä lainasta.
Laina maksetaan asiakkaan ilmoittamalle tilille ilman erillistä ilmoitusta, jos muuta ei ole sovittu.
Lainahakemuksen mahdollisesta hylkäämisestä lähetetään asiakkaalle tieto.
Tammi Rahoitus lähettää lainanhakijan lainahakemuksessa ilmoitettuun, väestötietojärjestelmässä olevaan kotiosoitteeseen laskun, jolla laina maksetaan takaisin.

Tammi Rahoitus on ilmoittanut tietosuojavaltuutetulle antamassaan selvityksessä 26.4.2006, että järjestelmä vertaa asiakkaan antamia tietoja väestötietojärjestelmään ja sen puhelinoperaattorin tietoihin jonka asiakas on ilmoittanut sekä hakee asiakkaan Suomen Asiakastieto Oy:n rekisterissä mahdollisesti olevat tiedot ja muodostaa näistä tiedoista laskennallisen arvion asiakkaan luotonmaksukyvystä ja tekee annettujen raja-arvojen pohjalta luottosuosituksen. Jos luottosuositusta ei saada, järjestelmä lähettää asiakkaalle automaattisesti ilmoituksen hakemuksen hylkäämisestä. Ne asiakkaat, joille järjestelmä on antanut luottosuosituksen, siirtyvät palvelun toimittamiseen. Pankilta palvelun toimittamisesta saatu vahvistus lähetetään asiakkaalle.

Tunnistaminen perustuu olettamaan siitä, että koska puhelimen käyttäjällä on lainanhaun hetkellä hallussaan liittymän tilaajan henkilö- ja osoitetiedot, hän on ko. liittymän tilaaja ja samalla myös lainan hakija.

Tammi Rahoitus toteaa tietosuojalautakunnalle 30.5.2007 antamansa selityksen liitteessä, että käytetyn tunnistamismenetelmän seurauksena väärien henkilöiden henkilötietojen käsittely luottohakemuksien käsittelyn yhteydessä on mahdollista.

Sovellettavat henkilötietolain säännökset

Henkilötietolain 1 §:n mukaan henkilötietolain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista.

Henkilötietolain 2 §:n mukaan henkilötietoja käsiteltäessä on noudatettava, mitä henkilötietolaissa säädetään, jollei muualla laissa toisin säädetä.

Henkilötietolain 5 §:n mukaan rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta.

Henkilötietolain 6 §:n mukaan henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Henkilötietojen käsittelyn tarkoitukset sekä se, mistä henkilötiedot säännönmukaisesti hankitaan ja mihin niitä säännönmukaisesti luovutetaan, on määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään.

Henkilötietolain 9 §:n 2 momentin mukaan rekisterinpitäjän on huolehdittava siitä, ettei virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja käsitellä (virheettömyysvaatimus). Rekisterinpitäjän velvollisuutta arvioitaessa on otettava huomioon henkilötietojen käsittelyn tarkoitus sekä käsittelyn merkitys rekisteröidyn yksityisyyden suojalle.

Henkilötietolain 31 §:n mukaan sellaisen rekisteröidyn tiettyjen ominaisuuksien arviointiin tarkoitetun päätöksen tekeminen, joka tapahtuu ainoastaan automatisoidun tietojenkäsittelyn perusteella ja josta aiheutuu rekisteröidylle oikeudellisia vaikutuksia tai joka muuten vaikuttaa häneen merkittävällä tavalla, on sallittu vain, jos:
1) siitä on laissa säädetty; tai
2) päätös tehdään sopimuksen tekemisen tai täytäntöönpanon yhteydessä edellytyksellä, että rekisteröidyn oikeuksien suojaaminen varmistetaan tai että päätöksellä täytetään rekisteröidyn sopimuksen tekemistä tai täytäntöönpanoa koskeva pyyntö.

Tietosuojalautakunta voi henkilötietolain 44 §:n 2 kohdan nojalla tietosuojavaltuutetun hakemuksesta velvoittaa muissa kuin tarkastusoikeuden toteuttamista ja tiedon korjaamista koskevissa asioissa asianomaisen määräajassa oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty.

Perustelut

Henkilötietolain 1 §:n mukaan henkilötietolain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Tähän pyritään lain kaikki säännökset huomioon ottavan huolellisuusvelvoitteen sekä hyvän tietojenkäsittelytavan avulla.
Huolellisuusvelvoite velvoittaa rekisterinpitäjän pyrkimään oma-aloitteisesti huolehtimaan siitä, että henkilötietojen käsittely toteutetaan ottaen huomioon yksityisyyden suojaa turvaavat säännökset ja periaatteet. Hyvään tietojenkäsittelytapaan sisältyvät muun muassa yksityisyyttä tukevat menettelytavat henkilötietoja käsiteltäessä.

Tammi Rahoituksen tietosuojavaltuutetulle antamasta selvityksestä käy ilmi, että Tammi Rahoitus käyttää pikalainan myöntämisessä automaattista päätöksentekoa. Rekisterinpitäjän velvollisuus huolehtia rekisteröidyn oikeuksien suojaamisesta korostuu, kun kysymys on automatisoiduista päätöksistä (henkilötietolain 31 §). Yksilön luotettava tunnistaminen on keskeinen osa hänen oikeuksiensa varmistamista.

Luotonhakijan tunnistaminen Tammi Rahoituksen pikavippitoiminnassa perustuu olettamaan siitä, että koska puhelimen käyttäjällä on lainanhaun hetkellä hallussaan liittymän tilaajan henkilö- ja osoitetiedot, hän on ko. liittymän tilaaja ja samalla myös lainan hakija. Tunnistamisessa noudatettavan toimintatavan seurauksena lainanhakijaksi voidaan rekisteröidä henkilö, joka ei ole lainaa hakenut. Tietosuojalautakunta katsoo, että Tammi Rahoitus ei noudata lainanhakijoiden tunnistamisessa henkilötietolain 5 §:n edellyttämää huolellisuutta, kun tunnistaminen perustuu vain sen varmistamiseen, että lainan hakijaksi ilmoittautuneen antamat tiedot ovat samat kuin sen liittymän haltijan vastaavat tiedot, jonka puhelimesta lainahakemus on tehty.

Virheettömyysvaatimus edellyttää, että rekisterinpitäjän tulisi jo tietojen keräämisvaiheessa mahdollisimman hyvin pyrkiä varmistamaan, että kaikki tiedot ovat virheettömiä. Rekisterinpitäjän on käyttämällä luotettavia tietolähteitä sekä muutoinkin huolehdittava siitä, ettei henkilörekisteriin merkitä virheellisiä, kuten vääriä henkilöitä koskevia, tietoja. Rekisterinpitäjän velvollisuutta arvioitaessa on otettava huomioon henkilötietojen käsittelyn tarkoitus sekä merkitys rekisteröidyn yksityisyyden suojalle. Koska Tammi Rahoituksen lainanhakijoiden tunnistamisessa noudattama toimintapa mahdollistaa väärän henkilön rekisteröimisen lainan hakijaksi, tietosuojalautakunta katsoo, että virheettömyysvaatimus ei toteudu.

Tammi Rahoituksen on katsottava laiminlyöneen myös henkilötietolain 6 §:n suunnitteluvelvoitteen ottaessaan käyttöön sellaiset henkilötietojen käsittelyprosessit, joissa huolellisuus- ja virheettömyysvaatimukset eivät täyty.

Päätös

Edellä mainituista syistä tietosuojalautakunta määrää henkilötietolain 44 §:n 2 kohdan nojalla

Tammi Rahoitus Oy:n välittömästi muuttamaan pikaluottojen myöntämisessä noudattamansa luotonhakijoiden tunnistamiseen liittyvän toimintatapansa sellaiseksi, että voidaan varmistaa, että väärää henkilöä ei rekisteröidä luotonhakijaksi.

Tammi Rahoitus Oy:n on ilmoitettava 31.3.2008 mennessä tietosuojavaltuutetulle, mihin toimenpiteisiin se on ryhtynyt tämän päätöksen noudattamiseksi.

SOVELLETUT SÄÄNNÖKSET

Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 2 § 1 kohta
Henkilötietolaki 1 §
Henkilötietolaki 2 §
Henkilötietolaki 3 § 1 kohta
Henkilötietolaki 5 §
Henkilötietolaki 6 §
Henkilötietolaki 9 § 2 mom
Henkilötietolaki 31 §
Henkilötietolaki 44 § 2 mom

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.