Pohjois-Suomen HAO 15.08.2022 1036/2022

Tietosuoja - Valvontaviranomaisen määräys - Lapsi - Henkilötunnus - Vuokraustoiminta - Käsittelyn lainmukaisuus - Kansallinen liikkumavara - Oikeutettu etu - Tietojen minimointi

Diaarinumero: 20977/2021
Taltionumero: 1036/2022
Antopäivä: 15.8.2022

Apulaistietosuojavaltuutettu oli antanut vuokraustoimintaa harjoittavalle yhtiölle rekisterinpitäjänä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus, jäljempänä tietosuoja-asetus) 58 artiklan 2 kohdan d alakohdan mukaisen määräyksen saattaa käsittelytoimet lasten henkilötunnusten keräämisen osalta asetuksen säännösten mukaisiksi sekä poistaa kerätyt henkilötunnustiedot siltä osin, kuin niiden keräämiselle ei ollut ollut asianmukaisia perusteita. Päätöksen perusteluista ilmeni, että vuokralaisten lasten henkilötunnusten keräämistä pidettiin sallittuna, kun he tulivat asumaan arava- tai korkotukivuokra-asuntoon. Asiassa oli yhtiön valituksen johdosta hallinto-oikeuden ratkaistavana, oliko yhtiöllä oikeus kerätä lasten henkilötunnukset myös vapaarahoitteisten asuntojen osalta. Tuodessaan esiin niitä syitä, joiden vuoksi henkilötunnuksia tarvitaan vuokrasuhteeseen liittyvien asioiden hoidossa, yhtiö oli vedonnut tarpeeseen varmistaa henkilön yksiselitteinen yksilöinti.

Hallinto-oikeus totesi, että lasten henkilötietojen käsittely valituksenalaisessa tilanteessa voi olla mahdollista tietosuoja-asetuksen 6 artiklan 1 kohdan f) alakohdassa tarkoitetun oikeutetun edun perusteella. Oikeutetun edun käsittelyn peruste edellyttää, että henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät syrjäytä rekisterinpitäjän oikeutettua etua käsitellä henkilötietoja, erityisesti jos rekisteröity on lapsi.

Hallinto-oikeus totesi, että kysymyksessä olevassa tilanteessa lasten henkilötunnuksia ei ollut tarkoitettu käytettäväksi sellaisiin tarkoituksiin, joiden yhteydessä lasten henkilötietoihin kohdistuisi erityisen suojelun tarve. Lasten henkilötunnuksen käsittelyä vuokraustoiminnassa ei sinällään voitu pitää merkittävänä puuttumisena lasten oikeuksiin ja etuihin. Hallinto-oikeus kiinnitti huomiota myös siihen, että kansallisesti oli asetuksen tasoisella säännöksellä edellytetty, että aravarajoituslain piiriin kuuluvien asunnon hakijoiden on ilmoitettava asuntoa hakiessaan kaikkien huoneistoon asumaan tulevien henkilötunnukset asuntohakemuslomakkeella.

Hallinto-oikeus totesi edelleen, että tietosuojalain 29 §:ssä on tietosuoja-asetuksessa jätetyn kansallisen liikkumavaran nojalla määritelty tarkemmin henkilötunnuksen käsittelyn edellytyksistä. Kyseisen säännöksen 2 momentissa on nimenomaisesti sallittu henkilötunnuksen käsittely vuokraustoiminnassa. Kyseisen momentin voitiin tulkita kattavan yleisesti vuokraustoimintaa koskevat käsittelytoimet mukaan lukien huoneistoon asumaan tulevien lasten henkilötunnusten käsittelyn.

Hallinto-oikeus katsoi, että yhtiöllä oli ollut vuokraustoiminnasta johtuva tietosuoja-asetuksen 6 artiklan 1 kohdan f) alakohdassa tarkoitettu oikeutettu etu lasten henkilötietojen käsittelyyn. Ottaen huomioon tietosuojalain 29 §:n 2 momentin sekä sen seikan, että henkilön luotettava yksilöinti vuokraustoiminnassa on tärkeää rekisteröidyn oikeusturvankin kannalta, hallinto-oikeus katsoi, että oikeutettu etu ulottui puheena olevassa tilanteessa myös lasten henkilötunnusten käsittelyyn. Koska henkilötunnuksen käsittelyä oli tällä perusteella pidettävä tietosuoja-asetuksen 5 artiklan 1 kohdan a) alakohdassa ja 6 artiklassa tarkoitetulla tavalla lainmukaisena, sitä ei voitu pitää puheena olevan käyttötarkoituksen kannalta tarpeettomana sovellettaessa tietojen minimointia koskevaa ensin mainitun artiklan c) alakohtaa. Yhtiön käsittelytoimet puheena olevilta osin olivat siten olleet lainmukaiset, minkä vuoksi apulaistietosuojavaltuutetun päätös oli kumottava.

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 5-6 artiklat, 58 artikla ja 87 artikla
Tietosuojalaki 29 § 2 mom

Asian ovat ratkaisseet ylituomari Mikko Pikkujämsä sekä hallinto-oikeustuomarit Renne Pulkkinen (t) ja Anna-Leena Kiviniemi, joka on myös esitellyt asian.

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.